JPWO2017138403A1 - 制御装置、制御方法及びプログラムを記憶する記憶媒体 - Google Patents

Abstract

暗号化技術が適用された通信に対する好適な通信制御手段の提供。
制御装置は、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部と、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定するサービス特定部と、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の前記通信ノードを制御する通信ノード制御部と、を備える。

Description

本発明は、通信を制御する技術に関する。

特許文献１に、パケットに含まれる上位レイヤ情報の通信内容の情報分析の処理量を抑えながら、その通信内容に応じたトラフィック制御を行うことのできるというトラフィック制御システムが開示されている。同文献によると、このトラフィック制御システムは、パケットｐｔ１を転送する際に、エッジルータ１４ａでパケットｐｔ１に応じて得た識別子ｉ５を当該パケットｐｔ１に付与してコアルータ１１ａ〜１１ｈへ転送する。この転送以降はコアルータ１１ａ〜１１ｈで受信パケットｐｔ１に付与された識別子ｉ５を検出し、この識別子ｉ５に対応付けられたトラフィック制御を順次行うとされている。

特許文献２に、特別なネットワーク接続装置を用いずに、通信サービス毎に通信帯域を制御できるというネットワークシステムが開示されている。同文献によると、このネットワークシステムは、共有サブネットワークに流入可能な通信サービス毎の通信帯域量に対し、優先度の低い通信サービスの通信帯域量を制限する帯域量制限手段を備える。

非特許文献１には、各種のトラフィック解析攻撃により、提案されてきた近年の防衛策（暗号化通信）を破ることができるというＷｅｂｓｉｔｅ Ｆｉｎｇｅｒｐｒｉｎｔｉｎｇと呼ばれる技術が開示されている。

特開２０１４−１５４９３７号公報 特開２００４−３２４７４号公報

Ｘｉａｎｇ Ｃａｉほか、"Ｔｏｕｃｈｉｎｇ ｆｒｏｍ ａ Ｄｉｓｔａｎｃｅ： Ｗｅｂｓｉｔｅ Ｆｉｎｇｅｒｐｒｉｎｔｉｎｇ Ａｔｔａｃｋｓ ａｎｄ Ｄｅｆｅｎｓｅｓ"、［online］、［2015年10月16日検索］、インターネット〈URL：http://www3.cs.stonybrook.edu/~xcai/fp.pdf〉

以下の分析は、本発明の発明者によって与えられたものである。特許文献１〜２に開示されているように、通信サービスにおいて、利用コンテンツや利用サービスに応じてトラフィック制御を行ってユーザの体感品質を向上させたいというニーズがある。しかしながら、近年では、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）やＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）等の暗号化技術の普及により、通信内容やセッションの特定が困難になり、実効性のあるトラフィック制御が難しくなっているという問題点がある。

非特許文献１は、こうした暗号化された通信に対しても通信パケットから得られる複数の特徴量（転送レート、パケットサイズ分布、通信継続時間など）からユーザが閲覧したウェブサイトやウェブページを推定するものであるが、セキュアシェル（ＳＳＨ：Ｓｅｃｕｒｅ Ｓｈｅｌｌ）やＴｏｒ（Ｔｈｅ Ｏｎｉｏｎ Ｒｏｕｔｅｒ）の脆弱性を指摘するに止まっている。

本発明は、暗号化技術が適用された通信に対する通信制御の豊富化に貢献できる制御装置等を提供することを目的の１つとする。

本発明の一態様に係る制御装置は、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段と、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供される前記サービスを特定するサービス特定手段と、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御手段と、を備える。

本発明の一態様に係る制御装置は、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段と、前記通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定手段と、前記推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御手段と、を備える。

本発明の一態様に係る通信ノードの制御方法は、データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定し、前記データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部を参照して、前記特定したサービスに対応する制御規則を選択し、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する。

本発明の一態様に係る通信ノードの制御方法は、通信データから求めた通信データの特徴量に基づいて、データ通信により提供されるサービスを推定し、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部を参照して、前記特定したサービスに対応する制御規則を選択し、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する。

本発明の一態様に係る記憶媒体は、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部を備えるコンピュータに、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定するサービス特定処理と、前記制御規則記憶部を参照して、前記特定したサービスに対応する制御規則を選択する処理と、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御処理と、を実行させるプログラムを記憶する。
本発明の一態様に係る記憶媒体は、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部を備えるコンピュータに、前記通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定処理と、前記推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御処理と、を実行させるプログラムを記憶する。
本発明の一態様は、上述の記憶媒体に記憶されたプログラムによっても実現される。

本発明によれば、暗号化技術が適用された通信に対する好適な通信制御を提供することが可能となる。

本発明の一実施形態の構成を示す図である。 本発明の一実施形態のサービス特定部の構成例を示す図である。 本発明の別の実施形態の構成を示す図である。 本発明の別の実施形態のサービス推定部の構成例を示す図である。 本発明の第１の実施形態の通信システムの構成を示す図である。 本発明の第１の実施形態の通信システムの詳細構成を示す機能ブロック図である。 本発明の第１の実施形態の通信管理装置の証明書記憶部に保持される情報の一例を示す図である。 本発明の第１の実施形態の通信管理装置の制御規則記憶部に保持される情報の一例を示す図である。 本発明の第１の実施形態の通信管理装置のセッション記憶部に保持される情報の一例を示す図である。 本発明の第１の実施形態の通信ノードの制御規則記憶部に保持される情報の一例を示す図である。 本発明の第１の実施形態の動作（新規通信発生時）を表したシーケンス図である。 本発明の第１の実施形態の動作（通信終了時）を表したシーケンス図である。 本発明の第２の実施形態の通信システムの詳細構成を示す機能ブロック図である。 本発明の第２の実施形態の動作（新規通信発生時）を表したシーケンス図である。 本発明の第３の実施形態の通信システムの詳細構成を示す機能ブロック図である。 本発明の第４の実施形態の通信管理装置の証明書記憶部に保持される情報の一例を示す図である。 本発明の第５の実施形態の構成を示す図である。 本発明の第６の実施形態の構成を示す図である。 本発明の各実施形態に係る装置を実現できるコンピュータの構成を表す図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

本発明は、その一実施形態において、図１に示すように、制御規則記憶部１１と、サービス特定部１２と、通信ノード制御部１３と、を備える制御装置１０にて実現できる。より具体的には、制御規則記憶部１１は、データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する。サービス特定部１２は、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定する。

