JP6780838B2 - 通信制御装置及び課金方法 - Google Patents

Description

本発明の実施形態は、通信制御装置、及び課金方法に関する。

従来、複数のノードを含んで構成されるネットワークにおける通信を、そのネットワークの管理者が定める通信規則に従って通信する通信装置（通信制御装置）が知られている。関連するＯｐｅｎＦｌｏｗ（登録商標）という技術がある。ＯｐｅｎＦｌｏｗでは、コントローラが各ノードのスイッチを一元管理する（特許文献１、非特許文献１参照）。
ところで、ネットワークに接続される機器やシステムに対するサイバー攻撃が増加し、地球規模での大きな脅威になっている。これに対し、ネットワーク利用者は、自身が使用又は管理する機器やシステム、或いはネットワーク利用者側のネットワークを守るための対策をそれぞれ実施している。

特表２０１４−５２６８１０号公報

"OpenFlow Switch Specification Version 1.3.1,"The Open Networking Foundation,(2013),［ｏｎｌｉｎｅ］、［平成２８（２０１６）年１月７日検索］、インターネット〈https://www.opennetworking.org/images/stories/downloads/sdn-resources/onf-specifications/openflow/openflow-spec-v1.3.1.pdf〉

しかしながら、これまでのネットワークセキュリティ対策は、主にネットワーク利用者側で実施されるものであり、広域ネットワーク側のセキュリティレベルを高めることは困難であった。

本発明が解決しようとする課題は、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる通信制御装置、及び課金方法を提供することである。

上記目的を達成するため、本発明の一態様に係る通信制御装置は、通信事業者が独立して管理運用している自ネットワークと、他の通信事業者が独立して管理運用している一つ又は複数の他ネットワークとの境界に配備されている境界ルータの前記他ネットワーク寄り前段に付加される通信制御装置であって、 前記他ネットワークからのパケットの前記境界ルータへの転送を制限する制限条件を定めた第１規則を用いて、前記通信制御装置が受信した前記他ネットワークからのパケットのうち前記第１規則に該当するパケットの前記境界ルータへの転送を制限し、パケットの送信元への経路である逆行経路を示す逆行経路情報を含む第２規則を用いて、前記第１規則に該当しないパケットのうち、前記他ネットワークからのパケットの送信元ＩＰアドレスが前記第２規則の逆行経路情報に含まれる第１パケットを特定して、前記特定した前記第１パケットを前記境界ルータに転送し、前記他ネットワークからのパケットの送信元ＩＰアドレスが前記第２規則の逆行経路情報に含まれない第２パケットの前記境界ルータへの転送を制限することで、前記第１パケットを前記逆行経路のアドレス空間内に制限する転送部と、被害端末装置、又は、所定の認定機関、又は、他の通信制御装置からの要求パケットについて、前記要求パケットに付加された検証コードを用いて前記要求パケットの送信元の真正性と前記要求パケットに含まれる第１制限要求の完全性を検証し、前記検証に成功した後、前記第１制限要求に基づいて、前記第１規則の前記制限条件を更新し、前記第１制限要求に基づく第２制限要求を含む要求パケットを生成し、前記通信制御装置の真正性と前記第２制限要求の完全性を検証するための第２検証コードを付加した一つ又は複数からなる要求パケットを生成し、攻撃元への経路に向けて送出する制御部とを備える。

上記目的を達成するため、本発明の一態様に係る課金方法は、通信事業者が独立して管理運用している自ネットワークと、他の通信事業者が独立して管理運用している一つ又は複数の他ネットワークとの間で転送されるパケットに関する課金方法であって、パケットの送信元への経路である逆行経路を示す逆行経路情報を含む第２規則を用いて、前記他ネットワークからのパケットの送信元ＩＰアドレスが前記第２規則の逆行経路情報に含まれないパケットの通信量を、前記他の通信事業者毎に計数し、計数結果と、前記第２規則ごとに決定されている係数との積に基づいて前記他の通信事業者毎の課金データを生成するものである。

本発明の一態様によれば、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

第１の実施形態に係る通信システムを示す構成図である。 本実施形態に係る通信システムの構成例を示す図である。 ＩｏＴ機器のセキュリティ対策を実施するための処理の手順を示すフローチャートである。 ｅＭＬＢＲ１１を示す図である。 廃棄テーブル１１２１の一例を示す図である。 匿名フラグ設定テーブル１１２７の一例を示す図である。 パケットタイプテーブル１１２２の一例を示す図である。 ＳＣＯＰＥテーブル１１２３の一例を示す図である。 ＭＬＢテーブル１１２４の一例を示す図である。 ルーティングテーブル１１２５の一例を示す図である。 ＱｏＳテーブル１１２６の一例を示す図である。 ＩＰｖ４のパケットヘッダを示す図である。 ＩＰｖ６のパケットヘッダを示す図である。 認証フラグＦ１の設定に関する条件を示す図である。 ｅＭＬＢＲ１１における認証フラグＦ１の設定に関する状態遷移図である。 ｉＭＬＢＲ１２とｂＭＬＢＲ１３における認証フラグＦ１の設定に関する状態遷移図である。 匿名フラグＦ２の設定に関する条件を示す図である。 匿名フラグＦ２の設定に関する状態遷移図である。 各ＭＬＢＲ１０に配置した機能要素とそれによる効果の関係を示す図である。 第１規則と第２規則と第６規則の組み合わせによる処理を説明するための図である。 ｂＭＬＢＲ１３のみを配備した構成例を示す図である。 第１変形例の通信システムの概要を示す図である。 第２の実施形態の通信システム１の構成を示す図である。 通信システムの概要を示す図である。 ｂＭＬＢＡ１３Ａを示す図である。 ＭＬＢテーブル１３２４の一例を示す。 認証フラグＦ１の設定に関する条件を示す図である。 第３の実施形態のダークネットのアドレスが指定されたパケットによる通信を制限する方法を説明するための図である。 定点観測システム８５によって探索パケットが検出された場合のシーケンスを示す図である。 第４の実施形態の不正なパケットに対する課金処理の手順を示すフローチャートである。 第２規則の更新処理の手順を示すフローチャートである。 第２規則の更新処理の手順を示すフローチャートである。

以下、図面を参照し、本発明の通信制御装置、通信システム、通信制御方法、及びプログラムの実施形態について説明する。

（第１の実施形態）
図１は、本実施形態の通信システム１の構成を示す図である。通信システム１は、ネットワークＮＷ１を形成する。ネットワークＮＷ１は、互いに通信を可能とする１又は複数の他のネットワークに接続されている。ネットワークＮＷ２とネットワークＮＷ３とネットワークＮＷ４とネットワークＮＷ６は、他のネットワークの一例である。ネットワークＮＷ１とネットワークＮＷ２とネットワークＮＷ３とネットワークＮＷ４とネットワークＮＷ６のそれぞれは、自律システムとして機能する。以下の説明において、ネットワークＮＷ１、ネットワークＮＷ２、ネットワークＮＷ３、ネットワークＮＷ４、ネットワークＮＷ６等を総称してネットワークＮＷということがある。例えば、各ネットワークＮＷは、異なるプロバイダ（ＩＳＰ（Internet Service Provider））等によって独立して管理されており、管理者が定める通信規則（ポリシー等）はそれぞれ異なるものとする。例えば、各ネットワークＮＷは、互いに接続されており、例えば、それぞれがインターネット（広域ネットワーク）の一部を構成する。各ネットワークＮＷには、図示しない各種サーバ装置、各種端末装置（受信端末等）が接続されていてもよい。

各ネットワークは、互いに接続されている。比較例のネットワークＮＷでは、ネットワークＮＷ１に、他のネットワーク側から攻撃的なパケットが流入し、その影響を受けることがある。本実施形態の通信システム１は、上記のような攻撃的なパケットの影響を、下記する方法の何れか又は全部により軽減させる。
・通信システム１における不当なパケットによる通信を制限するための通信規則を追加して、ネットワークセキュリティのセキュリティレベルを高める。
・不正なパケットがネットワークＮＷ１内を転送することを規制して、ネットワークＮＷ１内の利用状況をネットワークＮＷ１外から探索することを困難にする。
・ネットワークＮＷのセキュリティレベルを高めるための対策を導入していることの優位性を客観的に評価できるようにして、その導入を、ネットワークＮＷごとに促進させる。
以下、上記の各方法について順に説明する。

本実施形態の各通信システムにおいて、管理者が定める通信規則（ポリシー等）に下記する通信規制を追加して、不正なパケットによる通信を通信システムごとに制限させる。追加する通信規則を次の６つの規則に分けて規定する。

第１規則は、自通信システムにおいて通信することを許可しないものを、制限対象の通信として定める。例えば、通信システム１は、制限対象として定められた通信のパケットを、廃棄対象のパケットとして選択するための条件（「廃棄対象条件」）を、「廃棄対象情報」として管理する。通信システム１は、廃棄対象情報をリスト化したブラックリスト（「廃棄対象ブラックリスト」）又はテーブル化した「廃棄テーブル」を利用することにより、制限対象とする通信を規制する。通信システム１は、廃棄対象ブラックリスト、又は、廃棄テーブルを各装置の廃棄対象記憶部等にそれぞれ格納してもよい。制限対象には、各装置に共通するもの、装置毎に固有のものが含まれていてもよい。なお、上記及び以下の説明における「廃棄」には、当該パケットに付与されている宛先情報と送信元情報の少なくともいずれかに基づく通信を制限する、又は宛先情報と送信元情報の少なくともいずれかに基づく通信を許可しない、又は宛先情報の少なくともいずれかに基づく通信を遮断する、又は宛先情報の少なくともいずれかに基づく通信を遮断し特定のポートに出力するなどのケースも含まれるものとし、これらを纏めて単に「廃棄」という。

第２規則は、自通信システムにおいて通信することを許可する条件を定めるものである。例えば、通信システム１は、許可する通信によるパケットを選択する条件（「通信許可条件」）を、「通信許可情報」に纏めて管理する。通信システム１は、通信許可情報をリスト化したホワイトリスト（「通信許可ホワイトリスト」）又はテーブル化した「ＭＬＢテーブル」を利用することにより、許可する通信を抽出する。ＭＬＢテーブルの詳細については後述する。なお、「通信許可ホワイトリスト」はホワイトリストの一例である。

第３規則は、自通信システムにおける通信のパケットのＩＰヘッダから宛先ＩＰアドレスを抽出し次ポップノードへ転送するもしくは該当するネットワークアドレスがテーブルになければ廃棄する「ルーティング条件」を定めるものである。例えば、通信システム１は、ルーティング条件を、「ルーティング情報」として管理する。通信システム１は、「ルーティング情報」をリスト化したホワイトリスト（「転送許可ホワイトリスト」）又はテーブル化した「ルーティングテーブル」を利用して、パケットを宛先に向けて次ポップノードへの転送もしくは廃棄する。ルーティングテーブルはよく知られているものであるため、詳細な説明は省略する。なお、「転送許可ホワイトリスト」はホワイトリストの一例である。

第４規則は、自通信システムにおいて、通信相手として許可するものを限定する条件を定めるものである。例えば、通信システム１は、限定した通信相手からのパケットを選択する条件（「通信相手許可条件」）を、「通信相手許可情報」に纏めて管理する。通信システム１は、通信相手許可情報をリスト化したホワイトリスト（「通信相手許可ホワイトリスト」）又はテーブル化した「ＱｏＳテーブル」を利用することにより、限定した通信相手を抽出する。ＱｏＳテーブルの詳細については後述する。なお、「通信相手許可ホワイトリスト」はホワイトリストの一例である。

第５規則は、通信によるネットワークセキュリティ上のリスクが比較的低いパケットであることを、当該パケットに明示して通信するための条件を定めるものである。

例えば、通信システム１は、所定の信頼度基準を満たす送信元を選択するための条件（「認証済送信元条件」）を、「認証済送信元情報」に纏めて管理することにより、通信によるネットワークセキュリティ上のリスクが比較的低いことを検出してもよい。パケットを送信した送信端末（送信ノード）又は送信エンティティ（送信元エンティティ）は、送信元の一例である。認証済送信元情報には、パケットを送信した送信端末又は送信エンティティを特定するための情報が含まれる。

上記の場合、通信システム１は、認証済送信元情報に基づいてパケットの送信元を判定することにより、所定の信頼度基準を満たすと判定される送信元から送信されたパケットを特定し、当該パケットについては、ネットワークセキュリティ上のリスクが比較的低いと判定する。通信システム１は、その判定の結果を、認証フラグＦ１を用いて示すことにより、リスクが比較的低いパケットであることを管理可能にする。通信システム１は、送信元が所定の信頼度基準を満たすものであるか否かの判定を、通信の接続要求時の認証処理、又は、検疫処理により実施してもよい。その場合、上記の処理の結果に基づいて、通信システム１は、認証フラグＦ１の状態を決定し、当該パケットの認証フラグＦ１を設定する。

なお、上記の判定が実施されて、その判定結果に対応するフラグがパケットにセットされることにより、当該パケットを中継する装置又は受信装置は、上記の場合に当たるか否かの判定を、上記の「認証フラグＦ１」の状態の判定に代えることができる。「認証フラグＦ１」を当該パケットに付与する具体的な方法については後述する。

第６規則は、通信によるネットワークセキュリティ上のリスクが比較的高いパケットであることを、当該パケットに明示して通信するための条件を定めるものである。

例えば、通信システム１は、送信元もしくは宛先を隠ぺい又は詐称したパケットを検出するためのアドレス情報、メールアドレス情報、アカウント情報、電話番号、ＵＲＬ（Uniform Resource Locator）、ＵＲＩ（Uniform Resource Identifier）、ＵＲＮ（Uniform Resource Name）、ドメイン名、又はＦＱＤＮ（Fully Qualified Domain Name）を纏めて管理することにより、通信によるネットワークセキュリティ上のリスクがある又はリスクが比較的高いことを検出してもよい。通信システム１は、送信元もしくは宛先を隠ぺい又は詐称したパケットを検出するためのアドレス情報、メールアドレス情報、アカウント情報、電話番号、ＵＲＬ、ＵＲＩ、ＵＲＮ、ドメイン名及びＦＱＤＮの一部又は全部をリスト化したリストを以下、アドレスリスト（「匿名アドレスリスト」）と総称し、「匿名アドレスリスト」を利用して、条件に該当するパケットを抽出する。「匿名アドレスリスト」の詳細については後述する。
上記の場合、通信システム１は、送信元もしくは宛先を隠ぺい又は詐称したパケットについては、ネットワークセキュリティ上のリスクがある又はリスクが比較的高いと判定し、その判定の結果から当該パケットが所定の信頼度基準を必ずしも満たすものではないことを、リスクフラグＲＦを用いて管理する。通信システム１は、送信元もしくは宛先を隠ぺい又は詐称したパケットであるか否かの判定を、外部から提供される情報に基づいて実施してもよい。その判定の結果に基づいて、通信システム１は、リスクフラグＲＦの状態を決定し、当該パケットのリスクフラグＲＦを設定する。なお、上記の判定の詳細については後述する。

上記の判定が実施されて、その判定結果に対応するフラグがパケットにセットされることにより、当該パケットを中継する装置又は受信装置は、上記の場合に当たるか否かの判定を、上記の「リスクフラグＲＦ」の状態の判定に代えることができる。「リスクフラグＲＦ」を当該パケットに付与する具体的な方法については後述する。

なお、上記の第５規則は、上記のホワイトリストとは異なり当該パケットの通信を奨励することを示すものではない。また、上記の第６規則は、上記のブラックリストとは異なり当該パケットの通信を制限すべきものであることを示すものではない。第５規則と第６規則はともに、所定の判定基準に則って判定した結果を当該パケットに示すことを規定するものである。このように規定され、判定の結果を示すフラグがパケットに設けられていることにより、そのフラグを参照することで、当該パケットを受信すべきものか否かを、受信者側の端末装置で判断することが可能になる。通信システム１では、受信者側の端末装置に、上記の判断の結果に基づいたパケットの処理を、受信者の指定に基づいて実施させる。これにより、通信システム１は、自律分散や自己責任などの特徴を有しているインターネット文化を維持しつつ、安心・安全なインターネット環境が実現するように支援する。

通信システム１は、上記の規則の一部又は全部を利用して、その通信を制御する。

なお、本実施形態の以下の説明において、第２規則の通信許可ホワイトリストと第３規則の転送許可ホワイトリストと第４規則の通信相手許可ホワイトリストを区別することなく説明する場合に、単に「ホワイトリスト」という。また、第２規則の通信許可情報と第３規則のルーティング情報と第４規則の通信相手許可情報の全部または一部を纏めて経路情報という。また、通信システム１において通信相手を限定して通信する特定の装置を対象装置と呼び、対象装置又は対象装置による通信の何れかを特定する情報を特定情報と呼ぶ。例えば、特定情報には、通信許可情報又は通信相手許可情報を生成するための情報が含まれる。

なお、特定の装置又は通信を識別するための情報を識別情報と呼ぶことがある。例えば、受信したパケットに付与された識別情報を取得する場合には、通信の階層のレイヤ１の識別子、レイヤ２（Ｌ２）アドレス、レイヤ３（Ｌ３）アドレス（ＩＰアドレス）、及び、レイヤ４（Ｌ４）プロトコルのポート番号の一部又は全部を含む情報が識別情報に含まれる。また、特定の通信相手を特定する場合の識別情報には、各装置のＩＰアドレス又はＵＲＬ（Uniform Resource Locator）などが含まれる。第３規則のルーティング情報は、上記の識別情報としての宛先ＩＰアドレスによって規定される場合がある。

なお、本実施形態の以下の説明では、ＩＰｖ４（Internet Protocol version ４）の場合を例示して説明するが、ＩＰｖ６（Internet Protocol version ６）の場合も本実施形態に示す処理と同様の手法を適用することができる。

