WO2020022145A1 - 振分装置、通信システムおよび振分方法 - Google Patents

振分装置、通信システムおよび振分方法 Download PDF

Info

Publication number
WO2020022145A1
WO2020022145A1 PCT/JP2019/028103 JP2019028103W WO2020022145A1 WO 2020022145 A1 WO2020022145 A1 WO 2020022145A1 JP 2019028103 W JP2019028103 W JP 2019028103W WO 2020022145 A1 WO2020022145 A1 WO 2020022145A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
unit
distribution
security device
network
Prior art date
Application number
PCT/JP2019/028103
Other languages
English (en)
French (fr)
Inventor
浩行 大西
孟朗 西岡
裕平 林
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/260,280 priority Critical patent/US20210306357A1/en
Publication of WO2020022145A1 publication Critical patent/WO2020022145A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/20—Support for services
    • H04L49/208—Port mirroring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/32—Flow control; Congestion control by discarding or delaying data units, e.g. packets or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/04—Protocols for data compression, e.g. ROHC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Definitions

  • the present invention relates to a distribution device, a communication system, and a distribution method.
  • Non-Patent Document 1 As a measure against DDoS attacks (Distributed @ Denial @ Service @ attack), a technique in which all traffic addressed to an attack target of a DDoS attack is drawn into a DDoS mitigation device (security device), the attack device discards an attack packet, and passes a non-attack packet Is known (see Non-Patent Document 1).
  • the security device executes various analysis processes in multiple stages, and discards packets when abnormalities are detected.
  • the analysis processing executed by the security device includes not only the processing that is not necessarily required up to the payload of the packet but also the processing that can be analyzed only with the information of the lower layer included in the 5-tuple or the like of the header. For example, there is a process called InvalidPackets for determining an invalid port number, and a process called IP Address Filter Lists for discarding a packet of a specified IP address.
  • the present invention has been made in view of the above, and has as its object to reduce the amount of data transferred to a security device.
  • a distribution device is a distribution device that transfers a packet received from a network to a user and a security device that detects an attack packet, A duplication unit for duplicating the packet received from the network, and a compression unit for compressing the duplicated payload of the packet and transferring it to the security device are provided.
  • the amount of data transferred to the security device can be reduced.
  • FIG. 1 is a schematic diagram illustrating the configuration of a communication system including the distribution device according to the present embodiment.
  • FIG. 2 is an explanatory diagram for explaining an outline of processing performed by the security device.
  • FIG. 3 is an explanatory diagram for explaining an outline of processing of the distribution device.
  • FIG. 4 is a schematic diagram illustrating a schematic configuration of the distribution device of the present embodiment.
  • FIG. 5 is an explanatory diagram for explaining the processing of the distribution device.
  • FIG. 6 is an explanatory diagram for explaining the processing of the distribution device.
  • FIG. 7 is an explanatory diagram for explaining the processing of the distribution device.
  • FIG. 8 is an explanatory diagram for explaining the processing of the distribution device.
  • FIG. 9 is a sequence diagram illustrating the distribution processing procedure.
  • FIG. 10 is a diagram illustrating an example of a computer that executes a distribution program.
  • FIG. 1 is a schematic diagram illustrating the configuration of a communication system including the distribution device according to the present embodiment.
  • the communication system 1 according to the present embodiment includes a distribution device 10, two types of security devices of a security device 20 a and a security device 20 b, and a controller 30.
  • a series of packets having the same 5-tuple is referred to as a flow.
  • the security device 20a is a DDoS mitigation device that performs a simple packet analysis process using only the information of the lower layer included in the 5-tuple or the like of the header of the packet.
  • the security device 20b is a DDoS mitigation device that performs normal analysis processing of a packet using information of a higher layer such as the contents of the payload of the packet.
  • Each of the security device 20a and the security device 20b may be plural. Further, the security device 20a and the security device 20b may be virtualized security devices constructed on a virtualization infrastructure server.
  • the distribution device 10 executes a distribution process described later, and distributes and transfers the packet received from the network to the user and the security device (20a, 20b). Specifically, when the distribution device 10 distributes the packet to the security device 20a that performs the simple analysis process, the distribution device 10 compresses and transfers the payload of the packet. In addition, the distribution device 10 distributes the packet to be transferred to the security device to the two types of security device 20a or security device 20b and transfers the packet.
  • FIG. 2 is an explanatory diagram for explaining an outline of processing performed by the security device.
  • FIG. 3 is an explanatory diagram for explaining an outline of processing of the distribution device 10.
  • analysis (1), ( In 2) simple analysis using only information of a lower layer such as a header (analysis (1), ( In 2)), only the header of the packet received from the network is used.
  • the security device since the security device has a limited available processing band (resource), when a packet including an unused payload is received, a flow that cannot be processed may occur as shown in FIG.
  • the distribution device 10 of the present embodiment since the payload of the packet received by the security device 20a is compressed, the possible processing bandwidth of the security device 20a is reduced. The flow that can be processed even if it does not change increases.
  • the controller 30 controls the distribution device 10. For example, the controller 30 receives the detection result of the attack packet by the security device 20a and the security device 20b, and sets filter information for specifying the attack packet to the distribution device 10. Further, the controller 30 sets a packet distribution rule for the flow to the security device 20a, the security device 20b or the user for the distribution device 10.
  • the security devices (20a, 20b) are realized by a CPU (Central Processing Unit), an NP (Network Processor), an FPGA (Field Programmable Gate Array), or the like, and include a detection unit 21a and a notification unit 21b.
  • the detection unit 21a detects an attack packet by analyzing a packet received from the distribution device 10. Specifically, the detection unit 21a executes a simple analysis process or a normal analysis process and detects an attack packet.
  • the notifying unit 21b notifies the controller 30 of information on the detected attack packet.
  • the security device 20a performs the simple packet analysis process using only the information of the lower layer included in the 5-tuple or the like of the header of the packet. Further, the security device 20b performs a normal analysis process on the packet using information of a higher layer such as the contents of the payload of the packet.
  • FIG. 4 is a schematic view illustrating the schematic configuration of the distribution device of the present embodiment.
  • the distribution device 10 according to the present embodiment is realized by a CPU, an NP, an FPGA, or the like, executes a processing program stored in a memory, and functions as a control unit 11.
  • the distribution device 10 includes a storage unit 12 implemented by a semiconductor memory element such as a RAM and a flash memory.
  • the storage unit 12 stores the filter information 12a and the sorting rule 12b.
  • the filter information 12a is information for specifying an attack packet detected by the security device (20a, 20b). For example, the filter information 12a is notified from the controller 30 and stored in the storage unit 12. The filter information 12a may be stored in the storage unit 12 via an input unit such as a keyboard and a mouse (not shown).
  • the distribution rule 12b is information for specifying a processing method for each predetermined flow in the traffic of the network. For example, in the distribution rule 12b, a processing method for each protocol is specified. For example, the distribution rule 12b specifies that UDP and TCP flows used by the DNS are to be subjected to normal analysis processing, and flows of other protocols are to be subjected to simple analysis processing.