図２は、サービス特定部１２の構成例を示す図である。図２の例では、証明書情報と、サービスとを対応付けたエントリを格納する証明書情報記憶部（サービス特定情報記憶部に相当）１２１と、エントリ検索部１２２と、を備えたサービス特定部１２の構成が示されている。この構成によれば、エントリ検索部１２２は、通信ノード２０やデータ通信の経路上に配置されたプローブと呼ばれる監視装置からデータ通信に先だって送信側と受信側で授受される証明書情報を受信すると、証明書情報記憶部１２１から受信した証明書情報に対応するサービスを特定する。なお、証明書情報記憶部１２１に格納するエントリは、事前に準備しておくことが望まれるが、新規の証明書情報について適宜対応するサービスを追加するように運用してもよい。

また、サービス特定部１２は、制御装置１０の外部に設けられていてもよい。例えば、サーバ装置等にサービス特定部１２に相当する機能を設け、制御装置１０、および通信ノード２０がそれぞれ当該サーバ装置と通信可能な態様になっていてもよい。

そして、通信ノード制御部１３は、前記特定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノード２０を制御する。例えば、制御規則記憶部１１を参照して、あるサービスＡに属する通信については優先度を高くし（優先）、別のサービスＢに属する通信については優先度を低くするといった制御が行われる。

また、本発明は、別の実施形態において、図３に示すように、制御規則記憶部１１と、サービス推定部１２ａと、通信ノード制御部１３と、を備える制御装置１０ａにて実現できる。図１に示した構成との違いは、サービス特定部１２に代えて、制御装置１０ａに、サービス推定部１２ａが備えられている点である。サービス推定部１２ａは、証明書情報ではなく、通信ノード２０やデータ通信の経路上に配置されたプローブと呼ばれる監視装置にてキャプチャされた通信データの特徴量に基づいて、サービスを推定する。

図４は、サービス推定部１２ａの構成例を示す図である。図４の例では、サービス毎に当該サービスの判定条件を設定したエントリを格納する特徴量情報記憶部１２１ａと、エントリ検索部１２２と、特徴量抽出部１２３とを備えたサービス推定部１２ａの構成が示されている。この構成によれば、特徴量抽出部１２３は、通信ノード２０やデータ通信の経路上に配置されたプローブと呼ばれる監視装置から受信したキャプチャデータを解析して通信毎の特徴量（例えば、平均転送レートやパケットサイズ分布等）を抽出する。エントリ検索部１２２は、特徴量情報記憶部１２１ａから前記抽出された特徴量に適合するサービスを選択する。なお、特徴量情報記憶部１２１ａに格納するエントリは、非特許文献１のＷｅｂｓｉｔｅ Ｆｉｎｇｅｒｐｒｉｎｔｉｎｇという手法やＤＰＩ（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）と呼ばれる手法を用いて作成することができる。

そして、通信ノード制御部１３は、前記推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の前記通信ノードを制御する。この実施形態においても、あるサービスＡに属すると推定される通信については優先度を高くし（優先）、別のサービスＢに属すると推定される通信については優先度を低くするといった制御が行われる。

以上のように、上記した実施形態の構成によれば、暗号化された通信に対しても、その前に授受される証明書情報や、通信データの特徴量に基づいて、サービスを特定ないし推定し、適切に通信制御を行うことが可能となる。

また、サービス推定部１２ａは、制御装置１０ａの外部に設けられていてもよい。例えば、サーバ装置等にサービス推定部１２ａに相当する機能を設け、制御装置１０ａ、および通信ノード２０がそれぞれ当該サーバ装置と通信可能な態様になっていてもよい。

［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図５は、本発明の第１の実施形態の通信システムの構成を示す図である。図５を参照すると、通信路上に通信ノード２００と、通信監視装置２１０とが配置され、これら通信ノード２００及び通信監視装置２１０に通信管理装置１００が接続された構成が示されている。

図６は、本発明の第１の実施形態の通信システムの詳細構成を示す機能ブロック図である。通信管理装置１００は、証明書記憶部１０１と、制御規則記憶部１０２と、セッション記憶部１０３と、制御決定部１０４と、ノード通信部１０５と、監視装置通信部１０６とを備えている。この通信管理装置１００は、前述の制御装置１０に相当する。

証明書記憶部１０１は、証明書データと、サービスとの対応関係を定めた証明書情報を記憶する。図７は、証明書記憶部１０１に保持される情報の一例を示す図である。図７の例では、証明書情報のバージョン以下、ＲＦＣ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）５２８０ （Ｘ．５０９ Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ Ｃｅｒｔｉｆｉｃａｔｅ ａｎｄ ＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ） Ｐｒｏｆｉｌｅ）に定められた証明書情報と、その証明書を持つサーバ等が提供するサービスとを対応付けたエントリを格納するテーブルが示されている。例えば、図７の一番上のエントリは、ｅｘａｍｐｌｅ．ｃｏｍとのＣｏｍｍｏｎＮａｍｅ（ＣＮ）を持つサーバが、ビデオストリーミングサービスを提供するサーバであることを示している。また、この証明書自体の正当性は、認証局署名（拇印）フィールドの認証局（ＣＡ：Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）のデジタル署名により確認することができる。このサーバが通信前に視聴者端末に送信する証明書情報を入手することで、その後、このサーバから視聴者端末に送信されるデータがビデオストリーミングサービスのデータであることを特定することができる。同様に、ｅｘａｍｐｌｅ．ｎｅｔとのＣｏｍｍｏｎＮａｍｅ（ＣＮ）を持つサーバから送られた証明書情報を入手することで、このサーバから通信相手に送信されるデータがファイル共有サービスのデータであることを特定することができる。なお、図７の例では、主にサービス提供側のサーバ証明書からサービスを特定することを想定しているが、クライアント側の証明書も授受される場合、サービスを受ける利用者側（クライアント側）の証明書情報を格納してユーザの識別を行うようにしてもよい。