通信システム１は、ｅＭＬＢＲ（egress Multi Layer Binding Router）１１と、ｉＭＬＢＲ（ingress MLBR）１２と、ｂＭＬＢＲ（border MLBR）１３と、中継装置１４と、管理ホスト１５とを含む。以下の説明において、ｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３とを総称してＭＬＢＲ１０ということがある。各ＭＬＢＲ１０は、通信システム１の通信ノードとして機能する。通信システム１は、複数のＭＬＢＲ１０によってネットワークＮＷ１を構成する。ネットワークＮＷ１内の各ＭＬＢＲ１０間は、互いに直接的に接続されていてもよく、中継装置１４等を介して接続されていてもよい。

通信システム１には、ユーザが操作する端末装置１７、ＩｏＴ（Internet of Things）等と総称される各種データ端末１８などの端末が通信可能に接続される。例えば、端末装置１７とデータ端末１８は、ｅＭＬＢＲ１１等を介して、各端末からの要求等に起因する所望の通信を実施する。ＩｏＴ等と総称される各種データ端末１８は、対象装置の一例である。

管理ホスト１５は、通信システム１における基本設定を行うとともに、各ＭＬＢＲ１０の状態を監視させてもよい。さらに管理ホスト１５は、連携サーバとして機能し、端末装置１７などの認証と検疫を担うＨＲＳ（Home RADIUS Server）として機能させてもよい。また、管理ホスト１５は、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）等により検出した通信履歴を記憶するように構成してもよい。また、管理ホスト１５は、通信プロトコルを監視するプロトコルモニタとして機能してもよい。また、管理ホスト１５は、特定の装置に対してポートスキャンを実施するように構成してもよい。また、管理ホスト１５は、ネットワークの通信状況をキャプチャされた結果の解析結果を受け、その解析結果に基づいてＭＬＢＲ１０を制御してもよい。

通信システム１と同様に、通信システム２は、ネットワークＮＷ２を形成する。通信システム２は、ｅＭＬＢＲ２１と、ｉＭＬＢＲ２２と、ｂＭＬＢＲ２３と、管理ホスト２５とを含む。また、通信システム３は、ネットワークＮＷ３を形成する。通信システム３は、ｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理ホスト３５とを含む。通信システム２におけるｅＭＬＢＲ２１と、ｉＭＬＢＲ２２と、ｂＭＬＢＲ２３と、管理ホスト２５、及び、通信システム３におけるｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理ホスト３５は、通信システム１のｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３と、管理ホスト１５にそれぞれ対応する。

比較例の通信システム４は、ネットワークＮＷ４を形成する。通信システム４は、通信システム１とは異なり、ＭＬＢＲ１０を含まずに、ＭＬＢＲ１０の技術的特徴とは異なる技術的特徴を有するルータ等により構成される。通信システム４は、ネットワークＮＷ４における１台の境界ルータ（不図示）を介して、ネットワークＮＷ１に接続されている。

以下、通信システム１において、パケットを用いて実施される通信に対するネットワークセキュリティ対策の一例について説明する。以下に示す通信システム１は、例えば、送信端末が通信を許可すべき接続要求元として認証されている場合、又は上記の通信の接続要求元が検疫されている場合に適用されてもよい。

（送信端末の認証）
通信を許可すべき接続要求元として送信端末を認証する認証方法として、端末装置の種別により異なる方法がとり得る。例えば、送信端末が汎用のパーソナルコンピュータなどであれば、その多くのものは、ＯＳ（Operating System）等の機能によりIEEE802.1X認証を利用できることが知られている。送信端末が汎用のものであれば、IEEE802.1X認証を利用することで、許容する通信の範囲を制限したり、送信元が認証済みであること示したりすることが可能になる。
これに対し、ＩｏＴ機器については、IEEE802.1X認証を利用できないものがある。IEEE802.1X認証を利用できるＩｏＴ機器については、汎用の端末装置と同様にIEEE802.1X認証を適用できるが、IEEE802.1X認証を利用できないＩｏＴ機器については、汎用の端末装置と同様の手法を利用することができない。以下の説明で例示するＩｏＴ機器は、例えば、IEEE802.1X認証を利用できない通信端末装置の一例である。

そこで、通信システム１では、ＩｏＴ機器については、下記のいずれかの方法で当該端末装置の認証を実施する。
第１の方法として、ＩｏＴ機器の多くは特定の通信相手と通信することから、特定の通信相手に対して通信の接続を要求する端末装置を、正当なＩｏＴ機器として認証する。
第２の方法として、当該装置が送信する属性情報から、当該装置がＩｏＴ機器であることを判別する。例えば、当該装置のＭＡＣアドレスを上記の属性情報とし、その属性情報に基づいて、端末装置を、正当なＩｏＴ機器として認証してもよい。

通信システム１は、ＭＬＢＲ１０が保持管理する物理ポート又は（セキュア）チャネルとＭＡＣアドレスとＩＰアドレスとの対応関係を管理する。例えば、通信システム１は、上記の対応関係を満足しないパケットについて、通信を許可しないものであると判定して廃棄する。なお、以下の説明における「パケット」には、当該パケットにレイヤ２でＭＡＣヘッダとトレーラを付加した所謂ＭＡＣフレームなどフレームも含まれるものとし、これらを纏めて単に「パケット」という。

（ＭＬＢＲ１０）
通信システム１を構成するＭＬＢＲ１０には、複数のタイプがあり、互いに構成と用途が異なる。利用者ネットワーク側の出口（egress）に設置するｅＭＬＢＲ１１と、ネットワークＮＷ１の利用者側入口（ingress）端部（エッジ）に設置するｉＭＬＢＲ１２と、他のネットワークとの境界（border）に配置するｂＭＬＢＲ１３は、ＭＬＢＲ１０の一例である。ＭＬＢＲ１０の各タイプを上記のように配置することにより、例えば、外部のネットワークから大量の送信元ＩＰアドレスを詐称するパケットが送り付けられても、ｂＭＬＢＲ１３等が経路表の逆行経路から外れた当該攻撃パケットを遮断する。さらに、ｂＭＬＢＲ１３等は、その処理を実施するに当たり送信元ＩＰアドレス以外の情報を組み合わせて利用して、より正確に処理をする。例えば、送信元ＩＰアドレス以外の情報には、攻撃パケットの廃棄を要請した端末装置１７もしくは実際に攻撃された通信端末等のＩＰアドレス、ＴＣＰ等のレイヤ４（Ｌ４）のポート番号、制御フラグ等が含まれていてもよい。

図２を参照して、通信システム１における各ＭＬＢＲ１０について説明する。図２は、通信システム１の構成例を示す図である。通信システム１におけるＭＬＢＲ１０の詳細について順に説明する。

（ｅＭＬＢＲ１１）
ｅＭＬＢＲ１１（通信制御装置）は、コントローラ１１１（制御部）と、ＩＦ部１１３と、ＩＦ部１１４と、スイッチ部１１２（転送部）と、記憶部１１５とを含む。コントローラ１１１と記憶部１１５の組み合わせは通信制御装置の一例である。

ＩＦ部１１３は、端末装置１７又はデータ端末１８とのインタフェースである。例えば、端末装置１７又はデータ端末１８と有線で通信する場合、ＩＦ部１１３は、通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１１２に出力し、スイッチ部１１２により転送されたパケットを、物理ポートに接続される通信回線に出力する。また、例えば、端末装置１７又はデータ端末１８と無線で通信する場合、ＩＦ部１１３は、無線通信の（セキュア）チャネルに対応させて設けられ、特定の（セキュア）チャネルから取得したパケットをスイッチ部１１２に出力し、スイッチ部１１２により転送されたパケットを、特定の（セキュア）チャネルまたは有線の物理ポートに出力する。以下、物理ポートと（セキュア）チャネルを接続ポートと総称する。

ＩＦ部１１４は、他のＭＬＢＲ１０等と通信する際のインタフェースである。例えば、ＩＦ部１１４は、通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１１２に出力する。また、スイッチ部１１２から転送されたパケットを、物理ポートに接続される通信回線に出力する。なお、他のＭＬＢＲ１０等との接続は無線回線であってもよい。

スイッチ部１１２は、コントローラ１１１により設定された条件に基づいて、ＩＦ部１１３とＩＦ部１１４とコントローラ１１１等の間でパケットを転送する。例えば、スイッチ部１１２は、プロトコルスタックのレイヤ２（Ｌ２）からレイヤ４（Ｌ４）までの各ヘッダ情報と物理ポートの識別情報などに基づいて、当該パケットの転送を制御する。パケットを転送する処理の詳細は後述する。

記憶部１１５は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）レジスタ等の揮発性の記憶装置によって実現される。記憶部１１５は、ｅＭＬＢＲ１１を機能させるためのプログラム、スイッチ部１１２を制御するための複数のテーブル、通信履歴情報等を格納する。

例えば、第１記憶部１１５１と第２記憶部１１５２と第３記憶部１１５３と第４記憶部１１５４と第５記憶部１１５５と第６記憶部１１５６とは、上記の複数のテーブルの一例である。第１記憶部１１５１は、ｅＭＬＢＲ１１が受信した受信パケット（受信データ）の転送を制限する条件を定めた第１規則（廃棄対象ブラックリスト）を記憶する。受信パケットは、ヘッダ情報とデータ（受信データ）とを含んで構成される。第２記憶部１１５２は、受信パケットの転送を許可する条件を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１１５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーティングテーブル、経路情報、転送許可ホワイトリスト）を記憶する。第４記憶部１１５４は、限定した通信相手との通信のみを許可する条件を定めた第４規則（通信相手許可ホワイトリスト、経路情報）を記憶する。第５記憶部１１５５は、所定の信頼度基準を満たした送信元を選択する条件（認証済送信元情報）を定めた第５規則を記憶する。第６記憶部１１５６は、送信元もしくは宛先を隠ぺい又は詐称したパケットを検出するための条件（匿名アドレスリスト）を定めた第６規則を記憶する。

コントローラ１１１は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを有する。コントローラ１１１は、記憶部１１５に記憶されているプログラムにより、複数の物理ポートを有するスイッチ部１１２から得た情報と、記憶部１１５に記憶されている複数のテーブルの情報の少なくとも何れかの情報に基づいて、スイッチ部１１２を制御する。例えば、コントローラ１１１は、管理ホスト１５から取得した各種情報、端末装置１７又はデータ端末１８からの要請などに基づいて、第１記憶部１１５１や第２記憶部１１５２、第３記憶部１１５３、第４記憶部１１５４、第５記憶部１１５５、第６記憶部１１５６を必要に応じて更新し、スイッチ部１１２の転送処理を変更する。より具体的には、後述するように、第１記憶部１１５１に格納された第１規則はスイッチ部１１２内の廃棄テーブル１１２１に、第２記憶部１１５２に格納された第２規則はスイッチ部１１２内のＭＬＢテーブル１１２４に、第３記憶部１１５３に格納された第３規則はスイッチ部１１２内のルーティングテーブル１１２５に、第４記憶部１１５４に格納された第４規則はスイッチ部１１２内のＱｏＳテーブル１１２６に、第５記憶部１１５５に格納された第５規則はスイッチ部１１２内のＭＬＢテーブル１１２４に、第６記憶部１１５６に格納された第６規則はスイッチ部１１２内の匿名フラグ設定テーブル１１２７（第２フラグ設定手段）に、登録され、各テーブルパケットの転送を制御する際に参照される。その際に、パケットヘッダの情報が各テーブルの機能により適宜変更される。

通信システム１における通信メッセージは、フレーム又はパケットとして通信される。フレーム又はパケットのヘッダ情報には、通信メッセージを含むフレーム又はパケットを識別する識別情報が付与される。

特定情報取得部１１１１は、スイッチ部１１２を介する通信において、通信相手を限定して通信するデータ端末１８などの対象装置を特定する特定情報又はデータ端末１８などの対象装置による通信を特定する特定情報の少なくとも何れかを取得する。特定情報の詳細は後述する。

識別情報取得部１１１２は、特定情報に基づいて特定される通信を識別する識別情報を取得する。識別情報取得部１１１２は、データ端末１８からの通信要求に起因する認証処理、検疫処理、レイヤ３アドレスの割り当て処理の一部又は全部の処理の結果から、識別情報を取得してもよい。識別情報を取得する方法の詳細は後述する。

ＷＬ管理部１１１３は、通信を許可する条件を抽出し、ホワイトリストを生成して、その条件を管理する。このホワイトリストには、第２規則の通信許可ホワイトリストと第４規則の通信相手許可ホワイトリストの何れか一方又は両方が含まれる。

出力制御部１１１４は、複数の出力ポートを有するスイッチ部１１２の出力ポートを選択するためのルーティング情報を生成する。ＷＬ管理部１１１３と出力制御部１１１４についての詳細は後述する。

管理部１１１５は、識別情報取得部１１１２により取得された送信元の認証処理の結果、又は、検疫処理の結果を管理する。また、管理部１１１５は、それらの結果から、認証された送信元、又は、検疫処理の結果に異常が発見されなかったパケットの送信元に関する送信元認証情報を抽出して第５記憶部１１５５に書き込む。

また、管理部１１１５は、外部の装置から提供される「認証済送信元条件」などに関する情報を取得して、第５記憶部１１５５に書き込む。また、管理部１１１５は、外部の装置から提供される「匿名アドレスリスト」などに関する情報を取得して、第６記憶部１１５６に書き込む。

（ｉＭＬＢＲ１２）
ｉＭＬＢＲ１２は、コントローラ１２１と、ＩＦ部１２３と、ＩＦ部１２４と、スイッチ部１２２と、記憶部１２５とを含む。記憶部１２５が備える第１記憶部１２５１と第２記憶部１２５２と第３記憶部１２５３と第４記憶部１２５４と第５記憶部１２５５と第６記憶部１２５６とは、上記の複数のテーブルの一例である。第１記憶部１２５１は、ｉＭＬＢＲ１２が受信した受信パケット（受信データ）の転送を制限する条件を定めた第１規則（廃棄対象ブラックリスト）を記憶する。受信パケットは、ヘッダ情報とデータ（受信データ）とを含んで構成される。第２記憶部１２５２は、受信パケットの転送を許可する条件を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１２５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーテイングテーブル、経路情報）を記憶する。第４記憶部１２５４は、限定した通信相手との通信のみを許可する条件を定めた第４規則（通信相手許可ホワイトリスト、経路情報）を記憶する。第５記憶部１２５５は、「所定の信頼度基準を満たした送信元を選択する条件（認証済送信元情報）を定めた第５規則を記憶する。第６記憶部１２５６は、送信元もしくは宛先を隠ぺい又は詐称したパケットを検出するための条件（匿名アドレスリスト）を定めた第６規則を記憶する。

第５規則に対応する認証済送信元情報は、ＭＬＢテーブル１２２４に登録された端末の中で、さらに所定の信頼度基準を満たしたもので、ホワイトリストに相当する。上記の所定の信頼度基準とは、例えば、IEEE802.1X認証や検疫に用いた所定の基準を示し、ＩｏＴ装置を対象としたＡＲＰリフレクションなどの簡易認証の基準は適用させないものとする。

上記の所定の信頼度基準を満たすパケットであれば、認証フラグＦ１がｅＭＬＢＲ１１によってセットされる。端末装置が勝手に認証フラグＦ１をセットしたパケットをｅＭＬＢＲ１１またはｉＭＬＢＲ１２に送信したとしても、これを受信したｅＭＬＢＲ１１またはｉＭＬＢＲ１２は、セットされていた認証フラグＦ１をリセットする。認証レベル又は検疫レベルをＭＬＢテーブル１１２４に付加するか、認証・検疫テーブルとして別に設けてもよい。管理ホスト１５は、各端末装置について定期的に再認証と再検疫を行い認証レベルと検疫レベル、並びに、認証・検疫テーブルを更新してもよい。

一方、匿名アドレスリストは、接続経路を隠ぺいしたＩＰアドレスや偽装したメールアドレス、偽装したアカウント、偽装した電話番号、偽装したＵＲＬ、偽装したＵＲＩ、偽装したＵＲＮ、偽装したドメイン名、又は偽装したＦＱＤＮなどを持つパケットの識別に当たるものである。これに該当するパケットは、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２又はｂＭＬＢＲ１３によってリスクフラグＦＲがセットされる。

コントローラ１２１は、例えば、ＣＰＵ等のプロセッサ、揮発性又は不揮発性の記憶装置等を有する。コントローラ１２１は、記憶部１２５に記憶されているプログラムにより、複数の物理ポートを有するスイッチ部１２２から得た情報と、記憶部１２５に記憶されている複数のテーブルの情報の少なくとも何れかの情報に基づいて、スイッチ部１２２を制御する。例えば、コントローラ１２１は、管理ホスト１５から取得した各種情報、端末装置１７又はデータ端末１８からの要請などに基づいて、第１記憶部１２５１や第２記憶部１２５２、第３記憶部１２５３、第４記憶部１２５４、第５記憶部１２５５、第６記憶部１２５６を必要に応じて更新し、スイッチ部１２２の転送処理を変更する。スイッチ部１２２は、各段のフローテーブルとして、廃棄テーブル１２２１、パケットタイプテーブル１２２２、ＳＣＯＰＥテーブル１２２３、ＭＬＢテーブル１２２４、ルーティングテーブル１２２５、ＱｏＳテーブル１２２６、及び匿名フラグ設定テーブル１２２７を備える。例えば、第１記憶部１２５１に格納された第１規則はスイッチ部１２２内の廃棄テーブル１２２１に、第２記憶部１２５２に格納された第２規則はスイッチ部１２２内のＭＬＢテーブル１２２４に、第３記憶部１２５３に格納された第３規則はスイッチ部１２２内のルーティングテーブル１２２５に、第４記憶部１２５４に格納された第４規則はスイッチ部１２２内のＱｏＳテーブル１２２６に、第５記憶部１２５５に格納された第５規則はスイッチ部１２２内のＭＬＢテーブル１２２４に、第６記憶部１２５６に格納された第６規則はスイッチ部１２２内の匿名フラグ設定テーブル１２２７に、登録され、パケットの転送を制御する。

