JP6324026B2 - 通信装置、制御装置、ネットワークシステムおよびネットワーク監視制御方法 - Google Patents

Description

本発明は、通信装置、制御装置、ネットワークシステムおよびネットワーク監視制御方法に関する。

従来、ＳＤＮ（Software Defined Networking）／ＯｐｅｎＦｌｏｗのような集中制御型ネットワークでは、制御装置においてネットワークを一元管理している。これにより、通信経路の制御が可能となり、通信経路の管理と障害検出が容易となる特徴がある。

そこで、ＯｐｅｎＦｌｏｗでは、スイッチの標準機能である受信パケットの統計情報を、制御装置から定期的に取得して監視する仕組みが考えられている（例えば、下記非特許文献１参照）。さらに、その仕組みを利用して統計情報を監視することで、トラフィック量が増加した際は該当フローに属するパケットを廃棄する方法がある（例えば、下記特許文献１参照）。

また、制御装置において攻撃による不正パケットのパターンを予め用意しておき、通信装置から制御装置に対して受信パケットが不正パターンと一致するかどうかを問い合わせ、そのパターンと一致した場合のみ不正パターンと判定し、該当パケットを廃棄する方法もある（例えば、下記特許文献２参照）。

また、従来型のネットワークでは、計算機間で通信している通信シーケンスをネットワークアクセス制御装置が監視することにより、規定の通信シーケンスに従った通信状態であるか判定し、不正なアクセスを検出する方法がある（例えば、下記特許文献３参照）。

また、従来型のネットワークにおいて、受信側のファイアーウォールは、受信パケットを監視して不正であると判定すると、受信側でパケットの転送を遮断するとともに、送信元の識別情報であるＩＰアドレスに基づいて、送信側ネットワークで該当するＩＰアドレスを発行、管理しているパケット中継装置のＩＰアドレスをＤＮＳサーバから検索、取得し、受信側から検索したパケット中継装置に対してパケットの遮断を要求することにより、パケットの送信を阻止する方法がある（例えば、下記特許文献４参照）。

国際公開第２０１２／０７７６０３号 特開２０１３−７０３２５号公報 特開２００１−３４５５３号公報 特開２００４−１５９１１７号公報

Ｏｐｅｎ Ｎｅｔｗｏｒｋ Ｆｏｕｎｄａｔｉｏｎ，ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｖｅｒｓｉｏｎ１．０．０，２００９／１２／３１

しかしながら、上記従来の技術（非特許文献１）によれば、個々の通信装置から統計情報（送受信パケット情報）の定期的な取得処理、制御装置からスイッチへの制御処理、制御装置での不正パケット解析処理が必要になる。そのため、ネットワークの規模増大（スイッチ数増加）に伴って制御装置の負荷が高くなる、という問題があった。また、トラフィックの増大が、一時的に集中しているのか、攻撃によって増加しているのか、判断することが難しい。そのため、該当フローに属するパケットの転送を止めた場合、正常なパケットの通信も遮断してしまう可能性がある、という問題があった。

また、上記従来の技術（特許文献１）によれば、ホスト端末が通信する際には、コントローラにてＭＡＣアドレスとＩＰアドレスの登録が必要である。そのため、規模の増大と共にコントローラによるホスト端末情報の設定の負荷、アドレス検証の負荷が高くなる、という問題があった。また、一旦アドレスが一致し、ホスト端末が正当と判断された後、ホスト端末が悪意のあるソフトウェアによって乗っ取られた場合は同一のアドレス情報を使用されるため、不正であることが判断できない可能性がある、という問題があった。

また、上記従来の技術（特許文献２）によれば、不正パケットのパターンとして定義されていない不正パケットが送信された場合は、正常パケットとして転送されてしまう可能性がある、という問題があった。

また、上記従来の技術（特許文献３）によれば、通信シーケンスとして定義されていない通信方法、通信シーケンスに従った不正アクセス方法であった場合、検出することができない可能性がある、という問題があった。

また、上記従来の技術（特許文献４）によれば、ＤＤｏＳ（Distributed Denial of Service）攻撃では、多数のネットワークからの不正アクセスがあるため、多数のネットワークと接続した環境においては、それぞれのＤＮＳサーバにおいて送信元の識別情報から中継装置のアドレスへ変換機能が必要となり、ＤＮＳサーバの数が増大すると、該当する中継装置のアドレスの取得に時間がかかる、という問題があった。さらに、別組織のネットワーク上にあるＤＮＳサーバの場合には、セキュリティの関係からＤＮＳサーバの応答を許可しないことも考えられる。