制御規則記憶部１０２は、サービス毎に、そのサービスに適用する通信制御内容を記憶する。図８は、制御規則記憶部１０２に保持される情報の一例を示す図である。図８の例では、ビデオストリーミングサービスや、ファイル共有サービスといったサービス毎に、適用する制御方法と、その制御方法に使用する制御パラメータとを対応付けたエントリを格納するテーブルが示されている。例えば、図８の一番上のエントリは、ビデオストリーミングサービスについて、３．０Ｍｂｐｓ（Ｍｅｇａ ｂｉｔ ｐｅｒ ｓｅｃｏｎｄ）を保証する帯域保証（転送レート保証）を行うことが示されている。また、図８の上から２番目のエントリは、ファイル共有サービスについて、１２８ｋｂｐｓ（ｋｉｌｏｂｉｔ ｐｅｒ ｓｅｃｏｎｄ）を上限とする帯域制限（最大転送レート制限）を行うことを示している。また、図８の一番下のエントリは、ＳＮＳ（ソーシャルネットワーキングサービス；Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）について、優先度７と優先制御を行うことを示している。なお、通信制御内容の規定の仕方は図８の例に限定されるものではない。例えば、制御方法＝１（帯域保証）、パラメータ＝３．０（Ｍｂｐｓ）というように通信ノードが解釈可能な通信制御内容をそのまま設定してもよい。また、例えば、同じく証明書情報によって特定可能なユーザの種別（有料ユーザ／ゲストユーザ）に応じて、帯域保証（転送レート保証）や帯域制限（最大転送レート制限）の値を変えてもよい。このようにすれば、ビデオストリーミングサービスのユーザであっても有料ユーザと、それ以外のユーザで保証する帯域（転送レート）を変えることが可能となる。

セッション記憶部１０３は、アクティブなＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）セッションの情報を記憶する。図９は、セッション記憶部１０３に保持される情報の一例を示す図である。図９の例は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスが１０．０．０．１、ポート４４３の送信元と、ＩＰアドレスが１７６．１６．０．１、ポート１０００の送信先との間にＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）を用いてセッションが確立されていることを示している。通信管理装置１００は、このようなセッション情報を用いて、通信を識別し、通信ノード２００に該当する通信に適用する通信制御内容を指示する。なお、図９のテーブルのエントリは、通信監視装置２１０のセッション監視部２１３から通信管理装置１００に送られたセッション情報により構築できる。

制御決定部１０４は、通信監視装置２１０から新規セッションの証明書情報を受け取ると、上記証明書記憶部１０１を参照して、当該通信セッションで提供されようとしているサービスを特定する（上記サービス特定部に相当）。また、制御決定部１０４は、通信監視装置２１０から受け取ったセッション情報をセッション記憶部１０３に登録した上で、制御規則記憶部１０２を参照して、サービスに対応付けられた通信制御内容を特定する。さらに、制御決定部１０４は、前記通信セッションの経路上の通信ノード２００に対し、該当通信セッションでやり取りされる通信データについて、前記特定した通信制御内容を実施させる通信ノード用の制御規則（図１０参照）を作成し、通信ノード２００に送信する（上記通信ノード制御部に相当）。

ノード通信部１０５及び監視装置通信部１０６は、それぞれ、通信ノード２００及び通信監視装置２１０と通信するための手段である。なお、図６の例では、ノード通信部１０５と監視装置通信部１０６とが独立して設けられているが、ノード通信部１０５及び監視装置通信部１０６とを統合することも可能である。

続いて、通信ノード２００の構成について説明する。通信ノード２００は、制御規則記憶部２０１と、管理装置通信部２０２と、制御部２０３と、セッション識別部２０４とを備えている。

制御規則記憶部２０１は、制御対象の通信を特定するためのセッション情報と、通信管理装置１００にて決定された制御規則とを対応付けた通信ノード用の制御規則を記憶する。図１０は、制御規則記憶部２０１に保持される情報の一例を示す図である。図１０の例では、ＩＰアドレス、プロトコル、ポートの組み合わせにて特定される通信セッションと、当該通信セッションに適用する制御規則とを対応付けたエントリを格納するテーブルが示されている。

管理装置通信部２０２は、上記通信管理装置１００から、通信ノード用の制御規則や、セッション終了による通信ノード用の制御規則の削除指示（制御解除指示）を受信する。

制御部２０３は、管理装置通信部２０２を介して、通信管理装置１００から受信した通信ノード用の制御規則や、制御規則の削除指示（制御解除指示）に応じて、制御規則記憶部２０１の内容を更新する。また、制御部２０３は、セッション識別部２０４から制御対象の通信データの受信通知を受けると、当該データについて制御規則記憶部２０１に定められた制御規則を適用する。

セッション識別部２０４は、制御規則記憶部２０１に定められたセッションに一致するデータを識別し、制御部２０３に通知する。

従って、図１０の通信ノード用の制御規則が設定されている通信ノ−ド２００は、送信元ＩＰアドレスが１０．０．０．１で、送信先ＩＰアドレスが１７６．１６．０．１、通信プロトコルがＴＣＰかつ送信元ポートが４４３、送信先ポートが１００００という条件に適合する通信について、３．０Ｍｂｐｓを保証する帯域保証（転送レート保証）を行う。同様に、この通信ノ−ド２００は、送信元ＩＰアドレスが１７６．１６．１．１で、送信先ＩＰアドレスが１７６．１６．０．２、通信プロトコルがＵＤＰかつ送信元ポートが４４３３、送信先ポートが２００００という条件に適合する通信について、１２８ｋｂｐｓを上限とする帯域制限（最大転送レート制限）を行うことになる。

以上のような通信ノード２００としては、通信管理装置１００から指示された制御規則にそった通信制御内容を実施可能なルータやスイッチなどの機器を用いることができる。

続いて、通信監視装置２１０の構成について説明する。通信監視装置２１０は、管理装置通信部２１１と、証明書取得部２１２と、セッション監視部２１３と、を備えている。

管理装置通信部２１１は、上記通信管理装置１００に対し、新規セッション検知後に入手したサーバ証明書の送信、検知したセッション終了通知等を送信する。

証明書取得部２１２は、新規セッション検知後、暗号化方法等について合意するためのハンドシェイク処理の中で、サーバからクライアント側に送信される証明書情報を取得する。証明書取得部２１２は、管理装置通信部２１１を介して、上記通信管理装置１００に対し、取得した証明書情報を送信する。なお、証明書情報は、ＴＬＳ（ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）も同様）の場合、ＴＬＳネゴシエーションでサーバからクライアントに送信されるＳｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージから取得することができる。

セッション監視部２１３は、サーバとクライアント間の通信を監視し、新規セッションの開始、又はセッションの終了を検知すると、証明書取得部２１２及び管理装置通信部２１１を介して通信管理装置１００に通知する。なお、新規セッションの開始、又はセッションの終了は、サーバとクライアント間で授受されるＴＣＰ ＳＹＮ（Ｓｙｎｃｈｒｏｎｉｚｅ）パケット（ＴＣＰコネクション確立要求パケット）や、ＴＣＰ ＦＩＮ（Ｆｉｎｉｓｈ）パケット（ＴＣＰコネクション終了要求パケット）とその応答を監視することで検出できる。