  • the distribution rule 12b specifies, for each IP address of the destination user, whether to be a target of normal analysis processing or a target of low-cost simplified analysis processing, etc., according to the type of analysis service contracted by the user. .
  • the distribution rule 12b specifies a processing method according to the destination IP address and the time required for the detection processing in the security device or the time required until the detection processing is started. For example, when the time required until the start of processing in the normal analysis processing of the target flow becomes longer than a predetermined time due to the user's contract according to the distribution rule 12b for each IP address of the destination user, the simple analysis processing is performed. Is specified. Alternatively, according to the distribution rule 12b, for each IP address of the destination user, if the time required for the normal analysis processing of the target flow is longer than a predetermined time due to the user's contract, it is specified as the target of the simple analysis processing. Is done.
  • the distribution rule 12b is stored in the storage unit 12 via an input unit (not shown) such as a keyboard or a mouse, or via the controller 30.
  • the control unit 11 functions as a discard unit 11a, a distribution unit 11b, a duplication unit 11c, and a compression unit 11d, as illustrated in FIG. Note that these functional units may be implemented in different or partially different hardware.
  • the compression unit 11d may be incorporated in a security device 20a that is realized by a router or the like and performs a simple analysis process.
  • the discard unit 11a discards the attack packet from the packet received from the network using the filter information 12a. Specifically, the discarding unit 11a specifies a known attack packet stored in the filter information 12a among the packets received from the network, discards the packet, and excludes the packet from subsequent processes.
  • the distribution unit 11b distributes the packet received from the network to the later-described duplication unit 11c or another security device 20b for each predetermined flow, using the distribution rule 12b. Specifically, according to the processing method for each flow specified by the distribution rule 12b, the distribution unit 11b determines whether to perform simple analysis processing, normal analysis processing, or to which security device. Also decide not to forward.
  • the distribution unit 11b transfers the packet to be processed to the duplication unit 11c described below when the packet is to be subjected to the simple analysis process, and transmits the packet to be processed to the security device 20b when the packet is to be subjected to the normal analysis process. Forward the packet.
  • the duplication unit 11c duplicates a packet received from the network. Specifically, the copying unit 11c copies the packet received from the network via the discarding unit 11a and the sorting unit 11b. The copy unit 11c transfers the copied packet to the compression unit 11d, and transfers the copy source packet to the destination user as it is. Further, the copying unit 11c transfers the packet not transferred to any security device to the destination user as it is.
  • the compression unit 11d compresses the payload of the duplicated packet and transfers it to the security device 20a. That is, the compression unit 11d compresses the payload portion of the copied packet and transfers the compressed packet to the security device 20a that performs the simple analysis process.
  • the compression unit 11d may delete the payload portion of the packet instead of compressing it. In that case, the compression unit 11d transfers only the header of the copied packet to the security device 20a. Further, the compression unit 11d recalculates and changes the value such as the checksum regarding the packet length in accordance with the compression or deletion of the payload of the packet.
  • the controller 30 is realized by a CPU, an NP, an FPGA, or the like, and includes an acquisition unit 31a and a setting unit 31b.
  • the acquisition unit 31a acquires information on the detected attack packet from the security device (20a, 20b).
  • the setting unit 31b stores the filter information 12a in the distribution device 10 using the information of the attack packet acquired from the security device (20a, 20b).
  • the setting unit 31b also causes the distribution device 10 to store the distribution rule 12b.
  • FIGS. 5 to 8 are explanatory diagrams for explaining the processing of the distribution device 10.
  • the received packet is copied by the copying unit 11c (step (1)) and transferred to the compression unit 11d. Further, the copying unit 11c transfers the copy source packet to the destination user.
  • the compression unit 11d compresses or deletes the payload of the copied packet (Step (2)), and transfers it to the security device 20a that performs the simple analysis process.
  • the security device 20a performs a simple analysis process using the packet whose payload is compressed.
  • the security device 20a detects the attack packet as a result of performing the simple analysis process, the security device 20a notifies the controller 30 of the detection result (step (3)).
  • the controller 30 sets information for identifying the detected attack packet in the filter information 12a of the distribution device 10 (step (4)). As a result, thereafter, the discarding unit 11a of the distribution device 10 discards the known attack packet specified by the filter information 12a from the packets received from the network and excludes the packet from the subsequent processing.
  • FIG. 6 differs from the processing of FIG. 5 in that a distribution unit 11b is added.
  • the processes in the portions surrounded by dotted lines in FIG. 6 and FIGS. 7 and 8 described later are the same as the processes in FIG.
  • the distribution unit 11b uses the distribution rule 12b that specifies a processing method for each predetermined flow in the traffic of the network, and determines whether the received packet is to be subjected to the simple analysis processing for each predetermined flow or to the normal analysis processing. Is determined.
  • the distribution unit 11b transfers the packet to the duplication unit 11c when the packet is to be subjected to the simple analysis process (A), and transfers the packet to the security device 20b when the packet is to be subjected to the normal analysis process (B). Forward.
  • FIG. 6 illustrates a case where a processing method for each destination IP address is specified by the distribution rule 12b.
  • the distribution unit 11b distributes the data to the simple analysis (A) or the normal analysis (B) for each destination IP address, that is, for each user protected from an attack.
  • the distribution rule 12b specifies a processing method according to the destination IP address and the time required for the detection processing in the security device or the time required until the detection processing is started. Is also good. For example, when the time required until the start of processing in the normal analysis processing of the target flow becomes longer than a predetermined time due to the user's contract according to the distribution rule 12b for each IP address of the destination user, the simple analysis processing is performed. It can be.
  • the target flow can be subjected to the simple analysis processing. . Note that both the normal analysis processing and the simple analysis processing can be excluded.
  • FIG. 7 is different from the processing of FIG. 6 in the setting contents of the distribution rule 12b.
  • FIG. 7 illustrates a case where a processing method for each protocol is specified by the distribution rule 12b.
  • the distribution unit 11b can, for example, target the flows of UDP and TCP used by the DNS for the normal analysis processing, and set the flows of other protocols to be the targets of the simple analysis processing.
  • FIG. 8 differs from the processing of FIG. 6 in the setting contents of the distribution rule 12b.
  • FIG. 8 illustrates a case where the distribution rule 12b specifies that the normal analysis process (B) is to be performed after the simple analysis process (A).
  • the distribution unit 11b can perform the normal analysis processing (B).
  • the copying unit 11c transfers the copied packet to the security device 20b after the simple analysis process (A).
  • FIG. 9 is a sequence diagram illustrating the distribution processing procedure.
  • FIG. 9 exemplifies a case in which a simple analysis or a normal analysis is assigned to each destination user IP (see FIG. 6).
