JP6710295B2 - 攻撃に対する防御のためのネットワークトラフィックの処理 - Google Patents

Description

他の出願の相互参照
本願は、２０１６年７月１５日出願の発明の名称を「ＭＥＴＨＯＤ ＡＮＤ ＤＥＶＩＣＥ ＦＯＲ ＴＨＥ ＰＲＯＣＥＳＳＩＮＧ ＯＦ ＮＥＴＷＯＲＫ ＴＲＡＦＦＩＣ」とする中国特許出願第２０１６１０５６１３３０．７号に基づく優先権を主張する。当該出願は、すべての目的のために参照により本明細書に組み込まれる。

本発明は、概して、ネットワークセキュリティの分野に関し、特に、ネットワークトラフィックを処理してネットワーク攻撃に対抗するためのシステムおよび方法に関する。

分散型サービス妨害（ＤＤｏＳ）攻撃は、コンピュータリソース（例えば、サーバ）が大量のデータトラフィックに圧倒され、対象ユーザにとって利用不可能になるという形態の攻撃である。ＤＤｏＳ攻撃は、多数のコンピュータを攻撃ソースとして利用して、１または複数の標的コンピュータリソースに対してＤＤｏＳ攻撃を開始する。クライアントサーバ技術を利用して、サービス妨害攻撃の力は、指数関数的に増大しうる。例えば、攻撃者は、しばしば、最初に１つのコンピュータに主制御プログラムをインストールし、次いで予め定められた期間内に、主制御プログラムは、多数のエージェントプログラムと通信する（これらも、インターネット上の複数のコンピュータにすでにインストールされている）。主制御プログラムからの命令の受信後、エージェントプログラムはすぐに、それに従って攻撃を開始する。したがって、かかる分散型クライアントサーバ技術を用いて、主制御プログラムは、数百ないし数千のエージェントプログラムを数秒以内に起動して攻撃動作を行わせる。

ブラックホールルーティングの技術（すなわち、特定のスタティックルーティング）は、オブリビアスなルート（ｏｂｌｉｖｉｏｕｓ ｒｏｕｔｅｓ）を吸収することでそれらがリターンルートを持たないようにする技術である。ブラックホールルーティングは、不適切なルート（入ってくるルートを持つものさえ）がもはやそれらのルートに関連するリターンルートを持たないようにする。例えば、一般に、かかるルートは、ネットワークシステムの管理者によって確立されたルーティングエントリである。管理者は、ヌル０のインターフェースへのルーティング経路の指定ソースアドレスを設定できる（例えば、実在しないインターフェースの宛先）。ネットワークセキュリティの観点から、この動作の結果として、理由を全く特定することなしに、特定のルーティング経路によってルーティングされた全データパケットのサイレントドロップが行われる。したがって、ルータのパケット転送能力を十分に利用することによって、システムバックボーンへの影響を最小限に抑えることができる。

一般に、悪意あるトラフィックの防御システム（例えば、クラウドベースのＤＤｏＳ防御システム）は、３つの主な要素を備える。トラフィック検出デバイス、トラフィックフィルタリングデバイス、および、監視／管理デバイスである。トラフィック検出デバイスは、攻撃トラフィックを検出し、攻撃の検出時にトラフィックフィルタリングを実行するために防御システムに通知して起動する役割を担う。トラフィックフィルタリングデバイスは、専用のトラフィックフィルタリングメカニズムを用いて、疑わしいトラフィックを元々のネットワークルーティング経路からフィルタリングメカニズムへとリダイレクトする役割と、悪意あるトラフィックの認識および削除とを担う。フィルタリング後、フィルタリングデバイスは、正当なトラフィックの転送経路に影響を与えることなしに、攻撃データパケットを持たないフィルタアウトされた正当なトラフィックを、目標ホストに転送するための元々のネットワークルーティング経路へ戻す。監視／管理デバイスは、トラフィックフィルタリングデバイスを中央管理および構成し、リアルタイムトラフィックおよび警告イベントを表示し、ステータス情報を監視し、トラフィック解析、攻撃統計などに関する報告を適時に生成する役割を担う。

クラウドコンピューティングは、ネットワークベースのコンピューティングサービスを増大、利用、および、提供するための計算モデルである。一般的に、クラウドコンピューティングは、インターネットなどのネットワーク上で、動的に拡張可能でしばしば仮想化されるコンピュータリソースを提供する。

ソフトウェア定義ネットワーク（ＳＤＮ）（比較的新しいタイプのネットワークアーキテクチャ）が、ネットワークの仮想化を達成するためのソリューションの１つである。ＳＤＮの中心概念は、ネットワーク要素の制御プレーンおよびデータ経路プレーンを分離することによって、ソフトウェア自己定義ルーティングを達成することにある。制御プレーンは、構成および管理機能を実行し、データ経路プレーンは、パケット処理機能を実行する。例えば、クラウドサービスプロバイダによって現在提供されている仮想プライベートクラウド（ＶＰＣ）ネットワークが、ＳＤＮアーキテクチャの１つの具体的な実施例である。ＶＰＣネットワークでは、自己定義転送ルートが、仮想拡張可能ローカルエリアネットワーク（ＶＸＬＡＮ）のトンネリングを用いて達成される。

現在、クラウドベースコンピューティングの急速な成長と共に、多くのユーザが、ビジネスまたは動作をパブリッククラウドシステムへ移してきた。しかしながら、同時に、クラウドユーザに対するＤＤｏＳ攻撃が増え続けている。サーバ帯域幅に制限があるため、攻撃トラフィックがサーバ帯域幅の許容範囲を超えると、同じサーバによって提供される他のビジネスまたは動作に影響しないように、サービスプロバイダは、しばしば、ブラックホールルーティングを用いて、攻撃を受けているＩＰアドレスをスクリーニングする。結果として、対象ユーザは、もはやブラックホールフィルタリング下のＩＰアドレスでサービスにアクセスできなくなる。

図１は、専用クラウドベースＤＤｏＳ防御システム１２２を別個に確立することによってボリュームベースのＤＤｏＳ攻撃に対する防御のための従来のシステムの一例を示すブロック図である。図１に示すように、保護されたホスト１２８は、そのＩＰアドレスを、専用ＤＤｏＳ防御システム１２２が提供した仮想ＩＰアドレスへドメインネームサーバ（ＤＮＳ）（図示せず）によって解決されうる。したがって、経路（１）に沿って、保護されたホスト１２８からサービスを要求するリモートクライアントまたはサーバ１２０からのトラフィック（対象ユーザアクセストラフィックおよびＤＤｏＳ攻撃トラフィックの両方を含む）は、ＤＮＳの変換サービスを介して専用クラウドベースＤＤｏＳ防御システム１２２に関連する仮想ＩＰアドレスへダイレクトされる。したがって、トラフィックは、最初に、専用クラウドベースＤＤｏＳ防御システム１２２へルーティングされ、その後、それによってフィルタリングされる。次に、経路（２）に沿って、対象ユーザトラフィックは、パブリッククラウドサービス１２４で宛先アドレスに転送される。最後に、経路（３）に沿って、クラウドサービス１２４のルータ１２６が、保護されたホスト１２８へ対象ユーザアクセストラフィックを転送する。

しかしながら、上述のシステムには欠点がある。図２は、ＤＤｏＳ攻撃が、従来の専用クラウドベースＤＤｏＳ防御システム１２２を迂回して、保護されたホスト１２８を直接ターゲットにすることで、保護されたホスト１２８で提供されるサービスをもはや対象ユーザにとってアクセス不可能にする様子を示した図である。時に、ＤＮＳ解決履歴記録を通した漏洩、対象ユーザによる非意図的または不注意な漏洩、もしくは、スキャニング技術を用いての発見または窃盗などの理由により、保護されたホスト１２８のソースＩＰアドレス（すなわち、正当なアクセス要求に応答して返されたトラフィックデータに含まれるＩＰアドレス）が、攻撃者に漏洩する。結果として、本明細書に示すように、経路（１）に沿って、攻撃者は、リモートクライアント／リモートサーバ１３０からＤＤｏＳ攻撃を開始する時に専用クラウドベースＤＤｏＳ防御システム１２２を迂回して、保護されたホスト１２８にＤＤｏＳ攻撃トラフィックを直接集中させることができる。例えば、保護されたホストがＩＰアドレス１２３．４．５．６と、対応する仮想ＩＰアドレス１０．１．２．３とを有すると仮定する。ＩＰアドレス１２３．４．５．６が明らかになった場合、攻撃者は、このＩＰアドレスを攻撃する。結果として、保護されたホスト１２８は、もはやＤＤｏＳ攻撃によって引き起こされた大量のトラフィックデータを扱うことができず、ブラックホールルーティングを防御手段として用いなければならない。この場合、ルータ１２６は、１２３．４．５．６を宛先とするパケットをドロップする。経路（２）および（３）に沿って、対象ユーザアクセストラフィックは、専用クラウドベースＤＤｏＳ防御システム１２２によって転送され、その後、保護されたホスト１２８へ向かうが、結局、ブラックホールルーティングのせいでルータ１２６によって破棄されることになる。したがって、経路（４）に沿って、対象ユーザアクセストラフィックは、従来技術の防御が上述のＤＤｏＳの攻撃下にある時には、保護されたホスト１２８へもはや到達できない。

したがって、従来のＤＤｏＳ防御システムの欠点に対処する必要がある。

以下の詳細な説明と添付の図面において、本発明の様々な実施形態を開示する。

ここで説明する図面は、本発明の理解を深めるよう意図されており、本願の一部を形成する。本願の実施形態およびその説明は、本発明を説明するよう意図されており、本発明の範囲の不適切な限定となるものではない。以下の図面が含まれる。

