JP5882961B2 - コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラム - Google Patents

Description

本発明は、コントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラムに関し、特に、オープンフロー（オープンフロー）技術を利用したコントローラ、コンピュータシステム、ネットワーク構成変更方法、及びネットワーク構成変更プログラムに関する。

従来、インターネット等の外部ネットワークに接続するＷＥＢサーバ等のセキュリティを確保するため、ファイアウォール装置を利用することがある。例えば、特許３８５２０１７号には、インターネットなどの外部ネットワークに接続するユーザを保護するための、仮想ファイアウォールに関する技術が記載されている（特許文献１参照）。

特許文献１に記載のファイアウォール装置は、それぞれ独立したフィルタリングポリシの複数の仮想ファイアウォールを実現する。このファイアウォール装置は、ユーザ端末から受信したネットワーク接続のための認証情報を認証サーバに通知し、これに対する認証サーバからの認証応答に記載されているユーザＩＤを、当該ユーザ端末に対応付けて登録する。これにより、事前にユーザＩＤと仮想ファイアウォールＩＤとの対応付けができない通信形態に対してもサービスを提供することができ、収容するユーザ多重数を増大させることが可能となる。

又、特開平１１−２０５３８８には、私設網に直接接続される私設接続部と、ファイアウォールに接続されるファイアウォール接続部とのどちらかにデータパケットを振り分ける技術が記載されている（特許文献２参照）。

特許文献２に記載のシステムには、パケットフィルタ装置から直接私設網に接続された直結経路と、ファイアウォールを介したファイアウォール経路とが設けられる。パケットフィルタ装置は、私設網から受信したデータパケットにあらかじめ定めた認証情報を付加して公衆網に送信し、ファイアウォールから受信したデータパケットを公衆網に送信する。又、パケットフィルタ装置は、公衆網から受信したデータパケットが、認証情報が付加されたデータパケットであるかないかを判断し、認証情報が付加されたデータパケットであれば、当該認証情報を取り除き、私設網へ当該データパケットを送信し、認証情報が付加されたデータパケットでなければファイアウォールへ当該データパケットを送信する。

インターネット等の公衆網に私設網を接続する際、ファイアウォール装置等のセキュリティ機器を導入して公衆網からの不正アクセスを遮断することは有効である。しかし、私設網内に設置される全てのサーバを保護する場合、ファイアウォール装置等のセキュリティ機器を数多く設置する必要がある。例えば、複数の仮想サーバに対して複数の仮想ファイアウォールを割り当てる場合、仮想ファイアウォールのリソースを確保するため、数多くのファイアウォール装置、あるいは処理量の大きなファイアウォールを用意する必要がある。

一方、オープンフローを利用したネットワークスイッチ（以下、オープンフロースイッチ（ＯＦＳ）と称す）は、プロトコル種別やポート番号等の詳細な情報をフローテーブルに保持し、フローの制御と統計情報の採取を行うことができる。ＯＦＳが保持するフローテーブルは、ＯＦＳとは分離して設けられるコントローラ（以下、オープンフローコントローラ（ＯＦＣ）と称す）によって設定される。ＯＦＣは、ノード間の通信経路の設定や、経路上におけるＯＦＳに対する転送動作（中継動作）等の設定を行う。この際、ＯＦＣは、ＯＦＳが保持するフローテーブルに、フロー（パケットデータ）を特定するルールと、当該フローに対する処理を規定するアクションとを対応付けたフローエントリを設定する。フローテーブルに設定されるエントリの内容については、例えば非特許文献１で規定されている。

通信経路上のＯＦＳは、ＯＦＣによって設定されたフローエントリに従って受信パケットデータの転送先を決定し、転送処理を行う。これにより、ネットワーク上のノードは、ＯＦＣによって設定された通信経路を利用して他のノードとの間でパケットデータの送受信が可能となる。すなわち、オープンフローを利用したコンピュータシステムでは、転送処理を行うＯＦＳと分離して設けられたＯＦＣによって、システム全体の通信を一元的に制御及び管理することが可能となる。

ＯＦＣは、ＯＦＳからの要求に応じて通信経路の算出及び通信経路上のＯＦＳにおけるフローテーブルの更新を行う。詳細には、ＯＦＳが自身のフローテーブルに規定されていないパケットデータを受信した場合、当該パケットデータをＯＦＣに通知する。ＯＦＣは、通知されたパケットデータのヘッダ情報に基づいて転送元及び転送先を特定し通信経路やＯＦＳに設定するフローエントリ（ルール＋アクション）を生成し、各ＯＦＳのフローテーブルを更新する。

ＯＦＣは、Ｌ１〜Ｌ４のヘッダ情報によって規定されるフロー単位で、クライアント端末間の転送を制御できるため、ネットワークを任意に仮想化することができる。これにより、物理構成の制約は緩和され、仮想テナント環境の構築が容易となるとともに、スケールアウトによる初期投資費用を低減することができる。

特許３８５２０１７号 特開平１１−２０５３８８

ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｖｅｒｓｉｏｎ １．３．０ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０４） Ｊｕｎｅ ２５， ２０１２

ネットワークのセキュリティを確保するために利用されるファイアウォール装置等のセキュリティ機器は高価である。このため、インターネットに接続する全てのサーバ等の個々にファイアウォール装置を設置するとシステム全体のコストが増大してしまう。

又、仮想ファイアウォールを用いて多数のユーザのネットワークのセキュリティを高めるためには、全てのユーザに対するセキュリティ対策を同時に処理可能な高価な大型ファイアウォール装置が必要となる。

以上のことから、本発明の目的は、セキュリティの高いコンピュータシステムのコストを低減することにある。

本発明の他の目的は、不正アクセスが発生したネットワークを選択的に保護可能なコントローラ、コンピュータシステム、仮想ネットワーク構成変更方法、及び仮想ネットワーク構成変更プログラムを提供することにある。

本発明によるコントローラは、セキュリティ強度が異なる複数の仮想ネットワークから、変更後の仮想ネットワークを選択する設定部と、選択された変更後の仮想ネットワークを構成するように、少なくとも１つのスイッチのフローエントリを設定する制御部を具備する。このとき、スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成する。さらに、設定部は、仮想ネットワークを経由して外部ネットワークに接続する仮想サーバのサービスを開始するための指示を受信した場合、外部ネットワークと仮想サーバとの通信を監視する検知部を通信経路に接続する仮想ネットワークを選択し、検知部からの変更対象の仮想ネットワークに対する異常検知に応じて、変更後の仮想ネットワークを、前記セキュリティ強度が異なる複数の仮想ネットワークから段階的に選択する。そして、制御部は、選択された段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定する。

本発明によるコンピュータシステムは、コントローラと、構成管理情報データベース、不正アクセス検知装置及び複数のスイッチを具備する。構成管理情報データベースには、セキュリティ強度が異なる複数の仮想ネットワークの構成情報が登録される。コントローラは、構成管理情報データベースに登録された複数の仮想ネットワークから変更後の仮想ネットワークを選択し、当該変更後の仮想ネットワークを構成するように、少なくとも１つのスイッチのフローエントリを設定する。不正アクセス検知装置は、検知部を有する不正アクセスの検知を行う。複数のスイッチは、コントローラによって設定されたフローエントリに従って、受信パケットの中継処理を行い、選択された仮想ネットワークを構成する。さらに、コントローラは、変更対象の仮想ネットワークに対する異常検知に応じて、変更後の仮想ネットワークを、前記セキュリティ強度が異なる複数の仮想ネットワークから段階的に選択する。そして、コントローラは、選択された段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定する。

本発明によるネットワーク構成変更方法は、セキュリティ強度が異なる複数の仮想ネットワークから、変更後の仮想ネットワークを選択するステップと、選択された変更後の仮想ネットワークを構成するように、少なくとも１つのスイッチのフローエントリを設定するステップとを具備する。このとき、スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、選択された仮想ネットワークを構成し、仮想ネットワークを選択するステップは、仮想ネットワークを経由して外部ネットワークに接続する仮想サーバのサービスを開始するための指示を受信した場合、外部ネットワークと仮想サーバとの通信を監視する検知部を通信経路に接続する仮想ネットワークを選択し、検知部からの変更対象の仮想ネットワークに対する異常検知に応じて、変更後の仮想ネットワークを、セキュリティ強度が異なる複数の仮想ネットワークから段階的に選択し、フローエントリを設定するステップは、選択された段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定する。

本発明によるネットワーク構成変更方法は、記憶装置に格納され、コンピュータによって実行されるプログラムによって実現されることが好ましい。

本発明によれば、セキュリティの高いコンピュータシステムのコストを低減することができる。

又、本発明によれば、不正アクセスが発生したネットワークを選択的に保護することができる。

図１は、本発明によるコンピュータシステムの実施の形態における構成の一例を示す図である。 図２は、本発明によるオープンフローコントローラの実施の形態における構成を示す図である。 図３は、本発明に係る構成管理情報データベースに登録される構成管理情報の構造の一例を示す図である。 図４は、第１の実施の形態におけるコンピュータシステムの論理構成の一例を示す図である。 図５は、第１の実施の形態におけるコンピュータシステムの論理構成の他の一例を示す図である。 図６は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図７は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図８は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図９は、本発明によるコンピュータシステムにおいて、ＷＥＢサーバからＷＡＦ付ＷＥＢサーバへの変換例を示す概念図である。 図１０は、本発明によるコンピュータシステムにおけるネットワーク構成変更動作の一例を示すシーケンス図である。 図１１は、本発明によるコンピュータシステムにおけるネットワーク構成変更動作の他の一例を示すシーケンス図である。 図１２は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図１３は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図１４は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図１５は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図１６は、第１の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図１７は、第２の実施の形態におけるコンピュータシステムの論理構成の一例を示す図である。 図１８は、第２の実施の形態におけるコンピュータシステムの論理構成の他の一例を示す図である。 図１９は、第２の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。 図２０は、第２の実施の形態におけるコンピュータシステムの論理構成の更に他の一例を示す図である。

