JP6310822B2

JP6310822B2 - 仮想マシンのリソース管理システム、方法及びプログラム

Info

Publication number: JP6310822B2
Application number: JP2014177204A
Authority: JP
Inventors: 浩明前田; 小島　久史; 久史小島; 正夫相原
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-09-01
Filing date: 2014-09-01
Publication date: 2018-04-11
Anticipated expiration: 2034-09-01
Also published as: JP2016052044A

Description

本発明の実施形態は、仮想マシンのリソース管理システム、方法及びプログラムに関する。

１つの物理サーバ上に複数の仮想マシンを配置し、各仮想マシンに割り当てるＣＰＵやメモリ等のリソース量を需要増加等の必要に応じて変更することで、物理サーバのリソースの利用効率を高める技術がある（例えば非特許文献１参照）。

従来のDoS(Denial Of Service)/DDoS(Distributed Denial of Service)攻撃検知・防御技術（IDS(Intrusion Detection System)/IPS(Intrusion Protection System)等）では、サーバへのDoS/DDoS攻撃を検知する手法として、攻撃毎に設定された検知パラメータに閾値を定め、閾値を超えるパラメータを示す通信が到達した場合にサーバが攻撃を受けたとみなす手法が用いられる。

また、通常使われるHTTP(Hypertext Transfer Protocol)やDNS(Domain Name System)などを用いたDoS/DDoS攻撃を検知するために、平常時のトラヒックパターンを学習することで、ある時刻の閾値を自動的に設定する方式も存在する（例えば非特許文献２参照）。

日本HP，"HP Integrity サーバー - 仮想化，"、［online］、［平成２６年８月２１日検索］、インターネット〈URL：http://h50146.www5.hp.com/products/servers/integrity/vse/〉水口孝則他，"トラフィック解析システムSAMURAIとサービス展開，"、［online］、NTT技術ジャーナル，2008.7、［平成２６年８月２１日検索］、インターネット〈URL：http://www.ntt.co.jp/journal/0807/files/jn200807016.pdf〉

しかし、仮想マシンへのリソース割り当てを管理する機能部（OpenStack、オーケストレータ等）と攻撃検知のための閾値を設定する機能部（IDS/IPS等）とで、リソース割り当てと連携する仕組みは存在しない。このため、保護対象の仮想マシンの処理能力が動的に変化する場合、以下の２つの課題が生じる可能性がある。

１つ目の課題について説明する。仮想マシンのリソースが需要変動等に伴い自動的に増減しても、IDSの攻撃検知閾値はそのままであるため、攻撃の検知性能が低下する可能性がある。
例えば、ある仮想マシンへの需要の増加に伴い、より大量のトラヒックを処理できるように仮想マシンのリソースの追加割り当てを実施する場合、該仮想マシンを防御するために設置されたIDSの攻撃検知閾値は仮想マシンのリソース追加前と同じであるため、正常通信の誤検知（False Positive）が増加する可能性がある。
また、ある仮想マシンへの需要の減少に伴い、該仮想マシンのリソースが自動的に削減される場合も、IDSの攻撃検知閾値は固定であるため、異常通信の見落とし（False Negative）が増加する可能性がある。

２つ目の課題について説明する。仮想マシンへリソースが自動的に割り当てられる際には、IDS側の設定は考慮されない。このため、仮想マシンに対して、IDS側で想定しているよりも少ないリソース量しか割り当てられない等の、IDS側から見ると不適切なリソース割り当てが発生する可能性がある。

例えば、ある仮想マシンを防御するために設置されたIDSにおいて、通信量が100Mbpsを超えた場合にこの通信をDoS/DDoS攻撃として検知するという設定がなされていた場合、防御対象の仮想マシンは最低でも100Mbpsの通信量を処理できる能力が求められる。しかし、仮想マシンへのリソース割り当てを管理する機能部はIDSとは独立に動作する。このため、仮想マシンに対して十分なリソースの割り当てがなされない可能性（例えば50Mbpsまでの通信量を処理できるように割り当てる）等）があり、通信量がIDSの閾値以下でも仮想マシンがサービス不能に陥る恐れがある。

