(57)【要約】【課題】  ルータにおいてパケットのフィルタリングを行う場合、セグメント間での感染拡大を防止することはできるが、セグメント内での感染拡大を防止することはできない。【解決手段】  本発明にかかる制御装置は、ネットワークを構成する複数の通信装置を制御する制御装置であって、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する判定部と、該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該パケットを転送させないための制御情報を送信する設定部と、を備えることを特徴とする。【選択図】  図１
2020072427.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを構成する複数の通信装置を制御する制御装置であって、
前記複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する判定部と、
前記送信元端末が脅威に感染していると判定した場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記パケットを転送させないための制御情報を送信する設定部と、
を備えることを特徴とする制御装置。
【請求項２】
前記制御情報は、
前記パケットを破棄させる制御情報である
ことを特徴とする請求項１に記載の制御装置。
【請求項３】
前記制御情報は、
前記パケットの受信ポートを遮断させる制御情報である
ことを特徴とする請求項１に記載の制御装置。
【請求項４】
前記送信元端末の位置を示す位置情報を保持する記憶部を備え、
前記生成部は、前記位置情報に基づいて、前記制御情報を生成する
ことを特徴とする請求項１乃至３のいずれか一項に記載の制御装置。
【請求項５】
前記記憶部は、前記送信元端末が脅威に感染しているか否かの判定に用いる照合ファイルを保持し、
前記判定部は、前記パケットのデータ部分と前記照合ファイルに含まれる情報とを照合することで、前記送信元端末が脅威に感染しているか否かを判定する
ことを特徴とする請求項１乃至４のいずれか一項に記載の制御装置。
【請求項６】
前記制御情報は、フローエントリであって、
前記フローエントリは、当該フローエントリが削除されるまでの時間を示す時間情報を含む
ことを特徴とする請求項１に記載の制御装置。
【請求項７】
ネットワークを構成する複数の通信装置と、
前記複数の通信装置を制御する制御装置と、
前記ネットワークと通信する端末が脅威に感染しているか否かを判定する判定装置と、
を備え、
前記複数の通信装置のうちのいずれかの通信装置は、
受信したパケットを、前記判定装置に送信し、
前記判定装置は、
前記通信装置から受信したパケットに基づいて、前記パケットの送信元端末が脅威に感染しているか否かを判定し、
前記制御装置は、
前記送信元端末が脅威に感染していると判定された場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記送信元端末から受信したパケットを転送させないための制御情報を送信する
ことを特徴とする通信システム。
【請求項８】
前記制御装置は、
前記送信元端末が脅威に晒されていないと判定された場合、前記パケットの転送経路を計算し、
前記送信元端末と接続する通信装置に対して、前記転送経路に従って前記パケットを転送させるための制御情報を送信する
ことを特徴とする請求項７に記載の通信システム。
【請求項９】
ネットワークを構成する複数の通信装置を制御する制御装置における制御方法であって、
前記複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定し、
前記送信元端末が脅威に感染していると判定した場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記パケットを転送させないための制御情報を送信する、
ことを特徴とする制御方法。
【請求項１０】
ネットワークを構成する複数の通信装置を制御する制御装置を構成するコンピュータに、
前記複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する処理と、
前記送信元端末が脅威に感染していると判定した場合、前記複数の通信装置のうち、前記送信元端末と接続する通信装置に対して、前記送信元端末から受信したパケットを転送させないための制御情報を送信する処理と、
を実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、脅威の感染拡大を防ぐ制御装置、脅威の感染拡大を防ぐ制御装置を備えたシステム、脅威の感染拡大を防ぐ方法、およびプログラムに関する。
【背景技術】
【０００２】
近年、コンピュータウイルス等の脅威に感染した端末（以下、「感染端末」と記載する。）との通信を行うことにより、ネットワークに脅威の感染が拡大し、情報漏洩や不正アクセスが起こっている。
【０００３】
ネットワークに脅威の感染が拡大することを防止する発明として、特許文献１がある。
【０００４】
特許文献１には、感染端末を他の端末と通信不可能にする隔離サーバを備える通信システムが開示されている。
【０００５】
特許文献１の通信システムによると、ネットワークを構成するスイッチの各々は、自装置と接続する端末のＭＡＣアドレスと、該端末との接続ポート番号と、該端末が属するＶＬＡＮを示すＶＬＡＮ−ＩＤと、を含むＭＡＣアドレステーブルを保持しており、隔離サーバは、該スイッチ各々からＭＡＣアドレステーブルを定期的に取得し、保持している。隔離サーバは、感染端末を検知した場合、取得したＭＡＣアドレステーブルのＭＡＣアドレスのうちの該感染端末のＭＡＣアドレスに対応するＶＬＡＮ−ＩＤを、隔離サーバのみとの通信に用いるＶＬＡＮ−ＩＤ（隔離用ＶＬＡＮ−ＩＤ）に書き換える。
【０００６】
