JP6083009B1 - Ｓｄｎコントローラ - Google Patents

Abstract

【課題】ＳＤＮにおいて用いられるＳＤＮコントローラを提供することを目的とする。【解決手段】ＳＤＮによって構築されたネットワークで用いるＳＤＮコントローラであって，ＳＤＮコントローラは，コンピュータを，脅威検知システムから受け取った不正攻撃サーバのグローバルアドレスに基づいて，ネットワークにおける通信のうち，受け取ったグローバルアドレスとの間の通信を特定し，その特定した通信におけるグローバルアドレスの通信の相手方のローカルアドレスを特定するアドレス情報特定処理部，特定したローカルアドレスが割り当てられたクライアント端末の端末識別情報を特定する端末識別情報特定処理部，特定した端末識別情報に基づいて，クライアント端末の通信に所定の制御処理を行う制御指示をエッジネットワークデバイスに行うセキュリティ処理部，として機能させるＳＤＮコントローラである。【選択図】 図１

Description

本発明は，ＳＤＮ（Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ）において用いられるＳＤＮコントローラに関する。とくに，インターネットなどのグローバルネットワークのコンピュータから，ＬＡＮなどのプライベートネットワーク内のコンピュータ端末（以下，「クライアント端末」という）に対する不正な攻撃などの脅威を受けた場合に，プライベートネットワーク内で被害を受けたクライアント端末を特定し，その通信を遮断や隔離等（以下，「遮断等」という）することで，セキュリティを保持する機能を備えたＳＤＮコントローラに関する。

ネットワーク上でコンピュータを特定する情報としてＩＰアドレスなどのアドレス情報がある。アドレス情報は，プライベートネットワークで用いるローカルアドレスと，グローバルネットワークで用いるグローバルアドレスとがある。プライベートネットワーク内のクライアント端末がグローバルネットワークにアクセスする場合，クライアント端末のローカルアドレスをＮＡＴ／ＰＡＴ変換をしてグローバルアドレスとし，それをアクセスの際に用いることが一般的である。

ＮＡＴ／ＰＡＴ変換はゲートウェイと呼ばれる装置で行われ，ゲートウェイではローカルアドレスとグローバルアドレスとを対応づけたＮＡＴ／ＰＡＴテーブルを備えている。

また，近年では，クラウドサービスが急速に普及してきており，その複雑化したマシン構成やネットワーク構成の管理を容易にするため，ＳＤＮとよばれる技術が用いられることがある（特許文献１）。特許文献１におけるＯｐｅｎＦｌｏｗはＳＤＮの一種である。

一方，グローバルネットワークではクライアント端末に対して不正な操作等を行うため，さまざまなサイバー攻撃が行われている。そしてネットワークの管理者はサイバー攻撃から自社のプライベートネットワークおよびそこにあるクライアント端末を防衛するため，サイバー攻撃などの脅威を検知するシステム（以下，「脅威検知システム」という）やさまざまな機能を有するセキュリティシステムを稼働させている。セキュリティシステムの役割としては，ファイアウォールやスパイウェア対策などの機能のほか，ウィルス感染等を防止する機能などがある。かかるセキュリティシステムでは，あるクライアント端末がウィルスに感染した場合，ほかのクライアント端末への感染を防止することが求められている。

このため，従来はセキュリティシステムや脅威検知システムなどはプライベートネットワーク内で稼働していることが多かった。しかし，近年ではより広範な脅威に対応し，複数のプライベートネットワークの監視を行うため，プライベートネットワークの外でセキュリティシステムや脅威検知システムなどを稼働させる場合もある。

また特許文献２に記載の発明では，ＬＡＮ内にあるルータが通信するパケットにおけるヘッダ情報に含まれる送信元ＭＡＣアドレスを識別，変換することによって，パケットを送信したホスト（クライアント端末）を識別している。

