WO2018168262A1 - ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法 - Google Patents

ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法 Download PDF

Info

Publication number
WO2018168262A1
WO2018168262A1 PCT/JP2018/004127 JP2018004127W WO2018168262A1 WO 2018168262 A1 WO2018168262 A1 WO 2018168262A1 JP 2018004127 W JP2018004127 W JP 2018004127W WO 2018168262 A1 WO2018168262 A1 WO 2018168262A1
Authority
WO
WIPO (PCT)
Prior art keywords
path
main signal
monitoring control
network
network device
Prior art date
Application number
PCT/JP2018/004127
Other languages
English (en)
French (fr)
Inventor
西村　知恒
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US16/493,408 priority Critical patent/US20200128029A1/en
Publication of WO2018168262A1 publication Critical patent/WO2018168262A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/302—Route determination based on requested QoS
    • H04L45/304—Route determination for signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/24—Multipath
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a network device, a monitoring control device, a network system, and a control method thereof, and more particularly to a network device, a monitoring control device, a network system, and a control method thereof for transferring a main signal.
  • Patent documents 1 to 5 are known as related technologies.
  • Patent Document 1 discloses an analysis technique for accurately detecting unauthorized access
  • Patent Document 2 discloses a technique for detecting a botnet infection
  • Patent Document 3 discloses a technique for filtering unauthorized access packets
  • Patent Document 4 discloses a route update method for a network node, and a monitoring method for monitoring a frame flowing in a network.
  • the related technology performs unauthorized access detection and filtering in the network system.
  • the related technology can prevent unauthorized access, there is a problem that the influence of the main signal (user data) on the communication service is not considered.
  • an object of the present invention is to provide a network device, a monitoring control device, a network system, and a control method thereof that can suppress the influence of a main signal on a communication service.
  • a network device includes a main signal transfer unit that transfers a main signal for user data through a main signal path with another network device, and a monitoring control signal for monitoring control.
  • a monitoring control processing unit that transmits and receives the monitoring control path between the main signal path and the monitoring control path when the unauthorized access is detected, and a path separation unit that separates the main signal path and the monitoring control path.
  • a monitoring control device is a monitoring control device that monitors and controls network devices that constitute a network, and monitors and transmits a monitoring control signal for monitoring control via a monitoring control path with the network device.
  • a control processing unit, and a path separating unit that separates the main signal path for transferring a main signal for user data and the monitoring control path when unauthorized access to the network apparatus is detected. It is to be prepared.
  • the network system is a network system including a network device that constitutes a network and a monitoring control device that monitors and controls the network device, and an unauthorized access detection unit that detects unauthorized access to the network device; When the unauthorized access is detected, the network device transmits a main signal path for transferring a main signal for user data, and a monitoring control signal for monitoring control between the network device and the monitoring control device.
  • a network device control method is a network device control method for configuring a network, and transmits a main signal for user data through a main signal path between other network devices, and performs supervisory control. For example, when an unauthorized access is detected, the main signal path and the monitoring control path are separated from each other.
  • the monitoring control device control method is a monitoring control device control method for monitoring and controlling network devices constituting a network, wherein a monitoring control signal for monitoring control is monitored between the network devices.
  • a monitoring control signal for monitoring control is monitored between the network devices.
  • a network system control method is a network system control method comprising a network device constituting a network and a monitoring control device that monitors and controls the network device, and detects unauthorized access to the network device. When the unauthorized access is detected, a main signal path through which the network device transfers a main signal for user data, and a monitoring control signal for monitoring control between the network device and the monitoring control device Is separated from the monitoring control path for transmitting / receiving.
  • the present invention it is possible to provide a network device, a monitoring control device, a network system, and a control method thereof that can suppress the influence of the main signal on the communication service.
  • FIG. 1 is a configuration diagram illustrating a configuration example of a network system according to a first embodiment.
  • 1 is a configuration diagram illustrating a configuration example of a network device according to a first embodiment.
  • 4 is a flowchart illustrating an operation example of the network system according to the first embodiment.
  • 6 is an explanatory diagram for explaining an operation example of the network system according to Embodiment 1.
  • FIG. 6 is an explanatory diagram for explaining an operation example of the network system according to Embodiment 1.
  • FIG. FIG. 6 is a sequence diagram for explaining an operation example of the network system according to the first embodiment.
  • FIG. 1 shows an overview of a network system according to an embodiment.
  • the network system 100 mainly includes a plurality of NE (Network Element) 10 and an NMS (Network Management System) 20.
  • NE Network Element
  • NMS Network Management System
  • a main signal for user data is transferred on the main signal path r1 between the plurality of NEs 10, and a monitoring control signal for monitoring and controlling the NE 10 is transmitted and received on the monitoring control path r2 between the plurality of NEs 10 and the NMS 20. Is done.
  • the NE 10 includes a main signal transfer unit 11, a monitoring control processing unit 12, and a path separation unit 13.
  • the main signal transfer unit 11 transfers the main signal to the other NE 10 via the main signal path r1, and the monitoring control processing unit 12 sends the monitoring control signal to the NMS 20 via the monitoring control path r2. Send and receive and process.
  • the route separation unit 13 separates the main signal route r1 and the monitoring control route r2 when unauthorized access to the NE 10 is detected.
  • the NMS 20 includes a monitoring control processing unit 21 and a route separation unit 22.
  • the supervisory control processor 21 transmits and receives supervisory control signals to and from the NE 10 via the supervisory control path r2.
  • the path separation unit 22 separates the main signal path r1 and the monitoring control path r2 between the NEs 10.
  • the path separation unit may be provided in either the NE 10 or the NMS 20. Further, either the NE 10 or the NMS 20 may include an unauthorized access detection unit that detects unauthorized access to the NE 10.
  • the route separation includes a route switching between NEs and a disconnection of a connection relationship within the NE.
  • FIG. 2 shows a configuration example of the network system 300 according to the present embodiment.
  • the network system 300 mainly includes a plurality of NEs (Network Element) 1-1 to 1-5 (any of which is also referred to as NE1) and an NMS (Network Management System). 2 is provided.
  • NEs Network Element
  • NMS Network Management System
  • NE1 is, for example, a microwave communication device (wireless communication device), and NE1-1 to 1-5 constitute a microwave network (wireless network) 30.
  • the NEs 1-1 to 1-5 are point-to-point connected (opposite connection) between adjacent (opposing) devices, and are connected via a microwave link (wireless link) or a wired communication cable.
  • the NEs 1-1 to 1-5 transfer a main signal (user data) via a microwave link or a wired communication cable.
  • NE1-1 and NE1-2 between NE1-1 and NE1-2, between NE1-1 and NE1-3, and between NE1-4 and NE1-5 are connected via a microwave link so as to be capable of wireless communication.
  • NE1-2 and NE1-4, and NE1-1 and NE1-3 are connected via a wired communication cable so that wired communication is possible.
  • NE1-1 is connected to base stations 31 and 32 via a router 3.
  • the NE 1-5 is connected to the core network 50 via the router 4.
  • the NE 1-5 is connected to the NMS 2 via a DCN (Data Communications Network) 40.
  • the NMS 2 is a monitoring control device (management device) that monitors and controls (manages) a plurality of NEs 1.
  • the NMS 2 transmits and receives monitoring control signals (management signals) to and from the plurality of NEs 1 through the DCN 40. Since NMS2 and a plurality of NE1 need only be able to transmit and receive monitoring control signals, NMS2 is not limited to NE1-5, and may be connected to any NE1 or may be connected to all NE1s.
  • the NMS 2 is realized by a computer device such as a server, and has functions necessary for the operation of the present embodiment, such as a monitoring control processing unit and a route separation unit in FIG.
  • the plurality of NEs 1 perform communication (layer 2 communication) based on the layer 2 protocol of the OSI (Open Systems Interconnection) reference model via a wireless link. Therefore, the plurality of NEs 1 relay (transfer) user data by layer 2 communication.
  • a MAC address is assigned to each of the plurality of NEs 1 and configures a layer 2 network for user data. It can be said that this network is a data plane network (main signal network) for communicating user data (main signal), and a path included in the network is a user data path (main signal path).
  • Routers 3 and 4 transmit and receive user data via a microwave network 30 (data plane) formed by a plurality of NEs 1.
  • the routers 3 and 4 transmit and receive user data by layer 3 communication.
  • an IP address is assigned to each of the routers 3 and 4 to constitute a layer 3 network for user data.
  • the NMS 2 and the plurality of NEs 1 perform communication conforming to the layer 3 protocol (layer 3 communication). Therefore, the NMS 2 transmits / receives a supervisory control signal to / from a plurality of NEs by layer 3 communication.
  • an IP address is assigned to each of the NMS 2 and the plurality of NEs 1, and configures a layer 3 network for monitoring control (for management). It can be said that this network is a management plane network (management network) that communicates monitoring control signals (management signals), and a path included in the network is a monitoring control path (management path).
  • FIG. 3 shows the hardware configuration and software configuration of the NE 1 according to the present embodiment.
  • the NE 1 includes, as hardware configurations, an LCT port 101, an NMS port 102, a GbE (Gigabit Ethernet) port 103, a MODEM (modem) port 104, a layer 2 switch (L2SW) 110, a CPU (Central processing). Unit) 120. It also has a memory for storing various programs and data, an input / output interface, and the like.
  • the NE 1 includes, as a software configuration, an OS (Operating System) 200, a network driver 201, an IP stack 202, a software bridge 203, a management plane application 204, and a security processing unit 220.
  • OS Operating System
  • the NE 1 includes, as a software configuration, an OS (Operating System) 200, a network driver 201, an IP stack 202, a software bridge 203, a management plane application 204, and a security processing unit 220.
  • the LCT port (local port) 101 is a physical port for local connection with an LCT (Local Craft Terminal) terminal 5 for maintenance work. Since the LCT port 101 is a local port for local connection, it is not used for main signal transfer. For example, when the maintenance person performs maintenance work, the LCT port 101 and the LCT terminal 5 are directly connected by a LAN cable (LAN connection) or the like.
  • the NMS port 102 is a physical port that is connected to perform monitoring control communication with the NMS 2 via the DCN 40.
  • the NMS port 102 is a monitoring control port for remotely connecting to the monitoring control path, and is not used for main signal transfer. For example, a wired connection is made between the NMS port 102 and the DCN 40 or between the NMS port 102 of another NE 1 by a LAN cable or the like. Further, a plurality of NMS ports 102 may be provided and a plurality of LAN cables may be connected.
  • the GbE port 103 is a physical port connected to perform user data (main signal) communication via Ethernet (registered trademark).
  • the routers 3 and 4 and other NE1 GbE ports 103 are wired by LAN cables or the like.
  • a plurality of GbE ports 103 may be provided and a plurality of LAN cables may be connected.
  • the MODEM port 104 is a physical port connected to perform wireless communication with another NE 1 via a wireless link.
  • An antenna for microwave communication is connected to the MODEM port 104.
  • a plurality of MODEM ports 104 may be provided to connect a plurality of antennas.
  • the GbE port 103 and the MODEM port 104 are main signal ports for connecting to the main signal path.
  • the LCT port 101, the NMS port 102, the GbE port 103, and the MODEM port 104 are not only physical ports but also layer 2 interfaces. In other words, each MAC address is assigned, and layer 2 communication is performed between the connected devices using the MAC address.
  • the layer 2 switch 110 is connected to the LCT port 101, the NMS port 102, the GbE port 103, and the MODEM port 104, and transfers a layer 2 frame between the ports.
  • the layer 2 switch 110 is also connected to the CPU 120 and transfers a monitoring control signal between the CPU 120 and each port.
  • the layer 2 switch 110 is a switch circuit that switches the main signal of the main signal path and the monitoring control signal of the monitoring control path, and can be said to be a main signal transfer unit. In addition, not only a layer 2 switch but a layer 3 switch and other switches may be used.
