(57)【要約】トラフィックマネジメントシステムがシステム内の任意の地点において、到着するデータを追跡する。追跡動作は、各アドレスから来るあるデータを抽出するために行われる。このデータは、例えば、ＩＰアドレスデータまたは物理アドレスデータである。抽出されたデータは、様々なデータベースにアクセスするために用いられ、マッチするかが判断される。システムに入って来る各データのタイムスタンプ、シーケンシングそして他のパラメータが、データアクセスを制御するために用いられる。
2005518764.tif 000002
【特許請求の範囲】
【請求項１】
パケットデータに関して用いるトラフィックマネジメントシステムであって、前記システムはデータパケットを通すことができ、
前記システムは、
前記システムに流れ込む各パケットのデータからあるパラメータデータを抽出する手段と、
前記抽出されたデータを少なくとも１つのデータベースと照合して、前記抽出されたデータに関するデータパケットが有効かを判断する手段とを備える
ことを特徴とするトラフィックマネジメントシステム。
【請求項２】
請求項１に記載のトラフィックマネジメントシステムにおいて、
前記抽出されたデータは、前記パケットの送信元のソフトウェアおよびハードウェアアドレスを含む
ことを特徴とするトラフィックマネジメントシステム。
【請求項３】
請求項２に記載のトラフィックマネジメントシステムにおいて、
ネットワ−クデータベースが前記パケットの抽出されたアドレス情報に基づいて各パケットについて問い合わせを受ける
ことを特徴とするトラフィックマネジメントシステム。  
【請求項４】
請求項２に記載のトラフィックマネジメントシステムにおいて、さらに、
抽出された前記ハードウェアおよびソフトウェアアドレスが格納されるローカルデータベースを備える
ことを特徴とするトラフィックマネジメントシステム。
【請求項５】
請求項４に記載のトラフィックマネジメントシステムにおいて、
前記照合する手段は、各パケットから抽出されたハードウェアおよびソフトウェアアドレスの組を、前記ローカルデータベース中のデータ内に格納されたアドレスと照合する
ことを特徴とするトラフィックマネジメントシステム。  
【請求項６】
請求項１に記載のトラフィックマネジメントシステムにおいて、
前記抽出する手段は、前記パケットに対するシーケンスデータそして／またはタイムスタンプデータを抽出する
ことを特徴とするトラフィックマネジメントシステム。
【請求項７】
請求項５に記載のトラフィックマネジメントシステムにおいて、さらに、
抽出された前記シーケンシングそして／またはタイムスタンプデータが格納されたローカルデータベースを備える
ことを特徴とするトラフィックマネジメントシステム。
【請求項８】
請求項７に記載のトラフィックマネジメントシステムにおいて、
前記照合する手段は、各パケットから抽出されたシーケンスそして／またはタイムスタンプデータを前記ローカルデータベース中に格納されたシーケンスそして／またはタイムスタンプデータと照合する
ことを特徴とするトラフィックマネジメントシステム。
【請求項９】
データネットワークモニタリングシステムであって、
少なくとも１つのデータ追跡手段と、
テンポラリストレージ装置と、
前記システムを通過するデータに関するスプーフィングを判断するプロセッサとを備え、
前記プロセッサは、さらに、システム内に入ってくる選択されたデータを前記テンポラリストレージ装置に向かわせ、前記選択されたデータは、前記データ追跡手段から得られた情報とスプーフィング判断から得られた情報によって部分的に制御される
ことを特徴とするデータネットワークモニタリングシステム。
【請求項１０】
請求項９に記載のデータネットワークモニタリングシステムにおいて、
前記システムは、さらに、望ましくない特徴を持つ大量のデータを備え、
前記プロセッサは、前記望ましくない特徴を持つ大量のデータを前記データ追跡手段から得られたデータと比較して、前記スプーフィング判断に役立たせる
ことを特徴とするデータネットワークモニタリングシステム。
【請求項１１】
請求項９に記載のデータネットワークモニタリングシステムにおいて、さらに、
スプーフィングに関するあるパラメータをリアルタイムに表示するディスプレイを備える
ことを特徴とするデータネットワークモニタリングシステム。
【請求項１２】
トラフィックマネジメントシステムの制御方法であって、
前記システム中に流れ込むデータパケットの、可能性のあるスプーフィングに関連するあるパラメータを検討するステップと、
受信された各データパケットに関連する前記検討されたあるパラメータをある期間記憶するステップと、
前記システムに入るパケットフロー量があるレベルに到達すると、以前に受信されたパケットの、選択された記憶パラメータに従って、連続して受信されたパケットを一時的に格納するステップとを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１３】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、
前記あるレベルは、ユーザによって制御される
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１４】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、
前記あるレベルは、複数のレベルを含み、
各連続するレベルに到達すると、前記記憶されたあるパラメータのより厳しい適用をもたらす
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１５】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、
前記記憶されたパラメータは、送信者のソフトウェアアドレス、送信者のハードウェアアドレス、前にトラブルを引き起こしたアドレス、トラブルを引き起こすおそれのあるアドレスの通知、ある期間内に特定のアドレスから送信されたデータ量、ある期間内に特定のアドレスから到着したパケット数、アドレスのドメインネーム、最初にアドレスに遭遇した日付、最も近い時期にアドレスに遭遇した日付、トランザクションのシーケンス番号、トランザクションのタイムスタンプの１または複数を含む
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１６】
請求項１５に記載のトラフィックマネジメントシステムの制御方法であって、
前記あるレベルは、順番に整列された複数のレベルを含み、そのレベルのシーケンスが絶対最大データフローレートに近づくほど、より多くの前記記憶されたパラメータが前記特定のパケットの一時的な格納を決定するための基準として含まれる
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１７】
請求項１６に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
前記データフローレートがその最大限度に達した時に、一時的に格納するためにパケットを任意に選択するステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１８】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