（概要）
本発明によるコンピュータシステムでは、セキュリティ強度の異なる複数のネットワーク構成が用意される。本発明に係るコントローラは、スイッチのフローテーブルを変更することで、用意された複数の仮想ネットワーク構成から選択された一のネットワーク構成に、現在のネットワーク構成を変更する。本発明によれば、オープンフロー技術を利用しているため短時間でセキュリティ強度の異なるネットワーク構成に変更できる。このため、全ての仮想サーバに対して仮想ファイアウォールを割り当てることなく、所望の時期に、所望の仮想サーバに対して仮想ファイアウォールを割り当てるように、ネットワーク構成を変更することが可能となる。すなわち、本発明によれば、少ないセキュリティ資源で、不正アクセスに対して適時適切な防御を行うことが可能となる。又、セキュリティ強度向上のためのコストを削減することができる。更に、本発明によるコントローラは、不正アクセス検知装置からの侵入検知情報に応じて、ネットワーク構成を変更できる。このため、アプリケーションレベルの不正アクセスの検出に応じて、所定の仮想サーバや仮想ネットワークに対するセキュリティレベルを変更することができる。

以下、添付図面を参照しながら本発明の実施の形態を説明する。図面において同一、又は類似の参照符号は、同一、類似、又は等価な構成要素を示す。

（コンピュータシステムの構成）
本発明によるコンピュータシステム１では、オープンフロープロトコルに従って通信経路の構築及びパケットデータの転送制御が行われる。図１は、本発明によるコンピュータシステム１の実施の形態における構成の一例を示す図である。図１を参照して、本発明によるコンピュータシステム１は、オープンフローコントローラ１１（以下、ＯＦＣ１１と称す）、クラウドコントローラ１２（以下、ＣＣ１２と称す）、構成管理情報データベース１３、複数のスイッチ２−１〜２−ｎ（以下、ＯＦＳ２−１〜２−ｎと称す）、不正アクセス検知装置３、ルータ装置４、負荷分散装置５、物理サーバ６（ここでは、一例としてＷＥＢサーバ６−１、ＮＡＳ（Ｎｅｔｗｏｒｋ Ａｔｔａｃｈｅｄ Ｓｔｏｒａｇｅ）６−２）、及びファイアウォール装置７を具備する。 ただし、ｎは自然数である。

ＯＦＣ１１は、ＴＣＰポート“６６３３”に接続される専用ＶＬＡＮに例示されるセキュアな制御ネットワーク３１を介してＯＦＳ２−１〜２−ｎのそれぞれに接続される。ＯＦＣ１１は、制御ネットワーク３１を介してＯＦＳ２−１〜２−ｎのそれぞれのフローテーブルにフローエントリ（ルール＋アクション）を設定する。ＯＦＳ２−１〜２−ｎのそれぞれは、制御ネットワーク３１を介してＯＦＣ１１に対しファーストパケットを通知する。ＯＦＣ１１の動作の詳細は後述する。

ＯＦＳ２−１〜２−ｎのそれぞれは、ＶｘＬＡＮ（Ｖｉｒｔｕａｌ ｅＸｔｅｎｓｉｂｌｅ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に例示されるネットワーク２１を介して相互に接続される。又、ＯＦＳ２−１〜２−ｎのそれぞれは、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に例示されるネットワーク２２を介して不正アクセス検知装置３、ルータ装置４、負荷分散装置５、ＷＥＢサーバ６−１、Ｎａｓ６−２に接続される。ＯＦＳ２−１〜２−ｎのそれぞれは、自身が持つフローテーブルに設定されたフローエントリに従い受信パケットに対する処理（転送、破棄等）を行う。これにより、コンピュータシステム１内に、例えば図４や図１８に示す仮想ネットワークが構築される。

ＯＦＳ２は、ＯＦＣ１１によって設定（更新）されたフローテーブル（図示なし）に従って受信パケットの処理方法（アクション）を決定する。ＯＦＳ２は、ハードウェアで構成されても、ＣＰＵによって実行されるソフトウェアで実現してもどちらでも良い。

ＯＦＳ２の記憶装置（図示なし）には、ＯＦＣ１１によって設定されるフローテーブルが格納されている。ＯＦＳ２は、ＯＦＣ１１から取得したフローエントリ（ルール＋アクション情報）をフローテーブルに設定する。ＯＦＳ２は、受信パケットのヘッダ情報が、フローテーブルに記録されたルールに適合（又は一致）しない場合、当該パケットデータをファーストパケットとして判定し、ファーストパケットを受信したことをＯＦＣ１１に通知するとともにフローエントリの設定要求を発行する。

ＣＣ１２は、ＶＬＡＮに例示される制御ネットワーク２３を介して不正アクセス検知装置３、負荷分散装置５、ＷＥＢサーバ６−１、ＮＡＳ６−２、ファイアウォール装置７に接続される。ＣＣ１２は、図示しないＣＰＵ、ネットワークインタフェース（Ｉ／Ｆ）、及びメモリを備えるコンピュータ装置である。又、ＯＦＣ１１とＣＣ１２は、異なるコンピュータ装置によって実現されても、同一のコンピュータ装置によって実現されてもどちらでもよい。ＣＣ１２は、メモリ（図示なし）内のプログラムがＣＰＵにより実行されることで、コンピュータシステム１内における仮想サーバの作成や削除、ＯＳやミドルウェア、アプリケーションの自動導入などの処理を行う。例えば、ＣＣ１２は、構成管理情報データベース１３で規定された仮想サーバや仮想メモリを、制御ネットワーク２３を介してＷＥＢサーバ６−１やＮａｓ６−２に設定する。あるいは、ＣＣ１２は、構成管理情報データベース１３で指定された仮想ＷＥＢサーバにＷＡＦ（ＷＥＢ Ａｐｐｌｉｃａｔｉｏｎ Ｆｉｒｅｗａｌｌ）を導入する。ＷＡＦの導入は、例えば、ＣＣ１２による制御により、ＷＥＢサーバ６−１に対してＷＡＦをインストールする、あるいは、ＷＡＦの機能を有するハードウェアをＷＥＢサーバ６−１に接続することで実現される。又、ＣＣ１２は、メモリ（図示なし）内のプログラムを実行することで、負荷分散装置５における転送データのサーバ（仮想サーバ）への振り分け（負荷分散）を制御する。更に、ＣＣ１２は、メモリ（図示なし）内のプログラムを実行することで、不正アクセス検知装置３における不正アクセス検知対象（検知対象サーバ、検知対象ネットワーク）を決定・変更するとともに、検知に利用するシグネチャや判断基準の登録・変更を行う。更に、ＣＣ１２は、メモリ（図示なし）内のプログラムを実行することで、ファイアウォール装置７における検査対象となるパケットのフィルタリングルールを設定・変更する。

ＣＣ１２は、キーボードに例示されるユーザインタフェースを備えることが好ましい。この場合、ＣＣ１２は、ユーザインタフェースを介したユーザからの指示に基づいて、ＯＦＣ１１に対しネットワーク構成の変更を指示することが好ましい。

不正アクセス検知装置３は、侵入検知装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）や侵入防止システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）に例示され、外部ネットワーク（例えばインターネット）からの不正アクセスを検知する。不正アクセス検知装置３は、ネットワーク２２上又はＷＥＢサーバ６−１やＮａｓ６−１に対する通信を監視し、ファイアウォール装置７では防御できない不正アクセス（特にアプリケーションレベルの異常）も検知する。詳細には、不正アクセス検知装置３は、あらかじめ登録されたシグネチャと呼ばれる侵入方法を規定したパタンとマッチングさせることにより不正アクセスを検出する（シグネチャマッチング検出型）。あるいは、不正アクセス検知装置３は、ログイン時刻、使用コマンド、通信トラフィック、あるいはＣＰＵ負荷等を判断基準として通常とは異なる通信を統計的に検出する（異常通信検出型）。更には、不正アクセス検知装置３は、シグネチャマッチング検出型と異常通信検出型の両方を行ってもよい。

不正アクセス検知装置３は、図示しないＣＰＵ、ネットワークインタフェース（Ｉ／Ｆ）、及びメモリを備えるコンピュータ装置である。不正アクセス検知装置３は、メモリ（図示なし）内のプログラムがＣＰＵにより実行されることで、不正アクセスの検知を行う。例えば、不正アクセス検知装置３は、ネットワーク２２上に設けられ、ネットワーク上を流れるパケットを収集し、そのプロトコルヘッダやデータを解析することで不正アクセスを検知する（例示：ネットワーク型ＩＤＳ）。あるいは、不正アクセス検知装置３は、保護対象となるコンピュータ装置（例えば、ＷＥＢサーバ６−１）に搭載され、ＯＳの監査機能と連携して不正アクセスを検知する（例示：ホスト型ＩＤＳ）。この場合、図示しないＣＰＵや不正アクセス検知処理を行うためのプログラムが搭載される記憶装置等は、保護対象となるコンピュータ装置と共有することが好ましい。

