JP7067796B2 - パケット転送装置、パケット転送方法、及びパケット転送プログラム - Google Patents

Description

本発明は、パケット転送装置、パケット転送方法、及びパケット転送プログラムに関し、特に通信パケットのスキャンを行う技術に関する。

セキュリティを確保するため、ネットワーク上の通信パケットをスキャンする場合がある。ＤＰＩ（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）は、通信パケットをスキャンする技術の一つであり、通信パケットのヘッダ部だけではなくデータ部をも検査することを特徴とする。ＤＰＩは、動作コストが大きいため、通信の遅延を引き起こす場合がある。したがって、スキャンの種類・レベルを適切に設定する必要がある。

特許文献１は、通信パケットに対して、送信元の端末ごとに異なる種類のスキャンを適用する技術を開示している。１台のセキュリティ機器に複数の通信端末が接続されている場合であっても、セキュリティ機器の仮想化技術により異なる種類のスキャンに対応することが可能となる。

特開２０１６－１８７０９４号公報

上記のように通信の遅延を防ぐために、通信パケットのスキャンを適切に設定する必要がある。しかし、関連する技術においては、通信端末の動作状況に応じてスキャン動作を動的に制御することは行うことはできないという問題があった。

本開示は上記課題を解決するためにされたものであって、通信装置の動作状況に応じてスキャン動作を動的に制御できるパケット転送装置、パケット転送方法、及びパケット転送プログラムを提供することを目的とする。

本開示にかかるパケット転送装置は、通信装置の状態に関する装置情報を取得し、前記装置情報に基づいて前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得するポリシー取得手段と、前記ポリシーを適用し、前記通信パケットのスキャンを行う検知手段と、を備えるものである。

本開示にかかるパケット転送方法は、通信装置の状態に関する装置情報を取得し、前記装置情報に基づいて、前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得し、前記ポリシーに基づいて、前記通信パケットのスキャンを行う、ものである。

本開示にかかるパケット転送プログラムは、通信装置の状態に関する装置情報を取得し、前記装置情報に基づいて、前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを設定し、前記ポリシーに基づいて、前記通信パケットのスキャンを行う、処理をコンピュータに対して実行させる、ものである。

本開示によれば、通信装置の状況に応じてスキャン動作を動的に変更できるパケット転送装置、パケット転送方法、及びパケット転送プログラムを提供することを提供することができる。

実施の形態１にかかるパケット転送装置を含む通信システムの構成例を示す構成図である。 実施の形態１にかかるパケット転送装置の構成を示す構成図である。 実施の形態２にかかるパケット転送装置を含む通信システムの構成例を示す構成図である。 実施の形態２にかかるパケット転送装置の構成を示す構成図である。 実施の形態２において用いられる端末情報オブジェクトの例を示す概略図である。 実施の形態２において用いられるデバイス別ポリシーの例を示す表である。 実施の形態２において用いられるポリシーテーブルの例を示す表である。 実施の形態２にかかるパケット転送装置の動作を示すシーケンス図である。 実施の形態２の変形例におけるパケット転送装置の動作を示すシーケンス図である。 パケット転送装置のハードウェア構成例を示す構成図である。

以下、図面を参照して実施の形態について説明する。各図面においては、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略される。

＜実施の形態１＞
図１は、本実施の形態にかかるパケット転送装置１００を含む通信システム２００の構成例を示す構成図である。通信システム２００は、パケット転送装置１００、通信装置５Ａ、５Ｂ、および、他の通信装置２０を備える。通信装置５Ａ、５Ｂは、パケット転送装置１００を介して、他の通信装置２０と通信する。

図２は、本実施の形態にかかるパケット転送装置１００の構成を示す構成図である。パケット転送装置１００は、ポリシー取得部１０１および検知部１０２を備える。

ポリシー取得部１０１は、通信装置５Ａ、５Ｂの状態に関する装置情報を取得する。通信装置の状態に関する装置情報とは、例えば、通信装置５Ａ、５Ｂの通信量、稼動状況、ユーザー情報、アプリケーション情報、ＯＳ名である。ポリシー取得部は、さらに、ＩＰアドレス、ＭＡＣアドレスを取得してもよい。