本発明は、仮想マシンへのリソース割り当てと仮想マシンに対する攻撃検知とを適切に行なうことが可能になる仮想マシンのリソース管理システム、方法及びプログラムを提供することを目的とする。

上記目的を達成するために、この発明の実施形態における仮想マシンのリソース管理システムの態様は、物理マシン上に配置されて前記物理マシン上のリソースを共有する、前記物理マシンの台数より多い台数の仮想マシンに対する、前記物理マシンのリソースの割り当てを管理するリソース管理機能部と、前記仮想マシンによる通信状態を示す値と当該仮想マシン用の所定の攻撃検知閾値とを比較することで、前記仮想マシンに対するDoS/DDoS攻撃を検知する攻撃検知機能部と、前記リソース管理機能部により管理する、前記仮想マシンのリソースの割り当てに基づいて、前記仮想マシン毎の前記攻撃検知閾値を設定する攻撃検知閾値設定機能部とを具備する仮想マシンのリソース管理システムを提供する。

本発明の実施形態における仮想マシンのリソース管理方法の態様は、仮想マシンのリソース管理システムに適用される方法であって、前記仮想マシンのリソース管理システムは、物理マシン上に配置されて前記物理マシン上のリソースを共有する、前記物理マシンの台数より多い台数の仮想マシンに対する、前記物理マシンのリソースの割り当てを管理し、前記仮想マシンによる通信状態を示す値と当該仮想マシン用の所定の攻撃検知閾値とを比較することで、前記仮想マシンに対するDoS/DDoS攻撃を検知し、前記管理する、前記仮想マシンのリソースの割り当てに基づいて、前記仮想マシン毎の前記攻撃検知閾値を設定する。

本発明によれば、仮想マシンへのリソース割り当てと攻撃検知を適切に行なうことができる。

本発明の実施形態における仮想マシンのリソース管理システムを構成するための物理ネットワーク構成例を示す図。本発明の実施形態における仮想マシンのリソース管理システムを構成するための論理ネットワーク構成例を示す図。本発明の実施形態における仮想マシンのリソース管理システムにおけるDoS/DDoS攻撃検知装置の構成例を示す図。本発明の実施形態における仮想マシンのリソース管理システムにおける仮想マシンリソース情報テーブルの一例を表形式で示す図。本発明の実施形態における仮想マシンのリソース管理システムにおける攻撃検知閾値情報テーブルの一例を表形式で示す図。本発明の実施形態における仮想マシンのリソース管理システムにおける仮想マシンリソース管理装置の構成例を示す図。本発明の実施形態における仮想マシンのリソース管理システムによる動作手順の一例を示す図。本発明の実施形態における仮想マシンのリソース管理システムによる動作手順の一例を示す図。

以下、図面を参照して、この発明に係る実施形態を説明する。
図１は、本発明の実施形態における仮想マシンのリソース管理システムを構成するための物理ネットワーク構成例を示す図である。
ここでは、一例として、インターネットやネットワーク事業者網１から接続可能なデータセンタ２内に物理サーバ群３０が存在し、これらの物理サーバに対するDoS/DDoS攻撃を検知するためのDoS/DDoS攻撃検知装置１０、仮想マシンリソース管理装置２０（OpenStack、オーケストレータ等）が設置された環境を想定する。

図２は、本発明の実施形態における仮想マシンのリソース管理システムを構成するための論理ネットワーク構成例を示す図である。
各物理サーバ３１（３１ａ,３１ｂ）上では、複数の仮想マシン３２（３２ａ〜３２ｄ）が自身の存在する物理サーバ上のリソースを共有しながら動作している。たとえば、第１物理サーバ３１ａ上では、第１仮想マシン３２ａおよび第２仮想マシン３２ｂが配置され、第２物理サーバ３１ｂ上では、第３仮想マシン３２ｃおよび第４仮想マシン３２ｄが配置される。

