(57)【要約】【課題】廃棄条件が複雑で非正規トラヒックの特定が難しいトラヒックであっても、非正規トラヒックを適切に廃棄して低減する。【解決手段】条件設定部１２が、指定されたヘッダ解析仕様および廃棄条件から廃棄条件と対応する解析範囲を特定し、ヘッダ解析部１３が、解析範囲がヘッダ内である廃棄条件を廃棄テーブル２１に登録し、解析範囲がヘッダ内であると判定された受信パケットを廃棄テーブル２１の廃棄条件と照合し、データ解析部１４が、解析範囲がヘッダ外であると廃棄条件を廃棄フィルタ２２に登録し、解析範囲がヘッダ外であると判定された受信パケットを廃棄フィルタ２２の廃棄条件と照合し、廃棄制御部１５は、ヘッダ解析部１３およびデータ解析部１４で得られた解析結果に照合結果に基づいて、非正規トラヒックに関するパケットを廃棄する。【選択図】  図１
2018014712.tif 000002
【特許請求の範囲】
【請求項１】
通信トラヒックから受信した受信パケットを解析することにより非正規トラヒックを特定して廃棄するトラヒック制御装置であって、
指定されたヘッダ解析仕様および廃棄条件から、前記廃棄条件と対応する解析範囲を特定する条件設定部と、
前記解析範囲がヘッダ内であると特定された前記廃棄条件を廃棄テーブルに登録し、前記受信パケットのヘッダを解析して前記解析範囲がヘッダ内であると判定された前記受信パケットを、前記廃棄テーブルの廃棄条件と照合するヘッダ解析部と、
前記解析範囲がヘッダ外であると特定された前記廃棄条件を廃棄フィルタに登録し、前記解析範囲がヘッダ外であると判定された前記受信パケットを、前記廃棄フィルタの廃棄条件と照合するデータ解析部と、
前記ヘッダ解析部および前記データ解析部で得られた照合結果に基づいて、前記非正規トラヒックに関するパケットを廃棄する廃棄制御部と
を備えることを特徴とするトラヒック制御装置。
【請求項２】
請求項１に記載のトラヒック制御装置において、
外部接続されている統合管理装置から前記廃棄条件に関する設定データを取得し、前記設定データと前記条件設定部の前記廃棄条件に関する設定内容とを同期させる上位設定制御部をさらに備えることを特徴とするトラヒック制御装置。
【請求項３】
請求項１または請求項２に記載のトラヒック制御装置において、
前記条件設定部は、
前記受信パケットのヘッダ解析仕様を入力する解析仕様入力部と、
前記非正規トラヒックの廃棄条件を入力する廃棄条件入力部と、
前記ヘッダ解析仕様をもとに前記廃棄条件の解析範囲がヘッダ内であるか否かを判定する仕様合致判定部と
を備えることを特徴とするトラヒック制御装置。
【請求項４】
請求項１または請求項２に記載のトラヒック制御装置において、
前記ヘッダ解析部は、
前記条件設定部により設定された廃棄条件を前記廃棄テーブルに登録する廃棄テーブル登録部と、
前記受信パケットのヘッダを前記ヘッダ解析仕様に基づいて解析する受信ヘッダ解析部と、
前記ヘッダ解析仕様をもとに前記受信パケットの解析範囲がヘッダ内であるか否かを判定する仕様合致判定部と、
前記仕様合致判定部により前記解析範囲がヘッダ内であると判定された前記受信パケットを、前記廃棄テーブルから検索した廃棄条件と照合する廃棄テーブル検索部と
を備えることを特徴とするトラヒック制御装置。
【請求項５】
請求項１または請求項２に記載のトラヒック制御装置において、
前記データ解析部は、
前記条件設定部により指定された前記廃棄条件に関するハッシュ値である廃棄シグネチャを求める廃棄シグネチャ演算部と、
求めた前記廃棄シグネチャを前記廃棄フィルタに登録する廃棄フィルタ登録部と、
前記解析範囲がヘッダ外であると判定された前記受信パケットに格納されているユーザデータのうち、予め定めた位置および長さのビット列に関するハッシュ値であるデータシグネチャを求めるデータシグネチャ演算部と、
前記データシグネチャを前記廃棄フィルタに登録されている前記廃棄シグネチャと照合する廃棄フィルタ照合部と
を備えることを特徴とするトラヒック制御装置。
【請求項６】
請求項１または請求項２に記載のトラヒック制御装置において、
前記廃棄制御部は、
前記ヘッダ解析部の廃棄テーブルならびに前記データ解析部の廃棄フィルタの双方を管理する廃棄条件管理部と、
前記ヘッダ解析部および前記データ解析部で得られた照合結果に基づいて、前記非正規トラヒックに関するパケットを廃棄するパケット廃棄部と
を備えることを特徴とするトラヒック制御装置。
【請求項７】
請求項２に記載のトラヒック制御装置において、
前記上位設定制御部は、
前記統合管理装置からの前記設定データの受信を検出する設定検出部と、
検出した前記設定データを前記条件設定部に登録する設定同期部と
を備えることを特徴とするトラヒック制御装置。
【請求項８】
通信トラヒックから受信した受信パケットを解析することにより非正規トラヒックを特定して廃棄するトラヒック制御方法であって、
条件設定部が、指定されたヘッダ解析仕様および廃棄条件から、前記廃棄条件と対応する解析範囲を特定する条件設定ステップと、