（ｂＭＬＢＲ１３）
ｂＭＬＢＲ１３は、コントローラ１３１と、ＩＦ部１３３と、ＩＦ部１３４と、スイッチ部１３２と、記憶部１３５とを含む。
記憶部１３５が備える第１記憶部１３５１と第２記憶部１３５２と第３記憶部１３５３と第４記憶部１３５４と第５記憶部１３５５と第６記憶部１３５６とは、上記の複数のテーブルの一例である。第１記憶部１３５１は、ｂＭＬＢＲ１３が受信した受信パケット（受信データ）の転送を制限する条件を定めた第１規則（廃棄対象ブラックリスト）を記憶する。受信パケットは、ヘッダ情報とデータ（受信データ）とを含んで構成される。第２記憶部１３５２は、受信パケットの転送を許可する条件を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１３５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーテイングテーブル、経路情報）を記憶する。第４記憶部１３５４は、限定した通信相手との通信のみを許可する条件を定めた第４規則（通信相手許可ホワイトリスト、経路情報）を記憶する。第５記憶部１３５５は、所定の信頼度基準を満たした送信元を選択する条件（認証済送信元情報）を定めた第５規則を記憶する。具体的には、相互認証したＭＬＢＲ１０が該当する。第６記憶部１３５６は、送信元もしくは宛先を隠ぺい又は詐称したパケットを検出するための条件（匿名アドレスリスト）を定めた第６規則を記憶する。

コントローラ１３１は、例えば、ＣＰＵ等のプロセッサ、揮発性又は不揮発性の記憶装置等を有する。コントローラ１３１は、記憶部１３５に記憶されているプログラムにより、複数の物理ポートを有するスイッチ部１３２から得た情報と、記憶部１３５に記憶されている複数のテーブルの情報の少なくとも何れかの情報に基づいて、スイッチ部１３２を制御する。例えば、コントローラ１３１は、管理ホスト１５から取得した各種情報、端末装置１７又はデータ端末１８からの要請などに基づいて、第１記憶部１３５１や第２記憶部１３５２、第３記憶部１３５３、第４記憶部１３５４、第５記憶部１３５５、第６記憶部１３５６を必要に応じて更新し、スイッチ部１３２の転送処理を変更する。スイッチ部１３２は、各段のフローテーブルとして、廃棄テーブル１３２１、パケットタイプテーブル１３２２、ＳＣＯＰＥテーブル１３２３、ＭＬＢテーブル１３２４、ルーティングテーブル１３２５、ＱｏＳテーブル１３２６、及び匿名フラグ設定テーブル１３２７を備える。例えば、第１記憶部１３５１に格納された第１規則はスイッチ部１３２内の廃棄テーブル１３２１に、第２記憶部１３５２に格納された第２規則はスイッチ部１３２内のＭＬＢテーブル１３２４に、第３記憶部１３５３に格納された第３規則はスイッチ部１３２内のルーティングテーブル１３２５に、第４記憶部１３５４に格納された第４規則はスイッチ部１３２内のＱｏＳテーブル１３２６に、第５記憶部１３５５に格納された第５規則はスイッチ部１３２内のＭＬＢテーブル１３２４に、第６記憶部１３５６に格納された第６規則はスイッチ部１３２内の匿名フラグ設定テーブル１２２７に、登録され、パケットの転送を制御する。

上記のとおり、各ＭＬＢＲ１０は、それぞれコントローラとスイッチ部とを含む。ＭＬＢＲ１０のコントローラは、他のＭＬＢＲ１０のコントローラから取得した情報等に基づいて、自装置のコントローラ及びスイッチ部をそれぞれ制御する。

（端末装置１７）
端末装置１７は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能する。例えば、端末装置１７は、パーソナルコンピュータ、タブレット等の汎用端末である。端末装置１７のＣＰＵは、プログラムの実行により、端末装置１７を、ＩＤＳ／ＩＰＳとして機能させてもよい。この場合、端末装置１７は、端末装置１７に実装したもしくは端末装置１７が接続しているローカルエリアネットワークに接続されたＩＤＳ／ＩＰＳにより、所定の通信量又は頻度を超えて到来するパケットや、その振る舞いの異常さもしくは既知の攻撃パターン（シグネチャ）や既知の攻撃パターンから予測される未知の攻撃パターン、もしくは既知のマルウェアや既知のマルウェア等から予想されるマルウェア、既知のエクスプロイトコード（プログラムのセキュリティ上の脆弱性（セキュリティホール）を攻撃するために作成されたプログラムの総称）もしくは既知のエクスプロイトコードから予測される未知のエクスプロイトコードなどから攻撃パケットとして検出する。なお、上記の検出に当たり、ハニーポットを設置してもよい。ハニーポットとは、不正アクセスを行う攻撃パケットをおびき寄せ、攻撃をそらすためのおとりであり、ウイルスやワームの検体の入手、記録された操作ログ・通信ログなどから不正アクセスの手法や傾向の調査などに用いられるものである。例えば、端末装置１７は、攻撃パケットを検出した場合に、ネットワークＮＷ１への接続を遮断する。
ｅＭＬＢＲ１１は、ネットワークＮＷ１における攻撃パケットの転送を中断させることを要求するメッセージをｉＭＬＢＲ１２やｂＭＬＢＲ１３などに対して送信してもよい。例えば、ｉＭＬＢＲ１２などは、攻撃パケットの転送を中断させることを要求するメッセージを、攻撃パケットを廃棄することを要求する廃棄要請メッセージとして受け付けて、攻撃パケットを廃棄してもよい。以下の説明では、攻撃パケットの転送を中断させることを要求するメッセージをＤＲＭ（Dropping Request Message）と呼ぶ。例えば、端末装置１７は、自装置の正当性と完全性を示す検証用データもしくは認証コードをＤＲＭに付加してｅＭＬＢＲ１１などへ送信する。さらに、ＤＲＭは、攻撃パケットの送信元アドレスに接近するようＭＬＢＲ１０間でバケツリレーされ、ＤＲＭを受信した各ＭＬＢＲ１０では、前述の第１規則として第１記憶部に登録する。

（データ端末１８）
データ端末１８は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能するいわゆるＩｏＴ機器である。以下の説明に例示するデータ端末１８は、パケットのタイプとしてＩＰｖ４のパケットを利用して通信するものとし、IEEE802.1X認証を利用できないものとする。例えば、データ端末１８は、ネットワークに接続される各種センサ、スマートメータ、コネクテッドカー（自動車）、プリンター、テレビ、冷蔵庫、スマート家電、Ｍ２Ｍ（Machine to Machine）デバイス、ネットワークカメラ、自動販売機など多種多様な端末を総称する。これらの端末の通信相手は、特定のアドレス又はＵＲＬ又はＵＲＩ又はＵＲＮに限定される場合が多い。

（スイッチ部を制御して端末装置のセキュリティ対策を実施するための処理）
図３を参照して、端末装置のセキュリティ対策を実施するための処理について説明する。図３は、端末装置のセキュリティ対策を実施するための処理の手順を示すフローチャートである。

通信システム１は、端末装置を、通信システム１において双方向通信を実施する端末として登録する（Ｓ１０）。
通信システム１において、例えば、上記の処理（Ｓ１０）は、下記する複数の処理の組み合わせとして実現される。
まず、通信システム１は、通信相手を限定する対象の端末装置を特定する（Ｓ１１）。
次に、通信システム１は、上記で特定された対象を識別可能な識別情報（第１識別情報）を取得する（Ｓ１２）。
次に、通信システム１は、上記で特定された対象の通信相手を識別可能な識別情報（第２識別情報）を取得する（Ｓ１３）。
次に、通信システム１は、限定する対象として特定された対象から送信されたパケットについて、そのパケットの通信相手を、上記で取得した識別情報（第１識別情報と第２識別情報）に基づいて限定するための通信相手許可ホワイトリストの要素（第１要素）を生成する（Ｓ１４）。
次に、通信システム１は、限定する対象として特定された対象宛に送信されたパケットの通信相手を、上記で取得した識別情報（第１識別情報と第２識別情報）に基づいて限定するための通信相手許可ホワイトリストの要素（第２要素）を生成する（Ｓ１５）。
次に、通信システム１は、通信相手許可ホワイトリストに上記の第１要素と第２要素とを追加する（Ｓ１６）。
次に、通信システム１は、Ｓ１１において特定した対象の端末装置のうち、所定の信頼度基準を満たした送信元（端末装置）を選択し、その識別情報を認証リストに追加する（Ｓ１８）。
次に、通信システム１は、信頼を置ける認定機関の監視装置から、匿名アドレスを利用して通信することを許容するノードのアドレスリストを取得する。例えば、管理ホスト１５は、配信されたノードのアドレスリストから匿名アドレスリストを生成して登録する（Ｓ１９）。
次に、通信システム１は、通信相手許可ホワイトリストに登録後に、第１要素と第２要素とに基づいて実際の通信を保護するための処理を実施して（Ｓ２０）、パケットの信頼度を示すフラグを、当該パケットに設定する（Ｓ２２）。
これにより、通信システム１は、端末装置のセキュリティ対策を実施する。

［より具体的な一実施例］
以下の説明では、ＯｐｅｎＦｌｏｗ（登録商標）の技術を適用してＭＬＢＲ１０を構成する場合を例示する。

（分散型のコントローラ）
ＯｐｅｎＦｌｏｗの各ノードは、ＯｐｅｎＦｌｏｗコントローラにより制御されるＯｐｅｎＦｌｏｗスイッチ部を備える。一般的なＯｐｅｎＦｌｏｗの技術では、１つのＯｐｅｎＦｌｏｗコントローラが複数のＯｐｅｎＦｌｏｗスイッチを一元管理する。
これに代えて、本実施形態のＭＬＢＲ１０は、コントローラ１１１とスイッチ部１１２とを備えており、ＭＬＢＲ１０毎に設けられたコントローラ１１１がスイッチ部１１２を管理する。コントローラ１１１は、他のＭＬＢＲ１０のコントローラと独立に機能してもよく、連系して機能してもよい。この点が一般的なＯｐｅｎＦｌｏｗの構成と異なる。以下、上記の相違点を中心に説明する。

例えばコントローラ１１１は、特定情報取得部１１１１、識別情報取得部１１１２、ＷＬ管理部１１１３、出力制御部１１１４、管理部１１１５、パケットイン（Packet-In）１１１６、パケットアウト（Packet-Out）１１１７、及び、フロー変更出力部（Flow-Mod）１１１８を備える。
パケットイン１１１６は、スイッチ部１１２からの情報を受信する。パケットアウト１１７は、パケットとその宛先情報とを、スイッチ部１１２宛に出力する。フロー変更出力部（Flow-Mod）１１１８は、スイッチ部１１２の設定を変更するための情報をスイッチ部宛に出力する。スイッチ部１１２における他の構成の詳細については、後述する。

ＭＬＢＲ１０のコントローラは、少なくとも自装置のスイッチ部を制御して、その通信のセキュリティ性を確保する。なお、ＭＬＢＲ１０のコントローラは、互いに通信することにより、分散型のコントローラとして機能してもよく、その場合に、例えばＤＲＭを順に転送する。上記のとおり、ＤＲＭは、各ＭＬＢＲ１０における転送を制限するための情報である。ＭＬＢＲ１０は、ＤＲＭが通知されるまでに構成されていた転送情報を変更することなく、転送を制限する制限条件を追加し、また、制限条件を単位にして個々に削除する。これにより、通信システム１は、ネットワークＮＷ内の転送規則を維持したまま、転送を制限する制限条件のみを変更する。

（スイッチ部の一例）
図４から図１０を参照して、スイッチ部のより具体的な一例について説明する。図４は、ｅＭＬＢＲ１１を示す図である。スイッチ部１１２は、各段のフローテーブルとして、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３、ＭＬＢテーブル１１２４、ルーティングテーブル１１２５、ＱｏＳテーブル１１２６及び、匿名フラグ設定テーブル１１２７を備える。図５Ａから図１０のそれぞれは、廃棄テーブル１１２１、匿名フラグ設定テーブル１１２７、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３、ＭＬＢテーブル１１２４、ルーティングテーブル１１２５、及びＱｏＳテーブル１１２６の一例を示す図である。

（スイッチ部における各種テーブルの一例）
スイッチ部１１２において、廃棄テーブル１１２１には、廃棄するパケットのフローエントリが必要数格納される。廃棄するパケットのフローエントリは、前述のパケットの転送を制限する条件である第１規則（ブラックリスト）に対応する。例えば図５Ａに示すように、廃棄テーブル１１２１は、格納されたフローエントリにマッチしたパケットを廃棄（ｄｒｏｐ）する。格納されたフローエントリにマッチしなかったパケットは、パケットタイプテーブル１１２２による選択処理の対象にする。フローエントリに規定する制限情報は、１つのＩＰアドレスであってもよく、或いは、複数のＩＰアドレスを含むネットワークアドレスであってもよい。さらに、宛先ＩＰアドレスや宛先ポート番号、送信元ポート番号、パケット長、パケットタイプ、ＴＣＰ制御フラグ等を適宜組み合わせて規定することによって、攻撃パケットと同じ宛先ＩＰアドレスに送信しようとしている他の一般ユーザの通信を妨げることを抑制することができる。例えば、廃棄テーブル１１２１のフローエントリとして、転送を制限する領域に対応するネットワークアドレスをマッチ条件として規定する。廃棄テーブル１１２１は、そのネットワークアドレスが示すアドレス空間に含まれた送信元ＩＰアドレスが付与されているパケットの転送を制限する。図５Ａに示す「129.168.3.0/24」は、ＩＰｖ４で記述した場合のネットワークアドレスの一例である。

例えば図５Ｂに示すように、匿名フラグ設定テーブル１１２７は、匿名アドレスリストを保持しており、匿名アドレスリスト中のいずれかのアドレスに、送信元アドレス又は宛先アドレスが一致するパケットについて匿名フラグＦ２をセットし、一致しないパケットについて匿名フラグＦ２をリセットする。匿名アドレスリストは、例えば特定の認定機関の監視装置から要請されたアドレス、使い捨て型で利用される電子メールアドレス、転送履歴情報として残された情報のうち、アドレス詐称（なりすまし）などの疑義が含まれた電子メールの送信元アドレスなどを含めて形成されるものであってもよい。転送履歴情報に疑義が含まれていることの検出の一例は、ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ等の電子メールサーバと、電子メールサーバのＩＰアドレスとドメイン名の対応関係の不整合が挙げられる。なお、匿名アドレスリストには、パケットの送信元又は宛先を特定可能な、ＩＰアドレス、電子メールアドレス、電話番号、アカウント情報、ＵＲＬ、ＵＲＩ、ＵＲＮ、ドメイン名、ＦＱＤＮなどが含まれてもよい。匿名フラグ設定テーブル１１２７は、匿名アドレスリストに基づいた処理を実施しない場合には、廃棄テーブル１１２１による処理の結果を、次段のパケットタイプテーブル１１２２の処理対象にする。

パケットタイプテーブル１１２２は、廃棄テーブル１１２１により廃棄されずに残ったパケットであって、匿名フラグ設定テーブル１１２７により匿名フラグが必要に応じてセットされたパケットと、コントローラから取得したパケットを処理対象のパケットとして、パケットのタイプ毎のフローエントリを格納する。例えば図６に示すように、パケットタイプテーブル１１２２に格納するフローエントリには、ＩＰｖ４のパケットであることを特定するものと、ＩＰｖ６のパケットであることを特定するものと、コントローラ宛に送信するパケットであることを特定するものが含まれる。例えば、パケットタイプテーブル１１２２として、各パケットのタイプに対応するアクションを下記のように定義する。パケットタイプテーブル１１２２は、自ＭＬＢＲ１０宛のＩＣＭＰｖ６（Internet Control Message Protocol for IPv6）、又はＡＲＰ（Address Resolution Protocol）、ＩＣＭＰ（Internet Control Message Protocol）、ＤＨＣＰ（Dynamic Host Configuration Protocol）、ＤＲＰ（Dropping Request Message Protocol）、ＲＩＰ（Routing Information Protocol）、ＯＳＰＦ（Open Shortest Path First）、ＢＧＰ（Border Gateway Protocol）、ＵＰｎＰ（Universal Plug and Play）、ＤＮＳ（Domain Name System）、ＳＩＰ（Session Initiation Protocol）、ＮＴＰ（Network Time Protocol）などの各プロトコルにより通信制御に利用されるパケットをコントローラ１１１宛のパケット（Ｐａｃｋｅｔ−Ｉｎ）とし、上記を除くＩＰｖ４のパケットをＭＬＢテーブル１１２４による処理の対象にし、上記を除くＩＰｖ６のパケットをＳＣＯＰＥテーブル１１２３による処理の対象にする。上記のＤＲＰは、ＤＲＭに検証データもしくは認証コードを付加した規格である。ＤＲＰの詳細については後述する。パケットタイプテーブル１１２２は、コントローラ１１１宛のパケットのうち、コントローラ１１１による判定結果に基づいて、必要であればＦｌｏｗ−Ｍｏｄにて各テーブルを更新するとともに、他のＭＬＢＲに転送が必要なパケットは、スイッチ部１１２に戻す（Ｐａｃｋｅｔ−Ｏｕｔ）。