別個の専用クラウドベースＤＤｏＳ防御システムを用いてＤＤｏＳ攻撃などのボリュームベースの攻撃に対抗する従来技術の防御システムを示す概略機能図。

ＤＤｏＳ攻撃者が図１のクラウドベースＤＤｏＳ防御システムを迂回して図１の保護されたホストを直接攻撃するシナリオの下で、図１の保護されたホストで提供されるビジネスが利用可能になる様子を示す概略機能図。

本開示の１または複数の実施形態に従って、通信システムの文脈で、ネットワークトラフィックを処理してＤＤｏＳ攻撃に対処するためのシステムの一例を示す概略機能図。

本開示の１または複数の実施形態に従って、ネットワークトラフィックを処理してＤＤｏＳ攻撃に対処するための方法の一例を示すフローチャート。

本開示の１または複数の実施形態に従って、ネットワークトラフィックを処理してＤＤｏＳ攻撃に対処するための方法の別の例を示すフローチャート。

ネットワークトラフィックを処理してＤＤｏＳ攻撃に対抗するためにプログラムされたコンピュータシステムの一実施形態を示す機能図。

本発明は、処理、装置、システム、物質の組成、コンピュータ読み取り可能な格納媒体上に具現化されたコンピュータプログラム製品、および／または、プロセッサ（プロセッサに接続されたメモリに格納および／またはそのメモリによって提供される命令を実行するよう構成されているプロセッサ）を含め、様々な形態で実装されうる。本明細書では、これらの実装または本発明が取りうる任意の他の形態を、技術と呼ぶ。一般に、開示された処理の工程の順序は、本発明の範囲内で変更されてもよい。特に言及しない限り、タスクを実行するよう構成されるものとして記載されたプロセッサまたはメモリなどの構成要素は、ある時間にタスクを実行するよう一時的に構成された一般的な構成要素として、または、タスクを実行するよう製造された特定の構成要素として実装されてよい。本明細書では、「プロセッサ」という用語は、１または複数のデバイス、回路、および／または、コンピュータプログラム命令などのデータを処理するよう構成された処理コアを指す。

以下では、本発明の原理を示す図面を参照しつつ、本発明の１または複数の実施形態の詳細な説明を行う。本発明は、かかる実施形態に関連して説明されているが、どの実施形態にも限定されない。本発明の範囲は、特許請求の範囲によってのみ限定されるものであり、本発明は、多くの代替物、変形物、および、等価物を含む。以下の説明では、本発明の完全な理解を提供するために、多くの具体的な詳細事項が記載されている。これらの詳細事項は、例示を目的としたものであり、本発明は、これらの具体的な詳細事項の一部または全てがなくとも特許請求の範囲に従って実施可能である。簡単のために、本発明に関連する技術分野で周知の技術事項については、本発明が必要以上にわかりにくくならないように、詳細には説明していない。

「第１」、「第２」などの用語は、本発明の記載および請求項ならびに図面において、類似した対象を区別するために用いられ、必ずしも特定の順番または順序を記載する意図はない。このように用いられたデータは、適切な状況で交換可能であり、その場合、本明細書に記載の本発明の実施形態は、本明細書に図示または記載した順序以外の順序でも実施できることを理解されたい。さらに、「含む」、「備える」、および、「有する」という用語、ならびに、それらの任意の変化形は、非排他的な包含を網羅するよう意図されたものであり、例えば、一連の工程またはユニットを含む処理、方法、システム、製品、および、装置が、明確に列挙された工程またはユニットに必ずしも限定されることはなく、明確に列挙されていない他の工程またはユニット、もしくは、これらの処理、方法、システム、製品、または、装置に固有の他の工程またはユニットを含んでもよい。

図３は、通信システム３５０の文脈で、本開示の一実施形態に従って、ネットワークトラフィックを処理して悪意ある攻撃（例えば、ＤＤｏＳ攻撃）に対処するためのシステムの一例を示すブロック図である。図３に示すように、通信システム３５０は、ユーザコンピュータデバイス３３２と、攻撃者コンピュータデバイス３３４と、ネットワークフィルタリングデバイス３３６と、サービスプロバイダによって提供されるクラウドサービス３４０とを備える。クラウドサービス３４０は、ＳＤＮ３０２と、コントローラ３０４（例えば、ネットワーク管理サーバ）と、ルーティングデバイス３０６（例えば、ルータ）と、１または複数の保護されたホスト３３８（例えば、サーバ）とを備えるプラットフォーム上に提供される。

ユーザコンピュータデバイス３３２は、例えば、ユーザが保護されたホスト３３８でホストされたサービスへのサービスアクセス要求を送信するリモートクライアントまたはリモートサーバでありうる。攻撃者コンピュータデバイス３３４も、例えば、攻撃者が保護されたホスト３３８でホストされたサービスに対するＤＤｏＳ攻撃を開始するために用いるリモートクライアントまたはサーバでありうる。ユーザコンピュータデバイス３３２および攻撃者コンピュータデバイス２０２は、クライアントコンピュータデバイスまたはサーバコンピュータデバイスでありえ、通信システム２０４への１または複数の有線、無線、または、任意のその他の適切な通信接続を備えた１または複数のコンピュータデバイス（パーソナルコンピュータ、ラップトップ、パーソナルデジタルアシスタント（ＰＤＡ）、スマートフォン、ウェアラブルデバイス、スタンドアロンサーバ、分散型サーバなど）を含みうる。

一般に、ユーザコンピュータデバイスおよび攻撃者コンピュータデバイスは、異なる挙動を取る。保護されたホスト３３８で提供されるサービスにアクセスするために、正当なユーザは、ユーザコンピュータデバイス３３２を介して、保護されたホストの仮想ＩＰアドレス（例えば、１０．１．２．３）にダイレクトされた正当なトラフィックを送信する。正当なトラフィックは、保護されたホスト３３８で提供されるサービスに到達する前に、ネットワークフィルタリングデバイス３３６を通してルーティングされる。一方、攻撃者は、攻撃者コンピュータデバイス３３４を用いて、保護されたホスト３３８のアドレス（例えば、１２３．４．５．６）を特定することにより、パブリッククラウド３４０にある保護されたホスト３３８を直接目標とするデータパケットを送信しうる。１つの対象ユーザデバイス３３２、１つのＤＤｏＳ攻撃者デバイス３３４、１つのフィルタリングデバイス３３６、および、１つの保護されたホスト３３８が、例示の目的で図３に示されているが、この技術は、複数の対象ユーザデバイス、攻撃者デバイス、フィルタリングデバイス、保護されたサーバなどに適用可能であることに注意されたい。

この例において、保護されたホストは、パブリックネットワークアドレスおよびプライベートアドレスに関連付けられるよう構成される。図１に示したシステムと同様に、入力トラフィックに対して、ＤＮＳは、仮想ＩＰアドレスをパブリックネットワークアドレスに解決する。さらなるネットワークアドレス変換が、パブリックネットワークアドレスを保護されたホストのプライベートアドレスに対応付けるために実行され、パブリックネットワークアドレスとプライベートアドレスとの間の転送経路が維持される。パブリックネットワークアドレスに対応付けられた入トラフィックは、プライベートアドレスに変換されて転送され、戻りトラフィックが、パブリックネットワークアドレスから返される。プライベートアドレス情報は、戻りトラフィックに含まれないので、攻撃者は、戻りトラフィックを分析することによってプライベートアドレスの知識を取得することができない。後に詳述するように、攻撃中、ＳＤＮは、同一の保護されたホストのために複数のパブリックネットワークアドレスを用いることができるため、正当なトラフィックおよび攻撃トラフィックを分けることを可能にする。このように、攻撃トラフィックがドロップされうる一方で、正当なトラフィックは通過できる。

パブリッククラウドサービス３４０は、ＳＤＮ３０２と、コントローラ３０４と、ルーティングデバイス３０６と、保護されたホスト３３８とを含む。ＳＤＮは、例えば、ワイドエリアネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、インターネット、メトロポリタンエリアネットワーク（ＭＡＮ）、ＩＳＰバックボーン、データセンタなどに実装されうるが、これらに限定されない。ＳＤＮ３０２は、１または複数のネットワーク要素（ルータ、スイッチ、ブリッジ、負荷バランサなど）の機能を実装する１または複数のコンピュータデバイスを含む。いくつかの実施形態において、ＳＤＮは、ネットワーク機能または仮想マシンで実行するプログラムとして実装されうる。この例において、ＳＤＮの制御プレーンおよびデータ経路プレーンは、別個の論理構成要素として実装される。さらに、ＳＤＮの制御プレーンは、コントローラ３０４とは別個である。