仮想マシンリソース管理装置２０はリソース管理機能部２１を有する。このリソース管理機能部２１は、各仮想マシン３２ａ〜３２ｄのリソース量（ＣＰＵ容量、メモリ容量、NW帯域容量、ストレージ容量等）を管理する。

なお、各仮想マシン３２ａ〜３２ｄに割り当てられたリソース量は固定ではなく、各仮想マシン３２ａ〜３２ｄの需要変動（例えば、仮想マシン３２上でＷｅｂサーバが動作しているとすると、イベント等に伴う対象Ｗｅｂサイトへのアクセス数の増加や減少）等の必要に応じて、適宜、リソース管理機能部２１によって追加・削除される。

また、DoS/DDoS攻撃検知装置１０は、仮想マシン３２ａ〜３２ｄ毎の仮想マシン用DoS/DDoS攻撃検知機能部１２（１２ａ〜１２ｄ）を有する。仮想マシン用DoS/DDoS攻撃検知機能部１２は、各仮想マシン３２ａ〜３２ｄによる通信を監視することでDoS/DDoS攻撃を検知する。

各仮想マシン３２ａ〜３２ｄ用の仮想マシン用DoS/DDoS攻撃検知機能部１２ａ〜１２ｄは、背景技術でも述べた、仮想マシン３２の所定の攻撃検知閾値をベースとして攻撃を検知する。

DoS/DDoS攻撃検知装置１０は、攻撃検知閾値設定機能部１１を有する。攻撃検知閾値設定機能部１１は、仮想マシン３２ａ〜３２ｄ毎の攻撃検知閾値を設定する。

なお、図中では、１つの物理的なDoS/DDoS攻撃検知装置１０内に各仮想マシン３２ａ〜３２ｄ用の仮想マシン用DoS/DDoS攻撃検知機能部１２ａ〜１２ｄが論理的に存在するように記載しているが、仮想マシン３２ａ〜３２ｄ毎に物理的なDoS/DDoS攻撃検知装置１０を備える構成も考えられる。

また、図２では、攻撃検知閾値設定機能部１１とリソース管理機能部２１とが別々の装置内に存在するように図示しているが、これらの攻撃検知閾値設定機能部１１とリソース管理機能部２１とを、例えばオーケストレータ（ネットワークやサーバ、ストレージを統合的に管理・制御するソフトウエア）のような形態で同一装置内に実装し、DoS/DDoS攻撃検知装置１０と仮想マシンリソース管理装置２０とを一括制御する構成も考えられる。

なお、インターネットからDoS/DDoS攻撃検知装置１０に入ってきたパケットを各仮想マシン３２ａ〜３２ｄ用の仮想マシン用DoS/DDoS攻撃検知機能部１２ａ〜１２ｄに振り分ける方法については、物理的に異なる回線を用いて振り分けたり、VLAN(Virtual Local Area Network)により振り分けたり、またはVXLAN(Virtual eXtensible Local Area Network)のような論理Ｌ２トンネルにより振り分けたりする等の方法が考えられる。

図３は、本発明の実施形態における仮想マシンのリソース管理システムにおけるDoS/DDoS攻撃検知装置１０の構成例を示す図である。
仮想マシン毎に存在する仮想マシン用DoS/DDoS攻撃検知機能部１２（１２ａ〜１２ｄ）は、インターネットやネットワーク事業者網１と各仮想マシン３２ａ〜３２ｄとの間の通信を監視して、仮想マシン毎に設定された攻撃検知閾値に基づいて各仮想マシン３２ａ〜３２ｄへのDoS/DDoS攻撃を検知する機能を具備する。

攻撃検知閾値設定機能部１１は、仮想マシンリソース管理装置２０のリソース管理機能部２１との通信機能を具備する。
また、攻撃検知閾値設定機能部１１は、リソース管理機能部２１から通知された仮想マシンリソース情報を、自身が保有する仮想マシンリソース情報テーブル１３に格納する機能を具備する。

