JP6513819B2 - 通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティ及び方法 - Google Patents

Description

本開示は、通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティ、及び通信ネットワークを不正メッセージから保護するための方法に関する。

通信ネットワークに対する不正メッセージはここ数十年絶えず増加している。現在のところ、世界には約１９５の国又は主権国があり、ここ数十年世界中で民族的及び政治的な争いが起こるに従い、その数は増える可能性がある。プロバイダ及び送信先ネットワークの両方の数は、例えばデータクラウドが新規の集合体によって部分的に開始されるに従い増え続けている。モバイルで生成される及び／又はモバイルが送信先であるＩＰトラフィックの増加は、今後数年以内に著しく上昇するだろう。ハンドヘルドデバイス上のセキュリティは非常に攻撃を受けやすく、（新規の）攻撃の多くは新規のやり方で、攻撃の対象にはなっていないという完全な自己信頼を抱く人々及び／又は施設に起こる。過去ほんの５年でドイツにおけるＩＰ犯罪の発生率は約５０パーセント上昇した。例えばＩＰｖ４及びステートレスＩＰｖ６アドレスのプライバシー拡張のためのＲＦＣ４９４１のそれぞれにおける既存のＨＴＴＰ匿名性に起因して、「管理者（ｇｕａｒｄｉａｎｓ）」は設定されず、改善も期待し得ない。ＩＰアドレス上の透明性も、国の検察当局による、完全に機能しているＩＰ犯罪の防止又はトラッキングさえも近い将来において期待されない。

犯罪ユーザの不正メッセージに対抗する通信ネットワークのよりよい保護が必要である。

不正メッセージに対抗する通信ネットワークのそのような保護を提供することが本発明の目的である。

この目的は、独立請求項の特徴により達成される。更なる実装形態が従属請求項、明細書、及び図から明らかである。

本発明の本質的な考えは、ネットワーク保護エンティティ、例えば通信ネットワークのゲートウェイ又はプロバイダエッジルータにそれ独自のインテリジェンスを収集することを提供することで、ＩＰ及びポートの不正が通信ネットワークを攻撃することを防止することである。受信ネットワーク内（すなわち、ゲートウェイ又はプロバイダエッジルータが対応している上述の通信ネットワーク）の送信先への、通信メッセージのＩＰアドレス及びポート番号は典型的に、そのインタフェース及びトランク上でゲートウェイ又はプロバイダエッジルータに入るだろう。これらの通信メッセージの詳細は、不正メッセージを検出するため、及びこれらの不正メッセージが通信ネットワークに入ることを回避するために、ネットワーク保護エンティティのストレージ内のテーブルの中に記憶され得る。テーブルは、動的ＩＰアドレス構成における変更を許可するために時間間隔で更新され得る。先述のテーブルは、ＩＰアドレス及びポート番号の全ての可能な組み合わせを、１に設定した、したがってネクストホップまでの、生存時間フィールドと共に送出することによって設定されるだろう。この原理によりネットワーク保護エンティティは、適切なインタフェースとトランクとを、そのテーブルの中で各特定のＩＰアドレス及びポート番号に設定するだろう。

１つの接続のための全てのパケット、すなわち、送信先のＩＰアドレスとポート番号とへの、送信元のポート番号を伴うＩＰアドレスは、入ってくるときと、出ていくときの両方で常に同一のルートを使用する。

好みにより、プロバイダのネットワークのエッジでネットワーク保護エンティティ又は方法のそのようなセットアップを使用するとき、任意の匿名の手段で行われ、したがって大抵の場合外国の検察当局によって裁きづらいＩＰ不正は、ウイルスのような損傷を与えるソフトウェアを気付いていないユーザに送信する手段としては途絶えるだろう。ネットワーク保護エンティティの正しいインタフェースとトランクから入ってこない全てのＩＰトラフィックが適宜ドロップされることになり、したがってトラフィックに関する送信先ネットワークに入らないからである。ネットワークにおいて、これらのネットワーク保護エンティティ又は対応する方法を実装するとき、悪意をもって意図された他のユーザへのＩＰ伝達は、実在するＩＰアドレス及びポートを用いることによってのみ成功裏に行うことができる。このようなケースであったならば、いかなる形態の、あらゆる損傷を、現在では一般的であるように、より容易に調査することができ、より速く、より高い確かな可能性を伴い裁きを与えられるだろう。

本発明を詳細に説明すべく、以下の用語、略語及び表記を用いる。ＨＰＬＭＮ：ホーム公衆移動通信ネットワークＩＰ：インターネットプロトコルＩＳＯ：国際標準化機構ＩＳＰ：インターネットサービスプロバイダＯＳＩ：開放型システム相互接続モデルＰＥ：プロバイダエッジ；ネットワークのエッジＴＴＬ：生存時間

本開示による方法及びデバイスは、データパケット又はデータフレームのＯＳＩ第２層検出を提供するよう構成され得る。ＯＳＩ参照モデル第２層（正式にはＩＳＯ規格１９８４、７４９８−１：１９９４及びＣＣＩＴＴ規格Ｘ．２００として知られる）はインターネットアーキテクチャ委員会によって開発され、ＩＥＴＦにより草案された。ＯＳＩ第２層は、データグラムの安全で失敗のない伝送のためのデータリンク層を規定する。この層では、データパケットはビットにエンコード及びデコードされる。これは、伝送プロトコル知識及び管理を供給し、物理層におけるエラーと、フロー制御と、フレーム同期とを扱う。データリンク層は２つの副層、すなわちメディアアクセス制御（ＭＡＣ）層及び論理リンク制御（ＬＬＣ）層に分割される。ＭＡＣ副層は、ネットワーク上のコンピュータがどのようにデータにアクセスし、どのようにその伝送に対する許可を得るかを制御する。ＬＬＣ層は、フレーム同期と、フロー制御と、エラーチェックとを制御する。

本開示による方法及びデバイスは、受信ネットワーク内で、物理インタフェースと送信先に関連する接続トランクとに関する専用送信元アドレス及び専用ポート番号を示すための適切なテーブル（又は単なるテーブル）を用い得る。以下において適切とは、物理インタフェースと関連する接続トランクとに関する専用送信元アドレス及び専用ポート番号を記憶するために適切である、若しくは好適である、又は適応された任意のテーブルが使用され得ることを意味する。テーブルは、動的アレイとして、列と行とを含むシンプルなテーブルとして、又はその目的のために使用可能な任意の他の種類のメモリ構成として順序付けられてよい。テーブルは、物理インタフェースと関連する接続トランクとに対する専用送信元アドレス及び専用ポート番号のマッピングを記憶するよう適応され得る。

以下は、受信ネットワークに送られたメッセージが、送信先のＩＰアドレスとポート番号とによって受け取られるものであることを加味せず記述される。

１つの接続のための全てのパケット、すなわち、送信先のＩＰアドレスとポート番号とへの、送信元のポート番号を伴うＩＰアドレスは、入ってくるときと、出ていくときとの両方で、常に同一のルートを使用する。