本発明によるコンピュータシステム１には、上述した検知方法や設置場所を異にする複数の不正アクセス検知装置３が設けられてもよい。

不正アクセス検知装置３は、不正アクセスを検知すると、当該不正アクセスを特定する情報（以下、侵入検知情報と称す）をＯＦＣ１１に通知する。詳細には、不正アクセス検知装置３は、不正アクセスを検知すると、侵入検知情報を、例えばＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）による電子メールで通知する。侵入検知情報は、例えば不正アクセスの（内容）種類を特定する識別子（以下、不正内容識別子と称す）と、検知日時、検知した事象（例えば、マッチングしたシグネチャや、異常のあった統計情報、あるいは、不正アクセスされた対象を特定する情報）を含む。ここで、不正内容識別子は、電子メールのヘッダ（具体的にはヘッダのＳｕｂｊｅｃｔ）に設定され、検知日時や検知した事象は、電子メールのメッセージ本文に設定されることが好ましい。尚、侵入検知情報は、ＳＭＴＰによる電子メールの他、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）においては、ＨＴＴＰでサポートされたＰＯＳＴメソッドや、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）を用いるＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を利用してＯＦＣ１１に送信されてもよい。

不正アクセス検知装置３から送信された侵入検知情報は、ＯＦＳ２を経由してＯＦＣ１１に通知される。詳細には、不正アクセス検知装置３は、ＯＦＣ１１宛ての電子メールに侵入検知情報を含めて送信する。ＯＦＣ１１は、電子メールを解析し、ヘッダに含まれる不正内容識別子によって、不正アクセスの種類を特定する。電子メールの解析は、例えば所定のツールにより行われ、所定のフォーマットに変換されてＯＦＣ１１に出力されることが好ましい。詳細には、メールのＳｕｂｊｅｃｔに含まれる不正内容識別子に応じたネットワーク識別子１３１を特定し、ＯＦＣ１１に通知する。このようなツールの機能は、ＯＦＣ１１に搭載されてもよいし、ＣＣ１２、不正アクセス検知装置３、又は、外部装置としてコンピュータシステム１に設けられてもよい。不正アクセス検知装置３から送信される侵入検知情報はベンダ毎に異なる場合があるが、このような場合でも、当該ツールを利用することで、ＯＦＣ１１が利用可能なフォーマットに変更することができる。

ルータ装置４は、エッジルータに例示され、ＯＦＳ２によって構築されるネットワーク網（仮想ネットワーク網）と、外部ネットワーク（例えば、インターネット１００）との間を接続する。

負荷分散装置５は、ＷＥＢサーバ６−１やＮａｓ６−２等の物理サーバによって構築される仮想サーバに対する負荷分散を行う。又、負荷分散装置５は、ＣＣ１２からの指示に応じて、仮想サーバ（ゲストＯＳ）又は負荷分散クラスタに設定された物理サーバ（ホストＯＳ）に対する負荷分散を行う。この際、物理サーバ６に対して処理（負荷）の割り当てを行う。

ファイアウォール装置７は、予め決められたセキュリティポリシに従ってパケットのフィルタリングやサービス認証を行い、スイッチ２によって構築されるネットワーク（仮想ネットワーク）やＷＥＢサーバ６−１、Ｎａｓ６−２に対する不正アクセスを排除する。ファイアウォール装置７は、例えば、ＩＰアドレス、プロトコル種別、ポート番号、転送方向、通過の可否のいずれか、又は、それぞれの組み合わせをセキュリティポリシ（パケットの通過条件）として図示しない記憶装置に保持する。

ファイアウォール装置７は、図示しないＣＰＵ、ネットワークインタフェース（Ｉ／Ｆ）、及びメモリを備えるコンピュータ装置によって実現される。あるいは、ソフトウェアとして、保護対象となるコンピュータ装置（例えば、ＷＥＢサーバ６−１）に搭載されてもよい。この場合、図示しないＣＰＵや侵入保護のためのフィルタリング処理を行うためのプログラムが搭載される記憶装置等は、保護対象となるコンピュータ装置と共有することが好ましい。

ＷＥＢサーバ６−１は、図示しないＣＰＵ、ネットワークインタフェース（Ｉ／Ｆ）、及びメモリを備えるコンピュータ装置であり、メモリ内のプログラムを実行することで、ＷＥＢブラウザで表示可能なドキュメントを公開する。Ｎａｓ６−２は、図示しないＣＰＵ、ネットワークインタフェース（Ｉ／Ｆ）、及びメモリを備えるコンピュータ装置であり、ネットワーク２２に接続された他のコンピュータ装置に対して、共有ディスクとして使用され得る。本一例では、仮想サーバを構築でき、外部ネットワーク（インターネット１００）からアクセス可能であれば、ＷＥＢサーバやＮａｓに限らず、ファイルサーバ、メールサーバ、キャッシュサーバ等が物理サーバ６として利用できる。

図１から図３を参照して、本発明に係るＯＦＣ１１の構成の詳細を説明する。図２は、本発明によるＯＦＣ１１の実施の形態における構成を示す図である。ＯＦＣ１１は、オープンフロー技術により、システム内におけるパケット転送に係る通信経路パケット転送処理を制御するフロー制御部１１１を備える。オープンフロー技術とは、コントローラ（ここではＯＦＣ１１）が、ルーティングポリシー（フローエントリ：フロー＋アクション）に従い、マルチレイヤ及びフロー単位の経路情報をＯＦＳ２に設定し、経路制御やノード制御を行う技術を示す（詳細は、非特許文献１を参照）。これにより、経路制御機能がルータやスイッチから分離され、コントローラによる集中制御によって最適なルーティング、トラフィック管理が可能となる。オープンフロー技術が適用されるＯＦＳ２は、従来のルータやスイッチのようにパケットやフレームの単位ではなく、エンドツーエンドのフローとして通信を取り扱う。これにより、仮想ネットワークが構築することが可能となる。

ＯＦＣ１１は、図示しないＣＰＵ、ネットワークＩ／Ｆ、及びメモリを備えるコンピュータによって実現される。ＯＦＣ１１では、ＣＰＵがメモリに格納されたプログラムを実行することで、図２に示すフロー制御部１１１、ネットワーク設定部１１２の各機能を実現する。

フロー制御部１１１は、フローテーブル（図示なし）に従ってＯＦＳ２にフローエントリ（ルール＋アクション）の設定又は削除を行う。ＯＦＳ２は、設定されたフローエントリを参照し、受信パケットのヘッダ情報に応じたルールに対応するアクション（例えばパケットデータの中継や破棄）を実行する。ルール、及びアクションの詳細は後述する。

フロー制御部１１１は、ＯＦＳ２からのファーストパケットの受信、ＣＣ１２からのネットワーク構成指示、あるいは、不正アクセス検知装置３からの侵入検知情報のいずれかに応じてＯＦＳ２に対するフローエントリ（フロー＋アクション）の設定、削除又は更新を行う。ここでファーストパケットとは、ＯＦＳ２に設定されたフローエントリ（ルール）に適合しないパケットデータを示す。

ＯＦＣ１１が保持するフローテーブル（図示なし）には、フローエントリを特定するためのフロー識別子、当該フローエントリの設定対象（ＯＦＳ２）を識別する識別子、経路情報、フローエントリ（ルール、アクション情報）が対応付けられて設定される。フローテーブルには、ＯＦＣ１１の制御対象となる全てのＯＦＳ２に対して生成されたフローエントリが設定される。又、フローテーブルには、フロー毎のＱｏＳや暗号化に関する情報など、通信の扱い方が定義されても構わない。

フローエントリに設定されるルールには、例えば、ＴＣＰ／ＩＰのパケットデータにおけるヘッダ情報に含まれる、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルのレイヤ１からレイヤ４のアドレスや識別子の組み合わせが規定される。例えば、レイヤ１の物理ポート、レイヤ２のＭＡＣアドレス、ＶＬＡＮタグ（ＶＬＡＮ ＩＤ）、レイヤ３のＩＰアドレス、レイヤ４のポート番号、のそれぞれの組み合わせがルールとして設定される。尚、ＶＬＡＮタグには、優先順位（ＶＬＡＮ Ｐｒｉｏｒｉｔｙ）が付与されていても良い。

ここで、ルールに設定されるポート番号等の識別子やアドレス等は、所定の範囲で設定されても構わない。又、宛先や送信元のアドレス等を区別してルールとして設定されることが好ましい。例えば、ＭＡＣ宛先アドレスの範囲や、接続先のアプリケーションを特定する宛先ポート番号の範囲、接続元のアプリケーションを特定する送信元ポート番号の範囲がルールとして設定される。更に、データ転送プロトコルを特定する識別子をルールとして設定してもよい。