本発明は、上記に鑑みてなされたものであって、集中制御型ネットワークにおいて、制御装置の負荷を軽減可能な通信装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、制御装置で算出された通信経路の情報を通信装置に設定することで、制御装置からネットワークの一元管理を実現する集中制御型のネットワークシステムにおける前記通信装置であって、自装置で受信するパケットの情報を管理する転送情報エントリテーブルと、前記転送情報エントリテーブルに基づいて、受信したパケットの転送または廃棄を行う通信データ転送処理手段と、前記転送情報エントリテーブルに基づいて、パケットの流量増大による異常トラフィックを判定する転送情報監視手段と、前記異常トラフィックが発生した場合、前記制御装置に対して、異常トラフィックが発生したフローを示すフィールドエントリの番号を用いて、異常トラフィック発生のパケット送信元となるネットワークの入口端通信装置を問い合わせる制御情報を生成し、前記制御装置からの前記フィールドエントリの番号を用いた回答に基づいて、前記入口端通信装置に対して異常トラフィックに該当するパケットの転送停止を要求する制御情報を生成する制御情報生成手段と、前記制御装置または他の通信装置から取得した制御情報に基づいて、前記転送情報エントリテーブルの内容を更新する転送情報エントリ管理手段と、を備えることを特徴とする。

本発明によれば、集中制御型ネットワークにおいて、制御装置の負荷を軽減できる、という効果を奏する。

図１は、通信装置の構成例を示す図である。 図２は、制御装置の構成例を示す図である。 図３は、転送情報エントリテーブルの構成例を示す図である。 図４は、ネットワークシステムの構成例を示す図である。 図５は、ネットワークシステムの各装置の動作を示すシーケンス図である。

以下に、本発明にかかる通信装置、制御装置、ネットワークシステムおよびネットワーク監視制御方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態．
まず、本実施の形態のネットワークシステムが備える通信装置および制御装置の構成について説明する。図１は、本実施の形態の通信装置の構成例を示す図である。パケットの転送を行う通信装置１は、通信データ転送処理部１１と、転送情報監視部１２と、制御情報生成部１３と、制御情報処理部１４と、制御情報解析部１５と、転送情報エントリ管理部１６と、転送情報エントリテーブル１７と、を備える。

通信データ転送処理部１１は、受信したパケットの転送、廃棄など受信パケットを処理する。

転送情報監視部１２は、転送情報エントリテーブル１７に格納された転送情報を監視し、転送情報の中の判定条件に基づいてパケット（トラフィック）の流量増大を判定する。

制御情報生成部１３は、流量増大による異常トラフィック発生判定時に制御装置へ異常トラフィック発生の送信元となるネットワークの入口端の通信装置１を問い合わせるための制御情報を生成し、また、入口端の通信装置１に対して流量増大による異常トラフィックに該当するフローのパケット転送を停止要求するための制御情報を生成する。

制御情報処理部１４は、制御情報生成部１３において生成された制御情報を制御ネットワークに対応した形式に変換し、制御装置または他の通信装置１との間で情報の受け渡し、制御等を行うインタフェースである。

制御情報解析部１５は、制御装置、他の通信装置１との間で受け渡される制御情報を解析する。

転送情報エントリ管理部１６は、制御装置、他の通信装置１からの制御情報によって指示された内容に基づいて、転送情報エントリテーブル１７を更新する。

転送情報エントリテーブル１７は、制御装置から指示されたフロー情報（フローエントリ）についてヘッダフィールド、フロー毎の転送処理（アクション）、通信データ転送処理部１１が転送した転送データの累積値である統計情報、異常トラフィックの判定条件、判定条件を超えたフローの受信開始時間、現在の使用状況を示す帯域（の情報）、判定条件を超えてからの経過時間、の各情報を格納したテーブルである。

図２は、本実施の形態の制御装置の構成例を示す図である。ＳＤＮ／ＯｐｅｎＦｌｏｗネットワークの通信装置１を監視制御する制御装置２は、制御情報処理部２１と、通知情報解析部２２と、通信経路管理部２３と、通信経路管理テーブル２４と、通知情報生成部２５と、通信経路算出部２６と、構成情報管理テーブル２７と、を備える。

制御情報処理部２１は、通信装置１との間の制御ネットワークに対応した形式を解釈し、通信装置１との間の制御情報を送受信する。また、制御情報処理部２１では、通知情報生成部２５で生成された通知情報を制御情報の形式にして送信する。

通知情報解析部２２は、制御情報受信後に制御情報から取り出した通知情報を解析してフロー情報を抽出し、該当するフロー情報の取得を要求する。

通信経路管理部２３は、通信経路管理テーブル２４を管理しており、通知情報解析部２２から要求されたフロー情報について、通信経路管理テーブル２４を検索し、該当する入口端の通信装置１の情報とその通信装置１に関連するフロー情報を取得する。

通信経路管理テーブル２４は、自装置（制御装置２）が監視対象とするネットワーク全体のフローを管理するテーブルである。

通知情報生成部２５は、通信経路管理テーブル２４から取得した入口端の通信装置１とその通信装置１に関連するフロー情報を、制御情報処理部２１を介して通信装置１に対して回答するための通知情報を生成する。