ＷＯ２０１０／１０３９０９号 特開２０１１−１０９１８６号

プライベートネットワークの外，たとえばグローバルネットワークやＤＭＺなどで脅威検知システムを稼働させる場合，グローバルネットワークからの脅威を検知することはできる。しかし，たとえばプライベートネットワーク内のあるクライアント端末が情報漏洩を行うウィルスに感染してしまった場合，プライベートネットワークの外（ＮＡＴ／ＰＡＴ変換を行うゲートウェイの外）に脅威検知システムがあると，情報漏洩のイベントがあったことを特定することはできるものの，そのイベントのみからでは感染したクライアント端末（以下，「被疑端末」という）のアドレス情報を特定することはできない。なぜならば，脅威検知システムでは被疑端末のグローバルアドレスが特定できるにすぎず，ローカルアドレスを特定できないので，プライベートネットワーク内のどのクライアント端末が被疑端末なのかを割り出すことができないからである。これを模式的に示すのが図１０である。

このようなことから，プライベートネットワーク内のクライアント端末に被害が生じると，被疑端末を特定できず，ほかのクライアント端末にウィルスを感染させてしまうなど，被害の拡大につながってしまう恐れがある。これを模式的に示すのが図１１である。

特許文献２に記載の発明は，異なるネットワークに属するホスト相互間で通信を行う場合，従来は，送信始端のホストからＮＡＴルータ（パケット中継装置）にパケットが送られた際に，ＮＡＴルータが，送信元ＭＡＣアドレスとして，当該ホストのＭＡＣアドレスから当該ルータのＭＡＣアドレスに書き換えて送信していたので，送信始端のホストが属するネットワークのほかのホストからパケットが送られた際に，それら各ホストを区別することができない，といった問題があった点を解決したものである。すなわち，送信始端のホストからＮＡＴルータにパケットが送られた際に，ＮＡＴルータが，送信元ＭＡＣアドレスとして，当該ルータのＭＡＣアドレスではなく，当該ホストのＭＡＣアドレスとして送信することにより，上記問題点を解決したものである。

しかし，ＮＡＴルーターの外側のグローバルネットワークに，ホストの特定を可能とするホストのＭＡＣアドレスを常に流してしまうことから，それを利用したホストへの不正アクセスが可能となり，セキュリティ上の問題が発生する。また，アクセス管理装置の故障や設定の誤りにより，グローバルネットワークに規格外の不正なパケットを送信する可能性があり，システム上好ましいとはいえない問題点がある。

さらに，たとえばＬＡＮ内での通信のように，ネットワークを監視する装置を介さない場合には，ＬＡＮ内でのウィルス感染などを防止することはできない。さらに，クライアント端末のＩＰアドレスが変更された場合には，通信を遮断することができない問題点がある。

そこで本発明者は上記課題に鑑み，本発明のＳＤＮコントローラを発明した。

第１の発明は，ＳＤＮによって構築されたプライベートネットワークで用いるＳＤＮコントローラであって，前記ＳＤＮコントローラは，コンピュータを，前記プライベートネットワークの外にある脅威検知システムから受け取った不正攻撃サーバのグローバルアドレスに基づいて，前記ＳＤＮコントローラが制御する前記プライベートネットワーク内の通信を監視し，各通信におけるグローバルアドレスと，前記受け取ったグローバルアドレスとを照合して，一致する通信における，相手方となるローカルアドレスを特定するアドレス情報特定処理部，前記特定したローカルアドレスが割り当てられたクライアント端末の端末識別情報を特定する端末識別情報特定処理部，前記特定した端末識別情報に基づいて，前記クライアント端末の通信を遮断する制御処理を行う制御指示を前記エッジネットワークデバイスに行うセキュリティ処理部，として機能させるＳＤＮコントローラである。

第２の発明は，ＳＤＮによって構築されたプライベートネットワークで用いるＳＤＮコントローラであって，前記ＳＤＮコントローラは，コンピュータを，前記プライベートネットワークの外にある脅威検知システムから受け取った不正攻撃サーバのグローバルアドレスに基づいて，前記ＳＤＮコントローラが制御する前記プライベートネットワーク内の通信を監視し，各通信におけるグローバルアドレスと，前記受け取ったグローバルアドレスとを照合して，一致する通信における，パケットの送信元のクライアント端末の端末識別情報を特定する端末識別情報特定処理部，前記特定した端末識別情報に基づいて，前記クライアント端末の通信を遮断する制御処理を行う制御指示を前記エッジネットワークデバイスに行うセキュリティ処理部，として機能させるＳＤＮコントローラである。