  • 9 includes an initial setting process (step S1), an attack detection process (step S3), and a packet discarding process (step S5).
  • step S11 when the user subscribes to the analysis service (step S11), the controller 30 is notified of the user's IP address and the type of service such as an attack detection method (step S12).
  • the controller 30 causes the security devices (20a, 20b) to set attack detection parameters according to the type of analysis service subscribed to by the user (step S13). Further, the controller 30 determines whether to perform the simple analysis processing, the normal analysis processing, or the non-target of both the normal analysis processing and the simple analysis processing according to the type of the analysis service to which the user has subscribed.
  • the rule 12b is set in the distribution device 10 (step S14).
  • the discarding unit 11a discards a known attack packet from the packet received from the network (step S20). Further, the distribution unit 11b distributes the data to the simple analysis or the normal analysis according to the distribution rule 12b (step S21).
  • sequence after step S20 shown in FIG. 9 is not limited to the case where distribution is performed based on the destination IP address according to the distribution rule 12b.
  • the processing after step S20 when the processing method according to the destination IP address and the required time is specified by the distribution rule 12b, or when the processing method according to the protocol is specified (see FIG. 7). Also common.
  • the distribution unit 11b transfers the packet to the duplication unit 11c (Step S31).
  • the copying unit 11c copies the received packet and transfers it to the compression unit 11d (Step S32). Further, the copy unit 11c transfers the copy source packet to the user as it is (step S36).
  • the compression unit 11d compresses the payload of the packet and transfers it to the security device 20a (Step S33).
  • the distribution unit 11b transfers the packet to the security device 20b (Step S41). If neither the normal analysis process nor the simple analysis process is the target, the duplication unit 11c transfers the packet to the user as it is (step S44).
  • the security device (20a, 20b) When the security device (20a, 20b) detects an attack packet, it notifies the controller 30 of the detection result (steps S34, S42).
  • the controller 30 causes the distribution device 10 to set the filter information 12a specifying the attack packet (Steps S35 and S43).
  • the discarding unit 11a of the distribution device 10 specifies the attack packet detected by the security device (20a, 20b) among the packets received from the network as a known attack packet in the filter information 12a. Then, this is discarded (step S50).
  • the duplication unit 11c duplicates the packet received from the network, and the compression unit 11d compresses the payload of the duplicated packet, and Transfer to
  • the storage unit 12 stores the filter information 12a for specifying the attack packet detected by the security device, and the discard unit 11a discards the attack packet from the packet received from the network using the filter information. This makes it possible to discard known attack packets from packets received from the network.
  • the storage unit 12 stores a distribution rule 12b for specifying a processing method for each predetermined flow in the traffic of the network, and the distribution unit 11b stores the packet received from the network using the distribution rule 12b. Is allocated to the duplication unit 11c or another security device 20b for each of the flows. This makes it possible to sort the received packets for simple analysis processing or normal analysis processing for each predetermined flow.
  • the storage unit 12 may store a distribution rule 12b that specifies a processing method for each protocol.
  • the distribution unit 11b distributes the packet received from the network to the duplication unit 11c or another security device 20b for each protocol using the distribution rule 12b.
  • UDP and TCP flows used by DNS can be subjected to normal analysis processing, and flows of other protocols can be subjected to simple analysis processing.
  • the storage unit 12 may store a distribution rule 12b that specifies a processing method for each destination IP address.
  • the distribution rule 12b specifies a processing method for each destination IP address.
  • the packets received from the network are distributed to the copy unit 11c or another security device 20b for each destination IP address.
  • the copy unit 11c or another security device 20b for each destination IP address.
  • the storage unit 12 stores a distribution rule 12b for specifying a processing method according to the destination IP address and the time required for the detection processing in the security device (20a, 20b) or the time required until the detection processing is started. You may memorize it. In this case, using the distribution rule 12b, the packet received from the network is converted into the destination IP address and the time required for the detection processing in the security device (20a, 20b) or the time required until the detection processing is started. In response, the information is distributed to the copy unit 11c or another security device 20b.
  • the target flow is set as the target of the simple analysis processing.
  • the target flow can be subjected to the simple analysis processing.
  • the detection unit 21a detects an attack packet by analyzing the packet received from the distribution device 10, and the notification unit 21b detects the attack packet.
  • the packet information is notified to the controller 30.
  • the acquisition unit 31a acquires information on the detected attack packet from the security device (20a, 20b), and the setting unit 31b uses the acquired attack packet information to divide the filter information 12a into the distribution device. Stored in 10. This makes it possible to easily and efficiently analyze and discard the attack packet.
  • the distribution device 10 can be implemented by installing a distribution program that executes the above-described distribution process as package software or online software in a desired computer.
  • the information processing apparatus can be made to function as the distribution apparatus 10.
  • the information processing device referred to here includes a desktop or notebook personal computer.
  • the information processing apparatus includes mobile communication terminals such as smartphones and mobile phones, and slate terminals such as PDAs (Personal Digital Assistants).
  • the functions of the distribution device 10 may be implemented in a cloud server.
  • FIG. 10 is a diagram illustrating an example of a computer that executes a distribution program.
  • the computer 1000 has, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These components are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031.
  • the disk drive interface 1040 is connected to the disk drive 1041.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted.
  • a mouse 1051 and a keyboard 1052 are connected to the serial port interface 1050.
  • the display 1061 is connected to the video adapter 1060, for example.
  • the hard disk drive 1031 stores, for example, the OS 1091, the application program 1092, the program module 1093, and the program data 1094. Each piece of information described in the above embodiment is stored in, for example, the hard disk drive 1031 or the memory 1010.
  • the distribution program is stored in the hard disk drive 1031 as, for example, a program module 1093 in which a command to be executed by the computer 1000 is described. Specifically, a program module 1093 in which each process executed by the distribution device 10 described in the above embodiment is described is stored in the hard disk drive 1031.
  • Data used for information processing by the distribution program is stored as the program data 1094, for example, in the hard disk drive 1031. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the hard disk drive 1031 into the RAM 1012 as necessary, and executes the above-described procedures.
  • the program module 1093 and the program data 1094 related to the distribution program are not limited to being stored in the hard disk drive 1031.
  • the program module 1093 and the program data 1094 are stored in a removable storage medium and read by the CPU 1020 via the disk drive 1041 or the like. May be issued.
  • the program module 1093 and the program data 1094 relating to the distribution program are stored in another computer connected via a network such as a LAN or a WAN (Wide Area Network), and read out by the CPU 1020 via the network interface 1070. May be done.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