通信経路算出部２６は、自装置（制御装置２）が監視対象とするネットワークのトポロジ情報からフロー毎の通信経路を算出する。

構成情報管理テーブル２７は、自装置（制御装置２）が監視対象とするネットワークのトポロジ情報を管理するテーブルである。

図３は、通信装置が備える転送情報エントリテーブルの構成例を示す図である。本実施の形態では、転送情報エントリテーブル１７は、各フローエントリにおいて、受信パケットをフローとして定義するための情報であるポート番号、送信元／宛先アドレス、イーサネット（登録商標）タイプ、プロトコルなどのヘッダフィールド、フローに該当するパケット受信時の処理内容であるアクション、および、送受信サイズ・パケット数などの累積値である通信情報を管理する統計情報、の基本構成から構成されるＯｐｅｎＦｌｏｗのプロトコルの仕様に基づいている。さらに、この基本構成に対して、本実施の形態の動作を実現するための、判定条件、判定条件を超えたフロー受信開始時間、帯域（の情報）、および、判定条件を超えてからの経過時間、の各情報を追加している。なお、ヘッダフィールドについて列挙している項目は一例であり、全ての項目を使用せずに一部の項目を使用するようにしてもよい。

本実施の形態では、制御用の通信としてＯｐｅｎＦｌｏｗによるプロトコルを想定しているが、一例であり、受信したパケットをフローとして定義できるようなＳＤＮの考え方を採用している集中制御型のプロトコルであれば対応可能なことから、ＯｐｅｎＦｌｏｗに特定するものではない。

なお、図３において、アクションは、パケットを受信した時の振る舞いを規定しており、Ｆｏｒｗａｒｄ（転送）、Ｄｒｏｐ（廃棄）などの情報が設定可能である。

図４は、本実施の形態におけるネットワークシステムの構成例を示す図である。本実施の形態における、通信装置１でパケットの流量の増大を検出して制御装置２の負荷を軽減する動作を説明するためのＳＤＮ／ＯｐｅｎＦｌｏｗのネットワーク構成を示すものである。ネットワークシステムは、パケットを転送する通信装置１Ａ，１Ｂ，１Ｃ，１Ｄと、ＳＤＮ／ＯｐｅｎＦｌｏｗネットワーク５を監視制御する制御装置２と、ＳＤＮ／ＯｐｅｎＦｌｏｗネットワーク５を介して通信を行うホスト（端末）３Ａ，３Ｂ，３Ｃと、各ホスト３Ａ，３Ｂ，３Ｃがアクセス可能なサーバ４Ａ，４Ｂと、本実施の形態の動作を実現するＳＤＮ／ＯｐｅｎＦｌｏｗネットワーク５と、ＳＤＮ／ＯｐｅｎＦｌｏｗネットワーク５の機器を制御するための制御用ネットワーク６と、を備える。

なお、図４における通信装置１Ａ，１Ｂ，１Ｃ，１Ｄは、図１に示す通信装置１と同様の構成である。また、以降の説明において、ホスト３Ａ，３Ｂ，３Ｃについて区別する必要がないときはホスト３と称することがあり、サーバ４Ａ，４Ｂについて区別する必要がないときはサーバ４と称することがある。

図４では、ホスト３Ａ，３Ｂ，３Ｃからサーバ４Ａへの通信をそれぞれフロー＃１，＃２，＃３として定義する。ホスト３Ａ，３Ｂが異常トラフィックを送信した場合、出口端の通信装置１Ｂにおいてトラフィックの流量増大を検出する。そのトラフィックを異常トラフィックと判定後、出口端の通信装置１Ｂは、制御装置２に対してフローに属す通信装置１Ａ，１Ｃ，１Ｄの内、入口端に当たる通信装置を問い合わせる。該当する入口端の通信装置１Ａ，１Ｃに対して、出口端の通信装置１Ｂは、パケットの転送の停止を要求する。これにより、入口端の通信装置１Ａ，１Ｃがパケットの転送を遮断する。

図４に示すネットワークシステムにおける動作について、シーケンス図を用いて詳細に説明する。図５は、本実施の形態におけるネットワークシステムの各装置の動作を示すシーケンス図である。図１に示す通信装置１の構成、図２に示す制御装置２の構成、図３に示す通信装置１が管理する転送情報エントリテーブル１７の構成、図４に示すネットワークシステムの構成、の各図を利用しながら説明する。

なお、本実施の形態では、ＳＤＮ／ＯｐｅｎＦｌｏｗのような集中制御型ネットワークを前提とする。ＳＤＮ／ＯｐｅｎＦｌｏｗのデータ転送用ネットワーク（データプレーン）であるＳＤＮ／ＯｐｅｎＦｌｏｗネットワーク５において、ユーザのホスト３からサーバ４に対するアクセスを実施している際に、ホスト３の乗っ取り等による要因で不正パケットが送信され、異常トラフィックが発生したことを通信装置１が検出する。検出後は、データ転送用のネットワークとは異なるＳＤＮ／ＯｐｅｎＦｌｏｗの制御用ネットワーク６を介して、通信装置１と制御装置２で制御情報の受け渡しを行う。

また、本実施の形態では、ネットワークの運用開始前に、通信経路算出部２６が、構成情報管理テーブル２７で管理されているネットワークのトポロジ情報によって、ホスト３からサーバ４への通信経路を算出して通信経路を確定し、通信経路管理部２３を介して、適切な通信経路情報が通信経路管理テーブル２４に登録されているものとする。

まず、ステップＳ１において、ホスト３Ａ，３Ｂからサーバ４Ａへアクセス中に、通信装置１Ｂの転送情報監視部１２は、転送情報エントリテーブル１７を監視し、トラフィックの増大を検出する。出口端であることは、通信装置１Ｂに設定されているものとする。

トラフィックの増大は、図３に示す例のように、出口端の通信装置１Ｂにおいて、転送情報エントリテーブル１７のフローエントリに登録されたフロー＃１，＃２，＃３の帯域の情報を転送情報監視部１２が監視することで検出する。この例では、判定条件の帯域を超えたフローが存在し、該当フロー＃１，＃２は判定条件の帯域を超えたフロー受信開始時間が２０１３／０９／０９ １２：００で、帯域が判定条件を超えてからの経過時間が１８６０秒、使用帯域がそれぞれ１１０Ｍｂｐｓ、１３０Ｍｂｐｓであることが分かる。

事前に設定した判定条件には経過時間も含んでおり、帯域が判定条件を超えてからの経過時間が１８００秒であることから、転送情報監視部１２は、該当フロー＃１，＃２は、判定条件として帯域、経過時間を超えているため、異常トラフィックであると判定する。さらに、転送情報監視部１２は、異常トラフィックであると判定したフローが類似の時間帯、類似の経過時間で複数存在することから、同一要因による複数拠点からの不正パケットによる攻撃であると判断できる。一方、フロー＃３は、判定条件に対して、帯域および経過時間が一致せず、判定条件を超えたフロー受信開始時間も未設定であることから、転送情報監視部１２は、フロー＃３は正常トラフィックであると判定し、処理を変更することなく、受信パケットの転送を許可して転送を継続する。

次に、ステップＳ２において、通信装置１Ｂでは、転送情報監視部１２が転送情報エントリテーブル１７を更新することで、判定条件を超えた該当フロー＃１，＃２の自装置による転送を停止し、以降の受信パケットを廃棄し、隣接するサーバ４Ａへの通信を遮断する。すなわち、転送情報監視部１２は、該当フロー＃１，＃２について、転送情報エントリテーブル１７のフローエントリのアクションをＦｏｒｗａｒｄからＤｒｏｐに更新する。これにより、通信装置１Ｂでは、テーブル更新後のパケット受信時は、通信データ転送処理部１１が転送情報エントリテーブル１７に基づいて処理を行うことで、受信パケットを廃棄する。

次に、ステップＳ３において、通信装置１Ｂでは、制御情報生成部１３が、判定条件を超えた該当フロー＃１，＃２の情報を加工し、異常トラフィック発生の送信元となるネットワークの入口端の通信装置を問い合わせるための制御情報を生成する。そして、制御情報処理部１４が、制御用ネットワーク６に対応した形式（プロトコル）に変換して、制御装置２へ入口端の通信装置情報の問い合わせのための制御情報（フロー情報通知）を送信する。なお、制御用ネットワーク６に対応した形式は、本実施の形態ではＯｐｅｎＦｌｏｗのプロトコルを想定しているが、他のＳＤＮのプロトコルにおいても同様のインタフェースを備えていればそのインタフェースへ変換してもよく、ＯｐｅｎＦｌｏｗのプロトコルに特定するものではない。

次に、ステップＳ４において、制御装置２では、制御情報処理部２１が、通信装置１Ｂからの制御情報を受信し、受信した制御情報を解釈し、フローに関連する通知情報を抽出する。そして、通知情報解析部２２が、通知情報を解析する。本ステップは、制御用ネットワーク６に対応した通信形式からデータ部分を抽出することを意図している。

次に、ステップＳ５において、制御装置２では、通知情報解析部２２での通知情報の解析の結果から得られた通信装置１Ｂから通知されたフロー情報に関連する通信経路を、通信経路管理部２３が、ネットワーク全体の経路情報を管理する通信経路管理テーブル２４から検索する。通信経路管理部２３は、検索の結果、通信経路の入口に当たる通信装置１Ａ，１Ｃの情報と、入口端の通信装置１Ａ，１Ｃにて管理している該当フロー情報を抽出する。通知情報生成部２５は、抽出した情報から通信装置１Ｂに回答するための通知情報を生成する。

ここで、通信装置１Ｂから通知されたフロー情報であるフロー＃１，＃２は、通信装置１Ｂで管理されているＩＤ（フィールドエントリの番号）であって、通信装置１Ａ，１Ｃにおいて同じＩＤで管理されているとは限らない。例えば、通信装置１Ｂで管理されているフロー＃１の情報は、通信装置１Ａではフロー＃３として管理されていることもある。制御装置２では、各通信装置１の転送情報エントリテーブル１７の情報を管理していることから、通信装置１Ｂのフロー＃１のＩＤの情報を取得した場合に、通信装置１ＢのＩＤのフロー情報に対応する通信装置１ＡのＩＤのフロー情報を得ることができる。各通信装置１と制御装置２との間でフロー情報の問い合わせおよび回答をする場合に使用する情報として、ヘッダフィールドの情報を使用せずにＩＤで行うことにより、各通信装置１と制御装置２との間の通信量を低減することができる。また、後述するように、通信装置１Ｂから通信装置１Ａ，１Ｃへパケットの転送停止を要求するときにもＩＤを用いることにより、各通信装置１間の通信量を低減することができる。

通信経路管理部２３は、通信装置１Ｂのフロー情報について通信経路管理テーブル２４を更新することで、通信装置１Ｂと制御装置２の情報を同期する。

次に、ステップＳ６において、制御装置２では、制御情報処理部２１が、生成された通知情報を制御用ネットワーク６に対応した形式（プロトコル）に変換し、通信装置１Ｂに入口端の通信装置１Ａ，１Ｃおよび通信装置１Ａ，１Ｃにおけるフロー情報を回答する。

なお、通知情報生成部２５において通信装置１Ｂに回答するための通知情報を生成し、この通知情報を制御情報処理部２１で制御情報に変換してから通信装置１Ｂへ送信しているが、これらの処理を行う構成部分をまとめて制御情報生成送信手段とする。

次に、ステップＳ７ａ，Ｓ７ｂにおいて、通信装置１Ｂでは、制御情報処理部１４において制御装置２から回答された制御情報を受信し、制御情報解析部１５が、受信した制御情報を解釈し、入口端の通信装置１Ａ，１Ｃの情報と、入口端の通信装置１Ａ，１Ｃが管理する制御対象のフロー情報を抽出する。そして、制御情報生成部１３が、抽出したフロー情報からトラフィックの流量増大に対応する該当パケットの転送停止を要求するための通信装置制御用情報を併せて生成する。

制御情報処理部１４は、制御情報生成部１３で生成された情報を制御用ネットワーク６に対応した形式（プロトコル）に変換して、入口端の通信装置１Ａ，１Ｃへ通知する。本実施の形態の例では、出口端の通信装置１Ｂが受信しているパケット転送送信元となるネットワークの入口端の通信装置は通信装置１Ａ，１Ｃが該当することから、通信装置１Ｂはそれぞれに対してパケット転送の停止要求を行う。ここでは、通信装置１Ｂは、通信装置１Ａに対してはステップＳ７ａにおいて、通信装置１Ｃに対してはステップＳ７ｂにおいて、それぞれの通信装置１で管理しているフロー情報（フィールドエントリの番号）を指定してパケット転送の停止要求を行う。

次に、ステップＳ８ａにおいて、通信装置１Ｂから通知を受けた通信装置１Ａでは、制御情報処理部１４を介して、制御用ネットワーク６に対応した形式を解釈し、制御情報とフロー情報を抽出する。そして、制御情報解析部１５が、制御情報を解析する。解析の結果、制御情報解析部１５では、通信装置１Ａが転送情報エントリテーブル１７にて管理しているエントリと、処理内容が把握できる。転送情報エントリ管理部１６は、制御情報解析部１５から要求された該当フローのエントリと、処理内容に基づいて、転送情報エントリテーブル１７を更新する。この結果、以降の受信パケットを廃棄し、後段の通信装置１Ｂへの通信を遮断する。

同様に、ステップＳ８ｂにおいて、通信装置１Ｂから通知を受けた通信装置１Ｃでは、制御情報処理部１４を介して、制御用ネットワーク６に対応した形式を解釈し、制御情報とフロー情報を抽出する。そして、制御情報解析部１５が、制御情報を解析する。解析の結果、制御情報解析部１５では、通信装置１Ｃが転送情報エントリテーブル１７にて管理しているエントリと、処理内容が把握できる。転送情報エントリ管理部１６は、制御情報解析部１５から要求された該当フローのエントリと、処理内容に基づいて、転送情報エントリテーブル１７を更新する。この結果、以降の受信パケットを廃棄し、後段の通信装置１Ｄへの通信を遮断する。

本実施の形態の例では、各通信装置１の転送情報エントリ管理部１６は、該当するフローエントリのアクションをＦｏｒｗａｒｄからＤｒｏｐに更新する。各々の通信装置１Ａ，１Ｃが備えるテーブルは、図３と同様の形式であり、制御装置２への問い合わせの結果、通信装置１Ｂから通知される制御情報は、アクションのＤｒｏｐへの変更と、該当フローエントリのＩＤが渡される。これにより、要求を受けたそれぞれの通信装置１Ａ，１Ｃは、転送情報エントリテーブル１７の内、どのエントリが更新対象であるかを識別することができる。

次に、ステップＳ９ａにおいて、転送情報エントリテーブル１７を更新した通信装置１Ａは、転送情報監視部１２において、フローのアクションが変更されたことを検知する。制御情報生成部１３は、更新後のフロー情報について制御装置２への通知用の制御情報を生成し、制御情報処理部１４が、制御情報を制御用ネットワーク６の形式に変換して、制御装置２へ制御情報（フロー設定完了）を通知する。

同様に、ステップＳ９ｂにおいて、転送情報エントリテーブル１７を更新した通信装置１Ｃは、転送情報監視部１２において、フローのアクションが変更されたことを検知する。制御情報生成部１３は、更新後のフロー情報について制御装置２への通知用の制御情報を生成し、制御情報処理部１４が、制御情報を制御用ネットワーク６の形式に変換して、制御装置２へ制御情報（フロー設定完了）を通知する。

次に、ステップＳ１０において、通知を受けた制御装置２では、制御情報処理部２１を介して、通知情報解析部２２が、通知情報を解析して該当する通信装置１Ａ，１Ｃそれぞれの更新後のフローを抽出する。そして、通信経路管理部２３が、抽出したフロー情報を通信経路管理テーブル２４に反映することで、通信装置１Ａ，１Ｃとの同期が完了する。

以上説明したように、本実施の形態によれば、ＳＤＮ／ＯｐｅｎＦｌｏｗのような集中制御型ネットワークにおいて、ホスト３からの異常トラフィックの送信を、ネットワークの出口端の通信装置１Ｂにおいてトラフィックの流量増大によって検出し、そのトラフィックを異常トラフィックと判定後、出口端の通信装置１Ｂが制御装置２に対してフローに属するトラフィックの流入元である入口端に当たる通信装置１Ａ，１Ｃを問い合わせ、該当する入口端の通信装置１Ａ，１Ｃに対して、出口端の通信装置１Ｂがパケットの転送の停止を要求し、入口端の通信装置１Ａ，１Ｃがパケット転送の遮断を行うこととした。これにより、従来、制御装置２が実施していた通信装置１Ａ，１Ｂ，１Ｃ，１Ｄの統計情報の定期的な取得と解析処理による流量の監視が不要となることから、制御装置２の負荷を軽減することができる。また、ネットワークの入口端で不正アクセスを遮断することにより、ネットワーク内のトラフィックによる負荷を下げられ、ネットワーク全体の影響も最小化できる。

また、通信装置１Ａ，１Ｂ，１Ｃ，１Ｄに制御情報生成部１３を備え、制御情報処理部１４を介して、通信装置１間での直接制御を行うこととした。これにより、従来、制御装置２が実施していた経路上のスイッチ設定も不要となることから、通信装置１の増大による制御装置２の設定負荷についても軽減することができる。

また、ＳＤＮ／ＯｐｅｎＦｌｏｗのような集中制御型ネットワークの標準機能は、転送情報エントリテーブルにプロトコル、ポート番号、送信元／宛先アドレスなどの転送情報をフローとして管理しているため、特定フローに該当するパケットのみ受信が可能となることを利用し、この標準機能に、通信装置１Ａ，１Ｂ，１Ｃ，１Ｄに判定条件（閾値）と帯域情報を追加することとした。これにより、同一フローに属する同一宛先のパケットであっても、判定条件が一致しないパケットを正常パケットと判断して転送を許可し、制限しないことで、正常な通信に影響を与えずに特定サーバへの攻撃パケットのみ停止（廃棄）することができる。

また、複数のフローエントリを比較して、判定条件に一致するトラフィックの流量増大が複数あるか判定することとした。これにより、ＤＤｏＳ攻撃（分散サービス妨害）のような複数拠点からの攻撃への対応が可能となる。また、転送情報エントリテーブル１７にて、判定条件を超えたフロー受信開始時間、判定条件を超えてからの経過時間を監視しているため、流量増大が、一時的にトラフィックが集中しているのか、攻撃によってトラフィックが増加しているのか判断することも可能となる。ＤＤｏＳ攻撃の場合、脆弱性をかかえたサイトに対して、ワームや不正アクセスを使ってツールを忍び込ませておき、時限爆弾のように特定の時刻に標的となるサーバにＤｏＳ攻撃を行うことから、判定条件に時間情報を追加することにより、攻撃の検出が可能となり、攻撃への耐性を高めることができる。

さらに、転送情報エントリテーブル１７に基づいて不正パケットを判定するため、特定の不正パターン照合のための設定や、ＩＰＳ／ＩＤＳ（不正侵入検知システム）の専用装置を利用せずに同様のセキュアなネットワークが提供できる。

判定条件に一致するフローが単一のときの場合においても、転送を停止したい時は、一つのフローのみパケット転送を遮断することもできる。

また、ＳＤＮ／ＯｐｅｎＦｌｏｗのような集中制御型ネットワークでは、ネットワーク全体を管理する制御装置２が通信経路を管理しているため、ネットワークの入口端の通信装置１Ａ，１Ｃの抽出が容易である。そのため、ＤＮＳサーバのようなサーバを使用した送信元中継装置のアドレス検索、取得が不要であり、ＤＮＳへの機能追加を必要とせずに、ネットワークの入口端の通信装置１Ａ，１Ｃが特定できる。

また、ネットワークの出口端の通信装置１Ｂにおいてトラフィックの流量増大を検出することによって、サーバ４を冗長化している構成の場合、例えば、図４において、サーバ４Ａの代替サーバがサーバ４Ｂとすると、制御装置２は、通信装置１Ｂからの通知後、入口端の通信装置でのパケット廃棄ではなく、代替サーバ４Ｂへパケットを転送するフロー情報を回答することにより、出口端の通信装置１Ｂから該当通信装置に通知し、代替サーバ４Ｂへの通信が可能となることから、サーバ４Ａの負荷分散機能も実現することができる。例えば、フロー＃１を通信装置１Ｃ，１Ｄを経由してサーバ４Ｂへの転送に変更し、同様に、フロー＃２を通信装置１Ｄからサーバ４Ｂへの転送に変更することでフローを分散させることができる。

以上のように、本発明にかかる通信装置、制御装置、ネットワークシステムおよびネットワーク監視制御方法は、通信装置と制御装置を備えたネットワークに有用であり、特に、集中制御型ネットワークに適している。

１，１Ａ，１Ｂ，１Ｃ，１Ｄ 通信装置、２ 制御装置、３Ａ，３Ｂ，３Ｃ ホスト、４Ａ，４Ｂ サーバ、５ ＳＤＮ／ＯｐｅｎＦｌｏｗネットワーク、６ 制御用ネットワーク、１１ 通信データ転送処理部、１２ 転送情報監視部、１３ 制御情報生成部、１４ 制御情報処理部、１５ 制御情報解析部、１６ 転送情報エントリ管理部、１７ 転送情報エントリテーブル、２１ 制御情報処理部、２２ 通知情報解析部、２３ 通信経路管理部、２４ 通信経路管理テーブル、２５ 通知情報生成部、２６ 通信経路算出部、２７ 構成情報管理テーブル。

Claims (11)

1. 制御装置で算出された通信経路の情報を通信装置に設定することで、制御装置からネットワークの一元管理を実現する集中制御型のネットワークシステムにおける前記通信装置であって、
   自装置で受信するパケットの情報を管理する転送情報エントリテーブルと、
   前記転送情報エントリテーブルに基づいて、受信したパケットの転送または廃棄を行う通信データ転送処理手段と、
   前記転送情報エントリテーブルに基づいて、パケットの流量増大による異常トラフィックを判定する転送情報監視手段と、
   前記異常トラフィックが発生した場合、前記制御装置に対して、異常トラフィックが発生したフローを示すフィールドエントリの番号を用いて、異常トラフィック発生のパケット送信元となるネットワークの入口端通信装置を問い合わせる制御情報を生成し、前記制御装置からの前記フィールドエントリの番号を用いた回答に基づいて、前記入口端通信装置に対して異常トラフィックに該当するパケットの転送停止を要求する制御情報を生成する制御情報生成手段と、
   前記制御装置または他の通信装置から取得した制御情報に基づいて、前記転送情報エントリテーブルの内容を更新する転送情報エントリ管理手段と、
   を備えることを特徴とする通信装置。
2. 前記ネットワークの出口端通信装置において、
   前記転送情報監視手段が、前記転送情報エントリテーブルに基づいてパケットの流量増大を判定し、
   前記制御情報生成手段が、前記制御装置および前記入口端通信装置に対する制御情報を生成する、
   ことを特徴とする請求項１に記載の通信装置。
3. 前記転送情報エントリテーブルは、前記転送情報監視手段において異常トラフィックか否かを判定するための判定条件、前記判定条件として定義された帯域を超えたパケットの受信開始時間、現在の使用帯域、および前記現在の使用帯域が前記判定条件として定義された帯域を超えてからの経過時間、の各情報を格納する、
   ことを特徴とする請求項１または２に記載の通信装置。
4. 前記転送情報エントリテーブルは、さらに、受信したパケットのイーサネットタイプ、プロトコル情報の情報を格納しており、
   前記転送情報監視手段は、前記転送情報エントリテーブルの各情報に基づいて異常トラフィックか否かを判定し、異常トラフィック発生と判定したパケットの情報を前記制御情報生成手段へ通知してパケット転送停止の制御を行い、同一宛先であっても正常と判断したパケットについては転送を許可する、
   ことを特徴とする請求項３に記載の通信装置。
5. 制御装置で算出された通信経路の情報を通信装置に設定することで、制御装置からネットワークの一元管理を実現する集中制御型のネットワークシステムにおける前記制御装置であって、
   自装置が監視対象とするネットワーク全体の通信経路を管理する通信経路管理テーブルと、
   ネットワークの出口端通信装置から取得した前記出口端通信装置で発生した異常トラフィックのフローをフィールドエントリの番号で示すフロー情報に基づいて、前記通信経路管理テーブルを検索し、前記異常トラフィックのパケット送信元となるネットワークの入口端通信装置の情報と、前記出口端通信装置で発生した異常トラフィックのフロー情報に対応する前記入口端通信装置で前記フィールドエントリの番号を用いて管理している対応フロー情報と、を取得する通信経路管理手段と、
   前記入口端通信装置の情報および前記対応フロー情報を含む制御情報を生成し、前記通信装置に対して送信する制御情報生成送信手段と、
   を備えることを特徴とする制御装置。
6. 請求項１から４のいずれか１つに記載の通信装置と、
   請求項５に記載の制御装置と、
   を備えることを特徴とするネットワークシステム。
7. 制御装置で算出された通信経路の情報を通信装置に設定することで、制御装置からネットワークの一元管理を実現する集中制御型のネットワークシステムにおける前記通信装置のネットワーク監視制御方法であって、
   ネットワークシステムの出口端通信装置において、転送情報監視手段が、自装置で受信するパケットの情報を管理する転送情報エントリテーブルの情報に基づいて、パケットの流量増大による異常トラフィックを判定する流量増大判定ステップと、