ヘッダ解析部が、前記解析範囲がヘッダ内であると特定された前記廃棄条件を廃棄テーブルに登録し、前記受信パケットのヘッダを解析して前記解析範囲がヘッダ内であると判定された前記受信パケットを、前記廃棄テーブルの廃棄条件と照合するヘッダ解析ステップと、
データ解析部が、前記解析範囲がヘッダ外であると特定された前記廃棄条件を廃棄フィルタに登録し、前記解析範囲がヘッダ外であると判定された前記受信パケットを、前記廃棄フィルタの廃棄条件と照合するデータ解析ステップと、
廃棄制御部が、前記ヘッダ解析部および前記データ解析部で得られた照合結果に基づいて、前記非正規トラヒックに関するパケットを廃棄する廃棄制御ステップと
を備えることを特徴とするトラヒック制御方法。
【請求項９】
請求項８に記載のトラヒック制御方法において、
上位設定制御部が、外部接続されている統合管理装置から前記廃棄条件に関する設定データを取得し、前記設定データと前記条件設定部の前記廃棄条件に関する設定内容とを同期させる上位設定制御ステップを、さらに備えることを特徴とするトラヒック制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信トラヒックから受信した受信パケットを解析することにより非正規トラヒックを特定して廃棄するトラヒック制御技術に関する。
【背景技術】
【０００２】
現在のＩＰ（Internet Protocol）ネットワークでは、サーバとエンドユーザ端末の間、あるいはサーバ間にあるスイッチやルータなどのＩＰネットワーク中継装置が通信パケットを解析することにより、効率的なパケット転送を行っている。図１５は、一般的な通信事業者ネットワークの構成例である。図１５に示すように、通信事業者に認証されたエンドユーザ端末は、ユーザ宅内装置を介して通信事業者の転送装置と通信し、所望のサービスを利用する。通信事業者は自社網内でユーザを認証し、然るべきトラヒック制御を行い、他事業者と網終端装置を介して相互接続することにより、グローバルなインターネット接続サービスを提供している。
【０００３】
このような通信事業者ネットワークにおいては、災害等により通信が集中する際に通信規制がかかり、サービスが利用できなくなる輻輳が起こることは広く知られている。一方、通信帯域を圧迫する要因は災害だけではなく、不正な意図を持つユーザが生成する多量・多頻度のデータや、度重なるサービス契約状態の変化により、事業者にとって望ましくないトラヒックが一定割合で流れることがあり、このようなトラヒックを非正規トラヒックと称する。非正規トラヒックは、事業者の効率的なネットワーク運用を阻害するだけでなく、ユーザの利便性も損なうため、非正規トラヒックの低減が望まれる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第３２３３５９４号
【特許文献２】特許第５０１２６７６号
【非特許文献】
【０００５】
【非特許文献１】ＳＤＮｅｔ（Software Defined Specification Environment for Networking）、http://japan.xilinx.com/support/documentation/backgrounders/j_sdnet-backgrounder.pdf
【非特許文献２】S.Dharmapurikar,et al.、"Deep Packet Inspection Using Parallel Bloom Filters"、IEEE micro、January/February(vol.24 2004)、Issue No.01、p.52-61
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、このような従来技術では、災害などの非常事態や特定のプロトコル、パケットの一部等、限定的な状況でのみ有効な要素技術であるため、定常状態において非正規トラヒックを低減するのは難しいという問題点があった。
【０００７】
例えば、特許文献１で提案されている技術は、移動体通信網における交換機の故障や網輻輳等の通信状況に応じてメッセージを作成し、これを発信移動機に表示させるのに好適な移動通信交換機および通信網状態報知システムである。このため、不正な意図を持つユーザが生成するデータやサービス契約状態の変化を考慮した技術的解決手段には相当しない。
【０００８】
また、特許文献２に提案されている技術は、複数の中継ノードを経由して呼の接続を行うような通信システムにおいて、呼接続時の迂回実施時に呼確立ができなくなる事象を回避できるとともに、呼確立後に切断ができなくなる事象を回避できるとされている。しかし、呼制御のプロトコルとしてＳＩＰ（Session Initiation Protocol）が想定されており、他のプロトコルにも有効な技術的解決手段には相当しない。
【０００９】
不正な意図を持つユーザが生成する多量・多頻度のデータや度重なるサービス契約状態の変化を考慮し、特定のプロトコルに依存せずに非正規トラヒックを低減するため、とりわけパケットを解析するための技術は、異常トラヒックを早期に検出・遮断して安定化を図ることで保安上のリスク低減にも繋がり、事業者が安心かつ安全なインフラを支え続けるにあたって不可欠な技術である。