以上のような通信監視装置２１０としては、上記セッションの監視、証明書の取得ができる各種の機器を用いることができる。例えば、プローブ等の専用機器を用いてもよいし、オープンフロースイッチなどに、特定のトラフィックの検出時に上位装置（この場合、通信管理装置１００）に報告させる動作を設定することでも実現できる。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図１１は、本発明の第１の実施形態の動作（新規通信発生時）を表したシーケンス図である。図１１は、通信ノード２００と通信監視装置２１０が接続されたネットワークに接続するクライアント（サービス利用者）がサーバ（サービス提供者）にサービスを要求した場合の動作を示している。

図１１を参照すると、まず、クライアントとサーバ間で、ＴＣＰコネクション確立要求とＴＣＰコネクション確立応答が授受される。通信監視装置２１０は、上記ＴＣＰ ＳＹＮパケットとその応答により、新規セッションが開始されることを検知する（ステップＳ００１）。また、通信監視装置２１０は、クライアントとサーバ間で授受される情報に基づいてセッション情報を取得する。

ＴＣＰコネクションが確立され、クライアントがサーバに対し、ＴＬＳネゴシエーションの開始（Ｃｌｉｅｎｔ Ｈｅｌｌｏ）を通知すると、サーバは、サーバ証明書、サーバ公開鍵を送信し、クライアントの証明書を要求する（図１１のＳｅｒｖｅｒ Ｈｅｌｌｏ 〜Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅ）。通信監視装置２１０は、前記サーバからクライアントに送信される情報の中からサーバ証明書を抽出する（ステップＳ００２）。

次に、通信監視装置２１０は、ステップＳ００１で取得したセッション情報及びステップＳ００２で抽出したサーバ証明書を通信管理装置１００に送信する（ステップＳ００３）。

通信管理装置１００は、証明書記憶部１０１を参照して、通信監視装置２１０から受信したサーバ証明書に対応するサービスを特定する（ステップＳ００４）。なお、ここで、通信管理装置１００が、サーバ証明書の全内容が一致していることを確認する必要はなく例えば、サーバ証明書の特定フィールド、例えば、サブジェクトフィールド又は認証局署名のいずれかをキーにして、証明書記憶部１０１から該当するエントリを検索するようにしてもよい。

次に、通信管理装置１００は、制御規則記憶部１０２を参照して、前記特定したサービスに適用すべき制御規則を特定する（ステップＳ００５）。

次に、通信管理装置１００は、セッション記憶部１０３に通信監視装置２１０から受信したセッション情報を保存する（ステップＳ００６）。さらに、通信管理装置１００は、通信ノード用の制御規則として、ステップＳ００５で特定した制御規則と、通信監視装置２１０から受信したセッション情報との組を通信ノード２００に送信する（ステップＳ００７）。

前記制御規則と、セッション情報との組を受信した通信ノード２００は、制御規則記憶部２０１に、前記制御規則と、セッション情報とを対応付けて保存する（ステップＳ００８）。

一方、前述のサーバからクライアントへの証明書の送信要求を受けたクライアントは、サーバに、クライアント証明書、クライアント公開鍵を送信する。また、クライアントはサーバから受信した証明書を確認し、以降の通信を暗号化することを通知する（図１１のＣｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ〜Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ）。

その後は、サーバからクライアントへ以降の通信を暗号化することの通知が行われ（Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ）、サービスの提供が開始される。

通信ノード２００は、ステップＳ００８で保存した通信ノード２００用の制御規則に従い、前記サーバとクライアント間のデータについて、サービスに対応する制御規則に従い、制御を実施する（ステップＳ００９）。

以上のように、本実施形態によれば、暗号化された通信についても、そのサービスに応じた通信制御を実施することが可能となる。

続いて、上記サーバとクライアント間の通信が終了した場合の動作について説明する。
図１２は、本実施形態の通信終了時の動作を表したシーケンス図である。図１２を参照すると、まず、クライアントからＴＣＰ ＦＩＮパケットが送信されたことを契機に、クライアントとサーバ間で、ＴＣＰコネクションの終了処理が完了すると、通信監視装置２１０がセッションの終了を検知する（ステップＳ１０１）。

次に、通信監視装置２１０は、通信管理装置１００に対し、終了を検知したセッションのセッション情報を送信する（ステップＳ１０２）。

通信管理装置１００は、セッション記憶部１０３を参照して、通信監視装置２１０から受信したセッション情報に対応するセッションを特定する（ステップＳ１０３）。

次に、通信管理装置１００は、前記特定したセッション情報とともに、通信ノード２００に対し、制御解除指示を送信する（ステップＳ１０４）。また、通信管理装置１００は、セッション記憶部１０３から、前記特定したセッション情報を削除する（ステップＳ１０５）。

前記制御解除指示を受信した通信ノード２００は、制御規則記憶部２０１から、該当するセッション情報が設定されたエントリを削除する（ステップＳ１０６）。以上により、サーバとクライアント間に適用されていた通信制御が中止される。

以上のように、本実施形態によれば、セッションを特定して、サービスに応じた通信制御を開始し、終了することが可能となる。また、本実施形態によれば、暗号化された通信についても通信制御の対象とすることができるため、暗号化されていない通信にのみ通信制御が適用されてしまうという不公平性も解消することができる。

なお、先にも述べたとおり、図１１の例では、サーバ証明書を特定して通信制御を行うこととしているが、通信管理装置１００がサービスを受ける利用者側（クライアント側）の証明書を取得して、サービスのみならず、クライアント（サービス利用者）の属性、サービス提供者側の契約内容等を考慮して通信制御を行うように構成することも可能である。例えば、同じビデオストリーミングサービスであっても、クライアントが有料会員ユーザやプレミアムユーザである場合には、無料会員や一般会員よりも、大きな値の帯域保証（転送レート保証）を受けられるようにしてもよく、当該通信の優先度を他の通信よりも高くしてもよい。

以上、本発明の第１の実施形態の構成及び動作について説明したが、第１の実施形態は種々の変形を加えることができる。以下、これらの変形を加えた本発明の第２〜第６の実施形態について説明する。

［第２の実施形態］
続いて、事前に証明書とサービスの対応関係を用意せずともサービスを特定できるようにした第２の実施形態について説明する。図１３は、本発明の第２の実施形態の通信システムの詳細構成を示す機能ブロック図である。前記サービスを特定する仕組み以外は第１の実施形態と同様であるため、以下その相違点を中心に説明する。