この例において、ネットワークフィルタリングデバイス３３６によってフィルタリングおよび転送されたパケットは、保護されたホストの第１パブリックネットワークアドレスに対応する宛先アドレスを有する。ＳＤＮ３０２は、ネットワークフィルタリングデバイス３３６によってフィルタリングされて第１パブリックネットワークアドレスに転送されたネットワークトラフィック（例えば、ネットワークフローに関連するデータパケット）がドロップされるか否かを検出するよう構成される。ネットワークフィルタリングデバイス３３６は、ＳＤＮから転送経路情報を受信し、転送経路情報に従って目標ホストにネットワークトラフィックを転送する。第１パブリックネットワークアドレスに向かうトラフィックの量（例えば、消費されている帯域幅、パケット数、または、その他の適切な測定値として測定されたもの）が閾値を超える（したがって、第１パブリックネットワークアドレスへの攻撃が実行中であることを示唆する）ことが検出されると、ネットワークフィルタリングデバイスは、第１パブリックネットワークアドレスに向かうパケットをドロップする。ネットワークフィルタリングデバイスによってフィルタリングされて第１パブリックネットワークアドレスに転送されたパケットがドロップされるという決定に応答して、ＳＤＮは、第２パブリックネットワークアドレスをかかるトラフィックに割り当て、第２パブリックネットワークアドレスに対応する転送経路を生成する。トラフィックに関連付けられている第２パブリックネットワークアドレスは、第１パブリックネットワークアドレスとは異なる新たに構成されているアドレスである。さらに、ＳＤＮ３０２は、フィルタリングされたトラフィックの宛先を変更して、保護されたホスト３３８へ向かう予定のフィルタリングされたトラフィックをその代わりに第２パブリックネットワークアドレスへ送信することをネットワークフィルタリングデバイス３３６に通知する通知メッセージをネットワークフィルタリングデバイス３３６へ送信するよう構成される。ネットワークフィルタリングデバイスは、ネットワークトラフィックの宛先（例えば、ネットワークフローに関連するパケットの宛先フィールド）を、第１パブリックネットワークアドレスから第２パブリックネットワークアドレスへ更新できる。このように、転送経路が生成され、転送されたトラフィックは、第２パブリックネットワークアドレスに対応する転送経路に従って、保護されたホスト３３８に送信される。

コントローラ３０４は、命令（例えば、フォーマット済みのメッセージ）を送信することによって、制御機能を実行する。コントローラは、第１パブリックネットワークアドレスへのトラフィックの量が予め定められた閾値を超えており、ルーティングデバイス３０６が第１パブリックネットワークアドレスに向かう入力トラフィックをドロップすることをコントローラ３０４が決定した時に、ＳＤＮ３０２へ通知メッセージを送信するよう構成されている。ルーティングデバイス３０６は、ＳＤＮ３０２から転送経路を受信し、転送経路に従って目標ホスト３３８にトラフィックを転送するよう構成されている。

特に、図３に示すように、経路（１）に沿って、ＤＤｏＳ攻撃者が、保護された目標ホスト３３８に関連付けられているパブリックネットワークアドレスを取得できる場合、攻撃者は、攻撃者コンピュータデバイス３３４から保護された目標ホスト３３８のパブリックネットワークアドレスに対して直接的にＤＤｏＳ攻撃を開始できる。大量のＤＤｏＳトラフィックによる悪意ある攻撃下で、保護された目標ホスト３３８に関連付けられているパブリックネットワークアドレスは、パブリックネットワークアドレスに向かうパケットがドロップされるブラックホールルーティングに従う。同時に、経路（２）に沿って、対象ユーザはそれでも、保護されたホスト３３８によって提供されるサービスにアクセスするためにユーザコンピュータデバイス３３２からトラフィックを送信しており、トラフィックデータは、攻撃者の標的とするパブリックネットワークアドレスと同じパブリックネットワークアドレスを有する。ネットワークフィルタリングデバイス３３６（インバウンドフィルタなど）が対象ユーザトラフィックデータに対してフィルタリングを実行し、それに従って、ルーティングデバイス３０６を介して経路（３）に沿って、保護されたホスト３３８に正当すなわち「クリーン」なトラフィックを転送する場合、正当なトラフィックは、それにもかかわらず、攻撃者によって送信された攻撃トラフィックと共にブラックホールルーティングを受けて同じく破棄される。結果として、以下に記載の特別な技術なしには、保護されたホスト３３８によって提供されるサービスへの対象ユーザアクセスは、ＤＤｏＳ攻撃の影響を受けることになる。

経路（４）に沿って、保護された目標ホスト３３８のあるローカルエリアネットワークが、ＳＤＮ３０２に加わる前に、パブリックネットワークアドレスは、ネットワークアドレス変換サービスを用いて、保護された目標ホスト３３８に対して予め構成されているプライベートアドレスに変換される。いくつかの実施形態において、かかる変換は、コントローラ３０４がルーティングデバイス３０６へ制御命令またはメッセージを送信することによって実行される。例えば、コントローラ３０４は、ルーティングデバイス３０６へパブリックネットワークアドレスを送信し、トラフィックがパブリックネットワークアドレスに到達したことを確認した後、転送経路を生成するために、保護されたホストのプライベートアドレスにパブリックネットワークアドレスを対応付ける一対一のマッピングテーブルを更新する。結果として、パブリックネットワークアドレスへ送信されたトラフィックが、転送経路に従って、保護された目標ホスト３３８へ転送される。

この例において、保護された目標ホスト３３８が存在するローカルエリアネットワークがＳＤＮ３０２に加わると、ネットワークアドレス変換サービスを用いた、保護されたホスト３３８に対して予め構成されているプライベートアドレスへのパブリックネットワークアドレスの変換は、コントローラ３０４がルーティングデバイス３０６へ制御命令を送信することによってもはや実行されない。その代わり、コントローラ３０４は、ルーティングデバイス３０６へコントローラ３０４によって発行された転送経路に含まれるパブリックネットワークアドレスに送信されたトラフィックの量を監視することに主に関与する。コントローラは、予め定められたフィールドを備えたメッセージ内で転送経路を発行できる。パブリックネットワークアドレスに送信されるトラフィックの量が予め定められた閾値を超えた場合、コントローラ３０４は、ルーティングデバイス３０６によってパブリックネットワークアドレスへ送信されるトラフィックを制御するためにパブリックネットワークアドレスに対してブラックホールルーティングを実行し、転送されるトラフィックをブラックホールルーティングに通過させる。

経路（５）に沿って、コントローラ３０４は、コントローラ３０４がパブリックネットワークアクセスアドレスに対してブラックホールルーティングを実施したことを示すために、ＳＤＮ３０２へ通知メッセージを送信する。この時点で、ネットワークアドレス変換サービスを用いた、保護されたホスト３３８に対して予め構成されているプライベートアドレスへのパブリックネットワークアドレスの変換は、コントローラ３０４がルーティングデバイス３０６へ制御命令を送信することによってもはや実行されないが、その代わりにＳＤＮ３０２によって実行される。

経路（６）に沿って、第１パブリックネットワークアドレスがブラックホールルーティングを受けると決定された場合、ＳＤＮ３０２は、ネットワークフィルタリングデバイス３３６によって転送され第１パブリックネットワークアドレスに向かう正当なトラフィックが、攻撃者によって送信された悪意ある攻撃トラフィックと共にドロップされないようにする。換言すると、ＳＤＮは、正当なアクセストラフィックが保護された目標ホスト３３８へ正常に転送されることを保証するよう構成される。この例において、ＳＤＮ３０２は、保護されたホスト３３８へネットワークフィルタリングデバイス３３６によって転送された正当なトラフィックのための第２パブリックネットワークアドレスを別個に構成する。このように、ネットワークフィルタリングデバイス３３６から保護された目標ホスト３３８へ転送された対象ユーザ訪問トラフィックは、ブラックホールルーティングされる同じ第１パブリックアドレスへ攻撃者からの悪意あるトラフィックと共にもはや送信されることがない。その代わり、正当なトラフィックは、新たに設定された第２パブリックネットワークアドレスへ送信される。

この例では、ＳＤＮ３０２の制御プレーンが、上述のコントローラ３０４によって設定された第１パブリックネットワークアドレスとは異なる第２パブリックネットワークアドレスを構成するために用いられる。第２パブリックネットワークアドレス、および、ホストのプライベートネットワークアドレスへのそのマッピングが、制御プレーンに格納されうる。次に、ＳＤＮの制御プレーンは、新たに設定された第２パブリックネットワークアドレスをデータ経路プレーンに通知する。次いで、ＳＤＮの転送戦略が、新たに設定された第２パブリックネットワークアドレスで更新される。結果として、第１パブリックネットワークアドレスから保護された目標ホスト３３８への元々の転送経路が、第２パブリックネットワークアドレスから保護された目標ホスト３３８への新たな転送経路に更新される。換言すると、新たに設定された第２パブリックネットワークアドレスへ転送されたトラフィックは、新たな転送経路に従って、保護された目標ホスト３３８へ送信されることになる。

ＳＤＮ３０２のデータ経路プレーンの転送戦略が第２パブリックネットワークアドレスで更新された後、第１パブリックネットワークアドレスから保護された目標ホスト３３８への元々の転送経路は、新たに設定された第２パブリックネットワークアドレスから保護された目標ホスト３３８への第２転送経路に更新される。特に、ＳＤＮ３０２は、データ経路プレーンを用いて、ルーティングデバイス３０６への第２転送経路を発行する。結果として、第１パブリックネットワークアドレスから保護された目標ホスト３３８への元々の転送経路に加えて、第２パブリックネットワークアドレスから保護された目標ホスト３３８への第２転送経路が、ルーティングデバイス３０６にさらに含まれる。

経路（７）に沿って、コントローラ３０４およびＳＤＮ３０２の両方の制御下で、第１パブリックネットワークアドレスにアクセスするトラフィックの受信時に、ルーティングデバイス３０６は、ブラックホールルーティングを介してトラフィックをドロップする。一方で、新たに設定された第２パブリックネットワークアドレスへアクセスするトラフィックの受信時に、ルーティングデバイス３０６は、保護された目標ホスト３３８へトラフィックを転送する。

