(57)【要約】【課題】不正アクセスに対して通信を制限し、かつ不正アクセスを誤検知してもシステムの利用者への影響を抑制することが可能な通信制御装置、通信制御方法、及び通信制御プログラムを提供することを目的とする。【解決手段】通信パケットを収集し（１００）、収集結果から現在の通信統計を算出し（１０２）、現在の通信統計と標準範囲とを比較して予め定めた範囲以上の逸脱があるか否かを判定することにより通信トラフィックの異常を検知し（１０８）、異常がある場合に帯域制限を実施する（１１０）。【選択図】図４
2020036299.tif 000002
【特許請求の範囲】
【請求項１】
通信網から取り込まれた通信パケットに係わる通信統計情報を導出する導出部と、
前記通信パケット及び／又は前記通信統計情報から導出された前記通信統計情報に係わる標準範囲と前記導出部によって導出された現在の前記通信統計情報とを比較し通信トラフィックの異常を検知する検知部と、
前記検知部が通信トラフィックの異常を検知すると、通信の帯域幅を制限する帯域制限部と、
を含む通信制御装置。
【請求項２】
前記導出部は、前記通信統計情報を予め定めたサービス毎に導出し、
前記検知部は、前記サービス毎に導出された前記標準範囲と、前記導出部によって導出された現在のサービス毎の前記通信統計情報と比較し、サービス毎の通信トラフィックの異常を検知し、
前記帯域制限部は、前記検知部が通信トラフィックの異常を検知したサービスに対する通信の帯域幅を制限する請求項１に記載の通信制御装置。
【請求項３】
前記通信パケット及び／又は前記通信統計情報を蓄積する蓄積部と、
前記蓄積部に蓄積された過去の前記通信パケット及び／又は前記通信統計情報から、前記通信統計情報の標準範囲を算出する算出部と、
を更に含む請求項１に記載の通信制御装置。
【請求項４】
前記通信パケット及び／又は前記通信統計情報を予め定めたサービス毎に蓄積する蓄積部と、
前記蓄積部に前記サービス毎に蓄積された過去の前記通信パケット及び／又は前記通信統計情報から、前記通信統計情報の標準範囲を前記サービス毎に算出する算出部と、
を更に含む請求項２に記載の通信制御装置。
【請求項５】
前記検知部は、前記標準範囲と、現在の前記通信統計情報とを比較し通信トラフィックの異常の可能性があることを更に検知し、
前記帯域制限部は、前記検知部が通信トラフィックの異常の可能性があることを検知すると、通信トラフィックの異常の可能性があることを予め定めた端末装置に対して通知する制御を更に行う請求項１〜４の何れか１項に記載の通信制御装置。
【請求項６】
前記通信統計情報は、単位時間あたりの通信量、通信パケットの各ポート番号の比率、送信元アドレスの比率、及び送信先アドレスの比率の少なくとも１つを含む請求項１〜５の何れか１項に記載の通信制御装置。
【請求項７】
通信網から取り込まれた通信パケットに係わる通信統計情報を導出部によって導出する導出ステップと、
前記通信パケット及び／又は前記通信統計情報から導出された前記通信統計情報に係わる標準範囲と前記導出部によって導出された現在の前記通信統計情報とを比較し通信トラフィックの異常を検知部によって検知する検知ステップと、
前記検知ステップによって通信トラフィックの異常を検知すると、通信の帯域幅を制限する帯域制限ステップと、
を含む通信制御方法。
【請求項８】
コンピュータを、請求項１〜６の何れか１項に記載の通信制御装置の各部として機能させるための通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットや広域イーサネット（登録商標）等の外部ネットワークとの接続におけるセキュリティ対策のための通信制御装置、通信制御方法、及び通信制御プログラムに関する。
【背景技術】
【０００２】
従来、インターネットや広域イーサネット（登録商標）等の外部ネットワークとの接続におけるセキュリティ対策のための通信制御装置としては、ファイアウォール、不正侵入検知システム（ＩＤＳ：Intrusion Detection System）、不正侵入防止システム（ＩＰＳ：Intrusion Prevention  System）などがある。ファイアウォールは、アクセス元やアクセスされるプロトコルを限定する。また、ＩＤＳ及びＩＰＳは、予め登録され、定期的に更新される不正アクセスパターン（パターンファイルやシグネイチャなどと呼ばれる）を元に、検知した不正アクセスを通知したり遮断する。そして、これらを各システムの要件に合わせて組み合わせて利用することが一般的に行われている。