これらの各発明のように構成することで，脅威となった攻撃をしたサーバ（通信の相手となるサーバ）のグローバルアドレスが判明すれば，そのグローバルアドレスと通信をするローカルアドレスを利用するクライアント端末（被疑端末）の端末識別情報を特定することが可能となる。それによって，エッジネットワークデバイスに対して被疑端末のみについての通信の制御を行わせることが可能となる。その結果，エッジネットワークデバイスを複数のクライアント端末が利用している場合であっても，被疑端末のみの通信を制御させることが可能となり，感染等していないクライアント端末は正常に稼働させることができる。

上述の発明において，前記ＳＤＮコントローラは，前記制御処理として，前記特定した端末識別情報を，前記ＳＤＮコントローラが管理するプライベートネットワーク内のほかのエッジネットワークデバイスに対して通知する，ＳＤＮコントローラのように構成することもできる。

本発明のように構成することで，たとえば被疑端末が移動するなどして，利用しているエッジネットワークデバイスが変わったとしても，被疑端末に対する制御を行わせることができる。

上述の各発明において，前記ＳＤＮコントローラは，前記制御処理として，さらに，前記クライアント端末の隔離，ウィルスの検出，隔離，修復のいずれか一以上を含む，ＳＤＮコントローラのように構成することもできる。

制御処理としては，本発明のような処理が一例としてあげられる。

上述の各発明において，前記ＳＤＮコントローラは，前記制御処理として，前記ＳＤＮコントローラが，前記エッジネットワークデバイスにおけるルールテーブルに，前記端末識別情報を有するクライアント端末からのパケットの破棄をするルールを書き込む，ＳＤＮコントローラのように構成することもできる。

本発明のように構成することで，エッジネットワークデバイスがＳＤＮコントローラにパケットの処理について問い合わせをすることなく，当該パケットを破棄することができる。そのため，ＳＤＮコントローラの負荷を減らすことができる。

本発明のＳＤＮコントローラを用いることで，プライベートネットワーク内で被害を受けたクライアント端末を特定することができる。そして，被害を受けたクライアント端末の特定によって，ほかのクライアント端末への感染等を防止することができる。また，たとえばクライアント端末がローミングなどのように移動してＩＰアドレスが変更される場合にも，適用することができる。

本発明のＳＤＮコントローラを用いた全体の構成の一例を模式的に示す図である。 本発明のコンピュータのハードウェア構成の一例を模式的に示す図である。 本発明のフローチャートの一例を模式的に示す図である。 本発明のＳＤＮコントローラを用いた処理の一例を模式的に示す図である。 エッジネットワークデバイスが複数のクライアント端末の通信を介している場合に被疑端末のみの通信を遮断等することを模式的に示す図である。 被疑端末がエッジネットワークデバイスを移動した場合でも通信が遮断等できることを模式的に示す図である。 本発明のＳＤＮコントローラを用いた別の実施態様における全体の構成の一例を模式的に示す図である。 本発明のフローチャートのほかの一例を模式的に示す図である。 本発明のＳＤＮコントローラを用いた処理のほかの一例を模式的に示す図である。 プライベートネットワーク内における被疑端末を特定することができない従来例を模式的に示す図である。 プライベートネットワーク内における被疑端末を特定できず，ほかのクライアント端末にウィルスを感染させてしまう従来例を模式的に示す図である。

本発明のＳＤＮコントローラ１を用いた全体の構成の一例を図１に模式的に示す。図１では，企業などが構成しているプライベートネットワークであるＬＡＮにクライアント端末３（端末Ａ）があり，ＮＡＴ／ＰＡＴ変換を行うゲートウェイとなるルータがある。またプライベートネットワークとグローバルネットワークの境界にはＤＭＺが設けられている。

また，本発明においては，ＳＤＮによるネットワーク管理技術が用いられており，一つまたは複数のプライベートネットワークはＳＤＮコントローラ１によってその通信が制御されている。ＳＤＮコントローラ１は，ＳＤＮによって構築されたネットワークにおいて，その通信を管理する。ＳＤＮコントローラ１は，ネットワークの制御や管理を行うソフトウェアである。なおＳＤＮコントローラ１はそのソフトウェアがコンピュータで実行されて稼働する。ＳＤＮとしてＯｐｅｎＦｌｏｗが用いられる場合，ＯｐｅｎＦｌｏｗコントローラがＳＤＮコントローラ１となる。