図１３を参照すると、本実施形態の通信監視装置２１０ａは、証明書取得部２１２の代わりに、特徴抽出部２１２ａを備えている。特徴抽出部２１２ａは、サーバとクライアント間の特定のセッションを監視して、その特徴量を抽出し、通信管理装置１００ａに送信する動作を行う。

また、通信管理装置１００ａ側には、証明書記憶部１０１に代えて、サービス推定部１０８ａが備えられている。サービス推定部１０８ａは、通信監視装置２１０ａから受信した特徴量に基づいて、サービスを推定する。サービス推定部１０８ａは、例えば、図４の特徴量情報記憶部１２１ａのように、通信の特徴量からサービスを割出すテーブル等を有し、通信監視装置２１０ａから受信した特徴量に適合するサービスを推定する構成とすることもできる。また、サービスの推定手法は、上記に限られず、例えば、非特許文献１のＷｅｂｓｉｔｅ Ｆｉｎｇｅｒｐｒｉｎｔｉｎｇの手法を用いてサービスを特定する仕組みを用いてもよい。

また、サービス推定部１０８ａは、通信管理装置１００ａの外部に設けられていてもよい。例えば、サーバ装置等にサービス推定部１０８ａに相当する機能を設け、通信管理装置１００ａ、および通信ノード２００がそれぞれ当該サーバ装置と通信可能な態様になっていてもよい。

サービスを推定した後の各部の動作は第１の実施形態と同様であるので、説明を省略する。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図１４は、本発明の第２の実施形態の動作（新規通信発生時）を表したシーケンス図である。図１４も図１１と同様に、通信ノード２００と通信監視装置２１０ａが接続されたネットワークに接続するクライアント（サービス利用者）がサーバ（サービス提供者）にサービスを要求した場合の動作を示している。

図１４を参照すると、まず、クライアントとサーバ間で、ＴＣＰコネクション確立要求とＴＣＰコネクション確立応答が授受される。通信監視装置２１０ａは、上記ＴＣＰ ＳＹＮパケットとその応答により、新規セッションが開始されることを検知する（ステップＳ２０１）。また、通信監視装置２１０ａは、クライアントとサーバ間で授受される情報に基づいてセッション情報を取得する。

ＴＣＰコネクションが確立され、クライアントがサーバに対し、ＴＬＳネゴシエーションの開始（Ｃｌｉｅｎｔ Ｈｅｌｌｏ）を通知すると、サーバは、サーバ証明書、サーバ公開鍵を送信し、クライアントの証明書を要求する（図１４のＳｅｒｖｅｒ Ｈｅｌｌｏ 〜Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅ）。

前記サーバからクライアント証明書の送信要求を受けたクライアントは、サーバに、クライアント証明書、クライアント公開鍵を送信する。また、クライアントはサーバから受信した証明書を確認し、以降の通信を暗号化することを通知する（図１４のＣｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅ〜Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ）。

その後は、サーバからクライアントへ以降の通信を暗号化することの通知が行われ（Ｃｈａｎｇｅ Ｃｉｐｈｅｒ Ｓｐｅｃ）、サービスの提供が開始される。

通信監視装置２１０ａは、前記サーバとクライアント間の通信データをキャプチャし、特徴量を抽出する（ステップＳ２０２）。

次に、通信監視装置２１０ａは、ステップＳ２０１で取得したセッション情報及びステップＳ２０２で抽出した特徴量情報を通信管理装置１００ａに送信する（ステップＳ２０３）。

通信管理装置１００ａは、受信した特徴量をサービス推定部１０８ａに送り、前記サーバからクライアントに提供されているサービスを推定する（ステップＳ２０４）。

次に、通信管理装置１００ａは、制御規則記憶部１０２を参照して、前記推定したサービスに適用すべき制御規則を特定する（ステップＳ２０５）。

次に、通信管理装置１００ａは、セッション記憶部１０３に通信監視装置２１０ａから受信したセッション情報を保存する（ステップＳ２０６）。さらに、通信管理装置１００ａは、通信ノード用の制御規則として、ステップＳ２０５で特定した制御規則と、通信監視装置２１０ａから受信したセッション情報との組を通信ノード２００に送信する（ステップＳ２０７）。

前記制御規則と、セッション情報との組を受信した通信ノード２００は、制御規則記憶部２０１に、前記制御規則と、セッション情報とを対応付けて保存する（ステップＳ２０８）。

以降、通信ノード２００は、ステップＳ２０８で受信した通信ノード２００用の制御規則に従い、前記サーバとクライアント間のデータについて、サービスに対応する制御規則に従い、制御を実施する（ステップＳ２０９）。

なお、セッションの終了の検出後の動作は第１の実施形態と同様であるため、説明を省略する。

以上のように、本実施形態によれば、事前に証明書とサービスの対応関係を用意せずとも、そのサービスに応じた通信制御を実施することが可能となる。

［第３の実施形態］
続いて、第１の実施形態と第２の実施形態を組み合わせた第３の実施形態について説明する。図１５は、本発明の第３の実施形態の通信システムの詳細構成を示す機能ブロック図である。図１５を参照すると、通信監視装置２１０ｂに、証明書取得部２１２と、特徴抽出部２１２ａの双方が備えられている。

また、通信管理装置１００ｂ側には、証明書記憶部１０１と、サービス推定部１０８ｂとの双方が備えられている。本実施形態の通信管理装置１００ｂは、通信監視装置２１０ｂから受信した証明書に対応するエントリが証明書記憶部１０１に記憶されている場合、第１の実施形態と同様の動作を行う（図１１参照）。

一方、通信監視装置２１０ｂから受信した証明書に対応するエントリが証明書記憶部１０１に記憶されていない場合、本実施形態の通信管理装置１００ｂは、通信監視装置２１０ｂに対し、クライアントとサーバの通信の特徴量情報の送信を要求する。その後の動作は第２の実施形態と同様であり、通信管理装置１００ｂは、通信の特徴量からサービスを推定し、そのサービスに対応する制御規則を用いて通信制御を実施する。

以上のように、本実施形態によれば、サービスとの対応関係が判明している証明書を持つサーバとクライアント間の通信については、証明書記憶部１０１及び制御規則記憶部１０２を参照して、通信当初から通信制御を実施することができる。また、サービスとの対応関係が判明していない証明書を持つサーバとクライアント間の通信については、その通信の特徴量からサービスを推定し、通信制御を実施することができる。

［第４の実施形態］
また、上記した第１〜第３の実施形態では、図７に示したような証明書情報と、サービスとを対応付けたテーブルを用意するものとして説明したが、証明書情報は、サービスを特定可能な内容であれば図７の形態に限られない。