複製部（１１ｃ）が、ネットワークから受信したパケットを複製し、圧縮部（１１ｄ）が、複製されたパケットのペイロードを圧縮してセキュリティ装置（２０ａ）に転送する。記憶部が、セキュリティ装置が検知した攻撃パケットを特定するフィルタ情報を記憶し、廃棄部（１１ａ）が、フィルタ情報を用いて攻撃パケットを廃棄する。記憶部が、ネットワークのトラヒックのうちの所定のフローごとの処理方法を特定する振り分けルールを記憶し、振り分け部（１１ｂ）が、振り分けルールを用いて、ネットワークから受信したパケットを、所定のフローごとに、複製部（１１ｃ）または他のセキュリティ装置（２０ｂ）に振り分ける。

Description

振分装置、通信システムおよび振分方法
　本発明は、振分装置、通信システムおよび振分方法に関する。
　従来、ＤＤｏＳ攻撃（Distributed　Denial　of　Service　attack）対策として、ＤＤｏＳ攻撃の攻撃対象宛の全トラヒックをＤＤｏＳ緩和装置（セキュリティ装置）へ引き込み、セキュリティ装置において攻撃パケットを廃棄し、非攻撃パケットを通過させる技術が知られている（非特許文献１参照）。
　セキュリティ装置は、様々な分析処理を多段階で実行しており、異常を検知した段階でパケットを廃棄している。一方、セキュリティ装置で実行される分析処理には、必ずしもパケットのペイロードまで必要な処理ばかりではなく、ヘッダの５－ｔｕｐｌｅ等に含まれる低位レイヤの情報のみで分析可能な処理もある。例えば、不正なポート番号を判別するＩｎｖａｉｄＰａｃｋｅｔｓと呼ばれる処理や、指定されたＩＰアドレスのパケットを廃棄するＩＰ　Ａｄｄｒｅｓｓ　Ｆｉｌｔｅｒ　Ｌｉｓｔｓと呼ばれる処理等がある。
Arbor　Networks、"Arbor　Networks　TMS"、［online］、Arbor　Networks、［平成30年6月29日検索］、インターネット＜URL：http://jp.arbornetworks.com/wp-content/uploads/2016/06/ds_tms_jp2016-030516AP-number-updated.pdf＞
　しかしながら、従来の技術では、分析処理に利用されないペイロードまでセキュリティ装置に転送され、セキュリティ装置のリソースが逼迫する場合がある。すなわち、セキュリティ装置において前段で低位レイヤの情報を用いた分析処理が実行されてパケットが廃棄される場合には、ペイロードは利用されない。そのような利用されないペイロードにより、セキュリティ装置のリソースが逼迫する場合がある。
　本発明は、上記に鑑みてなされたものであって、セキュリティ装置に転送されるデータ量を低減することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る振分装置は、ネットワークから受信したパケットを、ユーザと攻撃パケットを検知するセキュリティ装置とに転送する振分装置であって、ネットワークから受信したパケットを複製する複製部と、複製された前記パケットのペイロードを圧縮して前記セキュリティ装置に転送する圧縮部と、を備えることを特徴とする。
　本発明によれば、セキュリティ装置に転送されるデータ量を低減することができる。
図１は、本実施形態に係る振分装置を含む通信システムの構成を例示する模式図である。 図２は、セキュリティ装置の処理概要を説明するための説明図である。 図３は、振分装置の処理概要を説明するための説明図である。 図４は、本実施形態の振分装置の概略構成を例示する模式図である。 図５は、振分装置の処理を説明するための説明図である。 図６は、振分装置の処理を説明するための説明図である。 図７は、振分装置の処理を説明するための説明図である。 図８は、振分装置の処理を説明するための説明図である。 図９は、振分処理手順を例示するシーケンス図である。 図１０は、振分プログラムを実行するコンピュータの一例を示す図である。
　以下、図面を参照して、本発明の実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［通信システム構成］
　まず、図１は、本実施形態に係る振分装置を含む通信システムの構成を例示する模式図である。図１に示すように、本実施形態の通信システム１は、振分装置１０と、セキュリティ装置２０ａおよびセキュリティ装置２０ｂの２種類のセキュリティ装置と、コントローラ３０とを含んで構成される。なお、以下の説明において、５－ｔｕｐｌｅが同一である一連のパケット群をフローと記す。
　セキュリティ装置２０ａは、パケットのヘッダの５－ｔｕｐｌｅ等に含まれる低位レイヤの情報のみを用いてパケットの簡易分析処理を行うＤＤｏＳ緩和装置である。これに対し、セキュリティ装置２０ｂは、パケットのペイロードの中身等の高位レイヤの情報を用いてパケットの通常分析処理を行うＤＤｏＳ緩和装置である。セキュリティ装置２０ａおよびセキュリティ装置２０ｂは、それぞれが複数台あってもよい。また、セキュリティ装置２０ａおよびセキュリティ装置２０ｂは、仮想化基盤サーバ上に構築される仮想化セキュリティ装置でもよい。
　振分装置１０は、後述する振分処理を実行し、ネットワークから受信したパケットを、ユーザとセキュリティ装置（２０ａ、２０ｂ）とに振り分けて転送する。具体的には、振分装置１０は、簡易分析処理を行うセキュリティ装置２０ａに振り分ける場合には、パケットのペイロードを圧縮して転送する。また、振分装置１０は、セキュリティ装置に転送するパケットを、２種類のセキュリティ装置２０ａまたはセキュリティ装置２０ｂに振り分けて転送する。
　ここで、図２は、セキュリティ装置の処理概要を説明するための説明図である。また、図３は、振分装置１０の処理概要を説明するための説明図である。図２に示すように、セキュリティ装置において、攻撃パケット検知のために多段階で行われる分析処理のうち、ヘッダ等の低位レイヤの情報のみを用いた簡易分析（図２の分析（１）、（２））では、ネットワークから受信したパケットのうち、ヘッダのみが利用されている。
　簡易分析の結果がＯＫの場合には（分析（１））、後段の処理（分析（２））が引き続き行われる。また、簡易分析の結果がＮＧ（異常）の場合には（分析（２））、ペイロードは利用されないまま廃棄される。
　一方、セキュリティ装置は、可能処理帯域（リソース）が限られているため、利用されないペイロードを含むパケットを受信すると、図３（ａ）に示すように、処理できないフローが発生する場合がある。
　これに対し、本実施形態の振分装置１０によれば、図３（ｂ）に示すように、セキュリティ装置２０ａが受信するパケットのペイロードは圧縮されているため、セキュリティ装置２０ａの可能処理帯域が変わらなくても処理できるフローが増加する。
　図１の説明に戻る。コントローラ３０は、振分装置１０に対する制御を行う。例えば、コントローラ３０は、セキュリティ装置２０ａおよびセキュリティ装置２０ｂによる攻撃パケットの検知結果を受信して、振分装置１０に対して攻撃パケットを特定するフィルタ情報を設定する。また、コントローラ３０は、振分装置１０に対してセキュリティ装置２０ａ、セキュリティ装置２０ｂまたはユーザへのフローごとのパケット振り分けルールを設定する。
［セキュリティ装置の構成］
　セキュリティ装置（２０ａ、２０ｂ）は、ＣＰＵ（Central　Processing　Unit）やＮＰ（Network　Processor）やＦＰＧＡ（Field　Programmable　Gate　Array）等で実現され、検知部２１ａと通知部２１ｂとを備える。検知部２１ａは、振分装置１０から受信したパケットの分析により攻撃パケットを検知する。具体的には、検知部２１ａは、簡易分析処理または通常分析処理を実行し、攻撃パケットを検知する。また、通知部２１ｂは、検知した攻撃パケットの情報をコントローラ３０に通知する。
　なお、前述したように、セキュリティ装置２０ａは、パケットのヘッダの５－ｔｕｐｌｅ等に含まれる低位レイヤの情報のみを用いてパケットの簡易分析処理を行う。また、セキュリティ装置２０ｂは、パケットのペイロードの中身等の高位レイヤの情報を用いてパケットの通常分析処理を行う。
［振分装置の構成］
　次に、図４は、本実施形態の振分装置の概略構成を例示する模式図である。図４に示すように、本実施形態に係る振分装置１０は、ＣＰＵやＮＰやＦＰＧＡ等で実現され、メモリに記憶された処理プログラムを実行して、制御部１１として機能する。また、振分装置１０は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子で実現される記憶部１２を備える。本実施形態においては、記憶部１２は、フィルタ情報１２ａと振り分けルール１２ｂとを記憶する。
　フィルタ情報１２ａは、セキュリティ装置（２０ａ、２０ｂ）が検知した攻撃パケットを特定する情報である。フィルタ情報１２ａは、例えば、コントローラ３０から通知され、記憶部１２に記憶される。なお、フィルタ情報１２ａは、図示しないキーボードやマウス等の入力部を介して記憶部１２に記憶させてもよい。