稼動状況は、例えば、通信装置５Ａ、５ＢのＣＰＵ使用率やメモリ使用率に基づいて定められる稼働率である。ユーザー情報は、通信装置５Ａ、５Ｂを利用しているユーザーに関する情報である。ユーザー情報は、例えば、役職、システム管理者であるか否か等を示す。アプリケーション情報は、通信装置５Ａ、５Ｂで使用されているアプリケーションに関する情報である。ＯＳ名は、通信装置５Ａ、５ＢにインストールされているＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の名称である。

ポリシー取得部１０１は、通信装置５Ａ、５Ｂと通信することにより装置情報を取得してもよい。例えば、ポリシー取得部１０１は、稼動状況やアプリケーション情報を、通信装置５Ａ、５Ｂから受信してもよい。

ポリシー取得部１０１は、通信装置５Ａ、５Ｂの通信をモニタすることにより装置情報を取得してもよい。例えば、ポリシー取得部１０１は、通信パケットのヘッダ情報から、ＯＳ名を取得してもよい。例えば、ポリシー取得部１０１は、通信装置５Ａの通信をモニタすることにより通信装置５Ａの通信量を取得してもよい。

ポリシー取得部１０１は、通信装置の状態に関する装置情報に基づいて、通信装置５Ａ、５Ｂと他の通信装置２０との間の通信パケットのスキャンに適用されるポリシーを取得する。ポリシー取得部１０１は、検出パターン等が表形式で保存されたデータを参照し、必要な情報を抽出することによりポリシーを取得してもよい。

ポリシーは、ＤＰＩ機能等によるスキャンに使用される情報であり、スキャンの対象、検出パターン等が定義される。ポリシーは、ＯＳごとに異なる種類が設定されてもよい。

なお、スキャンとは、通信パケットに検出パターンが含まれるか否かを調査することである。パケット転送装置１００は、通信パケットに検出パターンが含まれているか否かにより、通信パケットを通過させるか否かの判定を行う。パケット転送装置は、判定結果に基づいて、通信パケットを転送あるいは破棄する処理を行う。

ポリシーは、ホワイトリストを含んでもよい。ホワイトリストは、スキャンを行わない対象を表す。ホワイトリストでは、例えば、アプリケーションが指定される。通信装置５Ａの特定のアプリケーションが行う通信については、スキャンを行わないという場合に利用される。

ポリシーは、スキャンレベルに基づいて設定されてもよい。スキャンレベルは、スキャン対象となる検出パターンの量を示す指標である。スキャンレベルは、例えば、１から３までの数値である。例えば、レベルが１、つまりスキャンレベルが低い場合はスキャンを行わず、レベルが３、つまりスキャンレベルが高い場合は想定される全ての脅威に対応したスキャンを行う。かかる場合、レベルが２の場合は、出現頻度の高い脅威に対してのみスキャンを行うことが考えられる。

ポリシー取得部１０１は、通信装置の状態に関する装置情報に基づいてポリシーを取得する。通信装置５Ａ、５Ｂの通信量が多い場合には通信不能となる可能性があることから、スキャンレベルを低くすることが考えられる。通信装置５Ａ、５Ｂの稼動率が低い場合には、危険な動作をしている可能性は低いと考えてレベルを低くすることが考えられる。ポリシー取得部１０１は、ユーザーごとに異なるスキャンレベルに基づいて、ポリシーを取得してもよい。ポリシー取得部１０１は、現在使用されているアプリケーションをホワイトリストに設定してもよい。また、ＯＳごとに異なる種類のポリシーが設定されてもよい。

検知部１０２は、ポリシー取得部１０１が取得したポリシーに基づいて、通信パケットのスキャンを行う。すなわち、検知部１０２は、通信パケットの送信元あるいは送信先となる通信装置５Ａ、５Ｂを識別し、識別した通信装置５Ａ、５Ｂに対応するポリシーにしたがって通信パケットをスキャンする。検知部１０２は、ＤＰＩ機能によるスキャンを行っても良い。ＤＰＩは、通信パケットのヘッダ部だけでなくデータ部をも検査する検査方法である。

本実施の形態によると、パケット転送装置は、通信装置の状態に基づいて生成されたポリシーにしたがってスキャンを行うことができる。したがって、パケット転送装置は、通信装置の状態に基づいて動的にスキャン動作を制御することが可能となる。

＜実施の形態２＞
図３は、本実施の形態にかかるパケット転送装置１００を含む通信システム２００の構成例を示す構成図である。通信システム２００は、パケット転送装置１００、クライアント端末１１１Ａ、１１１Ｂ、及び、ウェブサーバ１２２を備える。クライアント端末１１１Ａ、１１１Ｂは、ＬＡＮ１１３に属している。ＬＡＮ１１３は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）である。ウェブサーバ１２２は、インターネット１２１上のウェブサーバである。