最後に、経路（８）に沿って、ＳＤＮ３０２は、元々の第１パブリックネットワークアドレスから新たに設定された第２パブリックネットワークアドレスへトラフィックの転送アドレスを更新するために、ネットワークフィルタリングデバイス３３６に通知メッセージを送信する。ＳＤＮ３０２からの通知メッセージの受信前には、保護された目標ホスト３３８へフィルタリングデバイス３３６によって転送された正当なトラフィックが、ブラックホールルーティングを受けた元々の第１パブリックネットワークアドレスへ攻撃者からの攻撃トラフィックと共に送信されるので、正当なトラフィックはドロップされる。しかしながら、フィルタリングデバイス３３６がＳＮＤ３０２から通知メッセージを受信すると、フィルタリングデバイス３３６は、元々の第１パブリックネットワークアドレスから新たに設定された第２パブリックネットワークアドレスへトラフィックの転送アドレスを変更する。新たに設定された第２パブリックネットワークアドレス（そこから、トラフィックは、さらに、新たに設定された第２パブリックネットワークアドレスから保護された目標ホスト３３８への転送経路を介して、保護された目標ホスト３３８へ転送される、）へ正当なトラフィックを転送することにより、保護されたホスト３３８への訪問に向けてネットワークフィルタリングデバイス３３６によってフィルタリングされた正当なトラフィックは、進行中のＤＤｏＳ攻撃にも関わらず遮断なしに送信される。したがって、保護された目標ホスト３３８によって提供されるサービスは、対象ユーザにとって正常にアクセス可能なままである。

図４は、本開示の１または複数の実施形態に従って、ネットワークトラフィックを処理してＤＤｏＳ攻撃に対処するための処理の一例を示すフローチャートである。処理４００は、システム（図３のシステム３５０など）で実施されてよい。

処理４００は、第１パブリックネットワークアドレスに関連付けられているネットワークトラフィックに関連するパケットがドロップされたか否かを判定する工程４０２で始まる。ネットワークトラフィックは、第１パブリックネットワークアドレスに転送されるパケットを含みうる。

工程４０４では、トラフィックドロップの判定に応じて、第２パブリックネットワークアドレスがトラフィックに割り当てられ（例えば、データパケットが第２パブリックネットワークアドレスに転送されるよう構成され）、第２パブリックネットワークアドレスに対応する転送経路が生成される。第２パブリックネットワークアドレスは、ネットワークトラフィックを受信するよう構成され、転送経路は、第２パブリックネットワークアドレスで受信されたネットワークトラフィックを目標ホストに転送するために用いられる。

工程４０６では、ネットワークフィルタリングデバイスに、ネットワークトラフィックの宛先を第１パブリックネットワークアドレスから第２パブリックネットワークアドレスへ変更させ、第２パブリックネットワークアドレスへフィルタリング済みのネットワークトラフィックを送信するために、通知がネットワークフィルタリングデバイスに送信される。転送されたトラフィックは、次に、ルーティングデバイスによって生成された転送経路に従って、目標ホストに送信される。処理４００は、任意の適切なコンピュータ環境内で実施できる。この例において、処理４００は、ＳＤＮ上で実行される。ＳＤＮベースのネットワークに適用される場合、工程４０２では、ＳＤＮが、第１パブリックネットワークアドレスに対するネットワークトラフィックがドロップされたと判定する。工程４０４で、ＳＤＮは、トラフィックに対して第２パブリックネットワークアドレスを割り当て、第２パブリックネットワークアドレスに対応する転送経路を生成する。第１パブリックネットワークアドレスは、ネットワークトラフィックを受信するために用いられ、転送経路は、第２パブリックネットワークアドレスで受信されたネットワークトラフィックを目標ホストに転送するために用いられる。

ネットワークフィルタリングデバイス（例えば、専用クラウドベースＤＤｏＳ防御システム）が、通信ネットワーク内に配置されても、悪意ある攻撃者は、保護された目標ホストの第１パブリックネットワークアドレスを取得し、その後、保護された目標ホストの第１パブリックネットワークアドレスに対して直接的に悪意ある攻撃（例えば、ＤＤｏＳ攻撃）を開始できる。大量のＤＤｏＳトラフィックの悪意ある攻撃下で、保護された目標ホストに関連付けられている第１パブリックネットワークアドレスは、ブラックホールルーティングを受ける。したがって、ネットワークフィルタリングデバイス（専用クラウドベースＤＤｏＳ防御システムなど）によってフィルタリングおよび転送された正当なトラフィックも、攻撃者によって送信された攻撃トラフィックと共にブラックホールルーティングを受けて、ブラックホールルーティングの結果として破棄される。正当なトラフィックがＤＤｏＳ攻撃およびブラックホールルーティングの影響を受けないようにするために、第１パブリックネットワークアドレスが上述のようにブラックホールルーティングの対象になったと判定された場合に、ＳＤＮは、ネットワークフィルタリングデバイスから保護された目標ホストへ転送された正当なトラフィックが、攻撃者によって送信された悪意あるトラフィックと共にドロップされずに、目標ホストに正常に転送されることを保証する。上述のように、ＳＤＮは、（専用クラウドベースＤＤｏＳ防御システムの一部としての）ネットワークフィルタリングデバイスから保護された目標ホストへの正当なトラフィックが、攻撃者からの攻撃トラフィックと共にブラックホールされる同じ第１パブリックネットワークアドレスへもはや送信されないように、転送されたトラフィックに第２パブリックアクセスアドレスを別個に割り当てる。その代わり、正当なトラフィックは、第２パブリックネットワークアドレスに転送され、次に、ＳＤＮによって新たに生成され第２パブリックネットワークアドレスに対応する転送経路に従って、目標ホストに転送される。したがって、目標ホストで提供されるサービスへの対象ユーザのアクセスが妨げられることなく実現されうる。工程４０６と同様に、ネットワークトラフィックが第２パブリックネットワークアドレスに対応する転送経路に従って目標ホストに転送されるように、ネットワークトラフィックを第２パブリックネットワークアドレスへ送信するようネットワークフィルタリングデバイスに通知するのは、ＳＮＤである。

上述のように、専用クラウドベースＤＤｏＳ防御システムから保護された目標ホストへ送信された元に戻される正常なアクセストラフィックと、悪意ある攻撃トラフィックが両方とも、ブラックホール遮断を受けた第１パブリックネットワークアドレスに送信された場合、両方のトラフィックがブラックホールルーティングを介して転送されてドロップされる。正常なトラフィックがドロップされないようにするために、ＳＤＮは、元に戻されるトラフィックに別個に割り当てられた第２パブリックネットワークアクセスアドレスをネットワークフィルタリングデバイスに通知し、その結果、ネットワークフィルタリングデバイスは、元に戻されるトラフィックを第２パブリックネットワークアクセスアドレスへ送信し、次いで、元に戻されるこのトラフィックは、転送経路を介して目標ホストに転送される。

処理４００に戻ると、工程４０２では、ネットワークトラフィックがドロップされたと判定するために、ＳＤＮは、第１パブリックネットワークアドレスに送信されたトラフィックの量が予め定められた閾値を超えたとコントローラが判定した時に第１パブリックネットワークアドレスへのアクセストラフィックがルーティングデバイスでドロップされていることを示す第１通知メッセージをコントローラから受信する。この通知メッセージの受信に応じて、ＳＤＮは、ネットワークトラフィックがドロップされたと判定する。

一般に、保護されたホストと同じローカルエリアネットワークに位置するホストは、同じパブリックネットワークアドレスを共有する。このパブリックネットワークアドレスは、インターネット上のホストの識別子として機能する。保護された目標ホストを同じネットワーク上の他のホストと区別するために、プライベートネットワークアドレスが、保護された目標ホストに割り当てられる。しかしながら、保護された目標ホストのプライベートネットワークアドレスは、インターネットからのパブリックアクセスのためのものではないので、上述のローカルエリアネットワークの外側からのトラフィック（正当なトラフィックおよび悪意のあるトラフィックの両方）だけが、上述のパブリックネットワークアドレス（ネットワークアドレス変換サービスを用いて保護された目標ホストに予め割り当てられたプライベートネットワークアドレスに変換されている）に送信されうる。

ローカルエリアネットワークがＳＤＮに加わる前に、パブリックネットワークアドレスのプライベートアドレスへの変換が、ネットワークアドレス変換関数を呼び出してルーティングデバイスへの制御命令を発行することでコントローラによって実行される。例えば、コントローラは、ルーティングデバイスに第１パブリックネットワークアドレスを発行し、アクセストラフィックが第１パブリックネットワークアドレスに到達したことを確認すると、第１パブリックネットワークアドレスと、保護された目標ホストのプライベートネットワークアドレスとの間の一対一のマッピングを確立する。次いで、コントローラは、マッピングを用いて、転送経路を生成する。第１パブリックネットワークアドレスへ送信されたアクセストラフィックは、転送経路に従って保護された目標ホストへ転送される。

いくつかの実施形態において、上述のローカルエリアネットワークがＳＤＮに加わった後、ネットワークアドレス変換サービスを用いたパブリックネットワークアドレスのプライベートネットワークアドレスへの変換は、コントローラがルーティングデバイスへの制御命令を発行することによってはもはや実行されない。その代わり、コントローラは、第１パブリックネットワークアドレスへのトラフィックの量を監視することに主に関与する。第１パブリックネットワークアドレスに送信されたアクセストラフィックの量が予め定められた閾値を超えた場合、コントローラは、ルーティングデバイスがブラックホールルーティングを介して第１パブリックネットワークアドレスへのアクセストラフィックを転送するように、第１パブリックネットワークアドレスへのトラフィックにブラックホールルーティングを受けさせる。さらに、コントローラは、コントローラが第１パブリックネットワークアドレスにブラックホールフィルタリングをすでに実行していることを示すために、ＳＤＮに通知メッセージを送信する。この時点で、保護された目標ホストに対して予め構成されているプライベートネットワークアドレスへのパブリックネットワークアドレスの変換は、上述のように、もはやコントローラによっては実行されず、その代わりにＳＤＮによって実行される。