　振り分けルール１２ｂは、ネットワークのトラヒックのうちの所定のフローごとの処理方法を特定する情報である。例えば、振り分けルール１２ｂでは、プロトコルごとの処理方法が特定される。例えば、振り分けルール１２ｂにより、ＤＮＳが用いるＵＤＰ、ＴＣＰのフローは通常分析処理の対象とし、その他のプロトコルのフローは簡易分析処理の対象とすることが特定される。
　または、振り分けルール１２ｂでは、宛先のＩＰアドレスごとの処理方法が特定される。例えば、振り分けルール１２ｂにより、宛先ユーザのＩＰアドレスごとに、ユーザが契約している分析サービスの種類に応じて、通常分析処理の対象か、廉価版の簡易分析処理の対象か等が特定される。
　あるいは、振り分けルール１２ｂでは、宛先のＩＰアドレスと、セキュリティ装置における検知処理の所要時間または検知処理を開始するまでの所要時間とに応じた処理方法が特定される。例えば、振り分けルール１２ｂにより、宛先ユーザのＩＰアドレスごとに、ユーザの契約により、対象フローの通常分析処理における処理開始までの所要時間が所定の時間を超えて遅くなる場合に、簡易分析処理の対象とすることが特定される。あるいは、振り分けルール１２ｂにより、宛先ユーザのＩＰアドレスごとに、ユーザの契約により、対象フローの通常分析処理に見込まれる所要時間が所定の時間より長い場合に、簡易分析処理の対象とすることが特定される。
　なお、振り分けルール１２ｂは、例えば、図示しないキーボードやマウス等の入力部を介して、あるいはコントローラ３０を介して、記憶部１２に記憶させる。
　制御部１１は、図４に例示するように、廃棄部１１ａ、振り分け部１１ｂ、複製部１１ｃおよび圧縮部１１ｄとして機能する。なお、これらの機能部は、それぞれあるいは一部が異なるハードウェアに実装されてもよい。例えば、圧縮部１１ｄが、ルータ等で実現され簡易分析処理を行うセキュリティ装置２０ａに組み込まれてもよい。
　廃棄部１１ａは、フィルタ情報１２ａを用いて、ネットワークから受信したパケットから攻撃パケットを廃棄する。具体的には、廃棄部１１ａは、ネットワークから受信したパケットのうち、フィルタ情報１２ａに記憶されている既知の攻撃パケットを特定し、これを廃棄して後段の処理から除外する。
　振り分け部１１ｂは、振り分けルール１２ｂを用いて、ネットワークから受信したパケットを、所定のフローごとに、後述する複製部１１ｃまたは他のセキュリティ装置２０ｂに振り分ける。具体的には、振り分け部１１ｂは、振り分けルール１２ｂで特定されるフローごとの処理方法に応じて、簡易分析処理の対象とするか、通常分析処理の対象とするか、あるいはいずれのセキュリティ装置にも転送しないかを決定する。
　そして、振り分け部１１ｂは、簡易分析処理の対象とする場合に、以下に説明する複製部１１ｃに処理対象のパケットを転送し、通常分析処理の対象とする場合には、セキュリティ装置２０ｂに処理対象のパケットを転送する。
　複製部１１ｃは、ネットワークから受信したパケットを複製する。具体的には、複製部１１ｃは、廃棄部１１ａおよび振り分け部１１ｂを介してネットワークから受信したパケットをコピーする。複製部１１ｃは、コピーしたパケットを圧縮部１１ｄに転送し、コピー元のパケットは、そのまま宛先ユーザに転送する。また、複製部１１ｃは、いずれのセキュリティ装置にも転送しないパケットをそのまま宛先ユーザに転送する。
　圧縮部１１ｄは、複製されたパケットのペイロードを圧縮してセキュリティ装置２０ａに転送する。すなわち、圧縮部１１ｄは、コピーされたパケットのペイロードの部分を圧縮して、簡易分析処理を行うセキュリティ装置２０ａに転送する。圧縮部１１ｄは、パケットのペイロードの部分を、圧縮するかわりに削除してもよい。その場合には、圧縮部１１ｄは、セキュリティ装置２０ａにはコピーされたパケットのヘッダのみを転送する。また、圧縮部１１ｄは、パケットのペイロードの圧縮または削除に伴って、パケット長に関するチェックサム等の値を、再計算を行って変更する。
［コントローラの構成］
　コントローラ３０は、ＣＰＵやＮＰやＦＰＧＡ等で実現され、取得部３１ａと、設定部３１ｂとを備える。取得部３１ａは、セキュリティ装置（２０ａ，２０ｂ）から、検知した攻撃パケットの情報を取得する。
　また、設定部３１ｂは、セキュリティ装置（２０ａ，２０ｂ）から取得した攻撃パケットの情報を用いて、フィルタ情報１２ａを振分装置１０に記憶させる。設定部３１ｂは、また、振り分けルール１２ｂを振分装置１０に記憶させる。
　次に、図５～図８は、振分装置１０の処理を説明するための説明図である。まず、図５に示すように、振分装置１０では、受信したパケットを複製部１１ｃがコピーして（ステップ（１））、圧縮部１１ｄへ転送する。また、複製部１１ｃは、コピー元のパケットを宛先のユーザに転送する。圧縮部１１ｄは、コピーされたパケットのペイロードを圧縮または削除して（ステップ（２））、簡易分析処理を行うセキュリティ装置２０ａに転送する。
　セキュリティ装置２０ａは、ペイロードが圧縮されたパケットを用いて簡易分析処理を行う。また、セキュリティ装置２０ａは、簡易分析処理を行った結果、攻撃パケットを検知した場合には、検知結果をコントローラ３０に通知する（ステップ（３））。
　コントローラ３０は、セキュリティ装置２０ａから通知された検知結果を用いて、検知された攻撃パケットを特定する情報を、振分装置１０のフィルタ情報１２ａに設定させる（ステップ（４））。これにより、以降、振分装置１０の廃棄部１１ａは、ネットワークから受信したパケットのうち、フィルタ情報１２ａで特定される既知の攻撃パケットを廃棄して後段の処理から除外する。
　次に、図６は、図５の処理とは、振り分け部１１ｂが追加されている点が異なる。図６および後述する図７～図８に点線で囲んで示した部分における処理は、図５の処理と同様である。
　振り分け部１１ｂは、ネットワークのトラヒックのうちの所定のフローごとの処理方法を特定する振り分けルール１２ｂを用いて、受信したパケットを所定のフローごとに、簡易分析処理の対象とするか、通常分析処理の対象とするかを決定する。そして、振り分け部１１ｂは、簡易分析処理の対象とする場合（Ａ）には、複製部１１ｃにパケットを転送し、通常分析処理の対象とする場合（Ｂ）には、セキュリティ装置２０ｂにパケットを転送する。
　図６には、振り分けルール１２ｂにより、宛先のＩＰアドレスごとの処理方法が特定されている場合が例示されている。この場合に、振り分け部１１ｂは、宛先のＩＰアドレスごとに、つまり、攻撃から守護するユーザごとに、簡易分析（Ａ）または通常分析（Ｂ）に振り分けている。
　例えば、宛先ユーザのＩＰアドレスごとに、ユーザが契約している分析サービスの種類に応じて、簡易分析処理の対象か、通常分析処理の対象かを決定することができる。
　また、図６に示す例において、振り分けルール１２ｂにより、宛先のＩＰアドレスと、セキュリティ装置における検知処理の所要時間または該検知処理を開始するまでの所要時間とに応じた処理方法が特定されていてもよい。例えば、振り分けルール１２ｂにより、宛先ユーザのＩＰアドレスごとに、ユーザの契約により、対象フローの通常分析処理における処理開始までの所要時間が所定の時間を超えて遅くなる場合に、簡易分析処理の対象とすることができる。
　あるいは、振り分けルール１２ｂにより、宛先ユーザのＩＰアドレスごとに、ユーザの契約により、対象フローの通常分析処理に見込まれる所要時間が所定の時間より長い場合に、簡易分析処理の対象とすることができる。なお、通常分析処理、簡易分析処理のいずれも非対象とすることもできる。
　図７は、図６の処理とは、振り分けルール１２ｂの設定内容が異なる。図７には、振り分けルール１２ｂにより、プロトコルごとの処理方法が特定されている場合が例示されている。この場合に、振り分け部１１ｂは、例えば、ＤＮＳが用いるＵＤＰ、ＴＣＰのフローは通常分析処理の対象とし、その他のプロトコルのフローは簡易分析処理の対象とすることができる。
　図８も同様に、図６の処理とは、振り分けルール１２ｂの設定内容が異なる。図８には、振り分けルール１２ｂにより、簡易分析処理（Ａ）の後に、通常分析処理（Ｂ）を行うことが特定されている場合が例示されている。これにより、振り分け部１１ｂは、簡易分析処理（Ａ）では異常がみつからなかった場合には、通常分析処理（Ｂ）を行うようにすることができる。その場合には、例えば、振り分け部１１ｂの指示により、複製部１１ｃが、簡易分析処理（Ａ）の後に、コピーしたパケットをセキュリティ装置２０ｂに転送する。
［振分処理］
　次に、図９は、振分処理手順を例示するシーケンス図である。図９には、宛先ユーザのＩＰごとに簡易分析または通常分析に振り分ける場合（図６参照）が例示されている。また、図９に示す振分処理には、初期設定処理（ステップＳ１）と、攻撃検知処理（ステップＳ３）と、パケット廃棄処理（ステップＳ５）とが含まれる。