【０００３】
また、特許文献１に示されているように、機械学習を取り入れて不正アクセスか否かを解析し、不正アクセスと認識した場合はその通信トラフィックを遮断するという方法も考案されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１７−１４３５８３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、ファイアウォール、ＩＤＳ、及びＩＰＳを組み合わせて利用する方法や、特許文献１に示される方法であっても、不正アクセスを完全に断定することができず、誤って不正アクセスと認識してしまうことがある。誤って不正アクセスと認識して通信を遮断してしまうと、正常なアクセスを遮断してしまい、当該システムの利用者に影響を及ぼす。
【０００６】
本発明は、上記事実を考慮して成されたもので、不正アクセスに対して通信を制限し、かつ不正アクセスを誤検知してもシステムの利用者への影響を抑制することが可能な通信制御装置、通信制御方法、及び通信制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る通信制御装置は、通信網から取り込まれた通信パケットに係わる通信統計情報を導出する導出部と、前記通信パケット及び／又は前記通信統計情報から導出された前記通信統計情報に係わる標準範囲と前記導出部によって導出された現在の前記通信統計情報とを比較し通信トラフィックの異常を検知する検知部と、前記検知部が通信トラフィックの異常を検知すると、通信の帯域幅を制限する帯域制限部と、を含む。
【０００８】
また、本発明に係る通信制御方法は、通信網から取り込まれた通信パケットに係わる通信統計情報を導出部によって導出する導出ステップと、前記通信パケット及び／又は前記通信統計情報から導出された前記通信統計情報に係わる標準範囲と前記導出部によって導出された現在の前記通信統計情報とを比較し通信トラフィックの異常を検知部によって検知する検知ステップと、前記検知ステップによって通信トラフィックの異常を検知すると、通信の帯域幅を制限する帯域制限ステップと、を含む。
【０００９】
また、本発明に係る通信制御方法は、コンピュータを、上記に記載の通信制御装置の各部として機能させる。
【発明の効果】
【００１０】
本発明によれば、不正アクセスに対して通信を制限し、かつ不正アクセスを誤検知してもシステムの利用者への影響を抑制できる。
【図面の簡単な説明】
【００１１】
【図１】本実施形態に係る情報処理システムの概略構成を示すブロック図である。
【図２】本実施形態に係る帯域制限装置及び通信データ蓄積・分析装置の機能を示す機能ブロック図である。
【図３】リアルタイム解析部が算出する通信統計の一例を示す図である。
【図４】本実施形態に係る情報処理システムの帯域制限装置で行われる具体的な処理の流れの一例を示すフローチャートである。
【図５】本実施形態に係る情報処理装置の通信データ蓄積・分析装置で行われる具体的な処理の流れの一例を示すフローチャートである。
【図６】通信トラフィックの異常の通知と帯域幅の制限を段階的に行う場合の帯域制限装置で行われる処理の流れの一例を示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本実施形態について図面を参照しつつ説明する。本実施形態では、クラウドサービスを提供する情報処理システムを一例として説明する。図１は、本実施形態に係る情報処理システムの概略構成を示すブロック図である。
【００１３】
本実施形態に係る情報処理システム１０は、回線終端装置１４、侵入防止システム１６、帯域制限装置１８、通信データ蓄積・分析装置２０、監視装置２２、及び仮想化環境２４を含んで構成され、それぞれ通信網２６に接続されている。
【００１４】