ＳＣＯＰＥテーブル１１２３は、パケットタイプテーブル１１２２によりＩＰｖ６のパケットであると特定されたパケットに対し、スコープ（SCOPE）の逸脱有無を判定して当該パケットのルーティングを許可するか否かを特定する。例えば図７に示すように、当該パケットの送信元ＩＰアドレスと宛先ＩＰアドレスが同じスコープ（グローバルアドレス、ユニークローカルアドレス、リンクローカルアドレスなど）に属し、ルーティングを許可すると判定した場合には、ＳＣＯＰＥテーブル１１２３は、当該パケットをＭＬＢテーブル１１２４による処理の対象にする。一方、当該パケットのスコープに逸脱がありルーティングを許可しないと判定した場合には、ＳＣＯＰＥテーブル１１２３は、対象のパケットを廃棄する。

ＭＬＢテーブル１１２４は、パケットタイプテーブル１１２２によりＩＰｖ４のパケットであると特定されたパケット、又は、ＳＣＯＰＥテーブル１１２３によりルーティングを許可するＩＰｖ６のパケットであると特定されたパケットに対し、当該パケットが転送を許可すべきパケットであるか否かを特定する。その特定の条件は第２規則（通信許可ホワイトリスト）に対応する。ＭＬＢテーブル１１２４は、ＩｏＴ装置やホスト等のＭＡＣアドレスとＩＰアドレス及びｅＭＬＢＲ１１の接続ポートの識別情報を組み合わせて、当該パケットが偽装パケットでないかをチェックする通信許可ホワイトリストとして機能するが、ＩｏＴ装置から送信されたパケットであるか否かを判別することもできる。例えば図８に示すように、マッチ条件には、スイッチ部１１２の入力ポート番号（IN_Port）、ＩｏＴ装置に割り付けられているＭＡＣアドレスとＩＰアドレスなどが設定される。例えば、当該パケットが、ＩｏＴ装置から送信されたパケットであると判別すると（図８上段）、ＱｏＳテーブル１１２６（図１０）に遷移し、通信相手として許可された宛先アドレスであるかをＱｏＳテーブル１１２６によって判定し、該当する通信相手許可ホワイトリストがＱｏＳテーブル１１２６に存在した場合、ＱｏＳテーブル１１２６は、当該パケットをルーティングテーブル１１２５による転送処理の対象（図１０上段）にする。なお、図８は、ＭＬＢテーブル１１２４の一例を示す。

さらに、ＭＬＢテーブル１１２４は、転送を許可すべきパケットであると判定されたパケットに対して、第５規則に従って認証フラグＦ１をセットするようにしてもよい（図８下段を除く各段）。なお、認証フラグＦ１として、認証レベル又は検疫レベルを示すようにしてもよい。

図９に示すように、ルーティングテーブル１１２５は、ＭＬＢテーブル１１２４（図８）により当該パケットが偽装されたパケットではないと判定された場合、当該パケットをルーティングテーブル１１２５により規定される物理ポートに出力するのが基本であるが、ルーティングテーブル１１２５によりＩｏＴ装置宛のパケットであることが判明した場合（図９上段）は、ＱｏＳテーブル１１２６（図１０）に遷移し、送信元が該ＩｏＴ装置の通信相手であるか否かを判定し、該当する通信相手許可ホワイトリストが存在した場合に、転送処理の対象にする（図１０中段）。ルーティングテーブル１１２５は、当該パケットが転送すべきパケットでないと特定された場合（図９下段）、当該パケットをルーティングテーブル１１２５の第３規則に従って、廃棄処理の対象にしてもよい。

ＱｏＳテーブル１１２６は、ＭＬＢテーブル１１２４により当該パケットが、ＩｏＴ装置から送信されたパケット、又は、ＩｏＴ装置宛に送信されたパケットであると判定されたパケットに対し、所望のＱｏＳを設定する。ＱｏＳとして設定する条件は、第４規則（通信相手許可ホワイトリスト）に対応する。例えば図１０に示すように、ＱｏＳテーブル１１２６における所望のＱｏＳには、送信元アドレスと宛先アドレスがマッチ条件に一致する場合に、パケットの転送を許可することで、許可される範囲を超えた宛先への転送を制限する（図１０下段）ことが含まれる。

（第５規則に基づいた認証フラグＦ１を利用した認証処理）
通信システム１におけるＭＬＢＲ１０、端末装置１７、データ端末１８などの各装置（受信端末）は、前述の第５規則に基づいた認証フラグＦ１（第１フラグ）を用いて通信することで、通信の接続要求元が認証されていること又は接続要求元から送信されたパケットが検疫されていることを、当該パケットを受信することにより検出可能になる。認証フラグＦ１に、通信の接続要求に対する判定の結果を反映することにより、パケットを受信した受信端末又は受信エンティティは、認証フラグＦ１の状態に基づいて、パケットを送信した送信元の認証処理及び検疫処理を行うことを間接的に実施することができる。以下の説明において、パケットを受信した受信端末又は受信エンティティのことを、受信端末等ということがある。パケットを受信する側に設けられた端末装置１７、データ端末１８などは、受信端末等の一例である。このような認証フラグＦ１を用いることにより、受信端末におけるパケットの認証処理及び検疫処理による負荷を軽減することができる。以下、その一例について説明する。

ＭＬＢＲ１０により構成されるネットワークＮＷ１では、認証フラグＦ１が付与されたパケットを用いて通信する。例えば、ｅＭＬＢＲ１１は、受信したパケットの認証処理及び検疫処理を実施して、その認証処理及び検疫処理の結果を認証フラグＦ１に反映させる。以下の説明において、認証フラグＦ１がセットされた状態は、パケットを送信した送信元が所定の条件を満たすものである場合を示すものとする。

上述したとおり、ＭＬＢテーブル１１２４は、転送を許可するパケットに対して認証フラグＦ１をセット状態にし、転送を許可しないパケットを廃棄する。
なお、ＭＬＢＲ１０は、認証フラグＦ１が付与されていないパケットを、認証フラグＦ１が付与されたパケットと混在させて通信することができる。その場合、認証フラグＦ１が付与されていないパケットは、認証フラグＦ１がリセット状態と同様の信頼度と判断される。

図１１Ａは、ＩＰｖ４のパケットヘッダを示す図である。図１１Ａ（ａ）に示すように、ＩＰｖ４のパケットヘッダは、バージョン、ヘッダ長、サービス種別(Type of Service)、全長、識別子、フラグ、断片位置、生存時間、プロトコル、チェックサム、送信元アドレス、宛先アドレス、拡張情報の各フィールドにより構成されている。このパケットヘッダの後に、上位プロトコルにより指定されたデータを割り付けるペイロード部が続く。

図１１Ａ（ｂ）に、上記のうちサービス種別フィールドについて示す。サービス種別フィールドにおけるビット配列は、３ビット分の優先度、１ビットずつの遅延度、転送量、信頼性、２ビット分の予備ビットがそれぞれ割り付けられている。ここで、上記の予備ビットの２ビットに、認証フラグＦ１と、リスクフラグＲＦとをそれぞれ割り付ける。

受信端末等は、このように設定された認証フラグＦ１の状態を判定することにより、パケットの通信元である送信端末又は送信エンティティについて間接的に判定して、それを認証することができる。以下の説明において、パケットの通信元である送信端末又は送信エンティティのことを、単に、送信端末等ということがある。パケットを送信する側に設けられた端末装置１７、データ端末１８などは、送信端末等の一例である。

受信端末等は、受信したパケットのパケットヘッダに、ネットワークセキュリティ上のリスクが比較的低いことを示すように認証フラグＦ１が設定されたパケットを選択的に受信する受信手段を備えて構成してもよい。なお、上記のような受信端末等には、ｅＭＬＢＲ１１やファイアウォールなどが含まれる。

（認証フラグＦ１の設定方法）
図１２から図１３を参照して、認証フラグＦ１について説明する。図１２は、認証フラグＦ１の設定に関する条件を示す図である。図１３は、ｅＭＬＢＲ１１における認証フラグＦ１の設定に関する状態遷移図である。

ｅＭＬＢＲ１１は、受信したパケットの認証フラグＦ１の状態に依存することなく認証フラグＦ１を設定する。ｅＭＬＢＲ１１は、所定の認証レベル及び／又は検疫レベルを満たした送信端末からのパケットを検出することにより（＜ｅＦ１ＳＥＴ＞）、認証フラグＦ１をセットする。一方、ｅＭＬＢＲ１１は、認証されていない送信端末からのパケットを検出することにより（＜ｅＦ１ＲＳＴ＞）、認証フラグＦ１をリセットする。

なお、ｅＭＬＢＲ１１が設けられていない場合など、ｅＭＬＢＲ１１を経由しないパケットをｉＭＬＢＲ１２及びｂＭＬＢＲ１３が受信して、認証フラグＦ１の状態を設定したり、変更したりする場合がある。

図１４は、ｉＭＬＢＲ１２とｂＭＬＢＲ１３における認証フラグＦ１の設定に関する状態遷移図である。ＭＬＢＲ１０は、通信に先立ってＭＬＢＲ１０間の認証処理を実施する。

前述の図１２に示すように、ｉＭＬＢＲ１２は、所定の認証レベル及び／又は検疫レベルを満たした送信端末からのパケットを検出することにより（＜ｉＦ１ＳＥＴ＞）、認証フラグＦ１をセットする。一方、ｉＭＬＢＲ１２は、認証されていない送信端末からのパケットを検出することにより（＜ｉＦ１ＲＳＴ＞）、認証フラグＦ１をリセットする。また、ｉＭＬＢＲ１２は、ｅＭＬＢＲ１１−ｉＭＬＢＲ１２間で転送されるパケットに付加されたメッセージ認証（ＡＨ）の検証に失敗した状態を、認証フラグＦ１の不正な書き換えが行われ得る状態と判定する。ｉＭＬＢＲ１２は、上記の状態を検出すると（＜ｅＦ１ＲＳＴ＞）、そのパケットを、不正なパケットと見做して、そのパケットの認証フラグＦ１をリセットする。なお、ｉＭＬＢＲ１２は、上記の条件に該当しなければ、その認証フラグＦ１の状態を保持して、パケットを転送する。

また、ｂＭＬＢＲ１３は、所定の認証レベル及び／又は検疫レベルを満たした送信端末からのパケットを検出することにより（＜ｂＦ１ＳＥＴ＞）、認証フラグＦ１をセットしてもよい。一方、ｂＭＬＢＲ１３は、認証されていない送信端末からのパケットを検出することにより（＜ｂＦ１ＲＳＴ＞）、認証フラグＦ１をリセットする。ｂＭＬＢＲ１３は、ｉＭＬＢＲ１２−ｂＭＬＢＲ１３間、及び、ｂＭＬＢＲ１３−ｂＭＬＢＲ１３間のメッセージ認証の検証に失敗した状態を、認証フラグＦ１の不正な書き換えが行われ得る状態と判定する。ｂＭＬＢＲ１３は、上記の状態を検出すると（＜ｂＦ１ＲＳＴ＞）、そのパケットを、不正なパケットと見做して、そのパケットの認証フラグＦ１をリセットする。なお、ｂＭＬＢＲ１３は、上記の条件に該当しなければ、その認証フラグＦ１の状態を保持して、パケットを転送する。

受信端末等は、このように認証フラグＦ１がリセットされたパケットを受信することにより、少なくとも認証フラグＦ１がセットされたパケットと同等の信頼度を、そのパケットが満たさないということを、検出することができる。

なお、ｅＭＬＢＲ１１によって設定された認証フラグＦ１の状態が、受信端末等まで転送される間に書き換えられてしまうと、認証フラグＦ１が示す状態を信頼できなくなるリスクがある。このようなリスクを回避するために、例えば、そのパケットの中継経路で、不正な書き換えが行われ得る状態が検出された場合には、ＭＬＢＲ１０は、当該パケットに認証フラグＦ１がセットされていても、その状態をリセットしてもよい。

（認証フラグＦ１を利用する装置）
認証フラグＦ１を利用する装置として、ｅＭＬＢＲ１１や、ＭＬＢＲ１０以外の装置が挙げられる。認証フラグＦ１のセット状態を検出する用途としては、ｅＭＬＢＲ１１、受信端末等、ファイアウォール等の装置が、パケットを選択して受信する判断基準として利用する用途が挙げられる。認証フラグＦ１のリセット状態を検出する用途としては、ＩＤＳ(Intrusion Detection System)、ＩＰＳ(Intrusion Prevention System)、ＤＰＩ(Deep Packet Inspection)等の装置がサイバー攻撃やサイバー犯罪などのマルウェアなどに汚染もしくは不正パケットかを検査する際に優先的に検査する信頼度の低いパケットを受信した履歴データとして利用する用途が挙げられる。

上記のとおり通信システム１では、通信によるネットワークセキュリティ上のリスクが比較的低いパケットであることを示す認証フラグＦ１が、パケットのパケットヘッダの所定位置に設けられている。ＭＬＢＲ１０のスイッチ部１１２等は、認証フラグＦ１が設けられているパケットであって所定の信頼度基準を満たした送信元から送信されたパケットに対しては、上記のリスクが比較的低いことを示すように認証フラグＦ１をセットするものとして構成できる。

また、スイッチ部１１２は、認証フラグＦ１として、通信の接続要求元が認証されていること又は接続要求元が検疫されていることを示すフラグ（第１フラグ）が設けられ、通信の接続要求に対する判定の結果により、上記フラグの状態を設定するＭＬＢテーブル１１２４を含む。ＭＬＢテーブル１１２４は、第１フラグ設定手段の一例である。

以上に示した認証フラグＦ１を用いることにより、下記のことが実施可能になる。
［１］ＩＤＳやＩＰＳが、認証フラグＦ１が立っていないものから優先的にＤＰＩなどを行うことによって、ＩＤＳやＩＰＳの処理を軽減する。
［２］認証フラグＦ１が立っていないパケットを直ちに受信するのではなく、ＤＰＩを行って異常がないことが確認できた後に、そのパケットを、内部ネットワークないしはコンピュータに取り込む。
［３］要求されるセキュリティレベルが高い組織や、同組織で利用されるシステムでは、認証フラグＦ１が立っていないパケットの受信を拒否し廃棄する。
上記の例に示したように、認証フラグＦ１が立っているか否かによって、そのパケットをどのように処理するかは、受信者側の判断、つまり受信装置等の設定に委ねるものとなる。

（第２規則の通信許可ホワイトリストの生成について）
第２規則の通信許可ホワイトリストは、例えば下記する方法で生成する。
最初に、ルータがパケットを転送するためのアルゴリズムの一つとして知られているｕＲＰＦ（（unicast Reverse Path Forwarding（ＲＦＣ３７０４））について説明する。ルータは、パケットを受信したらパケットの宛先ＩＰアドレスを検出し、ルーティングテーブルを参照してパケットの次ホップノードと出力インタフェース（接続ポート）を決める経路制御を行っている。ｕＲＰＦはこの経路制御機能を応用したものである。ルータは、ｕＲＰＦにより、受信したパケットの送信元ＩＰアドレスを、ルーティングテーブルに照会することで、当該パケットが本来の経路を辿ってきたものであるか否かを判定する。ルータは、ルーティングテーブル内に該当するネットワークアドレスがなければ、当該パケットをアドレス詐称パケットとみなして廃棄する。このように、ｕＲＰＦの経路制御のアルゴリズムは、パケットフィルタリング技術として利用できるものである。ｕＲＰＦには、ストリクトモード（strict mode）とルースモード（loose mode）とがある。前者は、パケットを受信したインタフェースと送信元ＩＰアドレスとを組み合わせてフィルタリングするのに対して、後者は送信元ＩＰアドレスのみでフィルタリングする。

ルーティングテーブルを参照するｕＲＰＦをインターネットの利用者側エッジに設定すれば、これにより、ルーティングテーブルから外れたアドレス詐称パケットを遮断できる。ｕＲＰＦは、上記のように、通信方向の対称性が保障される経路を利用する構成に適用可能である。

また、他の事例として、ネットワークＮＷ１に、１台の境界ルータを介して接続しているネットワークＮＷ４（たとえば、下位プロバイダ）であれば、上記の境界ルータにｕＲＰＦを設定することにより上記と同様の効果が期待できる。

ところで、下記する事例のように、一般的なｕＲＰＦを利用することは適さないことがある。

（事例１）通信方向の対称性が保障されない経路を利用する構成に適用する場合。
通信方向の対称性が保障されない経路を利用する構成に適用する場合として、上位プロバイダのように複数台の境界ルータを保持し複数のプロバイダと複数の経路で接続している場合が挙げられる。例えば、上記のように構成された上位プロバイダのネットワークでは、パケットの転送経路がネットワークの状態（障害発生や輻輳など）によって変化するため、通信方向の対称性が保障されないことがある。このような場合、ｕＲＰＦを設定していると、ルーティングテーブルに存在しない送信元ＩＰアドレスを持つ非不正パケット、すなわち最善経路でない迂回経路から転送されてきた善良な利用者からのパケットを誤廃棄する可能性がある。

（事例２）ルーティングテーブルに規定されたネットワークアドレス空間と同一のネットワークアドレス空間内からアドレス詐称パケットが送信され得る場合。
ｕＲＰＦは、送信元ＩＰアドレスの正当性を、ルーティングテーブルを照会して判定する。ｕＲＰＦのみの対策では、ルーティングテーブルに規定されたネットワークアドレス空間と同一のネットワークアドレス空間内のアドレス詐称パケットを通してしまうという不完全性が存在する。

上記の（事例１）と（事例２）とに対して、通信システム１は、下記の方法を採る。
例えば、ｕＲＰＦ相当機能を意味する「ｅ−ｕＲＰＦ」をｂＭＬＢＲ１３に実装して、同一のネットワークＮＷ１内のｂＭＬＢＲ１３同士があたかもルーティングテーブルの情報を共有しているように機能させる。ｅ−ｕＲＰＦでは、一般的なルーティングテーブルに代えて、上記のように専用の通信許可ホワイトリストを利用する。例えば、各ｂＭＬＢＲ１３は、通信許可ホワイトリストの情報を互いに共有することができる。上記のとおり、通信許可ホワイトリストは、ルーティングに利用する経路情報と異なる情報である。ｂＭＬＢＲ１３は、一般のルーティングテーブルに代えて、ｅ−ｕＲＰＦによってこの通信許可ホワイトリストを参照して、ｕＲＰＦにおける逆行経路を示す経路情報と同様に扱える経路情報（逆行経路）を決定する。