   制御情報生成手段が、前記異常トラフィックが発生した場合、前記制御装置に対して、異常トラフィックが発生したフローを示すフィールドエントリの番号を用いて、異常トラフィック発生のパケット送信元となるネットワークの入口端通信装置を問い合わせる制御情報を生成して送信する制御情報送信ステップと、
   前記制御情報生成手段が、前記制御装置からの前記フィールドエントリの番号を用いた回答に基づいて、前記入口端通信装置に対して異常トラフィックに該当するパケットの転送停止を要求する制御情報を生成して送信するフロー転送停止要求ステップと、
   を含むことを特徴とする通信装置のネットワーク監視制御方法。
8. 前記転送情報エントリテーブルは、前記転送情報監視手段において異常トラフィックか否かを判定するための判定条件、前記判定条件として定義された帯域を超えたパケットの受信開始時間、現在の使用帯域、および前記現在の使用帯域が前記判定条件として定義された帯域を超えてからの経過時間、の各情報を格納しており、
   前記流量増大判定ステップでは、前記転送情報監視手段が、前記転送情報エントリテーブルの各情報に基づいて、正常トラフィックまたは異常トラフィックを判定する、
   ことを特徴とする請求項７に記載の通信装置のネットワーク監視制御方法。
9. 前記転送情報エントリテーブルは、さらに、受信したパケットのイーサネットタイプ、プロトコル情報の情報を格納しており、
   前記流量増大判定ステップでは、前記転送情報監視手段が、前記転送情報エントリテーブルの各情報に基づいて異常トラフィックか否かを判定し、異常トラフィック発生と判定したパケットの情報を前記制御情報生成手段へ通知してパケット転送停止の制御を行い、同一宛先であっても正常と判断したパケットについては転送を許可する、
   ことを特徴とする請求項８に記載の通信装置のネットワーク監視制御方法。
10. 制御装置で算出された通信経路の情報を通信装置に設定することで、制御装置からネットワークの一元管理を実現する集中制御型のネットワークシステムにおける前記制御装置のネットワーク監視制御方法であって、
    通信経路管理手段が、ネットワークの出口端通信装置から取得した前記出口端通信装置で発生した異常トラフィックのフローをフィールドエントリの番号で示すフロー情報に基づいて、自装置が監視対象とするネットワーク全体の通信経路を管理する通信経路管理テーブルを検索し、前記異常トラフィックのパケット送信元となるネットワークの入口端通信装置の情報と、前記出口端通信装置で発生した異常トラフィックのフロー情報に対応する前記入口端通信装置で前記フィールドエントリの番号を用いて管理している対応フロー情報と、を取得する通信経路管理テーブル検索ステップと、
    通知情報生成手段が、前記入口端通信装置の情報および前記対応フロー情報を含む制御情報を生成し、前記通信装置へ送信する制御情報生成送信ステップと、
    を含むことを特徴とする制御装置のネットワーク監視制御方法。
11. 制御装置で算出された通信経路の情報を通信装置に設定することで、制御装置からネットワークの一元管理を実現する集中制御型のネットワークシステムのネットワーク監視制御方法であって、
    ネットワークシステムの出口端通信装置において、転送情報監視手段が、自装置で受信するパケットの情報を管理する転送情報エントリテーブルの情報に基づいて、パケットの流量増大による異常トラフィックを判定する流量増大判定ステップと、
    前記出口端通信装置において、制御情報生成手段が、前記異常トラフィックが発生した場合、前記制御装置に対して、異常トラフィックが発生したフローを示すフィールドエントリの番号を用いて、異常トラフィック発生のパケット送信元となるネットワークの入口端通信装置を問い合わせる制御情報を生成して送信する制御情報送信ステップと、
    前記制御装置において、通信経路管理手段が、ネットワークの出口端通信装置から取得した前記出口端通信装置で発生した異常トラフィックのフローを前記フィールドエントリの番号で示すフロー情報に基づいて、自装置が監視対象とするネットワーク全体の通信経路を管理する通信経路管理テーブルを検索し、前記異常トラフィックのパケット送信元となるネットワークの入口端通信装置の情報と、前記出口端通信装置で発生した異常トラフィックのフロー情報に対応する前記入口端通信装置で前記フィールドエントリの番号を用いて管理している対応フロー情報と、を取得する通信経路管理テーブル検索ステップと、
    前記制御装置において、通知情報生成手段が、前記入口端通信装置の情報および前記対応フロー情報を含む制御情報を生成し、前記通信装置へ送信する制御情報生成送信ステップと、
    前記出口端通信装置において、前記制御情報生成手段が、前記制御装置からの前記フィールドエントリの番号を用いた回答に基づいて、前記入口端通信装置に対して異常トラフィックに該当するパケットの転送停止を要求する制御情報を生成して送信するフロー転送停止要求ステップと、
    を含むことを特徴とするネットワーク監視制御方法。

Images