パケット転送装置１００は、ＬＡＮインタフェース１０５及びＷＡＮインタフェース１０４を備えている。ＷＡＮインタフェース１０４は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）とのインタフェースである。パケット転送装置１００は、ＬＡＮインタフェース１０５を介して、ＬＡＮ１１３上のクライアント端末１１１Ａ、１１１Ｂと接続される。パケット転送装置１００は、ＷＡＮインタフェース１０４を介して、インターネット１２１上のウェブサーバ１２２と接続される。すなわち、クライアント端末１１１Ａ、１１１Ｂとウェブサーバ１２２との通信は、ＬＡＮインタフェース１０５、後述するルーティング部１０３を経由し、ＷＡＮインタフェース１０４に転送され、インターネット１２１を通して行われる。

図４は、本実施の形態にかかるパケット転送装置１００の構成を示す構成図である。パケット転送装置１００は、ＬＡＮインタフェース１０５、ＷＡＮインタフェース１０４、ルーティング部１０３、ポリシー取得部１０１、ポリシーテーブル記憶部１０７、及び、ＤＰＩモジュール１０６を備える。

ＬＡＮインタフェース１０５は、ＬＡＮとのインタフェースである。ＷＡＮインタフェース１０４は、ＷＡＮとのインタフェースである。ＬＡＮインタフェース１０５とＷＡＮインタフェース１０４とは、ルーティング部１０３を介して相互に接続される。

ルーティング部１０３は、フロー管理モジュール１４１を備える。フロー管理モジュール１４１は、ポリシー取得部１０１とＤＰＩモジュール１０６に接続する。フロー管理モジュール１４１の動作については、後述する。

ポリシー取得部１０１は、後述する端末情報オブジェクト３０１とデバイス別ポリシー４０１を作成・管理する。

図５は、端末情報オブジェクト３０１の例を示す概略図である。端末情報オブジェクト３０１は、端末名３１１によって個別のオブジェクトとして識別され、３２１－３４１のｋｅｙ値を持つ。現在の状態３２１は、クライアント端末１１１Ａ、１１１Ｂの稼動状態を表す。例えば、クライアント端末１１１Ａ、１１１Ｂの稼動率が高い場合にＡｃｔｉｖｅ、端末の稼動率が低い場合にＩｎａｃｔｉｖｅと設定される。

ＯＳ名３２２は、クライアント端末１１１Ａ、１１１ＢにインストールされたＯＳの名前を表す。ＩＰアドレス３２３及びＭＡＣアドレス３２４は、それぞれクライアント端末１１１Ａ、１１１Ｂの持つＩＰアドレス及びＭＡＣアドレスをあらわす。

ユーザー定義情報３２６は、ユーザーにより自由に定義できる値であり、レベル３３１とホワイトリスト３３２の要素を備える。レベル３３１は、端末に適用されるセキュリティの強度を示し、例えば１から５までの数値で表される。数が大きい場合、適用されるセキュリティの強度は高い。ホワイトリスト３３２は、この端末の通信においてスキャンされないものを示し、アプリケーション３４１など複数の対象を設定することができる。パケット転送装置１００は、ユーザー定義情報３２６をＭＡＣアドレス等と関連付けて記憶していてもよい。

通信量３２５は、クライアント端末１１１Ａ、１１１Ｂの通信量である。通信量３２５は、クライアント端末１１１Ａ、１１１Ｂの通信量とパケット転送装置１００が処理可能なクライアント端末１１１Ａ、１１１Ｂの１台あたりの通信量とを比較することによって定められてもよい。

図６は、デバイス別ポリシー４０１の例を示す概略図である。デバイス別ポリシー４０１は、端末４１１、ＩＰアドレス４１２、ＭＡＣアドレス４１３、適用ポリシー４１４から構成される。ＩＰアドレス４１２、ＭＡＣアドレス４１３は、端末情報オブジェクト３０１と関連付けられる。端末４１１は、クライアント端末１１１Ａ、１１１Ｂを識別する情報である。