これにより、感染端末は、隔離サーバのみと通信するので、他の端末との通信は不可能になる。従って、感染端末の通信により、ネットワークに脅威の感染が拡大することを防ぐことができる。
【０００７】
しかしながら、特許文献１に開示のシステムは、ネットワークの全端末のＭＡＣアドレステーブルを取得するので、端末の数に比例して、ＭＡＣアドレステーブルを取得する際に生じるネットワークの通信負荷が増大してしまうという問題がある。
【０００８】
上記問題を解決する発明として、特許文献２がある。
【０００９】
特許文献２には、端末から受信したパケットのフィルタリングを行うルータを備える通信システムが開示されている。
【００１０】
特許文献２の通信システムによると、ルータは、認証サーバから受信したパケットフィルタリングポリシに基づいて、パケットフィルタリング規則を生成し、該パケットフィルタリング規則に従って、受信パケットを処理する。
【００１１】
認証サーバは、ルータが端末からパケットを受信したタイミングで該端末に関する情報のみを収集する。これにより、一括で情報を収集する場合に比べて、ネットワークの通信負荷が軽減しつつ、ネットワークが脅威の感染が拡大することを防ぐことができる。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開２００６−１６５８７７
【特許文献２】特開２００５−３２８１０８
【発明の概要】
【発明が解決しようとする課題】
【００１３】
以下の分析は、本発明によりなされたものである。特許文献２では、ルータにおいてパケットのフィルタリングを行う。そのため、セグメント間での感染拡大を防止することはできるが、セグメント内での感染拡大を防止することはできない。
【００１４】
本発明は、上記課題を鑑みてなされたものであり、その目的は、セグメント内における脅威の感染拡大を防止することである。
【課題を解決するための手段】
【００１５】
本発明の第１の視点によれば、ネットワークを構成する複数の通信装置を制御する制御装置であって、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する判定部と、該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該パケットを転送させないための制御情報を送信する設定部と、を備えることを特徴とする制御装置が提供される。
【００１６】
本発明の第２の視点によれば、ネットワークを構成する複数の通信装置と、該複数の通信装置を制御する制御装置と、該ネットワークと通信する端末が脅威に感染しているか否かを判定する判定装置と、を備え、該複数の通信装置のうちのいずれかの通信装置は、受信したパケットを該判定装置に送信し、該判定装置は、該通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定し、該制御装置は、該送信元端末が脅威に感染していると判定された場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該送信元端末から受信したパケットを転送させないための制御情報を送信することを特徴とする通信システムが提供される。
【００１７】
本発明の第３の視点によれば、ネットワークを構成する複数の通信装置を制御する制御装置における制御方法であって、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定し、
該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該パケットを転送させないための制御情報を送信する、ことを特徴とする制御方法が提供される。
【００１８】
本発明の第４の視点によれば、ネットワークを構成する複数の通信装置を制御する制御装置を構成するコンピュータに、該複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する処理と、該送信元端末が脅威に感染していると判定した場合、該複数の通信装置のうち、該送信元端末と接続する通信装置に対して、該送信元端末から受信したパケットを転送させないための制御情報を送信する処理と、を実行させることを特徴とするプログラムが提供される。
【発明の効果】
【００１９】
本発明によれば、制御装置は、通信装置に接続した端末が脅威に感染しているか否かを判定し、脅威に感染していると判定した場合に、該通信装置に対して、該端末との通信を遮断する指示を行う。
【００２０】
これにより、脅威に感染している端末と接続する通信装置において、脅威の感染拡大を防止することができるので、セグメント内において脅威の感染拡大を防止することができる。
【図面の簡単な説明】
【００２１】
【図１】第１の実施形態における通信システムの構成を示す図である。
【図２】第１の実施形態における制御装置の構成を示す図である。
【図３】第１の実施形態における制御装置が保持するルーティングテーブルの一例を示す図である。
【図４】第１の実施形態における制御装置が保持するパターンファイルの一例を示す図である。
【図５】第１の実施形態における制御装置が保持する位置情報テーブルの一例を示す図である。
【図６】第１の実施形態における通信装置の構成を示す図である。
【図７】第１の実施形態における制御装置の処理動作を説明するためのフローチャートである。
【図８】第２の実施形態における通信システムの構成を示す図である。
【図９】第２の実施形態におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒの構成を示す図である。
【図１０】第２の実施形態におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒが保持するフローエントリの一例を示す図である。
【図１１】第２の実施形態におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒが保持する位置情報テーブルの一例を示す図である。