またＳＤＮによって構築されたネットワークにおいては，プライベートネットワーク内の各クライアント端末３はエッジネットワークデバイス２を介して，プライベートネットワークに接続している。エッジネットワークデバイス２とは，データを転送するネットワーク機器であり，通信の終端としてクライアント端末３と接続している。エッジネットワークデバイス２には，クライアント端末３から受け取ったパケットをどのように制御するかのルールを示すルールテーブル（フローエントリー）が記憶されており，それにしたがってパケットを処理する。またルールテーブルに記憶されていない場合には，当該パケットの処理を一時保留し，ＳＤＮコントローラ１に問い合わせをし，ＳＤＮコントローラ１からの制御指示に基づいて一時保留したパケットを処理する。また，場合によってはＳＤＮコントローラ１に当該パケットを送り，ＳＤＮコントローラで当該パケットを書き換えるなどし，書き換えられたパケットをＳＤＮコントローラから受け取って処理をする。ＳＤＮとしてＯｐｅｎＦｌｏｗが用いられる場合，ＯｐｅｎＦｌｏｗスイッチがエッジネットワークデバイス２となる。

なお，本発明は，サーバやパーソナルコンピュータなどの各種のコンピュータにより実現される。図２にコンピュータのハードウェア構成の一例を示す。コンピュータは，プログラムの演算処理を実行するＣＰＵなどの演算装置７０と，情報を記憶するＲＡＭやハードディスクなどの記憶装置７１と，ディスプレイなどの表示装置７２と，キーボードやポインティングデバイス（マウスやテンキーなど）などの入力装置７３と，演算装置７０の処理結果や記憶装置７１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置７４とを有している。

なお，図１ではそれぞれが一台のコンピュータで実現される場合を示したが，複数台のコンピュータにその機能が分散配置され，実現されても良い。また，本発明における各手段は，その機能が論理的に区別されているのみであって，物理上あるいは事実上は同一の領域を為していても良い。

本発明における各処理部は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域をなしていても良い。

本発明における第１の実施態様のＳＤＮコントローラ１では，上記のように，ＳＤＮによって構築されたネットワークにおいて，その通信を管理する一環として，アドレス情報特定処理部１１と端末識別情報特定処理部１２とセキュリティ処理部１３とを備えている。

アドレス情報特定処理部１１は，ＳＤＮコントローラ１が後述する脅威検知システム４から不正攻撃サーバ５のグローバルアドレスを受け取ると，そのグローバルアドレスに対する通信を監視し，そのグローバルアドレスとの間で通信が行われた場合（当該グローバルアドレスを相手方とする通信のパケットの処理の問い合わせを受けた場合），その通信の相手方のローカルアドレスを特定する。

端末識別情報特定処理部１２は，アドレス情報特定処理部１１で特定した，当該通信の相手方のローカルアドレスに基づき，そのローカルアドレスを利用するクライアント端末３のＭＡＣアドレスなどの端末識別情報を特定する。

セキュリティ処理部１３は，アドレス情報特定処理部１１で特定したアドレス情報および／または端末識別情報特定処理部１２で特定した端末識別情報などに基づいて，セキュリティに関する制御処理を実行する。セキュリティに関する制御処理としては，たとえば，通信の遮断，ウィルス（マルウェアなど）の検出，隔離，修復など，脅威に対する何らかの防衛の制御処理であればよい。

脅威検知システム４はグローバルネットワークとプライベートネットワークとの間の通信またはプライベートネットワーク内の通信を監視しており，グローバルネットワークからサイバー攻撃などを行う不正攻撃サーバ５からのサイバー攻撃などの脅威を検知する。脅威を検知すると，不正攻撃サーバ５のグローバルアドレスをＳＤＮコントローラ１に通知する。サイバー攻撃にはさまざまなものがあり，たとえばＤｏｓ（Denial of Servie）攻撃，ＤＤｏＳ（Distributed Denail of Service）攻撃，ポートスキャン（Port Scan）攻撃，ＰｏＤ（Ping of Death）攻撃などが一例としてあるが，それに限定されない。