前記システム内へのトラフィックフローが前記あるレベル以下に低下した時に、前記一時的に格納されたデータパケットを引き出すステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１９】
請求項２６に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
前記引き出されたデータパケットの少なくともいくつかについて、前記システム中を通過させるステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項２０】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
一時的に格納された前記データパケットの１つに関する情報を動的に表示するステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項２１】
請求項２０に記載のトラフィックマネジメントシステムの制御方法であって、
前記表示するステップは、前記表示情報を遠隔地点に送信するステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項２２】
データフローがその地点における処理能力より速く特定の地点を越えて流れ込むことを防止する方法であって、
前記特定の地点を通過するデータのあるパラメータを記憶するステップであって、前記あるパラメータは送信者のソフトウェアアドレス、送信者のハードウェアアドレス、トランザクションのタイムスタンプ、トランザクションのシーケンス、スプーフィングに関するデータのリストから選択されたものであるステップと、
その地点におけるデータ処理能力が予め設定された限度に達すると、選択されたデータが前記特定の地点を通過することを防止するステップとを有し、
前記通過を防止するステップは、以前に前記特定の地点を通過したデータに関する、前記記憶されたパラメータを基準とする
ことを特徴とするデータフロー防止方法。
【請求項２３】
企業のデータ処理システムが、前記企業システムの外部ソースから前記企業システムに向けられたスプーフィングされたデータリクエストによってオーバーロードとなることを防ぐためのデータフロー制御システムであって、
任意の前記外部ソースから前記企業システムに向けられたデータを受信し得るゲートウェイと、
前記ゲートウェイに向けられたあるデータの選択された部分を監視するデータモニタリング回路と、
前記企業システムによって現在処理されているデータ量がある閾値に到達したときに、前記企業システムに向けられた選択されたデータを企業システムから一時的に取り除くことができる遅延パスとを備え、
前記選択されたデータは、不確かであるがスプーフィングの可能性がある
ことを特徴とするデータフロー制御システム。
【請求項２４】
請求項２３に記載のデータフロー制御システムにおいて、
一時的に取り除かれる前記データの１つは、厳密には前記データモニタリング回路によって提供される情報の制御の下で選択される
ことを特徴とするデータフロー制御システム。
【請求項２５】
請求項２３に記載のデータフロー制御システムにおいて、
前記ある閾値は段階を持ち、一時的に取り除かれるデータの量およびタイプは、前記段階に比例して作用する
ことを特徴とするデータフロー制御システム。
【発明の詳細な説明】
【背景技術】
【０００１】
本発明は、データネットワーク制御システムに関し、特に、特定の地点における、そして／または特定の地点の外におけるデータフローストリームを継続させるためにトラフィックを監視し、そしてフィルタリングするシステムおよび方法に関し、さらに、ＩＰスプーフィング（ｓｐｏｏｆｉｎｇ）を検知し、防御するシステムおよび方法に関する。
【０００２】
データ処理地点における、そしてデータ処理地点の外におけるデータフローは、多くの企業における適切な運用にとって重要である。このデータフローが妨害されると、最も短い期間であっても、大きな問題が出てくる。そのようなデータフローを妨害する１つの方法は、任意の通信線（またはその経路上の任意のネットワーク装置）を、装置の動きが鈍くなり、適切に機能しなくなるような多くのデータパケットでフラッディングさせることによって行われる。そのような状態においては、データが欠け、トランザクションは完了せず、そして、通信の流れが止まる。
【０００３】
企業は、１つのアプリケーションに特有のものではないがネットワークに存在する、あるタイプのサービス否認（ＤＯＳ）［Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ］や分散サービス否認（ＤＤＯＳ）を含む、広い範囲のフラッディングメカニズムによるデータフラッディングを介して攻撃を受ける。
【０００４】
この典型的なタイプの問題に対する１つの解決法は、システムアドミニストレータがアクセスコントロールリストスクリーン上でスクロールして、攻撃しているＩＰアドレスを選択し、ブロックすることによって行われる、マニュアルによる介入である。
【０００５】
もちろん、この方法は、オペレータはどの送信元ＩＰアドレスが問題を起こしているかを知っていることを前提にしている。アドレスそして／または複数のアドレスを送信している悪者が変化し続けるなら、オペレータ（ネットワークアドミニストレータ）は対処に困る。今日では、ある攻撃が検知されたことをマニュアルで通知し、検知された攻撃しているＩＰアドレスを列挙することを可能とするリモート侵入検知センサが存在する。３つ目の解決法は、ネットワーク状況のリモート監視である。その解決法の問題は、人間が現在の状況に対応するまでに、そのトラフィックを制御することはもはや不可能となり、そのネットワークはそのトラフィック負荷によってダウンするということである。
【０００６】
例えば、Ｔ１チャネルの最大データレートのおよそ半分である毎秒１，０００パケットといった適度なスピードの場合でも、人間の目は、そのシステムに多くのパケットが入ってきてダメージを引き起こす前にそのＩＰアドレスを読み、その情報を整理し、行動できるほど速く反応できない。典型的な企業は、１時間に約４，０００，０００または５，０００，０００のパケットから成る膨大な量のヒットを受信する。そのような多数のパケットは、渋滞すると、そのシステムの機能を停止させる。
【０００７】
ネットワーク上の別のタイプの攻撃は、１つのコンピュータがある期間別のコンピュータの身元（ＩＰアドレス）を欺くＩＰスプーフィングである。通常、そのＩＰアドレスを「欺かれた」コンピュータは、そのスプーフィングに気づきもしない。
【０００８】
コンピュータ中のイーサネットＮＩＣカードは、ハードウェアアドレスとソフトウェアアドレスの双方を持っている。ソフトウェアアドレスは、一般に知られたアドレスであるＴＣ／ＩＰアドレスと呼ばれている。もしそのコンピュータ中のイーサネットカードが家であると想定すると、メーリングアドレスがＴＣ／ＩＰアドレスに相当する。その家の物理アドレスはその家が物理的に位置する場所を表す地図上の座標として示される。家の所在地は、通常、「リーガルディスクリプション」すなわち、ある区画マップ上のあるブロックにおけるある１区画で表現される。我々は、家をその住所によって照会する。スプーフィングする者は、ランダムにＩＰアドレス（ソフトウェアそしてＴＣ／ＩＰアドレス）を彼らのコンピュータから生成し、または、多くのシステムはＴＣ／ＩＰアドレスに反応することから、彼らは、そのコンピュータのＩＰアドレスを、彼らが盗みまたはトラフィックを生成したいターゲットコンピュータのＩＰアドレスに変更する。