  • the layer 2 switch 110 stores an address table (not shown) and transfers a layer 2 frame according to the setting of the address table. For example, an entry associated with a VLAN ID, a MAC address, and a port number (physical port or CPU) is set in the address table.
  • the entries in the address table may be set from the CPU (control unit) 120, or may be automatically set according to various protocols such as STP (Spanning Tree Protocol) and ERP (Ethernet Ring Protection).
  • a VLAN Virtual Local Area Network
  • the VLAN is an example of a virtual network connection, and may be connected by another virtual connection.
  • An LCT VLANv1 is set between the LCT port 101 and the CPU 120
  • an NMS VLANv2 is set between the NMS port 102 and the CPU 120
  • an in-band management VLANv3 is set between the GbE port 103 and the CPU 120.
  • the VLANv4 for MODEM is set between the MODEM port 104 and the CPU 120.
  • a main signal path is set between the GbE port 103 and the MODEM port 104, and user data is transferred.
  • the network driver 201 transfers a monitoring control signal between the layer 2 switch 110 (CPU 120) and the IP stack 202.
  • the network driver 201 transfers the LCT VLANv1 frame to the LCT IF 211 of the IP stack 202, transfers the NMS VLANv2 frame to the NMS IF 212 of the IP stack 202, and transmits the VLANv3 frame for in-band management.
  • the frame is transferred to the in-band IF 213 of the IP stack 202, and the MODEL VLANv4 frame is transferred to the MODEF IF 214 of the IP stack 202.
  • the CPU 120 By transferring the monitoring control signal between the CPU 120 and each port via the layer 2 switch 110 and further transferring the monitoring control signal between the layer 2 switch 110 and the IP stack 202 via the network driver 201, the CPU 120 ( It can be said that (including blocks in the OS 200) realizes the supervisory control communication.
  • the IP stack 202 is an IP processing unit that processes frames according to an IP (Internet Protocol) protocol, and includes a software bridge 203. Since the IP stack 202 performs IP processing for LCT (local), an LCT IF 211 is set. For example, the LCT IF 211 is a layer 3 interface, and an IP address for LCT is set. The LCT IF 211 and the LCT port 101 are virtually connected by VLANv1, and the IP stack 202 performs layer 3 communication with the LCT terminal 5.
  • the IP stack 202 may perform address translation such as NAPT (Network Address Port Translation) as necessary. For example, using the software bridge 203 (IP address of the DCN network) from the LCT port 101 (IP address of the local network), address conversion is performed to access another NE1 (IP address of the DCN network) via the DCN 40. .
  • an NMS IF 212, an in-band IF 213, a MODEM IF 214, and a bridge IF 215 are set.
  • the NMS IF 212, the in-band IF 213, and the MODEM IF 214 are layer 2 interfaces, and MAC addresses (or VLANs) for the NMS, GbE, and MODEM are set.
  • the bridge IF 215 is a layer 3 interface, and an IP address for management (for monitoring control) is set.
  • the software bridge 203 transfers a frame between the NMS IF 212 and the bridge IF 215, transfers a frame between the in-band IF 213 and the bridge IF 215, and transfers a frame between the MODEM IF 214 and the bridge IF 215. Forward.
  • the management plane application 204 is a management application (monitoring control processing unit), and transmits and receives monitoring control signals to and from the NMS 2.
  • the management plane application 204 controls (sets) each port, the layer 2 switch 110, and the like according to the monitoring control signal from the NMS2. The same control can be performed from the locally connected LCT terminal 5.
  • the NMS IF 212 and the NMS port 102 are virtually connected by VLANv2, the MODEM IF 214 and the MODEM port 104 are virtually connected by VLANv4, and the in-band IF 213 and the GbE port 103 are virtually connected by VLANv3. Furthermore, the management plane application 204 performs layer 3 communication from the bridge IF 215 via the VLANs v2 to v4 and each port.
  • a path through the bridge IF 215, the NMS IF 212, the VLANv2, and the NMS port 102 is a monitoring control path for transmitting and receiving a monitoring control signal.
  • the security processing unit 220 performs attack detection, port blocking, and the like, as will be described later, as processing necessary for security measures.
  • the security processing unit 220 includes an unauthorized access detection unit, a port blocking unit (path separation unit), and the like. When blocking a physical port, switch the status of each port from enabled (ENABLE) to disabled (DISABLE). When the connection between the CPU 120 and each port is disconnected, the state of the VLAN between the CPU 120 and each port is switched from enabled (ENABLE) to disabled (DISABLE).
  • the flowchart in FIG. 4 shows an operation example of the network system according to the present embodiment.
  • the presence or absence of an attack is monitored in the network system to detect the attack (S101).
  • an attack on NE1 is detected by detecting an unauthorized event by log monitoring, monitoring CPU and memory usage, detecting anomalies by scanning viruses and malware, detecting unauthorized access and unauthorized communication by monitoring the number of connected sessions. Any one of these indices may be used, or detection may be performed using any of a plurality of indices.
  • An attack can be accurately detected by determining that the attack is detected when the plurality of indices are significantly higher than the normal average value.
  • the attack may be detected by any other method.
  • This attack may be detected by either NE1 or NMS20. That is, the security processing unit 220 of the NE 1 may detect and notify the detection result to the NMS 20, or the NMS 20 may monitor the NE 1 and detect the attacked NE 1.
  • processing corresponding to the presence / absence of a redundant path is performed as a response to the detected attack (S102 to S105).
  • the presence or absence of a redundant route may be determined by either NE1 or NMS20.
  • the layer 2 switch 110 can determine a redundant path using STP, ERP, or the like. Further, since the NMS 20 manages a plurality of NE1 paths, the redundant path can be determined.
  • the physical port of NE1 is blocked (S103), and NE1 is isolated from the network (S105). In this case, after isolating NE1, the main signal path is switched to the redundant path.
  • NE1 closes the NMS port 102, GbE port 103, and MODEM port 104, which are physical ports. At this time, the LCT port 101 is not blocked and is in a state where only local connection is possible. Restoration work can be performed by connecting the LCT terminal 5 locally.
  • Switching to the redundant path may be performed by either NE1 or NMS20.
  • the layer 2 switch 110 can switch the route using STP, ERP, or the like.
  • the NMS 20 manages a plurality of NE1 routes, it can be switched to a redundant route.
  • the connection between the physical port and the CPU in NE1 is disconnected (S104), and the CPU 120 in NE1 is isolated from the network (S105).
  • the NE 1 disconnects the VLAN connection (connection including the monitoring control path) among the NMS port 102, the GbE port 103, the MODEM port 104 and the CPU 120 which are physical ports. Since the physical port is not blocked, that is, the main signal path is not disconnected, the main signal path can be transferred. Further, the LCT port 101 is set in a state in which local connection is possible without disconnecting the CPU. Restoration work can be performed by connecting the LCT terminal 5 locally. Note that even if the CPU connection is disconnected, an intruder means via the layer 2 switch may be found by an attacker. Therefore, when there is a redundant route of the main signal, it is preferable to switch to the redundant route.
  • NE1 or NE1 CPU 120 By isolating NE1 or NE1 CPU 120 from the network (separation), the attacker's intrusion route can be blocked.
  • NE1 when there is a redundant path as a separation of the main signal path and monitoring control path of NE1, NE1 is separated from the network by switching to the redundant path and blocking the physical port, and there is no redundant path By disconnecting the CPU connection including the monitoring control path, the CPU 120 of NE1 is separated from the network. Note that the unauthorized account of NE1 in which the attack is detected may be locked out so that the unauthorized account cannot be logged in.
  • NE1 is reconnected to the network (S106).
  • the LCT terminal 5 is locally connected to the LCT port 101 to open the physical port or connect the physical port to the CPU and reconnect to the network (other NE1 and NMS2). Do.
  • the maintenance person reconnects after changing the alarm state of NE1 from the attack detection state (Alarm) to the normal state (Cleared).
  • reconnection is performed after initialization and resetting of NE1. For example, the NE1 setting information is backed up, reinstalled and reconfigured, and then reconnected to the network.
  • FIG. 5 shows an operation example when there is a redundant path.
  • the NE 1-2 detects an attack, the NE 1-2 notifies the NMS 2 of the detection of the attack (S111).
  • the NE 1-2 transmits an “SNMP Trap” message in which attack detection (Attack Detection Alarm) is set to the NMS2.
  • attack detection Attack Detection Alarm
  • the NMS 2 displays Alarm as necessary.
  • the NE 1-2 blocks physical ports other than the LCT port 101 (NMS port 102, GbE port 103, MODEM port 104) and isolates NE1-2 from the network (S112). .
  • the NMS 2 sets the route switching to the NE 1-4 (S113), and when the NE 1-4 receives the route switching setting from the NMS 2, the NMS 2 executes the route switching (S114).
  • the NMS 2 transmits to the NE 1-4 a “SNMP ⁇ ⁇ Set” message in which switching of the route via the NE 1-2 to the route via the NE 1-3 is set.
  • NE1-4 receives “SNMPSNSet”, it switches to the route via NE1-3.
  • the path switching is not controlled from the NMS 2 but may be autonomously performed between the NEs 1 using STP / ERP or the like. In this way, user data (main signal) can be relayed via NE1-3 by switching the route.
  • FIG. 6 shows an operation example when there is no redundant route.
  • the NE 1-2 detects an attack, the NE 1-2 notifies the NMS 2 of the detection of the attack, similarly to FIG. 5 (S121). Subsequently, since there is no redundant path, the NE 1-2 disconnects the CPU 120 from the physical ports (NMS port 102, GbE port 103, MODEM port 104) other than the LCT port 101 and the CPU 120 of the NE 1-2 from the network. Is isolated (S122). By disconnecting only the CPU connection in NE1-2, user data (main signal) can be relayed via the layer-2 switch 110 of NE1-2.
  • FIG. 7 shows an operation example when NE1 is reconnected.
  • mutual authentication is performed between the NMS 2 and the NE 1 to reconnect to the network.
  • the NMS 2 When the NE 1-2 is reconnected, the NMS 2 sets the NE 1-2 alarm state to the normal state (Cleared), and performs NE 1-2 alive monitoring (S102, S202) and mutual authentication (S203, S204).
  • the NMS 2 sends a “SNMPv3 get-request for Timestamp of SysUpTime” message to the NE1-2 at regular intervals using the user name registered in the NE1-2 to monitor the life of the NE1-2 (S201).
  • the NE 1-2 transmits a “SNMPv3 get-response for Timestamp of SysUpTime” message to the NMS 2 (S202).
  • the SysUpTime is not time-synchronized or cannot be time-synchronized. If the NMS 2 receives “SNMPv3 get-response for Timestamp of SysUpTime” within a predetermined period, the NMS 2 determines that NE1-2 is normal.
  • Diffie-Hellman key exchange (Diffie-HellmanmKey Exchange for DOCSIS-Based SNMPv3 Agents) processing is performed (S203).
  • key transmission from NMS2 to NE1-2 is performed by “SNMPv3 get-request” (S205) and “SNMPv3 get-response” (S206), and key transmission from NE1-2 to NMS2 is “SNMPv3 Trap with”. Timestamp of SysUpTime (Key Exchange Status: Success) "(S204).
  • NMS2 and NE1-2 determine that the authentication is successful when the received keys are successfully decrypted.
  • Diffie-Hellman key exchange is performed as an example of mutual authentication means, but other methods may be used.
  • the attack can be detected by one or both of NE1 and NMS20.
  • the NMS 20 determines that the abnormality is abnormal in the validity check, the NMS 20 transitions the NE1-2 alarm state to the attack detection state (Attack detection Alarm: Alarm) to prohibit the reconnection of the NE1-2.
  • NE1-2 sends “SNMPv3 Trap with Timestamp of SysUpTime (Attack detection Alarm: Alarm)” used for notification to NMS2 at the time of attack detection to NMS2 (S210). Do.
  • the alarm state of NE1-2 is an attack detection state (Alarm).
  • the path is switched to isolate the NE from the network, and if there is no redundant path, the NE internal CPU connection And the NE CPU is isolated from the network.
  • the NE to be attacked can be isolated from the network and the attacker can be prevented from entering the network without stopping the communication service due to the main signal.
  • the NMS and the NE perform mutual authentication and reconnect to the network. Thereby, the service can be safely restarted via the NE.
  • Each configuration in the above-described embodiment is configured by hardware and / or software, and may be configured by one piece of hardware or software, or may be configured by a plurality of pieces of hardware or software.
  • the function (processing) of each device may be realized by a computer having a CPU, a memory, and the like.
  • a control program for performing the control method according to the embodiment may be stored in the storage device, and each function may be realized by executing the control program stored in the storage device by the CPU.
  • Non-transitory computer readable media include various types of tangible storage media (tangible storage medium). Examples of non-transitory computer-readable media include magnetic recording media (eg flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg magneto-optical discs), CD-ROMs (Read Only Memory), CD-Rs, CD-R / W, semiconductor memory (for example, mask ROM, PROM (Programmable ROM), EPROM (Erasable ROM), flash ROM, RAM (random access memory)) are included.
  • the program may also be supplied to the computer by various types of temporary computer-readable media. Examples of transitory computer readable media include electrical signals, optical signals, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本発明に係るＮＥ（１０）は、ユーザデータのための主信号を他のＮＥ（１０）との間の主信号経路ｒ１で転送する主信号転送部（１１）と、監視制御のための監視制御信号を、ＮＭＳ（２０）との間の監視制御経路ｒ２で送受信する監視制御処理部（１２）と、不正アクセスが検知された場合、主信号経路ｒ１と監視制御経路ｒ２とを分離する経路分離部（１３）と、を備える。これにより、主信号による通信サービスへの影響を抑えることが可能なネットワーク装置を提供する。