第１の態様によると、本発明は通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティに関し、ネットワークを保護する要素が、物理インタフェースと、物理インタフェースに関連するおそらく複数の定められたトランクを伴う接続ラインとを有し、接続ラインは通信メッセージを受信するよう構成され、通信メッセージは、メッセージ送信元アドレス及びポート番号を有する。ネットワーク保護エンティティは、先述の適切なテーブルを記憶するためのストレージを更に含み、適切なテーブルは、ネットワーク保護エンティティのトランクを伴う物理インタフェースに関する、ポートを伴うただ１つの専用送信元アドレスを示す。ネットワーク保護エンティティは、プロセッサを更に含み、プロセッサは、ポート番号を伴う少なくとも１つの許可された送信元アドレスをストレージから取得するよう、並びにメッセージ送信元アドレス及びそのポートを、専用ポートを伴うただ１つの専用送信元ＩＰアドレスと比較するよう構成される。プロセッサは更に、メッセージ送信元アドレスとポートとが、特定のＩＰアドレスとポートとに対するインタフェースとトランクとの記憶された入り口エンティティ（データグラムがその下でネットワーク保護エンティティに入ったもの）と異なる場合に、通信メッセージを破棄するよう構成される。

これは、通信ネットワークのプロバイダのエッジで、ネットワーク保護エンティティ、例えばゲートウェイ又はルータに、それ独自のインテリジェンスを収集することを提供することによって達成され、通信メッセージのメッセージ送信元アドレス及びポートは、その物理インタフェース及び特定のトランク上で典型的にネットワーク保護エンティティに入るだろう。ネットワーク保護エンティティのストレージは、不正メッセージを検出するため、及びこれらの不正メッセージが通信ネットワークに入ることを回避するためのものであり、これらの通信メッセージの詳細は、その中の適切なテーブル内に記憶される。回避は、ポートを伴うメッセージ送信元アドレスが、適切なテーブルに記憶されたネットワーク保護エンティティの、トランクを伴う物理インタフェースに対する、適切なポートを伴う許可された送信元アドレス（複数可）と異なる通信メッセージを単に破棄することで行われる。

第１の態様による一実装形態において、プロセッサは、物理インタフェース及びトランク上で、先述のテーブルを満たすために送出したＩＰメッセージに基づき適切なテーブルのコンテンツを生成するよう構成され、この先述のテーブルを満たすために送出されたＩＰメッセージは、その中に１に設定された生存時間フィールドを有する。

これは、先述のメッセージを、１に設定された生存時間（ＴＴＬ）フィールドと共に送信することで適切なテーブルの中にこれらの通信メッセージの詳細のみを記憶することにより、信頼関係が開始され得るという利点を提供する。一方、受信において、伝送の終了時にＴＴＬ＝１フィールドは、ラストホップからノードに入ってきたメッセージを受信ノードに示し、それによりＴＴＬ＝１はＴＴＬ＝０になり破棄されるだろう。

第１の態様による一実装形態において、物理インタフェースは、通信メッセージを受信するよう構成された接続トランクと、物理インタフェースと接続トランクとの組み合わせに関する、特定のポートを伴う少なくとも１つの許可された送信元ＩＰアドレスを示す適切なテーブルとを有し、このようなデータグラムはその上でネットワーク保護エンティティに入るはずである。

適切なテーブルが、物理インタフェースと、その物理インタフェース上の関連する接続トランクとの組み合わせに関する、特定のポートを伴う許可された送信元ＩＰアドレスを記憶するとき、より高度な構成情報が要求されるので、不正メッセージに対抗する検出と防御を更に改善することができる。損傷が生じる極端なケースにおいて、いかなる形態の特定の１つの攻撃だけに関して、ネットワーク保護エンティティを通過可能な不正メッセージをデータグラム上で生成するために、攻撃者は特定のゲートウェイ／ルータ構成についての更なる情報及び識見を必要とするだろう。

第１の態様による一実装形態において、通信メッセージのメッセージ送信元アドレスはＩＰ送信元アドレス及びポート番号を有し、適切なテーブルは、物理インタフェースと接続トランクとの組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせを示す。

適切なテーブルが、物理インタフェース／接続トランクの組み合わせの、既存の組み合わせに関する許可された送信元アドレス／ポートの組み合わせを記憶するとき、さらにより高度な構成情報が要求されるので、不正メッセージに対抗するなおよい保護を実現することができる。これは、単に好みにより、送信先ネットワークとその管理者だけが、ここで要求される各ネットワーク保護エンティティの構成に関する識見を有するからである。送信元から送信先への複数のルートが存在し得るので、インターネットを通じる各異なるルートに従い、攻撃者は特定のネットワーク保護エンティティのどの送信元アドレス及びポート番号が、どの物理インタフェースと接続トランク上で伝送されるかを知らなければならないだろう。従って、独自のネットワークにおいてＩＰ不正を防止するための本明細書に記載のネットワーク保護エンティティ解決策を通過可能である不正メッセージを生成することは、極めてより困難になり、また極めてより多くの時間がかかるだろう。

第１の態様による一実装形態において、通信メッセージのポートを伴うメッセージ送信元アドレスは更に、ネットワークマスクと、最大伝送ユニットに関するバイト数と、スピード情報とを有し、適切なテーブルは、物理インタフェースと接続トランクとの組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせを示す。データグラムのＩＰヘッダの中にもある、ネットワークマスクと、最大伝送ユニットに関するバイト数と、スピード情報などは、本明細書に記載のＩＰ不正防止方法に関しチェックされない。

適切なテーブルが、物理インタフェースと接続トランクとの特定の組み合わせに関するＩＰヘッダの中の送信元アドレスと、ポート番号と、ネットワークマスクと、最大伝送ユニットに関するバイト数と、スピード情報などの組み合わせにおいて、記憶された特定のパラメータのみを許可するとき、不正メッセージに対抗する非常に高い保護が実現できる。これは、おそらく複数あるネットワーク保護エンティティの可能な接続変形に依存して多数の構成情報が要求されるからである。特定のネットワーク保護エンティティにおいて、どの物理インタフェースと接続トランクとの組み合わせ上での伝送に関し、どのルーティングによって、どのＩＰ送信元アドレスとポート番号が使用されるか、併せて更に、例えばどのネットワークマスク、最大伝送ユニットに関するバイト数、及び速度が使用されるかを攻撃者は知っていなければならない。従って、正しくない送信元パラメータを用いて、おそらく複数あるネットワーク保護エンティティを通過可能な不正メッセージを生成することは非常に困難である。

第１の態様による一実装形態において、プロセッサは、メッセージ送信元アドレスが通信ネットワークに入るよう動的に変更される有効な通信メッセージを許可すべく、適切なテーブルを時間間隔ベースで更新するよう構成される。

テーブルは動的ＩＰアドレス構成を許可さするため、例えばＩＰアドレスのＤＨＣＰ構成を許可するため、又はＩＰｖ４及びステートレスＩＰｖ６アドレスのプライバシー拡張のためのＲＦＣ４９４１のそれぞれにおけるＨＴＴＰ匿名性を許可するために、時間間隔で更新され得る。