【図１２】第２の実施形態における判定装置の構成を示す図である。
【図１３】第２の実施形態におけるＯｐｅｎ  Ｆｌｏｗ  Ｓｗｉｔｃｈの構成を示す図である。
【図１４】第２の実施形態におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒが生成する、パケットを転送させないためのフローエントリの一例を示す図である。
【図１５】第２の実施形態におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒが生成する、パケットを転送させないための制御情報の一例を示す図である。
【図１６】第２の実施形態における通信システムを構成する装置の処理動作を説明するためのシーケンス図である。
【図１７】第２の実施形態の第１の変形例におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒが生成するフローエントリの一例を示す図である。
【図１８】第２の実施形態の第２の変形例におけるＯｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒが生成するフローエントリの一例を示す図である。
【図１９】第２の実施形態の第３の変形例における通信システムの構成を示す図である。
【発明を実施するための形態】
【００２２】
以下、本願における「脅威」とは、コンピュータウイルス、ワーム、トロイの木馬、マルウェア等、通信端末（パーソナルコンピュータ、モバイル端末など）やネットワーク装置に被害を与えるものを指す。
［第１の実施形態］
本発明の第１の実施形態について、図面を用いて詳細に説明する。
［構成の説明］
図１は、本発明にかかる第１の実施形態における通信システムの構成を示す図である。
【００２３】
図１の通信システムは、制御装置１０と、通信装置２０ａ、通信装置２０ｂ、通信装置２０ｃと、端末３０ａと、端末３０ｂと、を備える。
【００２４】
尚、通信装置２０ａ乃至２０ｃを特に区別する必要がない場合は、単に通信装置２０と記載する。また、端末３０ａおよび３０ｂを特に区別する必要がない場合は、単に端末３０と記載する。
【００２５】
制御装置１０は、通信装置２０と、それぞれ接続している。
【００２６】
通信装置２０ａは、通信装置２０ｂ、通信装置２０ｃ、端末３０ａとそれぞれ接続している。
【００２７】
通信装置２０ｂは、通信装置２０ｃ、端末３０ｂと、それぞれ接続している。
【００２８】
制御装置１０と通信装置２０は、それぞれ制御用の専用回線で接続しており、図１において接続関係を破線で示す。
【００２９】
以下では、通信装置２０は、それぞれ「１９２．１６８．１．２１」、「１９２．１６８．１．２２」、「１９２．１６８．１．２３」のＩＰアドレスが割り当てられている。
【００３０】
端末３０は、それぞれ「１９２．１６８．１．３１」、「１９２．１６８．１．３２」のＩＰアドレスが割り当てられている。
【００３１】
図２は、制御装置１０の構成を示す図である。
【００３２】
制御装置１０は、通信部１１と、記憶部１２と、位置情報管理部１３と、判定部１４と、生成部１５と、設定部１６と、を備える。
【００３３】
通信部１１は、通信装置２０と通信を行うための通信インターフェースである。
【００３４】
記憶部１２は、ルーティングテーブル、パターンファイル、および位置情報テーブルを保持している。
【００３５】
ルーティンテーブルは、図３に示すようにパケットの送信元端末のＩＰアドレスと、当該パケットの転送制御を行うためのパケット処理規則とを対応付けたルーティング情報を含む。また、ルーティング情報は、それぞれ設定先の通信装置と対応付けられている。例えば、ルーティング情報３Ａ乃至３Ｃは通信装置２０ａ向けのルーティング情報である。
【００３６】
パターンファイルは、図４に示すように脅威の種類と、各脅威を示すシグネチャ（換言すると、脅威に相当するデータ配列）を含む。パターンファイルは、パケットを送信した端末が脅威に感染しているか否かを判別するために使用する。
【００３７】
位置情報テーブルは、図５に示すように端末のＩＰアドレスと、該端末と接続する通信装置を示す通信装置情報と、該通信装置における該端末との接続インターフェースを示すインターフェース情報とを対応付けた情報（以下、この３種の情報の組み合わせを位置情報と記載する。）を含む。
【００３８】
通信装置情報は、端末が通信する通信装置のＩＰアドレスである。インターフェース情報は、通信装置の端末との接続ポート番号である。この位置情報テーブルを参照することで、各端末がどの通信装置とどのインターフェースで接続しているかを特定することができる。
【００３９】
例えば、位置情報５Ａは、ＩＰアドレス「１９２．１６８．１．３１」が割り当てられた端末（図１における端末３０ａ）が、通信装置２０ａのポート２と接続していることを示している。
【００４０】
位置情報管理部１３は、端末の位置情報を収集し、位置情報テーブルに格納する。位置情報の収集は、ＡＲＰ要求に対する応答パケットを通信装置２０から制御装置１０へ送信することで実現できる。位置情報管理部１３は、通信装置２０から応答パケットを受信すると、当該応答パケットから、応答した端末のＩＰアドレス、および通信装置情報を抽出し、位置情報テーブルに格納する。
【００４１】
また、位置情報管理部１３は、通信装置２０からインターフェース情報を収集し、上述したＩＰアドレス、および通信装置情報と対応付けて位置情報テーブルに格納する。
【００４２】
このようにすることで、新たな端末がネットワークに接続した場合や接続中の端末の位置が変更になった場合なども逐次、位置情報の蓄積や更新を行うことができる。
【００４３】
判定部１４は、通信装置２０から受信したパケットと、パターンファイルとを照合し、当該パケットの送信元が脅威に感染しているか否かを判定する。
【００４４】
生成部１５は、制御情報を生成する。