Description

ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法
　本発明は、ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法に関し、特に、主信号を転送するネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法に関する。
　近年、ネットワークシステムの普及に伴って様々な脅威が深刻化しており、ネットワークシステムにおけるセキュリティ対策が不可欠となっている。セキュリティ対策に関連して、例えば、ネットワークシステムを構成する機器に対する攻撃（サイバー攻撃）などの不正アクセスに関する各種技術が開発されている。
　関連する技術として、特許文献１～５が知られている。例えば、特許文献１には不正アクセスを精度よく検出する解析技術が開示され、特許文献２にはボットネット感染を検出する技術が開示されている。また、特許文献３には、不正アクセスパケットをフィルタリングする技術が開示されている。特許文献４には、ネットワークノードの経路更新方法が開示され、ネットワークに流れるフレームを監視する監視方法が開示されている。
特開２０１５－１２１９６８号公報 特表２０１５－５０２０６０号公報 特開２００６－１１４９９１号公報 特開２０１４－１７５６８５号公報 特開２００８－２５２９２４号公報
　上記のように、関連する技術では、ネットワークシステムにおいて不正アクセス検知やフィルタリングを行っている。しかしながら、関連する技術では、不正アクセスを防ぐことができるものの、主信号（ユーザデータ）による通信サービスへの影響が考慮されていないという問題がある。
　本発明は、このような課題に鑑み、主信号による通信サービスへの影響を抑えることが可能なネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法を提供することを目的とする。
　本発明に係るネットワーク装置は、ユーザデータのための主信号を、他のネットワーク装置との間の主信号経路で転送する主信号転送部と、監視制御のための監視制御信号を、監視制御装置との間の監視制御経路で送受信する監視制御処理部と、不正アクセスが検知された場合、前記主信号経路と前記監視制御経路とを分離する経路分離部と、を備えるものである。
　本発明に係る監視制御装置は、ネットワークを構成するネットワーク装置を監視制御する監視制御装置であって、監視制御のための監視制御信号を、前記ネットワーク装置との間の監視制御経路で送受信する監視制御処理部と、前記ネットワーク装置への不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と前記監視制御経路とを分離する経路分離部と、を備えるものである。
　本発明に係るネットワークシステムは、ネットワークを構成するネットワーク装置と前記ネットワーク装置を監視制御する監視制御装置とを備えたネットワークシステムであって、前記ネットワーク装置への不正アクセスを検知する不正アクセス検知部と、前記不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と、前記ネットワーク装置と前記監視制御装置との間で監視制御のための監視制御信号を送受信する監視制御経路と、を分離する経路分離部と、を備えるものである。
　本発明に係るネットワーク装置の制御方法は、ネットワークを構成するネットワーク装置の制御方法であって、ユーザデータのための主信号を、他のネットワーク装置との間の主信号経路で転送し、監視制御のための監視制御信号を、監視制御装置との間の監視制御経路で送受信し、不正アクセスが検知された場合、前記主信号経路と前記監視制御経路とを分離するものである。
　本発明に係る監視制御装置の制御方法は、ネットワークを構成するネットワーク装置を監視制御する監視制御装置の制御方法であって、監視制御のための監視制御信号を、前記ネットワーク装置との間の監視制御経路で送受信し、前記ネットワーク装置への不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と前記監視制御経路とを分離するものである。
　本発明に係るネットワークシステムの制御方法は、ネットワークを構成するネットワーク装置と前記ネットワーク装置を監視制御する監視制御装置とを備えたネットワークシステムの制御方法であって、前記ネットワーク装置への不正アクセスを検知し、前記不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と、前記ネットワーク装置と前記監視制御装置との間で監視制御のための監視制御信号を送受信する監視制御経路と、を分離するものである。
　本発明によれば、主信号による通信サービスへの影響を抑えることが可能なネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法を提供することができる。
実施の形態に係るネットワークシステムの概要を示す構成図である。 実施の形態１に係るネットワークシステムの構成例を示す構成図である。 実施の形態１に係るネットワーク装置の構成例を示す構成図である。 実施の形態１に係るネットワークシステムの動作例を示すフローチャートである。 実施の形態１に係るネットワークシステムの動作例を説明するための説明図である。 実施の形態１に係るネットワークシステムの動作例を説明するための説明図である。 実施の形態１に係るネットワークシステムの動作例を説明するためのシーケンス図である。
（実施の形態の概要）
　図１は、実施の形態に係るネットワークシステムの概要を示している。図１に示すようにネットワークシステム１００は、主に、複数のＮＥ（Network Element：ネットワーク装置）１０とＮＭＳ（Network Management System：ネットワーク管理装置）２０を備えている。
　複数のＮＥ１０の間の主信号経路ｒ１で、ユーザデータのための主信号が転送され、複数のＮＥ１０とＮＭＳ２０との間の監視制御経路ｒ２で、ＮＥ１０を監視制御するための監視制御信号が送受信される。
　ＮＥ１０は、主信号転送部１１、監視制御処理部１２、経路分離部１３を備えている。主信号転送部１１は、他のＮＥ１０との間で主信号経路ｒ１を介して主信号を転送し、監視制御処理部１２は、ＮＭＳ２０との間で監視制御経路ｒ２を介して監視制御信号を送受信し処理する。経路分離部１３は、ＮＥ１０への不正アクセスが検知された場合、主信号経路ｒ１と監視制御経路ｒ２とを分離する。
　ＮＭＳ２０は、監視制御処理部２１、経路分離部２２を備えている。監視制御処理部２１は、ＮＥ１０との間で監視制御経路ｒ２を介して監視制御信号を送受信し処理する。経路分離部２２は、ＮＥ１０への不正アクセスが検知された場合、ＮＥ１０間の主信号経路ｒ１と監視制御経路ｒ２とを分離する。なお、経路分離部は、ＮＥ１０またはＮＭＳ２０のいずれかに設けられていればよい。また、ＮＥ１０またはＮＭＳ２０のいずれかに、ＮＥ１０への不正アクセスを検知する不正アクセス検知部を備えていてもよい。
　サイバー攻撃の高度化に伴い、セキュリティ問題が深刻化しているが、保守者は攻撃者の侵入に気付かないことが多い。また、ネットワークを構成するＮＥにおいては、不正アクセスを検出してその不正アクセスの排除や拡散防止等の対処を行いつつ、ユーザデータの通信サービスを停止させないという要求もある。
　そこで、実施の形態では、上記のように、ＮＥへの不正アクセスが検知された場合、ＮＥ間で主信号を転送する主信号経路と、ＮＥとＮＭＳ間で監視制御信号を送受信する監視制御経路とを分離する。経路の分離には、後述するように、ＮＥ間の経路切り替えやＮＥ内部の接続関係の切断などが含まれる。これにより、不正アクセスへの対策を行いつつ、主信号への影響を抑えることができる。
（実施の形態１）
　以下、図面を参照して実施の形態１について説明する。図２は、本実施の形態に係るネットワークシステム３００の構成例を示している。
　図２に示すように、本実施の形態に係るネットワークシステム３００は、主に、複数のＮＥ（Network Element）１－１～１－５（いずれかをＮＥ１とも称する）とＮＭＳ（Network Management System）２を備えている。