比較例のルータにおいては、そのルーティングテーブルは、ルータごとに最善経路性を確保するように独立に異なる情報として保持されており、ルータ間でルーティングテーブルが共有されることはない。これに対し、ｅ−ｕＲＰＦでは、ｂＭＬＢＲ１３間で共有される通信許可ホワイトリストの情報を利用することで、あたかもｕＲＰＦがルーティングテーブルを参照するような方法で逆行経路を決定したとしても、それと同様の機能を実現できる。

なお、ＭＬＢＲ１０では、第１規則から第６規則までを適宜組み合わせることができ、一般的なルーティングテーブルに登録された情報と異なる情報をも利用することができる。つまり、ＭＬＢＲ１０は、一般的なルーティングテーブルのみを参照するｕＲＰＦによって制限することができない場合においても、ルーティングテーブルに規定されたネットワークアドレス空間と同一のネットワークアドレス空間内のアドレス詐称パケットを、制限することができる。これによれば、通信システム１では、例え全ビットをアドレス詐称されたパケットであっても、ｅ−ｕＲＰＦの逆行経路内に攻撃パケットを封じ込めることが可能になる。その結果、被害ノードとなった端末装置１７などから廃棄要請を示すパケットをネットワークＮＷに対して送信することによって、そのパケットが各ＭＬＢＲ１０により転送され、所望のＭＬＢＲ１０に到達する。これにより、通信システム１において、サイバー攻撃の攻撃ノードにより接近したところで、サイバー攻撃によるパケットを遮断することが可能になる。

上記のとおり、通信方向の対称性が保障されない経路を利用する構成のもとで、ｅ−ｕＲＰＦを利用するための具体的な一例について説明する。ここでは、他のネットワークと複数の経路で接続する構成に適用されるｅ−ｕＲＰＦのアグリゲートモード（aggregate mode）を例示する。

なお、ｅ−ｕＲＰＦのアグリゲートモードでは、ネットワームＮＷ１内のｂＭＬＢＲ１３同士で経路制御情報を共有し合うようにしてもよい。ｂＭＬＢＲ１３では、経路制御情報として、例えばＲＩＢ（Routing Information Base）とＦＩＢ（Forwarding Information Base）のいずれか又は双方を所定のルーティングプロトコルにより交換する。例えば、その所定のルーティングプロトコルは、ｉＢＧＰ（interior Border Gateway Protocol）の機能を拡張して、ＲＩＢ又はＦＩＢを交換できるようにしたものであってもよい。

上記のように経路制御情報を共有し合ったｂＭＬＢＲ１３は、その情報に基づいて、第２規則の通信許可ホワイトテーブルを生成し、ＭＬＢテーブルに登録する。ｂＭＬＢＲ１３は、通信許可ホワイトテーブルから外れたパケットを、アドレス詐称パケットとして廃棄することを可能にする。

（匿名フラグＦ２（第２フラグ）について）
ＭＬＢＲ１０は、匿名フラグＦ２を利用してもよい。例えば、ｅＭＬＢＲ１１のスイッチ部１１２は、匿名フラグ設定テーブル１１２７によって匿名フラグＦ２を設定する。匿名フラグＦ２は、前述の図４におけるリスクフラグＲＦと同じ位置に割り付けてもよい。

図１５は、匿名フラグＦ２の設定に関する条件を示す図である。図１６は、匿名フラグＦ２の設定に関する状態遷移図である。

匿名フラグ設定テーブル１１２７には、少なくとも自身が管理するアドレス空間内の匿名アドレスリスト等が設定されている。匿名フラグ設定テーブル１１２７は、受信した処理対象のパケットに、接続経路を隠ぺいするようにパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスが設定されていることを検出し、その検出の結果により、上記に該当するパケットである場合（＜Ｆ２ＳＥＴ＞）に、匿名フラグＦ２をセットする。一方、匿名フラグ設定テーブル１１２７は、上記以外のパケットを検出しても、匿名フラグＦ２をセットすることはなく、上記の条件に該当しなければ匿名フラグＦ２の状態を保持して、パケットを転送する。

通信システム１における受信端末等は、上記の匿名フラグＦ２を参照して、匿名フラグＦ２がセットされたパケットを、送信元もしくは宛先を隠ぺい又は詐称したパケットであると判定し、ネットワークセキュリティ上のリスクがある又はリスクが比較的高いものとして扱ってもよい。

上記の受信装置等は、受信したパケットのパケットヘッダに、認証フラグＦ１がリセットされてネットワークセキュリティ上のリスクが比較的低いと判定できないパケットと、匿名フラグがセットされて上記のリスクがある又はリスクが比較的高いと判定されるパケットの一方又は両方を選択的に検査するパケット検査手段を備えて構成してもよい。受信装置等は、受信したパケットのパケットヘッダに、認証フラグＦ１がセットされ、ネットワークセキュリティ上のリスクが比較的低いと判定されるパケットと、匿名フラグがセットされ、上記のリスクがある又はリスクが比較的高いと判定されるパケットの一方又は両方を選択的に検査するパケット検査手段を備えて構成してもよい。

上記のようにスイッチ部１１２は、リスクフラグＲＦとして、接続経路を隠ぺいするようにパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスが設定されたパケットであることを示す匿名フラグＦ２を、匿名フラグ設定テーブル１１２７により当該パケットに設定する。これにより、通信システム１は、認証フラグＦ１と匿名フラグＦ２とを利用する場合においても、パケットの検査を容易に実施することができる。

また、この匿名フラグＦ２を利用することにより、下記の特徴を有する通信であることを、受信端末等が容易に検出することが可能になる。例えば、受信端末等は、通信の接続系路を匿名化するために、多数（数千台）のノードから構成される匿名化ネットワークを利用する通信であることを検出する。上記の各ノードは、所謂Ｐｒｏｘｙ機能と複数のノード同士を繋ぐノード間通信を暗号化する機能を備える。上記のＰｒｏｘｙ機能とは、受信したパケットの送信元ＩＰアドレスを別のＩＰアドレスに変換して送信し、その返答パケットの宛先IPアドレスを上記送信元ＩＰアドレスに変換して送信元のノードへ返すものである。上記のように通信の接続系路を匿名化するネットワークの一例として、Ｔｏｒ（The Onion Router,トーア）規格が知られている。Ｔｏｒ規格のクライアントとして機能する端末装置は、Ｔｏｒ規格の通信サービスを提供するＴｏｒサーバに対して通信の接続開始を要求し、Ｔｏｒサーバにより許可されると、そのＴｏｒサーバを介して目的の通信相手宛にパケットを送信する。上記の端末装置は、このような手順を踏み通信することで接続経路を隠ぺい化することができる。

なお、インターネットインフラが直面している大きな問題の一つとして、境界ルータのルーティングテーブルのエントリ数の増大が挙げられている。プロバイダ単位又は自律システムとして機能するネットワーク単位で見れば最大でも６ｋエントリ程度と見込まれる。ワイヤスピードでのルーティング処理などで用いられている最新のＴＣＡＭ（Ternary Content-Addressing Memory）チップであれば、Ｌ１からＬ４の基本ヘッダ（８０Ｂ（バイト））を単位に１２８ｋエントリを登録でき、上記のプロバイダ単位に見込む最大エントリ数を収容可能である。

さらに、多くの下位のプロバイダなどのネットワークでｕＲＰＦ又はｅ−ｕＲＰＦが設定されており、あるＭＬＢＲ１０において一定期間検出しなくなったアドレス詐称パケットのエントリが存在するようになれば、当該エントリを当該ＭＬＢＲ１０のＭＬＢテーブルにおける通信許可ホワイトリスト(逆行経路情報)から削除することができる。ＭＬＢＲ１０は、逆行経路情報の集約化を併せて実施することにより、プロバイダ単位に必要とされるエントリ数を上記の最大数よりも少なく見込むことができる。上記により、通信システム１において、ＭＬＢＲ１０にＭＬＢテーブルを含めて構成することに伴うコスト負担を軽減するようにしてもよい。

（ＭＬＢＲ１０の導入検討とその効果について）
図１７を参照して、上記の機能要素を有する各ＭＬＢＲ１０の導入検討と、構成例毎の効果について説明する。図１７は、各ＭＬＢＲ１０に配置した機能要素とそれによる効果の関係を示す図である。同図に示すように、３種類のＭＬＢＲ１０に、上記の機能要素を配置する組み合わせは、同図に示す７通りになる。それぞれの組み合わせに適した機能要素の導入形態の一例を同図に示す。各導入形態について、機能要素による攻撃パケットの遮断効果、導入コスト並びに投資対効果比を試算した例である。

例えば、第１の導入形態、つまりｅＭＬＢＲ１１のみに機能要素を配置する場合には、第１機能要素としての「認証・検疫・ＱｏＳ設定」と、第２機能要素としての「ＭＬＢテーブル（Ｌ１〜Ｌ３）」とを、ｅＭＬＢＲ１１に配置するとよい。第２機能要素の「ＭＬＢテーブル（Ｌ１〜Ｌ３）」は、レイヤ１（Ｌ１）からレイヤ３（Ｌ３）までの情報の一致を検出する機能を実現するものである。

この第１の導入形態の場合に、通信システム１は、アドレスを詐称するパケットを遮断することができる(効果Ａ−１)。ただし、他のネットワークＮＷから流入するパケットや、同じネットワークＮＷ１内の他のｅＭＬＢＲ１１をすり抜けたパケットを遮断できない場合がある。その一方で、通信が許可された端末装置の健全性を確保したり、マルウェアに感染したＩｏＴ装置などが不特定多数宛に送信する探索パケットによって感染させることを防いだり、汚染されたＩｏＴ装置を無害化したりできるという点で、ネットワークＮＷの入り口となるｅＭＬＢＲ１１に機能要素を配置した効果を得ることができる。

また、例えば、第３の導入形態、つまりｂＭＬＢＲ１３のみに機能要素を配置する場合には、第３機能要素としての「ＭＬＢテーブル（Ｌ３）」と、第４機能要素としての「認定機関からの廃棄要請」とを、ｂＭＬＢＲ１３に配置するとよい。第３機能要素の「ＭＬＢテーブル（Ｌ３）」は、例えばｅ−ｕＲＰＦ、などにより、レイヤ３（Ｌ３）の情報の一致を検出する機能を実現するものである。第４機能要素としての「認定機関からの廃棄要請」は、インターネットにおける定点観測データ等に基づいて生成されたＤＲＭを、ｂＭＬＢＲ１３が受信することで、その廃棄要請としてもよい。

この第３の導入形態の場合に、通信システム１は、他のネットワークからのアドレスを詐称するパケットをｅ−ｕＲＰＦで遮断することができる(効果Ａ−１)。ただし、ｅＭＬＢＲ１１における対策を講じることができないため、自ネットワークＮＷ内の攻撃を遮断することができず、ｅ−ｕＲＰＦ内の詐称を遮断しきることはできない。その一方で、不特定多数宛のパケットを遮断したり、匿名アドレスを利用する通信であることを匿名フラグＦ２を用いて明示（匿名アドレスの見える化）したりするという点で、他のネットワークＮＷとの出入り口となるｂＭＬＢＲ１３に機能要素を配置した効果を得ることができる。

また、例えば、第５の導入形態、つまりｅＭＬＢＲ１１とｂＭＬＢＲ１３とに機能要素を配置する場合には、前述の第１の導入形態と第３の導入形態の双方を組み合わせたものに、さらに、第５機能要素として、「被害ノード（端末装置）からの廃棄要請」を受け付けるように、ｅＭＬＢＲ１１に配置するとよい。

この第５の導入形態の場合に、通信システム１は、アドレスを詐称するパケットを遮断することができる(効果Ａ−１)。また、アドレスを詐称せずに攻撃するパケットや不特定多数宛のパケットを遮断したり、匿名アドレスを利用する通信であることを匿名フラグＦ２を用いて明示したりするという点で、他のネットワークＮＷとの出入り口となるｂＭＬＢＲ１３に機能要素を配置した効果を得ることができる。ただし、同じネットワークＮＷ１内の他のｅＭＬＢＲ１１をすり抜けたパケットを遮断することはできない。

また、例えば、第７の導入形態、つまり全てのＭＬＢＲ１０に機能要素を配置する場合には、前述の第５の導入形態の場合の機能要素をｉＭＬＢＲ１２にも配置するものになる。この第７の導入形態の場合に、通信システム１は、図１７に示す効果Ａ−１から効果Ａ−４の全てと、汚染されたＩｏＴ装置を無害化したりできるという効果を得ることができる。

上記の説明で示した導入形態の他に、第２の導入形態、第４の導入形態、第６の導入形態がある。ただし、同図に示すように、対象の装置が多くなるほど導入コストがかかることになる。導入コストは３種類のＭＬＢＲ１０の全てに導入する形態を１０とし、想定される機器コストと敷設台数および敷設・運用コストを勘案して、ｅＭＬＢＲ１１とｉＭＬＢＲ１２とｂＭＬＢＲ１３とに対して、それぞれのコストを６：３:１の比率で配分した。

また、導入形態の機能要素によって、遮断効果が異なる。遮断効果を高めることにより、ネットワークセキュリティの到達レベルを高めることができる。遮断効果は、各機能要素が期待通りに機能することで、攻撃パケットを、ほぼ遮断できる場合を「○」で示し、そのスコアを２とし、遮断できない事象が起こり得る場合を「△」で示し、そのスコアを１とし、攻撃パケットの遮断に寄与しない場合を「−」で示し、そのスコアを０とする３段階で評価する。

ネットワークセキュリティの到達レベルは、導入コストに対して必ずしも比例するものではない。そのため、目標とするネットワークセキュリティの到達レベルと、投資対効果の比（投資対効果比）に応じて、適宜決定するとよい。
ただし、ネットワークＮＷ全体に対する対策済みの比率が高くなるほど、その対策の効果が顕著に表れるようになる。

（第１規則と第２規則と第６規則の組み合わせの一例）
図１８を参照して、第１規則と第２規則と第６規則の組み合わせについて説明する。図１８は、第１規則と第２規則と第６規則の組み合わせによる処理を説明するための図である。
第１規則に該当するパケットは、その通信が制限される。
一方、第１規則に該当しないパケットであり、第２規則に該当するパケットは、その通信が許可される。さらに、上記で通信が許可されるパケットであって、第６規則に該当するパケットには、匿名フラグＦ２がセットされて通信され、第６規則に該当しないパケットには、匿名フラグＦ２がセットされることなく通信される。
また、上記の第１規則にも第２規則にも該当しないパケットは、その通信が制限される。例えば、ＭＬＢＲ１３において、コントローラ１３１は、受信したパケットに対し上記のように各規則を組み合わせて、下記するようにパケットを処理するようにスイッチ部１３２を制御する。

例えば、コントローラ１３１は、第２規則として設定された通信許可条件に該当する通信を許可する。コントローラ１３１は、通信許可条件に従い、スイッチ部１３２のＭＬＢテーブル１３２１により、通信許可条件に該当するパケットを所定のテーブルに遷移させ、通信許可条件に非該当のパケット、すなわちアドレスを詐称したパケットを廃棄するなどの所定の処理を実施させる。

また、コントローラ１３１は、第６規則として設定された規制条件（匿名アドレスリスト）に該当するパケットを条件付きで通信させる。コントローラ１３１は、第６規則として設定された規制条件に従い匿名アドレスリストを匿名フラグ設定テーブル１３２７に設定する。なお、スイッチ部１３２の匿名フラグ設定テーブル１３２７は、第６規則の条件を満たすパケット、つまり匿名アドレスリストに該当するパケットに匿名フラグＦ２をセットして転送し、第６規則の条件を満たさないパケット、つまり匿名アドレスリストに該当しないパケットに匿名フラグＦ２をリセットして転送する。

スイッチ部１３２は、上記のように匿名フラグＦ２（識別情報）が付与されたパケットを許可して転送してもよい。

このように、コントローラ１３１は、複数種類の規制の条件に基づいて、許可条件を満たす通信のパケットを受信して、受信したパケットによる要請に基づいて規制条件を設定する。複数種類の条件には、少なくともネットワークＮＷ１と他のネットワーク間の通信を制限するための第１規則（規制条件）と、少なくともネットワークＮＷ１内の通信を許可するための第２規則（許可条件）とが含まれる。コントローラ１３１は、複数種類の規制の条件に基づいて、第２規則を満たす通信のパケットを受信して、受信したパケットによる要請に基づいて第１規則を設定し、第１規則に該当する通信のパケットを制限する。又は、コントローラ１３１は、第２規則に反する通信のパケットを制限してもよい。このようなコントローラ１３１は、第１規則に該当する通信と第２規則に反する通信の一方又は両方を制限してもよい。

その規制条件には特定のパケットを廃棄対象として選択するための条件（第１規則による廃棄条件など）が含まれ、許可条件には特定のパケットによる通信を許可するための条件（第２規則による通信許可条件など）が含まれている。

また、例えば、規制条件には、匿名性を有するパケットを特定するための条件（第６規則による匿名アドレスリストなど）が含まれていてもよい。例えば、コントローラ１３１は、匿名性を有するパケットを特定するための匿名アドレスリストに該当し、さらに、上記の第２規則の条件を満たす通信のパケットを識別して、匿名フラグＦ２を当該パケットに付与してもよい。

なお、上記の通りｂＭＬＢＲ１３は、ｅＭＬＢＲ３１と、ｉＭＬＢＲ３２などのルータを含んで構成されるネットワークＮＷ１と、他のネットワークとの境界部に配備されるものである。例えば、ｂＭＬＢＲ１３は、ネットワークＮＷ１における、他ネットワークＮＷとの境界部に配備される。