例えば図１６のように、証明書のシグネチャ値（署名）と、サービスとを対応付けたエントリを証明書記憶部１０１に記憶することでも第１、第３の実施形態と同様の通信制御を実施することができる（第４の実施形態）。また、サーバ証明書と、サーバ証明書以外の情報を併用してサービスを特定する構成も採用することができる。このようなサーバ証明書以外の情報としては、ハンドシェイク時にクライアントからサーバに送信される、Ｖｅｒｓｉｏｎ Ｎｕｍｂｅｒ、Ｃｉｐｈｅｒ Ｓｕｉｔｅや、サーバからクライアントに送信されるＣｏｍｐｒｅｓｓｉｏｎ Ａｌｇｏｒｉｔｈｍ、Ｏｔｈｅｒ ｖａｌｉｄａｔｉｎｇ ｃｅｒｔｉｆｉｃａｔｅｓなどが挙げられる。

また、上記した第１〜第４の実施形態では、ＴＬＳないしこれ同等のＳＳＬを用いた通信が行われることを前提に説明したが、本発明を適用可能な通信は、ＴＬＳ／ＳＳＬを用いるものに限定されない。例えば、ＩＰｓｅｃを用いた通信においても、通信の前に、インターネット鍵交換（ＩＫＥ：Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）プロトコルを用いて鍵交換や相手認証が行われる。これらの鍵交換や相手認証で授受される情報（典型的には、第１の実施形態と同様に通信相手の証明書やその認証局署名）とサービスとの対応関係を保持することで、ＩＰｓｅｃを用いた暗号化通信についても、サービスを特定し、通信制御を実施することが可能である。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したネットワーク構成、各要素の構成、メッセージの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。

例えば、上記した第１〜第４の実施形態では、通信監視装置が独立して配置されているものとして説明したが、図１７に示すように、通信監視装置２１０が通信ノード２００ａに内蔵されている構成も採用可能である（第５の実施形態）。