　まず、ステップＳ１の初期設定処理において、ユーザが分析サービスに加入した場合に（ステップＳ１１）、コントローラ３０にユーザのＩＰアドレスや、攻撃検知方法等のサービスの種類が通知される（ステップＳ１２）。
　コントローラ３０は、ユーザが加入した分析サービスの種類に応じた攻撃検知パラメータを、セキュリティ装置（２０ａ、２０ｂ）に設定させる（ステップＳ１３）。また、コントローラ３０は、ユーザが加入した分析サービスの種類に応じて、簡易分析処理の対象か、通常分析処理の対象か、あるいは通常分析処理、簡易分析処理のいずれも非対象かを特定する振り分けルール１２ｂを振分装置１０に設定させる（ステップＳ１４）。
　ステップＳ３の攻撃検知処理に先立って、振分装置１０では、廃棄部１１ａが、ネットワークから受信したパケットから既知の攻撃パケットを廃棄する（ステップＳ２０）。また、振り分け部１１ｂが、振り分けルール１２ｂにより、簡易分析または通常分析に振り分けている（ステップＳ２１）。
　なお、図９に示すステップＳ２０以降のシーケンスは、振り分けルール１２ｂにより、宛先ＩＰアドレスにより振り分ける場合に限定されない。すなわち、ステップＳ２０以降の処理は、振り分けルール１２ｂにより、宛先ＩＰアドレスおよび所要時間に応じた処理方法が特定されている場合や、プロトコルに応じた処理方法が特定されている場合（図７参照）にも共通する。
　パケットが簡易分析処理に振り分けられる場合には、振り分け部１１ｂは、パケットを複製部１１ｃに転送する（ステップＳ３１）。複製部１１ｃは、受信したパケットを複製し、圧縮部１１ｄに転送する（ステップＳ３２）。また、複製部１１ｃは、複製元のパケットをそのままユーザに転送する（ステップＳ３６）。
　圧縮部１１ｄは、パケットのペイロードを圧縮してセキュリティ装置２０ａに転送する（ステップＳ３３）。
　一方、パケットが通常分析処理に振り分けられる場合には、振り分け部１１ｂは、パケットをセキュリティ装置２０ｂに転送する（ステップＳ４１）。なお、通常分析処理、簡易分析処理のいずれも非対象の場合には、複製部１１ｃが、パケットをそのままユーザに転送する（ステップＳ４４）。
　セキュリティ装置（２０ａ、２０ｂ）は、攻撃パケットを検知した場合に、検知結果をコントローラ３０に通知する（ステップＳ３４、Ｓ４２）。コントローラ３０は、振分装置１０に、攻撃パケットを特定するフィルタ情報１２ａを設定させる（ステップＳ３５、Ｓ４３）。
　ステップＳ５のパケット廃棄処理では、振分装置１０の廃棄部１１ａは、ネットワークから受信したパケットのうち、セキュリティ装置（２０ａ、２０ｂ）が検知した攻撃パケットを既知の攻撃パケットとしてフィルタ情報１２ａで特定して、これを廃棄する（ステップＳ５０）。
　以上、説明したように、本実施形態の振分装置１０では、複製部１１ｃが、ネットワークから受信したパケットを複製し、圧縮部１１ｄが、複製されたパケットのペイロードを圧縮して、セキュリティ装置２０ａに転送する。
　これにより、簡易分析処理を行うセキュリティ装置２０ａに転送されるデータ量を低減することができる。したがって、セキュリティ装置２０ａのリソースを増加させなくても処理できるパケットが増加して、セキュリティ装置２０ａのリソースが逼迫することを抑制できる。
　また、記憶部１２が、セキュリティ装置が検知した攻撃パケットを特定するフィルタ情報１２ａを記憶し、廃棄部１１ａが、フィルタ情報を用いて、ネットワークから受信したパケットから攻撃パケットを廃棄する。これにより、ネットワークから受信したパケットから、既知の攻撃パケットを廃棄することが可能となる。
　また、記憶部１２が、ネットワークのトラヒックのうちの所定のフローごとの処理方法を特定する振り分けルール１２ｂを記憶し、振り分け部１１ｂが、振り分けルール１２ｂを用いて、ネットワークから受信したパケットを、所定のフローごとに、複製部１１ｃまたは他のセキュリティ装置２０ｂに振り分ける。これにより、受信したパケットを所定のフローごとに、簡易分析処理または通常分析処理に振り分けることが可能となる。
　記憶部１２は、プロトコルごとの処理方法を特定する振り分けルール１２ｂを記憶してもよい。その場合に、振り分け部１１ｂは、振り分けルール１２ｂを用いて、ネットワークから受信したパケットを、プロトコルごとに、複製部１１ｃまたは他のセキュリティ装置２０ｂに振り分ける。これにより、例えば、ＤＮＳが用いるＵＤＰ、ＴＣＰのフローは通常分析処理の対象とし、その他のプロトコルのフローは簡易分析処理の対象とすることができる。
　また、記憶部１２は、宛先のＩＰアドレスごとの処理方法を特定する振り分けルール１２ｂを記憶してもよい。その場合に、振り分けルール１２ｂを用いて、ネットワークから受信したパケットを、宛先のＩＰアドレスごとに、複製部１１ｃまたは他のセキュリティ装置２０ｂに振り分ける。これにより、例えば、宛先ユーザのＩＰアドレスごとに、ユーザが契約している分析サービスの種類に応じて、簡易分析処理の対象か、通常分析処理の対象か等を決定することができる。
　また、記憶部１２は、宛先のＩＰアドレスと、セキュリティ装置（２０ａ、２０ｂ）における検知処理の所要時間または該検知処理を開始するまでの所要時間とに応じた処理方法を特定する振り分けルール１２ｂを記憶してもよい。その場合に、振り分けルール１２ｂを用いて、ネットワークから受信したパケットを、宛先のＩＰアドレスと、セキュリティ装置（２０ａ、２０ｂ）における検知処理の所要時間または該検知処理を開始するまでの所要時間とに応じて、複製部１１ｃまたは他のセキュリティ装置２０ｂに振り分ける。
　これにより、例えば、宛先ユーザのＩＰアドレスごとに、ユーザの契約により、対象フローの通常分析処理における処理開始までの所要時間が所定の時間を超えて遅くなる場合に、簡易分析処理の対象とすることができる。あるいは、宛先ユーザのＩＰアドレスごとに、ユーザの契約により、対象フローの通常分析処理に見込まれる所要時間が所定の時間より長い場合に、簡易分析処理の対象とすることができる。
　また、本実施形態の通信システム１において、セキュリティ装置（２０ａ，２０ｂ）では、検知部２１ａが、振分装置１０から受信したパケットの分析により攻撃パケットを検知し、通知部２１ｂが、検知した攻撃パケットの情報をコントローラ３０に通知する。コントローラ３０では、取得部３１ａが、セキュリティ装置（２０ａ、２０ｂ）から、検知した攻撃パケットの情報を取得し、設定部３１ｂが、取得した攻撃パケットの情報を用いて、フィルタ情報１２ａを振分装置１０に記憶させる。これにより、攻撃パケットの分析と廃棄とを容易かつ効率よく行うことが可能となる。
［プログラム］
　上記実施形態に係る振分装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、振分装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の振分処理を実行する振分プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の振分プログラムを情報処理装置に実行させることにより、情報処理装置を振分装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistants）等のスレート端末などがその範疇に含まれる。また、振分装置１０の機能を、クラウドサーバに実装してもよい。
　図１０は、振分プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
　ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
　また、振分プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した振分装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
　また、振分プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、振分プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、振分プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１　通信システム
　１０　振分装置
　１１　制御部
　１１ａ　廃棄部
　１１ｂ　振り分け部
　１１ｃ　複製部
　１１ｄ　圧縮部
　１２　記憶部
　１２ａ　フィルタ情報
　１２ｂ　振り分けルール
　２０ａ、２０ｂ　セキュリティ装置
　２１ａ　検知部
　２１ｂ　通知部
　３０　コントローラ
　３１ａ　取得部
　３１ｂ　設定部