【００４５】
制御情報は、通信装置２０に対して、パケットを転送させないようにするための情報である。
【００４６】
設定部１６は、生成部１５が生成した制御情報を通信装置２０に送信する。
【００４７】
図６は、通信装置２０の構成を示す図である。通信装置２０は、通信部２１と、記憶部２２と、パケット処理部２３と、を備える。
【００４８】
通信部２１は、制御装置１０、通信装置２０、および端末３０と通信を行うための通信インターフェースである。
【００４９】
記憶部２２は、ルーティングテーブルを保持している。ルーティングテーブルには、制御装置１０から設定されたルーティング情報が格納されている。例えば、通信装置２０ａが保持するルーティングテーブルには、図３に示すルーティング情報３Ａ乃至３Ｃが格納されている。
【００５０】
ルーティング情報は、制御装置１０からの指示に応じて、追加、削除、および変更される。
【００５１】
パケット処理部２３は、ルーティング情報に従って、受信パケットを処理する。
［動作の説明］
本実施形態の通信システムの動作について説明する。
【００５２】
以下では端末３０ａが端末３０ｂへパケットを送信する場合について説明する。
【００５３】
説明の便宜上、端末３０ａが送信するパケットは、通信装置２０ａ、通信装置２０ｃ、通信装置２０ｂを経由して端末３０ｂに転送されるものとする。そのためのルーティング情報は設定済みであるものとする。
【００５４】
パケット転送経路上のいずれかの通信装置２０は、送信元端末３０ａが脅威に感染しているか否かを判定するために、制御装置１０に受信パケットを送信する。
【００５５】
本実施形態では、通信装置２０ｃが制御装置１０にパケットを送信するものとする。
【００５６】
通信装置２０ａは端末３０ａからパケットを受信すると、ルーティング情報に従い当該パケットを通信装置２０ｃに送信する。
【００５７】
通信装置２０ｃは、通信装置２０ａからパケットを受信すると、ルーティング情報に従い当該パケットを通信装置２０ｂに送信するとともに、当該パケットのコピーを制御装置１０に送信する。
【００５８】
通信装置２０ｂは通信装置２０ｃからパケットを受信すると、ルーティング情報に従い端末３０ｂに当該パケットを送信する。
【００５９】
制御装置１０が通信装置２０ｃからパケットを受信すると、判定部１４は、受信したパケットのデータ部分とパターンファイルを照合し、端末３０ａが脅威に感染しているか否かを判定する。
【００６０】
具体的には、受信したパケットのデータ部分に、パターンファイルに含まれる各シグネチャと同一のデータ配列が含まれるか否かを検索する。
【００６１】
例えば、判定部１４は、受信したパケットのデータ部分が「００００１１０１０」のデータ配列を含む場合、端末３０ａが脅威Ａに感染していると判定する。
【００６２】
一方、受信したパケットのデータ部分が、パターンファイルに含まれる各シグネチャ（換言すると、脅威に相当するデータ配列）を含まない場合、判定部１４は、端末３０ａが脅威に感染していないと判定する。
【００６３】
端末３０ａが脅威に感染している場合、判定部１４は、受信したパケットの送信元ＩＰアドレスと同一のＩＰアドレスを含む位置情報を位置情報テーブルから検索し、該当する位置情報を生成部１５に渡す。この場合、判定部１４は、位置情報５Ａを生成部１５に渡す。
【００６４】
生成部１５は、判定部１４から受け付けた位置情報５Ａに含まれる通信装置情報を参照し、制御対象の通信装置を特定する。
【００６５】
生成部１５は、特定した通信装置に対して、位置情報５Ａに含まれるＩＰアドレスと同一のＩＰアドレスに対応するパケット処理規則を破棄に書き換えさせる制御情報を生成する。
【００６６】
生成部１５は、生成した制御情報を設定部１６に渡す。
【００６７】
設定部１６は、生成部１５から受け付けた制御情報を通信装置２０ａに送信する。
【００６８】
通信装置２０ａのパケット処理部２３は、受信した制御情報に従って、該当するルーティング情報のパケット処理規則を「破棄」に書き換える。
【００６９】
一方、端末３０ａが脅威に感染していない場合、判定部１４は、通信装置２０ｃから次のパケットを受信するまで待機する。
【００７０】
端末３０ａが脅威に感染していない場合、設定部１６は、通信装置２０ｃに転送許可通知を送信するようにしてもよい。その場合、通信装置２０ｃは、通信装置２０ｂへのパケット送信は行わず、転送許可通知を受信するまで当該パケットをスタックしておく。
【００７１】
上記実施形態では、通信装置に対して、特定の端末から受信したパケットを破棄させる。
【００７２】
他の方法として、通信装置のポートを非アクティブ化して、パケットを遮断することにより、脅威の感染拡大を防止することもできる。
【００７３】
上記実施形態の場合、生成部１５は、取得した位置情報５Ａに含まれる通信装置情報とインターフェース情報を参照し、制御対象となる通信装置とポートを特定する。
【００７４】
すなわち、生成部１５は、制御対象の通信装置が通信装置２０ａで、制御対象のポートがポート２であることが特定する。
【００７５】
生成部１５は、特定した通信装置２０ａに対して、ポート２を遮断させるための制御情報を生成する。
【００７６】
設定部１６は、制御情報を通信装置２０ａに送信する。
【００７７】
通信装置２０ａのパケット処理部２３は、当該制御情報に従って、ポート２を遮断する。
【００７８】
このように、通信装置における感染端末との接続ポートを遮断することにより、感染端末の通信による脅威の感染拡大を防止することができる。
【００７９】
図７は、本実施形態にかかる制御装置１０が、ネットワークへの脅威の感染拡大を防止するための処理動作を説明するためのフローチャートである。
【００８０】
通信装置２０からパケットを受信すると（Ｓ７１）、当該パケットの送信元端末が脅威に感染しているか否かを判定する。
【００８１】