アクション情報には、例えばＴＣＰ／ＩＰのパケットデータを処理する方法が規定される。例えば、受信パケットデータを中継するか否かを示す情報や、中継する場合はその送信先が設定される。又、アクション情報には、パケットデータの複製や、破棄することを指示する情報が設定されてもよい。経路情報は、フローエントリ（ルール＋アクション情報）を適用する経路を特定する情報である。

ネットワーク設定部１１２は、構成管理情報データベース１３を参照して、構築するネットワーク構成を設定する。フロー制御部１１１は、ネットワーク設定部１１２によって設定されたネットワーク構成に従い、通信経路を算出して当該通信経路上のＯＦＳ２に対するフローエントリを設定する。

図３は、本発明に係る構成管理情報データベース１３に登録される構成管理情報の構造の一例を示す図である。図３を参照して、構成管理情報データベース１３には、構成管理情報として、ネットワーク識別子１３１、ネットワーク構成情報１３２、使用ネットワーク情報１３３が対応づけられて記録される。ネットワーク識別子１３１は、ネットワーク構成情報１３２を特定する情報である。ネットワーク構成情報１３２は、ＯＦＳ２のフローテーブルを設定することにより構築されるネットワーク（仮想ネットワークも含む）のトポロジ情報や、通信経路情報を含む。例えば、ネットワーク構成情報１３２は、図４から図９、あるいは図１２から図２０に示す仮想ネットワークの接続状況や通信経路を特定する情報を含む。詳細には、ネットワーク構成情報１３２として、仮想スイッチ、仮想サーバ、仮想ファイアワイヤ、仮想ルータ等のネットワークを構成する要素を特定する情報と、当該構成要素のＭＡＣアドレス、ＩＰアドレス、ポート数やポートの接続先を特定する情報が記録される。ポート接続先を示す情報は、接続相手を特定する接続種別（スイッチ／サーバ／外部ネットワーク）や接続先を特定する情報（ＯＦＳ２の場合はスイッチＩＤ、仮想サーバの場合はＭＡＣアドレス、外部ネットワーク（例示：インターネット）の場合は外部ネットワークＩＤ）が含まれる。

ここで、構成管理情報データベース１３には、セキュリティレベルの異なる複数のネットワーク構成情報１３２が登録されることが好ましい。例えば、図４に示す仮想ネットワークにおいて、ＷＥＢサーバ６０に対するセキュリティレベルや防護対象が異なる９種類の仮想ネットワーク（図５から図８、図１２から図１６参照）がネットワーク構成情報１３２として登録される。あるいは、図１７に示す仮想ネットワークにおいて、ＷＥＢサーバ２１０に対するセキュリティレベルや防護対象が異なる３種類の仮想ネットワーク（図１８から図２０参照）がネットワーク構成情報１３２として登録される。

使用ネットワーク情報１３３は、現在使用されているネットワーク構成（通信経路を含む）を特定する情報である。例えば、現在使用されているネットワークを特定するネットワーク識別子１３１が使用ネットワーク情報１３３として登録される。あるいは、ネットワーク構成情報１３２において、使用中のネットワークに設定されるフラグが、使用ネットワーク情報１３３として利用されてもよい。ＯＦＣ１１や、ＣＣ１２は、使用ネットワーク情報１３３を参照することで、現在使用中のネットワーク構成を認知することができる。

ＯＦＣ１１のネットワーク設定部１１２は、ネットワーク識別子１３１を指定することで、当該ネットワーク識別子１３１に対応するネットワーク構成情報１３２を、使用するネットワーク構成として選択することができる。例えば、ネットワーク設定部１１２は、不正アクセス検知装置３からの侵入検知情報（の不正内容識別子）に対応するネットワーク識別子１３１で特定されるネットワーク構成情報１３２を、構築するネットワーク構成として設定する。又、ネットワーク設定部１１２は、ネットワーク構成情報１３２の構成要素を変更してもよい。例えば、ネットワーク設定部１１２は、構築対象となるネットワークにおける仮想サーバをＷＡＦ付の仮想サーバに変更する。ＣＣ１２は、変更された構築対象のネットワーク構成に従い、仮想サーバをＷＡＦ付の仮想サーバに変更する。

フロー制御部１１１は、ネットワーク設定部１１２によって使用中として設定されたネットワーク構成情報１３２に基づいて通信経路を特定し、当該通信経路上のＯＦＳ２に設定するフローエントリを生成する。例えば、ファーストパケットの通知に応じてフローエントリを生成する場合、フロー制御部１１１は、ファーストパケットのヘッダ情報に基づいて転送元のクライアント端末（図示なし）を特定するとともに、使用中として設定されたネットワーク構成情報１３２を参照して当該クライアント端末のアクセス対象として設定された物理サーバ６や仮想サーバ６０を特定する。フロー制御部１１１は、特定したクライアント端末と物理サーバ６（又は仮想サーバ６０）の間の通信経路上のＯＦＳ２に設定するフローエントリを生成し、自身が保持するフローテーブル（図示なし）及び当該ＯＦＳ２のフローテーブル（図示なし）に設定する。

又、ＣＣ１２からのネットワーク構成指示に応じてフローエントリを生成する場合、フロー制御部１１１は、ネットワーク構成指示によって特定したネットワーク構成情報１３２に基づいて通信経路を算出し、当該通信経路上のＯＦＳ２に設定するフローエントリを生成し、自身が保持するフローテーブル（図示なし）及び当該ＯＦＳ２のフローテーブル（図示なし）に設定する。この際、ネットワーク設定部１１２は、ネットワーク構成指示によって特定されたネットワーク構成情報１３２を使用中ネットワークに設定する。更に、不正アクセス検知装置３からの侵入検知情報に応じてフローエントリを生成する場合、フロー制御部１１１は、侵入検知情報によって特定したネットワーク構成情報１３２に基づいて通信経路を算出し、当該通信経路上のＯＦＳ２に設定するフローエントリを生成し、自身が保持するフローテーブル（図示なし）及び当該ＯＦＳ２のフローテーブル（図示なし）に設定する。この際、ネットワーク設定部１１２は、侵入検知情報によって特定されたネットワーク構成情報１３２を使用中ネットワークに設定する。

以上のような構成により、本発明によるＯＦＣ１１は、ＯＦＳ２からのファーストパケットの受信やＣＣ１２からの構成指示のみならず、不正アクセス検知装置３からの侵入検知情報をトリガとして、ネットワーク構成を変更することができる。これにより、アプリケーションレベルの不正アクセスの検出に応じて、セキュリティレベルの異なる（例えば、セキュリティレベルの高い）ネットワーク構成に短時間に変更することが可能となる。又、本発明によるＯＦＣ１１は、侵入検知情報によって特定される不正アクセス種別に応じて動的にネットワーク構成を変更することが可能となる。

（動作）
第１の実施の形態
図４から図１７を参照して、第１の実施の形態におけるネットワーク構成変更動作の一例を説明する。第１の実施の形態では、図４に示す仮想ネットワーク構成を基準構成とし、ネットワーク構成を変更することでＷＥＢサーバ６０に対するセキュリティレベルを変更する動作を説明する。

本発明によるコンピュータシステム１では、ＯＦＣ１１によりＯＦＳ２による転送先を設定することで、例えば、図４に示すネットワークが構成される。図４は、ＷＥＢサーバ６０がルータ４０を経由してインターネット１００へ接続する構成例を示す論理構成図である。図４を参照して、コンピュータシステム１は、ルータ４０を介してインターネット１００に接続されるオープンフロースイッチ群２０（以下、ＯＦＳ群２０と称す）と、ＯＦＳ群２０に接続されるコントローラ１０、侵入検知部３０、負荷分散装置５０、ＷＥＢサーバ６０、ファイアウォール７０を具備する。ここで、ＯＦＳ群２０は、少なくとも１つのＯＦＳ２を備える。又、ルータ４０、負荷分散装置５０、ＷＥＢサーバ６０のそれぞれは、ＯＦＳ２の転送先によってルータ装置４、負荷分散装置５、ＷＥＢサーバ６−１が仮想化されることで構成される仮想サーバである。又、コントローラ１０は、ＯＦＣ１１、ＣＣ１２、及び構成管理情報データベース１３によって実現されるものとする。更に、侵入検知部３０は、不正アクセス検知装置３の不正アクセス検知機能によって実現される。

先ず、コントローラ１０は、ＯＦＳ群２０のうち、いずれかのＯＦＳ２のフローテーブルを変更することで侵入検知部３０をＯＦＳ群２０に接続するように通信経路の構成を変更する。ＷＥＢサーバ６０の利用開始前、図５に示すように、ＷＥＢサーバ６０はＯＦＳ群２０を介してルータ４０に接続されている。ＷＥＢサーバ６０がサービスを提供していない間、ＷＥＢサーバ６０に対する不正アクセスを検出する必要がない。このため、サービス利用開始前においては、コントローラ１０の制御により、ＯＦＳ群２０に侵入検知部３０が接続されないことが好ましい。この場合、図示しない他の仮想サーバに対して侵入検知部３０を割り当てることが可能となり、セキュリティ資源を有効活用することができる。