【発明の開示】
【発明が解決しようとする課題】
【０００９】
本発明は、スプーフィングを検知し、防止するいくつかの技術を含むシステムおよび方法に向けられている。１つの技術は、全てのイーサネットカードに焼き付けられたＭＡＣまたはハードウェアアドレスを用い、そのアドレスをＩＰアドレスと比較して、特定のデータベース中でマッチングがとれているかを調べる。これは、「リーガルディスクリプション」と送信された各レターのメーリングアドレスとのマッチングを、そのレターが宛先に配信される前に行うことに似ている。オペレーションにおいては、システムは、ハードウェアおよびソフトウェアアドレスを、それらが生成された時に格納する。新たなパケットが到着すると、それは、認証データベースによってチェックされる。もし、突然、そのハードウェアアドレスとＩＰアドレスがマッチングしなくなると、そのシステムは、高い可能性でアドレスがスプーフィングされたことを知る。
【００１０】
別の技術は、ドメインネームサーバテーブルにインターネット経由でリクエストを送信し、あるＩＰアドレスがそのテーブル中に存在するかを確認することである。もし戻ってきた答えが、「いいえ、それは我々のテーブルにはありません」であるなら、そのシステムがスプーフィングされたアドレスを扱っている可能性が高い。
【００１１】
別の技術は、宛先に到着し、または宛先から発せられるパケットのＩＰヘッダ中に含まれるＩＤ番号を用いることである。コンピュータがデータを交換するにつれ、これらのＩＤ番号はより高くなって交換されるため、双方のコンピュータ（送信者と受信者）は、発着するデータパケットアドレスのシーケンスを知る。もし、突然、予想したシーケンス番号の後に予期しないシーケンスが続くと、そのシステムが有効でないパケットを扱っている可能性が高い。
【課題を解決するための手段】
【００１２】
本発明の１つの実施例では、あるシステムは、データベースが１つのコンピュータ上で動作し、または多数のコンピュータにまたがって動作し、そして、アプリケーションと管理ツールが別のコンピュータ上で動作する一方でカーネルとその機能の全てが分離されたコンピュータ上で動作する、３つの階層アーキテクチャを実行する。そのシステムは、会社に向けられた全てのＴＣＰ／ＩＰパケットを監視するように、そして、各ＩＰアドレスからの各パケットを、各パケットに付随する情報の全てのバイトとともに追跡し続けるように設計されている。そのシステムおよび方法の目的は、フラッディングを防止することであり、それは、データスループットまたはパケットスループットが、ある閾値（ｔｈｒｅｓｈｏｌｄ）を超えてはならないこととして定義される。
【００１３】
望まれるなら、システムは、ある閾値に達すると各閾値が動的に変化する数個の閾値を持つことができる。このコンテクストにおける閾値は、予め設定された期間（プライマリタイムスライス（ＰＴＳ）と呼ばれる）における到着データパケットの数と情報の累積バイト数の限界値である。これが発生すると、あるパケットは、スキャンされ、キャプチャーされ、そして、（一時的に）そのシステムを通過しないようにされる。トラフィックレートがその閾値レベルまで下がると、これらのキャプチャーされたパケットは、そのシステムを通ることを許可される。そのキャプチャーされたパケットは、「不良」なＩＰアドレスとして知られた特定のＩＰアドレスから来るＰＴＳ単位のパケット数や累積バイト数といった、モニタによってある基準に照らして「追跡された」情報と、知られている不良のデータパターンとを照合することによって選択される。
【００１４】
一般的に、フラッディングが起きると、そのネットワークにおける合計最大帯域幅の割合として存在する４つの（またはそれ以上またはそれ未満の）閾値レベルがある。その閾値は、例えば、最大値の２０％、３０％または４０％である。もし、そのトラフィックフローが最も低い閾値を下回っているなら、全てがスムーズに進む。一旦到着パケットの数そして／または累積バイト数がある閾値を超えると、そのシステムは、自動的に、あるパケットをチョークし、または保管し、予め決められたリストの人々に対してアラームと通知を送信する。もしより高い閾値が超えられると、より厳しいアクションが採られる。すなわち、より多くのパケットがそのシステムを通過できなくされ、更なるアラームと通知が送信される。
【００１５】
そのシステムの１つの実施例は、いくつかのリアルタイムディスプレイ、または、データベース、カーネル、そしてシステム全体を解析し、管理し、監視するためのツールを有している。データとアドレスの１つのビジュアルディスプレイは、チョークされたパケットを表示し、そして、選択的に、なぜチョークされたかを表示する。この情報は、ローカルに表示されることができ、そして、世界の任意の場所の任意の端末または通信装置に対して遠隔的に通信され得る。従って、適切なユーザＩＤとパスワードを用いて任意の端末から操作しているユーザは、より多くのまたはより少量のデータフローをもたらす様々なパラメータを変更することによってそのシステムに適合することができる。そのオペレータは、もし望むなら、データをチョークするための基準を調整することができる。
【００１６】
以上は、以下の本発明の詳細な記述がより理解されるように、本発明の特徴と技術的利点の大まかな概略を述べたものである。発明の更なる特徴と利点は、その発明のクレームの主題を形成するものとして以下に記述される。開示される思想と特定の実施例は、修正、そして、本発明と同一の目的を達成するための他の構成を設計するための基礎として、当業者にとってすぐに役立つ。当業者によって、そのような同等の構成は添付されたクレームの思想と範囲を逸脱するものではないことは理解されるであろう。本発明の特徴とされる、その構成および操作方法双方の明白な特徴は、さらなる目的と利点とともに、添付された図面が考慮された時に以下の記述から容易に理解されるであろう。しかし、その各図は、表示と説明のためのみのものであり、本発明の限界を定めるものではないことが明確に理解されるべきである。
【発明を実施するための最良の形態】
【００１７】
図１を見ると、パケットがインターネット１８（または任意のソース）から来ると、それらは、Ｔ１、Ｔ３、ＯＣ４８または他の任意の通信メディアであるライン１０を通じてデータ変換器１１−１（１１−２）に送信される。データ変換器１１−１はそのラインからデータパケットを取得し、そのデータをトークンリング、ＦＤＤＩ、ＴＣＰ／ＩＰまたは企業に望まれる別のプロトコルといった「内部」プロトコルに変換する数個のデータ変換器であり得る。これらのパケットは、次に、メディア１４を通じてセキュリティシステム２００−１に渡される。そのパケットがセキュリティシステム２００−１に到達すると、各パケットは、以下に説明するように解析される。セキュリティシステム２００―１を通過するこれらのメディアパケットのみが、１５を通じてルーター１２に配信される。ルーター１２は、ルーター／ゲートウェイの組み合わせであり、または、実際には、ルーター１２そして／またはファイアウォール１０８は、望まれるならセキュリティシステム２００−１内に直接構成され得る。