適用ポリシー４１４は、端末４１１が行う通信に対して適用されるポリシーである。ポリシーとは、スキャン機能が用いる情報である。ポリシーには、活用されるスキャン機能によりスキャンの対象となるトラフィック、利用されるパーサ、スキャンレベルが定義される。また、ポリシーには、誤検知の可能性のあるものを含むか否か、一部のＯＳへの攻撃パターンを含むか否か等の検出パターンが定義される。ポリシーは２つの数字の組合せで表され、１番目の数字がレベルを表し、２番目の数字がスキャンの種類を表す。図６の端末４１１Ａが送信したパケットは、“１１”および“１５”のポリシーに基づいてスキャンが行われる。このように、１つの端末に対して、２つのポリシーが適用される場合がある。

ポリシー取得部１０１は、フロー管理モジュール１４１、ＤＰＩモジュール１０６、及び、ポリシーテーブル記憶部１０７と接続される。

ポリシーテーブル記憶部１０７は、後述するポリシーテーブル５０１を記憶する。ポリシーテーブル５０１は、以下に説明するようにＬｅｖｅｌ５１１およびＴｙｐｅ５１２によりポリシーを定めるテーブルである。

図７は、ポリシーテーブル５０１の概要を示す概略図である。ポリシーテーブル５０１は、Ｌｅｖｅｌ５１１とＴｙｐｅ５１２とから構成される。また、ポリシーテーブル５０１は、Ｌｅｖｅｌ５１１とＴｙｐｅ５１２との組合せにより一意に定まるポリシーを備える。Ｌｅｖｅｌ５１１が１でＴｙｐｅ５１２が５の場合、ポリシーを“１５”と表す。Ｌｅｖｅｌ５１１が１でＴｙｐｅ５１２が１の場合、ポリシーは“１１”と表す。

Ｌｅｖｅｌ５１１が高い値であるほど、スキャンレベルが高いポリシーが設定される。Ｔｙｐｅ５１２は、スキャンの種類を表す。例えば、ＯＳの種類の違いにより、想定される攻撃パターンが異なることから、スキャンの対象となる検出パターンは異なる。また、ネットワークの利用パターンにより異なる種類のスキャンが適用される場合がある。すなわち、ネットワークの利用パターンやＯＳの種別に応じて異なる種類のＴｙｐｅ５１２が設定され、異なる種類のポリシーが適用されることとなる。

ＤＰＩモジュール１０６は、クライアント識別機能１３１および検知部１０２を備える。ＤＰＩモジュール１０６及び検知部１０２の動作については、後述する。

図８は、本実施の形態にかかるパケット転送装置１００の動作を示すシーケンス図である。クライアント端末１１１からのトラフィックは、パケット転送装置１００内のフロー管理モジュール１４１に送られる（ステップＳ２２１）。フロー管理モジュール１４１は、セッション情報を保持したまま（ステップＳ２０１）、パケットデータをＤＰＩモジュール１０６に転送する（ステップＳ２２２）。セッション情報とは、クライアント端末１１１とウェブサーバ１２２とが行う通信セッションに関する情報である。

ＤＰＩモジュール１０６は、パケットデータをクライアント識別機能１３１で識別し、クライアント情報を判定する（ステップＳ２０２）。装置情報、ＩＰアドレス３２３及びＭＡＣアドレス３２４は、ポリシー取得部１０１に送られる（ステップＳ２２３）。装置情報には、ＯＳ名３２２、通信量３２５が含まれる。

ポリシー取得部１０１は、ＩＰアドレス３２３、ＭＡＣアドレス３２４から、デバイス別ポリシー４０１のなかに一致するものがあるか検索する（ステップＳ２０３）。一致する端末がある場合、ポリシー取得部１０１は、登録されたポリシーをＤＰＩモジュール１０６に送信する（ステップＳ２２６）。

一致する端末がない場合、ポリシー取得部１０１は、端末情報オブジェクト３０１を作成する（ステップＳ２０４）。ポリシー取得部１０１は、装置情報、ＩＰアドレス、ＭＡＣアドレスおよびユーザー定義情報３２６を組合せて端末情報オブジェクト３０１を作成する。ユーザー定義情報３２６は、ＭＡＣアドレスと関連付けた形式で記憶されており、ポリシー取得部１０１は、ＭＡＣアドレスに基づいてユーザー定義情報３２６を取得可能である。

ポリシー取得部１０１は、ポリシーテーブル記憶部１０７の情報を参照する（ステップＳ２２４）。ポリシーテーブル記憶部１０７は、テーブルの内容を返信する（ステップＳ２２５）。