ここで、ＷＥＢサーバ６０によるサービスを利用開始するための指示が、管理者端末（例えばＣＣ１１）からＯＦＣ１１に送信される。これに応じてＯＦＣ１１はＯＦＳ２のフローテーブルを変更してＷＥＢサーバ６０に対する通信経路に侵入検知部３０を接続するよう制御する。これにより、侵入検知部３０は、図６に示すように、ルータ４０とＷＥＢサーバ６０との間の通信経路（ＯＦＳ群２０−１）に接続される。侵入検知部３０は、インターネット１００からＷＥＢサーバ６０へのパケット通信の監視（ＷＥＢサーバ６０への攻撃などの異常の監視）を開始する。例えば、侵入検知部３０は、ある程度のパケット通信を図示しない記憶装置に一時記憶し、記憶した複数のパケット通信を用いて、予め登録されている異常パタンに該当するか解析する。

図１０は、本発明によるコンピュータシステム１におけるネットワーク構成変更動作の一例を示すシーケンス図である。図６、図７及び図１０を参照して、コンピュータシステム１において、不正アクセスの検出をトリガとして、セキュリティの高いネットワークに変更する動作の詳細を説明する。

図６に示すネットワークにおいて侵入検知部３０は、インターネット１００からＷＥＢサーバ６０へのパケット通信を、記憶部（図示なし）に記憶されている既定の異常パタンと比較し、異常（インシデント）なパケット通信を検出すると、侵入検知情報をコントローラ１０へ通知する（ステップＳ１、Ｓ２：第１の異常通知）。ここで、侵入検知情報は、不正アクセス検知装置３から電子メールとしてＯＦＳ２を介してＯＦＣ１１に送信される（ステップＳ２）。

コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更する（ステップＳ５、Ｓ６）。例えば、コントローラ１０は、侵入検知情報（ここでは第１の異常通知）に応じて図７に示すネットワークに変更する。詳細には、コントローラ１０は、ＯＦＳ群２０を制御してルータ４０とＷＥＢサーバ６０との間にファイアウォール７０を挿入するようネットワーク構成を変更する。これにより、インターネット１００からのパケットが、ファイアウォール７０を経由して、ＷＥＢサーバ６０へ送信されることとなり、異常なパケットをファイアウォール７０でブロックすることが可能となる。又、コントローラ１０は、ＯＦＳ群２０を制御してファイアウォール７０とＷＥＢサーバ６０の間の通信経路（ＯＦＳ群２０−２）に侵入検知部３０を接続するようにネットワーク構成を変更する。これにより、ファイアウォール７０からＷＥＢサーバ６０へのパケット通信が、侵入検知部３０にて解析・監視されることとなる。更に、コントローラ１０は、ＯＦＳ群２０を制御してルータ４０とファイアウォール７０との間の通信経路（ＯＦＳ群２０−１）に侵入検知部３０を接続するようにネットワーク構成を変更してもよい。この場合、ファイアウォール７０を経由する前のインターネット１００からのパケット通信を、侵入検知部３０にて解析・監視することが可能となる。尚、侵入検知部３０は、少なくともファイアウォール７０からＷＥＢサーバ６０へのパケット通信の監視を行えればよく、ルータ４０からファイアウォール７０への間の監視は、してもしなくてもよい。

図１１は、本発明によるコンピュータシステム１におけるネットワーク構成変更動作の一例を示すシーケンス図である。図７、図８、図９及び図１１を参照して、コンピュータシステム１において、ファイアウォール７０を通過した不正アクセスの検出をトリガとして、セキュリティの更に高いネットワークに変更する他の動作の詳細を説明する。

図７に示すネットワークにおいて侵入検知部３０は、ファイアウォール７０からＷＥＢサーバ６０へのパケット通信を、記憶部（図示なし）に記憶されている既定の異常パタンと比較する。侵入検知部３０は、ファイアウォール７０でブロックされない、ＳＱＬインジェクションやクロスサイトスクリプティング等に例示されるＷＥＢアプリケーションの脆弱性を利用した攻撃を検出すると、コントローラ１０へ侵入検知情報を通知する（ステップＳ１、Ｓ２、Ｓ３：第２の異常を通知）。ここで、侵入検知情報は、不正アクセス検知装置３から電子メールとしてＯＦＳ２に送信される（ステップＳ２）。又、侵入検知情報を受信したＯＦＳ２は、当該情報をファーストパケットとしてＯＦＣ１１にパケットインする（ステップＳ３）。

コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更するとともに、ＷＥＢサーバ６０にＷＡＦを展開する（ステップＳ５、Ｓ６、Ｓ７、Ｓ８、Ｓ９）。例えば、コントローラ１０は、侵入検知情報（ここでは第２の異常通知）に応じて図８に示すネットワークに変更する。詳細には、コントローラ１０は、侵入検知情報（第２の異常通知）に基づいて特定したネットワークに変更するように、ＯＦＳ群２０−２のフローテーブルを変更する（ステップＳ５、Ｓ６）。又、コントローラ１０は、侵入検知情報（第２の異常通知）に基づいて、ファイアウォール７０をすり抜けた異常通信を検出したと判断し、ＷＥＢサーバ６０を制御して、ＷＥＢサーバ６０にＷＥＢアプリケーションファイアウォール（以下、ＷＡＦ６０２と称す）を導入するようにネットワーク構成を変更する（ステップＳ７、Ｓ８、Ｓ９）。ここで、ＯＦＣ１は、ＷＡＦ６０２の導入をＣＣ１２に指示するとともに、構成管理情報データベース１３に登録されたネットワーク構成情報１３２におけるＷＥＢサーバ６０をＷＡＦ付ＷＥＢサーバ６１に変更する（ステップＳ７）。ＣＣ１は、ＷＡＦ６０２の導入指示と変更されたネットワーク構成情報１３２に基づいて、変更対象のＷＥＢサーバ６０にＷＡＦ６０２を展開する（ステップＳ８、Ｓ９）。

図９は、本発明によるコンピュータシステムにおいて、ＷＥＢサーバ６０からＷＡＦ付ＷＥＢサーバ６１への変換例を示す概念図である。図９を参照して、ＷＥＢサーバ６０は、図示しない記憶装置に記録されたプログラムをＣＰＵにおいて実行することで、ＷＥＢサーバとしてのサービスを提供する。例えば、図示しないＣＰＵによりｈｔｔｐｄ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｄａｅｍｏｎ）を実行することで、サービス提供部６０１が実現される。サービス提供部６０１はＴＣＰ／８０ポートを介してインターネット１００に接続され、インターネット１００上のクライアント端末（図示なし）に対して、アプリケーションサービス（例えばクライアントソフトウェアのウェブブラウザに対する、ＨＴＭＬやオブジェクトの表示）を提供する。

図９を参照して、第２の異常通知を受け付けたコントローラ１０からの構成変更指示により、ＷＥＢサーバ６０にＷＡＦプログラムがインストールされる。図示しないＣＰＵによってＷＡＦプログラムが実行されることで、ＴＣＰ／８０ポートとサービス提供部６０１との間に常駐化されるＷＡＦ６０２が実現される。あるいは、コントローラ１０によってＯＦＳ群２０−２のフローテーブルが変更されることにより、ＴＣＰ／８０ポートとサービス提供部６０１の間にＷＡＦ６０２が挿入される。

以上のように、侵入検知部３０からの第２の異常通知に応じて、ファイアウォール７０とＷＥＢサーバ６０におけるサービス提供部６０１との間の通信経路（ＯＦＳ群２０−３）にＷＡＦ６０２が挿入される。これにより、ファイアウォール７０を経由したインターネット１００からのパケット通信が、ＷＡＦ６０２を経由してサービス提供部６０１へ送信され、異常なパケットをＷＡＦ６０２によりブロック可能となる。すなわち、本発明では、ファイアウォール７０をすり抜けるような不正アクセスの検知をトリガとして、ＷＥＢアプリケーション上の脆弱性を防御するＷＡＦ６０２をネットワークに導入することができる。

次に、図１２から図１６を参照して、負荷分散装置５０を利用したネットワークの構成変更例を説明する。ＷＥＢサーバ６０の利用開始前、図１２に示すように、複数のＷＥＢサーバ６０−１、６０−２が、ＯＦＳ群２０−２を介して負荷分散装置５０に接続され、負荷分散装置５０はＯＦＳ群２０を介してルータ４０に接続される。すなわち、図１２は、負荷分散装置５０を用いて複数のＷＥＢサーバ６０−１、６０−２へパケットを振り分ける高可用性の構成例である。ＷＥＢサーバ６０−１、６０−２がサービスを提供していない間、ＷＥＢサーバ６０−１、６０−２に対する不正アクセスを検出する必要がない。このため、サービス利用開始前においては、コントローラ１０の制御により、ＯＦＳ群２０、２０−２に侵入検知部３０が接続されないことが好ましい。この場合、図示しない他の仮想サーバに対して侵入検知部３０を割り当てることが可能となり、セキュリティ資源を有効活用することができる。

ここで、ＷＥＢサーバによるサービスを利用開始するための指示が、管理者端末（例えばＣＣ１１）からＯＦＣ１１に送信される。これに応じてＯＦＣ１１はＯＦＳ２のフローテーブルを変更してルータ４０と負荷分散装置５０との間の通信経路に侵入検知部３０を接続するよう制御する。これにより、侵入検知部３０は、図１３に示すように、ルータ４０と負荷分散装置５０との間の通信経路（ＯＦＳ群２０−１）に接続される。侵入検知部３０は、インターネット１００から負荷分散装置５０へのパケット通信の監視（ＷＥＢサーバ６０−１、６０−２への攻撃などの異常の監視）を開始する。例えば、侵入検知部３０は、ある程度のパケット通信を図示しない記憶装置に一時記憶し、記憶した複数のパケット通信を用いて、予め登録されている異常パタンに該当するか解析する。