さらに、攻撃検知閾値設定機能部１１は、仮想マシンリソース情報に基づき仮想マシン毎のDoS/DDoS攻撃検知閾値を生成し、この生成した閾値を攻撃検知閾値設定機能部１１が保有する攻撃検知閾値情報テーブル１４に格納するとともに、この生成した閾値を仮想マシン用DoS/DDoS攻撃検知機能部１２（１２ａ〜１２ｄ）に対して設定する機能を具備する。
また、攻撃検知閾値設定機能部１１は、生成した攻撃検知閾値情報をリソース管理機能部２１に通知する機能を具備する。

図４は、本発明の実施形態における仮想マシンのリソース管理システムにおける仮想マシンリソース情報テーブル１３の一例を表形式で示す図である。
図４に示すように、仮想マシンリソース情報テーブル１３は、リソース管理機能部２１から通知された仮想マシン毎のリソース情報を格納するためのテーブルである。この仮想マシンリソース情報テーブル１３は、各仮想マシン３２ａ〜３２ｄを一意に識別可能な仮想マシン識別情報と、仮想マシンリソース情報（ＣＰＵ数、ＣＰＵ利用率、メモリ容量、ネットワーク帯域、ディスク容量等）とを含む。

なお、仮想マシンリソース情報テーブル１３中の各パラメータの項目および値は一例であり、手動または自動で任意の値を設定可能である。自動設定方式の一例としては、上記の非特許文献２でも開示されている、平常時のトラヒックパターンの学習により、ある時刻の閾値を自動的に設定する方式が考えられる。

図５は、本発明の実施形態における仮想マシンのリソース管理システムにおける攻撃検知閾値情報テーブル１４の一例を表形式で示す図である。
図５に示すように、攻撃検知閾値情報テーブル１４は、手動設定または攻撃検知閾値設定機能部１１により自動生成された、仮想マシン毎の攻撃検知閾値情報を格納するためのテーブルである。
この攻撃検知閾値情報テーブル１４は、各仮想マシン３２ａ〜３２ｄを一意に識別可能な仮想マシン識別情報と、攻撃毎の検知閾値情報とを有する。検知閾値情報のパラメータは、１秒間のポートスキャン回数、セッション数、ネットワーク帯域、１秒間のTCP SYNパケット数、１秒間のICMPパケット数、１秒間のTCPパケット数、１秒間のUDPパケット数、１秒間のDNSパケット数、１秒間のNTPパケット数等である。

なお、図５中の検知閾値情報の各パラメータの項目および値は一例であり、手動または自動で任意の値を設定可能である。また、図５に示した例では、例えば、第１仮想マシン３２ａのTCP SYNの項目やICMPの項目で、閾値の値としてＸという同じ記号を便宜上用いているが、通常、項目毎に異なる値を設定すると想定されるので、項目毎に異なる値を設定することも可能である。

図６は、本発明の実施形態における仮想マシンのリソース管理システムにおける仮想マシンリソース管理装置２０の構成例を示す図である。
仮想マシンリソース管理装置２０のリソース管理機能部２１は、DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１、管理対象の物理サーバ３１や仮想マシン３２との通信機能を具備する。また、リソース管理機能部２１は、DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１から通知された、仮想マシン毎の攻撃検知閾値情報を、自身の保有する攻撃検知閾値情報テーブル２３に格納する機能を具備する。

さらに、リソース管理機能部２１は、攻撃検知閾値情報に基づき仮想マシン毎の割り当てリソース量を制御する機能を具備する。
また、リソース管理機能部２１は、仮想マシン毎の通信量等に基づいて各仮想マシン３２ａ〜３２ｄへの需要変動を監視し、リソース不足やリソース過多等の必要に応じて、各仮想マシン３２ａ〜３２ｄへの動的なリソース追加・削減を実施する機能を具備する。

また、リソース管理機能部２１は、各仮想マシン３２ａ〜３２ｄへのリソース追加・削除を実施する際に、変更された仮想マシンリソース情報を自身の保有する仮想マシンリソース情報テーブル２２に格納する機能を有する。