　ＮＥ１は、例えば、マイクロ波通信装置（無線通信装置）であり、ＮＥ１－１～１－５は、マイクロ波ネットワーク（無線ネットワーク）３０を構成する。ＮＥ１－１～１－５は、隣接（対向）する装置間でポイントツーポイント接続（対向接続）され、マイクロ波リンク（無線リンク）もしくは有線通信ケーブルを介して接続されている。ＮＥ１－１～１－５は、マイクロ波リンクもしくは有線通信ケーブルを介して、主信号（ユーザデータ）を転送する。
　例えば、ＮＥ１－１とＮＥ１－２の間、ＮＥ１－１とＮＥ１－３の間、ＮＥ１－４とＮＥ１－５の間は、それぞれマイクロ波リンクを介して無線通信可能に接続されている。ＮＥ１－２とＮＥ１－４の間、ＮＥ１－１とＮＥ１－３の間は、有線通信ケーブルを介して有線通信可能に接続されている。
　また、ＮＥ１－１は、ルータ３を介して基地局３１及び３２と接続されている。ＮＥ１－５は、ルータ４を介してコアネットワーク５０と接続されている。ＮＥ１－５は、ＤＣＮ（Data Communications Network）４０を介してＮＭＳ２と接続されている。
　ＮＭＳ２は、複数のＮＥ１を監視制御（管理）する監視制御装置（管理装置）である。ＮＭＳ２は、ＤＣＮ４０を介して、複数のＮＥ１との間で監視制御信号（管理信号）を送受信する。なお、ＮＭＳ２と複数のＮＥ１とで監視制御信号を送受信できればよいため、ＮＭＳ２は、ＮＥ１－５に限らず任意のＮＥ１と接続されてもよいし、全てのＮＥ１に接続されてもよい。ＮＭＳ２は、サーバなどのコンピュータ装置で実現され、図１の監視制御処理部や経路分離部など、本実施の形態の動作に必要な機能を備えている。
　複数のＮＥ１は、無線リンクを介して、ＯＳＩ（Open Systems Interconnection）参照モデルのレイヤ２プロトコルに準拠した通信（レイヤ２通信）を行う。したがって、複数のＮＥ１は、レイヤ２通信によってユーザデータを中継（転送）する。例えば、複数のＮＥ１にそれぞれＭＡＣアドレスが割り当てられており、ユーザデータ用のレイヤ２ネットワークを構成する。このネットワークが、ユーザデータ（主信号）を通信するデータプレーンネットワーク（主信号ネットワーク）であり、ネットワークに含まれる経路がユーザデータ経路（主信号経路）であると言える。
　ルータ３及び４は、複数のＮＥ１が構成するマイクロ波ネットワーク３０（データプレーン）を介して、ユーザデータを送受信する。ルータ３及び４は、レイヤ３通信によってユーザデータを送受信する。例えば、ルータ３及び４にそれぞれＩＰアドレスが割り当てられており、ユーザデータ用のレイヤ３ネットワークを構成する。
　ＮＭＳ２と複数のＮＥ１は、レイヤ３プロトコルに準拠した通信（レイヤ３通信）を行う。したがって、ＮＭＳ２は、複数のＮＥ１との間で、レイヤ３通信によって監視制御信号を送受信する。例えば、ＮＭＳ２及び複数のＮＥ１にそれぞれＩＰアドレスが割り当てられており、監視制御用（管理用）のレイヤ３ネットワークを構成する。このネットワークが、監視制御信号（管理信号）を通信するマネジメントプレーンネットワーク（管理ネットワーク）であり、ネットワークに含まれる経路が監視制御経路（管理経路）であると言える。
　図３は、本実施の形態に係るＮＥ１のハードウェア構成及びソフトウェア構成を示している。図３に示すように、ＮＥ１は、ハードウェア構成として、ＬＣＴポート１０１、ＮＭＳポート１０２、ＧｂＥ（Gigabit Ethernet）ポート１０３、ＭＯＤＥＭ（モデム）ポート１０４、レイヤ２スイッチ（Ｌ２ＳＷ）１１０、ＣＰＵ（Central Processing Unit）１２０を備えている。また、各種プログラムやデータを記憶するメモリや入出力インタフェース等を備えている。
　ＮＥ１は、ソフトウェア構成として、ＯＳ（Operating System）２００に、ネットワークドライバ２０１、ＩＰスタック２０２、ソフトウェアブリッジ２０３、マネジメントプレーンアプリケーション２０４、セキュリティ処理部２２０を備えている。
　ＬＣＴポート（ローカルポート）１０１は、保守作業のためのＬＣＴ（Local Craft Terminal）端末５とローカル接続するための物理ポートである。ＬＣＴポート１０１は、ローカル接続用のローカルポートであるため、主信号転送用には使用されない。例えば、保守者が保守作業を行う際に、ＬＣＴポート１０１とＬＣＴ端末５との間をＬＡＮケーブル（ＬＡＮ接続）等により直接接続する。
　ＮＭＳポート１０２は、ＤＣＮ４０を介してＮＭＳ２との間で監視制御通信を行うために接続される物理ポートである。ＮＭＳポート１０２は、監視制御経路にリモート接続するための監視制御ポートであるため、主信号転送用には使用されない。例えば、ＮＭＳポート１０２とＤＣＮ４０との間や、他のＮＥ１のＮＭＳポート１０２との間をＬＡＮケーブル等により有線接続する。また、複数のＮＭＳポート１０２を備えて、複数のＬＡＮケーブルを接続してもよい。
　ＧｂＥポート１０３は、イーサネット（登録商標）を介してユーザデータ（主信号）通信を行うために接続される物理ポートである。例えば、ルータ３及び４や他のＮＥ１のＧｂＥポート１０３との間をＬＡＮケーブル等により有線接続する。なお、複数のＧｂＥポート１０３を備えて、複数のＬＡＮケーブルを接続してもよい。
　ＭＯＤＥＭポート１０４は、無線リンクを介して他のＮＥ１と無線通信を行うために接続される物理ポートである。ＭＯＤＥＭポート１０４には、マイクロ波通信用のアンテナが接続される。なお、複数のＭＯＤＥＭポート１０４を備えて、複数のアンテナを接続してもよい。ＧｂＥポート１０３及びＭＯＤＥＭポート１０４は、主信号経路に接続するための主信号ポートである。
　ＬＣＴポート１０１、ＮＭＳポート１０２、ＧｂＥポート１０３、ＭＯＤＥＭポート１０４は、物理ポートであるとともに、レイヤ２インタフェースでもある。すなわち、それぞれＭＡＣアドレスが割り当てられており、接続された装置間でＭＡＣアドレスを用いてレイヤ２通信を行う。
　レイヤ２スイッチ１１０は、ＬＣＴポート１０１、ＮＭＳポート１０２、ＧｂＥポート１０３、ＭＯＤＥＭポート１０４に接続され、各ポート間でレイヤ２フレームを転送する。また、レイヤ２スイッチ１１０は、ＣＰＵ１２０にも接続され、ＣＰＵ１２０と各ポート間で監視制御信号を転送する。レイヤ２スイッチ１１０は、主信号経路の主信号及び監視制御経路の監視制御信号をスイッチングするスイッチ回路であり、主信号転送部であると言える。なお、レイヤ２スイッチに限らず、レイヤ３スイッチやその他のスイッチでもよい。
　レイヤ２スイッチ１１０は、アドレステーブル（不図示）を記憶しており、アドレステーブルの設定にしたがってレイヤ２フレームを転送する。例えば、アドレステーブルには、ＶＬＡＮＩＤ、ＭＡＣアドレス及びポート番号（物理ポートまたはＣＰＵ）が関連付けられたエントリが設定されている。アドレステーブルのエントリは、ＣＰＵ（制御部）１２０から設定されてもよいし、ＳＴＰ（Spanning Tree Protocol）やＥＲＰ（Ethernet Ring Protection）等の各種プロトコルにしたがって自動的に設定してもよい。
　この例では、各ポートとＣＰＵ１２０との間をそれぞれ接続するためのＶＬＡＮ（Virtual Local Area Network）が設定されている。ＶＬＡＮは、仮想ネットワーク接続の一例であり、他の仮想接続により接続されてもよい。ＬＣＴポート１０１とＣＰＵ１２０との間にＬＣＴ用のＶＬＡＮｖ１が設定され、ＮＭＳポート１０２とＣＰＵ１２０との間にＮＭＳ用のＶＬＡＮｖ２が設定され、ＧｂＥポート１０３とＣＰＵ１２０との間にインバンド管理用のＶＬＡＮｖ３が設定され、ＭＯＤＥＭポート１０４とＣＰＵ１２０との間にＭＯＤＥＭ用のＶＬＡＮｖ４が設定されている。なお、ＧｂＥポート１０３とＭＯＤＥＭポート１０４の間に主信号経路が設定され、ユーザデータが転送される。