図１０、図１３及び図１４を参照して、コンピュータシステム１において、不正アクセスの検出をトリガとして、セキュリティの高いネットワークに変更する動作の詳細を説明する。

図１３に示すネットワークにおいて侵入検知部３０は、インターネット１００からＷＥＢサーバ６０へのパケット通信を、記憶部（図示なし）に記憶されている既定の異常パタンと比較し、異常（インシデント）なパケット通信を検出すると、侵入検知情報をコントローラ１０へ通知する（ステップＳ１、Ｓ２、Ｓ３：第１の異常通知）。ここで、侵入検知情報は、不正アクセス検知装置３から電子メールとしてＯＦＳ２に送信される（ステップＳ２）。又、侵入検知情報を受信したＯＦＳ２は、当該情報をファーストパケットとしてＯＦＣ１１にパケットインする（ステップＳ３）。

コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更する（ステップＳ５、Ｓ６）。例えば、コントローラ１０は、侵入検知情報（ここでは第１の異常通知）に応じて図１４に示すネットワークに変更する。詳細には、コントローラ１０は、ＯＦＳ群２０−２を制御して負荷分散装置５０とＷＥＢサーバ６０−１、６０−２との間に複数のファイアウォール７０−１、７０−２を挿入するようネットワーク構成を変更する。これにより、インターネット１００からのパケットが、ファイアウォール７０−１、７０−２のいずれかを経由して、ＷＥＢサーバ６０−１、６０−２へ送信されることとなり、異常なパケットをファイアウォール７０−１、７０−２でブロックすることが可能となる。又、コントローラ１０は、ＯＦＳ群２０−２を制御してファイアウォール７０−１、７０−２とＷＥＢサーバ６０−１、６０−２の間の通信経路（ＯＦＳ群２０−４）に侵入検知部３０を接続するようにネットワーク構成を変更する。これにより、ファイアウォール７０−１、７０−２のそれぞれからＷＥＢサーバ６０−１、６０−２のそれぞれへのパケット通信が、侵入検知部３０にて解析・監視されることとなる。更に、コントローラ１０は、ＯＦＳ群２０−１を制御してルータ４０と負荷分散装置５０との間の通信経路（ＯＦＳ群２０−１）に侵入検知部３０を接続するようにネットワーク構成を変更してもよい。この場合、負荷分散装置５０を経由する前のインターネット１００からのパケット通信を、侵入検知部３０にて解析・監視することが可能となる。更に、コントローラ１０は、ＯＦＳ群２０−１を制御してルータ４０とファイアウォール７０−１、７０−２との間の通信経路（ＯＦＳ群２０−３）に侵入検知部３０を接続するようにネットワーク構成を変更してもよい（図示なし）。この場合、ファイアウォール７０−１、７０−２を経由する前のインターネット１００からのパケット通信を、侵入検知部３０にて解析・監視することが可能となる。尚、侵入検知部３０は、少なくともファイアウォール７０−１、７０−２からＷＥＢサーバ６０−１、６０−２へのパケット通信の監視を行えればよく、ルータ４０からファイアウォール７０−１、７０−２への間の監視は、してもしなくてもよい。

本一例では、高可用性を維持するため、複数のファイアウォール７０−１、７０−２が用いられているが、その数は１つ又は３つ以上でもよく、任意に設定できる。又、ＷＥＢサーバ６０−１、６０−２に対する負荷が所定の値以上に高まると予想される不正アクセス（例示：ＤＯＳ攻撃、ＤＤＯＳ攻撃）の場合、コントローラ１０の制御により、予備のＷＥＢサーバ６０−３、６０−４を追加してもよい（図１５参照）。詳細には、図１４に示すネットワークにおいて、ＤＯＳ攻撃等の不正アクセスが検知されると、コントローラ１０は、ＤＯＳ攻撃等を示す侵入検知情報に基づいて、ＯＦＳ群２０−４及びＷＥＢサーバを制御することにより、ＷＥＢサーバ６０−１、６０−２に対する通信負荷を、ＷＥＢサーバ６０−１〜６０−４に分散させる。これにより、ファイアウォール７０−１、７０−２のいずれかを介したパケットは、ＯＦＳ群２０−５を介してＷＥＢサーバ６０−１〜６０−４のいずれかに転送されることとなる。尚、ＷＥＢサーバ６０−１、６０−２における仮想マシンやデータの少なくとも一部は、ＯＦＳ群２０−５を介して、ＷＥＢサーバ６０−３、６０−４のいずれかにマイグレーションされる。

図１１、図１４及び図１６を参照して、コンピュータシステム１において、ファイアウォール７０−１、７０−２を通過した不正アクセスの検出をトリガとして、セキュリティの更に高いネットワークに変更する他の動作の詳細を説明する。

図１４に示すネットワークにおいて侵入検知部３０は、ファイアウォール７０−１、７０−２からＷＥＢサーバ６０−１、６０−２へのパケット通信を、記憶部（図示なし）に記憶されている既定の異常パタンと比較する。侵入検知部３０は、ファイアウォール７０−１、７０−２でブロックされない、ＳＱＬインジェクションやクロスサイトスクリプティング等に例示されるＷＥＢアプリケーションの脆弱性を利用した攻撃を検出すると、コントローラ１０へ侵入検知情報を通知する（ステップＳ１、Ｓ２：第２の異常を通知）。ここで、侵入検知情報は、不正アクセス検知装置３から電子メールとしてＯＦＳ２を介してＯＦＣ１１に送信される（ステップＳ２）。

コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更するとともに、ＷＥＢサーバ６０−１、６０−２にＷＡＦを展開する（ステップＳ５、Ｓ６、Ｓ７、Ｓ８、Ｓ９）。例えば、コントローラ１０は、侵入検知情報（ここでは第２の異常通知）に応じて図１６に示すネットワークに変更する。詳細には、コントローラ１０は、侵入検知情報（第２の異常通知）に基づいて特定したネットワークに変更するように、ＯＦＳ群２０−４のフローテーブルを変更する（ステップＳ５、Ｓ６）。又、コントローラ１０は、侵入検知情報（第２の異常通知）に基づいて、ファイアウォール７０−１、７０−２をすり抜けた異常通信を検出したと判断し、ＷＥＢサーバ６０−１、６０−２を制御して、ＷＥＢサーバ６０−１、６０−２にＷＥＢアプリケーションファイアウォール（以下、ＷＡＦ６０２と称す）を導入するようにネットワーク構成を変更する（ステップＳ７、Ｓ８、Ｓ９）。ここで、ＯＦＣ１は、ＷＡＦ６０２の導入をＣＣ１２に指示するとともに、構成管理情報データベース１３に登録されたネットワーク構成情報１３２におけるＷＥＢサーバ６０−１、６０−２をＷＡＦ付ＷＥＢサーバ６１−１、６１−２に変更する（ステップＳ７）。ＣＣ１は、ＷＡＦ６０２の導入指示と変更されたネットワーク構成情報１３２に基づいて、変更対象のＷＥＢサーバ６０−１、６０−２にＷＡＦ６０２を展開する（ステップＳ８、Ｓ９）。

図９は、本発明によるコンピュータシステムにおいて、ＷＥＢサーバ６０からＷＡＦ付ＷＥＢサーバ６１への変換例を示す概念図である。図９を参照して、ＷＥＢサーバ６０は、図示しない記憶装置に記録されたプログラムをＣＰＵにおいて実行することで、ＷＥＢサーバとしてのサービスを提供する。例えば、図示しないＣＰＵによりｈｔｔｐｄ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｄａｅｍｏｎ）を実行することで、サービス提供部６０１が実現される。サービス提供部６０１はＴＣＰ／８０ポートを介してインターネット１００に接続され、インターネット１００上のクライアント端末（図示なし）に対して、アプリケーションサービス（例えばクライアントソフトウェアのウェブブラウザに対する、ＨＴＭＬやオブジェクトの表示）を提供する。ＷＡＦ６０２の導入方法の詳細は上述と同様である。

以上のように、侵入検知部３０からの第２の異常通知に応じて、ファイアウォール７０−１、７０−２と、ＷＥＢサーバ６０−１、６０−２におけるサービス提供部６０１との間の通信経路（ＯＦＳ群２０−３）にＷＡＦ６０２が挿入される。これにより、ファイアウォール７０−１、７０−２を経由したインターネット１００からのパケット通信が、ＷＡＦ６０２を経由してサービス提供部６０１へ送信され、異常なパケットをＷＡＦ６０２によりブロック可能となる。すなわち、本発明では、ファイアウォール７０−１、７０−２をすり抜けるような不正アクセスの検知をトリガとして、ＷＥＢアプリケーション上の脆弱性を防御するＷＡＦ６０２をネットワークに導入することができる。