ポリシー取得部１０１は、このテーブルの範囲で、オブジェクトの値から、主に、ユーザー定義情報３２６、現在の状態３２１、または、通信量３２５等に応じて、Ｌｅｖｅｌ５１１を決定する。ポリシー取得部１０１は、主に、ＯＳ名３２２、ＭＡＣアドレス３２４から判断される端末の種類に応じてＴｙｐｅ５１２を決定する。ポリシー取得部１０１は、Ｌｅｖｅｌ５１１及びＴｙｐｅ５１２に基づいて、最適なポリシーを決定する（ステップＳ２０５）。最適なポリシーとは、適用ポリシー４１４である。ポリシー取得部１０１は、デバイス別ポリシー４０１に適用ポリシー４１４を登録する（ステップＳ２０６）。

ポリシー取得部１０１は、ＤＰＩモジュール１０６から送られてきたクライアント情報に対応するポリシーをＤＰＩモジュール１０６へ送信する（ステップＳ２２６）。ＤＰＩモジュール１０６は、このポリシーに沿って検知部１０２によりパケットデータをスキャンし（ステップＳ２０７）、トラフィックの通過判定をフロー管理モジュール１４１へ送信する（ステップＳ２２７）。トラフィックの通過判定は、スキャン結果に基づいて定められる。

フロー管理モジュール１４１は、判定に基づき、トラフィックをブロックし、あるいは通過させる処理を行う。トラフィックをブロックする場合、フロー管理モジュール１４１は、通信終了通知をクライアント端末１１１に送信し（ステップＳ２２８）、セッション情報を破棄する（ステップＳ２０８）。トラフィックをブロックしない場合、フロー管理モジュールは、トラフィックをウェブサーバ１２２へ転送する（ステップＳ２２９）。

以下、本実施の形態の効果について説明する。関連する技術においては、ネットワーク品質の課題と運用上の課題とが存在していた。

まず、ネットワーク品質の課題について説明する。ＤＰＩ機能は、一般的にＣＰＵやメモリへの負荷が大きい。したがって、ネットワーク上の全てのトラフィックをスキャンし安全性の検証を行うことは、Ｌａｔｅｎｃｙ（待ち時間）の増加等によりネットワーク品質を低下させる。これを回避するためには、通信の一部のみをスキャンする方法、安全なサイトを識別しスキャン対象から外す方法（ホワイトリスト方式）が考えられる。しかし、前者は安全面の問題があり、後者は対策が一部のトラフィックにしか有効ではないという問題がある。

次に運用上の課題について、説明する。ＤＰＩ機能は、トラフィック情報のみから判定を行うため、ユーザーの意図した操作を誤検知してしまう擬陽性の問題が現れやすい。例えば、悪意ある第３者が行うパスワードクラックの辞書攻撃によるログインの試行と、ユーザーが行う脆弱なパスワードを使用したホストへのログインの操作とは、ホストの利用者からは明らかな区別ができるが、トラフィック情報からは区別が付かないことがある。

本実施の形態は、ネットワーク上のトラフィックをＤＰＩモジュールによりスキャンする際に、対象のホストの情報や現在の稼動状況を参照し、スキャン動作を動的に変更・制御することで最適なスキャンを行うことを特徴とする。本実施の形態では、ホスト端末の種類、稼動状況、運用状態をＤＰＩモジュールに通知することでパケット転送装置がホスト端末の状態に応じて最適なＤＰＩ機能を実行する。

本実施の形態によれば、クライアントの種類・稼動状況に応じて、必要なポリシーをポリシー取得部１０１が算出することができる。算出されたポリシーを適用することで、速度・効果の両面で高いスキャン効率を得ることが可能となる。

本実施の形態によれば、不必要なスキャン動作を減らすことで誤検知の可能性をへらすことが可能となる。スキャンレベルが高い場合には誤検知の可能性があるパターンに対してもスキャンを行うこととなるが、本実施の形態によりスキャンレベルを下げることができるからである。

変形例１
本変形例では、クライアント端末１１１が、トラフィック（パケット）とは別に、現在のユーザー情報を自発的にポリシー取得部１０１に送信する。ポリシー取得部１０１が最適なポリシーを決定するための情報を増やすことで、より適したポリシーを適用することが可能となる。ユーザー情報とは、利用者個人を特定するＩＤ情報である。クライアント端末１１１は、さらに、ＩＰアドレス、ＭＡＣアドレス等を送信してもよい。ＩＤ情報は、例えば、役職等であり、ポリシーを定めるために用いられる。