　ネットワークドライバ２０１は、レイヤ２スイッチ１１０（ＣＰＵ１２０）とＩＰスタック２０２の間で監視制御信号を転送する。ネットワークドライバ２０１は、ＬＣＴ用のＶＬＡＮｖ１のフレームをＩＰスタック２０２のＬＣＴ用ＩＦ２１１に転送し、ＮＭＳ用のＶＬＡＮｖ２のフレームをＩＰスタック２０２のＮＭＳ用ＩＦ２１２に転送し、インバンド管理用のＶＬＡＮｖ３のフレームをＩＰスタック２０２のインバンド用ＩＦ２１３に転送し、ＭＯＤＥＭ用のＶＬＡＮｖ４のフレームをＩＰスタック２０２のＭＯＤＥＭ用ＩＦ２１４に転送する。レイヤ２スイッチ１１０を介してＣＰＵ１２０と各ポート間で監視制御信号を転送し、さらに、ネットワークドライバ２０１を介してレイヤ２スイッチ１１０とＩＰスタック２０２の間で監視制御信号を転送することで、ＣＰＵ１２０（ＯＳ２００内のブロック含む）が監視制御通信を実現していると言える。
　ＩＰスタック２０２は、ＩＰ（Internet Protocol）プロトコルにしたがってフレームを処理するＩＰ処理部であり、ソフトウェアブリッジ２０３を有する。ＩＰスタック２０２は、ＬＣＴ用（ローカル用）のＩＰ処理を行うため、ＬＣＴ用ＩＦ２１１が設定されている。例えば、ＬＣＴ用ＩＦ２１１は、レイヤ３インタフェースであり、ＬＣＴ用のＩＰアドレスが設定されている。ＬＣＴ用ＩＦ２１１とＬＣＴポート１０１がＶＬＡＮｖ１で仮想的に接続され、ＩＰスタック２０２はＬＣＴ端末５とレイヤ３通信を行う。ＩＰスタック２０２は、必要に応じてＮＡＰＴ（Network Address Port Translation）などのアドレス変換を行ってもよい。例えば、ＬＣＴポート１０１（ローカルネットワークのＩＰアドレス）よりソフトウェアブリッジ２０３（ＤＣＮネットワークのＩＰアドレス）を使用して、ＤＣＮ４０経由で他のＮＥ１（ＤＣＮネットワークのＩＰアドレス）にアクセスするためにアドレス変換を行う。
　また、ＩＰスタック２０２は、ＮＭＳ、ＧｂＥ、及びＭＯＤＥＭ用のＩＰ処理を行うため、ＮＭＳ用ＩＦ２１２、インバンド用ＩＦ２１３、ＭＯＤＥＭ用ＩＦ２１４、及びブリッジ用ＩＦ２１５が設定されている。例えば、ＮＭＳ用ＩＦ２１２、インバンド用ＩＦ２１３、及びＭＯＤＥＭ用ＩＦ２１４は、レイヤ２インタフェースであり、ＮＭＳ、ＧｂＥ、及びＭＯＤＥＭ用のＭＡＣアドレス（もしくはＶＬＡＮ）が設定されている。ブリッジ用ＩＦ２１５は、レイヤ３インタフェースであり、管理用（監視制御用）のＩＰアドレスが設定されている。ソフトウェアブリッジ２０３は、ＮＭＳ用ＩＦ２１２とブリッジ用ＩＦ２１５との間でフレームを転送し、インバンド用ＩＦ２１３とブリッジ用ＩＦ２１５との間でフレームを転送し、ＭＯＤＥＭ用ＩＦ２１４とブリッジ用ＩＦ２１５との間でフレームを転送する。
　マネジメントプレーンアプリケーション２０４は、管理用アプリケーション（監視制御処理部）であり、ＮＭＳ２との間で監視制御信号の送受信を行う。マネジメントプレーンアプリケーション２０４は、ＮＭＳ２からの監視制御信号にしたがって、各ポートやレイヤ２スイッチ１１０等を制御（設定）する。また、ローカル接続されたＬＣＴ端末５からも同様に制御可能である。
　ＮＭＳ用ＩＦ２１２とＮＭＳポート１０２がＶＬＡＮｖ２で仮想的に接続され、ＭＯＤＥＭ用ＩＦ２１４とＭＯＤＥＭポート１０４がＶＬＡＮｖ４で仮想的に接続され、インバンド用ＩＦ２１３とＧｂＥポート１０３がＶＬＡＮｖ３で仮想的に接続される。さらに、マネジメントプレーンアプリケーション２０４は、ブリッジ用ＩＦ２１５から、ＶＬＡＮｖ２～ｖ４及び各ポートを介してレイヤ３通信を行う。ブリッジ用ＩＦ２１５、ＮＭＳ用ＩＦ２１２、ＶＬＡＮｖ２、及びＮＭＳポート１０２を介した経路が監視制御信号を送受信する監視制御経路である。
　セキュリティ処理部２２０は、セキュリティ対策に必要な処理として、後述のように、攻撃の検知やポート閉塞等を行う。セキュリティ処理部２２０は、不正アクセス検知部やポート閉塞部（経路分離部）など含んでいる。物理ポートを閉塞する場合、各ポートの状態を有効（ENABLE）から無効（DISABLE）に切り替える。ＣＰＵ１２０と各ポートの接続を切断する場合、ＣＰＵ１２０と各ポート間のＶＬＡＮの状態を有効（ENABLE）から無効（DISABLE）に切り替える。
　図４のフローチャートは、本実施の形態に係るネットワークシステムの動作例を示している。
　図４に示すように、ネットワークシステムにおいて攻撃の有無を監視し、攻撃を検知する（Ｓ１０１）。例えば、ログ監視による不正イベント検出、ＣＰＵ及びメモリ使用率監視、ウイルス及びマルウェアスキャンによる異常検出、接続セッション数監視による不正アクセス及び不正通信検出などにより、ＮＥ１への攻撃を検知する。これらのうちいずれかの指標を用いてもよいし、任意の複数の指標を用いて検知してもよい。これらの複数の指標が通常の平均値よりも大幅に高い場合に攻撃検知と判断することで、精度よく攻撃を検知することができる。なお、その他の任意の方法で攻撃を検知してもよい。
　この攻撃の検知は、ＮＥ１またはＮＭＳ２０のいずれかで行ってもよい。すなわち、ＮＥ１のセキュリティ処理部２２０で検知し、検知結果をＮＭＳ２０へ通知してもよいし、ＮＭＳ２０がＮＥ１を監視し、攻撃されているＮＥ１を検知してもよい。
　次に、検知した攻撃への対応として、冗長経路の有無に応じた処理を行う（Ｓ１０２～Ｓ１０５）。ここでは、攻撃が検知されたＮＥ１を含む経路に冗長経路があるか否か判定する（Ｓ１０２）。冗長経路の有無は、ＮＥ１またはＮＭＳ２０のいずれかで判定してもよい。例えば、ＮＥ１では、レイヤ２スイッチ１１０がＳＴＰやＥＲＰ等を用いて、冗長経路を判定することができる。また、ＮＭＳ２０では、複数のＮＥ１の経路を管理しているため、冗長経路を判定することができる。
　冗長経路ありと判定された場合、ＮＥ１の物理ポートを閉塞し（Ｓ１０３）、ＮＥ１をネットワークから隔離する（Ｓ１０５）。この場合、ＮＥ１を隔離した後、主信号経路を冗長経路に切り替える。
　ＮＥ１は、物理ポートであるＮＭＳポート１０２、ＧｂＥポート１０３、ＭＯＤＥＭポート１０４を閉塞する。このとき、ＬＣＴポート１０１は閉塞せずに、ローカル接続のみ可能な状態にしておく。ＬＣＴ端末５をローカル接続することで復旧作業を行うことができる。
　冗長経路への切り替えは、ＮＥ１またはＮＭＳ２０のいずれかで行ってもよい。例えば、ＮＥ１では、レイヤ２スイッチ１１０がＳＴＰやＥＲＰ等を用いて経路を切り替えることができる。また、ＮＭＳ２０では、複数のＮＥ１の経路を管理しているため、冗長経路に切り替えることができる。
　冗長経路なしと判定された場合、ＮＥ１における物理ポートとＣＰＵ間の接続を切断し（Ｓ１０４）、ＮＥ１のＣＰＵ１２０をネットワークから隔離する（Ｓ１０５）。ＮＥ１は、物理ポートであるＮＭＳポート１０２、ＧｂＥポート１０３、ＭＯＤＥＭポート１０４とＣＰＵ１２０間のＶＬＡＮ接続（監視制御経路を含む接続）を切断する。物理ポートは閉塞しない、すなわち、主信号経路を切断しないため、主信号経路の転送は可能である。また、ＬＣＴポート１０１はＣＰＵとの接続を切断せずに、ローカル接続可能な状態にしておく。ＬＣＴ端末５をローカル接続することで復旧作業を行うことができる。なお、ＣＰＵ接続を切断してもレイヤ２スイッチ経由での侵入手段を攻撃者に発見される可能性があるため、主信号の冗長経路がある場合、冗長経路へ切り替えることが好ましい。
　ＮＥ１もしくはＮＥ１のＣＰＵ１２０をネットワークから隔離（分離）することで攻撃者の侵入経路を遮断することができる。本実施の形態では、ＮＥ１の主信号経路と監視制御経路の分離として、冗長経路ありの場合、冗長経路への切り替えと物理ポート閉塞を行うことによりＮＥ１をネットワークから分離し、冗長経路なしの場合、監視制御経路を含むＣＰＵ接続を切断することでＮＥ１のＣＰＵ１２０をネットワークから分離している。なお、攻撃が検知されたＮＥ１の不正アカウントをロックアウトし、不正アカウントではログインできない状態としてもよい。
　その後、復旧処理として、安全性が確認された後、ＮＥ１をネットワークへ再接続する（Ｓ１０６）。保守者が安全と判断した場合、ＬＣＴポート１０１にＬＣＴ端末５をローカル接続することで、物理ポートの開放、もしくは、物理ポートとＣＰＵを接続し、ネットワーク（他のＮＥ１及びＮＭＳ２）へ再接続を行う。このとき、保守者がＮＥ１の警報状態を攻撃検知状態（Ａｌａｒｍ）から通常状態（Ｃｌｅａｒｅｄ）へ変更後に再接続する。また、保守者が危険と判断した場合、ＮＥ１の初期化及び再設定後に再接続する。例えば、ＮＥ１の設定情報をバックアップし、再インストール及び再設定を行った後、ネットワークへ再接続を行う。