処理４００に戻ると、いくつかの実施形態において、工程４０４において、ＳＤＮは、以下のように、ネットワークトラフィックに対して第２パブリックネットワークアドレスを構成し、第２パブリックネットワークアドレスに対応する転送経路を生成する。

最初に、ＳＤＮは、自身の制御プレーンを用いて、ネットワークアクセストラフィックのための第２パブリックネットワークアドレスを構成する。さらに、ＳＤＮは、第２パブリックネットワークアドレスを自身のデータ経路プレーンに通知する。

次いで、ＳＤＮは、データ経路プレーンを用いて、第２パブリックネットワークアドレスと目標ホストのプライベートネットワークアドレスとの間の転送経路を生成する。

制御プレーンは、ＳＤＮアーキテクチャに論理的に集中化され、専用のプロトコルを用いて、より低いレベルのデータ経路プレーンに制御命令を発行する。いくつかの実施形態において、ＳＤＮの制御プレーンは、最初に、元に戻されるトラフィックのために、第１パブリックネットワークアドレスとは異なる第２パブリックネットワークアドレスを構成し、次いで、第２パブリックネットワークアドレスをＳＤＮのデータ経路プレーンに通知する。次に、ＳＤＮのデータ経路プレーンは、第１パブリックネットワークアドレスから保護された目標ホストへの元々の転送経路が、第２パブリックネットワークアドレスから保護された目標ホストへの新たな転送経路に更新されるように、第２パブリックネットワークアドレスで転送戦略を更新する。したがって、第２パブリックネットワークアクセスアドレスにアクセスする元に戻されるトラフィックは、転送経路に従って、保護された目標ホストに転送される。

いくつかの実施形態において、ＳＤＮは、工程４０６において第２パブリックネットワークアドレスにネットワークトラフィックを送信するようにネットワークフィルタリングデバイスに通知した後、さらに、そのデータ経路プレーンを用いて、ルート転送装置に新たな転送経路を発行する。ＳＤＮは、さらに、新たな転送経路に従って目標ホストにネットワークトラフィックを送信するように、ルーティングデバイスに命令する。

ＳＤＮのデータ経路プレーンを用いて、転送戦略が第２パブリックネットワークアドレスで更新された後、第１パブリックネットワークアドレスから保護された目標ホストへの元々の転送経路は、第２パブリックネットワークアドレスから保護された目標ホストへの新たな転送経路に更新される。ＳＤＮは、さらに、データ経路プレーンを用いて、ルーティングデバイスへ新たな転送経路を発行する。したがって、第１パブリックネットワークアドレスから保護された目標ホストへの元々の転送経路に加えて、第２パブリックネットワークアドレスから保護された目標ホストへの新たな転送経路もルーティングデバイスに含まれる。最後に、コントローラおよびＳＤＮの両方の制御下で、第１パブリックネットワークアドレスに対するアクセストラフィックを受信した後、ルーティングデバイスは、ブラックホールルーティングを直接的に用いて、かかるトラフィックをドロップする。しかしながら、第２パブリックネットワークアドレスへのトラフィックを受信すると、ルーティングデバイスは、新たな転送経路に従って、保護された目標ホストにそのトラフィックを転送する。

いくつかの実施形態において、工程４０６の後、ＳＤＮがネットワークトラフィックを第２パブリックネットワークアドレスに送信するようにネットワークフィルタリングデバイスへ通知することに加えて、ＳＤＮは、さらに、フィルタリングデバイスがネットワークトラフィックの転送アドレスを第１パブリックネットワークアドレスから第２パブリックネットワークアドレスへ更新するように、フィルタリングデバイスに第２通知メッセージを送信する。

フィルタリングデバイスがＳＤＮから第２通知メッセージを受信する前に、フィルタリングデバイスから保護された目標ホストへ転送された正当なアクセストラフィックは、攻撃者からの悪意ある攻撃トラフィックと共に、ブラックホールルーティングを受ける第１パブリックネットワークアドレスへ送信されてドロップされる。ＳＤＮから第２通知メッセージを受信した後、フィルタリングデバイスは、トラフィックの転送アドレスを第１パブリックネットワークアドレスから第２パブリックネットワークアドレスへ更新し、トラフィックを第２パブリックネットワークアドレスへ転送する。次いで、正当なトラフィックは、第２パブリックネットワークアドレスから保護された目標ホストへの転送経路を介して保護された目標ホストへ転送される。

図５は、本開示の１または複数の実施形態に従って、ネットワークトラフィックを処理するための処理の別の例を示すフローチャートである。処理５００は、例えば、図３のネットワークフィルタリングデバイス３３６によって実施できるが、これに限定されない。

工程５０２では、ネットワークフィルタリングデバイスは、ＳＤＮによって発行された第２パブリックネットワークアドレスを受信し、ここで、第２パブリックネットワークアドレスは、ネットワークトラフィックを受信するために用いられる。

工程５０４では、ネットワークフィルタリングデバイスは、ネットワークトラフィックをフィルタリングして、第２パブリックネットワークアドレスに送信する。

この例において、フィルタリングデバイスは、ＳＤＮによって発行された第２パブリックネットワークアドレスを受信する（工程５０２）前には、コントローラによって割り当てられた第１パブリックネットワークアドレスをリトリーブする。さらに、フィルタリングデバイスは、第１パブリックネットワークアドレスに従ってネットワークトラフィックを送信する。

この例において、フィルタリングデバイスは、ＳＤＮによって発行された第２パブリックネットワークアドレスを受信した（工程５０２）後には、ネットワークトラフィックの宛先アドレスを第１パブリックネットワークアドレスから第２パブリックネットワークアドレスへ更新する（例えば、パケットの宛先フィールドを変更する）。

パブリックネットワークアドレスからプライベートアドレスへの変換および第２パブリックネットワークアドレスの構成は、図３および図４に関する上記の説明と同様であるので、簡単のため繰り返さない。

図６は、ネットワークトラフィックを処理してＤＤｏＳ攻撃に対抗するためにプログラムされたコンピュータシステムの一実施形態を示す機能図である。システム６００は、必要に応じて、ＳＤＮ、コントローラ、ネットワークフィルタリングデバイス、および／または、ルーティングデバイスを実装するために利用できる。明らかに、テキストデータを分析するために、他のコンピュータシステムアーキテクチャおよび構成を用いることも可能である。以下に述べるような様々なサブシステムを備えるコンピュータシステム６００は、少なくとも１つのマイクロプロセッササブシステム（プロセッサまたは中央処理装置（ＣＰＵ）とも呼ばれる）６０２を備える。例えば、プロセッサ６０２は、シングルチッププロセッサまたはマルチプロセッサによって実装できる。いくつかの実施形態において、プロセッサ６０２は、コンピュータシステム６００の動作を制御する汎用デジタルプロセッサである。メモリ６１０から読み出された命令を用いて、プロセッサ６０２は、入力データの受信および操作、ならびに、出力デバイス（例えば、ディスプレイ６１８）上でのデータの出力および表示を制御する。

プロセッサ６０２は、メモリ６１０と双方向的に接続されており、メモリ６１０は、第１プライマリストレージ（通例は、ランダムアクセスメモリ（ＲＡＭ））および第２プライマリストレージ領域（通例は、読み出し専用メモリ（ＲＯＭ））を含みうる。当業者に周知のように、プライマリストレージは、一般的な記憶領域として、および、スクラッチパッドメモリとして利用可能であり、また、入力データおよび処理済みデータを格納するために利用可能である。プライマリストレージは、さらに、プロセッサ６０２上で実行される処理のための他のデータおよび命令に加えて、データオブジェクトおよびテキストオブジェクトの形態で、プログラミング命令およびデータを格納できる。また、当業者に周知のように、プライマリストレージは、通例、機能（例えば、プログラムされた命令）を実行するためにプロセッサ６０２によって用いられる基本的な動作命令、プログラムコード、データ、および、オブジェクトを備える。例えば、メモリ６１０は、例えば、データアクセスが双方向である必要があるか、単方向である必要があるかに応じて、後述する任意の適切なコンピュータ読み取り可能な記憶媒体を含みうる。例えば、プロセッサ６０２は、頻繁に必要になるデータをキャッシュメモリ（図示せず）に直接的かつ非常に迅速に格納し取り出すことができる。

着脱可能マスストレージデバイス６１２が、コンピュータシステム６００にさらなるデータ記憶容量を提供しており、プロセッサ６０２に対して双方向（読み出し／書き込み）または単方向（読み出しのみ）に接続されている。例えば、ストレージ６１２は、磁気テープ、フラッシュメモリ、ＰＣカード、携帯型マスストレージデバイス、ホログラフィックストレージデバイス、および、その他のストレージデバイスなどのコンピュータ読み取り可能な媒体も含みうる。固定マスストレージ６２０も、例えば、さらなるデータ記憶容量を提供しうる。固定マスストレージ６２０の最も一般的な例は、ハードディスクドライブである。マスストレージ６１２、６２０は、一般に、プロセッサ６０２によって通例はあまり利用されないさらなるプログラミング命令、データなどを格納する。マスストレージ６１２および６２０に保持された情報は、必要であれば、仮想メモリとしてのメモリ６１０（例えば、ＲＡＭ）の一部に標準的な方式で組み込まれうることが理解される。