仮想マシンリソース情報テーブル２２および攻撃検知閾値情報テーブル２３の内容は、図４や図５に示したような、DoS/DDoS攻撃検知装置１０側の仮想マシンリソース情報テーブル１３や攻撃検知閾値情報テーブル１４と同様のため省略する。

次に、仮想マシン３２のリソースが需要変動等に伴い自動的に増減した場合に、攻撃検知閾値を増減させることによる、攻撃の検知性能が低下することを防ぐための手順について説明する。
図７は、本発明の実施形態における仮想マシンのリソース管理システムによる動作手順の一例を示す図である。
まず、仮想マシンリソース管理装置２０のリソース管理機能部２１は、任意の仮想マシン３２の需要変動等に伴い、この仮想マシン３２のリソース量の追加・削減を実施する（Ｓ１）。

仮想マシンリソース管理装置２０のリソース管理機能部２１は、変更されたリソース量を示す仮想マシンリソース情報を、仮想マシンリソース管理装置２０内の仮想マシンリソース情報テーブル２２における、リソース量が変更された仮想マシン用のエリアに格納する（Ｓ２）。
例えば、第１仮想マシン３２ａへのリソースの割り当てが変更された場合は、リソース管理機能部２１は、変更されたリソース量を示す情報を、仮想マシンリソース情報テーブル２２上の第１仮想マシン３２ａに対応するエリアに格納する。

仮想マシンリソース管理装置２０のリソース管理機能部２１は、仮想マシンリソース割り当て変更に伴う、このリソース割り当て変更がなされた仮想マシン３２の攻撃検知閾値更新要求をDoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１に送信する。この際、リソース管理機能部２１は、変更された仮想マシンリソース情報を攻撃検知閾値更新要求の通信に含めて攻撃検知閾値設定機能部１１に送信（通知）する（Ｓ３）。

DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、リソース管理機能部２１から通知された仮想マシンリソース情報を、DoS/DDoS攻撃検知装置１０の保有する仮想マシンリソース情報テーブル１３における、リソース量が変更された仮想マシン用のエリアに格納する（Ｓ４）。

DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、リソース管理機能部２１から通知された仮想マシンリソース情報に基づき、対象の仮想マシン用DoS/DDoS攻撃検知機能部１２（１２ａ〜１２ｄ）に設定するための攻撃検知閾値を生成し、この攻撃検知閾値を自身の保有する攻撃検知閾値情報テーブル１４に格納する（Ｓ５）。
例えば、第１仮想マシン３２ａへのリソースの割り当てが変更された場合は、攻撃検知閾値設定機能部１１は、第１仮想マシン３２ａ用の攻撃検知閾値を生成し、この攻撃検知閾値を攻撃検知閾値情報テーブル１４上の第１仮想マシン３２ａに対応するエリアに格納する。

この際、仮想マシン３２のリソース量が増加する場合は、攻撃検知閾値設定機能部１１により、この仮想マシン用の攻撃検知閾値を増加させることで、正常通信の誤検知を低減することが可能になる。また、仮想マシン３２のリソース量が減少する場合は、攻撃検知閾値設定機能部１１により、この仮想マシン用の攻撃検知閾値を減少させることで、異常通信の見落としを低減することが可能になる。

なお、仮想マシンリソース情報に基づいて攻撃検知閾値を生成するアルゴリズムについては特に限定しない。一例として、平常時に割り当てられたリソース量での処理能力を１として、平常時用に設定された攻撃検知閾値を、リソース量の増減に伴う処理能力の変化の割合と同じ割合で増減させる方法が考えられる。具体的な例としては、ある仮想マシンのリソース量が増加することで処理能力が平常時の２倍になった場合に、攻撃検知閾値も２倍にする等が考えられる。

DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、Ｓ５で生成した攻撃検知閾値の適用要求を、適用先となる、DoS/DDoS攻撃検知装置１０の任意の仮想マシン用DoS/DDoS攻撃検知機能部１２に送信する（Ｓ６）。
例えば、第１仮想マシン３２ａ用の攻撃検知閾値が生成された場合は、攻撃検知閾値設定機能部１１は、生成した攻撃検知閾値の適用要求を、適用先となる第１仮想マシン用DoS/DDoS攻撃検知機能部１２ａに送信する。

DoS/DDoS攻撃検知装置１０の任意の仮想マシン用DoS/DDoS攻撃検知機能部１２は、攻撃検知閾値設定機能部１１から通知された攻撃検知閾値を適用の上で、通信の監視を継続する（Ｓ７）。
例えば、第１仮想マシン用DoS/DDoS攻撃検知機能部１２ａは、攻撃検知閾値設定機能部１１から通知された、第１仮想マシン３２ａ用の攻撃検知閾値を適用の上で、通信の監視を継続する。

攻撃検知閾値の適用先である、DoS/DDoS攻撃検知装置１０の任意の仮想マシン用DoS/DDoS攻撃検知機能部１２は、攻撃検知閾値の適用完了応答をDoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１に送信する（Ｓ８）。

DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、攻撃検知閾値更新完了応答を仮想マシンリソース管理装置２０のリソース管理機能部２１に送信する。この際、攻撃検知閾値設定機能部１１は、適用完了した攻撃検知閾値情報を攻撃検知閾値更新完了応答の通信に含めてリソース管理機能部２１に送信（通知）する（Ｓ９）。

仮想マシンリソース管理装置２０のリソース管理機能部２１は、攻撃検知閾値設定機能部１１から通知された攻撃検知閾値情報を仮想マシンリソース管理装置２０内の攻撃検知閾値情報テーブル２３における、対象の仮想マシン用のエリアに格納する（Ｓ１０）。

Ｓ１からＳ１０の手順を経ることで、仮想マシンリソース管理装置２０の仮想マシンへのリソース割り当てを管理するリソース管理機能部２１とDoS/DDoS攻撃検知装置１０（IDS/IPS等）の攻撃検知閾値設定機能部１１とを連携させて、仮想マシン３２のリソースが需要変動等に伴い自動的に増減した場合に、攻撃検知閾値を増減させることができるため、攻撃の検知性能が低下することを防ぐことができる。

具体的には、仮想マシン３２へのリソース追加時に攻撃検知閾値を増加させることで、本発明を用いない場合よりも正常通信の誤検知を削減可能となる。また、仮想マシン３２のリソース削減時に攻撃検知閾値を減少させることで、異常通信の見落としを削減可能となる。

次に、不適切なリソース割り当ての発生を防止するための手順について説明する。
図８は、本発明の実施形態における仮想マシンのリソース管理システムによる動作手順の一例を示す図である。
手動または自動設定に基づいて任意の仮想マシン３２の攻撃検知閾値が変更される場合、DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、変更後の攻撃検知閾値情報をDoS/DDoS攻撃検知装置１０が保有する攻撃検知閾値情報テーブル１４における、上記のように攻撃検知閾値が変更された仮想マシン用のエリアに格納する（Ｓ１１）。

DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、変更した攻撃検知閾値の適用要求を、適用先となるDoS/DDoS攻撃検知装置１０の任意の仮想マシン用DoS/DDoS攻撃検知機能部１２に送信する（Ｓ１２）。
例えば、第１仮想マシン３２ａ用の攻撃検知閾値が変更された場合は、攻撃検知閾値設定機能部１１は、変更した攻撃検知閾値の適用要求を、適用先となる第１仮想マシン用DoS/DDoS攻撃検知機能部１２ａに送信する。

DoS/DDoS攻撃検知装置１０の任意の仮想マシン用DoS/DDoS攻撃検知機能部１２は、攻撃検知閾値設定機能部１１から通知された、変更後の攻撃検知閾値を適用の上、通信の監視を継続する（Ｓ１３）。
例えば、第１仮想マシン用DoS/DDoS攻撃検知機能部１２ａは、攻撃検知閾値設定機能部１１から通知された、第１仮想マシン３２ａ用の変更後の攻撃検知閾値を適用の上で、通信の監視を継続する。