　図５は、冗長経路ありの場合の動作例を示している。図５の例では、ＮＥ１－２が攻撃を検知すると、ＮＥ１－２からＮＭＳ２へ攻撃の検知を通知する（Ｓ１１１）。ＮＥ１－２は、攻撃検知（Attack Detection Alarm）を設定した「ＳＮＭＰ Ｔｒａｐ」メッセージをＮＭＳ２へ送信する。ＮＭＳ２は、攻撃の検知を受け付けると、必要に応じてＡｌａｒｍの表示等を行う。続いて、ＮＥ１－２は、冗長経路が存在するため、ＬＣＴポート１０１以外の物理ポート（ＮＭＳポート１０２、ＧｂＥポート１０３、ＭＯＤＥＭポート１０４）を閉塞し、ネットワークからＮＥ１－２を隔離する（Ｓ１１２）。
　続いて、ＮＭＳ２は、ＮＥ１－４に経路切り替えの設定を行い（Ｓ１１３）、ＮＥ１－４は、ＮＭＳ２から経路切り替えの設定を受け付けると、経路の切り替えを実行する（Ｓ１１４）。ＮＭＳ２は、ＮＥ１－２を介した経路を、ＮＥ１－３を介した経路への切り替えを設定した「ＳＮＭＰ Ｓｅｔ」メッセージをＮＥ１－４へ送信する。ＮＥ１－４は、「ＳＮＭＰ Ｓｅｔ」を受信すると、ＮＥ１－３を介した経路へ切り替える。なお、上記のように、経路切り替えはＮＭＳ２からの制御ではなく、ＮＥ１間でＳＴＰ／ＥＲＰ等を使用して自律的に実施してもよい。このように、経路を切り替えることで、ＮＥ１－３を介してユーザデータ（主信号）を中継することができる。
　図６は、冗長経路なしの場合の動作例を示している。図６の例では、ＮＥ１－２が攻撃を検知すると、図５と同様に、ＮＥ１－２からＮＭＳ２へ攻撃の検知を通知する（Ｓ１２１）。続いて、ＮＥ１－２は、冗長経路が存在しないため、ＬＣＴポート１０１以外の物理ポート（ＮＭＳポート１０２、ＧｂＥポート１０３、ＭＯＤＥＭポート１０４）とＣＰＵ１２０の接続を切断し、ネットワークからＮＥ１－２のＣＰＵ１２０を隔離する（Ｓ１２２）。ＮＥ１－２内部のＣＰＵ接続のみを切断することで、ＮＥ１－２のレイヤ２スイッチ１１０を介してユーザデータ（主信号）を中継することができる。
　図７は、ＮＥ１の再接続時の動作例を示している。本実施の形態では、保守者による安全性の確認後、ＮＭＳ２とＮＥ１間で相互認証を行い、ネットワークに再接続する。
　ＮＭＳ２は、ＮＥ１－２が再接続されると、ＮＥ１－２の警報状態を通常状態（Ｃｌｅａｒｅｄ）として、ＮＥ１－２の死活監視（Ｓ１０２、Ｓ２０２）と相互認証（Ｓ２０３、Ｓ２０４）を行う。
　ＮＭＳ２は、ＮＥ１－２の死活監視のため、ＮＥ１－２に登録済みのユーザ名を使用して一定周期で「ＳＮＭＰｖ３ ｇｅｔ-ｒｅｑｕｅｓｔ ｆｏｒ Ｔｉｍｅｓｔａｍｐ ｏｆ ＳｙｓＵｐＴｉｍｅ」メッセージをＮＥ１－２に送信し（Ｓ２０１）、ＮＥ１－２は、ＮＭＳ２へ「ＳＮＭＰｖ３ ｇｅｔ-ｒｅｓｐｏｎｓｅ ｆｏｒ Ｔｉｍｅｓｔａｍｐ ｏｆ ＳｙｓＵｐＴｉｍｅ」メッセージを送信する（Ｓ２０２）。なお、ここでは、ＳｙｓＵｐＴｉｍｅは時刻同期していない、または時刻同期できない環境を想定する。ＮＭＳ２は、所定期間内に「ＳＮＭＰｖ３ ｇｅｔ-ｒｅｓｐｏｎｓｅ ｆｏｒ Ｔｉｍｅｓｔａｍｐ ｏｆ ＳｙｓＵｐＴｉｍｅ」を受信した場合、ＮＥ１－２は正常であると判断する。
　また、ＮＭＳ２とＮＥ１－２の間で相互認証を行うため、Ｄｉｆｆｉｅ-Ｈｅｌｌｍａｎ鍵交換（Ｄｉｆｆｉｅ-Ｈｅｌｌｍａｎ Ｋｅｙ Ｅｘｃｈａｎｇｅ ｆｏｒ ＤＯＣＳＩＳ-Ｂａｓｅｄ ＳＮＭＰｖ３ Ａｇｅｎｔｓ）処理を行う（Ｓ２０３）。例えば、ＮＭＳ２からＮＥ１－２への鍵送信は、「ＳＮＭＰｖ３ ｇｅｔ-ｒｅｑｕｅｓｔ」（Ｓ２０５）、「ＳＮＭＰｖ３ ｇｅｔ-ｒｅｓｐｏｎｓｅ」（Ｓ２０６）により行い、ＮＥ１－２からＮＭＳ２への鍵送信は、「ＳＮＭＰｖ３ Ｔｒａｐ ｗｉｔｈ Ｔｉｍｅｓｔａｍｐ ｏｆ ＳｙｓＵｐＴｉｍｅ(Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｓｔａｔｕｓ: Ｓｕｃｃｅｓｓ)」により行う（Ｓ２０４）。ＮＭＳ２及びＮＥ１－２は、受信した鍵を互いに解読できた場合に、認証成功と判断する。なおこの例では、相互認証手段の例として、Ｄｉｆｆｉｅ-Ｈｅｌｌｍａｎ鍵交換を行うが、他の方法を用いてもよい。
　死活監視と相互認証により複数チェック（多層チェック）を行う。ＮＭＳ２は、最新のｇｅｔ-ｒｅｓｐｏｎｓｅとＫｅｙ Ｅｘｃｈａｎｇｅ ＴｒａｐのＳｙｓＵｐＴｉｍｅを比較して正当性をチェックする。ｇｅｔ-ｒｅｓｐｏｎｓｅ (ＳｙｓＵｐＴｉｍｅ)＝Ｔｎとし、Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｔｒａｐ (ＳｙｓＵｐＴｉｍｅ)＝Ｔｋとして、例えば、（死活監視の定周期間隔）＞ Ｔｋ - Ｔｎの関係を満たすかどうかで正当性をチェックする。これにより、ＵＤＰベースの信頼性が低いＳＮＭＰでも多層チェックにより安全性を高めることができる。
　攻撃の検知は、上記のように、ＮＥ１またはＮＭＳ２０の一方もしくは両方で行うことができる。例えば、ＮＭＳ２０は、正当性チェックで異常と判断すると、ＮＥ１－２の再接続を禁止するために、ＮＥ１－２の警報状態を攻撃検知状態(Ａｔｔａｃｋ ｄｅｔｅｃｔｉｏｎ Ａｌａｒｍ: Ａｌａｒｍ)に遷移させる。ＮＥ１－２は攻撃検知時にＮＭＳ２への通知に使用する、「ＳＮＭＰｖ３ Ｔｒａｐ ｗｉｔｈ Ｔｉｍｅｓｔａｍｐ ｏｆ ＳｙｓＵｐＴｉｍｅ(Ａｔｔａｃｋ ｄｅｔｅｃｔｉｏｎ Ａｌａｒｍ: Ａｌａｒｍ)」をＮＭＳ２へ送信し（Ｓ２１０）、上述のような冗長経路に応じた処理を行う。このとき、ＮＥ１－２の警報状態は攻撃検知状態（Ａｌａｒｍ）である。
　以上のように、本実施の形態では、ネットワークを構成するＮＥにおいて不正アクセスを検知した場合、冗長経路があれば経路を切り替えてＮＥをネットワークから隔離し、冗長経路がなければＮＥ内部のＣＰＵ接続を切断しＮＥのＣＰＵをネットワークから隔離する。これにより、不正アクセスを検知した場合に、ユーザデータの通信を停止することなく、ユーザデータの通信を維持しながら、自装置、または自装置の最低限の通信機能以外をネットワークから切り離すことができる。したがって、主信号による通信サービスの停止を伴うことなく、攻撃対象のＮＥをネットワークより隔離して攻撃者のネットワーク侵入を遮断することができる。
　また、攻撃を検知したＮＥが自律的にネットワークより離脱した後、保守者による安全性が確認できれば、ＮＭＳとＮＥは相互認証を行い、ネットワークに再接続する。これにより、当該ＮＥを介して安全にサービスを再開することができる。
　なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
　上述の実施形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成してもよいし、複数のハードウェア又はソフトウェアから構成してもよい。各装置の機能（処理）を、ＣＰＵやメモリ等を有するコンピュータにより実現してもよい。例えば、記憶装置に実施形態における制御方法を行うための制御プログラムを格納し、各機能を、記憶装置に格納された制御プログラムをＣＰＵで実行することにより実現してもよい。
　これらのプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　この出願は、２０１７年３月３日に出願された日本出願特願２０１７－０４７５７４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
１、１０　ＮＥ
２、２０　ＮＭＳ
３、４　　ルータ
５　　　　ＬＣＴ端末
１１　　　主信号転送部
１２　　　監視制御処理部
１３　　　経路分離部
２１　　　監視制御処理部
２２　　　経路分離部
３０　　　マイクロ波ネットワーク
３１、３２　基地局
５０　　　コアネットワーク
１００　　ネットワークシステム
１０１　　ＬＣＴポート
１０２　　ＮＭＳポート
１０３　　ＧｂＥポート
１０４　　ＭＯＤＥＭポート
１１０　　レイヤ２スイッチ
１２０　　ＣＰＵ
２００　　ＯＳ
２０１　　ネットワークドライバ
２０２　ＩＰスタック
２０３　　ソフトウェアブリッジ
２０４　　マネジメントプレーンアプリケーション
２１１　　ＬＣＴ用ＩＦ
２１２　　ＮＭＳ用ＩＦ
２１３　　インバンド用ＩＦ
２１４　　ＭＯＤＥＭ用ＩＦ
２１５　　ブリッジ用ＩＦ
２２０　　セキュリティ処理部
３００　　ネットワークシステム