プロセッサ６０２がストレージサブシステムにアクセスできるようにすることに加えて、バス６１４が、その他のサブシステムおよびデバイスへのアクセスを可能にするために用いられてもよい。図に示すように、これらは、ディスプレイ６１８、ネットワークインターフェース６１６、キーボード６０４、および、ポインティングデバイス６０８、ならびに、必要に応じて、補助入力／出力デバイスインターフェース、サウンドカード、スピーカ、および、その他のサブシステムを含みうる。例えば、ポインティングデバイス６０８は、マウス、スタイラス、トラックボール、または、タブレットであってよく、グラフィカルユーザインターフェースと相互作用するのに有用である。

ネットワークインターフェース６１６は、図に示すように、ネットワーク接続を用いて、別のコンピュータ、コンピュータネットワーク、または、遠隔通信ネットワークにプロセッサ６０２を接続することを可能にする。例えば、ネットワークインターフェース６１６を通して、プロセッサ６０２は、方法／処理ステップを実行する過程で、別のネットワークから情報（例えば、データオブジェクトまたはプログラム命令）を受信したり、別のネットワークに情報を出力したりすることができる。情報は、しばしば、プロセッサ上で実行される一連の命令として表され、別のネットワークから受信されたり、別のネットワークへ出力されたりしうる。インターフェースカード（または同様のデバイス）と、プロセッサ６０２によって実装（例えば、実行／実施）される適切なソフトウェアとを用いて、コンピュータシステム６００を外部ネットワークに接続し、標準プロトコルに従ってデータを転送することができる。例えば、本明細書に開示された様々な処理の実施形態は、プロセッサ６０２上で実行されてもよいし、処理の一部を共有するリモートプロセッサと共に、ネットワーク（インターネット、イントラネットワーク、または、ローカルエリアネットワークなど）上で実行されてもよい。さらなるマスストレージデバイス（図示せず）が、ネットワークインターフェース６１６を通してプロセッサ６０２に接続されてもよい。

補助Ｉ／Ｏデバイスインターフェース（図示せず）が、コンピュータシステム６００と共に用いられてよい。補助Ｉ／Ｏデバイスインターフェースは、プロセッサ６０２がデータを送信すること、ならびに、より典型的には、他のデバイス（マイクロホン、タッチセンサ方式ディスプレイ、トランスデューサカードリーダ、テープリーダ、音声または手書き認識装置、バイオメトリクスリーダ、カメラ、携帯型マスストレージデバイス、および、他のコンピュータなど）からデータを受信することを可能にする汎用インターフェースおよびカスタマイズされたインターフェースを含みうる。

本記載に含まれる実施形態は、漸進的に記載されている。各実施形態の説明は、他の実施形態と異なる領域に焦点を当てており、実施形態の記載は、各実施形態の同一または類似の部分について相互に参照できる。

当業者は、本願の実施形態が、方法、デバイス、または、コンピュータプログラム製品を提供しうることを理解されたい。したがって、本願の実施形態は、完全にハードウェアである実施形態、完全にソフトウェアである実施形態、ならびに、ハードウェアおよびソフトウェアの態様を組み合わせた実施形態の形を取りうる。さらに、本願は、コンピュータ動作可能なコンピュータコードを含むコンピュータ動作可能な記憶媒体（磁気ディスク記憶デバイス、ＣＤ−ＲＯＭ、および、光学記憶デバイスを含むがこれらに限定されない）を実装するコンピュータ製品の内の１または複数の形態を取りうる。

典型的な一構成において、コンピュータ装置は、１または複数のプロセッサ（ＣＰＵ）と、入力／出力インターフェースと、ネットワークインターフェースと、メモリとを備える。メモリは、コンピュータ読み取り可能な媒体内の揮発性ストレージデバイス、ランダムアクセスメモリ（ＲＡＭ）、および／または、リードオンリーメモリ（ＲＯＭ）またはフラッシュメモリ（フラッシュＲＡＭ）などの不揮発性メモリなどの形態を含みうる。メモリは、コンピュータ読み取り可能な媒体の一例である。コンピュータ読み取り可能な媒体は、永続的および非永続的な媒体、着脱可能および着脱不可能な媒体を含み、任意の方法または技術によって情報の格納を実現できる。情報は、コンピュータ読み取り可能な命令、データ構造、プログラムモジュール、または、その他のデータであってよい。コンピュータ記憶媒体の例は、以下を含むがこれらに限定されない。相変化メモリ（ＰＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、その他のタイプのランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、電気消去可能プログラム可能リードオンリーメモリ（ＥＥＰＲＯＭ）、フラッシュメモリ、または、その他のメモリ技術、コンパクトディスクリードオンリーメモリ（ＣＤ−ＲＯＭ）、デジタル多機能ディスク（ＤＶＤ）、または、その他の光学ストレージ、磁気カセット、磁気テープまたは磁気ディスクストレージ、または、その他の磁気ストレージ装置、または、コンピュータにアクセス可能な情報を格納するために利用できる任意のその他の非伝送媒体。本明細書で規定されているように、コンピュータ読み取り可能な媒体は、変調データ信号および搬送波など、一時的なコンピュータ読み取り可能媒体（一時的媒体）を含まない。

本願の実施形態は、本願の実施形態の方法、端末装置（システム）、および、コンピュータプログラム製品に基づいたフローチャートおよび／またはブロック図を参照して記載されている。フローチャートおよび／またはブロック図内の各フローチャートおよび／またはブロック図、ならびに、フローチャートおよび／またはブロック図内のフローチャートおよび／またはブロック図の組み合わせは、コンピュータ命令によって実現されうることに注意されたい。これらのコンピュータプログラム命令は、マシンを生成するために、汎用コンピュータ、専用コンピュータ、組み込みプロセッサデバイスのプロセッサ、または、その他のプログラム可能データ処理端末のプロセッサに提供されうる。コンピュータまたはその他のプログラム可能なデータ処理端末装置のプロセッサによって実行された命令は、その結果として、フローチャートの１または複数の処理および／またはブロック図の１または複数のブロックに記載された機能を実施するためのデバイスを生み出す。

コンピュータまたはその他のプログラム可能なデータ処理端末装置が特定の方法で動作するように導くことができるこれらのコンピュータプログラム命令は、コンピュータ読み取り可能なメモリに格納されてもよい。結果として、コンピュータ読み取り可能なメモリに格納された命令は、命令デバイスを含む製品を生み出す。これらの命令デバイスは、フローチャートの１または複数の処理および／またはブロック図の１または複数のブロックに記載された機能を実施する。

これらのコンピュータプログラム命令は、コンピュータまたはその他のプログラム可能なデータ処理端末装置にロードされ、コンピュータ実装処理を引き起こすためにコンピュータおよびその他のプログラム可能なデータ処理端末装置で一連の工程を実行させてもよい。したがって、コンピュータまたはその他のプログラム可能なデータ処理端末装置で実行された命令は、フローチャートの１または複数の処理および／またはブロック図の１または複数のブロックに記載された機能の工程を提供する。

本願の好ましい実施形態を記載しているが、当業者は、基本的な創造概念を把握すれば、これらの実施形態に他の変形または修正を加えることができる。したがって、添付の特許請求の範囲は、好ましい実施形態ならびに本願の実施形態の範囲内にあるすべての変形例および修正例を含むと解釈されるべきである。