【００１８】
もし望まれるなら、スプーフィング検知器および制御器１２０は、アプリケーション１０７に付加されるか、（示されるように）独立であり、イントラネット１３の前の望まれるところに付加される。さらに、１または複数の制御器１２０は、望まれるなら、そのネットワークを内部的に保護するためにイントラネット１３の後に配置される。制御器１２０のオペレーションは、図９、１０、そして１１に関して以下に説明される。
【００１９】
セキュリティシステム２００−１を通過したそれらのパケットは、企業内部（イントラ）ネットワーク１３、ファイアウォール１０８に配信される。他のイントラネットがローカルにまたは遠隔的にイントラネット１３に接続され得る。例えば、イントラネット１３−Ｎは、メディア１７を通じてイントラネット１３に接続される。任意のイントラネットには、ルーター１０２、ゲートウェイ１０３、サーバ１０４、ＰＣｓ１０５、ボイスオーバーＩＰプロトコルシステム（ＶＯＩＰ）１０６、または他の任意のタイプの装置が接続され得る。
【００２０】
そのシステムは、ユーザが望むなら、情報がいつも例えばインターネット１８といった外部ネットワークからデータラインＴ１およびＴ２を通じて配信されるように、バックアップラインＴ１−２を備えて設計される。Ｔ１−２経由で到着したパケットは、セキュリティシステム２００−２がセキュリティシステム２００−１が機能していないか、オーバーロードであることを通知されるまで、それらがセキュリティシステム２００−２を通過しないことを除いては、Ｔ１−１経由で到着したパケットと同様の方法で処理される。そのような事態においては、情報はＴ１−１から流れなくなり、Ｔ１−２から流れ始める。これがバックアップシステムであり、セキュリティシステム２００−１と２００−２は、例えば、メディア１０９を通じて互いに通信する。データベース１９は、システム２００−１および２００−２双方に接続され、Ｔ１−１またはＴ１−２を経由して到着した全てのパケットを解析した情報を格納する。
【００２１】
アプリケーション１０７は、望まれるならセキュリティシステム２００−１および２００−２から離れ、イントラネット１３を介して接続されることができ、または、それらは、セキュリティシステム２００−１に対してローカルに配置することができる。好適な配置では、アプリケーション１０７は、１つの処理システム２００−１から隔離されたＣＰＵ中にある。それらは、必要ならインターネット１８を介した地点から動作する。そのような場合、他の任意の情報がそのシステムに到着すると、その情報はモデムＴ１−１およびＴ１−２上に到着する。説明されるように、これによって、ユーザは遠隔的にシステムにアクセスし、そのシステムを監視し、望まれるようにそのシステムに変更を加えることができる。
【００２２】
アプリケーション１０７からのデータは、バイナリに暗号化されるため、任意の場所において動作する場合に、解読することは困難である。データがセキュリティシステム２００−１（２００−２）に流れ込むと、そのパケットは解析され、それらが以下に説明されるようにそのシステムから出されるまでルーター／ゲートウェイ１２に渡されない。
【００２３】
図２は、一例としてのセキュリティシステム２００のブロック図を示す。データは、メディア１４を介して、ソラリス８のようなオペレーティングシステム２４を動作させるサンウルトラコンピュータといったＣＰＵインタフェース２０に入る。この例における管理インタフェース２１は、４個のビジュアルディスプレイであり、２個はデータベースドリブンであり、他の２個は、リアルタイムのカーネルのビジュアルディスプレイである。データベースインタフェース２２は、この例では、オラクル８ｉバージョン８．１．７．０．０であり、オラクル８アーキテクチャに基づく多数のテーブルを有する。通知システム２３は、パケットが解析され、チョークされると、ｅメールとページャーアラートを送信するアラームシステムである。フィルタリング処理装置２５は実際にパケットをフィルタリングし、そのシステムを通過させないソラリス８をロード可能なカーネルモジュールである。ＳＭＩ２６は、継続的にセキュリティシステム２００−１（２００−２）の全ての状態を監視する自己監視部である。ネットワークインタフェース２７は、サンファストイーサネットＰＣＩＮＩＣインターネットアクセスを用いて外部インタフェース１５へのデータパケットを処理する。通知システム２３は、都合よくＳＭＴＰプロトコルを介し、外部インタフェース１４を通じて、例えばサンソラリスメールエックスプログラムを用いることにより、ページ、ｅメールそして／または他の任意のメッセージタイプを送信する。閾値設定制御器２８は、固定のそして可変の設定をすることができる。
【００２４】
コマンドインタフェースは、そのシステムに対するＵｎｉｘシェルそして／またはＤＯＳシェルコマンドラインインタフェースである。インタフェースは、そのシステムの内部設定パラメータを変更するコマンドの外部発行を可能とする。内部設定が変更するとともに、設定データベースは同時にそして自動的に更新される。以下は、変更され得る設定要素のリストの一部である。
【００２５】
Ｓｔａｔｕｓ−変更可能な全ての設定要素のリストとそれらの現在の状態を問い合わせる。
【００２６】
Ｅｍａｉｌ−ｅメールアラートを起動／不起動させる。
【００２７】
Ｐａｇｅｒ−ページャーアラートを起動／不起動させる。
【００２８】
Ｉｐｔｒａｃｋ−ｉｐｔｒａｃｋデータベースへの書き込みを開始／停止する。
【００２９】
Ｉｐｃｈｏｋｅ−ｉｐｃｈｏｋｅデータベースへの書き込みを開始／停止する。
【００３０】
Ｉｐｉｃｍｐ−ｉｐｉｅｍｐデータベースへの書き込みを開始／停止する。
【００３１】
Ｍｅｓｓａｇｅ−メッセージの開始／停止、ログ通知、メッセージ通知レベルの変更を行う。
【００３２】
Ｔｒａｃｅ−エラーログ通知の開始／停止、通知しているトレースレベルを変更する。
【００３３】
Ｐｔｓｌｉｃｅ−ＰＴＳ期間を修正する。
【００３４】
Ｔｈｒｅｓｈｏｌｄ  ｓ１−４−各閾値レベルを開始／停止する。
【００３５】
図３は、システム図３００を示す。ボックス３０１を通じ、パケットはメディア１４（図２）経由で入力され、各パケットは解析される。ルーチン３０２はそのパケットを見て、そのパケットのＩＰアドレスが以前に不良情報を送信したかを調べる。各パケットが何バイト有しているかを計測する計数器がデータベース１９（図１）中に保持され、その同一のＩＰアドレスについて、そのパケットのバイト数が合計値に追加される。そのシステムは、また、そのパケットサイズが他の入力データの最大パケットサイズにどれくらい適合するかを追跡する。前回のプライマリタイムスライス（ＰＴＳ）以来のバイト量が、システムがそのＩＰアドレスに対して動作する全期間の累積バイト数とともに格納される。ルーチン３０３を通じて、あるＩＰアドレスが最初にそのシステムを通じてパケットを送信した日付、前回のパケットの日付、そのＰＴＳに対する現在のバイト数の全てがデータベース１９中に格納される。