つぎに本発明における実施態様１のＳＤＮコントローラ１を用いた処理の一例を図３のフローチャートおよび図４を用いて説明する。図４では，不正攻撃サーバ５のグローバルアドレスが「Ｘ」であり，プライベートネットワーク内のクライアント端末３が通信を行う際に介するエッジネットワークデバイス２のグローバルアドレスが「Ａ」，ローカルアドレスが「ａ」，クライアント端末３のＭＡＣアドレスが「ｍａ」であったとする。

脅威検知システム４はプライベートネットワークとグローバルネットワークとの間の通信を監視しており，不正攻撃サーバ５からの脅威があった場合，それを検知し（Ｓ１００），そのパケットから不正攻撃サーバ５のグローバルアドレス「Ｘ」と被疑端末のグローバルアドレス「Ａ」を特定する。そして不正攻撃サーバ５のグローバルアドレス「Ｘ」をＳＤＮコントローラ１に通知する（Ｓ１１０）。

ＳＤＮコントローラ１が脅威検知システム４から不正攻撃サーバ５のグローバルアドレス「Ｘ」を受け取ると，ＳＤＮコントローラ１のアドレス情報特定処理部１１は，ＳＤＮコントローラ１で制御しているプライベートネットワーク内のローカル通信を認識して，各ローカル通信におけるグローバルアドレスと，脅威検知システム４から通知を受けたグローバルアドレスとを照合し，一致するローカル通信における，相手方となるローカルアドレスを特定する（Ｓ１２０）。すなわち，アドレス情報特定処理部１１は，ＳＤＮコントローラ１で制御しているローカル通信のうち，グローバルアドレスが「Ｘ」となっているローカル通信のパケットの制御処理の問い合わせを，エッジネットワークデバイス２から受け取ると，そのローカル通信を特定する。そしてＳＤＮコントローラ１のアドレス情報特定処理部１１は，グローバルアドレス「Ｘ」を含むローカル通信について，その通信の相手方のローカルアドレス「ａ」を特定する。

これによって，不正攻撃サーバ５からの攻撃によって被害を受けたクライアント端末３である被疑端末が利用するローカルアドレス「ａ」を特定する。

そして，ＳＤＮコントローラ１の端末識別情報特定処理部１２は，アドレス情報特定処理部１１が特定したローカルアドレス「ａ」を利用するエッジネットワークデバイス２に対して，当該ローカルアドレス「ａ」を利用して通信をしたクライアント端末３の問い合わせを行い，そのクライアント端末３を被疑端末として特定し，被疑端末の端末識別情報（ＭＡＣアドレスなど）「ｍａ」を特定し，取得する（Ｓ１３０）。

そしてセキュリティ処理部１３は，アドレス情報特定処理部１１で特定したローカルアドレス「ａ」に基づいて，そのローカルアドレス「ａ」を利用するエッジネットワークデバイス２の通信を遮断をするなどの制御処理を実行する（Ｓ１４０）。もしくはセキュリティ処理部１３は，端末識別情報特定処理部１２で特定したＭＡＣアドレス「ｍａ」をエッジネットワークデバイス２に渡し，そのＭＡＣアドレス「ｍａ」を有するクライアント端末３（すなわち被疑端末）との間の通信を遮断等するように制御指示を渡し，エッジネットワークデバイス２は，ＭＡＣアドレス「ｍａ」を有するクライアント端末３との通信を遮断等する（Ｓ１４０）。また，当該制御指示に基づいて，セキュリティ処理部１３は，エッジネットワークデバイス２におけるフローエントリーなどのルールテーブルに，送信元のＭＡＣアドレス「ｍａ」を有するパケットを遮断（破棄など）する制御をするように書き込む。これによって，以後，ＭＡＣアドレス「ｍａ」を有するパケットがエッジネットワークデバイス２で，ＳＤＮコントローラ１に問い合わせることなく，遮断される。

セキュリティ処理部１３における上述のような処理によって，エッジネットワークデバイス単位または被疑端末単位での通信の制御処理が行える。とくにエッジネットワークデバイス２において，被疑端末のＭＡＣアドレスに基づき通信の制御を行うことで，エッジネットワークデバイス２が複数のクライアント端末３の通信を介している場合，被疑端末のみの通信を遮断等し，同一のエッジネットワークデバイス２であっても，正常なクライアント端末３の通信に影響を及ぼさないようにできる。これを模式的に示すのが図５である。