同様に、図１８に示すように、通信監視装置２１０が通信管理装置１００ｃに内蔵されている構成も採用可能である（第６の実施形態）。

また、各図に示した制御装置、通信管理装置、通信監視装置の各部（処理手段）は、これらの装置を構成するコンピュータに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。
すなわち、本発明の各実施形態に係る装置は、メモリと、そのメモリに格納されたプログラムを実行するプロセッサとを含む、コンピュータによって実現できる。本発明の各実施形態に係る装置は、回路等の専用のハードウェアによっても実現できる。本発明の各実施形態に係る装置は、上述のコンピュータと、専用のハードウェアとの組合せによっても実現できる。本発明の各実施形態に係る装置は、１つの装置によって実現されてもよい。本発明の各実施形態に係る装置は、互いに通信可能に接続された、複数の装置によって実現されてもよい。
図１９は、本発明の各実施形態に係る装置を実現できるコンピュータ１０００の構成を模式的に示すブロック図である。
図１９に示すように、コンピュータ１０００は、プロセッサ１００１と、メモリ１００２と、記憶装置１００３と、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インタフェース１００４とを含む。また、コンピュータ１０００は、記憶媒体１００５にアクセスすることができる。メモリ１００２と記憶装置１００３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ハードディスクなどの記憶装置である。記憶媒体１００５は、例えば、ＲＡＭ、ハードディスクなどの記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、可搬記録媒体である。記憶装置１００３が記憶媒体１００５であってもよい。プロセッサ１００１は、メモリ１００２と、記憶装置１００３に対して、データやプログラムの読み出しと書き込みを行うことができる。プロセッサ１００１は、Ｉ／Ｏインタフェース１００４を介して、例えば、他の装置にアクセスすることができる。プロセッサ１００１は、記憶媒体１００５にアクセスすることができる。記憶媒体１００５には、コンピュータ１０００を、本発明のいずれかの実施形態に係る制御装置（例えば、制御装置１０、又は、１０ａ）として動作させるプログラムが格納されていてもよい。記憶媒体１００５には、コンピュータ１０００を、本発明のいずれかの実施形態に係る通信管理装置（例えば、通信管理装置１００、１００ａ、１００ｂ、又は、１００ｃとして動作させるプログラムが格納されていてもよい。記憶媒体１００５には、コンピュータ１０００を、本発明のいずれかの実施形態に係る通信ノード（例えば、通信ノード２００、又は、２００ａ）として動作させるプログラムが格納されていてもよい。記憶媒体１００５には、コンピュータ１０００を、本発明のいずれかの実施形態に係る通信監視装置（例えば、通信監視装置２１０、２１０ａ、又は、２１０ｂ）として動作させるプログラムが格納されていてもよい。
プロセッサ１００１は、記録媒体１００５に格納されているプログラムを、メモリ１００２にロードする。プロセッサ１００１は、メモリ１００２にロードされたプログラムを実行する。そして、コンピュータ１０００は、上述の、制御装置、通信管理装置、通信ノード、又は、通信監視装置として動作する。
以下、第１のグループは、サービス特定部１２、１２ａ、通信ノード制御部１３、制御決定部１０４、ノード通信部１０５、監視装置通信部１０６、サービス推定部１０８ａ、１０８ｂ、エントリ探索部１２２、特徴量抽出部１２３、管理装置通信部２０２、制御部２０３、セッション識別部２０４、管理装置通信部２１１、証明書取得部２１２、特徴抽出部２１２ａ、及び、セッション監視部２１３のグループを示す。第２グループは、制御規則記憶部１１、証明書記憶部１０１、制御規則記憶部１０２、セッション記憶部１０３、証明書情報記憶部１２１、１２１ａ、及び、制御規則記憶部２０１のグループを示す。第１グループに含まれる各部は、それぞれ、上述のメモリ１００２とプロセッサ１００１とによって実現できる。第２グループに含まれる各ＤＢは、コンピュータ１０００が含むメモリ１００２やハードディスク装置等の記憶装置１００３により実現することができる。第１グループに含まれる各部及び第２のグループに含まれる各部の一部又は全部を、専用のハードウェア（例えば、専用の回路）によって実現することもできる。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部と、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定するサービス特定部と、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御部と、を備える制御装置。
［第２の形態］
第１の形態の制御装置において、
さらに、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶部を備え、
前記サービス特定部は、前記サービス特定情報記憶部から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、サービスを特定する制御装置。
［第３の形態］
第１又は第２の形態の制御装置において、
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である制御装置。
［第４の形態］
第３の形態の制御装置において、
前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である制御装置。
［第５の形態］
第１又は第２の形態の制御装置において、
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である制御装置。
［第６の形態］
第１から第５いずれか一の制御装置において、
前記サービス特定部は、所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供されるサービスを特定する制御装置。
［第７の形態］
第１から第６いずれか一の制御装置において、
前記制御装置は、前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視し、前記セッション又は暗号化トンネル単位で通信制御を実施する制御装置。
［第８の形態］
第１から第７いずれか一の制御装置において、
さらに、通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定部を備え、
前記サービス特定部は、サービス特定情報記憶部に該当するエントリが存在しない場合、前記サービス推定部にサービスの推定を依頼し、
前記通信ノード制御部は、前記サービス推定部が推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する制御装置。
［第９の形態］
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部と、
前記通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定部と、
前記推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御部と、
を備える制御装置。
［第１０の形態］
上記した制御装置に対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する通信監視装置。
［第１１の形態］
上記した制御装置と、上記した通信監視装置とを含む通信システム。
［第１２の形態］
データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定するステップと、前記データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部を参照して、前記特定したサービスに対応する制御規則を選択するステップと、前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御するステップと、を含む通信ノードの制御方法。本方法は、通信ノードを制御する制御装置という、特定の機械に結びつけられている。
［第１３の形態］
通信データから求めた通信データの特徴量に基づいて、前記データ通信により提供されるサービスを推定するステップと、
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶部を参照して、前記特定したサービスに対応する制御規則を選択するステップと、
前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御するステップと、を含む通信ノードの制御方法。
［第１４の形態］
制御装置の機能を実現するためのコンピュータプログラム。なお、このプログラムは、コンピュータが読み取り可能な（非トランジエントな）記憶媒体に記録することができる。即ち、本形態は、コンピュータプログラム製品として具現することも可能である。
なお、上記第１１〜第１２及び第１４の形態は、第１の形態と同様に、第２〜第８の形態に展開することが可能である。
また、上記の実施形態及び形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段と、
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供される前記サービスを特定するサービス特定手段と、
前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御手段と、
を備える制御装置。
（付記２）
さらに、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶手段を備え、
前記サービス特定手段は、前記サービス特定情報記憶手段から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、前記データ通信により提供される前記サービスを特定する付記１の制御装置。
（付記３）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である付記１又は２の制御装置。
（付記４）
前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である付記３の制御装置。
（付記５）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である付記１又は２の制御装置。
（付記６）
前記サービス特定手段は、所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供される前記サービスを特定する付記１から５いずれか一の制御装置。
（付記７）
前記制御装置は、前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視し、前記セッション又は暗号化トンネル単位で通信制御を実施する付記１から６いずれか一の制御装置。
（付記８）
さらに、通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定手段を備え、
前記サービス特定手段は、サービス特定情報記憶手段に該当するエントリが存在しない場合、前記サービス推定手段にサービスの推定を依頼し、
前記通信ノード制御手段は、前記サービス推定手段が推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する付記２の制御装置。
（付記９）
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段と、
前記通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定手段と、
推定した前記サービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御手段と、
を備える制御装置。
（付記１０）
付記１から８いずれか一の制御装置に対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する通信監視装置。
（付記１１）
付記１から８いずれか一の制御装置と、
前記制御装置に対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する通信監視装置と、
を含む通信システム。
（付記１２）
データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定し、
前記データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を参照して、特定した前記サービスに対応する前記制御規則を選択し、
前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する、
通信ノードの制御方法。
（付記１３）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶手段から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、前記データ通信により提供される前記サービスを特定する
付記１２の制御方法。
（付記１４）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である
付記１２又は１３の制御方法。
（付記１５）
前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である
付記１４の制御方法。
（付記１６）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である
付記１２又は１３の制御方法。
（付記１７）
所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供される前記サービスを特定する
付記１２から１６いずれか一の制御方法。
（付記１８）
前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視し、前記セッション又は暗号化トンネル単位で通信制御を実施する
付記１２から１７いずれか一の制御方法。
（付記１９）
前記サービス特定情報記憶手段に該当するエントリが存在しない場合、通信データから求めた通信データの特徴量に基づいて、サービスを推定し、
推定した前期サービスに対応する前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する
付記１３の制御方法。
（付記２０）
通信データから求めた通信データの特徴量に基づいて、データ通信により提供されるサービスを推定し、
前記データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を参照して、特定した前記サービスに対応する前記制御規則を選択し、
前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する、
通信ノードの制御方法。
（付記２１）
付記１２から２０いずれか一の制御方法によって制御される通信ノードに対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する
通信監視方法。
（付記２２）
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を備えるコンピュータに、
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定するサービス特定処理と、
前記制御規則記憶手段を参照して、特定した前記サービスに対応する前記制御規則を選択する処理と、
前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御処理と、
を実行させるプログラムを記憶する記憶媒体。
（付記２３）
前記コンピュータは、さらに、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶手段を備え、
前記サービス特定処理は、前記サービス特定情報記憶手段から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、前記データ通信により提供される前記サービスを特定する
付記２２の記憶媒体。
（付記２４）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である
付記２２又は２３の記憶媒体。
（付記２５）
前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である
付記２４の記憶媒体。
（付記２６）
前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である
付記２２又は２３の記憶媒体。
（付記２７）
前記サービス特定処理は、所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供される前記サービスを特定する
付記２２から２６いずれか一の記憶媒体。
（付記２８）
前記プログラムは、前記コンピュータに、前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視させ、前記セッション又は暗号化トンネル単位で通信制御を実施させる
付記２２から２７いずれか一の記憶媒体。
（付記２９）
前記プログラムは、前記コンピュータに、さらに、通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定処理を実行させ、
前記サービス特定処理は、前記サービス特定情報記憶手段に該当するエントリが存在しない場合、前記サービス推定処理にサービスの推定を依頼し、
前記通信ノード制御処理は、前記サービス推定処理が推定した前記サービスに対応する前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する
付記２３の記憶媒体。
（付記３０）
データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を備えるコンピュータに、
前記通信データから求めた通信データの特徴量に基づいて、前記データ通信により提供される前記サービスを推定するサービス推定処理と、
推定した前記サービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御処理と、
を実行させるプログラムを記憶する記憶媒体。
（付記３１）
付記１２から２１のいずれか一の制御方法をコンピュータに実行させるプログラムを記憶する記憶媒体。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
この出願は、２０１６年２月９日に出願された日本出願特願２０１６−０２２３４３を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１０、１０ａ 制御装置
１１ 制御規則記憶部
１２ サービス特定部
１２ａ サービス推定部
１３ 通信ノード制御部
２０ 通信ノード
１００、１００ａ〜１００ｃ 通信管理装置
１０１ 証明書記憶部
１０２ 制御規則記憶部
１０３ セッション記憶部
１０４ 制御決定部
１０５ ノード通信部
１０６ 監視装置通信部
１０８ａ、１０８ｂ サービス推定部
１２１ 証明書情報記憶部
１２１ａ 特徴量情報記憶部
１２２ エントリ検索部
１２３ 特徴量抽出部
２００、２００ａ 通信ノード
２０１ 制御規則記憶部
２０２ 管理装置通信部
２０３ 制御部
２０４ セッション識別部
２１０、２１０ａ、２１０ｂ 通信監視装置
２１１ 管理装置通信部
２１２ 証明書取得部
２１２ａ 特徴抽出部
２１３ セッション監視部
１０００ コンピュータ
１００１ プロセッサ
１００２ メモリ
１００３ 記憶装置
１００４ Ｉ／Ｏインタフェース
１００５ 記憶媒体