第１の態様による一実装形態において、プロセッサは、ＯＳＩ第２層検出に基づき通信メッセージのメッセージ送信元アドレス及びポート番号を取得するよう構成される。

これは、ＯＳＩ第２層（又はデータリンク層）がＩＳＯ−ＯＳＩ参照モデルにおける低層であり、従ってその第２層上のデータパケットの検査に関する計算の複雑性は低いという利点を提供する。それゆえ、そこでポートを伴う送信元アドレスのチェックが行われるＯＳＩ第２層検出を実装するプロセッサに関する計算の複雑性は低く、各検査の早い遂行をもたらす。

第１の態様による一実装形態において、プロセッサは、通信メッセージを破棄する前にアラームを設定するよう更に構成される。これは、適切なテーブルにおいて、その送信先への更なる伝送のためにインターネットからネットワーク保護エンティティに入ってきた経路が、通信メッセージのメッセージ送信元ＩＰアドレス及び／又はポート番号と、インタフェースとトランクＩＤで異なるときに行われる。

これは、不正メッセージ、及びポートを伴うその送信元アドレスの検出をプロトコル化でき、侵略者がバックトラックされ得るという利点を提供する。

第１の態様による一実装形態において、ネットワーク保護エンティティは、適切なテーブルに、構成可能な値で満たすための構成インタフェースを有する。

これは、リクエストに際し、適切なテーブルは、オペレータによって手動で、又は自動で満たされ得るという利点を提供する。

第１の態様による一実装形態において、ネットワーク保護エンティティはＰＥルータのそれぞれのゲートウェイのうちの１つである。

これは、通信ネットワークを管理するために使用されるＰＥルータのそれぞれのゲートウェイが、ネットワーク保護エンティティを実装するよう使用され得るという利点を提供する。それゆえ、新規のネットワーク要素をインストールする必要はないが、本明細書に記載する機構に関する拡張だけは実装されるべきである。

第２の態様によると、本発明は、通信ネットワークをネットワークに入ってくる不正メッセージから保護するための方法に関し、方法は、物理インタフェース及びトランク上で通信メッセージを受信することを有し、通信メッセージはポート番号を伴うメッセージ送信元アドレスを含む。方法は、適切なテーブルを提供することを有し、適切なテーブルは、物理インタフェース及びトランクに関する、特定のポート番号を伴う少なくとも１つの許可された送信元ＩＰアドレスを示す。方法は、適切なテーブルから少なくとも１つの許可された送信元アドレスを取得して、メッセージ送信元アドレスを少なくとも１つの許可された送信元アドレスと比較することと、メッセージ送信元アドレスが、ネットワーク保護エンティティのトランクを伴う物理インタフェースに関する、ポートを伴うただ１つの専用送信元アドレスと異なる場合に、メッセージを破棄することとを有する。

そのようなネットワーク保護方法は、犯罪ユーザの不正メッセージに対抗する通信ネットワークのよりよい保護を提供する。これは、独自のインテリジェンスを収集するための適切なテーブルを提供することによって達成され、通信メッセージのメッセージ送信元アドレスは、典型的にその物理インタフェース及びトランク上で受信されるだろう。適切なテーブルは、不正メッセージを検出するため、及びこれらの不正メッセージが通信ネットワークに入ることを、通信メッセージを単に破棄することで回避するためのものであり、これらの通信メッセージの詳細は、その中に記憶される。破棄される通信メッセージは、メッセージ送信元アドレス及びポート番号のエントリが、ネットワーク保護エンティティ内のエントリとは異なるものであり、エントリは、適切なテーブルにおける、記憶された適したインタフェースとトランクとについて使用されたメッセージの、ＩＰアドレスとポート番号である。

第２の態様による一実装形態において、方法は、適切な物理インタフェース及びトランク上で送られたメッセージのＩＰルーティングに基づき、ＩＰメッセージにおいて１に設定される生存時間フィールドを有する、適切なテーブルを提供することを有する。

これは、生存時間（ＴＴＬ）フィールドが１に設定された同一メッセージを送信することで、収集された通信メッセージの詳細のみを適切なテーブルの中のＩＰルーティングに記憶することにより、信頼関係が開始され得るという利点を提供する。このようなＴＴＬ＝１フィールドは、ラストホップからノードへ入ってきたメッセージを受信ノードに示し、それによりＴＴＬ＝１はＴＴＬ＝０になり破棄されるだろう。

第２の態様による一実装形態において、方法は、物理インタフェースの接続トランク上で通信メッセージを受信することと、物理インタフェースと接続トランクとの組み合わせとに関する、特定のポートを伴う少なくとも１つの許可された送信元ＩＰアドレスを示す適切なテーブルを提供することとを有し、このようなデータグラムはその上でネットワーク保護エンティティに入るはずである。

適切なテーブルが、物理インタフェースと、その物理インタフェース上の関連する接続トランクとの組み合わせとに関する、特定のポートを伴う許可された送信元ＩＰアドレスを記憶するとき、より高度な構成情報が要求されるので、不正メッセージに対抗する検出と防御を更に改善することができる。損傷が生じる極端なケースにおいて、いかなる形態の特定の１つの攻撃だけに関して、ネットワーク保護方法を通過可能な不正メッセージをデータグラム上で生成するために、攻撃者は特定のゲートウェイ／ルータ構成についての更なる情報及び識見を必要とするだろう。

第２の態様による一実装形態において、方法は、通信メッセージと、ＩＰ送信元アドレスを含む通信メッセージのメッセージ送信元アドレス及びポート番号を受信することと、ＩＰ送信元アドレス及びポート番号が、物理インタフェースと接続トランクとの組み合わせに関する、ＩＰ送信元アドレスとポート番号との許可された組み合わせと異なる場合に、通信メッセージを破棄することとを有する。

適切なテーブルが、物理インタフェース／接続トランクの組み合わせの、既存の組み合わせに関する許可された送信元アドレス／ポートの組み合わせを記憶するとき、さらにより高度な構成情報が要求されるので、不正メッセージに対抗するなおよい保護を実現することができる。これは、単に好みにより、送信先ネットワークとその管理者だけが、ここで要求される各ネットワーク保護エンティティの構成に関する識見を有するからである。送信元から送信先への複数のルートが存在し得るので、インターネットを介する各異なるルートに従い、攻撃者は特定のネットワーク保護エンティティのどの送信元アドレス及びポート番号が、どの物理インタフェースと接続トランク上で伝送されるかを知らなければならないだろう。従って、独自のネットワークにおいてＩＰ不正を防止するための、本明細書に記載のネットワーク保護エンティティ解決策を通過可能である不正メッセージを生成することは、極めてより困難になり、また極めてより多くの時間がかかるだろう。

そのようなプログラムコードは、ＰＥルータのそれぞれの既存のゲートウェイ上で容易に実装でき、これらのデバイスを本開示によりネットワーク保護エンティティにアップグレードできる。

本発明の更なる実施形態が以下の図に関して説明されよう。
一実装形態による、動作モードで通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティ１００を図示するブロック図を示す。 一実装形態による、インタフェースとトランクパラメータとを、ＩＰアドレス及びポートに収集する、構成モードで図１に示したネットワーク保護エンティティ１００を図示するブロック図を示す。 一実装形態による、ネットワーク保護エンティティの実装としてゲートウェイ３００の３次元図を示す。 一実装形態による、ネットワーク保護エンティティ１００により不正メッセージから保護されるホーム通信ネットワークを有する通信システム４００を図示するブロック図を示す。 一実装形態による、通信ネットワークを不正メッセージから保護するための方法５００を図示する概略図を示す。