【００３６】
解析３０４は、各ＰＴＳにおけるＩＰアドレス毎のパケット数と累積バイトが、全体として、４つの予め設定された閾値レベルのいずれかを超える量かを判断する。
【００３７】
解析３０４は、また、連続ベースで、そのパケットバイト累積レートを、各閾値レベルおよび予め設定されたパケットレートと比較することによって、チョークリストにＩＰアドレスが追加されるか減じられるかを判断する。
【００３８】
閾値比較３０５は、前回のＰＴＳの間、バイト数を比較し、まず、各ＩＰアドレスに対する合計バイト数をバイト数の降順にソートする。言い換えると、ＩＰアドレスの最大バイト数をトップに位置づける。ボックス３０６において、閾値を超えたか、そのＰＴＳの間の全てのＩＰアドレスについてのバイト数の合計が１（または複数）の閾値レベルより大きいか、また、そのパケットレートが予め設定されたパケットレート閾値を越えたかが判断される。閾値を超えるレベルなら、３０７において、どちらのレベルが超えられたかが判断される。閾値が超えられると、あるデータパケットがチョークされてそのシステムを通過できなくなる。
【００３９】
一旦、１つの閾値が超えられると、そのシステムは、あるＩＰアドレスからのパケットがそのシステムを通過できないようにする。そのシステムは、すでに、そして継続的に降順にソートされたすべてのＩＰアドレスについてのパケット数と合計バイト数を追跡しているため、あるパーセンテージのトラフィックをチョークするためにその計数を用いる。そのシステムは過去に不良パケットを送信したとして知られているＩＰアドレスからのパケットを調べることによってこれを行う。これらのパケットをチョークするだけでは帯域幅を特定の閾値レベルまで下げるのに十分でないなら、システムは、ＰＴＳ単位で最大データ量を持っているリスト上の次のＩＰアドレスをチョークする。もし、このＩＰアドレスについてのパケットレートと同様に、この累積バイトの合計が、帯域幅の合計を閾値レベルまで下げるなら、そのシステムはそのチョークリストへのＩＰアドレスの追加を停止する。もしそのスループットが閾値を超えたままなら、より多くのＩＰアドレスが適切なスループットが実現されるまでそのチョークリストに追加される。
【００４０】
この間において、そのシステムは、同時に、他の任意の閾値の超過が生じていないかを判断している。もし、次に高い閾値が超えられたなら、そのシステムは同じ処理を行うが、チョークするためのより高いパーセンテージレベルを求める。もし、そのシステムが閾値を下回った場合は、そのチョークリスト上のいくつかのＩＰアドレスが取り除かれる。その閾値レベルが低くなったところでは、キャッシュされた（チョークされた）アドレスは通過を許される。一旦データベースおよびキャッシュがその閾値レベルについて空なら、必要なら、より多くのアドレスがそのチョークリストから取り除かれる。３１０の処理では、チョークから解放されたデータがそのシステムを通じて送信されるのに対し、３０９および３１１の処理では、データの格納を制御する
全ての閾値レベルにおいて同時に生じる別の処理は、閾値レベルの上昇または下降が生じるときはいつでも、現在チョークされているバイトがいまだアクティブであるかが判断されることである。もしそれらがアクティブなら、次に高いレベルにおいて、そのチョークリスト上からそれらを取り除く。アクティブとは、そのＩＰアドレスが前回のＰＴＳの間にバイトそして／またはパケットを累積したことを意味する。あるＰＴＳについてそのＩＰアドレスがアクティブでない場合は、それが、前回のＰＴＳの間にバイトまたはパケットを全く累積しなかったことを意味し、それは、他のＩＰアドレスが追加され、または取り除かれる前に取り除かれる。
【００４１】
そのシステムの２つの重要なパラメータは、１）閾値のパーセンテージと２）プライマリタイムスライスである。事象は各タイムスライスごとに新しく、好ましくは２秒であるが、任意の長さに設定され得る。従って、前回のＰＴＳの間、各ＩＰアドレスについて、どのくらいの量のバイトとパケットが累積されるかを決定することによって、そのシステムがトラフィックをチョークする手法の優先順位がつけられる。
【００４２】
あるＩＰアドレスがまだアクティブかを調べる理由は、「死んでいる」ＩＰアドレスがチョークリストから素早く取り除かれない場合に生じる、攻撃者による継続的なＩＰアドレスの変更を防ぐためである。
【００４３】
図４は、プライマリタイムスライスの間に何が生じているかの説明である。各プライマリタイムスライスについて、プロセッサにおいて、７つの処理動作があり、これらの処理は２秒間隔（２秒のＰＴＳが想定される）で繰り返される。
【００４４】
データベースストレージについてのディスクストレージに対するパラメータは、ユーザが、ＰＴＳ満了を超えた延長期間の間、アクティブまたはアクティブでないパケットを格納する必要があるかどうかをカスタマイズできるレベルに決定されることができる。ユーザは、格納が必要な時間とデータ量、そしてどの位の長さと量のＰＴＳについてなのかを決定できる。
【００４５】
データベースストレージとバックアップのパラメータは、記録されている帯域量に依存し、また、時間単位、日単位、週単位というように、いつそのアクティブでないリストが、トラフィックのフラッディングの間書き込み続けるためのデータベースレベルを保持するためにバックアップされ得るかに依存する。
【００４６】
図５は、リアルタイムに動的にシステム状態の１２個の要素（５０１−５１２）を表示するセルフモニタリングインテリジェンス（ＳＭＩ）ディスプレイ５００を示す。各要素に対して４つの状態があり、望まれるなら、システム状態をより迅速に識別できるように異なる色で示される。括弧内（選択的）に示される色は提案された色である。
【００４７】
Ｄｏｗｎ（赤）−要素はダウン状態であり、作動していない。−ヘルプが必要。
【００４８】
Ｉｎｉｔ（青）−要素は作動しており、初期設定されているが、現在アクティブ状態ではない。
【００４９】
Ｉｄｌｅ（黄）−要素は作動、初期設定されており、起動しているが、現在データを処理していない。
【００５０】
Ｒｕｎ（緑）−要素は作動、初期設定、起動しており、また、アクティブにデータを処理している。
【００５１】
図６は、動的ビジュアルＩＰフィルタモニタリングディスプレイ６００を示す。「ＩＰアドレス情報」と名付けられたテーブル６０１は、システムがインターネット上で見るそれぞれのそして全てのパケットのリアルタイムの動的なリストである。「ＩＰフィルタ情報」と名付けられたテーブル６０２は、システムがチョークする全ての単一のパケットのリアルタイムの動的なリストである。
【００５２】
６０３は、システムが起動されたときにシステムが処理を開始した合計バイトである。
【００５３】
６０４は、システムが起動されたときにシステムが処理を開始した合計パケット数である。
【００５４】
６０５は、システムが起動されたときにシステムがチョークし始めた合計バイト数である。
【００５５】
６０６は、システムが起動されたときにシステムがチョークし始めた合計パケット数である。
【００５６】
図７は、システムが保持するそれぞれのそして全てのＩＰアドレスに関するさらなる情報を提供するビジュアルＩＰトラッキングデータベースマネジメントおよびディスプレイ７００を示す。７００ａ、７００ｂと呼ばれる、図７の最初の２つのコラムは示されていない。