すなわちエッジネットワークデバイス２を複数のクライアント端末３が利用している場合，そのローカルアドレスは「ａ」で同じである。しかしＭＡＣアドレスは個々のクライアント端末３で相違するので（「ｍａ」，「ｍｂ」），端末識別情報特定処理部１２が被疑端末と特定したクライアント端末３のＭＡＣアドレスとの間の通信のみを遮断等することができる。

さらに本発明のＳＤＮコントローラ１による別の制御として図６の場合がある。図６は，被疑端末は当初，ローカルアドレス「ａ」のエッジネットワークデバイス２αを利用していたが，その後，被疑端末が移動し，ローカルアドレス「ｂ」のエッジネットワークデバイス２βを利用する場合である。たとえば被疑端末がスマートフォンなどの可搬型通信端末であり，エッジネットワークデバイス２がアクセスポイントのような場合が該当するが，それに限定されるものではない。

図６では上述のように，ＳＤＮコントローラ１のアドレス情報特定処理部１１がローカルアドレス「ａ」を特定したことで，端末識別情報特定処理部１２が被疑端末のＭＡＣアドレス「ｍａ」を特定する。そして，ＳＤＮコントローラ１で通信を遮断等する対象のＭＡＣアドレスを管理し，セキュリティ処理部１３が，それをプライベートネットワーク内の各エッジネットワークデバイス２に通知しておく。この通知を受けた各エッジネットワークデバイス２は，フローエントリーなどのルールテーブルに，送信元のＭＡＣアドレス「ｍａ」を有するパケットを遮断する制御をするように書き込む。このような処理によって，被疑端末がエッジネットワークデバイス２αからエッジネットワークデバイス２βの利用に移行したとしても，エッジネットワークデバイス２βでは，被疑端末との通信の際に，そのＭＡＣアドレス「ｍａ」を取得しているので，エッジネットワークデバイス２βがＳＤＮコントローラ１に問い合わせることなく，その通信を遮断等することができる。

同様に，被疑端末を利用するユーザが固定ＩＰアドレスを割り当てたとしても，ＭＡＣアドレスでの制御をしているので，エッジネットワークデバイス２との通信を遮断等することができる。

本発明のＳＤＮコントローラ１の第１の実施態様では，クライアント端末３のローカルアドレスを特定することで被疑端末を特定していたが，ローカルアドレスを特定せずに被疑端末を特定し，そのＭＡＣアドレスを送信元とする通信を遮断するように構成するしてもよい。この場合の構成を図７に示す。

本実施態様のＳＤＮコントローラ１’では，端末識別情報特定処理部１２’とセキュリティ処理部１３’とを備える。

端末識別情報特定処理部１２’は，ＳＤＮコントローラ１’が脅威検知システム４から不正攻撃サーバ５のグローバルアドレスを受け取ると，そのグローバルアドレスに対する通信を監視し，そのグローバルアドレスとの間で通信が行われた場合（当該グローバルアドレスを相手方とする通信のパケットの処理の問い合わせを受けた場合），その通信のパケットにおける送信元のクライアント端末３を被疑端末とし，その被疑端末のＭＡＣアドレスなどの端末識別情報を当該パケットから抽出する。

セキュリティ処理部１３’は，端末識別情報特定処理部１２’で特定した端末識別情報に基づいて，セキュリティに関する制御処理を実行する。セキュリティに関する制御処理としては，たとえば，通信の遮断，ウィルス（マルウェアなど）の検出，隔離，修復など，脅威に対する何らかの防衛の制御処理であればよい。

つぎに本発明における実施態様２のＳＤＮコントローラ１’を用いた処理の一例を図８のフローチャートおよび図９を用いて説明する。図９では，不正攻撃サーバ５のグローバルアドレスが「Ｘ」であり，プライベートネットワーク内のクライアント端末３が通信を行う際に介するエッジネットワークデバイス２のグローバルアドレスが「Ａ」，ローカルアドレスが「ａ」，クライアント端末３のＭＡＣアドレスが「ｍａ」であったとする。