以下の詳細な説明において、その一部分を形成する添付図面を参照し、そこに本開示が実施され得る具体的な態様を実例として示す。他の態様が利用されてよく、本開示の範囲を逸脱することなく、構造的又は論理的変更がなされてよいことが理解される。以下の詳細な説明は、従って、限定的な意味に捉えられるべきでなく、本開示の範囲は添付の特許請求により定められる。

記載される方法に関してなされた解説はまた、その方法を行うよう構成された対応するデバイス又はシステムに関して当てはまるかもしれず、デバイス又はシステムに関してなされた解説はまた、それに対応する方法に当てはまるかもしれないことが理解される。例えば、特定の方法の段階が説明される場合、対応するデバイスは記載される方法の段階を行うユニットを、（そのようなユニットが明確に説明又は図示されない場合であっても）含み得る。更に、本明細書に記載の様々な例示的な態様の特徴は、そうでないと特記されない限り、互いに組み合わされてよいことが理解される。

以下の説明において、通信ネットワークを不正メッセージから保護するための方法及びデバイスを説明する。説明するデバイス及びシステムは、機能性を指すが、例えばこのようなノードの製造業者及び開発状況次第で異なる名称が付けられてよく、集積回路及び／又は集積パッシブを含んでよく、及び様々なテクノロジーに応じて製造されてよい。例えば、回路は、論理集積回路、アナログ集積回路、混合信号集積回路、光回路、メモリ回路及び／又は集積パッシブを含み得る。

以下の説明において、通信メッセージの生存時間メッセージフィールドを活用するための方法及びデバイス、具体的にはＩＰメッセージを説明する。生存時間（ＴＴＬ）又はホップリミットは、コンピュータ又はネットワークにおけるデータの寿命又は存続時間を制限するメカニズムである。ＴＴＬは、データに付加される又は組み込まれる、カウンタ又はタイムスタンプとして実装され得る。所定のイベントカウント又は期間が経過すると、データは破棄される。ＴＴＬは、データパケットが無制限に循環することを防止する。ＴＴＬは、２つのネットワークエンティティ間の近接関係を更に記載する。ＴＴＬフィールドの減少は、２つのネットワークエンティティ間の（時間又は空間における）距離を特徴付ける。

インターネットプロトコル（ＩＰ）のもと、ＴＴＬは、８ビットのフィールドである。ＩＰｖ４ヘッダにおいて、ＴＴＬは、２０オクテットの９番目である。ＩＰｖ６ヘッダにおいて、ＴＴＬは、４０オクテットの８番目である。最大ＴＴＬ値は、２５５であり、単一オクテットの最大値である。生存時間値は、ＩＰデータグラムがインターネットシステムに存在できる時間に対する上限値を表すことができる。ＴＴＬフィールドはデータグラムの送信者によって設定され、その送信先へのルート上の全てのルータによって減らされる。ＴＴＬフィールドの目的は、安定したパフォーマンスを提供すべく、配達不能なデータグラムが、インターネットシステム上を循環し続ける状況を回避することである。ＩＰｖ４のもと、生存時間は秒数で測られ、データグラムを通過する全てのホストは、少なくとも１単位ＴＴＬを減らさなくてはならない。実際には、しかしながら、ＴＴＬフィールドは、ホップごとに１減らされる。この履行を反映するために、フィールドは、ＩＰｖ６においてホップリミットと改名されている。

以下の説明において、トランク又は接続トランクに基づく方法及びデバイスを説明する。トランキングは、多くのクライアントに、個別に提供する代わりに、ライン又はアクセスのセットを共有することで、ネットワークアクセスを提供するための方法として呼ばれる。トランクは、通信エンティティ（例えばゲートウェイ）の２つのポート間の永久的なポイント・ツー・ポイント通信ラインとして定められ得る。イーサネット（登録商標）のコンテキストにおいて、イーサネット（登録商標）トランキングという用語は、トランキングプロトコルを使用し、単一のネットワークリンクを通じて複数のＶＬＡＮ（仮想ローカルエリアネットワーク）を持つことを規定する。１つのリンク上の複数のＶＬＡＮを許可するために、個々のＶＬＡＮからのフレームが識別される。

図１は、一実装形態による、動作モードで通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティ１００を図示するブロック図を示す。

ネットワーク保護エンティティ１００は、物理インタフェース１０１、ＦＥ０、と、ストレージ１０３と、プロセッサ１０７とを含む。物理インタフェース１０１、ＦＥ０は、通信メッセージ１０２を受信するよう構成される。通信メッセージ１０２は、メッセージ送信元アドレスＸを含む。ストレージ１０３は、適切なテーブル１０５を記憶するために使用される。適切なテーブル１０５は、物理インタフェース１０１、ＦＥ０に関する少なくとも１つの許可された送信元アドレスＡを示す。プロセッサ１０７は、ストレージ１０３から１又は複数の許可された送信元アドレスＡを取得するよう、及びメッセージ送信元アドレスＸを１又は複数の許可された送信元アドレスＡと比較するよう構成される。プロセッサ１０７は、メッセージ送信元アドレスＸが、少なくとも１つの許可された送信元アドレスＡと異なる場合に、通信メッセージ１０２を破棄するよう更に構成される。プロセッサ１０７は、物理インタフェース１０１、ＦＥ０、上で受信されたＩＰメッセージに基づき適切なテーブル１０５を生成してよく、例えば図２に関して以下で説明するように、そのＩＰメッセージにおいて生存時間フィールドが１に設定される。物理インタフェース１０１、ＦＥ０は、通信メッセージ１０２を受信するよう構成された接続トランクを含み得る。適切なテーブル１０５は、物理インタフェース１０１、ＦＥ０と接続トランクとの組み合わせに関する、少なくとも１つの許可された送信元アドレスＡを示し得る。

通信メッセージ１０２のメッセージ送信元アドレスＸは、ＩＰ送信元アドレス及びポート番号を含み得る。適切なテーブル１０５は、物理インタフェース１０１、ＦＥ０と接続トランクとの組み合わせに関する、ＩＰ送信元アドレスとポート番号との許可された組み合わせを示し得る。通信メッセージ１０２のメッセージ送信元アドレスＸは、ネットワークマスクと、最大伝送ユニットに関するバイト数と、スピード情報とを更に含み得る。適切なテーブル１０５は、物理インタフェース１０１、ＦＥ０と接続トランクとの組み合わせに関する、ＩＰ送信元アドレスと、ポート番号と、ネットワークマスクと、最大伝送ユニットに関するバイト数と、スピード情報との許可された組み合わせを示し得る。

プロセッサ１０７は、そのメッセージ送信元アドレスＸが通信ネットワークに入るよう動的に変更される有効な通信メッセージ１０２を許可すべく、適切なテーブル１０５を時間間隔ベースで更新し得る。プロセッサ１０７はＯＳＩ第２層検出に基づき、通信メッセージ１０２のメッセージ送信元アドレスＸを取得するよう構成され得る。