図９は、本変形例の動作を示すシーケンス図である。クライアント端末１１１は、ユーザー情報をポリシー取得部１０１に送信する（ステップＳ６２１）。ポリシー取得部１０１は、デバイス別ポリシー４０１に一致するものがあるか検索を行う（ステップＳ６０１）。一致するものがある場合、ポリシー取得部１０１は、ユーザー情報を読み取り、端末情報オブジェクト３０１を更新する（ステップＳ６０２）。一致するものがない場合、ポリシー取得部１０１は、ユーザー情報をもとに端末情報オブジェクト３０１を作成する（ステップＳ６０３）。

端末情報オブジェクト３０１の作成あるいは更新後、ポリシー取得部１０１は、ステップＳ２２４と同様にポリシーテーブル記憶部１０７を参照する（ステップＳ６２２）。ポリシー取得部１０１は、ステップＳ２２５と同様にポリシーテーブル記憶部１０７の内容を受信した後（ステップＳ６２３）、ステップＳ２０５と同様にオブジェクトに最適なポリシーを決定し（ステップＳ６０４）、ステップＳ２０６と同様にデバイス別ポリシーを更新する（ステップＳ６０５）。

変形例２
本変形例では、変形例１で送信する情報に、利用しているアプリケーション、アクティブなウィンドウ情報、プロセス情報などの運用状態、稼動状態を含める。ポリシー取得部１０１は、ユーザーの意図する作業をブロックしないようにポリシーを選定することが可能となる。例えば、ポリシー取得部１０１は、アプリケーションをホワイトリストに設定したポリシーを取得してもよい。

変形例３
本変形例では、ポリシー取得部１０１が、ネットワーク上の装置に対する脆弱性調査を行う。脆弱性調査とは、対象とするシステムのセキュリティホール等の脆弱性を発見することであり、例えば、ポートスキャンである。ポリシー取得部１０１は、調査結果を考慮してポリシーを選定する。すなわち、ポリシー取得部１０１は、装置に対するリスクの高い攻撃への対策を優先するポリシーを取得する。例えば、脆弱性のあるＴｙｐｅに対してＬｅｖｅｌの高いポリシーを取得することや、脆弱性のある端末に対してＬｅｖｅｌの高いポリシーを取得することが考えられる。

変形例４
本変形例では、ポリシー取得部１０１は、ネットワーク内の端末情報を複合的に分析し、ネットワーク全体に対して適したポリシーを適用する。例えば、ポリシー取得部１０１は、ネットワーク内の全てのＯＳをリストアップし、ネットワーク上に存在しないＯＳに対する攻撃パターンに対するスキャンを除外するポリシーを生成する。つまり、ポリシー取得部１０１は、通信装置が接続されたネットワーク上の全ての通信装置から装置情報を取得し、ネットワーク上の通信装置に対して想定されない脅威に対するスキャンを行わないようにポリシーを取得する。想定されない脅威とは、例えば、全ての通信装置で使用されていない通信方法に関する検出パターン等である。

変形例５
本変形例では、ポリシー取得部１０１は、デバイス別ポリシー４０１に生存時間（ＴＴＬ：Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）の情報を列として追加する。デバイス別ポリシー４０１の各行は、ＴＴＬに設定された値が経過するとタイムアウトにより消去される。したがって、その次に通信を行う際には、ポリシーが再度設定されることとなり、定期的にポリシーが最適化されることとなる。

＜ハードウェアの構成例＞
次に、ハードウェアの構成例について述べる。
図１０は、パケット転送装置１００を実現するためのハードウェアを例示する図である。パケット転送装置１００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０４０などを互いに接続する方法は、バス接続に限定されない。プロセッサ１０４０は、CPU(Central Processing Unit)、GPU（Graphics Processing Unit）、又はFPGA（Field-Programmable Gate Array）などの種々のプロセッサである。メモリ１０６０は、RAM（Random Access Memory）などを用いて実現される主記憶装置である。ストレージデバイス１０８０は、ハードディスク、SSD（Solid State Drive）、メモリカード、又は ROM（Read Only Memory）などを用いて実現される補助記憶装置である。

ネットワークインタフェース１１２０は、パケット転送装置１００をネットワーク１３００に接続するためのインタフェースである。このネットワークは、例えば LAN（Local Area Network）や WAN（Wide Area Network）である。ネットワークインタフェース１１２０がネットワークに接続する方法は、無線接続であってもよいし、有線接続であってもよい。