回線終端装置１４は、情報処理システム１０のＬＡＮ（Local Area Network）等の通信網２６の終端部分に位置し、外部ネットワーク１２に接続されている。すなわち、情報処理システム１０は、回線終端装置１４を介して外部ネットワーク１２に接続された各種機器と通信可能とされている。回線終端装置１４には、例えば、モデムやターミナルアダプタ、ＤＳＵ（Digital Service Unit）、光回線終端装置などが含まれる。なお、回線終端装置１４は、例えば、光回線終端装置を適用してもよい。また、回線終端装置１４は、具体的には、通信回線で用いられる信号形式とＬＡＮ内で用いられる信号形式を相互に変換する役割を持つ。モデムやターミナルアダプタでは電気信号をデジタルからアナログへと変換し、光回線終端装置においては、光ファイバで通信を行うために電気信号を光信号へと変換する。
【００１５】
外部ネットワーク１２としては、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、インターネット、イントラネット等の各種ネットワークが適用される。
【００１６】
侵入防止システム１６は、機器ベンダーから定期的に提供される不正パターンデータを元に、当該不正パターンデータに合致した通信トラフィックを遮断する。一般的には、これ以外にもファイアウォールで、当該システムで利用されないアクセスを制限する。
【００１７】
帯域制限装置１８は、本実施形態に係る情報処理システム１０が使用する通信の帯域幅を必要に応じて制限する。本実施形態では、通信パケットを収集して通信統計情報を求め、予め算出した標準範囲と比較することにより、通信トラフィックの異常を検知する。そして、通信トラフィックの異常を検知すると通信の帯域幅を制限する。
【００１８】
通信データ蓄積・分析装置２０は、仮想化環境２４の各サービスの通信パケット等の通信データを蓄積し、蓄積した通信データの分析を行う。例えば、蓄積した通信パケットから予め定めた通信統計情報を算出することにより、基準となる通信トラフィックパターンを標準範囲として求める処理等を行う。
【００１９】
監視装置２２は、本実施形態に係る情報処理システム１０全体を監視する。例えば、ハードウエア故障や、ソフトウエアーエラー等を検知して予め定めたシステム運用管理者へ通知する。システム運用管理者への通知は、例えば、システム運用管理者が利用する予め定めた端末装置へ通知する。予め定めた端末装置としては、デスクトップ型コンピュータ、ノートパソコン、タブレット又はスマートフォン等のいかなる端末であってもよい。
【００２０】
仮想化環境２４は、クラウドサービス上で稼働する各種サービスを提供する複数の仮想マシン２４ａ、２４ｂ・・・を含む。図１では、サービス１向け仮想マシン２４ａ、及びサービス２向け仮想マシン２４ｂを含む例を示す。上述の外部ネットワーク１２、回線終端装置１４、侵入防止システム１６、帯域制限装置１８、通信データ蓄積・分析装置２０、及び監視装置２２は、各仮想マシン上で稼働するサービスによって共有される。
【００２１】
図２は、本実施形態に係る帯域制限装置１８及び通信データ蓄積・分析装置２０の機能を示す機能ブロック図である。なお、帯域制限装置１８及び通信データ蓄積・分析装置２０の各々は、例えば、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、及びＲＡＭ（Random Access Memory）等を含むコンピュータで構成され、ＲＯＭに記憶されたプログラムを実行することにより各機能として動作する。また、本実施形態では、帯域制限装置１８と、通信データ蓄積・分析装置２０とを別の装置として説明するが、１つの装置として構成した形態としてもよい。
【００２２】
帯域制限装置１８は、通信パケット収集部３０、リアルタイム解析部３２、制御発動判断部３４、及び帯域制御部３６の機能を有する。
【００２３】
通信パケット収集部３０は、通信網２６から仮想化環境２４の各サービスを流れる通信パケットを取り込んでサービス毎の通信パケットを収集し、リアルタイム解析部３２に収集結果を送信する。なお、通信パケットを収集する際の各サービスの認識は、例えば、ＩＰ（Internet Protocol）アドレス等のアドレスで識別する。或いは、アドレス以外の方法で各サービスを識別する方法を採用してもよい。
【００２４】
リアルタイム解析部３２は、通信パケット収集部３０によって収集された予め定めた期間の通信パケットの予め定めた通信統計情報をサービス毎にリアルタイムに算出する。例えば、直近の５分間の通信統計情報をサービス毎にリアルタイム更新する。なお、予め定めた期間は、仮想化環境２４の各サービス毎に異なる期間としてもよい。