Claims (30)

1. データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段と、
   前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供される前記サービスを特定するサービス特定手段と、
   前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御手段と、
   を備える制御装置。
2. さらに、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶手段を備え、
   前記サービス特定手段は、前記サービス特定情報記憶手段から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、前記データ通信により提供される前記サービスを特定する請求項１の制御装置。
3. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である請求項１又は２の制御装置。
4. 前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である請求項３の制御装置。
5. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である請求項１又は２の制御装置。
6. 前記サービス特定手段は、所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供される前記サービスを特定する請求項１から５いずれか一の制御装置。
7. 前記制御装置は、前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視し、前記セッション又は暗号化トンネル単位で通信制御を実施する請求項１から６いずれか一の制御装置。
8. さらに、通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定手段を備え、
   前記サービス特定手段は、サービス特定情報記憶手段に該当するエントリが存在しない場合、前記サービス推定手段にサービスの推定を依頼し、
   前記通信ノード制御手段は、前記サービス推定手段が推定したサービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する請求項２の制御装置。
9. データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段と、
   前記通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定手段と、
   推定した前記サービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御手段と、
   を備える制御装置。
10. 請求項１から８いずれか一の制御装置に対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する通信監視装置。
11. 請求項１から８いずれか一の制御装置と、
    前記制御装置に対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する通信監視装置と、
    を含む通信システム。
12. データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定し、
    前記データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を参照して、特定した前記サービスに対応する前記制御規則を選択し、
    前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する、
    通信ノードの制御方法。
13. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶手段から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、前記データ通信により提供される前記サービスを特定する
    請求項１２の制御方法。
14. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である
    請求項１２又は１３の制御方法。
15. 前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である
    請求項１４の制御方法。
16. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である
    請求項１２又は１３の制御方法。
17. 所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供される前記サービスを特定する
    請求項１２から１６いずれか一の制御方法。
18. 前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視し、前記セッション又は暗号化トンネル単位で通信制御を実施する
    請求項１２から１７いずれか一の制御方法。
19. 前記サービス特定情報記憶手段に該当するエントリが存在しない場合、通信データから求めた通信データの特徴量に基づいて、サービスを推定し、
    推定した前期サービスに対応する前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する
    請求項１３の制御方法。
20. 通信データから求めた通信データの特徴量に基づいて、データ通信により提供されるサービスを推定し、
    前記データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を参照して、特定した前記サービスに対応する前記制御規則を選択し、
    前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する、
    通信ノードの制御方法。
21. 請求項１２から２０いずれか一の制御方法によって制御される通信ノードに対して、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部を送信する
    通信監視方法。
22. データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を備えるコンピュータに、
    前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部から、前記データ通信により提供されるサービスを特定するサービス特定処理と、
    前記制御規則記憶手段を参照して、特定した前記サービスに対応する前記制御規則を選択する処理と、
    前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御処理と、
    を実行させるプログラムを記憶する記憶媒体。
23. 前記コンピュータは、さらに、前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部と、サービスとを対応付けたエントリを格納するサービス特定情報記憶手段を備え、
    前記サービス特定処理は、前記サービス特定情報記憶手段から、前記送信側と受信側で授受される情報の前記少なくとも一部に対応するエントリを検索することで、前記データ通信により提供される前記サービスを特定する
    請求項２２の記憶媒体。
24. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、所定の認証局により署名された証明書又は該証明書の所定フィールドの情報である
    請求項２２又は２３の記憶媒体。
25. 前記証明書は、トランスポートレイヤーセキュリティ（ＴＬＳ）、セキュアソケットレイヤー（ＳＳＬ）、インターネット鍵交換（ＩＫＥ）プロトコルで交換される証明書である
    請求項２４の記憶媒体。
26. 前記データ通信に先だって送信側と受信側で授受される情報の少なくとも一部は、証明書に対して付された所定の認証局の署名情報である
    請求項２２又は２３の記憶媒体。
27. 前記サービス特定処理は、所定の通信監視装置を介して、前記データ通信に先だって送信側と受信側で授受される情報を取得し、前記情報を用いて前記データ通信により提供される前記サービスを特定する
    請求項２２から２６いずれか一の記憶媒体。
28. 前記プログラムは、前記コンピュータに、前記データ通信の送信側と受信側との間のセッション又は暗号化トンネルの状態を監視させ、前記セッション又は暗号化トンネル単位で通信制御を実施させる
    請求項２２から２７いずれか一の記憶媒体。
29. 前記プログラムは、前記コンピュータに、さらに、通信データから求めた通信データの特徴量に基づいて、サービスを推定するサービス推定処理を実行させ、
    前記サービス特定処理は、前記サービス特定情報記憶手段に該当するエントリが存在しない場合、前記サービス推定処理にサービスの推定を依頼し、
    前記通信ノード制御処理は、前記サービス推定処理が推定した前記サービスに対応する前記制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する
    請求項２３の記憶媒体。
30. データ通信により提供されるサービスと、当該サービスに適用する通信制御内容とを対応付けた制御規則を記憶する制御規則記憶手段を備えるコンピュータに、
    前記通信データから求めた通信データの特徴量に基づいて、前記データ通信により提供される前記サービスを推定するサービス推定処理と、
    推定した前記サービスに対応する制御規則に基づいて、前記データ通信について前記サービスに対応付けられた通信制御内容を実施するよう前記データ通信の経路上の通信ノードを制御する通信ノード制御処理と、
    を実行させるプログラムを記憶する記憶媒体。

Images