送信元端末が脅威に感染していると判定した場合（Ｓ７２のＹｅｓ）、当該パケットの送信元端末に対応する位置情報に基づいて、制御対象の通信装置を特定し（Ｓ７３）、当該パケットを転送させないための制御情報を生成する（Ｓ７４）。
【００８２】
制御装置１０は、生成した制御情報を、特定した通信装置２０に送信する（Ｓ７５）。
【００８３】
送信元端末が脅威に感染していないと判定した場合（Ｓ７２のＮｏ）、次のパケットを受信するまで待機する。
【００８４】
このように、送信元端末（端末３０）が脅威に感染している場合、制御装置１０は、位置情報に基づき端末３０が接続している通信装置２０に対し、パケットを転送させないための制御情報を送信する。
【００８５】
このように、端末が脅威に感染している場合、制御装置１０は位置情報に基づき端末と接続する通信装置に対してパケットを転送させないための制御を行う。これにより感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。
【００８６】
また、制御装置１０は、ＡＲＰ要求に対する応答パケットを通信装置２０から受信することで逐次位置情報を更新するので、端末が移動して他の通信装置（例えば、通信装置２０ｃ）と接続した場合も、同様の制御を行うことができる。
［効果］
本発明の第１の実施形態における通信システムでは、制御装置は、ネットワークを構成する制御対象の複数の通信装置のうちのいずれかの通信装置から受信したパケットに基づいて、該パケットの送信元端末が脅威に感染しているか否かを判定する。制御装置は、送信元端末が脅威に感染していると判定した場合、該送信元端末の位置情報に基づいて特定した通信装置に対して、該送信元端末から受信したパケットを転送させないための制御情報を送信する。
【００８７】
これにより、感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。
［第２の実施形態］
本発明の第２の実施形態について、図面を用いて詳細に説明する。
【００８８】
第２の実施形態の通信システムは、本発明をＯｐｅｎＦｌｏｗネットワークに適用した場合の通信システムである。
［構成の説明］
図８は、本発明にかかる第２の実施形態の通信システムの構成を示す図である。
【００８９】
図８の通信システムは、Ｏｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒ（以下、「ＯＦＣ」と記載する。）１００と、判定装置２００と、Ｏｐｅｎ  Ｆｌｏｗ  Ｓｗｉｔｃｈ（以下、「ＯＦＳ」と記載する。）３００ａと、ＯＦＳ３００ｂと、ＯＦＳ３００ｃと、ＯＦＳ３００ｄと、端末４００ａと、端末４００ｂと、端末４００ｃと、を備える。
【００９０】
尚、ＯＦＳ３００ａ乃至３００ｄを特に区別する必要がない場合は、単にＯＦＳ３００と記載する。同様に、端末４００ａと４００ｂを特に区別する必要がない場合は、単に端末４００と記載する。
【００９１】
ＯＦＣ１００は、判定装置２００、ＯＦＳ３００ａ、ＯＦＳ３００ｂ、ＯＦＳ３００ｃ、およびＯＦＳ３００ｄ、とそれぞれ接続している。
【００９２】
判定装置２００は、ＯＦＳ３００ｄと接続している。
【００９３】
ＯＦＳ３００ａは、端末４００ａおよびＯＦＳ３００ｄとそれぞれ接続している。
【００９４】
ＯＦＳ３００ｂは、端末４００ｂおよびＯＦＳ３００ｄとそれぞれ接続している。
【００９５】
ＯＦＳ３００ｃは、端末４００ｃおよびＯＦＳ３００ｄとそれぞれ接続している。
【００９６】
ＯＦＳ３００は、それぞれ「１９２．１６８．２．３１」、「１９２．１６８．２．３２」、「１９２．１６８．２．３３」、「１９２．１６８．２．３４」のＩＰアドレスが割り当てられている。
【００９７】
端末４００は、それぞれ「１９２．１６８．２．４１」、「１９２．１６８．２．４２」、「１９２．１６８．２．４３」のＩＰアドレスが割り当てられている。
【００９８】
図９は、ＯＦＣ１００の構成を示す図である。
【００９９】
ＯＦＣ１００は、通信部１０１と、記憶部１０２と、位置情報管理部１０３と、取得部１０４と、経路計算部１０５と、生成部１０６と、設定部１０７と、を備える。
【０１００】
通信部１０１は、判定装置２００、ＯＦＳ３００と通信を行うための通信インターフェースである。
【０１０１】
記憶部１０２は、フローテーブルと位置情報テーブルを保持している。
【０１０２】
フローテーブルは、図１０に示すようにパケットと照合するためのマッチ条件と、該マッチ条件に合致したパケットを処理するためのインストラクションとを対応付けたフローエントリを含む。例えば、フローエントリ１０Ａは、送信元ＩＰアドレスが「１９２．１６８．２．４１」であるパケットを受信した場合のインストラクションとして、当該パケットを「ＯＦＳ３００ｄに送信」することが規定されている。
【０１０３】
また、フローエントリは、それぞれ設定先のＯＦＳ３００と対応付けられている。例えば、フローエントリ１０Ａ乃至１０Ｃは、ＯＦＳ３００ａに設定するためのフローエントリである。
【０１０４】
位置情報テーブルは、図１１に示すように端末のＩＰアドレスと、当該端末と接続するＯＦＳを示すＯＦＳ情報と、該ＯＦＳにおける該端末との接続インターフェースを示すインターフェース情報と、を対応付けた位置情報を含む。
【０１０５】
ＯＦＳ情報は、ＯＦＳ３００のＩＰアドレスである。
【０１０６】
インターフェース情報は、ＯＦＳの端末との接続ポート番号である。
【０１０７】
この位置情報テーブルを参照することで、各端末が接続しているＯＦＳと接続インターフェースを特定することができる。
【０１０８】
例えば、位置情報１１Ａは、ＩＰアドレス「１９２．１６８．２．４１」が割り当てられた端末４００ａが、ＯＦＳ３００ａのポート２と接続していることを示している。
【０１０９】
位置情報管理部１０３は、第１の実施形態の位置情報管理部１３と同様の処理動作を行う。
【０１１０】
取得部１０４は、位置情報テーブルから端末の位置情報を取得する。
【０１１１】
経路計算部１０５は、パケット転送経路を計算する。