【００２５】
また、リアルタイム解析部３２は、算出した通信統計情報を制御発動判断部３４へ送信し、通信統計情報及び収集した通信パケットを通信パケット蓄積部３８へ送信する。なお、本実施形態では、算出した通信統計情報及び収集した通信パケットを共に通信パケット蓄積部３８に送信して蓄積する例を説明するが、何れか一方のみを通信パケット蓄積部３８に送信して蓄積してもよい。
【００２６】
リアルタイム解析部３２が算出する通信統計情報としては、例えば、図３に示すように、標準通信量、ポート番号比率、送信元ＩＰアドレス比率、及び送信先ＩＰアドレス比率などが挙げられる。ここで、標準通信量は、単位時間あたりの通信量（Mbps）を示す。また、ポート番号比率は、ＩＰアドレスをサブネット単位または第２オクテット（xx.xx.*.*）や第３オクテット（xx.xx.xx.*）までといったビット数固定の単位で集計する。なお、不特定多数からのアクセスがある場合は条件から除外するが、アクセス元が限定されている場合は有効である。また、送信先ＩＰアドレス比率は、送信元ＩＰアドレスと同様に送信先について集計する。なお、これらの通信統計情報は、予め定めた期間の平均値やピーク値などを適用できる。また、平均値やピーク値は時間帯毎に求めてもよい。
【００２７】
制御発動判断部３４は、リアルタイム解析部３２が算出したリアルタイムの通信統計情報と、通信データ蓄積・分析装置２０が算出した基準の通信統計情報の標準範囲とを比較する。そして、基準から予め定めた範囲以上の乖離を検知した場合に、通信トラフィック異常と判断して監視装置２２及び帯域制御部３６へ通知する。また、基準から乖離してから基準内に戻った場合も監視装置２２及び帯域制御部３６へ通知する。
【００２８】
帯域制御部３６は、制御発動判断部３４からの通知に基づいて、該当サービスの帯域幅の縮小または拡大を行う。
【００２９】
一方、通信データ蓄積・分析装置２０は、通信パケット蓄積部３８及びデータ分析部４０の機能を有する。
【００３０】
通信パケット蓄積部３８は、帯域制限装置１８によって収集された通信パケットを長期保存するためにログファイルとして蓄積する。通信パケット蓄積部３８は、例えば、収集された通信パケット及びリアルタイム解析部３２が算出した通信統計をログファイルとして蓄積する。なお、何れか一方のみをログファイルとして蓄積してもよい。
【００３１】
データ分析部４０は、通信パケット蓄積部３８によって蓄積された通信パケットの長期間にわたる通信統計情報を予め定めた期間毎に算出する。すなわち、過去の通信パケットからサービス毎の通信トラフィックパターンを算出することにより、基準となる標準範囲を算出する。例えば、予め定めた期間として、直近の１ヶ月間の通信統計情報を毎日１回算出する。これを該当するサービスの平均的な通信傾向を示すものとして特異点検出のための基準の標準範囲として算出する。なお、標準範囲を算出する予め定めた期間についてもサービス毎に異なる期間を適用してもよい。
【００３２】
なお、通信パケット収集部３０及びリアルタイム解析部３２は導出部に対応し、制御発動判断部３４は検知部に対応し、帯域制御部３６は帯域制限部に対応する。また、通信パケット蓄積部３８は蓄積部に対応し、データ分析部４０は算出部に対応する。
【００３３】
続いて、上述のように構成された本実施形態に係る情報処理システム１０の各部で行われる具体的な処理について説明する。
【００３４】
まず、帯域制限装置１８で行われる具体的な処理について説明する。図４は、本実施形態に係る情報処理システム１０の帯域制限装置１８で行われる具体的な処理の流れの一例を示すフローチャートである。なお、図４の処理は、一例として、情報処理システム１０の起動開始や帯域制限装置１８の電源オンにより開始し、情報処理システム１０の停止指示や、帯域制限装置１８の電源オフ、割込操作等の受付等によって終了する。
【００３５】
ステップ１００では、通信パケット収集部３０が、通信パケットをキャプチャすることにより、仮想化環境２４の各サービスを流れる通信パケットを通信網２６から取り込んで通信パケットをサービス毎に収集してステップ１０２へ移行する。なお、各サービスの識別は、例えば、ＩＰアドレス等のアドレスで識別する。
【００３６】