脅威検知システム４はプライベートネットワークとグローバルネットワークとの間の通信を監視しており，不正攻撃サーバ５からの脅威があった場合，それを検知し（Ｓ２００），そのパケットから不正攻撃サーバ５のグローバルアドレス「Ｘ」を特定する。そして不正攻撃サーバ５のグローバルアドレス「Ｘ」をＳＤＮコントローラ１’に通知する（Ｓ２１０）。

ＳＤＮコントローラ１’が脅威検知システム４から不正攻撃サーバ５のグローバルアドレス「Ｘ」を受け取ると，ＳＤＮコントローラ１’の端末識別情報特定処理部１２’は，ＳＤＮコントローラ１’で制御しているプライベートネットワーク内のローカル通信を認識して，各ローカル通信におけるグローバルアドレスと，脅威検知システム４から通知を受けたグローバルアドレスとを照合し，一致するローカル通信のパケットの送信元端末のＭＡＣアドレスを抽出する（Ｓ２２０）。すなわち，端末識別情報特定処理部１２’は，ＳＤＮコントローラ１’で制御しているローカル通信のうち，グローバルアドレスが「Ｘ」となっているローカル通信のパケットの制御処理の問い合わせを，エッジネットワークデバイス２から受け取ると，そのローカル通信を特定する。そしてＳＤＮコントローラ１’の端末識別情報特定処理部１２’は，グローバルアドレス「Ｘ」を含むローカル通信について，その通信におけるパケットから，送信元端末のＭＡＣアドレス「ｍａ」を抽出する。

これによって，不正攻撃サーバ５からの攻撃によって被害を受けたクライアント端末３である被疑端末のＭＡＣアドレス「ｍａ」を取得できる。

そしてセキュリティ処理部１３’は，端末識別情報特定処理部１２’で特定したＭＡＣアドレス「ｍａ」をエッジネットワークデバイス２に渡し，そのＭＡＣアドレス「ｍａ」を有するクライアント端末３（すなわち被疑端末）との間の通信を遮断等するように制御指示を渡し，エッジネットワークデバイス２は，ＭＡＣアドレス「ｍａ」を有するクライアント端末３との通信を遮断等する（Ｓ２３０）。また，当該制御指示に基づいて，セキュリティ処理部１３’は，エッジネットワークデバイス２におけるフローエントリーなどのルールテーブルに，送信元のＭＡＣアドレス「ｍａ」を有するパケットを遮断（破棄など）する制御をするように書き込む。これによって，以後，ＭＡＣアドレス「ｍａ」を有するパケットがエッジネットワークデバイス２で，ＳＤＮコントローラ１’に問い合わせることなく，遮断される。

セキュリティ処理部１３’における上述のような処理によって，被疑端末単位での通信の制御処理が行える。とくにエッジネットワークデバイス２において，被疑端末のＭＡＣアドレスに基づき通信の制御を行うことで，エッジネットワークデバイス２が複数のクライアント端末３の通信を介している場合，被疑端末のみの通信を遮断等し，同一のエッジネットワークデバイス２であっても，正常なクライアント端末３の通信に影響を及ぼさないようにできる。その結果，図５と同様に，エッジネットワークデバイス２を複数のクライアント端末３が利用している場合でも，端末識別情報特定処理部１２’が被疑端末と特定したクライアント端末３のＭＡＣアドレス「ｍａ」との間の通信のみを遮断等することができる技術的効果を得ることができる。

さらに実施態様１における図６の場合と同様の技術的効果を得ることもできる。すなわち，端末識別情報特定処理部１２’が被疑端末のＭＡＣアドレス「ｍａ」を特定しているので，ＳＤＮコントローラ１’で通信を遮断等する対象のＭＡＣアドレスを管理し，セキュリティ処理部１３’が，それをプライベートネットワーク内の各エッジネットワークデバイス２に通知しておく。この通知を受けた各エッジネットワークデバイス２は，フローエントリーなどのルールテーブルに，送信元のＭＡＣアドレス「ｍａ」を有するパケットを遮断する制御をするように書き込む。このような処理によって，被疑端末がエッジネットワークデバイスを移動しても，新しいエッジネットワークデバイス２では，被疑端末との通信の際に，そのＭＡＣアドレス「ｍａ」を取得しているので，ＳＤＮコントローラ１’に問い合わせることなく，その通信を遮断等することができる。