【００５７】
７００ａはＩＰアドレスである。
【００５８】
７００ｂは現在のＰＴＳまでのコラム７００ａのＩＰアドレスに関するドメインネームである。
【００５９】
７０１はＩＰアドレス７００ａについて処理されている合計累積バイトである。
【００６０】
７０２はＩＰアドレス７０１ａについての現在のＰＴＳにおける合計累積バイトである。
【００６１】
７０３はＩＰアドレス７０１ａについての前回のＰＴＳにおける合計累積バイトである。
【００６２】
７０４は前回のＰＴＳまでのＩＰアドレス７０１ａについての累積バイト数である。
【００６３】
７０５はＩＰアドレス７０１ａが最初にログされた日付である。
【００６４】
７０６はＩＰアドレス７０１ａが前回更新された日付である。
【００６５】
８０１はこのシステムの設定に関連するプルダウンメニューである。
【００６６】
このシステムに関して多くの異なる設定があり得る。
【００６７】
図８は、多数の設定のプルダウンメニューを表示するシステム設定データベースに対するビジュアルマネジメントツール８００を示す。システムは会社が望むだけの多くの異なる設定をデータベースに格納することができる。
【００６８】
図９を見ると、上述したように、独立であり（おそらく図１０と図１１に関連しており）、または、アプリケーション１０７中に組み込まれている（図１）システム９００が示され、それは、中央レジストリがＩＰアドレスの有効性をチェックするのに用いられる場合に動作する。システム９００はスプーフィング検知器および比較器２００（図１）の制御動作を行う。入力されるパケットは、処理９０１において抽出されたＩＰアドレスおよびハードウェアアドレスを有し、処理９０２を通じて、そのソフトウェア中のソケットＡＰＩコールを介し、インターネット上のインターネットドメインサーバ（ＤＮＳ）（図示せず）に対してリクエストを発する。ＤＮＳサーバが、指定されたＩＰアドレスまたはドメインネームがテーブル内にないと応答した場合は、パスダウンまたは他の事由であるため、結論は導かれない。ログイン９０３がこの処理を示す。インターネット上のＤＮＳサーバが、「はい、そのＩＰアドレスはテーブル中にあります」という応答を返した場合、メッセージが処理９０６に渡され、システムは将来の使用のためにローカルデータベース内にその情報を入力する。そして、良好なＩＰアドレス信号が処理９０７を通じて生成される。
【００６９】
上述したように、ＤＮＳサーチの結果、結論が出ない場合、処理９０４はローカルデータベース９０５をサーチし、そのＩＰアドレス（ソフトウェアそしてハードウェア双方）がローカルデータベース中にあるかを調べる。もしＩＰアドレスがあるなら、システムは、処理９０８を通じて「良好」または「不良」かの判断を行う。処理９１０のミスマッチ判断の結果、スプーフィング判断９１１が行われる。処理９０８においてマッチしなければ、システムは、ボックス９０９において未決定となり、注意が必要となる。処理９０８においてローカルデータベース中でマッチした場合、良好なアドレス信号が９０７を通じて返される。
【００７０】
図１０を見ると、タイムスタンプそして／またはシーケンスモードがスプーフィング検知のために用いられる場合に動作するシステム１０００が示される。図９に関して上述されるように、トラフィックがインターネットから到着すると、ＩＰアドレスおよびハードウェアアドレスがそのヘッダから抽出され、そのハードウェアアドレスが処理１００１（もちろん、ボックス９０１と同じ処理によって）を通じて確かめられる。ステップ１００２では、これらのエントリがデータベース（またはメモリ）１００３に存在するかを判断する。それらがローカルデータベース（またはメモリ）中に存在するなら、システムはステップ１００４に進む。そのアドレスの組がデータベース中に存在しないなら、処理１００５を通じて、日付、タイムスタンプそしてシーケンス番号とともに格納される。
【００７１】
ステップ１００４の判断で、そのアドレスの組がデータベース中に存在するなら、システムは、新たに到着したアドレスの組を前回到着した（そして格納された）ペアと照合して、正しい関係が存在するかを判断する。処理１００４において、照合の結果、正しい関係が存在するなら、それは良好なトラフィックであり、処理１００６を通じてそのデータは通過する。一方、そのシーケンス（または日付／時間）に誤りがあると、スプーフィングの可能性がある（処理１００７）。この時点では、システムは、ユーザが最近、ハードウェアカードを交換したり、機器を交換したかもしれないので、確証が持てない。システムは、処理１００８を通じて、格納されたエントリのタイムスタンプ、量、そして／またはシーケンス番号を、入力される新たなエントリと照合する。そのタイムスタンプ（ＴＳ）が変更され、変更されたままである場合、そして、その日付が変更されたが行ったり来たりしない場合は、誰かが変更したと推定され、処理１００９を通じて、システムは良好なトラフィックであると推定する。しかし、ハードウェアＩＰアドレスの組について短期間に行ったり来たりする変動があると、ボックス１０１０において、スプーフィングであると推定される。
【００７２】
処理１００８では、また、１つのハードウェアアドレスが予め決められたタイムインターバルを通じて多数のＩＰアドレスと関連しているかを調べる。もしそうなら、そのＩＰアドレスはスプーフィングされたと推定される。
【００７３】
図１１（図２と同じ用紙に示される）を見ると、スプーフィングを検知する第３の技術であるシステム１１００が示される。システム内にトラフィックが入力されると、処理１１０１を通じてシーケンス番号がＩＰヘッダそして／またはＴＣＰヘッダから抽出される。抽出されたシーケンス番号は、処理１１０２を通じて照合され、それらがすでにローカルなデータベース／メモリ１１０３内に存在するかが調べられる。それらがデータベース中に存在しないなら、処理１１０４において、システムはそれらを格納する。それらがデータベース中に存在するなら、処理１１０５において、到着するシーケンス番号とタイムインターバルを、そのデータベース中に格納された前回のものと照合する。そのシーケンスが誤りである場合、処理１１０６において、システムは、それがスプーフィングされたことを知る。そのシーケンスが正しい場合、処理１１０７において、良好なアドレス信号が生成される。
【００７４】
ＩＰアドレスがローカルな（同じシステム内にある）ハードウェアから来たものである場合、ある装置アドレスが、関連するＩＰに関して有効かを判断する他の方法は、リバースアドレス解決プロトコルリクエストをそのローカルなサブネット上の全てのハードウェアに対して送信することである。各ハードウェアは、すぐさまそのハードウェアアドレスを返す。これによって、すぐさまハードウェアアドレスとＩＰアドレスとの関連付けができる。
【００７５】
図９−１１に関して説明された処理は、スプーフィング検知の例である。それらは、あるパケットが「良好」であり、あるパケットは「不良」であるということの信頼レベルを上げるために、各々独立して用いられるか、組み合わせて用いられる。また、説明されたいくつかの処理は、判断できない結果をもたらすため、そのようなパケットに対してドラスティックなアクションを採ることは適当ではない。しかし、図１−８に関して説明されたシステムを組み合わせることによって、そのスプーフィング判断は、そのシステムの閾値レベルに基づいてあるデータの格納がいつ望まれるかをチェックするための付加的なパラメータとなり得る。