ステップ１０２では、リアルタイム解析部３２が、通信パケット収集部３０の収集結果を統計化してステップ１０４へ移行する。本実施形態では、例えば、リアルタイム解析部３２は、予め定めた期間（例えば、直近の５分間）の通信パケットの通信統計情報をサービス毎にリアルタイムに算出する。通信統計情報としては、例えば、図３に示す、標準通信量、ポート番号比率、送信元ＩＰ（Internet Protocol）アドレス比率、及び送信先ＩＰアドレス比率の少なくとも１つを含む。
【００３７】
ステップ１０４では、リアルタイム解析部３２が、通信パケット収集部３０の収集結果、及び統計化された統計データを通信データ蓄積・分析装置２０へ送信してステップ１０６へ移行する。
【００３８】
ステップ１０６では、制御発動判断部３４が、通信トラフィックの異常を検知するための予め定めたタイミングであるか否かを判定する。該判定が肯定された場合にはステップ１０８へ移行し、否定された場合にはステップ１００に戻って上述の処理を繰り返す。なお、予め定めたタイミングとしては、一例としては、予め定めた時間や、日にち、曜日、月などが適用される。また、ここでは、予め定めたタイミングは、複数のサービスに共通するタイミングとして説明するが、サービス毎に異なるタイミングを適用して、サービス毎に以降の処理を行って通信トラフィックの異常を検知してもよい。
【００３９】
ステップ１０８では、制御発動判断部３４が、各サービスの通信傾向から外れていないかを判定するための標準範囲を通信データ蓄積・分析装置２０から取得してステップ１１０へ移行する。なお、標準範囲を算出するのに十分な通信パケットの収集が終わっていない等の何等かの要因で通信データ蓄積・分析装置２０から標準範囲を取得できない場合には、予め定めたデフォルトの標準範囲を以降の処理で用いてもよい。また、デフォルトの標準範囲としては、各サービスで供給のものを用いてもよいが、各サービスの契約帯域幅毎に異なる標準範囲としてもよい。また、デフォルトの標準範囲は、帯域制限装置１８に記憶しておいてもよいし、通信データ蓄積・分析装置２０に記憶しておいて当該ステップ１０８で取得してもよい。
【００４０】
ステップ１１０では、制御発動判断部３４が、サービスの通信傾向から外れて異常であるか否かを判定する。該判定は、リアルタイム解析部３２が算出したリアルタイムの通信統計情報と、通信データ蓄積・分析装置２０から取得した標準範囲とを比較して予め定めた範囲以上の逸脱があるか否かを判定することにより通信トラフィックの異常を検知する。例えば、図３に示す各項目に対して異常があるか否かを判定する。該判定が肯定された場合にはステップ１１２へ移行し、否定された場合にはステップ１１４へ移行する。なお、正常な通信トラフィックでも変動幅が大きいサービスについては、年間月別変動、月内の日別変動、曜日別変動等を考慮した基準の標準範囲と比較を行ってもよい。また、異常な通信トラフィックとして判定する条件としては、例えば、通信量が標準通信量の２００％以上、ポート番号比率が標準で１０％未満の比率のポートが５０％以上、ＩＰアドレス比率が、標準で１０％未満の比率のＩＰアドレス（集計単位）が５０％以上などを適用する。ここで、全ての条件を満たす場合に異常と判定してもよいが、少なくとも１以上の条件を満たす場合に異常と判定してもよい。また、サービス毎に異常と判定する条件を異なるようにしてもよい。
【００４１】
ステップ１１２では、帯域制御部３６が、監視装置２２に異常検出を通知し、帯域制限を実施してステップ１００に戻って上述の処理を繰り返す。すなわち、システム運用管理者の端末装置に対して通信トラフィックの異常が発生したことを通知し、帯域幅を制限する。ここで、異常な通信トラフィックの遮断を行わないのは、通信トラフィックの遮断により、正常な通信トラフィックが遮断されることを防止するためである。帯域制限では異常な通信トラフィックの遮断はできないが、影響を当該サービスに局所化でき、システム全体がネットワーク障害に至ることを防止できる可能性がある。異常な通信トラフィックの遮断は、従来技術のＩＰＳ等に任せる。なお、帯域制限の方法としては、例えば、サービス毎に予め設定した帯域幅に設定する方法、予め設定した最小値まで一定割合ずつ帯域幅を縮小していく方法などがある。
【００４２】
一方、ステップ１１４では、帯域制御部３６が、ステップ１１２が既に実施され、帯域制限中であるか否かを判定する。該判定が否定された場合にはステップ１００に戻って上述の処理を繰り返し、肯定された場合にはステップ１１６へ移行する。