プロセッサ１０７は通信メッセージ１０２のメッセージ送信元アドレスＸが、少なくとも１つの許可された送信元アドレスＡと異なるとき、通信メッセージ１０２を破棄する前にアラームを設定し得る。ネットワーク保護エンティティ１００は適切なテーブル１０５に、構成可能な値を満たすための構成インタフェースを含み得る。ネットワーク保護エンティティ１００は例えば、ゲートウェイ、ルータ、又はＰＥルータであり得る。

図１に示されているネットワーク保護エンティティ１００は、動作モードで図示される。すなわち、１又は複数の通信メッセージ１０２は、送信元アドレスＸ及びポートＰと共に物理インタフェース１０１、ＦＥ０に到着し、プロセッサ１０７は、通信メッセージ１０２の送信元アドレスＸ及びポート番号Ｐが、物理インタフェース１０１、ＦＥ０の識別子ＦＥ０及び接続トランクＴ１と一緒にストレージ１０３の適切なテーブル１０５内に記憶されているかどうかをチェックする。送信元アドレスＸ及びポートＰが、インタフェースＦＥ０と接続トランクＴ１とに関する許可されたエントリとしてテーブル内に記憶されている場合、通信メッセージ１０２は、通信ネットワーク（図１に図示せず、例えば図４を参照のこと）に入ることが許可され、そうでなければ通信メッセージ１０２は、通過することが許可されず破棄され得る。適切なテーブル１０５は、それぞれの物理インタフェース及び接続トランクに関して許可された複数の送信元アドレス及びポート番号、例えば物理インタフェースＦＥ０と接続トランクＴ２とに関するポートＰ２を伴うアドレスＢ、又は物理インタフェースＦＥ１と接続トランクＴ１とに関するポートＰ１を伴うアドレスＣを含み得る。適切なテーブル１０５は、物理インタフェースごとに複数の物理インタフェース及び複数の接続トランク、例えば物理インタフェースＦＥ０とトランクＴ１とに関する許可された送信元アドレスＡ及びポートＰ１と、物理インタフェースＦＥ１とトランクＴ２とに関する許可された送信元アドレスＢ及びポートＰ２と、物理インタフェースＦＥ１とトランクＴ１とに関する許可された送信元アドレスＣ及びポートＰ１と、物理インタフェースＧＥ０とトランクＴ１とに関する許可された送信元アドレスＤ及びポートＰ３とを図１に描かれる一例として含み得る。

図１が、適切なテーブル１０５が存在しており、許可されたアドレス情報で満たされている、ネットワーク保護エンティティ１００の動作モードを示す一方、図２は、適切なテーブル１０５を満たすための情報を、ネットワーク保護エンティティ１００が得る構成モードを示す。

図２は、一実装形態による、構成モードで図１に示されたネットワーク保護エンティティ１００を図示するブロック図を示す。図２に示されるネットワーク保護エンティティ１００は、図１に示されるネットワーク保護エンティティ１００と一致する。図２は、一例による、適切なテーブル１０５の例示的な構成を示す。例えばＩＰメッセージのヘッダ内にメッセージフィールドを含み、１と等しい生存時間を示す、例えばＩＰメッセージである、信頼メッセージ２０２が、物理インタフェース１０１に到着するとき、ネットワーク保護エンティティ１００は、このメッセージが、例えばネクストホップルータ又はゲートウェイである、次のネットワーク要素、すなわち悪意のある攻撃者により破損されていない安全なネットワーク要素、から発生すると仮定する。それゆえ、この信頼メッセージ２０２のメッセージ送信元アドレスは、適切なテーブル１０５を満たすために使用され得る有効な送信元アドレスとして扱われる。

プロセッサ１０７は、ＴＴＬメッセージフィールドが信頼メッセージ２０２に含まれているかどうかをチェックし、そのような信頼関係が存在する場合に、信頼メッセージ２０２の送信元アドレスＡ及びポート番号Ｐ１は、物理インタフェース１０１の識別子ＦＥ０及び接続トランクＴ１と一緒に、適切なテーブル１０５内に記憶される。入ってくるメッセージがＴＴＬ＝１を持つ場合、それは破棄されるだろう。これは、受信ノードがＴＴＬ値から１を取り出し、これ以上転送できないために破棄されるだろう。

代替的に、メッセージ２０２が安全なネットワーク要素から発生するかどうかをチェックするために、他の信頼関係が適用され得る。例えば、ネットワーク構成が知られている場合、２と等しいかそれより高い値であるＴＴＬでさえ使用され得る。例えば、メッセージが、例えばインターネットのような非匿名性のネットワークにおいてたくさんのルータを通過する場合、ＴＴＬ値は、メッセージが物理インタフェース１０１に到達する前に通過しなければならない既知のネットワーク要素の数増やされ得る。ＴＴＬフィールドの代わりに、通信メッセージからの他のメッセージフィールドが使用され得、これらは例えばタイムスタンプ又はシーケンス番号などに基づき操作できない信頼関係を提供する。

図３は一実装形態による、ネットワーク保護エンティティの実装としてゲートウェイ３００の３次元図を示す。ゲートウェイ３００は、図１及び図２に関して上述されたようなネットワーク保護エンティティ１００の一例示的な実装例である。他の例は、ＰＥルータ及びネットワークのエッジでルーティング機能性を有する他のネットワークエンティティである。図３に示す例示的なゲートウェイ３００は、２つの高速イーサネット（登録商標）インタフェースＦＥ０ ３１０、ＦＥ１ ３１１と、第１のタイプの４つのシリアルインタフェース０／０ ３２０、０／１ ３２１、０／２ ３２２、０／３ ３２３と、第２のタイプの４つのシリアルインタフェース１／０ ３３０、１／１ ３３１、１／２ ３３２、１／３ ３３３と、２つの管理インタフェース３４１、３４２とを含む。当然、任意の他のインタフェース構成が実装され得る。

通信ネットワークのゲートウェイ３００は、そのインタフェース及びトランク上に到着するメッセージの、ポートを伴うＩＰアドレス上で独自のインテリジェンスを収集することから開始する。例えばＴＴＬ＝１メッセージを通じて開示されている、これらの詳細は、テーブル内に記憶され、将来の比較のために時間間隔でテーブル内で更新される。各パケットは、ゲートウェイに入る途中で特定のＩＰアドレス及びポートと照らし合わせてチェックされる。これは、ＯＳＩ第２層上のインタフェースとトランクにおいて変換される。

例えば、メッセージ送信元アドレスフィールド「１４２．２１３．３２．１ １０００ １５００ ８０」は、速度１．０００ＭＢ／秒と、１．５００バイトの最大伝送ユニット（ＭＴＵ）と、ポート８０とを有するＩＰｖ４アドレス１４２．２１３．３２．１ ２５５．２５５．２５５．２５２及び１４２．２１３．３２．１／３０をそれぞれ表し得る。

例示的な表現「ＦＥ０／９アクセスアップ」は、アップストリーム方向におけるインタフェース高速イーサネット（登録商標）０／９を表し得る。エントリ「ＦＥ０／２２ ｔｒｕｎｋ」又は「ｃｈａｎｎｅｌ−ｇｒｏｕｐ ２２ ｍｏｄｅ」は、チャネルグループ２２とも呼ばれる２２番目のトランクを表し得る。