【０１１２】
生成部１０６は、フローエントリおよび制御情報を生成する。
【０１１３】
設定部１０７は、ＯＦＳ３００にフローエントリおよび制御情報を送信する。
【０１１４】
図１２は、判定装置２００の構成を示す図である。
【０１１５】
判定装置２００は、通信部２０１と、記憶部２０２と、判定部２０３と、を備える。
【０１１６】
通信部２０１は、ＯＦＣ１００およびＯＦＳ３００と通信を行うための通信インターフェースである。
【０１１７】
記憶部２０２は、パターンファイルを保持している。尚、パターンファイルの構成は第１の実施例で説明した図４に開示のものと同一であるため、詳細な説明および図示は割愛する。
【０１１８】
判定部２０３は、受信したパケットと、パターンファイルと、を照合し、当該パケットの送信元端末が脅威に感染しているか否かを判定する。
【０１１９】
判定部２０３は、送信元端末が脅威に感染していると判定した場合、該送信元端末のＩＰアドレスを含む感染通知を生成し、ＯＦＣ１００に送信する。
【０１２０】
図１３は、ＯＦＳ３００の構成を示す図である。
【０１２１】
ＯＦＳ３００は、通信部３０１と、記憶部３０２と、パケット処理部３０３と、を備える。
【０１２２】
通信部３０１は、ＯＦＣ１００、判定装置２００、ＯＦＳ３００および端末４００と通信を行うための通信インターフェースである。
【０１２３】
記憶部３０２は、フローテーブルを保持している。
【０１２４】
フローテーブルには、フローエントリが格納されている。例えば、ＯＦＳ３００ａが保持するフローテーブルには、フローエントリ９Ａ乃至９Ｃが格納されている。
【０１２５】
フローエントリは、ＯＦＣ１００からの指示に応じて、追加、削除、変更される。
【０１２６】
パケット処理部３０３は、受信したパケットを処理する。具体的には、パケット処理部３０３は、受信したパケットと、フローエントリのマッチ条件と、を照合し、合致するマッチ条件がある場合、当該マッチ条件に対応するインストラクションに従って当該パケットを処理する。
【０１２７】
一方、合致するマッチ条件がない場合、パケット処理部３０３は、ＯＦＣ１００に対して当該パケットを処理するためのフローエントリを要求する。
［動作の説明］
本実施形態の通信システムの動作について説明する。
【０１２８】
尚、以下では、端末４００ａが端末４００ｂにパケットを送信する場合について説明する。
【０１２９】
また、ＯＦＳ３００によるパケット転送はＯｐｅｎＦｌｏｗプロトコルに則って行われる。ＯＦＳ３００には、当該パケットが、ＯＦＳ３００ａ、ＯＦＳ３００ｄ、ＯＦＳ３００ｂの順で転送されるように、フローエントリが設定されているものとして、説明する。
【０１３０】
パケット転送経路上のいずれかのＯＦＳ３００は、送信元端末４００ａが脅威に感染しているか否かを判定するために、判定装置２００に受信パケットを送信する。
【０１３１】
ここでは、ＯＦＳ３００ｄが判定装置２００にパケットを送信するものとして説明する。
【０１３２】
端末４００ａは、ＯＦＳ３００ａにパケットを送信する。
【０１３３】
ＯＦＳ３００ａは、フローエントリに従ってＯＦＳ３００ｄに当該パケットを送信する。
【０１３４】
ＯＦＳ３００ｄは、フローエントリに従ってＯＦＳ３００ｂに当該パケットを送信する。ＯＦＳ３００ｄは、フローエントリに従って判定装置２００に当該パケットのコピーを送信する。
【０１３５】
判定部２０３は、ＯＦＳ３００ｄから受信したパケットのデータ部分と、記憶部２０２が保持するパターンファイルと、を照合し、端末４００ａが脅威に感染しているか否かを判定する。
【０１３６】
例えば、判定部２０３は、受信したパケットのデータ部分が「００００１１０１０」のデータ配列を含む場合、当該パケットの送信元端末４００ａが、脅威Ａに感染していると判定する。
【０１３７】
一方、判定部２０３は、受信したパケットのデータ部分が、パターンファイルに含まれる各シグネチャ（換言すると、脅威に相当するデータ配列）を含まない場合、当該パケットの送信元端末４００ａが脅威に感染していないと判定する。
【０１３８】
判定部２０３は、送信元端末４００ａが脅威に感染していると判定した場合、端末４００ａのＩＰアドレスを含む感染通知を生成し、ＯＦＣ１００に送信する。
【０１３９】
取得部１０４は、当該感染通知を受信した場合、該感染通知に含まれる端末４００ａのＩＰアドレスと同一のＩＰアドレスを含む位置情報を位置情報テーブルから取得する。
【０１４０】
取得部１０４は、取得した位置情報を生成部１０６に渡す。
【０１４１】
生成部１０６は、取得部１０４から受け付けた位置情報１１Ａに基づいて、端末４００ａが接続するＯＦＳを特定する。
【０１４２】
生成部１０６は、特定したＯＦＳ３００ａに対して、送信元ＩＰアドレスが位置情報１１Ａに含まれるＩＰアドレスと同一のＩＰアドレスに合致するパケットを破棄させるフローエントリを生成する。
【０１４３】
図１４にパケットを破棄させるためのフローエントリの一例を示す。図１４のフローエントリは、送信元ＩＰアドレスが「１９２．１６８．２．４１」の端末から受信したパケットに対するインストラクションとして「破棄」が規定されている。
【０１４４】
設定部１０７は、生成したフローエントリをＯＦＳ３００ａに送信する。
【０１４５】
このようにして、ＯｐｅｎＦｌｏｗを適用したネットワークにおいて、感染端末の通信によるネットワークへの脅威の感染拡大を防止する処理が実行される。
【０１４６】
一方、判定部２０３は、送信元端末４００ａが脅威に感染していないと判定した場合、ＯＦＳ３００ｄから次のパケットを受信するまで待機する。
【０１４７】
上記のように、ＯＦＳに対して、感染端末から受信したパケットを破棄させることにより、感染端末からの通信によるネットワークへの脅威の感染拡大を防止することができる。
【０１４８】
上記の実施形態では、ＯＦＳに対して、特定の端末から受信したパケットを破棄させる。
【０１４９】