Claims (18)

  1. 　ユーザデータのための主信号を、他のネットワーク装置との間の主信号経路で転送する主信号転送手段と、
    　監視制御のための監視制御信号を、監視制御装置との間の監視制御経路で送受信する監視制御処理手段と、
    　不正アクセスが検知された場合、前記主信号経路と前記監視制御経路とを分離する経路分離手段と、
    　を備える、ネットワーク装置。
  2. 　前記経路分離手段は、前記主信号経路に冗長経路がある場合、前記不正アクセスが検知されたネットワーク装置を含む主信号経路を前記冗長経路へ切り替える、
    　請求項１に記載のネットワーク装置。
  3. 　前記経路分離手段は、前記監視制御装置からの制御に応じて前記主信号経路を前記冗長経路へ切り替える、
    　請求項２に記載のネットワーク装置。
  4. 　前記経路分離手段は、前記他のネットワーク装置との間で前記主信号経路を制御する経路制御プロトコルにしたがって、前記主信号経路を前記冗長経路へ切り替える、
    　請求項２に記載のネットワーク装置。
  5. 　前記主信号経路に接続する主信号ポートと、
    　前記監視制御経路に接続する監視制御ポートと、を備え、
    　前記経路分離手段は、前記主信号経路に冗長経路がある場合、前記主信号ポート及び前記監視制御ポートを閉塞する、
    　請求項１乃至４のいずれか一項に記載のネットワーク装置。
  6. 　前記主信号ポートは、無線通信アンテナを接続する無線通信ポートまたは有線通信ケーブルを接続する有線通信ポートを含む、
    　請求項５に記載のネットワーク装置。
  7. 　端末装置をローカル接続するローカルポートを備え、
    　前記経路分離手段は、前記主信号経路に冗長経路がある場合、前記ローカルポートを閉塞せずに、前記主信号ポート及び前記監視制御ポートを閉塞する、
    　請求項５または６に記載のネットワーク装置。
  8. 　前記主信号経路の主信号及び前記監視制御経路の監視制御信号をスイッチングするスイッチ回路を備え、
    　前記経路分離手段は、前記主信号経路に冗長経路がない場合、前記スイッチ回路における前記主信号経路を切断せずに前記監視制御経路を切断する、
    　請求項１乃至７のいずれか一項に記載のネットワーク装置。
  9. 　前記主信号経路及び前記監視制御経路は、前記スイッチ回路において仮想ネットワーク接続されており、
    　前記経路分離手段は、前記主信号経路の仮想ネットワーク接続を切断せずに前記監視制御経路の仮想ネットワーク接続を切断する、
    　請求項８に記載のネットワーク装置。
  10. 　前記主信号経路に接続する主信号ポートと、
    　前記監視制御経路に接続する監視制御ポートと、を備え、
    　前記経路分離手段は、前記主信号ポートを介した前記主信号経路を切断せずに、前記監視制御ポートを介した前記監視制御経路を切断する、
    　請求項８または９に記載のネットワーク装置。
  11. 　端末装置をローカル接続するローカルポートを備え、
    　前記経路分離手段は、前記ローカルポートを介した接続及び前記主信号ポートを介した前記主信号経路を切断せずに、前記監視制御ポートを介した前記監視制御経路を切断する、
    　請求項１０に記載のネットワーク装置。
  12. 　前記主信号経路と前記監視制御経路とを分離した後、前記監視制御経路を含むネットワークに再接続する再接続処理手段を備える、
    　請求項１乃至１１のいずれか一項に記載のネットワーク装置。
  13. 　前記再接続処理手段は、前記再接続する場合に、前記監視制御装置との間で相互認証処理を行う、
    　請求項１２に記載のネットワーク装置。
  14. 　ネットワークを構成するネットワーク装置を監視制御する監視制御装置であって、
    　監視制御のための監視制御信号を、前記ネットワーク装置との間の監視制御経路で送受信する監視制御処理手段と、
    　前記ネットワーク装置への不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と前記監視制御経路とを分離する経路分離手段と、
    　を備える、監視制御装置。
  15. 　ネットワークを構成するネットワーク装置と前記ネットワーク装置を監視制御する監視制御装置とを備えたネットワークシステムであって、
    　前記ネットワーク装置への不正アクセスを検知する不正アクセス検知手段と、
    　前記不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と、前記ネットワーク装置と前記監視制御装置との間で監視制御のための監視制御信号を送受信する監視制御経路と、を分離する経路分離手段と、
    　を備える、ネットワークシステム。
  16. 　ネットワークを構成するネットワーク装置の制御方法であって、
    　ユーザデータのための主信号を、他のネットワーク装置との間の主信号経路で転送し、
    　監視制御のための監視制御信号を、監視制御装置との間の監視制御経路で送受信し、
    　不正アクセスが検知された場合、前記主信号経路と前記監視制御経路とを分離する、
    　ネットワーク装置の制御方法。
  17. 　ネットワークを構成するネットワーク装置を監視制御する監視制御装置の制御方法であって、
    　監視制御のための監視制御信号を、前記ネットワーク装置との間の監視制御経路で送受信し、
    　前記ネットワーク装置への不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と前記監視制御経路とを分離する、
    　監視制御装置の制御方法。
  18. 　ネットワークを構成するネットワーク装置と前記ネットワーク装置を監視制御する監視制御装置とを備えたネットワークシステムの制御方法であって、
    　前記ネットワーク装置への不正アクセスを検知し、
    　前記不正アクセスが検知された場合、前記ネットワーク装置がユーザデータのための主信号を転送する主信号経路と、前記ネットワーク装置と前記監視制御装置との間で監視制御のための監視制御信号を送受信する監視制御経路と、を分離する、
    　ネットワークシステムの制御方法。
PCT/JP2018/004127 2017-03-13 2018-02-07 ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法 WO2018168262A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/493,408 US20200128029A1 (en) 2017-03-13 2018-02-07 Network device, monitoring and control device, network system, and control method therefor