コントローラ１３１は、少なくともネットワークＮＷ１に含まれるＭＬＢＲ１０のうち一部又は全部のルータから当該ルータのルーティング情報を取得する。コントローラ１３１は、取得したルーティング情報に基づいて、他のネットワーク側からネットワークＮＷ１側に向けての通信を該通信の送信元アドレスに応じて許可又は制限してもよい。例えば、コントローラ１３１は、取得したルーティング情報に基づいて、各ルータが許可していた通信経路を示す経路情報を抽出し、通信許可条件を示す通信許可ホワイトリスト（ｅ−ｕＲＰＦ）を生成する。コントローラ１３１は、生成した通信許可ホワイトリストに基づいてスイッチ部１３２を制御する。

コントローラ１３１は、上記のように認証された通信のもとで、上記の規制条件を設定することについての要請を送信した送信元から、単方向の通信手順を用いて通知された要請に応じて、上記の規制条件を設定してもよい。例えば、端末装置１７及びＭＬＢＲ１０は、上記の要請を送信する際に、ＵＤＰを用いて、前述のＤＲＭを送信する。上記のＤＲＭの送信では、その通信経路（送信経路）が、廃棄すべき攻撃パケットが多数送信されている、すなわち帯域攻撃されている通信経路と同じ経路が含まれる。その通信経路のうち最も有効な経路が、攻撃パケットが到来する経路に一致する。つまりＤＲＭは、攻撃パケットとは逆向きに送信される。このように、端末装置１７及びＭＬＢＲ１０は、ＵＤＰ（単方向）を用いて要請（ＤＲＭ）を送信することにより、その送信方向と逆向きのトラフィックによる影響を避けて、所望の宛先にＤＲＭを送信することができる。なお、端末装置１７及びＭＬＢＲ１０は、ＵＤＰを用いて単方向にＤＲＭを送信する際に、送信するＤＲＭの真正性及び完全性（改ざんされていないこと）を示すために、ＴＰＭ（Trusted Platform Module）やＨＳＭ（Hardware Security Module）を用いて端末装置１７のプラットホームやＯＳ、ＩＤＳ／ＩＰＳの真正性と完全性を示す認証コードを付加してｅＭＬＢＲ１１に送信する。また、端末装置１７及びＭＬＢＲ１０は、ｉＭＢＬＲ１２やｂＭＬＢＲ１３間、ｂＭＬＢＲ１３間は予め相互認証の際に交換した共有鍵又はその更新鍵を使用してメッセージ認証（ＡＨ）を付加してもよい。

上記の実施形態によれば、ＭＬＢＲ１０のコントローラは、それぞれが自律システムとして機能する自ネットワーク（たとえば、ネットワークＮＷ１）と自ネットワーク（ネットワークＮＷ１）と異なる他ネットワークとを介した通信を制御する。ＭＬＢＲ１０は、少なくとも自ネットワークと他ネットワークとの間の通信を制限するための規制条件と、少なくとも前記自ネットワーク内の通信を許可するための許可条件とを含む複数種類の条件に基づいて、前記許可条件を満たす通信による要請に基づいて前記規制条件を設定し、前記規制条件に該当する通信と前記許可条件に反する通信の一方又は両方を制限する。これにより、ＭＬＢＲ１０は、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

（第１の実施形態の第１変形例）
第１の実施形態の第１変形例として、投資対効果が優位となる構成例について説明する。上記の図１７に示したとおり、ｂＭＬＢＲ１３のみを配備する構成が、上記の７つの導入形態の中で最も投資対効果が優れている。本変形例では、ＭＬＢＲ１０のうちｂＭＬＢＲ１３のみを配備した構成例を例示する。図１９は、ｂＭＬＢＲ１３のみを配備した構成例を示す図である。図１との相違点を中心に説明する。

ネットワークＮＷ１を構成する通信システム１は、自律システムとして機能する自ネットワークＮＷ１内、又は、自ネットワークＮＷ１と、ネットワークＮＷ１とはポリシーが異なる他ネットワークとを介した通信を可能とする。

通信システム１は、ｅＲ（egress Router）１１Ｂと、ｉＲ（ingress Router）１２ＢとｂＭＬＢＲ１３と、中継装置１４と、管理ホスト１５とを備える。つまり、通信システム１は、ｅＭＬＢＲ１１とｉＭＬＢＲ１２とに代えて、ｅＲ（egress Router）１１Ｂと、ｉＲ（ingress Router）１２Ｂとを備えるものである。ｅＲ１１ＢとｉＲ１２ＢとｂＭＬＢＲ１３は、通信システム１の通信ノードとして機能する。通信システム１は、少なくともｂＭＬＢＲ１３を含み、ｅＲ１１ＢとｉＲ１２Ｂとの一部又はその組み合わせによってネットワークＮＷ１を構成してもよい。ｅＲ１１ＢとｉＲ１２Ｂは、一般的なルータ又はスイッチ等により構成することができる。ｅＲ１１Ｂは、利用者ネットワーク側の出口（egress）に設置され、ｉＲ１２Ｂは、ネットワークＮＷ１の利用者側入口（ingress）端部（エッジ）に設置される。

例えば、通信システム１と同様に、通信システム２は、ネットワークＮＷ２を形成する。通信システム２は、ｅＲ２１Ｂと、ｉＲ２２Ｂと、ｂＭＬＢＲ２３と、管理ホスト２５とを含む。また、通信システム３は、ネットワークＮＷ３を形成する。通信システム３は、ｅＲ３１Ｂと、ｉＲ３２Ｂと、ｂＭＬＢＲ３３と、管理ホスト３５とを含む。通信システム２におけるｅＲ２１Ｂと、ｉＲ２２Ｂと、ｂＭＬＢＲ２３と、管理ホスト２５、及び、通信システム３におけるｅＲ３１Ｂと、ｉＲ３２Ｂと、ｂＭＬＢＲ３３と、管理ホスト３５は、通信システム１のｅＲ１１Ｂと、ｉＲ１２Ｂと、ｂＭＬＢＲ１３と、管理ホスト１５にそれぞれ対応する。

図２０は、第１変形例の通信システムの概要を示す図である。
端末装置１７は、ｅＲ１１Ｂに収容される。端末装置１７から送信されたパケットは、ｅＲ１１ＢとｉＲ１２Ｂとを経てｂＭＬＢＲ１３に到達する。ｂＭＬＢＲ１３は、第１の実施形態に示す判定と同様の判定を、到達したパケットに対して実施して、必要に応じて他のネットワークであるネットワークＮＷ２等にそのパケットを転送する。
ｂＭＬＢＲ１３は、ネットワークＮＷ２等の他のネットワークからパケットを受信して、上記の通りの判定を、受信したパケットに対して実施して、必要に応じてｉＲ１２Ｂ側にそのパケットを転送する。転送されたパケットは、ｉＲ１２ＢとｅＲ１１Ｂを経て端末装置１７に到達する。

前述のとおり、ｂＭＬＢＲ１３は、ネットワークＮＷ１の境界ルータとして機能するものである。ｂＭＬＢＲ１３が上記のようにパケットの判定と転送の処理を実施するに当たり、コントローラ１３１は、少なくとも第１規則と第２規則とに基づいて、ｂＭＬＢＲ１３を経由する通信を制御する。

コントローラ１３１は、第１規則として、所定の信頼度を有する端末装置（例えば、管理ホスト１５など）からの廃棄要請に基づいて、特定の通信を制限するための廃棄対象ブラックリストを生成し、廃棄テーブル１３２１に反映する。例えば、管理対象の端末装置１７は、管理ホスト１５によってその属性情報などが管理されている。管理ホスト１５は、被害ノードである端末装置１７などからの廃棄要請に基づいて、特定の通信を制限するための要請をコントローラ１３１に対して送信する。コントローラ１３１は、その廃棄要請に基づいて廃棄対象ブラックリストを生成し、廃棄テーブル１３２１に反映する。

コントローラ１３１は、第２規則として、自ネットワークＮＷ１内の一部又はすべてのｂＭＬＢＲ１３の経路表による逆行経路内に送信元アドレスが含まれる通信を許可する通信許可ホワイトリストを生成し、それをＭＬＢテーブル１３２４に反映する。例えば、コントローラ１３１が生成する通信許可ホワイトリストは、ｅ−ｕＲＰＦのアグリゲートモード又はｅ−ｕＲＰＦルースモードに対応するものである。ＭＬＢテーブルは、ｅ−ｕＲＰＦのアグリゲートモード又はルースモードの何れかに対応する情報を格納する。

コントローラ１３１は、第６規則として、送信元経路を隠ぺい化して通信する通信ノードのアドレスを匿名アドレスリストに反映する。

コントローラ１３１は、上記の各規則に従い、第２規則に該当する許可条件を満たす通信によって要請を受け、その要請に基づいて、第１規則として規制条件を設定し、第１規則として設定された規制条件に該当する通信を制限する。例えば、コントローラ１３１は、第１規則として設定された規制条件に従い、スイッチ部１３２の廃棄テーブル１３２１により、規制条件に該当するパケットを廃棄し、規制条件に非該当のパケットを通過させる。なお、コントローラ１３１とスイッチ部１３２は、前述の図１８に示す第１規則と第２規則と第６規則の組み合わせによる処理を実施してもよい。

このように、コントローラ１３１は、複数種類の規制の条件に基づいて、許可条件を満たす通信のパケットを受信して、受信したパケットによる要請に基づいて規制条件を設定する。複数種類の条件には、少なくともネットワークＮＷ１と他のネットワーク間の通信を制限するための第１規則（規制条件）と、少なくともネットワークＮＷ１内の通信を許可するための第２規則（許可条件）とが含まれる。コントローラ１３１は、複数種類の規制の条件に基づいて、第２規則を満たす通信のパケットを受信して、受信したパケットによる要請に基づいて第１規則を設定し、第１規則に該当する通信のパケットを制限する。

なお、上記の通りｂＭＬＢＲ１３は、ｅＲ３１Ｂと、ｉＲ３２Ｂなどのルータを含んで構成されるネットワークＮＷ１と、他のネットワークとの境界部に配備されるものである。例えば、ｂＭＬＢＲ１３は、ネットワークＮＷ１における、他ネットワークＮＷとの境界部に配備される。

コントローラ１３１は、少なくともネットワークＮＷ１に含まれるｅＲ３１Ｂと、ｉＲ３２ＢとｂＭＬＢＲ１３などのルータのうち一部又は全部のルータから当該ルータのルーティング情報を取得する。コントローラ１３１は、取得したルーティング情報に基づいて、他のネットワーク側からネットワークＮＷ１側に向けての通信を制限してもよい。

コントローラ１３１は、上記のように認証された通信のもとで、上記の規制条件を設定することについての要請を送信した送信元から、単方向の通信手順を用いて通知された要請に応じて、上記の規制条件を設定してもよい。例えば、端末装置１７、及びｅＲ３１Ｂと、ｉＲ３２ＢとｂＭＬＢＲ１３などのルータは、上記の要請を送信する際に、ＵＤＰを用いて、前述のＤＲＭをＡＨなどを付加して送信する。上記のＤＲＭの送信では、その通信経路（送信経路）が、廃棄すべき攻撃パケットが多数送信されている通信経路と同じ経路が含まれる。その通信経路のうち最も有効な経路が、攻撃パケットが到来する経路に一致する。つまりＤＲＭは、攻撃パケットとは逆向きに送信される。このように、端末装置１７及びｅＲ３１Ｂと、ｉＲ３２ＢとｂＭＬＢＲ１３などのルータは、ＵＤＰ（単方向）で要請（ＤＲＭ）を送ることにより、その送信方向と逆向きのトラフィックによる影響を避けて、所望の宛先にＤＲＭを送信し、受信側ＭＬＢＲ１０では受信したＤＲＭが偽造されたり改ざんされたりしたものではないことを確認することができる。

上記の変形例によれば、第１の実施形態と同様の効果を奏することに加えて、通信システム１を、その境界ルータであるｂＭＬＢＲ１３を中心としたセキュリティ対策により実現し、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

（第１の実施形態の第２変形例）
第１の実施形態の第２変形例について説明する。第１の実施形態では、ＩＰｖ４のパケットによる通信に認証フラグＦ１を利用して、ＭＬＢＲ１０が送信端末等について認証する一例を示した。本変形例では、これに代えて、ＩＰｖ６のパケットによる通信に、認証フラグＦ１を利用して送信端末等について認証する場合の一例について説明する。

図１１Ｂは、ＩＰｖ６のパケットヘッダを示す図である。例えば、図１１Ｂに示すように、認証フラグＦ１を、ＩＰｖ６のＩＰｖ６パケットヘッダのトラフィッククラスフィールドの予備ビットに割り当ててもよい。トラフィッククラスフィールドは、送信時のＱｏＳを指定する情報が格納されるが、ＭＬＢＲ１０及び受信端末等は、認証フラグＦ１についてもＱｏＳと同様に処理するとよい。

上記の変形例によれば、第１の実施形態と同様の効果を奏することに加えて、ＩＰｖ６の場合も、ＩＰｖ４の場合と同様の効果を奏するものとすることができる。

（第２の実施形態）
第２の実施形態について説明する。第１の実施形態では、ＭＬＢＲ１０を用いて各ネットワークを構成することによりネットワークセキュリティのセキュリティレベルを高める方法について例示して、その効果について説明した。これに対し、第２の実施形態では、より初期投資を抑えつつ、ネットワークセキュリティのセキュリティレベルを高める方法について説明する。以下、第１の実施形態との相違点を中心に説明する。

ネットワークセキュリティのセキュリティ基盤を導入展開していくうえで、セキュリティ対策固有の課題が存在する。第１の課題は、セキュリティ対策に対する投資は直接利益を生まないことである。また、第２の課題は、これまでの“自分を守るセキュリティ対策”に確たる成功事例が存在しないことにより、ネットワークセキュリティのセキュリティ基盤の構築に対する投資について慎重にならざるを得ないことである。

これらの課題に対して、本実施形態では、さらに初期投資を抑えつつ、かつ、その初期投資の範囲内で、ネットワークセキュリティのリスクを低減させることができる技術について説明する。以下に示す導入シナリオは、高い投資対効果が得られるものであり、かつ、誰もがその効果を容易に認知できるものである。

図２１は、本実施形態の通信システム１の構成を示す図である。
通信システム１は、ｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３に代え、ｅＲ１１Ｂと、ｉＲ１２Ｂと、ｂＲ（border Router）１３Ｂとを備え、さらにｂＭＬＢＡ（border MLB Adaptor）１３Ａ（通信制御装置）と、中継装置１４と、管理ホスト１５とを含む。

ｅＲ１１Ｂと、ｉＲ１２Ｂと、ｂＲ１３Ｂの各装置は、ＭＬＢＲ１０と異なる技術を有する通信ノードであり、所謂ルータとして機能する。例えば、通信システム１は、上記の複数のルータによってネットワークＮＷ１を形成する。ネットワークＮＷ１内の各ルータ間は、互いに直接的に接続されていてもよく、中継装置１４等を介して接続されていてもよい。

ｂＭＬＢＡ１３Ａは、ネットワークＮＷ１と、ネットワークＮＷ１以外のネットワークＮＷ（以下、他のネットワークという。）とを接続する接続回線に配備されているｂＲ１３Ｂの前段に設けられている。ｂＭＬＢＡ１３Ａは、ネットワークＮＷ１と他ネットワークとを介した通信を制御する。ｂＭＬＢＡ１３Ａの詳細について後述する。

管理ホスト１５は、通信システム１における基本設定を行うとともに、通信システム１内の各装置の状態を監視させてもよい。さらに管理ホスト１５は、連携サーバとして機能し、端末装置１７などの認証と検疫を担うＨＲＳとして機能させてもよい。また、管理ホスト１５は、ＩＤＳ／ＩＰＳ等により検出した通信履歴を記憶するように構成してもよい。また、管理ホスト１５は、通信プロトコルを監視するプロトコルモニタとして機能してもよい。また、管理ホスト１５は、特定の装置に対してポートスキャンを実施するように構成してもよい。

通信システム１と同様に、通信システム２は、ネットワークＮＷ２を形成する。通信システム２は、ｅＲ２１Ｂと、ｉＲ２２Ｂと、ｂＲ２３Ｂと、ｂＭＬＢＡ２３Ａと、管理ホスト２５とを含む。また、通信システム３は、ネットワークＮＷ３を形成する。通信システム２におけるｅＲ２１Ｂと、ｉＲ２２Ｂと、ｂＲ２３Ｂと、ｂＭＬＢＡ２３Ａと、管理ホスト２５は、通信システム１のｅＲ１１Ｂと、ｉＲ１２Ｂと、ｂＲ１３Ｂと、ｂＭＬＢＡ１３Ａと、管理ホスト１５にそれぞれ対応する。例えば、通信システム３は、ｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理ホスト３５とを含む。

図２２と図２３とを参照して、通信システム１の構成例について説明する。図２２は、通信システムの概要を示す図である。図２３は、ｂＭＬＢＡ１３Ａを示す図である。

端末装置１７は、ｅＲ１１Ｂに収容される。端末装置１７から送信されたパケットは、ｅＲ１１ＢとｉＲ１２Ｂとを経てｂＲ１３に到達する。ｂＲ１３は、そのパケットの転送処理をして、必要に応じて他のネットワークに送信するように、ｂＭＬＢＡ１３Ａに向けて送信する。ｂＭＬＢＡ１３Ａは、ｂＲ１３から送信されたパケットを受信して、所望の処理を実施して、必要に応じて他のネットワークに送信する。

ｂＭＬＢＡ１３Ａは、他のネットワークからパケットを受信して、そのパケットの処理をして、必要に応じてｂＲ１３Ｂ側にパケットを転送する。転送されたパケットは、ｂＲ１３ＢとｉＲ１２ＢとｅＲ１１Ｂを経て端末装置１７に到達する。