ストレージデバイス１０８０は、パケット転送装置１００の各手段を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、各プログラムモジュールに対応する機能を実現する。

ＤＰＩ機能は、動作コストが非常に大きいため、Ｌａｔｅｎｃｙ（待ち時間）の発生やスループットの低下によるネットワーク品質の低下が起きやすい。

ネットワーク内に異なる種類のデバイスが多数存在するため、デバイスによっては無効な攻撃パターンに対しても攻撃がないか確かめる動作を想定しているという実態がある。この結果、動作コストが無駄に消費され、さらに、検知しなくてもよいパターンを検知（誤検知）していることが考えられる。

したがって、最適なポリシーで不必要なスキャンを取り除くことで、この動作コストを適切に管理し、誤検知の可能性を減らすことができる。

本実施の形態は、中小規模の企業ネットワーク内でネットワークトラフィックへのセキュリティ対策をする際に利用することができる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
通信装置の状態に関する装置情報を取得し、前記装置情報に基づいて前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得するポリシー取得手段と、
前記ポリシーを適用し、前記通信パケットのスキャンを行う検知手段と、
を備える、パケット転送装置。

（付記２）
前記ポリシー取得手段は、前記装置情報を前記通信装置から受信する、付記１に記載のパケット転送装置。

（付記３）
前記ポリシー取得手段は、前記通信装置の通信量を前記装置情報として取得し、前記通信量が多い場合にスキャンレベルが低くなるように前記ポリシーを取得する、付記１または２のいずれか１項に記載のパケット転送装置。

（付記４）
前記ポリシー取得手段は、前記通信装置の稼動率を前記装置情報として取得し、前記稼動率が低い場合にスキャンレベルが低くなるように前記ポリシーを取得する、付記１から３のいずれか１項に記載のパケット転送装置。

（付記５）
前記ポリシー取得手段は、前記通信装置で使用されているアプリケーションに関する情報を取得し、前記アプリケーションの動作を妨げないように前記ポリシーを取得する、付記１から４のいずれか１項に記載のパケット転送装置。

（付記６）
前記ポリシー取得手段は、前記通信装置の脆弱性調査を行い、前記脆弱性調査の結果に基づいて前記ポリシーを取得する、付記１から５のいずれか１項に記載のパケット転送装置。

（付記７）
前記ポリシー取得手段は、前記通信装置が接続されたネットワーク上の全ての通信装置から前記装置情報を取得し、前記ネットワーク上の通信装置に対して想定されない脅威に対するスキャンを行わないように前記ポリシーを取得する、付記１から６のいずれか１項に記載のパケット転送装置。

（付記８）
前記ポリシー取得手段は、前記ポリシーに生存時間を設定する、付記１から７のいずれか１項に記載のパケット転送装置。

（付記９）
通信装置の状態に関する装置情報を取得し、
前記装置情報に基づいて、前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得し、
前記ポリシーに基づいて、前記通信パケットのスキャンを行う、
パケット転送方法。

（付記１０）
前記装置情報を前記通信装置から受信する、付記９に記載のパケット転送方法。

（付記１１）
前記通信装置の通信量を前記装置情報として取得し、前記通信量が多い場合にスキャンレベルが低くなるように前記ポリシーを取得する、付記９または１０のいずれか１項に記載のパケット転送方法。

（付記１２）
前記通信装置の稼動率を前記装置情報として取得し、前記稼動率が低い場合にスキャンレベルが低くなるように前記ポリシーを取得する、付記９から１１のいずれか１項に記載のパケット転送方法。

（付記１３）
前記通信装置で使用されているアプリケーションに関する情報を取得し、前記アプリケーションの動作を妨げないように前記ポリシーを取得する、付記９から１２のいずれか１項に記載のパケット転送方法。

（付記１４）
前記通信装置の脆弱性調査を行い、前記脆弱性調査の結果に基づいて前記ポリシーを取得する、付記９から１３のいずれか１項に記載のパケット転送方法。

（付記１５）
前記通信装置が接続されたネットワーク上の全ての通信装置から前記装置情報を取得し、前記ネットワーク上の通信装置に対して想定されない脅威に対するスキャンを行わないように前記ポリシーを取得する、付記９から１４のいずれか１項に記載のパケット転送方法。