Claims (8)

  1. 　ネットワークから受信したパケットを、ユーザと攻撃パケットを検知するセキュリティ装置とに転送する振分装置であって、
    　ネットワークから受信したパケットを複製する複製部と、
    　複製された前記パケットのペイロードを圧縮して前記セキュリティ装置に転送する圧縮部と、
    　を備えることを特徴とする振分装置。
  2. 　前記セキュリティ装置が検知した攻撃パケットを特定するフィルタ情報を記憶する記憶部と、
    　前記フィルタ情報を用いて、ネットワークから受信したパケットから前記攻撃パケットを廃棄する廃棄部と、
    　をさらに備えることを特徴とする請求項１に記載の振分装置。
  3. 　ネットワークのトラヒックのうちの所定のフローごとの処理方法を特定する振り分けルールを記憶する記憶部と、
    　前記振り分けルールを用いて、前記ネットワークから受信したパケットを、前記所定のフローごとに、前記複製部または他のセキュリティ装置に振り分ける振り分け部と、
    　をさらに備えることを特徴とする請求項１に記載の振分装置。
  4. 　前記記憶部は、プロトコルごとの処理方法を特定する前記振り分けルールを記憶し、
    　前記振り分け部は、前記振り分けルールを用いて、前記ネットワークから受信したパケットを、前記プロトコルごとに、前記複製部または他のセキュリティ装置に振り分ける
    　ことを特徴とする請求項３に記載の振分装置。
  5. 　前記記憶部は、宛先のＩＰアドレスごとの処理方法を特定する前記振り分けルールを記憶し、
    　前記振り分け部は、前記振り分けルールを用いて、前記ネットワークから受信したパケットを、前記宛先のＩＰアドレスごとに、前記複製部または他のセキュリティ装置に振り分ける
    　ことを特徴とする請求項３に記載の振分装置。
  6. 　前記記憶部は、宛先のＩＰアドレスと、前記セキュリティ装置における検知処理の所要時間または該検知処理を開始するまでの所要時間とに応じた処理方法を特定する前記振り分けルールを記憶し、
    　前記振り分け部は、前記振り分けルールを用いて、前記ネットワークから受信したパケットを、宛先のＩＰアドレスと、前記セキュリティ装置における検知処理の所要時間または該検知処理を開始するまでの所要時間とに応じて、前記複製部または他のセキュリティ装置に振り分ける
    　ことを特徴とする請求項３に記載の振分装置。
  7. 　攻撃パケットを検知するセキュリティ装置と、ネットワークから受信したパケットをユーザと前記セキュリティ装置とに転送する振分装置と、コントローラとを含む通信システムであって、
    　前記振分装置は、
    　前記セキュリティ装置が検知した攻撃パケットを特定するフィルタ情報を記憶する記憶部と、
    　前記フィルタ情報を用いて前記攻撃パケットを廃棄する廃棄部と、
    　ネットワークから受信したパケットを複製する複製部と、
    　複製された前記パケットのペイロードを圧縮して前記セキュリティ装置に転送する圧縮部と、を備え、
    　前記セキュリティ装置は、
    　振分装置から受信したパケットの分析により攻撃パケットを検知する検知部と、
    　検知した攻撃パケットの情報を前記コントローラに通知する通知部と、を備え、
    　前記コントローラは、
    　前記セキュリティ装置から、検知した攻撃パケットの情報を取得する取得部と、
    　前記セキュリティ装置から取得した攻撃パケットの情報を用いて、前記フィルタ情報を前記振分装置に記憶させる設定部と、を備える
    　ことを特徴とする通信システム。
  8. 　ネットワークから受信したパケットを、ユーザと攻撃パケットを検知するセキュリティ装置とに転送する振分装置で実行される振分方法であって、
    　ネットワークから受信したパケットを複製する複製工程と、
    　複製された前記パケットのペイロードを圧縮して、前記セキュリティ装置に転送する圧縮工程と、
    　を含んだことを特徴とする振分方法。
PCT/JP2019/028103 2018-07-24 2019-07-17 振分装置、通信システムおよび振分方法 WO2020022145A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/260,280 US20210306357A1 (en) 2018-07-24 2019-07-17 Sorting device, communication system, and sorting method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-138773 2018-07-24
JP2018138773A JP7003864B2 (ja) 2018-07-24 2018-07-24 振分装置、通信システムおよび振分方法