【００１０】
従来、このようなパケットを解析する方法のひとつとして、パケット分類技術が知られている。パケット分類では、パケットのヘッダ部分を解析することにより、プロトコルにしたがって定型的に必要な情報を抽出することができる。典型的にはスイッチチップやネットワークプロセッサ等に実装されるが、非特許文献１に示すようにＦＰＧＡに代表されるプログラマブルデバイスにも実装可能なパケットプロセッサも存在する。
【００１１】
しかしながら、これらパケット分類技術だけで常に非正規トラヒックを低減できるとは限らない。なぜなら事前の知識が十分でない場合、特定するための情報がパケットのヘッダ部分に存在するか、データ部分に存在するかを特定することが困難なためである。
【００１２】
他方、パケットを解析する別種の方法として、ＤＰＩ（Deep Packet Inspection）技術が知られている。ＤＰＩは予め分類条件として指定しておいたパターンと、受信したパケットのユーザデータ部分における任意位置の特定ビット列とを照合し、一致するかどうか判定することによりターゲット・アプリケーションを識別する。従来、パケットのデータ部分を解析する方法として非特許文献２に示すような、パケットのデータ長に応じて複数の照合用フィルタを並列に構成し、トラヒックパターンの判別をハードウェアで高速に処理する方法が提案されている。
【００１３】
しかしながら、このようなチェックするデータ長に応じてフィルタを構成する方法では、効率が悪く実装コストが問題となる。また、任意位置の特定ビット列を解析できるものの、パケットヘッダのように仕様が定まっている定型的な処理に適用するには不向きである。したがって、前述したいずれの技術を用いても期待する非正規トラヒックの低減効果を得ることは難しい。
【００１４】
本発明はこのような課題を解決するためのものであり、廃棄条件が複雑で非正規トラヒックの特定が難しいトラヒックであっても、非正規トラヒックを適切に廃棄して低減できるトラヒック制御技術を提供することを目的としている。
【課題を解決するための手段】
【００１５】
このような目的を達成するために、本発明にかかるトラヒック制御装置は、通信トラヒックから受信した受信パケットを解析することにより非正規トラヒックを特定して廃棄するトラヒック制御装置であって、指定されたヘッダ解析仕様および廃棄条件から、前記廃棄条件と対応する解析範囲を特定する条件設定部と、前記解析範囲がヘッダ内であると特定された前記廃棄条件を廃棄テーブルに登録し、前記受信パケットのヘッダを解析して前記解析範囲がヘッダ内であると判定された前記受信パケットを、前記廃棄テーブルの廃棄条件と照合するヘッダ解析部と、前記解析範囲がヘッダ外であると特定された前記廃棄条件を廃棄フィルタに登録し、前記解析範囲がヘッダ外であると判定された前記受信パケットを、前記廃棄フィルタの廃棄条件と照合するデータ解析部と、前記ヘッダ解析部および前記データ解析部で得られた照合結果に基づいて、前記非正規トラヒックに関するパケットを廃棄する廃棄制御部とを備えている。
【００１６】
また、本発明にかかる上記トラヒック制御装置の一構成例は、外部接続されている統合管理装置から前記廃棄条件に関する設定データを取得し、前記設定データと前記条件設定部の前記廃棄条件に関する設定内容とを同期させる上位設定制御部をさらに備えている。
【００１７】
また、本発明にかかる上記トラヒック制御装置の一構成例は、前記条件設定部が、前記受信パケットのヘッダ解析仕様を入力する解析仕様入力部と、前記非正規トラヒックの廃棄条件を入力する廃棄条件入力部と、前記ヘッダ解析仕様をもとに前記廃棄条件の解析範囲がヘッダ内であるか否かを判定する仕様合致判定部とを備えている。
【００１８】
また、本発明にかかる上記トラヒック制御装置の一構成例は、前記ヘッダ解析部が、前記条件設定部により設定された廃棄条件を前記廃棄テーブルに登録する廃棄テーブル登録部と、前記受信パケットのヘッダを前記ヘッダ解析仕様に基づいて解析する受信ヘッダ解析部と、前記ヘッダ解析仕様をもとに前記受信パケットの解析範囲がヘッダ内であるか否かを判定する仕様合致判定部と、前記仕様合致判定部により前記解析範囲がヘッダ内であると判定された前記受信パケットを、前記廃棄テーブルから検索した廃棄条件と照合する廃棄テーブル検索部とを備えている。
【００１９】
また、本発明にかかる上記トラヒック制御装置の一構成例は、前記データ解析部が、前記条件設定部により指定された前記廃棄条件に関するハッシュ値である廃棄シグネチャを求める廃棄シグネチャ演算部と、求めた前記廃棄シグネチャを前記廃棄フィルタに登録する廃棄フィルタ登録部と、前記解析範囲がヘッダ外であると判定された前記受信パケットに格納されているユーザデータのうち、予め定めた位置および長さのビット列に関するハッシュ値であるデータシグネチャを求めるデータシグネチャ演算部と、前記データシグネチャを前記廃棄フィルタに登録されている前記廃棄シグネチャと照合する廃棄フィルタ照合部とを備えている。