（付記１６）
前記ポリシーに生存時間を設定する、付記９から１４のいずれか１項に記載のパケット転送方法。

（付記１７）
通信装置に関する装置情報を取得し、
前記装置情報に基づいて、前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得し、
前記ポリシーに基づいて、前記通信パケットのスキャンを行う、処理をコンピュータに対して実行させる、
パケット転送プログラム。

５、５Ａ、５Ｂ 通信装置
１０、１０Ａ、１０Ｂ 通信端末
２０ 他の通信装置
１００ パケット転送装置
１０１ ポリシー取得部
１０２ 検知部
１０３ ルーティング部
１０４ ＷＡＮインタフェース
１０５ ＬＡＮインタフェース
１０６ ＤＰＩモジュール
１０７ ポリシーテーブル記憶部
１１１、１１１Ａ、１１１Ｂ クライアント端末
１１３ ＬＡＮ
１２１ インターネット
１２２ ウェブサーバ
２００ 通信システム
３０１ 端末情報オブジェクト
３１１ 端末名
３２１ 現在の状態
３２２ ＯＳ名
３２３、４１２ ＩＰアドレス
３２４、４１３ ＭＡＣアドレス
３２５ 通信量
３２６ ユーザー定義情報
３３１ レベル
３３２ ホワイトリスト
３４１ アプリケーション
４０１ デバイス別ポリシー
４１１、４１１Ａ、４１１Ｂ 端末
４１４ 適用ポリシー
５０１ ポリシーテーブル
５１１ Ｌｅｖｅｌ
５１２ Ｔｙｐｅ

Claims (9)

1. 通信装置の状態に関する装置情報を取得し、前記装置情報に基づいて前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得するポリシー取得手段と、
   前記ポリシーを適用し、前記通信パケットのスキャンを行う検知手段と、
   を備え、
   前記ポリシー取得手段は、前記通信装置の稼動率を前記装置情報として取得し、前記稼動率が低い場合にスキャンレベルが低くなるように前記ポリシーを取得する、
   パケット転送装置。
2. 前記ポリシー取得手段は、前記装置情報を前記通信装置から受信する、請求項１に記載のパケット転送装置。
3. 前記ポリシー取得手段は、前記通信装置の通信量を前記装置情報として取得し、前記通信量が多い場合にスキャンレベルが低くなるように前記ポリシーを取得する、請求項１または２のいずれか１項に記載のパケット転送装置。
4. 前記ポリシー取得手段は、前記通信装置で使用されているアプリケーションに関する情報を取得し、前記アプリケーションのスキャンを行わないように前記ポリシーを取得する、請求項１から３のいずれか１項に記載のパケット転送装置。
5. 前記ポリシー取得手段は、前記通信装置の脆弱性調査を行い、前記脆弱性調査の結果に基づいて前記ポリシーを取得する、請求項１から４のいずれか１項に記載のパケット転送装置。
6. 前記ポリシー取得手段は、前記通信装置が接続されたネットワーク上の全ての通信装置から前記装置情報を取得し、前記ネットワーク上の通信装置に対して想定されない脅威に対するスキャンを行わないように前記ポリシーを取得する、請求項１から５のいずれか１項に記載のパケット転送装置。
7. 前記ポリシー取得手段は、前記ポリシーに生存時間を設定する、請求項１から６のいずれか１項に記載のパケット転送装置。
8. 通信装置の状態に関する装置情報を取得することと、
   前記装置情報に基づいて、前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得することと、
   前記ポリシーに基づいて、前記通信パケットのスキャンを行うことと、
   を含み、
   前記装置情報を取得することは、前記通信装置の稼動率を前記装置情報として取得し、
   前記ポリシーを取得することは、前記稼動率が低い場合にスキャンレベルが低くなるように前記ポリシーを取得する、
   パケット転送方法。
9. パケット転送方法をコンピュータに実行させるパケット転送プログラムであって、
   前記パケット転送方法は、
   通信装置に関する装置情報を取得することと、
   前記装置情報に基づいて、前記通信装置と他の通信装置との間の通信パケットのスキャンに適用されるポリシーを取得することと、
   前記ポリシーに基づいて、前記通信パケットのスキャンを行うことと、
   を含み、
   前記装置情報を取得することは、前記通信装置の稼動率を前記装置情報として取得し、
   前記ポリシーを取得することは、前記稼動率が低い場合にスキャンレベルが低くなるように前記ポリシーを取得する、
   パケット転送プログラム。

Images