他の方法として、ＯＦＳ３００のポートを非アクティブ化して、パケットを遮断することにより、脅威の感染拡大を防止することもできる。
【０１５０】
上記実施例の場合、生成部１０６は、取得した位置情報１１Ａに含まれるＯＦＳ情報とインターフェース情報に基づいて、制御対象のＯＦＳ３００とポートを特定する。
【０１５１】
すなわち、生成部１０６は、制御対象のＯＦＳがＯＦＳ３００ａで、制御対象のポートがポート２であることが特定する。
【０１５２】
この場合、生成部１０６は、ＯＦＳ３００ａに対して、ポート２を遮断させるための制御情報（図１５を参照。）を生成する。
【０１５３】
設定部１０７は、該制御情報をＯＦＳ３００ａに送信する。
【０１５４】
このように、ＯＦＳ３００ａは、図１５に示す制御情報に従って感染端末との接続ポートを遮断することにより、感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。
【０１５５】
図１６は、端末４００ａが端末４００ｂにパケットを送信する場合における、本実施形態の通信システムの処理動作を説明するためのシーケンス図である。
【０１５６】
ＯＦＳ３００ａは、受信したパケットをＯＦＳ３００ｄに送信する（Ｓ１６０１）。
【０１５７】
ＯＦＳ３００ｄは、受信したパケットを判定装置２００に送信する。（Ｓ１６０２）
判定装置２００は、当該パケットの送信元端末が脅威に感染しているか否かを判定する。
【０１５８】
判定装置２００は、送信元端末４００ａが脅威に感染していると判定した場合（Ｓ１６０３のＹｅｓ）、感染通知をＯＦＣ１００に送信する（Ｓ１６０４）。
【０１５９】
ＯＦＣ１００は、端末４００ａに対応する位置情報に基づいて、制御対象のＯＦＳ３００ａを特定し（Ｓ１６０５）、当該パケットを転送させないためのフローエントリを生成する（Ｓ１６０６）。
【０１６０】
ＯＦＣ１００は、生成したフローエントリを特定したＯＦＳ３００ａに送信する（Ｓ１６０７）。
【０１６１】
このように、端末４００ａが脅威に感染している場合、ＯＦＣ１００は、位置情報に基づき端末４００ａが接続しているＯＦＳ３００ａを特定し、該ＯＦＳ３００ａに対してパケットを転送させないためのフローエントリを送信する。
【０１６２】
これにより、ＯＦＣ１００は、ＯＦＳ３００に対して受信パケットを転送させないよう制御することで、感染端末からの通信によるネットワークへの脅威の感染拡大を防止することができる。
【０１６３】
一方、判定部２０３は、送信元端末４００ａが脅威に感染していないと判定した場合（Ｓ１６０３のＮｏ）、再びパケットを受信するまで待機する。
【０１６４】
以上の一連の処理により、感染端末の通信によるネットワークへの感染拡大を防止することができる。
【０１６５】
以上では、図１６を用いて、端末４００ａが端末４００ｂに送信するパケットがＯＦＳ３００ａとＯＦＳ３００ｄを介して転送される場合における各装置の一連の処理について説明したが、端末４００ｂや端末４００ｃが端末４００ａにパケットを送信する場合など、ＯＦＳ３００ｄを介してパケットが転送される場合は、上記と同様の処理が行われる。
【０１６６】
この場合、ＯＦＣ１００は、送信元端末が端末４００ｂである場合はＯＦＳ３００ｂに対してパケットを転送させないためのフローエントリおよび制御情報を送信し、送信元端末が端末４００ｃである場合はＯＦＳ３００ｃに対してパケットを転送させないためのフローエントリおよび制御情報を送信する。
【０１６７】
このように、送信元端末（端末４００）が脅威に感染している場合、ＯＦＣ１００は、位置情報に基づき端末４００が接続しているＯＦＳ３００に対し、パケットを転送させないためのフローエントリおよび制御情報を送信する。
【０１６８】
このように、端末が脅威に感染している場合、ＯＦＣ１００は位置情報に基づき端末と接続するＯＦＳに対してパケットを転送させないための制御を行う。これにより感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。
［効果］
本発明の第２の実施形態における通信システムでは、判定装置は、ネットワークを構成する複数のＯＦＳのうちのいずれかのＯＦＳから受信したパケットに基づいて、該パケットの送信元端末が脅威に感染していると判定した場合、ＯＦＣに感染通知を送信する。ＯＦＣは、感染通知を受信すると、送信元端末の位置情報に基づいて特定したＯＦＳに対して、該送信元端末から受信したパケットを転送させないためのフローエントリおよび制御情報を送信する。
【０１６９】
これにより、感染端末の通信によるネットワークへの脅威の感染拡大を防止することができる。
［第２の実施形態の変形例］
続いて、第２の実施形態の変形例について説明する。
＜第１の変形例＞
第２の実施形態の第１の変形例について説明する。
【０１７０】
第２の実施形態の第１の変形例と上述した第２の実施形態は、ＯＦＣ１００が生成するフローエントリが、該フローエントリが消滅するまでの時間を示す閾値と、該フローエントリがＯＦＳ３００に設定されてから経過した時間（以下、「カウントアップタイマー」と記載する。）と、優先度と、を含む点で相違する。
【０１７１】
図１７は、第２の実施形態の第１の変形例において、ＯＦＣ１００が生成し、ＯＦＳ３００ｄに対して送信するフローエントリの一例を示す図である。
【０１７２】
図１７に示すフローエントリ１７Ａは、ＯＦＳ３００ｄがＯＦＳ３００ｂにパケットを送信するためのフローエントリである。このフローエントリ１７Ａは、ＯＦＳ３００ｄに設定されてから３０秒で消滅するように設定されており、カウントアップタイマーが閾値（図１７の例では、３０秒）以上になると消滅する。
【０１７３】
図１７に示すフローエントリ１７Ｂは、ＯＦＳ３００ｄが判定装置２００にパケットを送信するためのフローエントリである。ＯＦＳ３００ｄは、フローエントリ１７Ａが消滅した後、フローエントリ１７Ｂに従って、判定装置２００にパケットを送信する。
【０１７４】