【００７６】
従って、スループットの様々な閾値が用いられると、望ましくは、あるパケットについて、アドレスがスプーフィングされたことの確信（不確信）の度合いが、いずれのパケットを一時的に格納し、いずれのパケットを通過させるかを決めるのに役立つ。
【００７７】
また、一旦データがテンポラリストレージに送信され、閾値が低下すると、いずれのデータがそのシステム内に入ってくることを許すかの判断がなされる。これは、また、図９−１１中で説明された処理によって判断されるように、各パケットに対するスプーフィングの「可能性」に基づいて判断される。これらの可能性は、各データパケットについて、または、あるアドレス地点について算出され、格納される。
【００７８】
本発明とその利点を詳細に述べてきたが、付随するクレームによって定義される発明の思想と範囲を逸脱することなく様々な変形、代用、改変がなされる。さらに、本出願の範囲は、明細書に記述されたプロセス、機械、製品、構成、手段、方法そしてステップの特定の具体例に限定するものではない。当業者が本発明の開示からすぐに恩恵を受けるように、ここで述べられる対応する具体例と実質上同じ機能を営み、実質上同じ結果をもたらす、現在存在しており、後に発展することとなるプロセス、機械、製品、構成物、手段、方法、ステップは、本発明に従って活用される。従って、付随するクレームは、その範囲内でそのようなプロセス、機械、製品、構成、手段、方法、ステップを包含する。
【００７９】
本発明をより完全に理解するために、添付図面に関する以下の記述が参照される。
【図面の簡単な説明】
【００８０】
【図１】インターネットのようなネットワークへのそしてネットワークからのデータフローに関連して動作する発明を示す。
【図２】本発明を実現する基本構成の詳細を示す図である。
【図３】システムオペレーションのフロー図である。
【図４】インタラクティブに動作する７個のスレッドを示す図である。
【図５】システムオペレーションの監視に用いられる第１のディスプレイを示す図である。
【図６】システムオペレーションの監視に用いられる第２のディスプレイを示す図である。
【図７】システムオペレーションの監視に用いられる第３のディスプレイを示す図である。
【図８】システムオペレーションの監視に用いられる第４のディスプレイを示す図である。
【図９】スプーフィング検知のための中央レジストリの使用処理フローチャートを示す図である。
【図１０】スプーフィング検知のための第１のタイムスタンプまたはシーケンスシステムのフローチャートを示す図である。
【図１１】スプーフィング検知のための第２のタイムスタンプまたはシーケンスシステムのフローチャートを示す図である。
【図１】
2005518764.tif 000003
【図２】
2005518764.tif 000004
【図３】
2005518764.tif 000005
【図４】
2005518764.tif 000006
【図５】
2005518764.tif 000007
【図６】
2005518764.tif 000008
【図７】
2005518764.tif 000009
【図８】
2005518764.tif 000010
【図９】
2005518764.tif 000011
【図１０】
2005518764.tif 000012
【図１１】
2005518764.tif 000013
【手続補正書】
【提出日】平成15年10月29日(2003.10.29)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】特許請求の範囲
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
パケットデータに関して用いるトラフィックマネジメントシステムであって、前記システムはデータパケットを通すことができ、
前記システムは、
データのあるパラメータを前記システムに流れ込む各パケットのデータから抽出する手段と、
前記抽出されたデータを少なくとも１つのデータベースと照合して、前記抽出されたデータに関するデータパケットが有効かを判断する手段と、
いくつかのデータパケットをテンポラリストレージ装置に向けさせる手段とを備える
ことを特徴とするトラフィックマネジメントシステム。
【請求項２】
請求項１に記載のトラフィックマネジメントシステムにおいて、
前記抽出されたデータは、前記パケットの送信元のソフトウェアおよびハードウェアアドレスを含む
ことを特徴とするトラフィックマネジメントシステム。
【請求項３】
請求項２に記載のトラフィックマネジメントシステムにおいて、
ネットワ−クデータベースが前記パケットの抽出されたアドレス情報に基づいて各パケットについて問い合わせを受ける
ことを特徴とするトラフィックマネジメントシステム。  
【請求項４】
請求項２に記載のトラフィックマネジメントシステムにおいて、さらに、
抽出された前記ハードウェアおよびソフトウェアアドレスが格納されるローカルデータベースを備える
ことを特徴とするトラフィックマネジメントシステム。
【請求項５】
請求項４に記載のトラフィックマネジメントシステムにおいて、
前記照合する手段は、各パケットから抽出されたハードウェアおよびソフトウェアアドレスの組を、前記ローカルデータベース中のデータ内に格納されたアドレスと照合する
ことを特徴とするトラフィックマネジメントシステム。  
【請求項６】
請求項１に記載のトラフィックマネジメントシステムにおいて、
前記抽出する手段は、前記パケットに対するシーケンスデータそして／またはタイムスタンプデータを抽出する
ことを特徴とするトラフィックマネジメントシステム。
【請求項７】
請求項５に記載のトラフィックマネジメントシステムにおいて、さらに、
抽出された前記シーケンシングそして／またはタイムスタンプデータが格納されたローカルデータベースを備える
ことを特徴とするトラフィックマネジメントシステム。
【請求項８】
請求項７に記載のトラフィックマネジメントシステムにおいて、
前記照合する手段は、各パケットから抽出されたシーケンスそして／またはタイムスタンプデータを前記ローカルデータベース中に格納されたシーケンスそして／またはタイムスタンプデータと照合する
ことを特徴とするトラフィックマネジメントシステム。
【請求項９】
データネットワークモニタリングシステムであって、
少なくとも１つのデータ追跡手段と、
テンポラリストレージ装置と、
前記システムを通過するデータに関するスプーフィングを判断するプロセッサとを備え、
前記プロセッサは、さらに、システム内に入ってくる選択されたデータを前記テンポラリストレージ装置に向かわせ、前記選択されたデータは、前記データ追跡手段から得られた情報とスプーフィング判断から得られた情報によって部分的に制御される
ことを特徴とするデータネットワークモニタリングシステム。
【請求項１０】
請求項９に記載のデータネットワークモニタリングシステムにおいて、