DoS/DDoS攻撃検知装置１０の任意の仮想マシン用DoS/DDoS攻撃検知機能部１２は、DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１に対して、攻撃検知閾値の適用完了応答を送信する（Ｓ１４）。

DoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１は、攻撃検知閾値変更に伴う攻撃検知閾値情報更新要求を仮想マシンリソース管理装置２０のリソース管理機能部２１に送信する。この際、攻撃検知閾値設定機能部１１は、変更された攻撃検知閾値情報を攻撃検知閾値情報更新要求通信に含めてリソース管理機能部２１に送信する（Ｓ１５）。

仮想マシンリソース管理装置２０のリソース管理機能部２１は、通知された攻撃検知閾値情報を、仮想マシンリソース管理装置２０が保有する攻撃検知閾値情報テーブル２３における、攻撃検知閾値が変更された仮想マシン用のエリアに格納する（Ｓ１６）。

仮想マシンリソース管理装置２０のリソース管理機能部２１は、攻撃検知閾値情報更新完了応答をDoS/DDoS攻撃検知装置１０の攻撃検知閾値設定機能部１１に送信する（Ｓ１７）。この際、リソース管理機能部２１は、適用完了した攻撃検知閾値情報を攻撃検知閾値情報更新完了応答通信に含めて攻撃検知閾値設定機能部１１に送信しても良い。

需要変動等に伴い、任意の仮想マシン３２のリソース追加・削除を実施する場合、仮想マシンリソース管理装置２０のリソース管理機能部２１は、この追加・削除したリソースの情報と仮想マシンリソース管理装置２０の保有する攻撃検知閾値情報テーブル２３とを突合せの上で、攻撃検知閾値未満を示す通信を確実に処理可能な範囲内で仮想マシンのリソース追加・削除を実施する（Ｓ１８）。

例えば、攻撃検知閾値情報テーブル２３（図５）の第１仮想マシン３２ａに対するネットワーク帯域の閾値（図５中のＸの値）が100Mbpsであれば、この100Mbps未満の通信を受信した際に、第１仮想マシン３２ａで十分処理できるリソース量を維持するように，仮想マシンリソース管理装置２０のリソース管理機能部２１がリソースの割り当てを制御する。

Ｓ１１からＳ１８の手順を経ることで、仮想マシン３２のリソースが需要変動等に伴い自動的に増減した場合に、攻撃検知閾値の設定に応じて仮想マシン３２のリソースの追加・削除を実施できるため、不適切なリソース割り当ての発生を防止することができる。具体的には、DoS/DDoS攻撃検知装置１０の攻撃検知閾値を考慮して仮想マシン３２へのリソース割り当てを管理することで、DoS/DDoS攻撃検知装置１０の攻撃検知閾値未満の通信によって仮想マシン３２がサービス不能に陥る事態を回避可能となる。

なお、Ｓ１からＳ１０までの処理とＳ１１からＳ１８までの処理とにおいて競合が発生する場合が想定されるが、この場合、オペレータによる任意の操作により、どちらの処理を優先するかを選択することができる。

また、Ｓ１からＳ１０までの処理とＳ１１からＳ１８までの処理は同時に実行されなければならないものではなく、どちらかの処理のみが実施され得る。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

また、実施形態に記載した手法は、計算機（コンピュータ）に実行させることができるプログラム（ソフトウエア手段）として、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ、ＭＯ等）、半導体メモリ（ＲＯＭ、ＲＡＭ、フラッシュメモリ等）等の記録媒体に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、計算機に実行させるソフトウエア手段（実行プログラムのみならずテーブルやデータ構造も含む）を計算機内に構成させる設定プログラムをも含む。本装置を実現する計算機は、記録媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウエア手段を構築し、このソフトウエア手段によって動作が制御されることにより上述した処理を実行する。なお、本明細書でいう記録媒体は、頒布用に限らず、計算機内部あるいはネットワークを介して接続される機器に設けられた磁気ディスクや半導体メモリ等の記憶媒体を含むものである。