これらのパラメータが、特定のＩＰアドレス及びポートと一緒にデータベース及びゲートウェイ（若しくはＰＥルータ）のテーブルにそれぞれ設定される場合、いかなる未確認ＩＰアドレス及びポート番号は、間違ったインタフェース及び／又はトランク上からそれらが入ってくるかもしれないので、アクセスが許可されない。

図４は、一実装形態による、ネットワーク保護エンティティ１００により不正メッセージから保護されるホーム通信ネットワークを有する通信システム４００を図示するブロック図を示す。

通信システム４００は、ホーム通信ネットワーク４２０（例えばＨＰＬＭＮ（ホーム公衆移動通信ネットワーク）及びホームＩＳＰ（インターネットサービスプロバイダ））を含み、これは、ネットワーク保護エンティティ（例えば図１から図３に関して上述されたデバイス１００（例えばゲートウェイ又はルータ））によって、ワールドワイドウェブ４１０に、又は他の移送通信ネットワークに結合される。複数の外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク４０２ａ、４０２ｂ、４０２ｃ、４０２ｘは、対応するゲートウェイ４０４ａ、４０４ｂ、４０４ｃ、４０４ｘによって、通信ネットワーク４２０との通信をイネーブルにするためのワールドワイドウェブ４１０に結合される。外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク４０２ａ、４０２ｂ、４０２ｃ、４０２ｘの各々は、複数のクライアント端末を含む。図４において、第１の外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク４０２ａは、クライアント端末４０３ａ、４０５ａ、４０７ａを含み、第２の外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク４０２ｂは、クライアント端末４０３ｂ、４０５ｂ、４０７ｂを含み、第３の外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク４０２ｃは、クライアント端末４０３ｃ、４０５ｃ、４０７ｃを含み、第４の外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク４０２ｘは、クライアント端末４０３ｘ、４０５ｘ、４０７ｘを含む。しかしながら、任意の他の数の外国のインターネットサービスプロバイダ（ＩＳＰ）ネットワーク及び任意の他の数の対応するクライアント端末を適用することができる。

通信システム４００において、１つの端子、例えば端子４０７ｘは、悪意のある攻撃者を表す。攻撃者は、ＩＰパケットストリング内において、損傷を与えるコンテンツを有する不正メッセージ４３０を、（例示的な）偽装ＩＰアドレス１７３．１．１２１．９８と（例示的な）ポート番号２５３とのもと、ホーム通信ネットワーク４２０の利用者に（すなわち、クライアント端末４２３、４２５、４２７、４２９のうちの１つの送信先アドレスに）送信している。不正メッセージ４３０は、ワールドワイドウェブ４１０を通過して、不正メッセージ４３０を受信するネットワーク保護エンティティ１００に移送される。

図１から図３に関して上述されたネットワーク保護エンティティ１００の構成に起因して、ＩＰパケットは、偽装ＩＰ１７３．１．１２１．９８とポート番号２５３とのもと、間違ったインタフェースとトランク（すなわち、ＩＰアドレスとポート番号と（１７３．１．１２１．９８／３１ ２５３）が適切なテーブル内に記憶されていないインタフェースとトランクとの組み合わせ）上のネットワーク保護エンティティ１００に到着する。結果として、不正メッセージ４３０はドロップされ、ホーム通信ネットワーク４２０に入らない。

例示的な一実装において、ネットワーク保護エンティティ１００の適切なテーブルは、「１４２．２１３．３２．１ １０００ １５００ ８０」のもと、ｃｈａｎｎｅｌ ｇｒｏｕｐ ２２ ｔｒｕｎｋを伴うインタフェースＦＥ０／９上に到達するＩＰｖ４ストリングを含み得る。同一のトランクを伴う同じインタフェースはまた、他の多数のＩＰアドレス及びポートを表わしてよい。しかしながら、ポートを伴うＩＰアドレスの全てが、全てのインタフェース及びトランク上で平衡負荷になるべく、同一マッピングを所有するわけではない。

ホーム通信ネットワーク４２０のクライアント端末に向かって悪意のあるコンテンツを送出した当事者により使用された、未確認又は偽装ＩＰｖ４アドレスＩＰ１７３．１．１２１．９８及びポート番号２５３は、インターネット４１０からインタフェースＦＥ０／９及び２２番目のトランクを通じて、ネットワーク保護エンティティ１００（例えばゲートウェイ）に到着するだろう。これらはそのデータベース、すなわちポート２５３を伴うＩＰ１７３．１．１２１．９８に関する適切なテーブル内に記憶された値ではない。パケットが、間違ったインタフェース及び／又はトランクに到着すると、ネットワーク保護エンティティ１００又はゲートウェイは、パケット４３０をドロップする。上述されたように、正しいＩＰアドレス及びポートは、ポート番号８０を伴う１４２．２１３．３２．１であり得るが、ポート番号２５３を伴う偽装１７３．１．１２１．９８のもと送られたものではあり得ない。

図５は、一実装形態による、通信ネットワークを不正メッセージから保護するための方法５００を図示する概略図を示す。

方法５００は、例えば図１及び図２に関して上述された物理インタフェース１０１、又は図３に関して上述された物理インタフェース３１０、３１１、３２０、３２１、３２２、３２３、３３０、３３１、３３２、３３３である、物理インタフェース上で、通信メッセージを受信する段階５０１を含む。通信メッセージは、メッセージ送信元アドレス、例えば図１に関して上述されたメッセージ送信元アドレスＸと、ポート番号、例えば図１に関して上述されたポート番号Ｐとを含む。方法５００は更に、適切なテーブル、例えば図１及び図２に関して上述された適切なテーブル１０５を提供する段階５０２を含み、適切なテーブルは、物理インタフェースとトランクとに関する専用送信元アドレスと専用接続トランクとを示し、本明細書で説明したように、適切なテーブルからのその特定の（すなわち専用の）ポートを含む専用送信元アドレスを取得して、メッセージ送信元アドレス及びポートを、専用送信元アドレス及び専用接続トランクと比較する段階５０３を含み、メッセージ送信元アドレスが専用送信元アドレスと異なる場合に、又はポート番号が専用ポート番号と異なる場合にメッセージを破棄する段階５０４、を含む。

方法５００は、物理インタフェース及びトランク上で送出されたＩＰメッセージに基づき適切なテーブルを提供する段階５０２を含み得、例えば図２に関して上述されたように、そのＩＰメッセージにおいて生存時間フィールドが１に設定された。方法５００は、例えば図１に関して上述されたように、物理インタフェースの接続トランク上で通信メッセージを受信する段階５０１と、物理インタフェースと接続トランクとの組み合わせに関する専用送信元アドレスを示す適切なテーブルを提供する段階５０２とを含み得る。方法５００は、例えば図１、図２及び図４に関して上述されたように、通信メッセージ、ＩＰ送信元アドレスを含む通信メッセージのメッセージ送信元アドレス、及びポート番号を受信する段階５０２と、ＩＰ送信元アドレス及びポート番号が、物理インタフェースと接続トランクとの組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせと異なる場合に、通信メッセージを破棄する段階５０４とを含み得る。