前記システムは、さらに、望ましくない特徴を持つ大量のデータを備え、
前記プロセッサは、前記望ましくない特徴を持つ大量のデータを前記データ追跡手段から得られたデータと比較して、前記スプーフィング判断に役立たせる
ことを特徴とするデータネットワークモニタリングシステム。
【請求項１１】
請求項９に記載のデータネットワークモニタリングシステムにおいて、さらに、
スプーフィングに関するあるパラメータをリアルタイムに表示するディスプレイを備える
ことを特徴とするデータネットワークモニタリングシステム。
【請求項１２】
トラフィックマネジメントシステムの制御方法であって、
前記システム中に流れ込むデータパケットの、可能性のあるスプーフィングに関連するあるパラメータを検討するステップと、
受信された各データパケットに関連する前記検討されたあるパラメータをある期間記憶するステップと、
前記システムに入るパケットフロー量があるレベルに到達すると、以前に受信されたパケットの、選択された記憶パラメータに従って、連続して受信されたパケットを一時的に格納するステップとを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１３】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、
前記あるレベルは、ユーザによって制御される
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１４】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、
前記あるレベルは、複数のレベルを含み、
各連続するレベルに到達すると、前記記憶されたあるパラメータのより厳しい適用をもたらす
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１５】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、
前記記憶されたパラメータは、送信者のソフトウェアアドレス、送信者のハードウェアアドレス、前にトラブルを引き起こしたアドレス、トラブルを引き起こすおそれのあるアドレスの通知、ある期間内に特定のアドレスから送信されたデータ量、ある期間内に特定のアドレスから到着したパケット数、アドレスのドメインネーム、最初にアドレスに遭遇した日付、最も近い時期にアドレスに遭遇した日付、トランザクションのシーケンス番号、トランザクションのタイムスタンプの１または複数を含む
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１６】
請求項１５に記載のトラフィックマネジメントシステムの制御方法であって、
前記あるレベルは、順番に整列された複数のレベルを含み、そのレベルのシーケンスが絶対最大データフローレートに近づくほど、より多くの前記記憶されたパラメータが前記特定のパケットの一時的な格納を決定するための基準として含まれる
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１７】
請求項１６に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
前記データフローレートがその最大限度に達した時に、一時的に格納するためにパケットを任意に選択するステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１８】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
前記システム内へのトラフィックフローが前記あるレベル以下に低下した時に、前記一時的に格納されたデータパケットを引き出すステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項１９】
請求項２６に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
前記引き出されたデータパケットの少なくともいくつかについて、前記システム中を通過させるステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項２０】
請求項１２に記載のトラフィックマネジメントシステムの制御方法であって、さらに、
一時的に格納された前記データパケットの１つに関する情報を動的に表示するステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項２１】
請求項２０に記載のトラフィックマネジメントシステムの制御方法であって、
前記表示するステップは、前記表示情報を遠隔地点に送信するステップを有する
ことを特徴とするトラフィックマネジメントシステムの制御方法。
【請求項２２】
データフローがその地点における処理能力より速く特定の地点を越えて流れ込むことを防止する方法であって、
前記特定の地点を通過するデータのあるパラメータを記憶するステップであって、前記あるパラメータは送信者のソフトウェアアドレス、送信者のハードウェアアドレス、トランザクションのタイムスタンプ、トランザクションのシーケンス、スプーフィングに関するデータのリストから選択されたものであるステップと、
その地点におけるデータ処理能力が予め設定された限度に達すると、選択されたデータが前記特定の地点を通過することを防止するステップとを有し、
前記通過を防止するステップは、以前に前記特定の地点を通過したデータに関する、前記記憶されたパラメータを基準とする
ことを特徴とするデータフロー防止方法。
【請求項２３】
企業のデータ処理システムが、前記企業システムの外部ソースから前記企業システムに向けられたスプーフィングされたデータリクエストによってオーバーロードとなることを防ぐためのデータフロー制御システムであって、
任意の前記外部ソースから前記企業システムに向けられたデータを受信し得るゲートウェイと、
前記ゲートウェイに向けられたあるデータの選択された部分を監視するデータモニタリング回路と、
前記企業システムによって現在処理されているデータ量がある閾値に到達したときに、前記企業システムに向けられた選択されたデータを企業システムから一時的に取り除くことができる遅延パスとを備え、
前記選択されたデータは、不確かであるがスプーフィングの可能性がある
ことを特徴とするデータフロー制御システム。
【請求項２４】
請求項２３に記載のデータフロー制御システムにおいて、
一時的に取り除かれる前記データの１つは、厳密には前記データモニタリング回路によって提供される情報の制御の下で選択される
ことを特徴とするデータフロー制御システム。
【請求項２５】
請求項２３に記載のデータフロー制御システムにおいて、
前記ある閾値は段階を持ち、一時的に取り除かれるデータの量およびタイプは、前記段階に比例して作用する
ことを特徴とするデータフロー制御システム。


【国際調査報告】
2005518764.tif 000014
2005518764.tif 000015
2005518764.tif 000016
2005518764.tif 000017
2005518764.tif 000018
2005518764.tif 000019