前述のとおり、ｂＭＬＢＡ１３Ａは、ネットワークＮＷ１の境界ルータとして機能するｂＲ１３Ｂより、他のネットワーク側に設けられるものである。

ｂＭＬＢＡ１３Ａが上記のようにパケットを処理するに当たり、コントローラ１３１は、少なくとも第１規則と第２規則とに基づいて、ｂＭＬＢＡ１３Ａを経由する通信を制御する。

（ｂＭＬＢＡ１３Ａ）
ｂＭＬＢＡ１３Ａは、コントローラ１３１と、ＩＦ部１３３と、ＩＦ部１３４と、スイッチ部１３２Ａと、記憶部１３５Ａとを含む。コントローラ１３１と、ＩＦ部１３３と、ＩＦ部１３４のそれぞれは、前述のｂＭＬＢＲ１３に附した符号に対応する。
記憶部１３５Ａが備える第１記憶部１３５１と第２記憶部１３５２と第５記憶部１３５５と第６記憶部１３５６とは、上記の複数のテーブルの一例である。第５記憶部１３５５は、所定の信頼度基準を満たした送信元を選択する条件（認証済送信元情報）を定めた第５規則を記憶するが、具体的には、相互認証した端末装置１７、他のｂＭＬＢＡ１３Ａ等が該当する。第６記憶部１３５６は、送信元もしくは宛先を隠ぺい又は詐称したパケットを検出するための条件（匿名アドレスリスト）を定めた第６規則を記憶する。

コントローラ１３１は、例えば、ＣＰＵ等のプロセッサ、揮発性又は不揮発性の記憶装置等を有する。コントローラ１３１は、記憶部１３５に記憶されているプログラムにより、複数の物理ポートを有するスイッチ部１３２Ａから得た情報と、記憶部１３５に記憶されている複数のテーブルの情報の少なくとも何れかの情報に基づいて、スイッチ部１３２Ａを制御する。例えば、コントローラ１３１は、管理ホスト１５から取得した各種情報、端末装置１７又はデータ端末１８からの要請などに基づいて、第１記憶部１３５１や第２記憶部１３５２、第５記憶部１３５５、第６記憶部１３５６を必要に応じて更新し、スイッチ部１３２Ａの転送処理を変更する。

スイッチ部１３２Ａは、各段のフローテーブルとして、廃棄テーブル１３２１、パケットタイプテーブル１３２２、ＳＣＯＰＥテーブル１３２３、ＭＬＢテーブル１３２４、及び匿名フラグ設定テーブル１３２７を備える。例えば、第１記憶部１３５１に格納された第１規則はスイッチ部１３２内の廃棄テーブル１３２１に、第２記憶部１３５２に格納された第２規則はスイッチ部１３２Ａ内のＭＬＢテーブル１３２４に、第５記憶部１３５５に格納された第５規則はスイッチ部１３２Ａ内のＭＬＢテーブル１３２４に、第６記憶部１３５６に格納された第６規則はスイッチ部１３２Ａ内の匿名フラグ設定テーブル１２２７に、登録され、パケットの転送を制御する。スイッチ部１３２Ａは、上記の制御により、ネットワークＮＷ１とネットワークＮＷ１を除く他のネットワークＮＷとを介した通信を許可又は制限する。

図２４は、ＭＬＢテーブル１３２４の一例を示す。
ＭＬＢテーブル１３２４は、パケットタイプテーブル１３２２によりＩＰｖ４のパケットであると特定されたパケット、又は、ＳＣＯＰＥテーブル１３２３によりルーティングを許可するＩＰｖ６のパケットであると特定されたパケットに対し、当該パケットが転送を許可すべきパケットであるか否かを特定する。その特定の条件は第２規則（通信許可ホワイトリスト）に対応する。ＭＬＢテーブル１３２４は、当該パケットが偽装パケットでないかをチェックする通信許可ホワイトリスト（ｅ−ｕＲＰＦアグリゲートモード又はルースモード）として機能する。

（認証フラグＦ１の設定方法）
図２５と図１３を参照して、認証フラグＦ１について説明する。図２５は、認証フラグＦ１の設定に関する条件を示す図である。なお、ｅＭＬＢＲ３１における認証フラグＦ１の状態遷移については、前述の図１３を参照する。
ＭＬＢテーブル１３２４は、転送を許可すべきパケットであると判定されたパケットに対して、第５規則に従って認証フラグＦ１をセットする（図８Ｂ下段を除く各段）。

上記のとおり、ｂＭＬＢＡ１３Ａのコントローラ１３１は、他のｂＭＬＢＡ１３Ａ又はＭＬＢＲ１０のコントローラから取得した情報等に基づいて、自装置のコントローラ１３１及びスイッチ部１３２Ａをそれぞれ制御する。

（端末装置１７）
端末装置１７は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能する。
例えば、端末装置１７は、ネットワークＮＷ１における攻撃パケットの転送を中断させることを要求するメッセージをｅＲ１１Ｂに対して送信してもよい。例えば、ｅＲ１１ＢとｉＲ１２ＢとｂＲ１３Ｂは、攻撃パケットの転送を中断させることを要求するメッセージを、ｂＭＬＢＡ１３Ａ宛に中継する。ｂＭＬＢＡ１３Ａは、上記のメッセージを、攻撃パケットを廃棄することを要求する廃棄要請メッセージとして受け付けて、攻撃パケットを廃棄してもよい。例えば、端末装置１７は、自装置の正当性と完全性を示す検証用データもしくは認証コードをＤＲＭに付加してｅＲ１１Ｂへ送信する。さらに、ＤＲＭは、攻撃パケットの送信元アドレスに接近する位置に設けられたｂＭＬＢＡ１３Ａに転送され、ＤＲＭを受信した各ｂＭＬＢＡ１３Ａでは、前述の第１規則として第１記憶部に登録する。

（ｂＭＬＢＡ１３Ａがスイッチ部を制御して端末装置のセキュリティ対策を実施するための処理）
ｂＭＬＢＡ１３Ａは、前述の図３に示す処理を、下記するように端末装置のセキュリティ対策を実施するための処理として実施する。

通信システム１は、管理対象の端末装置を、通信システム１において双方向通信を実施する端末として登録する（Ｓ１０）。
通信システム１において、例えば、上記の処理（Ｓ１０）は、下記する複数の処理の組み合わせとして実現される。
まず、通信システム１の管理ホスト１５は、通信相手を限定する対象の端末装置（例えば、端末装置１７）を特定する（Ｓ１１）。
次に、通信システム１の管理ホスト１５は、上記で特定された対象を識別可能な識別情報（第１識別情報）を取得する（Ｓ１２）。
次に、通信システム１の管理ホスト１５は、上記で特定された対象（例えば、端末装置１７）の通信相手を識別可能な識別情報（第２識別情報）を取得する（Ｓ１３）。
次に、通信システム１におけるｂＭＬＢＡ１３Ａは、管理ホスト１５から上記で取得した識別情報（第１識別情報と第２識別情報）を受ける。ｂＭＬＢＡ１３Ａは、限定する対象として特定された対象から送信されたパケットについて、そのパケットの通信相手を、上記で取得した識別情報（第１識別情報と第２識別情報）に基づいて限定するための通信相手許可ホワイトリストの要素（第１要素）を生成する（Ｓ１４）。
次に、ｂＭＬＢＡ１３Ａは、限定する対象として特定された対象宛に送信されたパケットの通信相手を、上記で取得した識別情報（第１識別情報と第２識別情報）に基づいて限定するための通信相手許可ホワイトリストの要素（第２要素）を生成する（Ｓ１５）。
次に、ｂＭＬＢＡ１３Ａは、通信相手許可ホワイトリストに上記の第１要素と第２要素とを追加する（Ｓ１６）。
次に、ｂＭＬＢＡ１３Ａは、Ｓ１１において特定した対象の端末装置のうち、所定の信頼度基準を満たした送信元（端末装置）を選択し、その識別情報を認証リストに追加する（Ｓ１８）。
次に、通信システム１は、信頼を置ける認定機関の監視装置から、匿名アドレスを利用して通信することを許容するノードのアドレスリストを取得する。例えば、管理ホスト１５は、配信されたノードのアドレスリストから匿名アドレスリストを生成して、ｂＭＬＢＡ１３Ａに登録する（Ｓ１９）。
次に、通信システム１は、通信相手許可ホワイトリストの登録後に、第１要素と第２要素とに基づいて実際の通信を保護するための処理を、ｂＭＬＢＡ１３Ａによって実施して（Ｓ２０）、パケットの信頼度を示すフラグを、当該パケットに設定する（Ｓ２２）。
これにより、通信システム１は、端末装置のセキュリティ対策を実施する。なお、より具体的な処理については、第１の実施形態と同様の処理を適用することができる。
また、第１規則の廃棄リストには、ｂＲ１３Ｂ等のルータのＩＰアドレスを宛先ＩＰアドレスとするパケットや、ｂＲ１３Ｂ等が利用する特定のポートアドレスを指定するパケットなどを廃棄するように、所定の条件を登録してもよい。これにより、他のネットワーク側からネットワークＮＷ１に流入し、ｂＲ１３Ｂ等を攻撃するパケットをｂＭＬＢＡ１３Ａにて遮断することができる。
なお、ｂＭＬＢＡ１３Ａは、上記の通りルーティング機能を設けずに構成することができる。これにより、ｂＭＬＢＡ１３Ａに障害が生じた場合に、ｂＭＬＢＡ１３Ａをバイパスさせ、プロバイダとしてのサービスを停止することなく継続することもできる。

実施形態によれば、第１の実施形態と同様の効果を奏することに加え、ｂＭＬＢＡ１３Ａのコントローラ１３１Ａは、アドレス空間において未使用状態にあるべきアドレス空間宛に送られたパケットを特定する特定情報に基づいて前記パケットの転送を制限することを要求する遮断要求を取得し、前記遮断要求に該当する前記パケットによる通信を、あらかじめ定められた処理ルールに基づいて制御することにより、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

（第３の実施形態）
第３の実施形態について説明する。第３の実施形態における通信システム１は、不正なパケットがネットワークＮＷ１内を転送することを規制して、ネットワークＮＷ１内の利用状況をネットワークＮＷ１外から探索したりすることを困難にするものである。図２６を参照し、不当な宛先アドレスが指定されたパケットによる通信を制限する具体的な方法について説明する。図２６は、ダークネットのアドレスが指定されたパケットによる通信を制限する方法を説明するための図である。

ネットワークにおけるアドレス空間は、通信に利用可能なアドレスが割り付けられているアドレス空間（ライブネットＬＮ）と、通信に利用可能とするようにアドレスが割り付けられていないアドレス空間（ダークネットＤＮ）とに分けられる。つまりライブネットＬＮには、端末装置などが実在する可能性があり、ダークネットＤＮには、端末装置などが実在する可能性はない。

それゆえ、ダークネットＤＮ宛に送られるパケットは、本来存在しないはずのものであるが、実際には、大量に観測されている。例えば、インターネット上に設けられた定点観測施設８（定点観測システム８５（図１））における観測結果の解析によれば、様々な攻撃パケットと判定し得るものがインターネット上を飛び交っていることが知られている。例えば、そのようなパケットの一例として、ＤＤｏＳ攻撃の跳ね返りパケットや、マルウェアに感染したＩｏＴ機器などから、さらにマルウェアの感染先となり得るＩｏＴ機器やサイバー攻撃先となり得る脆弱性(セキュリティホール)を持つサイトなどを総当たりで探索するパケットなどが知られている。以下、上記の総当たりで探索するパケットを探索パケットという。

比較例の定点観測システムは、上記のように、インターネットに送信されているパケットを観測し、その結果を解析することで、ネットワーク利用者に関連するネットワークのアドレス範囲内で、ダークネットのアドレスを利用する通信（パケット）が検出されていることをネットワーク利用者側に通知している。

これに対し、本実施形態の定点観測システム８５は、例えば、前述の図１に示すようにネットワークＮＷ３に接続されており、ネットワークＮＷ３上の未使用アドレス空間（ダークネットＤＮ）宛に送信されているパケットを観測する。

図２７は、定点観測システム８５によって探索パケットが検出された場合のシーケンスを示す図である。

定点観測システム８５は、ネットワークＮＷに送信されているパケットを観測する（Ｓ８５１）。例えば、定点観測システム８５は、少なくとも、ネットワークＮＷ６からネットワークＮＷ３に流入するネットワークＮＷ３のダークネットＤＮ宛パケットを観測する。

次に、定点観測システム８５は、その観測結果を解析（Ｓ８５２）して、ダークネットＤＮ宛のパケットが検出されたか否かを判定し（Ｓ８５３）、検出されなければＳ８５１からの処理を繰り返す。定点観測システム８５は、ダークネットＤＮ宛パケットが検出された場合には、その検出結果を、各ネットワークＮＷの管理ホストに通知する（Ｓ８５４）。各ネットワークＮＷの管理ホストには、ネットワークＮＷ１の管理ホスト１５、ネットワークＮＷ２の管理ホスト２５、ネットワークＮＷ３の管理ホスト３５などが含まれている。以下の説明では、ネットワーク管理ホスト１５を例示して説明する。なお、ダークネットＤＮ宛のパケットとは、送信元ＩＰアドレス又は宛先ＩＰアドレスの少なくとも何れかがダークネットＤＮに含まれるものである。

例えば、管理ホスト１５は、定点観測システム８５から、ダークネットＤＮ宛のパケットが検出されていることの通知を受ける（Ｓ１５１）。上記の通知には、当該パケット又はそのパケットによる通信を特定するための情報が含まれる。

管理ホスト１５は、上記の通知を取得することにより（Ｓ１５１）、ＭＬＢＲ１０又はｂＭＬＢＡ１３Ａ（以下、上記を纏めてＭＬＢＲ１０等という。）に対し、上記通知により特定されるパケットをそれぞれの装置において遮断するように、遮断要求を通知する（Ｓ１５２）。遮断要求には、遮断する対象のパケット又はそのパケットによる通信を特定するための情報が含まれる。

ＭＬＢＲ１０等は、上記遮断要求を取得して（Ｓ１０１）、自装置の第１規則の条件に、当該遮断する対象のパケットによる通信を遮断する条件を追加（Ｓ１０２）して、自装置のスイッチ部により当該通信を遮断するようにスイッチ部を制御する（Ｓ１０３）。

（探索パケットの特定について）
探索パケットには、マルウェアの新たな感染先やサイバー攻撃先を探索するなどの目的で送信されるパケットが含まれる。首謀者自身が操作する端末或いはマルウェアに感染したＩｏＴ機器などを使って、上記の端末又はＩｏＴ機器から探索パケットを送信する場合などが知られている。上記のような探索パケットは、通過するルータのルーティングテーブルに記載されているネットワークアドレス空間内に封じ込められ、そのアドレス空間内の宛先に対し総当たりで送信されるという特徴がある。

マルウェアとは、ウイルス、ワーム、トロイの木馬、スパイウェア、ボットなど、情報漏えいやデータ破壊、他のコンピュータへの感染などの有害な活動を行うソフトウェアを総称する。

例えば、定点観測システム８５は、定点観測施設などに設置されたハニーポットなどにより検出したパケットを解析することにより、マルウェアを検出する。定点観測システム８５は、ハニーポットなどにより検出したパケットのうちから、上記のような特徴を有するパケットを抽出し、抽出されたパケットからマルウェア検体を捕捉する。マルウェア検体の捕捉では、既知のマルウェアであるか、あるいは既知のマルウェアから予測される新たなマルウェアであるかを解析する。定点観測システム８５は、上記の処理によって、探索パケットか否か判別し、探索パケットを特定する。

（ＤＤｏＳ攻撃の跳ね返りパケットの特定について）
ＤＤｏＳ攻撃の跳ね返りパケットとは、攻撃パケットの送信元ＩＰアドレスをランダムに変えながら攻撃パケットを送信すると、被攻撃側から送信元ＩＰアドレスを宛先ＩＰアドレスとして返信されたパケットのことである。

要求に応じて応答を返すプロトコルとして、ＴＣＰやＩＣＭＰ、ＩＣＭＰｖ６、ＤＮＳ、ＮＴＰなどが知られている。首謀者は、要求に応答して送信されるパケットを使って、送信元ＩＰアドレスをランダムに変えながらターゲットサイトに大量に攻撃パケットを送り付けるＤＤｏＳ(分散型サービス妨害)攻撃を実行する。その際に、攻撃されたターゲットサイトからは、要求パケットにより決定される宛先ＩＰアドレス（要求パケットの送信元ＩＰアドレス）に向けて大量の応答パケットが送信され，これらの一部が定点観測システム８５によりキャプチャされる。なお、応答パケットの送信元ＩＰアドレスは、被攻撃サイトのＩＰアドレスであり、宛先ＩＰアドレスはランダムになることが多い。応答パケットの宛先ＩＰアドレスは、受信した攻撃パケットに設定されていた送信元ＩＰアドレスにより決定されるが、ランダムなアドレスになるように詐称されている場合には、上記の通りランダムになる。

特に、ｂＭＬＢＲ１３（又はｂＭＬＢＡ１３Ａ）において上記の処理を実施することにより、他のネットワークＮＷからネットワークＮＷ１に流入するパケットのうち、送信元ＩＰアドレス又は宛先ＩＰアドレスにダークネットＤＮのアドレスが設定されたパケットを、ネットワークＮＷ１内に流入させないように遮断することができる。

また、ｂＭＬＢＲ１３（又はｂＭＬＢＡ１３Ａ）において上記の処理を実施することにより、ネットワークＮＷ１から他のネットワークＮＷに送信するパケットのうち、送信元ＩＰアドレス又は宛先ＩＰアドレスにダークネットＤＮのアドレスが設定されたパケットを、ネットワークＮＷ１から送信しないように遮断することができる。