【００２０】
また、本発明にかかる上記トラヒック制御装置の一構成例は、前記廃棄制御部が、前記ヘッダ解析部の廃棄テーブルならびに前記データ解析部の廃棄フィルタの双方を管理する廃棄条件管理部と、前記ヘッダ解析部および前記データ解析部で得られた照合結果に基づいて、前記非正規トラヒックに関するパケットを廃棄するパケット廃棄部とを備えている。
【００２１】
また、本発明にかかる上記トラヒック制御装置の一構成例は、前記上位設定制御部が、前記統合管理装置からの前記設定データの受信を検出する設定検出部と、検出した前記設定データを前記条件設定部に登録する設定同期部とを備えている。
【００２２】
また、本発明にかかるトラヒック制御方法は、通信トラヒックから受信した受信パケットを解析することにより非正規トラヒックを特定して廃棄するトラヒック制御方法であって、条件設定部が、指定されたヘッダ解析仕様および廃棄条件から、前記廃棄条件と対応する解析範囲を特定する条件設定ステップと、ヘッダ解析部が、前記解析範囲がヘッダ内であると特定された前記廃棄条件を廃棄テーブルに登録し、前記受信パケットのヘッダを解析して前記解析範囲がヘッダ内であると判定された前記受信パケットを、前記廃棄テーブルの廃棄条件と照合するヘッダ解析ステップと、データ解析部が、前記解析範囲がヘッダ外であると特定された前記廃棄条件を廃棄フィルタに登録し、前記解析範囲がヘッダ外であると判定された前記受信パケットを、前記廃棄フィルタの廃棄条件と照合するデータ解析ステップと、廃棄制御部が、前記ヘッダ解析部および前記データ解析部で得られた照合結果に基づいて、前記非正規トラヒックに関するパケットを廃棄する廃棄制御ステップとを備えている。
【００２３】
また、本発明にかかる上記トラヒック制御方法の一構成例は、上位設定制御部が、外部接続されている統合管理装置から前記廃棄条件に関する設定データを取得し、前記設定データと前記条件設定部の前記廃棄条件に関する設定内容とを同期させる上位設定制御ステップを、さらに備えている。
【発明の効果】
【００２４】
本発明によれば、廃棄するための条件が複雑で非正規トラヒックの特定が難しいケースでも、より正確に非正規トラヒックを特定することができ、非正規トラヒックの検出率が向上することになる。これにより、不要なトラヒックを通信事業者ネットワークから適切に廃棄して低減することができ、結果として、事業者の効率的なネットワーク運用を実現できるとともに、ユーザの利便性も確保することが可能となる。
【図面の簡単な説明】
【００２５】
【図１】第１の実施の形態にかかるトラヒック制御装置の構成を示すブロック図である。
【図２】条件設定部の構成例である。
【図３】ヘッダ解析部の構成例である。
【図４】廃棄テーブルの構成例である。
【図５】ＲＡＤＩＵＳで利用されるパケットフォーマットである。
【図６】ＲＡＤＩＵＳにおけるＡｔｔｒｉｂｕｔｅｓの一覧である。
【図７】データ解析部の構成例である。
【図８】廃棄フィルタの構成例である。
【図９】廃棄制御部の構成例である。
【図１０】第１の実施の形態にかかるトラヒック制御装置の動作を示すシーケンス図である。
【図１１】第２の実施の形態にかかるトラヒック制御装置の構成を示すブロック図である。
【図１２】上位設定制御部の構成例である。
【図１３】統合管理装置の設定データを示す構成例である。
【図１４】第２の実施の形態にかかるトラヒック制御装置の動作を示すシーケンス図である。
【図１５】一般的な通信事業者ネットワークの構成例である。
【発明を実施するための形態】
【００２６】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかるトラヒック制御装置１０について説明する。図１は、第１の実施の形態にかかるトラヒック制御装置の構成を示すブロック図である。
【００２７】
このトラヒック制御装置１０は、通信事業者ネットワーク上に配置されて、ネットワーク上を流れる通信トラヒックから、予め指定された廃棄条件と合致する非正規トラヒックを特定し、対応するパケットを廃棄する装置である。
図１に示すように、トラヒック制御装置１０には、主な機能部として、パケット受信部１１、条件設定部１２、ヘッダ解析部１３、データ解析部１４、廃棄制御部１５、廃棄テーブル２１、および廃棄フィルタ２２が設けられている。
【００２８】
パケット受信部１１は、通信事業者ネットワーク上を流れる、非正規トラヒックを含む通信トラヒックからパケットを受信する機能を有している。
条件設定部１２は、指定されたヘッダ解析仕様および廃棄条件から、廃棄条件と対応する解析範囲を特定する機能を有している。
【００２９】
ヘッダ解析部１３は、条件設定部１２で特定した解析範囲がヘッダ内であると特定された廃棄条件を廃棄テーブル２１に登録する機能と、パケット受信部１１で受信した受信パケットのヘッダを解析し、解析範囲がヘッダ内であると判定された受信パケットを、廃棄テーブル２１に登録されている廃棄条件と照合する機能とを有している。