【００４３】
ステップ１１６では、帯域制御部３６が、監視装置２２に正常復帰を通知し、帯域制限を解除してステップ１００に戻って上述の処理を繰り返す。
【００４４】
なお、ステップ１００及びステップ１０２は導出ステップに対応し、ステップ１１０は検知ステップに対応し、ステップ１１２は帯域制限ステップに対応する。
【００４５】
次に、通信データ蓄積・分析装置２０で行われる具体的な処理について説明する。図５は、本実施形態に係る情報処理システム１０の通信データ蓄積・分析装置２０で行われる具体的な処理の流れの一例を示すフローチャートである。なお、図５の処理は、一例として、情報処理システム１０の起動開始や通信データ蓄積・分析装置２０の電源オンにより開始し、情報処理システム１０の停止指示や、通信データ蓄積・分析装置２０の電源オフ、割込操作等の受付等によって終了する。
【００４６】
ステップ２００では、通信パケット蓄積部３８が、帯域制限装置１８からの収集結果及び統計データの受信であるか否かを判定する。該判定が肯定された場合にはステップ２０２へ移行し、否定された場合にはステップ２０４へ移行する。
【００４７】
ステップ２０２では、通信パケット蓄積部３８が、帯域制限装置１８から受信した収集結果及び統計データを長期傾向分析用に通信ログとして蓄積としてステップ２０４へ移行する。
【００４８】
ステップ２０４では、データ分析部４０が、定期更新タイミングであるか否かを判定する。該判定が肯定された場合にはステップ２０６へ移行し、否定された場合にはステップ２０８へ移行する。
【００４９】
ステップ２０６では、データ分析部４０が、サービス毎に通信内容を分析して標準範囲を更新してステップ２０８へ移行する。具体的には、データ分析部４０は、通信ログから一定期間（例えば、直近１ヶ月分）の通信統計を算出し、各サービスの通信統計最新値として保存する。通信統計最新値は、各サービスの通信トラフィックの通常の傾向を示すと考えることができる。サービスによって通信トラフィックが日々ほぼ同じ傾向を示すもの、何等かのイベントによって大きく変動するものなど様々であるが、大きく変動するものは、例えば、年間月別変動、月内の日別変動、曜日別変動などの統計も算出する。データ分析部４０は、定期的にバッチ形式で処理される。通信トラフィック変更状況により、例えば、１日単位、１週間単位、月単位に設定可能とする。なお、本実施形態では、各サービスで標準範囲の更新するタイミングを共通の場合として説明するが、サービス毎に異なる更新タイミングとしてもよい。この場合には、ステップ２０４及びステップ２０６はサービス毎に行えばよい。
【００５０】
ステップ２０８では、データ分析部４０が、帯域制限装置１８から標準範囲の要求が行われたか否かを判定する。すなわち、上述のステップ１０８により制御発動判断部３４による標準範囲の取得が行われたか否かを判定する。該判定が肯定された場合にはステップ２１０へ移行し、否定された場合には一連の処理を終了する。
【００５１】
ステップ２１０では、データ分析部４０が、要求元に標準範囲を送信してステップ２００に戻って上述の処理を繰り返す。なお、標準範囲を算出するのに十分な通信パケットの収集が終わっていない等により標準範囲が未算出の場合には、上述したように、デフォルトの標準範囲を要求元に送信してもよい。また、デフォルトの標準範囲としては、各サービスで供給のものを用いてもよいが、各サービスの契約帯域幅毎に異なる標準範囲としてもよい。
【００５２】
このように、本実施形態に係る情報処理システム１０では、不正アクセスを検知したときの通信トラフィックの制限を帯域幅とすることで、仮に誤検知であっても当該サービスの処理量は減少するもののサービス自体の停止にはならずに継続運用可能となる。従って、不正アクセスに対して通信を制限し、かつ不正アクセスを誤検知してもシステムの利用者への影響を抑制できる。
【００５３】
また、クラウドサービスのような複数サービスが稼働する環境においては、不正アクセスの検知条件をサービス毎に設ければ、通信トラフィックの制限を該当するサービスのみに局所化し、該当サービスへの割り当て帯域のみを制限することで、帯域を共有する他のサービスの通信トラフィックへの影響を抑制できる。
【００５４】