比較例の技術では、ＤＤｏＳ攻撃やＤＤｏＳ攻撃の跳ね返りを、速やかに遮断することが困難であった。
これに対し、実施形態の通信システム１によれば、ＤＤｏＳ攻撃の跳ね返りパケットが観測され次第速やかに、跳ね返りパケットに対応するＤＲＭを生成し、これをＭＬＢＲ１０等に向けて送信することによって、ＤＤｏＳ攻撃を遮断することが可能となる。上記の跳ね返りパケットに対応するＤＲＭは、被害者ノードのＩＰアドレスを宛先ＩＰアドレスとし、ｅ−ｕＲＰＦアグリゲートモード又はルースモードとして動作するＭＬＢＲ１０等のＭＬＢテーブルの中で、定点観測システムで観測された跳ね返りパケットの宛先ＩＰアドレス（ダークネットＤＮ宛のＩＰアドレス）を含むネットワークアドレスを送信元アドレスとし、これにＬ４のポート番号やパケットタイプ、制御フラグなどの属性情報などの情報を含んで構成される。これにより、ＤＤｏＳ攻撃の跳ね返りパケットの発生を目的とするＤＤｏＳ攻撃を無効化することができ、首謀者が上記のようなＤＤｏＳ攻撃を実施する意欲を低減させることが可能になる。ひいては、踏み台となり得るＩｏＴ機器が、上記のようなＤＤｏＳ攻撃の標的になることが無くなる。

これまで、”自分を守るセキュリティ対策”を講じていながら、多くの官公庁や企業のサイトがＤＤｏＳ攻撃され、サービス不能状態に陥っている。こうした攻撃は、これまでの”自分を守るセキュリティ対策”では対処しきれないものであったと想定される。本実施形態の通信システム１であれば、上記の通り、そのようなＤＤｏＳ攻撃をも無効化することができる。

実施形態によれば、第１の実施形態と同様の効果を奏することに加え、コントローラ１３１は、アドレス空間において未使用状態にあるべきアドレス空間宛に送られたパケットを特定する特定情報に基づいて前記パケットの転送を制限することを要求する遮断要求を取得し、前記遮断要求に該当する前記パケットによる通信を、あらかじめ定められた処理ルールに基づいて制御することにより、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

（第４の実施形態）
第４の実施形態について説明する。第４の実施形態における通信システム１は、不正なパケットがネットワークＮＷ１内を転送することを規制して、ネットワークＮＷ１内の利用状況をネットワークＮＷ１外から探索やサイバー攻撃、サイバー犯罪などの不正パケットを送信することを困難にするものである。以下、その具体的な一例として、ネットワーク間に送られる不正なパケットに対して課金する通信システムについて例示する。

インターネットを構成するプロバイダは、階層構造を形成して相互接続されており、最上位のプロバイダは、世界で１７社ほどしかない。このような最上位のプロバイダは、ティア１（Tier-1）と言われている。例えば、最上位のプロバイダ間で、不正なパケットの送信を制限するように契約により取り決めることにより、互いに送信しあうパケットに混入する不正なパケット数が減少することが期待できる。最上位のプロバイダは、自身が管理するネットワークにおいて、自身が管理するネットワークと異なるネットワークに対して、不正なパケットを送信しないようにする。例えば、最上位のプロバイダは、自身が管理するネットワークが不正なパケットを送信しないように構成するか、ネットワークを利用する配下のプロバイダに不正なパケットを流入させないように指示するかの方法で、不正なパケットの他のプロバイダへの転送を制限し、不正なパケットの送信を削減する。

ＭＬＢＲ１０等を利用して、不正なパケットを送信しないようにする構成の一例を示す。例えば、前述の図１に示すネットワークＮＷ３を管理するプロバイダが最上位のプロバイダであり、ネットワークＮＷ１を管理するプロバイダが、より下位のプロバイダであるとする。

少なくとも、ネットワークＮＷ１に設けられているｂＭＬＢＲ１３のそれぞれについて、不正なパケットをネットワークＮＷ３などの他のネットワークに向けて送信しないように、第１規則から第６規則の各条件が決定される。各ｂＭＬＢＲ１３のコントローラ１３１は、その条件に対応するようにスイッチ部１３２を設定する。

上記の第１規則から第６規則の各条件に従って規制すれば、ネットワークＮＷ１からネットワークＮＷ３に流出する不正なパケットを制限することができる。例えば、ネットワークＮＷ１内からｂＭＬＢＲ１３に到達したパケットに不正なパケットが混入していたとしても、ｂＭＬＢＲ１３は、当該不正なパケットを遮断する。

上記のように不正なパケットを適切に遮断するためには、不正なパケットを検出したら速やかに、その不正なパケットを遮断できるように、上記の第１規則から第６規則の各条件を都度見直すとよい。

上記は、ネットワークＮＷ１からネットワークＮＷ３に流出する不正なパケットを制限する場合を例示したものであるが、これに対しネットワークＮＷ３からネットワークＮＷ１に流出する不正なパケットを制限することも同様の手法をネットワークＮＷ３側でとることにより実施することができる。

上記のように、互いに不正なパケットを送信しないように各プロバイダが対応することで、それぞれに流入／流出する不正なパケットが削減するが、これに対し、少なくとも一方のプロバイダがこれに対応しない場合には、上記のような状態にはならないことがある。

例えば、ネットワークＮＷ４側は、不正なパケットの流出を制限しなければ、ネットワークＮＷ１には、ネットワークＮＷ４から不正なパケットが流入することがあり得る。上記の場合、ネットワークＮＷ１を管理するプロバイダは、自身が管理するネットワークＮＷ１において発生しうる不正なパケットに対する対策を実施することに加え、ネットワークＮＷ４から流入する不正なパケットに対する対策を講じることが必要とされる。対策を要する不正なパケットの個数、発生頻度などにより、対策のための費用が変化する。つまり、ネットワークＮＷ４のような他のネットワーク側の分までネットワークＮＷ１側で対策することが必要になる。

このような状況に対し、他のネットワーク側の対策を肩代わりすることに代えて、対策に要する費用を不正なパケットを送信したプロバイダに対して請求できるように、各プロバイダ間の契約が行えるとよい。上記は、契約方法の概略を示すものであるが、例えば、流入する不正なパケットの個数、発生頻度などに応じて従量課金して、その額を不正なパケットの送信元であるプロバイダに請求できるようにするという方法を採ってもよい。

上記の課金の対象とする不正なパケットについては、例えば、下記の例に従い決定してもよい。図２８は、不正なパケットに対する課金処理の手順を示すフローチャートである。

第１の例では、不正なパケットを受信したプロバイダ側が管理するネットワークＮＷ１のｂＭＬＢＲ１３が、その不正なパケットを計数する場合を例示する。

ｂＭＬＢＲ１３のスイッチ部１３２は、上記の第１規則に該当するパケット、第２規則に反するパケット、第３規則に反するパケット、第４規則に反するパケット、第５規則に反するパケット、第６規則に該当するパケット、の一部又は全部のパケットについて、受信した物理ポート単位に、上記の規則ごとに、受信したパケットの個数とトラフィック（情報量）とを計数し計数値を得る。上記の第５規則には、パケットの送信元である送信元ノードもしくはパケットの送信元エンティティを認証するための条件、又は、上記の送信元の健全性を示すための条件などが含まれる。なお、スイッチ部１３２は、計数部の一例である。上記のパケットの個数は、不正なパケットの検出頻度に代えてもよい。以下の説明では、パケットの個数を代表して説明する。

ｂＭＬＢＲ１３のコントローラ１３１は、スイッチ部１３２によって不正なパケットを計数させる（ＳＡ１３１）。コントローラ１３１は、スイッチ部１３２による計数結果をスイッチ部１３２から取得して（ＳＡ１３２）、計数結果と規則ごとに決定されている係数との積に基づいた課金データを生成し（ＳＡ１３３）、出力する（ＳＡ１３４）。なお、上記の係数は、受信したパケットの個数や情報量によらず、単位数量当たりの値が一定であってもよく、その個数や情報量に応じて単位数量当たりの値が決定されていてもよい。例えば、係数の値が、その個数や情報量に応じて分類されており、その分類に応じた値が設定されていてもよい。なお、コントローラ１３１は、課金制御部の一例である。

第２の例では、不正なパケットを受信したプロバイダ側が管理するネットワークＮＷ１のｂＭＬＢＲ１３が、その不正なパケットを計数する場合を例示する。

ｂＭＬＢＲ１３のスイッチ部１３２は、上記の第１規則に該当するパケット、第２規則に反するパケット、第３規則に反するパケット、第４規則に反するパケット、第５規則に反するパケット（例えば、ＭＬＢＲ１０未導入のネットワークＮＷから不正に認証フラグＦ１がセットされたパケット）、第６規則に該当するパケット、の一部又は全部のパケットについて、第２規則もしくは第３規則によって決まる逆行経路単位に、上記の規則ごとに、受信したパケットの個数とトラフィック（情報量）とを計数する。なお、スイッチ部１３２は、計数部の一例である。

ｂＭＬＢＲ１３のコントローラ１３１は、スイッチ部１３２によって不正なパケットを計数させる（ＳＡ１３１）。コントローラ１３１は、スイッチ部１３２による計数結果をスイッチ部１３２から取得して（ＳＡ１３２）、計数結果と規則ごとに決定されている係数との積に基づいた課金データを生成し（ＳＡ１３３）、出力する（ＳＡ１３４）。上記の係数は、第１の例と同様の方法で決定することができる。なお、コントローラ１３１は、課金制御部の一例である。

なお、上記の何れの例によっても、すべての規則は、通信の状況により適宜更新される。

図２９と図３０は、第２規則の更新処理の手順を示すフローチャートを一例として示すものである。

例えば、図２９に示すように、ネットワークＮＷ１内の各ＭＬＢＲ１０のコントローラ（コントローラ１３１等）は、同じポリシーで運用しているネットワークＮＷ１内の他のＭＬＢＲ１０のすべて又は一部と第２規則の情報を交換して、その情報を共有する（ＳＢ１３１）。例えば、コントローラ１３１は、自ｂＭＬＢＲ１３の第２規則の情報、つまり通信許可情報を更新する（ＳＢ１３３）。

或いは、図３０に示すように、ネットワークＮＷ１内の各ＭＬＢＲ１０のコントローラ（コントローラ１３１等）は、同じポリシーで運用しているネットワークＮＷ１内の他のルータの経路情報（ルーティングテーブル）を相互に交換して共有し（ＳＣ１３２）、これに基づいて第２規則の情報を生成する（ＳＣ１３２）。例えば、コントローラ１３１は、自身の第２規則の情報を更新する。例えば、コントローラ１３１は、自ｂＭＬＢＲ１３の第２規則の情報、つまり通信許可情報を更新する（ＳＣ１３３）。

これによりＭＬＢＲ１０のコントローラ１３１は、直接的或いは間接的に第２規則を共有し、それぞれ共有した第２規則に基づいて許可する通信の逆行経路を認識して、これから外れた逆行経路のパケットの転送を制限することができる。つまり、ＭＬＢＲ１０は、第２規則として更新される情報に基づいて、許可された逆行経路と異なる逆行経路を指定する不正なパケットを識別することができ、その不正なパケットの転送を制限することが可能になる。さらに、逆行経路内の不正パケットであっても、被害ノードから廃棄要請によって第１規則に該当するパケットとして転送を制限することが可能になる。

なお、スイッチ部１３２は、第６規則に該当するパケットについては、上記の計数対象から除外してもよい。例えば、スイッチ部１３２は、第６規則に該当するパケットとして、リスクフラグＲＦがセットされているパケットについては、上記の計数対象から除外してもよい。

実施形態によれば、第１の実施形態と同様の効果を奏することに加え、ＭＬＢＲ１０において、スイッチ部１３２が、条件のうち規制条件に該当する通信のパケットの通信量と、条件のうち許可条件に反する通信のパケットの通信量とを、通信の経路毎に条件の種類に分けて計数する。コントローラ１３１は、スイッチ部１３２により計数された通信量から決定された値を出力することにより、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

さらに、実施形態によれば、上記のような処理ルールに基づいて、ネットワークＮＷ、ひいてはインターネットが運用されるように変化することにより、上記のような契約に同意しないプロバイダは、契約に同意するプロバイダに比べて、運用に係る費用が多く発生することが生じ得る。その結果、経済的な面で不利になることが推定され、実質的にインターネットを利用するプロバイダとしての運営が困難になる場合があり得る。つまり、運営を継続できるプロバイダは、上記の契約に基づいて相互接続したプロバイダに自然的に集約される。上記のような段階になれば、各プロバイダは不正なパケットを流出しないよう留意するプロバイダだけになり、インターネット全体のセキュリティレベルが格段に向上することが期待される。

以上説明した少なくともひとつの実施形態によれば、通信制御装置は、それぞれが自律システムとして機能する自ネットワークと自ネットワークと異なる他ネットワークとを介した通信を制御する通信制御装置である。通信制御装置は、少なくとも前記自ネットワークと前記他ネットワークとの間の通信を制限するための規制条件と、少なくとも前記自ネットワーク内の通信を許可するための許可条件とを含む複数種類の条件に基づいて、前記許可条件を満たす通信による要請に基づいて前記規制条件を設定し、前記規制条件に該当する通信と前記許可条件に反する通信の一方又は両方を制限することにより、広域ネットワーク側のネットワークセキュリティのセキュリティレベルをより簡易な方法で高めることができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

例えば、上記の実施形態の説明では、ＭＬＢＲ１０等のスイッチ部が攻撃パケットを“廃棄する”こととして説明したが、ＭＬＢＲ１０等は、当該パケットを、各スイッチ部内で廃棄せずに、特定のポートから外部記憶装置に出力して格納させ、同装置内で各規則に反する又は該当するパケットを計数させてもよい。

また、上記の実施形態の説明では、ＩＰｖ４プライベートアドレスを用いたが、本発明は、これに限定するものではなく、ＩＰｖ４のプライベートＩＰアドレスとグローバルＩＰアドレスとで通信許可情報を構成してもよく、あるいはＩＰｖ４のグローバルＩＰアドレスで通信許可情報を構成してもよく、あるいはＩＰｖ６アドレスで通信許可情報を構成してもよく、さらにレイヤ２アドレス（ＭＡＣアドレス）で通信許可情報を構成してもよい。

なお、上記の実施形態の説明では、端末装置１７がＩＤＳ／ＩＰＳを備えるものとして説明したが、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２がＩＤＳ／ＩＰＳを備えるように構成してもよい。この場合、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２は、端末装置１７のＩＤＳ／ＩＰＳに代えて、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２が備えるＩＤＳ／ＩＰＳの検出結果を取得するように構成する。

１、２、３、４…通信システム、１０…ＭＬＢＲ（通信制御装置）、１１…ｅＭＬＢＲ、１１Ｂ…ｅＲ、１２…ｉＭＬＢＲ、１２Ｂ…ｉＲ、１３…ｂＭＬＢＲ、１３Ａ…ｂＭＬＢＡ（通信制御装置）、１３Ｂ…ｂＲ、１４…中継装置、１５…管理ホスト、１７…端末装置、１８…データ端末、１１１、１２１、１３１、１３１Ａ…コントローラ（制御部、課金制御部）、１１２、１２２、１３２、１３２Ａ…スイッチ部（計数部）、１１３、１１４…ＩＦ部、１１５…記憶部、ＮＷ、ＮＷ１、ＮＷ３、ＮＷ４、ＮＷ６…ネットワーク

Claims (2)

1. 通信事業者が独立して管理運用している自ネットワークと、他の通信事業者が独立して管理運用している一つ又は複数の他ネットワークとの境界に配備されている境界ルータの前記他ネットワーク寄り前段に付加される通信制御装置であって、
   前記他ネットワークからのパケットの前記境界ルータへの転送を制限する制限条件を定めた第１規則を用いて、前記通信制御装置が受信した前記他ネットワークからのパケットのうち前記第１規則に該当するパケットの前記境界ルータへの転送を制限し、
   パケットの送信元への経路である逆行経路を示す逆行経路情報を含む第２規則を用いて、前記第１規則に該当しないパケットのうち、前記他ネットワークからのパケットの送信元ＩＰアドレスが前記第２規則の逆行経路情報に含まれる第１パケットを特定して、前記特定した前記第１パケットを前記境界ルータに転送し、
   前記他ネットワークからのパケットの送信元ＩＰアドレスが前記第２規則の逆行経路情報に含まれない第２パケットの前記境界ルータへの転送を制限することで、前記第１パケットを前記逆行経路のアドレス空間内に制限する転送部と、
   被害端末装置、又は、所定の認定機関、又は、他の通信制御装置からの要求パケットについて、
   前記要求パケットに付加された検証コードを用いて前記要求パケットの送信元の真正性と前記要求パケットに含まれる第１制限要求の完全性を検証し、前記検証に成功した後、前記第１制限要求に基づいて、前記第１規則の前記制限条件を更新し、
   前記第１制限要求に基づく第２制限要求を含む要求パケットを生成し、前記通信制御装置の真正性と前記第２制限要求の完全性を検証するための第２検証コードを付加した一つ又は複数からなる要求パケットを生成し、攻撃元への経路に向けて送出する制御部と
   を備える通信制御装置。
2. 通信事業者が独立して管理運用している自ネットワークと、他の通信事業者が独立して管理運用している一つ又は複数の他ネットワークとの間で転送されるパケットに関する課金方法であって、
   パケットの送信元への経路である逆行経路を示す逆行経路情報を含む第２規則を用いて、前記他ネットワークからのパケットの送信元ＩＰアドレスが前記第２規則の逆行経路情報に含まれないパケットの通信量を、前記他の通信事業者毎に計数し、
   計数結果と、前記第２規則ごとに決定されている係数との積に基づいて前記他の通信事業者毎の課金データを生成する、
   課金方法。

Images