【００３０】
データ解析部１４は、条件設定部１２で特定した解析範囲がヘッダ外であると特定された廃棄条件を廃棄フィルタ２２に登録する機能と、解析範囲がヘッダ外であると判定された受信パケットを、廃棄フィルタ２２に登録されている廃棄条件と照合する機能を有している。
廃棄制御部１５は、ヘッダ解析部１３およびデータ解析部１４で得られた照合結果に基づいて、非正規トラヒックに関するパケットを廃棄する機能を有している。
【００３１】
本発明の特徴は、非正規トラヒックを特定して廃棄するためのパケット解析を、各廃棄条件の解析範囲に基づいてヘッダ部分とデータ部分に分割し、それぞれ廃棄テーブル２１および廃棄フィルタ２２を用いて階層的な廃棄条件を構成するようにしたものである。
【００３２】
前述した背景技術において、非正規トラヒック発生の要因の多様化について具体例を示す。従来は、災害時の通話規制下における多量の通信要求リトライが非正規トラヒックの主な発生原因であったが、例えば送信元のＩＰアドレスやポート、ユーザＩＤ、パスワードといった条件はユーザが不正な意図を持つかどうかにかかわらず常に変化する可能性がある。また、パスワード等の情報については暗号化により解析や制御がより困難となる。このような非正規トラヒックと判定するための前提となる通信の条件は必ずしもパケットを制御するためのヘッダに含まれるとは限らず、ユーザデータのどの部分から判断すればよいかわからない上、その位置や中身などの条件が刻々と変化する。
【００３３】
このように、多様な条件下でも非正規トラヒックの特定を可能とするために、本発明では、ユーザが指定する廃棄条件だけでなく、ヘッダ解析の仕様を入力として与え、解析範囲を絞り込んでいる。ヘッダ解析の仕様は、典型的にはＲＦＣ等の標準文書に規定されるプロトコル仕様に準拠する。仕様の定義方法としては、公知の技術を利用することができる。例えば、非特許文献１に示されているような方法で仕様を記述してもよい。
【００３４】
図２は、条件設定部の構成例である。この条件設定部１２には、ネットワーク管理者が受信パケットのヘッダ解析仕様を入力する解析仕様入力部１２Ａと、ユーザが非正規トラヒックの廃棄条件を入力する廃棄条件入力部１２Ｂと、ヘッダ解析仕様をもとに廃棄条件の解析範囲がヘッダ内であるか否かを判定する仕様合致判定部１２Ｃとが設けられている。これにより、廃棄テーブル２１および廃棄フィルタ２２において、階層的に廃棄条件を構成することが可能となる。非正規トラヒックの条件の解析範囲がヘッダかどうかは、仕様入力で明確化できるため、ヘッダ範囲で特定できる廃棄条件であれば、廃棄テーブル２１を検索して照合することにより非正規トラヒックのパケットを廃棄することができる。
【００３５】
図３は、ヘッダ解析部の構成例である。このヘッダ解析部１３には、条件設定部１２により設定された廃棄条件を廃棄テーブル２１に登録する廃棄テーブル登録部１３Ａと、パケット受信部１１で受信した受信パケットのヘッダをヘッダ解析仕様に基づいて解析する受信ヘッダ解析部１３Ｂと、ヘッダ解析仕様をもとに受信パケットの解析範囲がヘッダ内外であるかを判定する仕様合致判定部１３Ｃと、仕様合致判定部１３Ｃにより解析範囲がヘッダ内であると判定された受信パケットを、廃棄テーブル２１から検索した廃棄条件と照合する廃棄テーブル検索部１３Ｄとが設けられている。
【００３６】
図４は、廃棄テーブルの構成例である。ここでは、各廃棄条件に固有の条件番号ごとに、廃棄条件が登録されている。条件設定部１２において、ユーザが非正規トラヒックのパケットを廃棄するための廃棄条件を指定すると、ヘッダ解析部１３の廃棄テーブル登録部１３Ａにより、その廃棄条件が廃棄テーブル２１に新たなエントリとして登録される。例えば、条件１：「送信元ＩＰアドレス」が「ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ」のパケットを廃棄、条件２：「送信元ポート番号」が「ｙｙｙ」のパケットを廃棄、…、条件Ｎ：「ユーザＩＤ」が「ｚｚｚ」のパケットを廃棄、というようにネットワーク管理者の求めに応じて非正規トラヒックの廃棄条件を設定することができる。
【００３７】
次に、本発明のトラヒック制御装置１０が制御対象とする通信データの一例として、ユーザＩＤのようなユーザの情報をもとに廃棄テーブル２１を設定する実施形態について説明する。
ユーザは、通信事業者ネットワークを利用する際、まず、通信事業者ネットワークでユーザ認証を受ける。ユーザ認証は、典型的にはＲＦＣ  ２１３８に開示されているＲＡＤＩＵＳを用いたクライアント・サーバ方式で実施される。図５は、ＲＡＤＩＵＳで利用されるパケットフォーマットである。このパケットフォーマットにおいて、ユーザＩＤそのものは、Ａｔｔｒｉｂｕｔｅｓ（ＲＡＤＩＵＳ属性）を解析することで調べることができる。
【００３８】