同様に，被疑端末を利用するユーザが固定ＩＰアドレスを割り当てたとしても，ＭＡＣアドレスでの制御をしているので，エッジネットワークデバイス２との通信を遮断等することができる。

本実施態様のようにＳＤＮコントローラ１’を構成することで，実施態様１とは異なり，プライベートネットワーク内の被疑端末となったクライアント端末３のローカルアドレスを特定することなく，被疑端末のＭＡＣアドレスなどの端末識別情報を特定し，当該被疑端末の通信に対する制御を行うことができる。

本発明におけるＳＤＮコントローラ１を用いることで，プライベートネットワーク内で被害を受けたクライアント端末３を特定することができる。そして，被害を受けたクライアント端末３の特定によって，ほかのクライアント端末３への感染等を防止することができる。また，たとえばクライアント端末３がローミングなどのように移動してＩＰアドレスが変更される場合にも，適用することができる。

１：ＳＤＮコントローラ
２：エッジネットワークデバイス
３：クライアント端末
４：脅威検知システム
５：不正攻撃サーバ
１１：アドレス情報特定処理部
１２：端末識別情報特定処理部
１３：セキュリティ処理部
７０：演算装置
７１：記憶装置
７２：表示装置
７３：入力装置
７４：通信装置

Claims (5)

1. ＳＤＮによって構築されたプライベートネットワークで用いるＳＤＮコントローラであって，
   前記ＳＤＮコントローラは，コンピュータを，
   前記プライベートネットワークの外にある脅威検知システムから受け取った不正攻撃サーバのグローバルアドレスに基づいて，前記ＳＤＮコントローラが制御する前記プライベートネットワーク内の通信を監視し，各通信におけるグローバルアドレスと，前記受け取ったグローバルアドレスとを照合して，一致する通信における，相手方となるローカルアドレスを特定するアドレス情報特定処理部，
   前記特定したローカルアドレスが割り当てられたクライアント端末の端末識別情報を特定する端末識別情報特定処理部，
   前記特定した端末識別情報に基づいて，前記クライアント端末の通信を遮断する制御処理を行う制御指示を前記エッジネットワークデバイスに行うセキュリティ処理部，
   として機能させることを特徴とするＳＤＮコントローラ。
2. ＳＤＮによって構築されたプライベートネットワークで用いるＳＤＮコントローラであって，
   前記ＳＤＮコントローラは，コンピュータを，
   前記プライベートネットワークの外にある脅威検知システムから受け取った不正攻撃サーバのグローバルアドレスに基づいて，前記ＳＤＮコントローラが制御する前記プライベートネットワーク内の通信を監視し，各通信におけるグローバルアドレスと，前記受け取ったグローバルアドレスとを照合して，一致する通信における，パケットの送信元のクライアント端末の端末識別情報を特定する端末識別情報特定処理部，
   前記特定した端末識別情報に基づいて，前記クライアント端末の通信を遮断する制御処理を行う制御指示を前記エッジネットワークデバイスに行うセキュリティ処理部，
   として機能させることを特徴とするＳＤＮコントローラ。
3. 前記ＳＤＮコントローラは，前記制御処理として，
   前記特定した端末識別情報を，前記ＳＤＮコントローラが管理するプライベートネットワーク内のほかのエッジネットワークデバイスに対して通知する，
   ことを特徴とする請求項１または請求項２に記載のＳＤＮコントローラ。
4. 前記ＳＤＮコントローラは，前記制御処理として，さらに，
   前記クライアント端末の隔離，ウィルスの検出，隔離，修復のいずれか一以上を含む，
   ことを特徴とする請求項１または請求項２に記載のＳＤＮコントローラ。
5. 前記ＳＤＮコントローラは，前記制御処理として，
   前記ＳＤＮコントローラが，前記エッジネットワークデバイスにおけるルールテーブルに，前記端末識別情報を有するクライアント端末からのパケットの破棄をするルールを書き込む，
   ことを特徴とする請求項１または請求項２記載のＳＤＮコントローラ。

Images