上述の実施形態は、理解しやすいようにいくぶん詳しく説明されているが、本発明は、提供された詳細事項に限定されるものではない。本発明を実施する多くの代替方法が存在する。開示された実施形態は、例示であり、限定を意図するものではない。
適用例１：ネットワークトラフィック処理方法であって、
第１パブリックネットワークアドレスに関連付けられているネットワークトラフィックの１または複数のパケットがドロップされたと判定し、前記第１パブリックネットワークアドレスは、目標ホストに関連付けられており、
第２パブリックネットワークアドレスを前記ネットワークトラフィックに割り当て、前記第２パブリックネットワークアドレスに対応する転送経路を生成し、前記第２パブリックネットワークアドレスは、前記ネットワークトラフィックを受信するよう構成され、前記転送経路は、前記第２パブリックネットワークアドレスで受信された前記ネットワークトラフィックを前記目標ホストに転送するよう構成されており、
前記ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するようにフィルタリングデバイスに通知し、前記転送経路に従って前記ネットワークトラフィックを前記目標ホストへ転送させること、
を備える、ネットワークトラフィック処理方法。
適用例２：適用例１に記載のネットワークトラフィック処理方法であって、前記判定、割り当て、生成、および、通知は、ソフトウェア定義ネットワーク（ＳＤＮ）で実行される、ネットワークトラフィック処理方法。
適用例３：適用例１に記載のネットワークトラフィック処理方法であって、前記第１パブリックネットワークアドレスに関連付けられている前記ネットワークトラフィックの前記１または複数のパケットがドロップされたと判定することは、
コントローラから通知メッセージを受信することを含み、
前記通知メッセージは、前記第１パブリックネットワークアドレスに送信された前記ネットワークトラフィックの量が予め定められた閾値を超えたと判定された時に送信され、前記通知メッセージは、ルーティングデバイスが前記第１パブリックネットワークアドレスに送信されたネットワークトラフィックをドロップすることを示唆する、ネットワークトラフィック処理方法。
適用例４：適用例１に記載のネットワークトラフィック処理方法であって、前記転送経路は、ネットワークトラフィックを前記第２パブリックネットワークアドレスから前記目標ホストのプライベートアドレスに転送するための経路である、ネットワークトラフィック処理方法。
適用例５：適用例１に記載のネットワークトラフィック処理方法であって、前記フィルタリングデバイスに通知することは、
通知メッセージを前記フィルタリングデバイスに送信することを含み、
前記通知メッセージは、前記ネットワークトラフィックの宛先アドレスを前記第１パブリックネットワークアドレスから前記第２パブリックネットワークアドレスに更新するように前記フィルタリングデバイスに通知する、ネットワークトラフィック処理方法。
適用例６：適用例１に記載のネットワークトラフィック処理方法であって、さらに、
前記転送経路に関する情報をルーティングデバイスに送信し、
前記転送経路に従って前記ネットワークトラフィックを前記目標ホストに転送するように前記ルーティングデバイスに命令すること、
を備える、ネットワークトラフィック処理方法。
適用例７： ネットワークトラフィックを処理するためのシステムであって、
１または複数のプロセッサであって、
第１パブリックネットワークアドレスに関連付けられているネットワークトラフィックの１または複数のパケットがドロップされたと判定し、前記第１パブリックネットワークアドレスは、目標ホストに関連付けられており、
第２パブリックネットワークアドレスを前記ネットワークトラフィックに割り当て、前記第２パブリックネットワークアドレスに対応する転送経路を生成し、前記第２パブリックネットワークアドレスは、前記ネットワークトラフィックを受信するよう構成され、前記転送経路は、前記第２パブリックネットワークアドレスで受信された前記ネットワークトラフィックを前記目標ホストに転送するよう構成されており、
前記ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するようにフィルタリングデバイスに通知し、前記転送経路に従って前記ネットワークトラフィックを前記目標ホストへ転送させるよう構成されている、１または複数のプロセッサと、
前記１または複数のプロセッサに接続され、前記１または複数のプロセッサに命令を提供するよう構成されている１または複数のメモリと、
を備える、システム。
適用例８：適用例７に記載のシステムであって、前記システムは、ソフトウェア定義ネットワーク（ＳＤＮ）である、システム。
適用例９：適用例７に記載のシステムであって、前記第１パブリックネットワークアドレスに関連付けられている前記ネットワークトラフィックの前記１または複数のパケットがドロップされたと判定することは、
コントローラから通知メッセージを受信することを含み、
前記通知メッセージは、前記第１パブリックネットワークアドレスに送信された前記ネットワークトラフィックの量が予め定められた閾値を超えたと判定された時に送信され、前記通知メッセージは、ルーティングデバイスが前記第１パブリックネットワークアドレスに送信されたネットワークトラフィックをドロップすることを示唆する、システム。
適用例１０：適用例７に記載のシステムであって、前記転送経路は、ネットワークトラフィックを前記第２パブリックネットワークアドレスから前記目標ホストのプライベートアドレスに転送するための経路である、システム。
適用例１１：適用例７に記載のシステムであって、前記フィルタリングデバイスに通知することは、
通知メッセージを前記フィルタリングデバイスに送信することを含み、
前記通知メッセージは、前記ネットワークトラフィックの宛先アドレスを前記第１パブリックネットワークアドレスから前記第２パブリックネットワークアドレスに更新するように前記フィルタリングデバイスに通知する、システム。
適用例１２：適用例７に記載のシステムであって、前記１または複数のプロセッサは、さらに、
前記転送経路に関する情報をルーティングデバイスに送信し、
前記転送経路に従って前記ネットワークトラフィックを前記目標ホストに転送するように前記ルーティングデバイスに命令するよう構成されている、システム。
適用例１３：ネットワークトラフィックを処理して目標ホストへのＤＤｏＳ攻撃に対抗するためのコンピュータプログラム製品であって、前記コンピュータプログラム製品は、有形のコンピュータ読み取り可能な記憶媒体内に具現化され、
第１パブリックネットワークアドレスに関連付けられているネットワークトラフィックの１または複数のパケットがドロップされたと判定するためのコンピュータ命令であって、前記第１パブリックネットワークアドレスは、目標ホストに関連付けられており、
第２パブリックネットワークアドレスを前記ネットワークトラフィックに割り当て、前記第２パブリックネットワークアドレスに対応する転送経路を生成するためのコンピュータ命令であって、前記第２パブリックネットワークアドレスは、前記ネットワークトラフィックを受信するよう構成され、前記転送経路は、前記第２パブリックネットワークアドレスで受信された前記ネットワークトラフィックを前記目標ホストに転送するよう構成されており、
前記ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するようにフィルタリングデバイスに通知し、前記転送経路に従って前記ネットワークトラフィックを前記目標ホストへ転送させるためのコンピュータ命令と、
を備える、コンピュータプログラム製品。
適用例１４：ネットワークトラフィック処理方法であって、
第１パブリックネットワークアドレスに関連付けられているネットワークトラフィックをフィルタリングし、前記フィルタリングされたネットワークトラフィックを前記第１パブリックネットワークアドレスに転送し、
初めに前記第１パブリックネットワークアドレスに関連付けられていた前記ネットワークトラフィックに関連付けられている第２パブリックネットワークアドレスをＳＤＮから受信し、
前記ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送すること、
を備える、ネットワークトラフィック処理方法。
適用例１５：適用例１４に記載のネットワークトラフィック処理方法であって、さらに、
コントローラによって設定された前記第１パブリックネットワークアドレスを受信することを備え、
前記第１パブリックネットワークアドレスは、前記ネットワークトラフィックに関連付けられている宛先アドレスである、ネットワークトラフィック処理方法。
適用例１６：適用例１４に記載のネットワークトラフィック処理方法であって、さらに、
前記ネットワークトラフィックに関連付けられている宛先アドレスを前記第１パブリックネットワークアドレスから前記前記第２パブリックネットワークアドレスに更新することを備える、ネットワークトラフィック処理方法。
適用例１７： ネットワークトラフィックを処理するためのシステムであって、
１または複数のプロセッサであって、
第１パブリックネットワークアドレスに関連付けられているネットワークトラフィックをフィルタリングし、前記フィルタリングされたネットワークトラフィックを前記第１パブリックネットワークアドレスに転送し、
最初に前記第１パブリックネットワークアドレスに関連付けられていた前記ネットワークトラフィックに関連付けられている第２パブリックネットワークアドレスをＳＤＮから受信し、
前記ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するよう構成されている、１または複数のプロセッサと、
前記１または複数のプロセッサに接続され、前記１または複数のプロセッサに命令を提供するよう構成されている１または複数のメモリと、
を備える、システム。
適用例１８：適用例１７に記載のシステムであって、前記１または複数のプロセッサは、さらに、
コントローラによって設定された前記第１パブリックネットワークアドレスを受信するよう構成され、
前記第１パブリックネットワークアドレスは、前記ネットワークトラフィックに関連付けられている宛先アドレスである、システム。
適用例１９：適用例１７に記載のシステムであって、前記１または複数のプロセッサは、さらに、
前記ネットワークトラフィックに関連付けられている宛先アドレスを前記第１パブリックネットワークアドレスから前記前記第２パブリックネットワークアドレスに更新する構成されている、システム。

Claims (19)