Publications (1)

Publication Number Publication Date
WO2020022145A1 true WO2020022145A1 (ja) 2020-01-30

Family

ID=69180786

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/028103 WO2020022145A1 (ja) 2018-07-24 2019-07-17 振分装置、通信システムおよび振分方法

Country Status (3)

Country Link
US (1) US20210306357A1 (ja)
JP (1) JP7003864B2 (ja)
WO (1) WO2020022145A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020136888A (ja) * 2019-02-19 2020-08-31 日本電信電話株式会社 検知装置および検知方法
JP7444260B2 (ja) 2020-07-30 2024-03-06 日本電気株式会社 通信処理装置、通信処理システム、通信処理方法、及びプログラム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009159131A (ja) * 2007-12-25 2009-07-16 Duaxes Corp ウィルス検出装置
JP2017046108A (ja) * 2015-08-25 2017-03-02 株式会社日立製作所 ネットワークシステム、通信品質の判定方法、及び分析装置
JP2017216664A (ja) * 2016-06-02 2017-12-07 アラクサラネットワークス株式会社 パケット中継装置

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4074266B2 (ja) * 2004-05-26 2008-04-09 株式会社東芝 パケットフィルタリング装置、及びパケットフィルタリングプログラム
US20060161671A1 (en) * 2005-01-14 2006-07-20 Citrix Systems, Inc. Method and systems for capture and replay of remote presentation protocol data
US8407778B2 (en) * 2005-08-11 2013-03-26 International Business Machines Corporation Apparatus and methods for processing filter rules
JP4419951B2 (ja) * 2005-12-22 2010-02-24 ブラザー工業株式会社 通信装置
KR100793349B1 (ko) * 2006-01-26 2008-01-11 삼성전자주식회사 Ｐｐｐ 멀티링크를 지원하는 시스템에서의 멀티캐스트트래픽 포워딩 장치 및 제어방법
EP2179542A4 (en) * 2007-08-02 2010-11-17 Tekelec Us METHODS, SYSTEMS, AND COMPUTER-READABLE MEDIA FOR COLLECTING DATA FROM A NETWORK TRAFFIC CROSSING HIGH-SPEED INTERNET PROTOCOL (IP) COMMUNICATION LINKS
KR101263329B1 (ko) * 2009-12-02 2013-05-16 한국전자통신연구원 네트워크 공격 방어 장치 및 방법, 이를 포함한 패킷 송수신 처리 장치 및 방법
US8325727B2 (en) * 2010-04-08 2012-12-04 Calix, Inc. Inline packet replication in network devices
US9047441B2 (en) * 2011-05-24 2015-06-02 Palo Alto Networks, Inc. Malware analysis system
US10212084B2 (en) * 2012-06-14 2019-02-19 Nec Corporation Communication system, control apparatus, communication method, control method and program
US9450780B2 (en) * 2012-07-27 2016-09-20 Intel Corporation Packet processing approach to improve performance and energy efficiency for software routers
JP2015075808A (ja) * 2013-10-07 2015-04-20 富士通株式会社 ネットワークフィルタリング装置及びネットワークフィルタリング方法
US9154506B1 (en) * 2014-03-20 2015-10-06 Wipro Limited System and method for secure data generation and transmission
US10142287B2 (en) * 2015-04-06 2018-11-27 Nicira, Inc. Distributed network security controller cluster for performing security operations
US9854069B2 (en) * 2015-12-01 2017-12-26 Radiflow Ltd. Network security agent
US10764313B1 (en) * 2017-01-24 2020-09-01 SlashNext, Inc. Method and system for protection against network-based cyber threats
US10911460B2 (en) * 2018-07-02 2021-02-02 Juniper Networks, Inc. Methods and devices for blocking, detecting, and/or preventing malicious traffic

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009159131A (ja) * 2007-12-25 2009-07-16 Duaxes Corp ウィルス検出装置
JP2017046108A (ja) * 2015-08-25 2017-03-02 株式会社日立製作所 ネットワークシステム、通信品質の判定方法、及び分析装置
JP2017216664A (ja) * 2016-06-02 2017-12-07 アラクサラネットワークス株式会社 パケット中継装置

Also Published As

Publication number Publication date
JP7003864B2 (ja) 2022-02-10
JP2020017826A (ja) 2020-01-30
US20210306357A1 (en) 2021-09-30

Similar Documents

Publication Publication Date Title
US10484465B2 (en) Combining stateless and stateful server load balancing
CN106470136B (zh) 平台测试方法以及平台测试系统
US11425006B2 (en) Systems, methods and computer program products for scalable, low-latency processing of streaming data
US20180219871A1 (en) Verification of fragmented information centric network chunks
WO2020022145A1 (ja) 振分装置、通信システムおよび振分方法
CN113364804B (zh) 一种流量数据的处理方法和装置
WO2020170802A1 (ja) 検知装置および検知方法
US11805050B2 (en) Systems and methods to filter out noisy application signatures to improve precision of first packet application classification
US11265372B2 (en) Identification of a protocol of a data stream
JP6563872B2 (ja) 通信システム、および、通信方法
US11816216B2 (en) Preventing malware downloads
US11811734B2 (en) Protocol switching for connections to zero-trust proxy
US11582158B2 (en) System and methods to filter out noisy application signatures to improve precision of first packet classification
US20070016767A1 (en) Switching Devices Avoiding Degradation of Forwarding Throughput Performance When Downloading Signature Data Related to Security Applications
JPWO2018143096A1 (ja) リクエスト制御装置、リクエスト制御方法、および、リクエスト制御プログラム
CN118101459A (zh) 基于fttr的数据管控方法和装置、网关设备及介质
CN111200652A (zh) 应用识别方法、应用识别装置和计算设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19841686

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19841686

Country of ref document: EP

Kind code of ref document: A1