本明細書に記載の方法、システム及びデバイスは、チップ、又は集積回路、又は特定用途向け集積回路（ＡＳＩＣ）内の電気及び／又は光回路として実装され得る。本発明は、デジタル及び／又はアナログ電子及び光回路において実装できる。

本明細書に記載の方法、システム及びデバイスは、デジタルシグナルプロセッサ（ＤＳＰ）内、マイクロコントローラ内若しくは任意の他のサイドプロセッサの中のソフトウェアとして、又はデジタルシグナルプロセッサ（ＤＳＰ）の特定用途向け集積回路（ＡＳＩＣ）内のハードウェア回路として実装され得る。

本発明は、デジタル電子回路内、又はコンピュータハードウェア、ファームウェア、ソフトウェアにて、又はそれらの組み合わせにて、例えば従来の光トランシーバデバイスの利用可能なハードウェアにて、又は本明細書に記載の方法を処理するための新規の専用ハードウェアにて実装できる。

本開示はまた、コンピュータ実行可能コード又はコンピュータ実行可能命令を含むコンピュータプログラム製品をサポートし、これは、実行されると、少なくとも１つのコンピュータに、本明細書に記載の行う段階及び計算する段階、具体的には図５に関して上述された方法５００と、図１から図４に関して上述された技術とを実行させる。そのようなコンピュータプログラム製品は、その上にコンピュータによって使用されるためのプログラムコードを記憶する可読ストレージ媒体を含み得る。プログラムコードは、図５に関して上述されたような方法５００を行い得る。以下は、本発明による特定の例に関する。

例１は、通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティであって、ネットワークを保護する要素は、以下を有する。通信メッセージを受信するための物理インタフェースに関連する接続トランクを有する物理インタフェースであって、通信メッセージは、メッセージ送信元アドレス及びポート番号を含み、通信メッセージは、通信ネットワーク内の送信先に宛てられる、物理インタフェースと、適切なテーブルを記憶するためのストレージであって、適切なテーブルは、物理インタフェースと関連する接続トランクとに関する専用送信元アドレス及び専用ポート番号を示すために適切である、ストレージと、専用送信元アドレス及び専用ポート番号をストレージから取得し、メッセージ送信元アドレスを専用送信元アドレスと、及びポート番号を専用ポート番号と比較するよう構成されるプロセッサであって、プロセッサは更に、メッセージ送信元アドレスが専用送信元アドレスと異なる、又はポート番号が専用ポート番号と異なるいずれかの場合に、通信メッセージを破棄するよう構成される、プロセッサ。

例２において、例１の主題は、プロセッサが、物理インタフェース上で送出されたＩＰメッセージに基づき適切なテーブルのコンテンツを生成するよう構成され、そのＩＰメッセージにおいて生存時間フィールドが１に設定されたことを任意選択的に含み得る。

例３において、例１−例２のうちの何れか１つの主題は、適切なテーブルが、物理インタフェースと関連する接続トランクとの組み合わせに関する専用送信元アドレス及び専用ポート番号を示すことを任意選択的に含み得る。

例４において、例３の主題は、適切なテーブルが、物理インタフェースと関連する接続トランクとの組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせを示すことを任意選択的に含み得る。

例５において、例４の主題は、通信メッセージのメッセージ送信元アドレス及び関連するポート番号が、ネットワークマスクと、最大伝送ユニットに関するバイト数と、スピード情報とを更に有することと、適切なテーブルが、物理インタフェースと関連する接続トランクとの組み合わせに関するＩＰ送信元アドレス及びポート番号の許可された組み合わせを示すこととを任意選択的に含み得る。

例６において、例１−例５のうちの何れか１つの主題は、プロセッサが、メッセージ送信元アドレスが通信ネットワークに入るよう動的に変更される有効な通信メッセージを許可すべく、適切なテーブルを時間間隔ベースで更新するよう構成されることを任意選択的に含み得る。

例７において、例１−例６のうちの何れか１つの主題は、プロセッサが、ＯＳＩ第２層検出に基づき通信メッセージのメッセージ送信元アドレス及びポート番号を取得するよう構成されることを任意選択的に含み得る。

例８において、例１−例７のうちの何れか１つの主題は、プロセッサが、通信メッセージのメッセージ送信元アドレスが専用送信元アドレスと異なるとき、又は通信メッセージのポート番号が専用ポート番号と異なるときに、通信メッセージを破棄する前にアラームを設定するよう更に構成されることを任意選択的に含み得る。

例９において、例１−例８のうちの何れか１つの主題は、適切なテーブルを、構成可能な値で満たすための構成インタフェースを任意選択的に含み得る。

例１０において、例１−例９のうちの何れか１つの主題は、ネットワーク保護エンティティがゲートウェイ及びルータのうちの１つであり、具体的にはプロバイダエッジルータであることを任意選択的に含み得る。

例１１は、通信ネットワークを不正メッセージから保護するための方法であって、方法は、以下を有する。物理インタフェースの接続トランク上で通信メッセージを受信する段階であって、通信メッセージは、メッセージ送信元アドレス及びポート番号を含み、通信メッセージは、通信ネットワーク内の送信先に宛てられる、受信する段階と、適切なテーブルを提供する段階であって、適切なテーブルは、物理インタフェースと接続トランクとに関する専用送信元アドレス及び専用ポート番号を示すために適切である、提供する段階と、専用送信元アドレス及び専用ポート番号をストレージから取得し、メッセージ送信元アドレスを専用送信元アドレスと、及びポート番号を専用ポート番号と比較する段階と、メッセージ送信元アドレスが専用送信元アドレスと異なる、又はポート番号が専用ポート番号と異なるいずれかの場合に、通信メッセージを破棄する段階。

例１２において、例１１の主題は、物理インタフェース上で送出されたＩＰメッセージに基づき適切なテーブルを提供することを有し、そのＩＰメッセージにおいて生存時間フィールドが１に設定された段階を任意選択的に含み得る。

例１３において、例１１−例１２のうちのいずれか１つの主題は、物理インタフェースと接続トランクとの組み合わせに関する専用送信元アドレス及び専用ポート番号を示す適切なテーブルを提供する段階を任意選択的に含み得る。

例１４において、例１３の主題は、通信メッセージ、ＩＰ送信元アドレスを含む通信メッセージのメッセージ送信元アドレス及びポート番号を受信する段階と、ＩＰ送信元アドレス及びポート番号が、物理インタフェースと接続トランクとの組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせと異なる場合に、通信メッセージを破棄する段階とを任意選択的に含み得る。

例１５は、コンピュータ上で動作するときに、例１１−例１４のうちの何れか１つによる方法を実行するためのプログラムコードを有する、コンピュータプログラムである。

本開示の特定の特徴又は態様が、複数の実装のうちの１つだけに関して開示されてきたかもしれない一方、所与の又は特定の、任意の適用例に関して所望され有益となり得るので、そのような特徴又は態様は、他の実装の他の１又は複数の特徴又は態様と組み合わされてよい。更に、「含む」、「有する」、「共に」という用語又はそれらの他の変形が、詳細な説明又は特許請求の範囲のいずれかで用いられるという点で、そのような用語は、「備える」という用語と同様の態様で包括的であることが意図される。また、「例示的な（ｅｘｅｍｐｌａｒｙ）」、「例えば（ｆｏｒ ｅｘａｍｐｌｅ）」、及び「例えば（ｅ．ｇ．）」という用語は、最善例又は最適例であるよりもむしろ一例であることを意図しているにすぎない。「結合され」及び「接続され」という用語が、派生語とともに用いられていてよい。これらの用語は、２つの要素が、物理的若しくは電気的に直接接触しているか、又は互いに直接接触していないかに関わらず、互いに協働又は相互作用することを示すために用いられていてよいことを理解されるべきである。