１０…DoS/DDoS攻撃検知装置
１１…攻撃検知閾値設定機能部
１２…仮想マシン用DoS/DDoS攻撃検知機能部
１３,２２…仮想マシンリソース情報テーブル
１４,２３…攻撃検知閾値情報テーブル
２０…仮想マシンリソース管理装置
２１…リソース管理機能部

Claims

物理マシン上に配置されて前記物理マシン上のリソースを共有する、前記物理マシンの台数より多い台数の仮想マシンに対する、前記物理マシンのリソースの割り当てを管理するリソース管理機能部と、
前記仮想マシンによる通信状態を示す値と当該仮想マシン用の所定の攻撃検知閾値とを比較することで、前記仮想マシンに対するDoS/DDoS攻撃を検知する攻撃検知機能部と、
前記リソース管理機能部により管理する、前記仮想マシンのリソースの割り当てに基づいて、前記仮想マシン毎の前記攻撃検知閾値を設定する攻撃検知閾値設定機能部とを備えたことを特徴とする仮想マシンのリソース管理システム。
前記リソース管理機能部は、
前記仮想マシンのリソースの割り当てが変更された場合に、前記変更された割り当てを示す情報を前記攻撃検知閾値設定機能部に通知するとともに、この変更に伴う、前記割り当てが変更された前記仮想マシン用の前記攻撃検知閾値の設定を前記攻撃検知閾値設定機能部に要求し、
前記攻撃検知閾値設定機能部は、
前記リソース管理機能部からの前記要求がなされた場合に、前記通知された前記割り当てを示す情報に基づいて、前記割り当てが変更された前記仮想マシン毎の前記攻撃検知閾値を設定することを特徴とする請求項１に記載の仮想マシンのリソース管理システム。
前記攻撃検知閾値設定機能部は、
前記設定した攻撃検知閾値を、この攻撃検知閾値に対応する仮想マシン用のDoS/DDoS攻撃検知機能部へ適用し、
前記仮想マシンに割り当てられたリソース量が増加する場合は、このリソース量に対応する前記仮想マシン用の前記攻撃検知閾値を増加させるように設定し、
前記仮想マシンに割り当てられたリソース量が減少する場合は、このリソース量に対応する前記仮想マシン用の前記攻撃検知閾値を減少させることを特徴とする請求項１に記載の仮想マシンのリソース管理システム。
前記攻撃検知閾値設定機能部は、
前記設定した前記攻撃検知閾値を前記リソース管理機能部に通知し、
前記リソース管理機能部は、
前記攻撃検知閾値設定機能部から通知された前記攻撃検知閾値に基づいて、この通知された攻撃検知閾値情報に対応する前記仮想マシンに割り当てるリソース量を制御することを特徴とする請求項１に記載の仮想マシンのリソース管理システム。
仮想マシンのリソース管理システムに適用される方法であって、
前記リソース管理システムは、
物理マシン上に配置されて前記物理マシン上のリソースを共有する、前記物理マシンの台数より多い台数の仮想マシンに対する、前記物理マシンのリソースの割り当てを管理し、
前記仮想マシンによる通信状態を示す値と当該仮想マシン用の所定の攻撃検知閾値とを比較することで、前記仮想マシンに対するDoS/DDoS攻撃を検知し、
前記管理する、前記仮想マシンのリソースの割り当てに基づいて、前記仮想マシン毎の前記攻撃検知閾値を設定することを特徴とするリソース管理方法。
請求項１に記載のリソース管理システムの一部分として動作するコンピュータに用いられるプログラムであって、
前記コンピュータを、
前記リソース管理機能部、前記攻撃検知機能部、および前記攻撃検知閾値設定機能部
として機能させるためのリソース管理プログラム。