1. ネットワークトラフィック処理方法であって、
   第１パブリックネットワークアドレスに関連付けられている第１ネットワークトラフィックの１または複数のパケットがドロップされたと判定し、前記第１パブリックネットワークアドレスは、目標ホストに関連付けられており、
   第２パブリックネットワークアドレスを第２ネットワークトラフィックに割り当て、前記第２パブリックネットワークアドレスに対応する転送経路を生成し、前記第２ネットワークトラフィックは、フィルタリング装置から到達し、前記目標ホストに宛てられ、前記第２パブリックネットワークアドレスは、前記目標ホスト宛のネットワークトラフィックを受信するよう構成され、前記転送経路は、前記第２パブリックネットワークアドレスで受信された前記第２ネットワークトラフィックを前記目標ホストに転送するよう構成されており、
   前記第１パブリックネットワークアドレスおよび前記第２パブリックネットワークアドレスに対応する前記目標ホスト宛の正当なネットワークトラフィックおよび悪意のあるネットワークトラフィックを分離し、前記分離は、
   前記第２ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するように前記フィルタリングデバイスに通知し、前記転送経路に従って前記第２ネットワークトラフィックを前記目標ホストへ転送させること、
   前記フィルタリング装置以外の装置から到達する前記第１パブリックネットワークアドレス宛ての第１ネットワークトラフィックのブラックホールルーティングを実行することを備える、ネットワークトラフィック処理方法。
2. 請求項１に記載のネットワークトラフィック処理方法であって、前記判定、割り当て、生成、および、通知は、ソフトウェア定義ネットワーク（ＳＤＮ）で実行される、ネットワークトラフィック処理方法。
3. 請求項１に記載のネットワークトラフィック処理方法であって、前記第１パブリックネットワークアドレスに関連付けられている前記第１ネットワークトラフィックの前記１または複数のパケットがドロップされたと判定することは、
   コントローラから通知メッセージを受信することを含み、
   前記通知メッセージは、前記第１パブリックネットワークアドレスに送信された前記第１ネットワークトラフィックの量が予め定められた閾値を超えたと判定された時に送信され、前記通知メッセージは、ルーティングデバイスが前記第１パブリックネットワークアドレスに送信された前記第１ネットワークトラフィックをドロップすることを示唆する、ネットワークトラフィック処理方法。
4. 請求項１に記載のネットワークトラフィック処理方法であって、前記転送経路は、前記第２ネットワークトラフィックを前記第２パブリックネットワークアドレスから前記目標ホストのプライベートアドレスに転送するための経路である、ネットワークトラフィック処理方法。
5. 請求項１に記載のネットワークトラフィック処理方法であって、前記フィルタリングデバイスに通知することは、
   通知メッセージを前記フィルタリングデバイスに送信することを含み、
   前記通知メッセージは、ネットワークトラフィックの宛先アドレスを前記第１パブリックネットワークアドレスに対応する前記第２パブリックネットワークアドレスに更新するように前記フィルタリングデバイスに通知する、ネットワークトラフィック処理方法。
6. 請求項１に記載のネットワークトラフィック処理方法であって、さらに、
   前記転送経路に関する情報をルーティングデバイスに送信し、
   前記転送経路に従って前記第２ネットワークトラフィックを前記目標ホストに転送するように前記ルーティングデバイスに命令すること、
   を備える、ネットワークトラフィック処理方法。
7. ネットワークトラフィックを処理するためのシステムであって、
   １または複数のプロセッサであって、
   第１パブリックネットワークアドレスに関連付けられている第１ネットワークトラフィックの１または複数のパケットがドロップされたと判定し、前記第１パブリックネットワークアドレスは、目標ホストに関連付けられており、
   第２パブリックネットワークアドレスを第２ネットワークトラフィックに割り当て、前記第２パブリックネットワークアドレスに対応する転送経路を生成し、前記第２ネットワークトラフィックは、フィルタリング装置から到達し、前記目標ホストに宛てられ、前記第２パブリックネットワークアドレスは、前記目標ホスト宛のネットワークトラフィックを受信するよう構成され、前記転送経路は、前記第２パブリックネットワークアドレスで受信された前記第２ネットワークトラフィックを前記目標ホストに転送するよう構成されており、
   前記第１パブリックネットワークアドレスおよび前記第２パブリックネットワークアドレスに対応する前記目標ホスト宛の正当なネットワークトラフィックおよび悪意のあるネットワークトラフィックを分離することであって、
   前記第２ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するように前記フィルタリングデバイスに通知し、前記転送経路に従って前記第２ネットワークトラフィックを前記目標ホストへ転送させ、前記フィルタリング装置以外の装置から到達する前記第１パブリックネットワークアドレス宛ての第１ネットワークトラフィックのブラックホールルーティングを実行することを含む分離を実行するよう構成されている、１または複数のプロセッサと、
   前記１または複数のプロセッサに接続され、前記１または複数のプロセッサに命令を提供するよう構成されている１または複数のメモリと、
   を備える、システム。
8. 請求項７に記載のシステムであって、前記システムは、ソフトウェア定義ネットワーク（ＳＤＮ）である、システム。
9. 請求項７に記載のシステムであって、前記第１パブリックネットワークアドレスに関連付けられている前記第１ネットワークトラフィックの前記１または複数のパケットがドロップされたと判定することは、
   コントローラから通知メッセージを受信することを含み、
   前記通知メッセージは、前記第１パブリックネットワークアドレスに送信された前記第１ネットワークトラフィックの量が予め定められた閾値を超えたと判定された時に送信され、前記通知メッセージは、ルーティングデバイスが前記第１パブリックネットワークアドレスに送信されたネットワークトラフィックをドロップすることを示唆する、システム。
10. 請求項７に記載のシステムであって、前記転送経路は、前記第２ネットワークトラフィックを前記第２パブリックネットワークアドレスから前記目標ホストのプライベートアドレスに転送するための経路である、システム。
11. 請求項７に記載のシステムであって、前記フィルタリングデバイスに通知することは、
    通知メッセージを前記フィルタリングデバイスに送信することを含み、
    前記通知メッセージは、ネットワークトラフィックの宛先アドレスを前記第１パブリックネットワークアドレスに対応する前記第２パブリックネットワークアドレスに更新するように前記フィルタリングデバイスに通知する、システム。
12. 請求項７に記載のシステムであって、前記１または複数のプロセッサは、さらに、
    前記転送経路に関する情報をルーティングデバイスに送信し、
    前記転送経路に従って前記第２ネットワークトラフィックを前記目標ホストに転送するように前記ルーティングデバイスに命令するよう構成されている、システム。
13. ネットワークトラフィックを処理して目標ホストへの分散型サービス妨害（ＤＤｏＳ）攻撃に対抗するためのコンピュータプログラムであって、
    第１パブリックネットワークアドレスに関連付けられている第１ネットワークトラフィックの１または複数のパケットがドロップされたと判定するための機能と、前記第１パブリックネットワークアドレスは、目標ホストに関連付けられており、
    第２パブリックネットワークアドレスを第２ネットワークトラフィックに割り当て、前記第２パブリックネットワークアドレスに対応する転送経路を生成するためのコンピュータ機能と、前記第２ネットワークトラフィックは、フィルタリング装置から到達し、前記目標ホストに宛てられ、前記第２パブリックネットワークアドレスは、前記目標ホスト宛のネットワークトラフィックを受信するよう構成され、前記転送経路は、前記第２パブリックネットワークアドレスで受信された前記第２ネットワークトラフィックを前記目標ホストに転送するよう構成されており、
    前記第１パブリックネットワークアドレスおよび前記第２パブリックネットワークアドレスに対応する前記目標ホスト宛の正当なネットワークトラフィックおよび悪意のあるネットワークトラフィックを分離するための機能であって、
    前記第２ネットワークトラフィックを前記第２パブリックネットワークアドレスに転送するように前記フィルタリングデバイスに通知し、前記転送経路に従って前記第２ネットワークトラフィックを前記目標ホストへ転送させるための機能と、
    前記フィルタリング装置以外の装置から到達する前記第１パブリックネットワークアドレス宛ての第１ネットワークトラフィックのブラックホールルーティングを実行するための機能とを備える、正当なネットワークトラフィックおよび悪意のあるネットワークトラフィックを分離するための機能と
    をコンピュータによって実現させる、コンピュータプログラム。
14. ネットワークトラフィック処理方法であって、
    第１パブリックネットワークアドレスに関連付けられている第１ネットワークトラフィックをフィルタリングし、前記フィルタリングされた前記第１ネットワークトラフィックを前記第１パブリックネットワークアドレスに転送し、
    初めに前記第１パブリックネットワークアドレスに関連付けられており、インバウンドフィルタから到達し、前記第２ネットワークトラフィックに関連付けられている第２パブリックネットワークアドレスをソフトウェア定義ネットワーク（ＳＤＮ）から受信し、
    前記第１パブリックネットワークアドレスおよび前記第２パブリックネットワークアドレスに対応する前記目標ホスト宛の正当なネットワークトラフィックおよび悪意のあるネットワークトラフィックを分離することであって、
    前記インバウンドフィルタから到達し、前記第２パブリックネットワークアドレス宛ての前記第２ネットワークトラフィックを保護されたホストに転送し、
    前記第１パブリックネットワークアドレス宛ての第１ネットワークトラフィックのブラックホールルーティングを実行することを含む分離を実行する
    、ネットワークトラフィック処理方法。
15. 請求項１４に記載のネットワークトラフィック処理方法であって、さらに、
    コントローラによって設定された前記第１パブリックネットワークアドレスを受信することを備え、
    前記第１パブリックネットワークアドレスは、前記第１ネットワークトラフィックに関連付けられている宛先アドレスである、ネットワークトラフィック処理方法。
16. 請求項１４に記載のネットワークトラフィック処理方法であって、さらに、
    前記第１パブリックネットワークアドレスに対応する前記ネットワークトラフィックに関連付けられている宛先アドレスを前記第２パブリックネットワークアドレスに更新することを備える、ネットワークトラフィック処理方法。
17. ネットワークトラフィックを処理するためのシステムであって、
    １または複数のプロセッサであって、
    第１パブリックネットワークアドレスに関連付けられている第１ネットワークトラフィックをフィルタリングし、前記フィルタリングされた第１ネットワークトラフィックを前記第１パブリックネットワークアドレスに転送し、
    最初に前記第１パブリックネットワークアドレスに関連付けられていた前記第２ネットワークトラフィックに関連付けられている第２パブリックネットワークアドレスをソフトウェア定義ネットワーク（ＳＤＮ）から受信し、
    前記第１パブリックネットワークアドレスおよび前記第２パブリックネットワークアドレスに対応する前記目標ホスト宛の正当なネットワークトラフィックおよび悪意のあるネットワークトラフィックを分離することであって、
    前記インバウンドフィルタから到達し、前記第２パブリックネットワークアドレス宛ての前記第２ネットワークトラフィックを保護されたホストに転送し、
    前記第１パブリックネットワークアドレス宛ての第１ネットワークトラフィックのブラックホールルーティングを実行することを含む分離を実行するよう構成されている、１または複数のプロセッサと、
    前記１または複数のプロセッサに接続され、前記１または複数のプロセッサに命令を提供するよう構成されている１または複数のメモリと、
    を備える、システム。
18. 請求項１７に記載のシステムであって、前記１または複数のプロセッサは、さらに、
    コントローラによって設定された前記第１パブリックネットワークアドレスを受信するよう構成され、
    前記第１パブリックネットワークアドレスは、前記第１ネットワークトラフィックに関連付けられている宛先アドレスである、システム。
19. 請求項１７に記載のシステムであって、前記１または複数のプロセッサは、さらに、
    前記第１パブリックネットワークアドレスに対応するネットワークトラフィックに関連付けられている宛先アドレスを前記第２パブリックネットワークアドレスに更新するよう構成されている、システム。

Images