又、図１５に示す負荷分散処理と図１６に示すＷＡＦ導入処理を、技術的に矛盾のない範囲内で組み合わせても構わない。例えば、第１の異常通信や第２の異常通信の少なくとも一方を検知することで、ＷＥＢサーバの負荷分散及びＷＡＦの導入をコントローラ１０により制御してもよい。

第２の実施の形態
図１７から図２０を参照して、第２の実施の形態におけるネットワーク構成変更動作の一例を説明する。第２の実施の形態では、図１７に示す仮想ネットワーク構成を基準構成とし、ネットワーク構成を変更することで企業サイト２００内のＷＥＢサーバ２１０に対するセキュリティレベルを変更する動作を説明する。図１７に示すネットワークは、図４に示すＷＥＢサーバ６０に替えて、専用線３００等を介してＯＦＳ群２０に接続された企業サイト２００を備える。ここで、企業サイト２００は、ＷＥＢサーバ２１０、オープンフロースイッチ群２２０（以下、ＯＦＳ群２２０と称す）、ファイアウォール２３０、イントラネット２４０を備える。例えば、企業サイト２００を利用する企業は、コンピュータシステム１を運営する会社にセキュリティの代行を委託する。

本発明によるコンピュータシステム１では、ＯＦＣ１１によりＯＦＳ２による転送先を設定することで、例えば、図１７に示すネットワークが構成される。図１７は、専用線３００を介してＯＦＳ群２０に接続された企業サイト２００内のＷＥＢサーバ２１０がルータ４０を経由してインターネット１００へ接続する構成例を示す論理構成図である。図１７を参照して、コンピュータシステム１は、ルータ４０を介してインターネット１００に接続されるＯＦＳ群２０と、ＯＦＳ群２０に接続されるコントローラ１０、侵入検知部３０、負荷分散装置５０、ファイアウォール７０、及びＯＦＳ群２０に専用線３００を介して接続される企業サイト２００を具備する。例えば、ＯＦＳ群２０に対して企業サイト２００が遠隔地にある場合、ＯＦＳ群２０と企業サイト２００との間は専用線３００や広域インサーネット回線（図示なし）で接続される。企業サイト２００内のＯＦＳ群２２０はＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）として機能し、企業サイト２００内のＷＥＢサーバ２１０やＡＰサーバ（図示なし）と接続され、ファイアウォール２３０を経由して社内のイントラネット２４０と接続される。尚、ＯＦＳ群２２０は、コントローラ１０によって制御されるＯＦＳ２を少なくとも１つ備える。ここで、ルータ４０、負荷分散装置５０、ＷＥＢサーバ２１０のそれぞれは、ＯＦＳ２の転送先によってルータ装置４、負荷分散装置５、ＷＥＢサーバ６−１が仮想化されることで構成される仮想サーバである。又、コントローラ１０は、ＯＦＣ１１、ＣＣ１２、及び構成管理情報データベース１３によって実現されるものとする。更に、侵入検知部３０は、不正アクセス検知装置３の不正アクセス検知機能によって実現される。

企業サイト２００（ＷＥＢサーバ２１０）がサービスを提供していない間、ＷＥＢサーバ２１０に対する不正アクセスを検出する必要がない。このため、サービス利用開始前においては、コントローラ１０の制御により、ＯＦＳ群２０、２２０に侵入検知部３０が接続されないことが好ましい（図示なし）。この場合、図示しない他の仮想サーバに対して侵入検知部３０を割り当てることが可能となり、セキュリティ資源を有効活用することができる。

ここで、企業サイト２００（ＷＥＢサーバ２１０）によるサービスを利用開始するための指示が、管理者端末（例えばＣＣ１１）からＯＦＣ１１に送信される。これに応じてＯＦＣ１１はＯＦＳ２のフローテーブルを変更して企業サイト２００に対する通信経路に侵入検知部３０を接続するよう制御する。これにより、侵入検知部３０は、図１８に示すように、ルータ４０と専用線３００との間の通信経路（ＯＦＳ群２０）に接続される。侵入検知部３０は、インターネット１００から専用線３００（企業サイト２００への入口）へのパケット通信の監視（企業サイト２００への攻撃などの異常の監視）を開始する。例えば、侵入検知部３０は、ある程度のパケット通信を図示しない記憶装置に一時記憶し、記憶した複数のパケット通信を用いて、予め登録されている異常パタンに該当するか解析する。

図１０、図１８及び図１９を参照して、コンピュータシステム１において、不正アクセスの検出をトリガとして、セキュリティの高いネットワークに変更する動作の詳細を説明する。

図１８に示すネットワークにおいて侵入検知部３０は、インターネット１００から企業サイト２００へのパケット通信を、記憶部（図示なし）に記憶されている既定の異常パタンと比較し、異常（インシデント）なパケット通信を検出すると、侵入検知情報をコントローラ１０へ通知する（ステップＳ１、Ｓ２、Ｓ３：第１の異常通知）。ここで、侵入検知情報は、不正アクセス検知装置３から電子メールとしてＯＦＳ２に送信される（ステップＳ２）。又、侵入検知情報を受信したＯＦＳ２は、当該情報をファーストパケットとしてＯＦＣ１１にパケットインする（ステップＳ３）。

コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更する（ステップＳ５、Ｓ６）。例えば、コントローラ１０は、侵入検知情報（ここでは第１の異常通知）に応じて図１９に示すネットワークに変更する。詳細には、コントローラ１０は、ＯＦＳ群２０を制御して、ルータ４０と専用線３００との間に負荷分散装置５０及び複数のファイアウォール７０−１、７０−２を挿入するようネットワーク構成を変更する。これにより、インターネット１００からのパケットが、負荷分散装置５０及びファイアウォール７０−１、７０−２を経由して、企業サイト２００へ送信されることとなり、負荷分散しながら異常なパケットを複数のファイアウォール７０−１、７０−２でブロックすることが可能となる。又、コントローラ１０は、ＯＦＳ群２０を制御してファイアウォール７０−１、７０−２のそれぞれと専用線３００の間の通信経路（ＯＦＳ群２０−３）に侵入検知部３０を接続するようにネットワーク構成を変更する。これにより、ファイアウォール７０−１、７０−２から専用線３００を介した企業サイト２００に対するパケット通信が、侵入検知部３０にて解析・監視されることとなる。更に、コントローラ１０は、ＯＦＳ群２０を制御してルータ４０と負荷分散装置５０の間の通信経路（ＯＦＳ群２０−１）に侵入検知部３０を接続するようにネットワーク構成を変更する。これにより、ルータ４０から負荷分散装置５０に対するパケット通信が、侵入検知部３０にて解析・監視されることとなる。尚、侵入検知部３０は、少なくともファイアウォール７０−１、７０−２から企業サイト２００へのパケット通信の監視を行えればよく、ルータ４０から負荷分散装置５０への間の監視は、してもしなくてもよい。

図１１、図１９及び図２０を参照して、コンピュータシステム１において、ファイアウォール７０−１、７０−２を通過した不正アクセスの検出をトリガとして、セキュリティの更に高いネットワークに変更する他の動作の詳細を説明する。

図１９に示すネットワークにおいて侵入検知部３０は、ファイアウォール７０−１、７０−２から専用線３００（企業サイト２００）に対するパケット通信を、記憶部（図示なし）に記憶されている既定の異常パタンと比較する。侵入検知部３０は、ファイアウォール７０−１、７０−２でブロックされない、ＳＱＬインジェクションやクロスサイトスクリプティング等に例示されるＷＥＢアプリケーションの脆弱性を利用した攻撃を検出すると、コントローラ１０へ侵入検知情報を通知する（ステップＳ１、Ｓ２、Ｓ３：第２の異常を通知）。ここで、侵入検知情報は、不正アクセス検知装置３から電子メールとしてＯＦＳ２に送信される（ステップＳ２）。又、侵入検知情報を受信したＯＦＳ２は、当該情報をファーストパケットとしてＯＦＣ１１にパケットインする（ステップＳ３）。

コントローラ１０は、受信した侵入検知情報に基づいて侵入内容を解析し、変更対象のネットワークや変更後のネットワーク構成を特定する（ステップＳ４）。又、コントローラ１０は、特定したネットワーク構成となるように、ＯＦＳ２のフローテーブルを変更するとともに、ＷＥＢサーバ２１０にＷＡＦを展開する（ステップＳ５、Ｓ６、Ｓ７、Ｓ８、Ｓ９）。例えば、コントローラ１０は、侵入検知情報（ここでは第２の異常通知）に応じて図２０に示すネットワークに変更する。詳細には、コントローラ１０は、侵入検知情報（第２の異常通知）に基づいて特定したネットワークに変更するように、ＯＦＳ群２２０のフローテーブルを変更する（ステップＳ５、Ｓ６）。又、コントローラ１０は、侵入検知情報（第２の異常通知）に基づいて、ファイアウォール７０−１、７０−２をすり抜けた異常通信を検出したと判断し、ＷＥＢサーバ２１０を制御して、ＷＥＢサーバ２１０にＷＥＢアプリケーションファイアウォール（以下、ＷＡＦ６０２と称す）を導入するようにネットワーク構成を変更する（ステップＳ７、Ｓ８、Ｓ９）。ここで、ＯＦＣ１は、ＷＡＦ６０２の導入をＣＣ１２に指示するとともに、構成管理情報データベース１３に登録されたネットワーク構成情報１３２におけるＷＥＢサーバ２１０をＷＡＦ付ＷＥＢサーバ２１１に変更する（ステップＳ７）。ＣＣ１は、ＷＡＦ６０２の導入指示と変更されたネットワーク構成情報１３２に基づいて、変更対象のＷＥＢサーバ２１０にＷＡＦ６０２を展開する（ステップＳ８、Ｓ９）。