なお、上記の実施形態では、リアルタイムの現在の通信統計情報と、標準範囲を比較して通信トラフィックの異常を検知するとシステム運用管理者に異常を通知し、帯域幅を制限したが、通信トラフィックの異常の通知と帯域幅の制限を段階的に行ってもよい。例えば、現在の通信統計情報と、標準範囲との乖離が予め定めた第１閾値以上を検知した場合に、通信トラフィックの異常の可能性があることをシステム運用管理者に通知する。そして、第１閾値より標準範囲との乖離が大きい第２閾値以上になった場合に、帯域幅を制限して、通知と制限とを段階的に行う形態としてもよい。図６は、通信トラフィックの異常の通知と帯域幅の制限を段階的に行う場合の帯域制限装置１８で行われる処理の流れの一例を示すフローチャートである。図４と同一処理については同一符号を付して詳細な説明を省略する。
【００５５】
すなわち、ステップ１０８において、制御発動判断部３４が、標準範囲を通信データ蓄積・分析装置２０から取得すると、ステップ１０９Ａへ移行する。
【００５６】
ステップ１０９Ａでは、制御発動判断部３４が、リアルタイム解析部３２が算出したリアルタイムの通信統計情報と、通信データ蓄積・分析装置２０から取得した標準範囲とを比較して予め定めた第１閾値以上の逸脱があるか否かを判定する。例えば、図３に示す各項目に対して予め定めた第１閾値以上の乖離があるか否かを判定する。該判定が肯定された場合にはステップ１０９Ｂへ移行し、否定された場合には上述のステップ１１４へ移行する。
【００５７】
ステップ１０９Ｂでは、帯域制御部３６が、異常の可能性が未通知であるか否かを判定する。該判定は以降のステップ１０９Ｃが未実施であるか否かを判定し、該判定が肯定された場合にはステップ１０９Ｃへ移行し、否定された場合にはステップ１０９Ｄへ移行する。
【００５８】
ステップ１０９Ｃでは、帯域制御部３６が、監視装置２２に異常となる可能性があることを通知してステップ１０９Ｄへ移行する。すなわち、システム運用管理者の端末装置に対して通信トラフィックの異常の可能性があることを通知する。
【００５９】
ステップ１０９Ｄでは、制御発動判断部３４が、リアルタイム解析部３２が算出したリアルタイムの通信統計情報と、通信データ蓄積・分析装置２０から取得した標準範囲とを比較して第１閾値より乖離が大きい第２閾値以上の逸脱があるか否かを判定する。例えば、図３に示す各項目に対して予め定めた第２閾値以上の乖離があるか否かを判定する。該判定が肯定された場合には上述のステップ１１２へ移行し、否定された場合には上述のステップ１１４へ移行する。
【００６０】
このように処理を行うことにより、通信トラフィックの異常の可能性を通知した後に、更に標準範囲から乖離した場合に、帯域制限を行って、異常の通知と帯域制限とを段階的に行うことが可能となる。
【００６１】
なお、上記の実施形態では、サービス毎に通信パケットを収集して通信トラフィックの異常を検知して帯域制限を行う例を説明したが、これに限るものではない。例えば、サービス毎ではなく、情報処理システム１０の全体の通信パケットを収集して、情報処理システム１０全体の通信トラフィックの異常を検知して帯域制限を行ってもよい。
【００６２】
また、上記の実施形態における帯域制限装置１８及び通信データ蓄積・分析装置２０の各々で行われる処理は、プログラムを実行することで行われるソフトウエアで行う処理として説明したが、ハードウエアで行う処理としてもよい。或いは、ソフトウエアとハードウエアの双方を組み合わせた処理としてもよい。
【００６３】
さらに、本発明は、上記に限定されるものでなく、上記以外にも、その主旨を逸脱しない範囲内において種々変形して実施可能であることは勿論である。
【符号の説明】
【００６４】
１０    情報処理システム
１８    帯域制限装置
２０    通信データ蓄積・分析装置
２６    通信網
３０    通信パケット収集部
３２    リアルタイム解析部
３４    制御発動判断部
３６    帯域制御部
３８    通信パケット蓄積部
４０    データ分析部
【図１】
2020036299.tif 000003
【図２】
2020036299.tif 000004
【図３】
2020036299.tif 000005
【図４】
2020036299.tif 000006
【図５】
2020036299.tif 000007
【図６】
2020036299.tif 000008