図６は、ＲＡＤＩＵＳにおけるＡｔｔｒｉｂｕｔｅｓの一覧である。ＡｔｔｒｉｂｕｔｅｓはＴｙｐｅ，Ｌｅｎｇｔｈ，ＶａｌｕｅのいわゆるＴＬＶ形式で規格化されており、ネットワーク管理者はフォーマットにしたがって、図６に示すＵｓｅｒ−Ｎａｍｅ  Ａｔｔｒｉｂｕｔｅを指定すればよい。また、ユーザＩＤに紐づいたパスワードにより正しく認証が行われた正規のユーザであるかどうかを判定するには、図６のＡｕｔｈｅｎｔｉｃａｔｏｒを指定すればよい。
【００３９】
本発明によれば、条件設定部１２の解析仕様入力部１２Ａにおいて、このような指定を可能にするための仕様を与えることにより、ネットワーク管理者の求めに応じて本発明におけるヘッダ解析部１３の一連の処理を実施することができる。
【００４０】
他方、このようなパケットフォーマットに関する仕様がネットワーク管理者によって与えられていない場合や、そもそも仕様に規定されていないような情報をもとに非正規トラヒックと判定して廃棄しなければならない場合が考えられる。この場合、指定すべき廃棄条件はヘッダ内には存在せず、ユーザデータ内の何処かに埋め込まれていることになるため、ヘッダ解析部１３のみで非正規トラヒックを特定することは困難である。
【００４１】
そのため、本発明では、データ解析部１４に設けた一連の処理部により、ヘッダ解析部１３では特定が困難な非正規トラヒックに対して有効となる解析方法を提供する。
【００４２】
図７は、データ解析部の構成例である。このデータ解析部１４には、条件設定部１２により指定された廃棄条件に関するハッシュ値である廃棄シグネチャを求める廃棄シグネチャ演算部１４Ａと、求めた廃棄シグネチャを廃棄フィルタ２２に登録する廃棄フィルタ登録部１４Ｂと、ヘッダ解析部１３において解析範囲がヘッダ外であると判定された受信パケットに格納されているユーザデータのうち、予め定めた任意の位置および任意の長さのビット列に関するハッシュ値であるデータシグネチャを求めるデータシグネチャ演算部１４Ｃと、求めたデータシグネチャを廃棄フィルタ２２に登録されている廃棄シグネチャと照合する廃棄フィルタ照合部１４Ｄとが設けられている。
【００４３】
データ解析部１４に関しては多くの部分を、非特許文献２に示すＤＰＩ技術を応用して実施することができるため、詳細を割愛し、非特許文献２との構成上の違いについて説明する。
図８は、廃棄フィルタの構成例である。受信パケットのユーザデータ部分の解析において目的とするビット列を非正規トラヒックとして特定するため、予め検出したいパターンからハッシュ値であるシグネチャを計算し、廃棄フィルタ２２に登録しておく必要がある。
【００４４】
登録可能なシグネチャの数は、実装するプログラム、デバイス、およびシステムによって区々であるが、シグネチャ数ｎとメモリ上のハッシュテーブルのメモリビット幅ｍが決定しているとき、偽陽性確率ｐを最小化できるようなハッシュ演算数ｋが定式化され、広く知られている。詳細は非特許文献２に示されているため割愛するが、ハッシュ演算数ｋとシグネチャ数ｎおよびメモリビット幅ｍとの関係式は次の式（１）で表され、このときの偽陽性確率ｐは次の式（２）で表される。
【００４５】
【数１】
2018014712.tif 000003
【数２】
2018014712.tif 000004
【００４６】
このような廃棄フィルタ２２を用いることにより、偽陽性確率ｐを一定水準で許容することで、記憶空間の効率ｍ／ｎを高めながらハッシュ演算数ｋを決定することができる。
非特許文献２の方法では、解析するパケットのユーザデータ部分のデータ長に応じて複数の照合用フィルタＢＦ（ｗ）を並列に構成し、トラヒックパターンの判別をハードウェアで高速に処理する方法が提案されているが、データ長が長くなるにしたがってフィルタＢＦ（ｗ）の数が増えるため、必要とするハードウェアリソースが増大するという問題がある。
【００４７】
本発明によれば、データ解析部１４の前段において、ヘッダ解析部１３で非正規トラヒックと特定できるパケットに関しては、データ解析部１４で改めて解析対象とする必要がないため、ハードウェアリソースを必要最小限に抑えながらデータ解析部１４を構成することができる。このように構成されたデータ解析部１４の廃棄シグネチャと、受信したパケットのユーザデータ部分に含まれる任意位置のビット列から計算したデータシグネチャを照合し、非正規トラヒックの有無を判定する。
【００４８】
なお、データ解析部１４の大部分は、非特許文献２に示すＤＰＩ技術を応用して実施することができるが、本発明に特徴的な構成である階層化廃棄制御が機能してはじめて、非正規トラヒックの特定に非特許文献２を活かすことができる。このため、仮に非特許文献２に関連する通常の知識を有する当業者が、非特許文献２に示される技術の転用により非正規トラヒックの特定を試みたとしても、本発明のような非正規トラヒック低減の有効性を示すことは困難である。
【００４９】
図９は、廃棄制御部の構成例である。この廃棄制御部１５には、廃棄テーブル２１と廃棄フィルタ２２の双方を管理する廃棄条件管理部１５Ａと、ヘッダ解析部１３およびデータ解析部１４で得られた照合結果に基づいて、非正規トラヒックに関する受信パケットを廃棄するパケット廃棄部１５Ｂとを備えている。
この際、パケット廃棄部１５Ｂにおいて、パケット受信部１１、ヘッダ解析部１３、またはデータ解析部１４から受け取った受信パケットを、廃棄あるいは後段への転送出力を処理してもよく、パケット廃棄部１５Ｂから廃棄要否を指示して、パケット受信部１１が廃棄あるいは後段への転送出力を処理してもよい。
【００５０】
［第１の実施の形態の動作］
次に、図１０を参照して、本実施の形態にかかるトラヒック制御装置１０の動作について説明する。図１０は、第１の実施の形態にかかるトラヒック制御装置の動作を示すシーケンス図である。
【００５１】
通信トラヒックから受信した受信パケットを監視して非正規トラヒックを廃棄する処理を実行するのに先立って、廃棄テーブル２１および廃棄フィルタ２２に廃棄条件を登録する。
まず、条件設定部１２において、解析仕様入力部１２Ａは、ネットワーク管理者からの指示に応じて、受信パケットのヘッダ解析仕様を入力し（ステップ１００）、廃棄条件入力部１２Ｂは、ユーザからの指示に応じて、非正規トラヒックの廃棄条件を入力する（ステップ１０１）。これに応じて、仕様合致判定部１２Ｃは、ヘッダ解析仕様をもとに廃棄条件の解析範囲がヘッダ内か否かを判定する（ステップ１０２）。
【００５２】
ここで、解析範囲がヘッダ内ではない場合（ステップ１０２：ＮＯ）、データ解析部１４の廃棄シグネチャ演算部１４Ａは、条件設定部１２により指定された廃棄条件に関するハッシュ値である廃棄シグネチャを求め（ステップ１０３）、データ解析部１４の廃棄フィルタ登録部１４Ｂは、求めた廃棄シグネチャを廃棄フィルタ２２に登録する（ステップ１０４）。
【００５３】
一方、解析範囲がヘッダ内である場合（ステップ１０２：ＹＥＳ）、ヘッダ解析部１３の廃棄テーブル登録部１３Ａは、条件設定部１２により指定された廃棄条件を廃棄テーブル２１に登録する（ステップ１０５）。
この後、廃棄制御部１５の廃棄条件管理部１５Ａは、廃棄テーブル２１と廃棄フィルタ２２の双方を管理する（ステップ１０６）。
これにより、廃棄テーブル２１および廃棄フィルタ２２を用いた階層的な廃棄条件が構成されることになる。
【００５４】
この後、パケットを受信するごとに、以下の受信パケットに対する非正規トラヒックの廃棄が実行される。
まず、パケット受信部１１が、通信事業者ネットワーク上を流れる、非正規トラヒックを含む通信トラヒックからパケットを受信した場合（ステップ１１０）、ヘッダ解析部１３の受信ヘッダ解析部１３Ｂが、その受信パケットのヘッダをヘッダ解析仕様に基づいて解析する（ステップ１１１）。
【００５５】
続いて、ヘッダ解析部１３の仕様合致判定部１３Ｃは、ヘッダ解析仕様をもとに解析範囲がヘッダ内であるか否かを判定する（ステップ１１２）。
ここで、解析範囲がヘッダ内ではない場合（ステップ１１２：ＮＯ）、データ解析部１４のデータシグネチャ演算部１４Ｃは、解析範囲がヘッダ外であると判定された受信パケットに格納されているユーザデータのうち、予め定めた位置および長さのビット列に関するハッシュ値であるデータシグネチャを求め（ステップ１１３）、廃棄フィルタ照合部１４Ｄは、求めたデータシグネチャを廃棄フィルタ２２に登録されている廃棄シグネチャとを照合する（ステップ１１４）。
【００５６】
一方、解析範囲がヘッダ内である場合（ステップ１１２：ＹＥＳ）、ヘッダ解析部１３の廃棄テーブル検索部１３Ｄは、解析範囲がヘッダ内であると判定された受信パケットを、廃棄テーブル２１から検索した廃棄条件と照合する（ステップ１１５）。
この後、廃棄制御部１５のパケット廃棄部１５Ｂは、ヘッダ解析部１３およびデータ解析部１４で得られた照合結果に基づいて、非正規トラヒックに関するパケットを廃棄する（ステップ１１６）。
【００５７】
［第１の実施の形態の効果］
このように、本実施の形態は、条件設定部１２が、指定されたヘッダ解析仕様および廃棄条件から廃棄条件と対応する解析範囲を特定し、ヘッダ解析部１３が、解析範囲がヘッダ内である廃棄条件を廃棄テーブル２１に登録し、解析範囲がヘッダ内であると判定された受信パケットを廃棄テーブル２１の廃棄条件と照合し、データ解析部１４が、解析範囲がヘッダ外であると廃棄条件を廃棄フィルタ２２に登録し、解析範囲がヘッダ外であると判定された受信パケットを廃棄フィルタ２２の廃棄条件と照合し、廃棄制御部１５は、ヘッダ解析部１３およびデータ解析部１４で得られた解析結果に照合結果に基づいて、非正規トラヒックに関するパケットを廃棄するようにしたものである。
【００５８】
これにより、指定された廃棄条件のうち、解析範囲がヘッダ内である廃棄条件が廃棄テーブル２１に登録されるとともに、解析範囲がヘッダ外である廃棄条件が廃棄フィルタ２２に登録されるため、階層的な廃棄条件が構成されることになる。このため、通信トラヒックから受信した受信パケットのヘッダおよびユーザデータの双方を階層的に解析して、廃棄制御することができる。
【００５９】