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-047574 2017-03-13
JP2017047574 2017-03-13

Publications (1)

Publication Number Publication Date
WO2018168262A1 true WO2018168262A1 (ja) 2018-09-20

Family

ID=63522995

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/004127 WO2018168262A1 (ja) 2017-03-13 2018-02-07 ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法

Country Status (2)

Country Link
US (1) US20200128029A1 (ja)
WO (1) WO2018168262A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109274748A (zh) * 2018-09-30 2019-01-25 西安科技大学 数据可靠传输方法及应用其的电力设备监测数据传输方法

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200242251A1 (en) * 2019-01-24 2020-07-30 Citrix Systems, Inc. Providing application security, validation and profiling to an application

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014147120A (ja) * 2010-12-09 2014-08-14 Nec Corp 制御装置、制御方法、及び通信システム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014147120A (ja) * 2010-12-09 2014-08-14 Nec Corp 制御装置、制御方法、及び通信システム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109274748A (zh) * 2018-09-30 2019-01-25 西安科技大学 数据可靠传输方法及应用其的电力设备监测数据传输方法
CN109274748B (zh) * 2018-09-30 2021-06-25 西安科技大学 数据可靠传输方法及应用其的电力设备监测数据传输方法

Also Published As

Publication number Publication date
US20200128029A1 (en) 2020-04-23

Similar Documents

Publication Publication Date Title
JP5062967B2 (ja) ネットワークアクセス制御方法、およびシステム
US9019840B2 (en) CFM for conflicting MAC address notification
JP5065941B2 (ja) スイッチ装置およびネットワークシステム
US8181240B2 (en) Method and apparatus for preventing DOS attacks on trunk interfaces
US9813448B2 (en) Secured network arrangement and methods thereof
JP6387195B2 (ja) 通信装置及びシステム及び方法
US20070101422A1 (en) Automated network blocking method and system
US8792337B2 (en) Method and apparatus for providing an uplink over an access ring
EP2207307B1 (en) Method for processing the failure of the slave port of the master node in an ethernet ring network system
CA2581056C (en) Intrusion detection in an ip connected security system
JP2007525895A (ja) ネットワークトポロジのための回復機構
WO2018168262A1 (ja) ネットワーク装置、監視制御装置、ネットワークシステム及びそれらの制御方法
KR20180069843A (ko) Can 컨트롤러에 의해 버스에 연결된 노드를 이용하여 can 버스에서의 조작을 방지하기 위한 방법 및 장치
KR101887544B1 (ko) Sdn 기반의 마이크로 서버 관리 시스템에 대한 네트워크 공격 차단 시스템
KR101453758B1 (ko) 네트워크 장애 발생에 대비한 네트워크 운용방법
JP5113124B2 (ja) パケットネットワークにおける障害監視システム
Lam et al. Network management requirements for mpls-based transport networks
US11316904B2 (en) Network switches with secured switch ports to baseboard management controllers
KR101449422B1 (ko) 스카다시스템에서 플랜트 자동복구 및 보안 시스템
JP5518771B2 (ja) 冗長ネットワークシステム、終端装置及び中継点隣接装置
KR101092090B1 (ko) ＤＤｏＳ 공격의 대응 시스템 및 방법
CN113382023A (zh) 一种专网跨网监管的方法和系统
CN113364734B (zh) 一种内部网络保护方法及系统
JP3717802B2 (ja) ネットワーク中継装置およびリングネットワークシステム
KR102200433B1 (ko) 가상 사설망 장비 및 이를 이용한 트래픽 절체 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18767825

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18767825

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP