JP6243861B2 - 制御処理対象フロー絞り込み方法および装置 - Google Patents

Description

本発明は、制御処理対象フロー絞り込み方法および装置に関する。

様々な情報が送受信されるネットワークにおいて高いセキュリティを実現するために多様な技術が考案されている。

たとえば、危険情報の検知や制御を実行するためにＤＰＩ（Deep Packet Inspection）が利用されている。ＤＰＩは、ＩＰパケットのヘッダ部分ではなくデータ部分に基づき当該ＩＰパケットの処理方法を決定する機能である。

また、ＳＳＬ（Secure Sockets Layer）を利用してＯＴＴ（Over The Top）サービスが提供されることが増えている。ＳＳＬは、ＴＣＰ／ＩＰネットワークでデータを暗号化して送受信するプロトコルの一つである。ＳＳＬにより、送受信するデータを暗号化すると同時に、通信相手が信頼できる相手であることの確認が実行される（非特許文献１参照）。

半沢 智、"図解で学ぶネットワークの基礎：ＳＳＬ編 Ｌｅｓｓｏｎ１：アプリ同士のやりとりを暗号化、相手が信頼できるかも確かめる"、[online]、2007年10月20日、日経ＮＥＴＷＯＲＫ、[2014年12月10日検索]、インターネット<http://itpro.nikkeibp.co.jp/article/COLUMN/20071012/284425/?ST=selfup> "Blue Coat 商品情報SSL Visibility Appliance"、[online]、マクニカネットワークス、[2014年12月10日検索]、インターネット<http://www.macnica.net/bluecoat/ssl_va.html/> "ＳＳＬ暗号化通信内容の検査を可能にするＳＳＬインターセプトソリューション"、[online]、Ａ１０ネットワークス株式会社、[2014年12月10日検索]、インターネット<http://www.a10networks.co.jp/products/pdf/SBAX_SSLIntercept.pdf>

しかしながら、上述したＤＰＩによる処理は負荷が大きいため効率的な処理のためにはＤＰＩの対象とする通信フローを絞り込むことが望ましい。

また、ＳＳＬを利用して通信フローを暗号化した場合、個人情報等を第三者に見られることを防止することができるが、同時に暗号化された通信フローの内容をチェックすることが難しい。このため、ウィルスの検知や危険情報の検知やペアレンタルコントロールのようにユーザにふさわしくない情報の検出が困難となる（非特許文献２、非特許文献３参照）。このため、ＳＳＬ等を利用した場合であっても、効率的に危険情報等の検知を行うことができる技術の実現が望まれる。

開示の実施形態は、上記に鑑みてなされたものであって、暗号化された通信フローが制御対象の場合であっても、制御処理対象とする通信フローを効率的に絞り込むことができる制御処理対象フロー絞り込み方法および装置を提供することを目的とする。

開示する制御処理対象フロー絞り込み方法および装置は、暗号化された通信フローを復号化することによって当該通信フローを検査することの要否を、復号化せずに取得できる当該通信フローの内容に基づいて判断し、検査不要と判断された通信フローを復号化せずに送信先へ転送し、検査要と判断された通信フローを復号化して検査することを特徴とする。

開示する制御処理対象フロー絞り込み方法および装置は、暗号化された通信フローが制御対象の場合であっても、制御処理対象とする通信フローを効率的に絞り込むことができるという効果を奏する。

図１は、第１の実施形態に係る制御処理対象フロー絞り込みシステムの概略構成の一例を示す図である。 図２は、第１の実施形態に係る制御処理対象フロー絞り込み処理の流れの一例を示すフローチャートである。 図３は、第１の実施形態に係る制御処理対象フロー絞り込みシステムの変形例１を説明するための図である。 図４は、第１の実施形態に係る制御処理対象フロー絞り込みシステムの変形例２を説明するための図である。 図５は、第２の実施形態に係る制御処理対象フロー絞り込みシステムの概略構成の一例を示す図である。 図６は、第２の実施形態に係る制御処理対象フロー絞り込み処理の流れの一例を示すフローチャートである。 図７は、第２の実施形態に係る制御処理対象フロー絞り込み処理の流れの一例を説明するためのシーケンスチャートである。 図８は、開示の技術にかかる制御処理対象フロー絞り込みプログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。 図９は、従来のＳＳＬ通信による処理の流れの一例について説明するための図である。 図１０は、従来のＳＳＬ通信において危険情報を検出する際の処理の一例について説明するための図である。

（従来のＳＳＬ通信におけるハンドシェーク）
まず、図９を参照して、ＳＳＬを用いて暗号化された情報を送信する場合の処理の流れの一例について説明する。図９は、従来のＳＳＬ通信による処理の流れの一例について説明するための図である。

ＳＳＬを用いて通信を行う場合、クライアントに対してＳＳＬ暗号化／復号化装置のルート証明書が発行され、クライアントに保持される。ルート証明書は通信相手のデジタル証明書の正当性をチェックするために使用される。図９の例では、クライアントは、ＳＳＬ暗号化／復号化装置の信頼性チェックのため、まえもってルート証明書の発行を受けルート証明書を保持する。

クライアントとサーバとの間で通信を行う際はまず、クライアントからサーバに対してClient Helloメッセージを送信し、使用する暗号化方式等を提案する。Client Helloメッセージにはたとえば、使用するプロトコルのバージョンや、クライアントが生成した乱数、セッションＩＤ、利用できる暗号スイートのリスト、圧縮方法等の情報が含まれる。図９では、クライアントが送信するClient HelloメッセージをＳＳＬ暗号化／復号化装置が受信する（図９の（１））。ＳＳＬ暗号化／復号化装置は、受信したClient Helloメッセージ中、レコードプロトコルのレコードヘッダを付け替える。そして、ＳＳＬ暗号化／復号化装置は、レコードヘッダを付け替えたClient Helloメッセージをサーバに送信する（図９の（２））。

サーバは、レコードヘッダが付け替えられたClient Helloメッセージを受信すると、Client Helloメッセージに基づきＳＳＬ暗号化／復号化装置から提案された暗号化方式の中から適当なものを一つ選んで返答する（図９の（３））。これによって、サーバとＳＳＬ暗号化／復号化装置との間で暗号通信を行う際に使用する暗号化方式が決定される。

また、ＳＳＬ暗号化／復号化装置は、クライアントから提案された暗号化方式の中から適当なものを一つ選んで返答する（図９の（４））。これによって、クライアントとＳＳＬ暗号化／復号化装置との間で暗号通信を行う際に使用する暗号化方式が決定される。

さらに、サーバは、ＳＳＬ暗号化／復号化装置に対してCertificateメッセージを使ってサーバ証明書を送信する（図９の（５））。サーバ証明書は、サーバが信頼できるものであることを証明するためのデータであり、認証局（ＣＡ）名やサーバが使用する公開鍵、サーバの電子署名等の情報を含む。サーバはCertificateメッセージを送信し終わると、その旨を通知するメッセージを送信する。ＳＳＬ暗号化／復号化装置は、クライアントに対してCertificateメッセージを使ってサーバ証明書を送信する（図９の（６））。

クライアントは、受信したサーバ証明書からＳＳＬ暗号化／復号化装置の公開鍵を抽出する。そして、クライアントは、抽出した公開鍵を使用して暗号通信に使う共通鍵の基となる秘密の値（プレマスタ・シークレット）を暗号化して送信する（図９の（７）、（８））。

ＳＳＬ暗号化／復号化装置は、サーバ証明書からサーバの公開鍵を抽出する。そして、ＳＳＬ暗号化／復号化装置は、抽出した公開鍵を使用して暗号通信に使う共通鍵の基となる秘密の値（プレマスタ・シークレット）を暗号化して送信する（図９の（９）、（１０））。

サーバは、暗号化されたデータを受信すると自身の秘密鍵で復号化する。それによってサーバは、プレマスタ・シークレットを取得することができる。この一連の処理によってＳＳＬ暗号化／復号化装置とサーバとの間で暗号化の共通鍵の基となるプレマスタ・シークレットを共有することができる。

また同様に、ＳＳＬ暗号化／復号化装置は、暗号化されたデータを受信すると自身の秘密鍵で復号化する。それによってＳＳＬ暗号化／復号化装置は、プレマスタ・シークレットを取得することができる。この一連の処理によってＳＳＬ暗号化／復号化装置とクライアントとの間で暗号化の共通鍵の基となるプレマスタ・シークレットを共有することができる。

以上の処理が終了すると、クライアントは一連の処理によって決定された暗号化方式の採用（Change Cipher Specメッセージ等）とハンドシェークの終了（Finishedメッセージ等）をＳＳＬ暗号化／復号化装置に通知する（図９の（１１）、（１２））。ＳＳＬ暗号化／復号化装置も同様に、決定された暗号化方式の採用とハンドシェークの終了をクライアントに通知する（図９の（１１）、（１２））。これによってハンドシェークの処理が終了する。この後、クライアント、サーバおよびＳＳＬ暗号化／復号化装置は、共有したプレマスタ・シークレットからそれぞれの共通鍵を生成して、暗号通信を実行する。

（従来のＳＳＬ通信における危険情報検出）
図１０は、従来のＳＳＬ通信において危険情報を検出する際の処理の一例について説明するための図である。

ＳＳＬ通信においては上記のように決定した暗号化方式に基づき通信内容が暗号化されるため、そのままでは危険情報等が含まれるか否かを検出することができない。たとえば、図１０に示す例では、クライアント１がアクセスポイント（ＡＰ）２を介してエッジ３に接続される。そして、エッジ３とＳＳＬ暗号化／復号化装置４とがネットワークを介して接続される。ＳＳＬ暗号化／復号化装置４はＤＰＩ処理を実施する機能を備えるＤＰＩ装置５と接続される。クライアント１は、ＯＴＴ（Over The Top）等のサービスを提供するサーバ６のサービスを利用する場合、アクセスポイント２、エッジ３、ＳＳＬ暗号化／復号化装置４を介してサーバ６と通信する。

ここで、ＳＳＬ暗号化／復号化装置４は、クライアント１からの通信フローを受信すると、クライアント１側で通信フローをいったん終端する。また、ＳＳＬ暗号化／復号化装置４はサーバ６との間で送受信する通信フローをサーバ６側でいったん終端する。これにより、ＳＳＬ暗号化／復号化装置４は、ユーザ（クライアント１）側およびサーバ６側のそれぞれに別個のＳＳＬセッションを確立する。そして、ＳＳＬ暗号化／復号化装置４は、それぞれのＳＳＬセッションにおいて送受信する通信フローの復号化を行ってＤＰＩ装置５に送信する。ＤＰＩ装置５は復号化された通信フローに対する検査を実行して危険を検出する。

（従来の危険情報検出における課題）
しかし、上記のような危険情報検出手法においては、以下の課題が存在する。まず、共通鍵として使用するデータのビット数にも依存するが、ビット数が大きくなるほどＳＳＬ暗号化／復号化装置には高い性能が要求される。このため、ＳＳＬ暗号化／復号化装置が、ネットワークの通信品質の向上を限界づけるボトルネックとなってしまう。

また、上記の構成では、ＳＳＬ暗号化／復号化装置はネットワークを流れるすべてのトラヒックについて復号化とＤＰＩによる検査を実行する。ＤＰＩは、ＩＰパケットのヘッダ部分だけでなくデータ部分に基づいて検査を実行する技術であり、処理負荷が大きい。このため、すべてのトラヒックに対してＤＰＩを実行した場合、ＤＰＩ装置も処理効率の向上を限界づけるボトルネックとなる。

さらに、上記の構成のように、ＳＳＬ暗号化／復号化装置がすべてのトラヒックについて同様の復号化、検査処理（ＤＰＩ）を実施した場合、所定のデータのみを選択的にステアリングする等の処理が実現できない。たとえば、オプティマイズサービス等では、ＳＳＬ復号化が必須であるが、上記構成のＳＳＬ暗号化／復号化装置では、かかるサービスのためにＳＳＬ復号化を実施し、実施したフローを選択的に当該サービスにステアリングすることができない。ツイッターログサービス等についても同様である。

（第１の実施形態）
以下に、開示する制御処理対象フロー絞り込み装置および制御処理対象フロー絞り込み方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。また、各実施形態は適宜組み合わせることができる。

（第１の実施形態に係る制御処理対象フロー絞り込み装置の構成の一例）
図１は、第１の実施形態に係る制御処理対象フロー絞り込みシステムの概略構成の一例を示す図である。

図１に示す制御処理対象フロー絞り込みシステムは、制御処理対象フロー絞り込み装置１０と、クライアント２０と、ＳＳＬ暗号化／復号化装置３０と、ＤＰＩ装置４０と、サーバ５０と、を備える。制御処理対象フロー絞り込み装置１０とクライアント２０とはネットワークを介して接続される。また、制御処理対象フロー絞り込み装置１０は、ＳＳＬ暗号化／復号化装置３０とネットワークを介して接続される。ＳＳＬ暗号化／復号化装置３０は、復号化したデータの検査を実行するＤＰＩ装置４０と接続される。制御処理対象フロー絞り込み装置１０はまたＯＴＴ等のサービスを提供するサーバ５０と接続される。制御処理対象フロー絞り込み装置１０における処理を経てサーバ５０へステアリングされたデータは、制御処理対象フロー絞り込み装置１０からサーバ５０へ送信される。

制御処理対象フロー絞り込み装置１０は、受信する情報を通信フローごとに制御することができる装置である。制御処理対象フロー絞り込み装置１０はたとえば、ＰＣＥＦ（Policy and Charging Enforcement Function）やＰＣＲＦ（Policy and Charging Rule Function）である。また制御処理対象フロー絞り込み装置１０はＤＰＩ機能を備えるように構成してもよい。

制御処理対象フロー絞り込み装置１０は、受信した通信フローの内容を識別して、各通信フローの内容に応じた制御を実行するために必要な情報を作成する。そして、制御処理対象フロー絞り込み装置１０は、作成した情報に基づき、各通信フローの制御内容を決定する。そして、制御処理対象フロー絞り込み装置１０は、決定した制御内容に応じた制御を実行する。たとえば、制御処理対象フロー絞り込み装置１０は、各通信フローのステアリング、遮断、レートリミット等の制御を実行する。また、制御処理対象フロー絞り込み装置１０は、各通信フローの制御を実行した結果に基づき、他のノードと通信する。たとえば、制御処理対象フロー絞り込み装置１０は、復号化やＤＰＩ処理を実行すると決定した通信フローをＳＳＬ暗号化／復号化装置３０に送信する。また、制御処理対象フロー絞り込み装置１０は、復号化せずに直接送信先たとえばサーバ５０に送信すると決定した通信フローをサーバ５０に送信する。

クライアント２０は、たとえばユーザが利用する携帯端末やパーソナルコンピュータ等の情報処理端末である。ユーザはクライアント２０を用いてサーバ５０等がネットワークを介して提供するサービスを利用するための情報をネットワーク上に送信する。

ＳＳＬ暗号化／復号化装置３０は、ＳＳＬを使用して暗号化された情報を復号化したり、ＳＳＬを使用して情報を暗号化したりする装置である。たとえば、ＳＳＬ暗号化／復号化装置３０はクライアント２０に対してサーバ５０が提供するサービスを実現するために送受信される情報を暗号化したり復号化したりする。また、ＳＳＬ暗号化／復号化装置３０は、制御処理対象フロー絞り込み装置１０が受信した通信フローを復号化して内容の検査を行うと決定した場合に、当該通信フローを制御処理対象フロー絞り込み装置１０から受信して復号化し、ＤＰＩ装置４０に渡す。

ＤＰＩ装置４０は、制御処理対象フロー絞り込み装置１０が受信した通信フローについて、復号化して内容の検査を行うと決定された場合に、ＳＳＬ暗号化／復号化装置３０から復号化された通信フローを受信し、ＤＰＩを実行する。ＤＰＩ装置４０はたとえば、ウィルスの有無判定等を実行し、検査結果を制御処理対象フロー絞り込み装置１０に送信する。なお、図１の例では、ＤＰＩ装置４０はＳＳＬ暗号化／復号化装置３０を介して制御処理対象フロー絞り込み装置１０に接続されているが、ＤＰＩ装置４０は直接制御処理対象フロー絞り込み装置１０に接続されるように構成してもよい。

サーバ５０は、ネットワークを介してクライアント２０等にＯＴＴ等のサービスを提供する。

（制御処理対象フロー絞り込み装置の構成の一例）
制御処理対象フロー絞り込み装置１０は、通信フロー受信部１１と、復号化要否判定部１２と、ステアリング設定部１３と、ＳＳＬ指示部１４と、中継部１５と、記憶部１６と、を備える。

復号化要否判定部１２、ステアリング設定部１３、ＳＳＬ指示部１４および中継部１５は、ＣＰＵ（Central Processing Unit）等任意の処理装置を用いて実現することができる。また、記憶部１６は特に限定されず、以下に説明する情報を記憶することができれば任意の記憶装置を用いて実現することができる。また、これらの各構成要素は、必ずしも制御処理対象フロー絞り込み装置１０と一体的に構成する必要はなく、たとえば記憶部１６を制御処理対象フロー絞り込み装置１０とは別体として構成してもよい。

通信フロー受信部１１は、クライアント２０、ＳＳＬ暗号化／復号化装置３０およびサーバ５０から送信される通信フローを受信する。なお、図１には制御処理対象フロー絞り込み装置１０と接続される装置はクライアント２０、ＳＳＬ暗号化／復号化装置３０、サーバ５０の３つのみ示すが、このほかに任意の装置を接続してもよい。また、一つの制御処理対象フロー絞り込み装置１０に対して、クライアント２０やサーバ５０を複数接続してもよい。

通信フロー受信部１１が受信した通信フローは、復号化要否判定部１２に送信される。復号化要否判定部１２は、通信フロー受信部１１が受信した通信フローのうち、復号化せずに内容判定できる部分に基づき、当該通信フローの復号化要否を判定する。たとえば、復号化要否判定部１２は、通常のポリシー制御で想定されている値や、ＳＳＬセッションに特有の値を通信フローから抽出する。通常のポリシー制御で想定されている値としては、たとえば、３ＧＰＰ（Third Generation Partnership Project）のＧｘインタフェースで規定されている値が挙げられる。たとえば、Session-ID、Origin-Host、Origin-Realm、Destination-Realm、Auth-Application-Id、CC-Request-Type、CC-Request-Number、Vender-ID、Feature-List-ID、Feature-List、Framed-IPv6-Prefix、Logical-Access-IDなどである。たとえば、復号化要否判定部１２は、Client Helloメッセージにおけるレコードプロトコルで規定されているレコードヘッダ情報を抽出する。または、復号化要否判定部１２は、サーバから送信されるCertificateメッセージのサーバ証明書に含まれる情報を抽出する。また、復号化要否判定部１２は、ユーザ識別情報を抽出してもよい。たとえば、復号化要否判定部１２は、ＳＩＭ番号、ＶＬＡＮ番号、トンネル番号、電話番号等を抽出してもよい。また、このほか、ＵＲＬ，5tuple、アプリケーション等の情報を使用できる。そして、復号化要否判定部１２は、抽出した情報や値に基づいて当該通信フローの復号化要否を判定する。たとえば、復号化要否判定部１２は、通信フローに含まれるサーバ証明書を抽出して当該証明書により認証されるサーバが予め記憶部１６に安全な装置として登録されている場合、復号化不要と判定する。復号化要否判定部１２の判定手法は特に限定されず、通信フローをＳＳＬ復号化せずに抽出できる情報に基づいて判定できればよい。

復号化要否判定部１２の判定結果に基づき、ステアリング設定部１３は、各通信フローをステアリングする。すなわち、ステアリング設定部１３は、復号化要と判定された通信フローをＳＳＬ暗号化／復号化装置３０に送信するようステアリングする。また、ステアリング設定部１３は、復号化不要と判定された通信フローをＳＳＬ暗号化／復号化装置３０に送信せず直接サーバ５０等に送信するようステアリングする。

ＳＳＬ指示部１４は、ステアリング設定部１３によりＳＳＬ暗号化／復号化装置３０にステアリングされた通信フローを復号化してＤＰＩ装置４０による検査を実行するようＳＳＬ暗号化／復号化装置３０に指示する。また、ＳＳＬ指示部１４は、通信フローをＳＳＬ暗号化／復号化装置３０に送信する。

中継部１５は、ステアリング設定部１３の設定に基づき、各通信フローを他ノードに送信する。ステアリング設定部１３、ＳＳＬ指示部１４および中継部１５は、復号化要否判定部１２によりＤＰＩの実行要と判定された通信フローを復号化してＤＰＩを実行し、ＤＰＩの実行不要と判定された通信フローを復号化せずに送信先へ転送するよう制御する制御部である。

記憶部１６は、復号化要否判定のための情報を記憶する。たとえば、所定のＵＲＬやサーバが信頼できることが予め判明している場合、当該ＵＲＬや当該サーバからの通信フローについては復号化およびＤＰＩ検査は実行せずに、直接送信先へ送ればよい。そこで、たとえば、「復号化要」のＵＲＬ等と、「復号化不要」のＵＲＬ等とを予め記憶部１６に格納しておく。そして、復号化要否判定部１２は、記憶部１６に格納された情報を参照して、受信した通信フローの復号化要否を判定する。

（第１の実施形態に係る制御処理対象フロー絞り込み方法の流れの一例）
図２は、第１の実施形態に係る制御処理対象フロー絞り込み処理の流れの一例を示すフローチャートである。制御処理対象フロー絞り込み装置１０は、まず暗号化された通信フローを受信する（ステップＳ２１）。そして、制御処理対象フロー絞り込み装置１０は、当該通信フローの復号化の要否すなわちＤＰＩの要否を判定する（ステップＳ２２）。そして、復号化要と判定した場合（ステップＳ２３、ＹＥＳ）、制御処理対象フロー絞り込み装置１０は、当該通信フローをＳＳＬ暗号化／復号化装置３０およびＤＰＩ装置４０に送信し、復号化およびＤＰＩを実行させる（ステップＳ２４）。他方、復号化不要と判定した場合（ステップＳ２３、ＮＯ）、制御処理対象フロー絞り込み装置１０は、当該通信フローをＳＳＬ暗号化／復号化装置３０に送信せず、そのまま送信先に転送する（ステップＳ２５）。

ステップＳ２４において、復号化要の通信フローの復号化および検査が終了すると、検査結果を制御処理対象フロー絞り込み装置１０に通知する（ステップＳ２６）。検査の結果、当該通信フローが悪意ある通信フローたとえばウィルスを含む通信フローであると判定された場合（ステップＳ２７、ＹＥＳ）、当該通信フローを送信先には転送せず遮断する（ステップＳ２８）。他方、当該通信フローが悪意ある通信フローすなわち悪性フローではないと判定された場合（ステップＳ２７、ＮＯ）、制御処理対象フロー絞り込み装置１０は、ステップＳ２５に進み、当該通信フローを送信先へ転送する。これによって制御処理対象フロー絞り込み処理が終了する。

（第１の実施形態の効果）
このように、第１の実施形態においては、制御処理対象フロー絞り込み装置は、暗号化された通信フローを復号化することによって当該通信フローを検査することの要否を、復号化せずに取得できる当該通信フローの内容に基づいて判断する。そして、制御処理対象フロー絞り込み装置は、検査不要と判断された通信フローを復号化せずに送信先へ転送し、検査要と判断された通信フローを復号化して検査する。このため、すべての通信フローについて復号化および検査を実行する場合と比較して、暗号化された通信フローが制御対象の場合であっても、制御処理対象とする通信フローを効率的に絞り込むことができる。このため、通信フローにかかる処理負荷を減じ処理効率を向上させることができる。

（第１の実施形態の変形例１−フィードバックに基づくステアリング）
第１の実施形態にかかる制御処理対象フロー絞り込み装置１０は、復号化の要否を判定して判定結果に基づき通信フローをステアリングした。これに対して、ＳＳＬ暗号化／復号化装置３０およびＤＰＩ装置４０における処理の結果に基づいて、その後受信する通信フローのステアリング制御を実行するようにしてもよい。第１の実施形態の変形例１としてかかる実施形態を説明する。

図３は、第１の実施形態の制御処理対象フロー絞り込みシステムの変形例１を説明するための図である。図３に示す制御処理対象フロー絞り込み装置１０Ａは、第１の実施形態にかかる制御処理対象フロー絞り込み装置１０とほぼ同様の構成であるが、フィードバック処理部１７を備える点が相違する。また、制御処理対象フロー絞り込み装置１０Ａは、記憶部１６Ａ中にステアリング用データベース（ＤＢ）を備える点が第１の実施形態と異なる。以下、第１の実施形態と異なる点について主に説明する。

制御処理対象フロー絞り込み装置１０Ａが備える通信フロー受信部１１Ａ、復号化要否判定部１２Ａ、ステアリング設定部１３Ａ、ＳＳＬ指示部１４Ａ、中継部１５Ａの構成および機能は、第１の実施形態の通信フロー受信部１１、復号化要否判定部１２、ステアリング設定部１３、ＳＳＬ指示部１４、中継部１５と同様である。このため、これらの構成要素についての説明は省略する。なお、クライアント２０Ａ、ＳＳＬ暗号化／復号化装置３０Ａ、ＤＰＩ装置４０Ａおよびサーバ５０Ａの構成および機能も図１のクライアント２０、ＳＳＬ暗号化／復号化装置３０、ＤＰＩ装置４０およびサーバ５０と同様であるため説明は省略する。

フィードバック処理部１７は、ＳＳＬ暗号化／復号化装置３０Ａに送信されて復号化され、ＤＰＩ装置４０ＡでＤＰＩ処理された通信フローの処理結果のフィードバック情報を受信する。そして、フィードバック処理部１７は、フィードバック情報に基づき、以後制御処理対象フロー絞り込み装置１０Ａが受信する通信フローのステアリング制御を調整する。また、フィードバック処理部１７は、受信した処理結果を解析して、以後の復号化要否判定に使用するため記憶部１６Ａのステアリング用データベース（ＤＢ）に格納する。

たとえば、ＤＰＩ装置４０Ａによる解析の結果、所定のＵＲＬが悪意あるＵＲＬと判断された場合、当該ＵＲＬを記憶部１６Ａに記憶し、以後当該ＵＲＬからのアクセスを遮断する。また、ＤＰＩ装置４０Ａによる解析の結果、所定のＵＲＬが悪意のないＵＲＬと判断された場合、当該ＵＲＬを記憶部１６Ａに記憶し、以後当該ＵＲＬからの通信フローについては復号化およびＤＰＩ装置４０Ａによる検査は不要とする。

このように、予め判明している情報に加えて、ＳＳＬ暗号化／復号化装置３０ＡおよびＤＰＩ装置４０Ａでの処理結果のフィードバックを利用することにより、復号化要否判定の精度と効率を向上させることができる。また、このように復号化要否判定の精度を上げることで、ＳＳＬ暗号化／復号化装置３０Ａの処理負荷を低減することができる。

（第１の実施形態の変形例２−ＳＳＬ通信未対応機器への対処）
第１の実施形態に係る制御処理対象フロー絞り込み処理においては、復号化およびＤＰＩ後の通信フローは再び暗号化して送信先に送信するものとした。しかし、これに限定されず、たとえば、制御処理対象フロー絞り込み装置１０をＳＳＬ通信に対応していないネットワークと接続し、当該ネットワーク上でサービスを提供している装置に対しては復号化した通信フローを送信するものとしてもよい。

たとえば、図４は第１の実施形態に係る制御処理対象フロー絞り込みシステムの変形例２を説明するための図である。図４の（１）では、クライアントとＰＣＥＦ／ＤＰＩとをつなぐネットワークも、ＰＣＥＦ／ＤＰＩとＯＴＴとをつなぐネットワークもＳＳＬ通信に対応している。これに対して、図４の（２）のようにＰＣＥＦ／ＤＰＩとＯＴＴとをつなぐネットワークがＳＳＬ通信に対応していないというケースも考えられる。たとえば、ＯＴＴがＳＳＬに未対応であって、ユーザが空港の無線ＬＡＮ（暗号化なし）を使用して安全な通信を行いたい場合等が考えられる。このような場合には、クライアントと制御処理対象フロー絞り込み装置との間はＳＳＬ通信を行い、制御処理対象フロー絞り込み装置とＯＴＴとの間は復号化したデータを流す。

（第１の実施形態の変形例３−復号化とＤＰＩ）
第１の実施形態に係る制御処理対象フロー絞り込み処理においては、復号化要と判定された通信フローはすべて復号化およびＤＰＩの処理を受けるものとした。しかし、これに限定されず、たとえば、復号化された通信フローでなければ処理できないが信頼性の高いサーバ等が送信先である場合などは、通信フローの復号化のみを行い、ＤＰＩは行わないようにステアリングしてもよい。

このように柔軟に通信フローのステアリングを行うことで、送信先の装置や提供されるサービスに応じて効率的なステアリングを実現することができ、通信効率を向上させることができる。

（第２の実施形態）
図５は、第２の実施形態に係る制御処理対象フロー絞り込みシステムの概略構成の一例を示す図である。図５に示すように、第２の実施形態に係る制御処理対象フロー絞り込みシステムは、ＰＣＥＦ（Policy and Charging Enforcement Function）／ＤＰＩ１００とＰＣＲＦ（Policy and Charging Rule Function）２００とを備える。図５の例では、第１の実施形態の制御処理対象フロー絞り込み装置を、ＰＣＥＦ／ＤＰＩ１００およびＰＣＲＦ２００によって実現する。

ＰＣＲＦ２００はＳＳＬに基づき暗号化された通信フローを復号化することによって当該通信フローに対してＤＰＩを実行することの要否を、当該通信フローを復号化せずに取得できる当該通信フローの内容に基づいて判定する判定部として機能する。

また、ＰＣＲＦ２００は、ＤＰＩの実行要と判定された通信フローについてどのような内容でＤＰＩを実行するかをＤＰＩに指示し、ＰＣＥＦ１００に対して当該通信フローをどのように転送するか、ステアリング指示する。つまり、ＰＣＲＦ２００は、ＤＰＩの実行要と判定した通信フローのステアリング指示を実行するようＰＣＥＦ１００へ指示し、ＤＰＩの実行不要と判定された通信フローは送信先へ転送するようＰＣＥＦ／ＤＰＩ１００へ指示する制御を実行する。言い換えると、ＰＣＲＦ２００は、ＤＰＩの実行不要と判定された通信フローを復号化せずに送信先へ転送し、ＤＰＩの実行要と判断された通信フローを復号化して検査させるよう制御する制御部として機能する。

図５中、クライアント２０Ｂはアクセスポイント２１を介してネットワークに接続される。クライアント２０Ｂからの通信フローはＰＣＥＦ／ＤＰＩ１００によって受信される。ＰＣＥＦ／ＤＰＩ１００はＳＳＬ暗号化／復号化装置３０Ｂと接続される。ＳＳＬ暗号化／復号化装置３０ＢはＤＰＩ装置４０Ｂと接続される。ＤＰＩ装置４０Ｂは、ウィルスチェック機能４１、ツイッター保管庫４２、オプティマイズ機能４３等の機能部と接続される。また、ＤＰＩ装置４０ＢはＰＣＲＦ２００と接続される。ＰＣＥＦ／ＤＰＩ１００はネットワークを介してＯＴＴ５０Ｂとも接続される。

図５に示すＰＣＥＦ／ＤＰＩ１００は、受信する通信フローの内容を識別して、当該通信フローの制御判断のための情報を作成する。また、ＰＣＥＦ／ＤＰＩ１００は、ＰＣＲＦ２００からの指示に基づき、通信フローを制御する。たとえば、ＰＣＥＦ／ＤＰＩ１００は、通信フローのステアリングや、遮断、レートリミット等の制御を実行する。また、ＰＣＥＦ／ＤＰＩ１００は、ＳＳＬ暗号化／復号化装置３０ＢやＤＰＩ装置４０Ｂにおける処理の結果に基づき、通信フローを制御する。

ＰＣＥＦ／ＤＰＩ１００は、通信フローをフロー単位で切り分けて制御することができる。このため、ＰＣＥＦ／ＤＰＩ１００を用いることで、通信フローごとに制御内容、たとえば、復号化するか否か等の制御内容を変えることができる。具体的にはＰＣＥＦ／ＤＰＩ１００のうち、ＰＣＥＦは、5tuple等のレイヤー３の情報までを識別する。そして、ＰＣＥＦ／ＤＰＩ１００のうち、ＤＰＩは、レイヤー７の情報までを識別する。このため、ＰＣＲＦ２００が復号化するか否かの判断を実行した上で、ＰＣＥＦ／ＤＰＩ１００に指示することで、様々な制御内容を実行することができる。ＰＣＥＦ／ＤＰＩ１００は、通信フローをフロー単位に切り分けるために、たとえば、通常のポリシー制御で想定されている値や、ＳＳＬセッションに特有の値を用いることができる。通常のポリシー制御で想定されている値としては、たとえば、３ＧＰＰ（Third Generation Partnership Project）のＧｘインタフェースで規定されている値が挙げられる。たとえば、Session-ID、Origin-Host、Origin-Realm、Destination-Realm、Auth-Application-Id、CC-Request-Type、CC-Request-Number、Vender-ID、Feature-List-ID、Feature-List、Framed-IPv6-Prefix、Logical-Access-IDなどである。ＳＳＬセッションに特有の値としては、たとえば、Client Helloメッセージのレコードプロトコルで規定されているレコードヘッダ情報が挙げられる。また、サーバから送信されるCertificateメッセージにより送付されるサーバ証明書の情報を用いることもできる。また、たとえばＰＣＥＦ／ＤＰＩ１００は、ＳＩＭ番号、ＶＬＡＮ番号、トンネル番号、電話番号等のユーザ識別情報を用いて通信フローを切り分けてもよい。また、このほか、ＵＲＬ，5tuple、アプリケーション等の情報を使用できる。

ＰＣＥＦ／ＤＰＩ１００は、通信フローを切り分けるとともに、当該通信フローの内容を識別し制御内容を決定するための情報を作成する。たとえば、ＰＣＥＦ／ＤＰＩ１００は、通常のポリシー制御で想定されている値や、ＳＳＬセッションに特有の値を用いて、通信フローの内容を識別し制御内容を決定するための情報を作成する。ここで用いる通常のポリシー制御で想定されている値やＳＳＬセッションに特有の値は、ＰＣＥＦ／ＤＰＩ１００が通信フローをフロー単位に切り分けるために用いる値と同様である。ＰＣＥＦ／ＤＰＩ１００は、作成した制御内容を決定するための情報を、ＰＣＲＦ２００に送信する。

また、ＰＣＥＦ／ＤＰＩ１００は、ＰＣＲＦ２００が決定したフロー制御内容に基づく制御を実行する。たとえば、ＰＣＥＦ／ＤＰＩ１００は、通信フローのステアリングや遮断、レートリミット等の制御を実行する。さらに、通信フローに対してＰＣＲＦ２００が決定したフロー制御内容に基づく制御を実行した結果をもとに他ノードとの通信を実行する。たとえば、ＰＣＥＦ／ＤＰＩ１００は、通信フローに対して復号化とＤＰＩによる検査を実行した結果、ウィルスが発見された場合に当該通信フローの破棄等を実行する。

ＰＣＲＦ２００は、ＰＣＥＦ／ＤＰＩ１００が受信した通信フローにつき、ＰＣＥＦ／ＤＰＩ１００が作成した通信フローの制御判断のための情報を参照して、制御内容を決定する。また、ＰＣＲＦ２００は、通信フローの制御結果に基づき、他のノードとの通信処理の内容を設定する。ＰＣＲＦ２００が決定した制御内容はＰＣＥＦ／ＤＰＩ１００に通知され、ＰＣＥＦ／ＤＰＩ１００はＰＣＲＦ２００の決定した制御内容に基づき制御を実行する。

ＰＣＲＦ２００は、ＰＣＥＦ／ＤＰＩ１００から送信される情報に基づき、各通信フローに対する制御内容を決定する。たとえば、ＰＣＲＦ２００は、当該通信フローに対して復号化およびＤＰＩによる検査を実行するか否かを決定する。また、ＰＣＲＦ２００は、当該通信フローをそのまま送信先に送信する処理の実行を決定する。また、ＰＣＲＦ２００は、ＤＰＩ装置４０Ｂが通信フローごとにアクセス制御や暗号化が必要な装置（ウィルスチェック機能４１等）へステアリングを実行するようＤＰＩ装置４０Ｂを制御する。ＰＣＲＦ２００は、通信フローの制御結果に基づき他ノードと通信するようＰＣＥＦ／ＤＰＩ１００を制御する。すなわち、ＰＣＲＦ２００は、ＤＰＩ装置４０Ｂにおける処理結果をＰＣＥＦ／ＤＰＩ１００へフィードバックする。

ＳＳＬ暗号化／復号化装置３０Ｂは、ＯＴＴ５０Ｂとクライアント２０Ｂとの間で提供されるサービスのために送受信される情報を復号化し、暗号化する。また、ＳＳＬ暗号化／復号化装置３０Ｂは、復号化した通信フローをＤＰＩ装置４０Ｂに送信する。

ＤＰＩ装置４０Ｂは、ＰＣＲＦ２００の制御に基づきＤＰＩを実行する。また、ＤＰＩ装置４０Ｂは、ＤＰＩの結果をＰＣＲＦ２００に通知する。

なお、クライアント２０Ｂ、ＳＳＬ暗号化／復号化装置３０Ｂ、ＤＰＩ装置４０Ｂ、ＯＴＴ５０Ｂは各々、図１のクライアント２０、ＳＳＬ暗号化／復号化装置３０、ＤＰＩ装置４０、サーバ５０に概ね対応し、機能も同様である。

第２の実施形態に係る制御処理対象フロー絞り込みシステムでは、通信フローをフロー単位で制御することができるＰＣＥＦ／ＤＰＩ１００と、ＰＣＲＦ２００とを設置することで、フロー単位で復号化する制御処理対象フローを絞り込む。すなわち、ＰＣＥＦ／ＤＰＩ１００を用いてＳＳＬ暗号化／復号化させる通信フローの数をできるだけ抑制する。また、ＳＳＬ暗号化／復号化装置３０ＢおよびＤＰＩ装置４０Ｂでの処理結果をＰＣＲＦ２００に通知することにより、復号化の結果を考慮したフロー制御を実現する。かかる処理を実現するため、ＰＣＥＦ／ＤＰＩ１００は、復号化要否を判断するための情報を通信フローから抽出してＰＣＲＦ２００に送信する。ＰＣＲＦ２００は、通信フローごとにアクセス制御やステアリング制御の内容を決定し、ＤＰＩ装置４０Ｂに制御を指示する。また、ＤＰＩ装置４０Ｂは、ＤＰＩの結果をＰＣＲＦ２００に通知する。ＰＣＲＦ２００はＤＰＩの結果を加味して、さらに制御内容を決定して、ＰＣＥＦ／ＤＰＩ１００に通知する。このように、ＰＣＥＦ／ＤＰＩ１００、ＰＣＲＦ２００、ＳＳＬ暗号化／復号化装置３０ＢおよびＤＰＩ４０Ｂが動作することにより、復号化対象となる通信フローを絞り込む。

図６は、第２の実施形態に係る制御処理対象フロー絞り込み処理の流れの一例を示すフローチャートである。図６に示すように、まず、ＰＣＥＦ／ＤＰＩ１００がクライアント２０Ｂから通信フローを受信する（ステップＳ６０１）。なお、ここではクライアント２０Ｂからの通信フローを例に説明するが、ＯＴＴ５０Ｂが送信する通信フローについても同様の処理が実行される。

ＰＣＥＦ／ＤＰＩ１００は、受信した通信フローから復号化要否判定のための情報を抽出する（ステップＳ６０２）。たとえば、ＰＣＥＦ／ＤＰＩ１００は、上述の通常のポリシー制御で想定されている値や、ＳＳＬセッション特有の値を抽出する。

次に、ＰＣＥＦ／ＤＰＩ１００は、抽出した情報をＰＣＲＦ２００に送信する。ＰＣＲＦ２００は、受信した情報に基づき復号化の要否を判定する（ステップＳ６０３）。たとえば、受信した情報が、信頼性の高いサーバからの情報であることを示している場合には、ＰＣＲＦ２００は復号化不要と判定する。

そして、ＰＣＲＦ２００は、復号化要否判定の結果に基づき、当該通信フローの送信経路を決定し設定するステアリング設定を行う（ステップＳ６０４）。たとえば、ＰＣＲＦ２００が、当該通信フローは復号化してＤＰＩ処理を行うと決定した場合、当該通信フローをＳＳＬ暗号化／復号化装置３０Ｂ、ＤＰＩ装置４０Ｂに送信するステアリング設定を行う。そして、ＰＣＲＦ２００は、ＰＣＥＦ／ＤＰＩ１００およびＤＰＩ装置４０Ｂに対して、当該通信フローをステアリング設定に基づき処理するよう通知する。ＰＣＥＦ／ＤＰＩ１００は、ＰＣＲＦ２００の指示に基づき、通信フローをＳＳＬ暗号化／復号化装置３０Ｂに送信し復号化させる（ステップＳ６０５）。さらに、ＰＣＥＦ／ＤＰＩ１００は、当該通信フローをＤＰＩ装置４０Ｂに送信させ、ＤＰＩ処理を実行させる（ステップＳ６０５）。

ＤＰＩ装置４０Ｂでの処理結果および制御結果はＤＰＩ装置４０ＢからＰＣＲＦ２００に送信される（ステップＳ６０６）。ＰＣＲＦ２００は、ＤＰＩ装置４０Ｂでの処理結果および制御結果を加味して、当該通信フローの制御内容を更新し、ＰＣＥＦ／ＤＰＩ１００に指示する（ステップＳ６０７）。ＰＣＥＦ／ＤＰＩ１００は、ＰＣＲＦ２００からの制御指示に基づき、再び暗号化された当該通信フローをＯＴＴ５０Ｂに送信する等の制御を実行する（ステップＳ６０８）。これで、制御処理対象フロー絞り込みの一例が終了する。

なお、図６のフローは通信フローに対して復号化およびＤＰＩを実行する例としたが、ＰＣＲＦ２００が決定する制御内容に応じて、復号化およびＤＰＩを実行せずに通信フローをそのまま送信するケース、復号化およびＤＰＩの結果通信フローを遮断するケース等がある。

（第２の実施形態に係る制御処理対象フロー絞り込み処理の流れの例）
図７は、第２の実施形態に係る制御処理対象フロー絞り込み処理の流れの一例を説明するためのシーケンスチャートである。図７を参照して、第２の実施形態に係る処理の流れの一例を説明する。

まず、ＰＣＥＦ／ＤＰＩ１００は、Client Hello等の呼を受信すると、ＣＣＲ−Ｉ（Credit-Control-Request Initialization）メッセージをＰＣＲＦ２００に送信する（図７の（１））。このメッセージを送信することで、ＰＣＥＦ／ＤＰＩ１００は、ＰＣＦＲ２００に対してＳＳＬ暗号化・復号化の要否判断を要求する。このとき、ＰＣＥＦ／ＤＰＩ１００は、受信した呼が含む情報であって暗号化／復号化の要否判定の基礎となる情報を抽出し、ＰＣＲＦ２００に送信する。

ＰＣＲＦ２００は、ＣＣＲ−Ｉを受信して、当該通信フローに対する制御内容を決定する。そして、ＰＣＲＦ２００は、ＰＣＥＦ／ＤＰＩ１００に対して、制御内容（たとえばステアリングの内容）を指示するＣＣＡ（Credit-Control-Answer）を送信する。図７では、ＰＣＲＦ２００は復号化を指示するＣＣＡを送信したものとする（図７の（２））。

ＰＣＲＦ２００はまた、ＤＰＩ装置４０Ｂに対して決定した制御（ステアリング等）を実行するよう指示するＲＡＲ（Reauthorization Request） ＤＰＩを送信する。ここでは、ＰＣＲＦ２００はＤＰＩの実行を指示するＲＡＲを送信したものとする（図７の（３））。ＤＰＩ装置４０Ｂは、ＲＡＲに応答してＲＡＡ（Reauthorization Answer）をＰＣＲＦ２００に返す（図７の（４））。

また、ＰＣＥＦ／ＤＰＩ１００はＳＳＬ暗号化／復号化装置３０Ｂに対してＳＳＬプロキシ動作を実行するよう指示する。ＳＳＬ暗号化／復号化装置３０Ｂは指示に応じた処理を実行する（図７のU-Plane-(1)）。

また、ＳＳＬ暗号化／復号化装置３０Ｂは、ＤＰＩ装置４０Ｂに対して通信フローを送信する（図７のU-Plane-(2)）。ＤＰＩ装置４０Ｂは、ＰＣＲＦ２００から指示された内容に基づき処理を実行する。また、ＰＣＲＦ２００からウィルスチェック機能４１、ツイッター保管庫４２、オプティマイズ機能４３等での処理を指示されている場合、ＤＰＩ装置４０Ｂからこれらの機能部にデータを送信するステアリング制御が行われ処理が実行される（図７のU-Plane-(3)）。ＤＰＩ装置４０Ｂは処理が完了した後、処理結果および制御結果をＰＣＲＦ２００に通知する。

ＰＣＲＦ２００は、ＤＰＩ装置４０Ｂからの通知を受信し、ＰＣＥＦ／ＤＰＩ１００に対する制御指示を送信する。すなわち、ＰＣＲＦ２００は、ＰＣＥＦ／ＤＰＩ１００にＲＡＲを送信する（図７の（５））。ＰＣＥＦ／ＤＰＩ１００は、ＰＣＲＦ２００にＲＡＡを返し（図７の（６））、制御を実行する。ＳＳＬ暗号化／復号化装置３０Ｂは、ＤＰＩ装置４０Ｂ等での処理が完了すると再び通信フローを暗号化してＰＣＥＦ／ＤＰＩ１００に送信する。なお、図７中、「U-Plane」はユーザプレーンを意味する。

（第２の実施形態の効果）
このように、第２の実施形態に係る制御処理対象フロー絞り込み方法は、ＳＳＬに基づき暗号化された通信フローを復号化することによって当該通信フローに対してＤＰＩを実行することの要否を、当該通信フローを復号化せずに取得できる当該通信フローの内容に基づいて判定する判定工程を含む。また、制御処理対象フロー絞り込み方法は、ＤＰＩの実行要と判定された通信フローを復号化してＤＰＩを実行し、ＤＰＩの実行不要と判定された通信フローを復号化せずに送信先へ転送する工程を含む。

このため、ＳＳＬ暗号化された通信フローであっても、復号化せずに抽出できる情報を基に、復号化の要否を判定して制御することができる。このため、暗号化された通信フローが制御対象の場合であっても、制御処理対象とする通信フローを効率的に絞り込むことができる。

また、第２の実施形態に係る制御処理対象フロー絞り込み方法においては、通信フローに対してＤＰＩを実行することの要否の判定は、通信フローのクライアントハローメッセージに含まれるレコードヘッダ情報またはサーバ証明書に基づいて行う。このため、暗号化された通信フローであっても容易に信頼度を判定して、復号化してウィルスチェック等の検査まで行うか否かを判断することができる。

また、第２の実施形態に係る制御処理対象フロー絞り込み方法においては、ＤＰＩの実行要と判定された通信フローに対するＤＰＩの実行結果のフィードバックを受けて、ＤＰＩの実行要否判定に利用する。このため、ＤＰＩ結果を利用してさらに処理対象とするフローを絞り込むことができ、処理効率を累進的に高めることができる。

また、第２の実施形態に係る制御処理対象フロー絞り込み方法は、フィードバックを受けて、ＤＰＩの実行要の通信フローとＤＰＩの実行不要の通信フローとを当該通信フローの送信先ＵＲＬに基づいて分類し記憶部に格納する格納工程をさらに含む。また、記憶部は、複数のＰＣＲＦおよびＰＣＥＦが共用してもよい。このため、ＤＰＩの実行結果を記憶して、他のＰＣＲＦやＰＣＥＦ／ＤＰＩが共有し利用することができ、さらに処理効率を高めることができる。

（第３の実施形態）
なお、図５の第２の実施形態の構成例では、ＳＳＬ暗号化／復号化装置３０ＢとＰＣＲＦ２００とは直接接続しない構成とした。しかし、これに限定されず、たとえば、ＳＳＬ暗号化／復号化装置３０ＢとＰＣＲＦ２００とを接続して、ＳＳＬ暗号化／復号化装置３０ＢとＰＣＲＦ２００とが連携するように構成してもよい。

たとえば、ＤＰＩ処理の結果、以後ＤＰＩが不要と判断された場合等に、ＳＳＬ暗号化／復号化装置３０ＢからＰＣＲＦ２００にＤＰＩステアリングを停止するよう通知する。そして、ＰＣＲＦ２００がステアリング停止設定を実行し、ＰＣＥＦ／ＤＰＩ１００に指示するよう構成してもよい。

たとえば、図５においてＳＳＬ暗号化／復号化装置３０ＢとＰＣＲＦ２００との間が接続されているとする。この場合に、ＳＳＬ暗号化／復号化装置３０Ｂは、復号化結果をＰＣＲＦ２００に送信する。ＰＣＲＦ２００は、受信した復号化結果にもとづき、当該データをＤＰＩ装置４０Ｂへステアリングするか否かを決定する。またＰＣＲＦ２００は、受信した復号化結果に基づき、ウィルスチェック４１等のＤＰＩ装置４０Ｂ配下に配置されるサービスを使用するか否かを決定する。すなわち、ＰＣＲＦ２００は、復号化されたフローをＤＰＩ装置４０Ｂ配下のサービスに送信するか否かを決定する。ＰＣＲＦ２００は、決定した内容をＳＳＬ暗号化／復号化装置３０Ｂに指示する。

ＳＳＬ暗号化／復号化装置３０Ｂは、ＰＣＲＦ２００からの指示を受信して、ＤＰＩ装置４０Ｂによる処理およびＤＰＩ装置４０Ｂ配下のサービスを利用するか否か判別する。たとえば、ＳＳＬ暗号化／復号化装置３０Ｂは、ウィルスチェック機能４１、ツイッター保管庫、オプティマイズ機能４３等のＤＰＩ装置４０Ｂ配下のサービスを利用するか否かを判別する。そして、ＳＳＬ暗号化／復号化装置３０ＢからＤＰＩ装置４０Ｂに指示してＤＰＩおよび付加的なサービスのうち、利用すると判別された処理を実行する。

また、ＤＰＩを仮想化して、複数のＳＳＬ暗号化／復号化装置がＤＰＩを共用することができるように構成してもよい。

（プログラム）
図８は、開示の技術に係る制御処理対象フロー絞り込みプログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブ１０８０と、ネットワークインタフェース１０７０とを有する。コンピュータ１０００の各部はバス１１００によって接続される。

メモリ１０１０は、図８に例示するように、ＲＯＭ１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。

ここで、図８に例示するように、ハードディスクドライブ１０８０は、例えば、ＯＳ１０８１、アプリケーションプログラム１０８２、プログラムモジュール１０８３、プログラムデータ１０８４を記憶する。すなわち、開示の実施の形態に係る制御処理対象フロー絞り込みプログラムは、コンピュータによって実行される指令が記述されたプログラムモジュール１０８３として、例えばハードディスクドライブ１０８０に記憶される。

また、制御処理対象フロー絞り込みプログラムによる情報処理に用いられるデータは、プログラムデータ１０８４として、例えばハードディスクドライブ１０８０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０８０に記憶されたプログラムモジュール１０８３やプログラムデータ１０８４を必要に応じてＲＡＭ１０１２に読み出し、各種の手順を実行する。

なお、制御処理対象フロー絞り込みプログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ハードディスクドライブ１０８０に記憶される場合に限られない。例えば、プログラムモジュール１０８３やプログラムデータ１０８４は、着脱可能な記憶媒体に記憶されてもよい。この場合、ＣＰＵ１０２０は、ディスクドライブなどの着脱可能な記憶媒体を介してデータを読み出す。また、同様に、制御処理対象フロー絞り込みプログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。この場合、ＣＰＵ１０２０は、ネットワークインタフェース１０７０を介して他のコンピュータにアクセスすることで各種データを読み出す。

［その他］
なお、本実施形態で説明した制御処理対象フロー絞り込みプログラムは、インターネット等のネットワークを介して配布することができる。また、制御処理対象フロー絞り込みプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読取可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

なお、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０ 制御処理対象フロー絞り込み装置
１１ 通信フロー受信部
１２ 復号化要否判定部
１３ ステアリング設定部
１４ ＳＳＬ指示部
１５ 中継部
１６ 記憶部
１７ フィードバック処理部
２０ クライアント
２１ ＡＰ
３０ ＳＳＬ暗号化／復号化装置
４０ ＤＰＩ装置
４１ ウィルスチェック機能
４２ ツイッター保管庫
４３ オプティマイズ機能
５０ サーバ
１００ ＰＣＥＦ／ＤＰＩ
２００ ＰＣＲＦ

Claims (8)

1. 暗号化された通信フローを復号化することによって当該通信フローを検査することの要否を、復号化せずに取得できる当該通信フローに含まれる通常のポリシー制御で想定されている値の内容に基づいて判断する工程と、
   検査不要と判断された通信フローを復号化せずに送信先へ転送し、検査要と判断された通信フローを復号化して検査する工程と、
   を含むことを特徴とする制御処理対象フロー絞り込み方法。
2. ＳＳＬ（Secure Sockets Layer）に基づき暗号化された通信フローを復号化することによって当該通信フローに対してＤＰＩ（Deep Packet Inspection）を実行することの要否を、当該通信フローを復号化せずに取得できる当該通信フローに含まれる通常のポリシー制御で想定されている値の内容に基づいて判定する判定工程と、
   ＤＰＩの実行要と判定された通信フローを復号化してＤＰＩを実行し、ＤＰＩの実行不要と判定された通信フローを復号化せずに送信先へ転送する工程と、
   を含むことを特徴とする制御処理対象フロー絞り込み方法。
3. 前記通信フローに対してＤＰＩを実行することの要否の判定は、前記通信フローのクライアントハローメッセージに含まれるレコードヘッダ情報またはサーバ証明書に基づいて行うことを特徴とする請求項２に記載の制御処理対象フロー絞り込み方法。
4. 前記判定工程は、前記ＤＰＩの実行要と判定された通信フローに対するＤＰＩの実行結果のフィードバックを利用することを特徴とする請求項２または３に記載の制御処理対象フロー絞り込み方法。
5. 前記フィードバックを受けて、ＤＰＩの実行要の通信フローとＤＰＩの実行不要の通信フローとを当該通信フローの送信先ＵＲＬに基づいて分類し記憶部に格納する格納工程をさらに含むことを特徴とする請求項４に記載の制御処理対象フロー絞り込み方法。
6. 前記記憶部は、複数のＰＣＲＦ（Policy and Charging Rule Function）およびＰＣＥＦ（Policy and Charging Enforcement Function）が共用することを特徴とする請求項５に記載の制御処理対象フロー絞り込み方法。
7. 暗号化された通信フローを復号化することによって当該通信フローを検査することの要否を、復号化せずに取得できる当該通信フローに含まれる通常のポリシー制御で想定されている値の内容に基づいて判断する復号化要否判定部と、
   検査不要と判断された通信フローを復号化せずに送信先へ転送し、検査要と判断された通信フローを復号化して検査させるよう制御する制御部と、
   を備えることを特徴とする制御処理対象フロー絞り込み装置。
8. ＳＳＬ（Secure Sockets Layer）に基づき暗号化された通信フローを復号化することによって当該通信フローに対してＤＰＩ（Deep Packet Inspection）を実行することの要否を、当該通信フローを復号化せずに取得できる当該通信フローに含まれる通常のポリシー制御で想定されている値の内容に基づいて判定する判定部と、
   ＤＰＩの実行要と判定された通信フローを復号化してＤＰＩを実行し、ＤＰＩの実行不要と判定された通信フローを復号化せずに送信先へ転送するよう制御する制御部と、
   を含むことを特徴とする制御処理対象フロー絞り込み装置。

Images