この場合、ＯＦＳ３００ｄは、優先度の高いフローエントリ１７Ａに従って、受信パケットをＯＦＳ３００ｂに送信する。ＯＦＳ３００ｄは、フローエントリ１７Ａが消滅したら、フローエントリ１７Ｂに従って、受信パケットを判定装置２００に送信する。
【０１７５】
以上のように、ＯＦＳ３００は、閾値に設定された時間ごとに、判定装置２００に対してパケットを送信するので、判定装置２００に対するパケット送信頻度が低減される。
【０１７６】
これにより、判定装置２００は、ＯＦＳ３００が受信した全てのパケットに対して感染有無の判定処理を行う場合に比べて、判定装置２００における端末の感染有無の判定処理を軽減することができる、という効果を奏する。
＜第２の変形例＞
第２の実施形態の第２の変形例について説明する。
【０１７７】
第２の実施形態の第２の変形例と上述した第２の実施形態とは、ＯＦＣ１００が生成するフローエントリが、該フローエントリのマッチ条件に合致するパケットの受信回数の閾値と、該フローエントリのマッチ条件に合致するパケットの受信回数（以下、「統計情報」と記載する。）と、優先度と、を含む点で相違する。
【０１７８】
図１８は、第２の実施形態の第２の変形例において、ＯＦＣ１００が生成し、ＯＦＳ３００ｄに対して送信するフローエントリの一例を示す図である。
【０１７９】
図１８に示すフローエントリ１８Ａは、ＯＦＳ３００ｄがＯＦＳ３００ｂにパケットを送信するためのフローエントリである。このフローエントリは、ＯＦＳ３００ｄがマッチ条件に合致するパケットを１０００回受信したら消滅するように設定されており、統計情報が閾値（図１８の例では、１０００回）以上になると消滅する。
【０１８０】
図１８に示すフローエントリ１８Ｂは、ＯＦＳ３００ｄが判定装置２００にパケットを送信するためのフローエントリである。ＯＦＳ３００ｄは、フローエントリ１８Ａが消滅した後、フローエントリ１８Ｂに従って、判定装置２００にパケットを送信する。
【０１８１】
この場合、ＯＦＳ３００ｄは、優先度の高いフローエントリ１８Ａに従って、受信パケットをＯＦＳ３００ｂに送信する。ＯＦＳ３００ｄは、フローエントリ１８Ａが消滅したら、フローエントリ１８Ｂに従って、受信パケットを判定装置２００に送信する。
【０１８２】
以上のように、ＯＦＳ３００は、フローエントリのマッチ条件に該当するパケットを、閾値に設定されたパケット受信回数ごとに判定装置２００に送信するので、判定装置２００に対するパケット送信頻度が低減される。
【０１８３】
これにより、判定装置２００は、ＯＦＳ３００が受信した全てのパケットに対して感染有無の判定処理を行う場合に比べて、端末の感染有無の判定処理を軽減することができる、という効果を奏する。
＜第３の変形例＞
第２の実施形態の第３の変形例について、図面を用いて説明する。
【０１８４】
図１９は、本発明にかかる第２の実施形態の第３の変形例の通信システムの構成を示す図である。
【０１８５】
第２の実施形態の第３の変形例は、端末４００ａが外部ネットワーク５００と通信しており、かつ判定装置２００が外部ネットワーク５００とのエッジに配置されている点で、第２の実施形態と相違する。
【０１８６】
この場合、判定装置２００は、パケットを受信すると、該パケットの送信元端末が脅威に感染しているか否かを判定する。
【０１８７】
送信元端末が脅威に感染していると判定した場合、判定装置２００は、ＯＦＣ１００に対して、感染通知と当該パケットを送信する。
【０１８８】
一方、送信元端末が脅威に感染していないと判定した場合、判定装置２００は、受信したパケットを外部ネットワーク５００に送信する。
【０１８９】
このように、判定装置を外部ネットワークとのエッジに配置することにより、感染端末の通信によるセグメント内および外部ネットワークへの脅威の感染拡大を防止することができる。
【符号の説明】
【０１９０】
１０  制御装置
１１  通信部
１２  記憶部
１３  位置情報管理部
１４  判定部
１５  生成部
１６  設定部
２０ａ  通信装置
２０ｂ  通信装置
２０ｃ  通信装置
２１  通信部
２２  記憶部
２３  パケット処理部
３０ａ  端末
３０ｂ  端末
１００  Ｏｐｅｎ  Ｆｌｏｗ  Ｃｏｎｔｏｒｏｌｌｅｒ
１０１  通信部
１０２  記憶部
１０３  位置情報管理部
１０４  取得部
１０５  経路計算部
１０６  生成部
１０７  設定部
２００  判定装置
２０１  通信部
２０２  記憶部
２０３  判定部
３００ａ  Ｏｐｅｎ  Ｆｌｏｗ  Ｓｗｉｔｃｈ
３００ｂ  Ｏｐｅｎ  Ｆｌｏｗ  Ｓｗｉｔｃｈ
３００ｃ  Ｏｐｅｎ  Ｆｌｏｗ  Ｓｗｉｔｃｈ
３００ｄ  Ｏｐｅｎ  Ｆｌｏｗ  Ｓｗｉｔｃｈ
３０１  通信部
３０２  記憶部
３０３  パケット処理部
４００ａ  端末
４００ｂ  端末
４００ｃ  端末
【図１】
2020072427.tif 000003
【図２】
2020072427.tif 000004
【図３】
2020072427.tif 000005
【図４】
2020072427.tif 000006
【図５】
2020072427.tif 000007
【図６】
2020072427.tif 000008
【図７】
2020072427.tif 000009
【図８】
2020072427.tif 000010
【図９】
2020072427.tif 000011
【図１０】
2020072427.tif 000012
【図１１】
2020072427.tif 000013
【図１２】
2020072427.tif 000014
【図１３】
2020072427.tif 000015
【図１４】
2020072427.tif 000016
【図１５】
2020072427.tif 000017
【図１６】
2020072427.tif 000018
【図１７】
2020072427.tif 000019
【図１８】
2020072427.tif 000020
【図１９】
2020072427.tif 000021