本発明によるコンピュータシステムにおいて、ＷＥＢサーバ２１０に対するＷＡＦ６０２の導入方法の詳細は上述と同様である。

以上のように、侵入検知部３０からの第２の異常通知に応じて、ファイアウォール７０−１、７０−２と、ＷＥＢサーバ２１０におけるサービス提供部６０１との間の通信経路（ＯＦＳ群２２０−１）にＷＡＦ６０２が挿入される。これにより、ファイアウォール７０−１、７０−２及び専用線３００を経由したインターネット１００からのパケット通信が、ＷＡＦ６０２を経由してサービス提供部６０１へ送信され、異常なパケットをＷＡＦ６０２によりブロック可能となる。すなわち、本発明では、ファイアウォール７０−１、７０−２をすり抜けるような不正アクセスの検知をトリガとして、ＷＥＢアプリケーション上の脆弱性を防御するＷＡＦ６０２を企業サイト２００に導入することができる。

本発明によるコンピュータシステム１では、コントローラ１０による制御によってセキュリティ強度の異なるネットワークに動的に変更することができるため、セキュリティ資源を抑制しながら、所望な時期及び場所のセキュリティ強度を高めることができる。又、本発明によれば、検知される不正アクセスの種類や場所に応じて、適切なネットワーク構成を選択できる。このため、不正アクセスの内容に応じた適切なセキュリティ対策を必要な場所に施すことが可能となる。更に、本発明では、オープンフローを利用してネットワーク構成を変更しているため、変更時間が短縮される。このため、不正アクセスの検出をトリガとしてセキュリティ強度の異なるネットワークに動的に変更することが可能となる。この結果、安全な場所のセキュリティ強度を下げることが可能となるため、セキュリティ資源を有効活用でき、運用コストを抑えることが可能となる。例えば、ファイアウォール等の高価な装置を全ての仮想サーバに対して用意する必要がないため、システム全体のコストを低減することが可能となる。従って、本発明によるコンピュータシステム１又はコントローラ１０を利用することで、ネットワーク関連サービスを提供する企業やホスティングユーザに安価にセキュリティ機能を提供することが可能となる。

以上、本発明の実施の形態を詳述してきたが、具体的な構成は上記実施の形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。上述の構成例ではＩＤＳ等に例示される侵入検知部３０を利用しているが、これに限らず、ウィルスやワームを検知する装置などを侵入検知部３０として利用してもよい。又、上述の例では、侵入検知をトリガとしてセキュリティ強度を段階的に上昇させているが、これに限らず、検知された不正アクセスの内容によっては、セキュリティ強度を下げても構わない。又、不正アクセスの検知されない時間が所定時間を経過した場合等、不正アクセスがなくなったと判断され得る場合、セキュリティ強度を下げる、あるいはファイアウォール等の排除されたネットワークに変更しても構わない。例えば、図示しない監視装置やソフトウェアにより仮想サーバの負荷量を監視し、負荷量に応じて不正アクセスの終了を判断してもよい。

１ ：コンピュータシステム
２ ：オープンフロースイッチ（ＯＦＳ）
３ ：不正アクセス検知装置
４ ：ルータ装置
５ ：負荷分散装置
６ ：物理サーバ
７ ：ファイアウォール装置
１０ ：コントローラ
１１ ：オープンフローコントローラ（ＯＦＣ）
１２ ：クラウドコントローラ（ＣＣ）
１３ ：構成管理情報データベース
２０、２０−１〜２０−５、２３０ ：オープンフロースイッチ群（ＯＦＳ群）
４０ ：ルータ
５０ ：負荷分散装置
６０、２１０ ：ＷＥＢサーバ
６１、２１１ ：ＷＡＦ付ＷＥＢサーバ
７０、２３０ ：ファイアウォール
１００ ：インターネット
１１１ ：フロー制御部
１１２ ：ネットワーク設定部
１３１ ：ネットワーク識別子
１３２ ：ネットワーク構成情報
１３３ ：使用ネットワーク情報
２００ ：企業サイト
２１０ ：ＷＥＢサーバ

Claims (9)

1. セキュリティ強度が異なる複数の仮想ネットワークから、変更後の仮想ネットワークを選択する設定部と、
   選択された前記変更後の仮想ネットワークを構成するように、少なくとも１つのスイッチのフローエントリを設定する制御部を具備し、
   前記スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成し、
   前記設定部は、仮想ネットワークを経由して外部ネットワークに接続する仮想サーバのサービスを開始するための指示を受信した場合、前記外部ネットワークと前記仮想サーバとの通信を監視する検知部を通信経路に接続する仮想ネットワークを選択し、前記検知部からの変更対象の仮想ネットワークに対する異常検知に応じて、前記変更後の仮想ネットワークを、前記セキュリティ強度が異なる複数の仮想ネットワークから段階的に選択し、
   前記制御部は、前記選択された段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定する
   コントローラ。
2. 請求項１に記載のコントローラにおいて、
   前記設定部は、第１段階のセキュリティ強度の仮想ネットワークに対する第１の異常検知に応じて、前記第１段階のセキュリティ強度の仮想ネットワークの変更後の仮想ネットワークとして、第２段階のセキュリティ強度の仮想ネットワークに選択し、
   前記制御部は、前記第２段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定し、
   前記設定部は、前記第２段階のセキュリティ強度の仮想ネットワークに対する第２の異常検知に応じて、前記第２段階のセキュリティ強度の仮想ネットワークの変更後の仮想ネットワークとして、第３段階のセキュリティ強度の仮想ネットワークに選択し、
   前記制御部は、前記第３段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定する
   コントローラ。
3. 請求項２に記載のコントローラにおいて、
   前記設定部は、第２段階のセキュリティ強度の仮想ネットワークとして、前記第１段階のセキュリティ強度の仮想ネットワークにおける前記仮想サーバと前記外部ネットワークとの間にファイアウォールが挿入され、少なくとも前記ファイアウォールと前記仮想サーバとの間の通信を監視するように前記検知部を接続した仮想ネットワークを選択することを特徴とする
   コントローラ。
4. 請求項２又は３に記載のコントローラにおいて、
   前記設定部は、第２段階のセキュリティ強度の仮想ネットワークとして、前記第１段階のセキュリティ強度の仮想ネットワークにおける仮想サーバと外部ネットワークとの間に負荷分散装置が挿入され、少なくとも前記負荷分散装置と前記仮想サーバとの間の通信を監視するように前記検知部を接続した仮想ネットワークを選択することを特徴とする
   コントローラ。
5. 請求項２から４のいずれか１項に記載のコントローラにおいて、
   前記設定部は、第３段階のセキュリティ強度の仮想ネットワークとして、前記第２段階のセキュリティ強度の仮想ネットワークにおける仮想サーバをＷＡＦ付の仮想サーバに変更した仮想ネットワークを選択することを特徴とする
   コントローラ。
6. 請求項１から５のいずれか１項に記載のコントローラにおいて、
   前記設定部は、前記変更対象の仮想ネットワークに対する異常検知が無くなったと判断した場合、前記変更後の仮想ネットワークとして、前記セキュリティ強度が異なる複数の仮想ネットワークから、前記セキュリティ強度を下げた仮想ネットワークを選択し、
   前記制御部は、前記選択されたセキュリティ強度を下げた仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定する
   コントローラ。
7. 請求項１から６のいずれか１項に記載のコントローラと、
   セキュリティ強度が異なる複数の仮想ネットワークの構成情報が登録された構成管理情報データベースと、
   前記検知部を有する不正アクセスの検知を行う不正アクセス検知装置と、
   前記コントローラによって設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成する複数のスイッチと
   を具備する
   コンピュータシステム。
8. セキュリティ強度が異なる複数の仮想ネットワークから、変更後の仮想ネットワークを選択するステップと、
   選択された前記変更後の仮想ネットワークを構成するように、少なくとも１つのスイッチのフローエントリを設定するステップと
   を具備し、
   前記スイッチは、自身に設定されたフローエントリに従って、受信パケットの中継処理を行い、前記選択された仮想ネットワークを構成し、
   前記仮想ネットワークを選択するステップは、仮想ネットワークを経由して外部ネットワークに接続する仮想サーバのサービスを開始するための指示を受信した場合、前記外部ネットワークと前記仮想サーバとの通信を監視する検知部を通信経路に接続する仮想ネットワークを選択し、前記検知部からの変更対象の仮想ネットワークに対する異常検知に応じて、前記変更後の仮想ネットワークを、前記セキュリティ強度が異なる複数の仮想ネットワークから段階的に選択し、
   前記フローエントリを設定するステップは、前記選択された段階のセキュリティ強度の仮想ネットワークに変更するように、少なくとも１つのスイッチのフローエントリを設定することを特徴とする
   ネットワーク構成変更方法。
9. 請求項８に記載のネットワーク構成変更方法をコンピュータに実行させるネットワーク構成変更プログラム。

Images