具体的な態様が本明細書で図示され説明されてきたが、当業者であれば、様々な代替的及び／又は等価的実装が、本開示の範囲から逸脱することなく、示されて説明されている具体的な態様の代わりとなる得ることを認識するだろう。本出願は、本明細書で議論された具体的な態様のいかなる適応又は変形を包含することを意図する。

以下の特許請求の範囲における要素は、特定の順序で対応する標識と共に記述されるが、請求項の記述が、これらの要素のいくつか又は全てを実装するための特定の順序を別段に暗示しない限り、これらの要素は、その特定の順序で実装されるよう限定されることを必ずしも意図されない。

多くの代替物、修正、及び変形が、上記の教示を考慮して当業者に明らかとなるだろう。当然、本発明の多数の適用例が、本明細書に記載されているものを超えて存在することを当業者であれば容易に認知する。本発明が１又は複数の特定の実施形態を参照して説明されてきた一方、本発明の範囲から逸脱することなく、多くの変更がそれらに対してなされてよいことを当業者であれば認知する。従って添付の特許請求の範囲及びそれらの等価物の範囲内で、本発明は、具体的に本明細書に記載されているものとは異なる方法で実施されてよいことを理解されたい。

Claims (13)

1. 通信ネットワークを不正メッセージから保護するためのネットワーク保護エンティティであって、前記通信ネットワークを保護する要素は、
   通信メッセージを受信するための物理インタフェースに関連する接続トランクを有する前記物理インタフェースであって、前記通信メッセージは、メッセージ送信元アドレス及びポート番号を含み、前記通信メッセージは、前記通信ネットワーク内の送信先に宛てられる、物理インタフェースと、
   適切なテーブルを記憶するためのストレージであって、前記適切なテーブルは、前記物理インタフェースと前記関連する接続トランクとに関する専用送信元アドレス及び専用ポート番号を示すために適切である、ストレージと、
   前記専用送信元アドレス及び前記専用ポート番号を前記ストレージから取得し、前記メッセージ送信元アドレスを前記専用送信元アドレスと、及び前記ポート番号を前記専用ポート番号と比較するプロセッサであって、前記プロセッサは更に、前記メッセージ送信元アドレスが前記専用送信元アドレスと異なる、又は前記ポート番号が前記専用ポート番号と異なるいずれかの場合に、前記通信メッセージを破棄する、プロセッサと、
   を備え、
   前記プロセッサは、前記物理インタフェース上で送出されたＩＰメッセージに基づき前記適切なテーブルのコンテンツを生成し、そのＩＰメッセージにおいて生存時間フィールドが１に設定されている、
   ネットワーク保護エンティティ。
2. 前記適切なテーブルは、前記物理インタフェースと前記関連する接続トランクとの組み合わせに関する前記専用送信元アドレス及び前記専用ポート番号を示す、請求項１に記載のネットワーク保護エンティティ。
3. 前記適切なテーブルは、前記物理インタフェースと前記関連する接続トランクとの前記組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせを示す、請求項２に記載のネットワーク保護エンティティ。
4. 前記適切なテーブルは、前記物理インタフェースと前記関連する接続トランクとの前記組み合わせに関するＩＰ送信元アドレス及びポート番号の許可された組み合わせを示す、請求項３に記載のネットワーク保護エンティティ。
5. 前記プロセッサは、そのメッセージ送信元アドレスが前記通信ネットワークに入るよう動的に変更される有効な通信メッセージを許可すべく、前記適切なテーブルを時間間隔ベースで更新する、請求項１から４の何れか一項に記載のネットワーク保護エンティティ。
6. 前記プロセッサは、ＯＳＩ第２層検出に基づき、前記通信メッセージの前記メッセージ送信元アドレス及び前記ポート番号を取得する、請求項１から５の何れか一項に記載のネットワーク保護エンティティ。
7. 前記プロセッサは更に、前記通信メッセージの前記メッセージ送信元アドレスが、前記専用送信元アドレスと異なるときに、又は前記通信メッセージの前記ポート番号が、前記専用ポート番号と異なるときに、前記通信メッセージを破棄する前にアラームを設定する、請求項１から６の何れか一項に記載のネットワーク保護エンティティ。
8. 前記適切なテーブルを、前記物理インタフェースと前記関連する接続トランクとの組み合わせに関する前記専用送信元アドレス及び前記専用ポート番号で満たすための構成インタフェースを備える、請求項１から７の何れか一項に記載のネットワーク保護エンティティ。
9. 前記ネットワーク保護エンティティは、ゲートウェイ、ルータ又はプロバイダエッジルータである、請求項１から８の何れか一項に記載のネットワーク保護エンティティ。
10. 通信ネットワークを不正メッセージから保護するための方法であって、
    物理インタフェースの接続トランク上で通信メッセージを受信する段階であって、前記通信メッセージは、メッセージ送信元アドレス及びポート番号を含み、前記通信メッセージは、前記通信ネットワーク内の送信先に宛てられる、受信する段階と、
    適切なテーブルを提供する段階であって、前記適切なテーブルは、前記物理インタフェースと前記接続トランクとに関する専用送信元アドレス及び専用ポート番号を示すために適切である、提供する段階と、
    前記専用送信元アドレス及び前記専用ポート番号をストレージから取得し、前記メッセージ送信元アドレスを前記専用送信元アドレスと、前記ポート番号を前記専用ポート番号と比較する段階と、
    前記メッセージ送信元アドレスが前記専用送信元アドレスと異なる、又は前記ポート番号が前記専用ポート番号と異なるいずれかの場合に、前記通信メッセージを破棄する段階と、
    前記物理インタフェース上で送出されたＩＰメッセージに基づき前記適切なテーブルを提供する段階であって、そのＩＰメッセージにおいて生存時間フィールドが１に設定されている、段階と、
    を備える、
    方法。
11. 前記物理インタフェースと前記接続トランクとの組み合わせに関する前記専用送信元アドレス及び前記専用ポート番号を示す前記適切なテーブルを提供する段階を備える、請求項１０に記載の方法。
12. 前記通信メッセージ、ＩＰ送信元アドレスを含む前記通信メッセージの前記メッセージ送信元アドレス、ポート番号を受信する段階と、
    前記ＩＰ送信元アドレス及び前記ポート番号が、前記物理インタフェースと前記接続トランクとの組み合わせに関するＩＰ送信元アドレスとポート番号との許可された組み合わせと異なる場合に、前記通信メッセージを破棄する段階とを備える、請求項１１に記載の方法。
13. コンピュータ上で動作されるとき、請求項１０から１２の何れか一項に記載の方法を実行するためのプログラムコードを備える、コンピュータプログラム。

Images