したがって、廃棄するための条件が複雑で非正規トラヒックの特定が難しいケースでも、より正確に非正規トラヒックを特定することができ、非正規トラヒックの検出率が向上することになる。これにより、不要なトラヒックを通信事業者ネットワークから適切に廃棄して低減することができ、結果として、事業者の効率的なネットワーク運用を実現できるとともに、ユーザの利便性も確保することが可能となる。
【００６０】
［第２の実施の形態］
次に、図１１を参照して、本発明の第２の実施の形態にかかるトラヒック制御装置１０について説明する。図１１は、第２の実施の形態にかかるトラヒック制御装置の構成を示すブロック図である。
【００６１】
このトラヒック制御装置１０は、通信事業者ネットワーク上に配置されて、ネットワーク上を流れる通信トラヒックから、予め指定された廃棄条件と合致する非正規トラヒックを特定し、対応するパケットを廃棄する装置である。
図１１に示すように、トラヒック制御装置１０には、主な機能部として、パケット送受信部１１Ａ、条件設定部１２、ヘッダ解析部１３、データ解析部１４、廃棄制御部１５、上位設定制御部１６、廃棄テーブル２１、および廃棄フィルタ２２が設けられている。
【００６２】
また、上位処理装置３０は、トラヒック制御装置１０と通信する通信機能が仮想化された外部装置である。また、統合管理装置４０は、上位処理装置３０およびトラヒック制御装置１０の統合的な設定制御および運用管理を可能とする外部装置である。
【００６３】
パケット送受信部１１Ａは、通信事業者ネットワーク上を流れる、非正規トラヒックを含む通信トラヒックからパケットを受信する機能と、上位処理装置３０との間でパケットを送受信する機能とを有している。
条件設定部１２は、指定されたヘッダ解析仕様および廃棄条件から、廃棄条件と対応する解析範囲を特定する機能を有している。
上位設定制御部１６は、統合管理装置４０との間で設定データを授受し、設定内容を同期させる機能を有している。
【００６４】
ヘッダ解析部１３は、条件設定部１２で特定した解析範囲がヘッダ内であると特定された廃棄条件を廃棄テーブル２１に登録する機能と、パケット送受信部１１Ａで受信した受信パケットのヘッダを解析し、解析範囲がヘッダ内であると判定された受信パケットを、廃棄テーブル２１に登録されている廃棄条件と照合する機能とを有している。
【００６５】
データ解析部１４は、条件設定部１２で特定した解析範囲がヘッダ外であると特定された廃棄条件を廃棄フィルタ２２に登録する機能と、解析範囲がヘッダ外であると判定された受信パケットを、廃棄フィルタ２２に登録されている廃棄条件と照合する機能を有している。
廃棄制御部１５は、ヘッダ解析部１３およびデータ解析部１４で得られた照合結果に基づいて、非正規トラヒックに関するパケットを廃棄する機能を有している。
【００６６】
本実施例の特徴は、前述した第１の実施の形態にかかる構成に上位設定制御部１６を追加し、この上位設定制御部１６により、トラヒック制御装置１０に外部接続されている統合管理装置４０に設定されている廃棄条件に関する設定内容を検出して、この設定内容に、トラヒック制御装置１０内の廃棄条件に関する設定内容を、自動的に同期させるようにしたものである。
【００６７】
図１２は、上位設定制御部の構成例である。この上位設定制御部１６には、外部の統合管理装置４０から予め指定された形式を持つ設定データの受信を検出する設定検出部１６Ａと、検出した設定データを条件設定部１２に登録することにより、条件設定部１２の設定内容を、上位の統合管理装置４０による設定内容と、自動的に同期（一致）させる設定同期部１６Ｂとが設けられている。
【００６８】
図１３は、統合管理装置の設定データを示す構成例である。ここでは、設定データがＩＰアドレスおよびユーザＩＤで構成した例が示されている。設定データは、テキストファイルに記述することができ、オブジェクト名として”設定データ”が与えられ、他の設定データと一意に識別することができる。”設定データ”の内容として、”Ｕｓｅｒ−Ｎａｍｅ”および”ＩＰ−Ａｄｒｅｓｓ”のキーの組が２組指定されており、実際の値としてはユーザＩＤが”ｘｘｘ”のＩＰアドレス”ｍｍ．ｍｍｍ．ｍｍ．ｍ”と、ユーザＩＤが”ｙｙｙ”のＩＰアドレス”ｎｎ．ｎｎｎ．ｎｎ．ｎ”とが指定されている。ネットワーク管理者は、このようなキーと値の組を設定するだけでよく、設定検出部１６Ａは予めこのような形式を処理できるように構成されている。
【００６９】
このように、ネットワーク管理者が統合管理装置４０で指定した設定データは、設定検出部１６Ａを通じて自動的に検出され、設定同期部１６Ｂに通知される。設定同期部１６Ｂは条件設定部１２に設定データを登録し、該当する設定内容に関して非正規パケットと判定するようトラヒック制御装置１０の動作を変更する。なお、本実施例で示した設定データ形式は、説明の簡単のためデータの授受に広く用いられているＪＳＯＮ（JavaScript Object Notation）形式で示しているが、本発明の構成に特徴的な上位設定制御部１６が利用する設定データは、特定のデータ形式に依存するものではないため、他のデータ形式を用いてもよい。
【００７０】
本実施の形態にかかるトラヒック制御装置１０における、廃棄テーブル２１や廃棄フィルタ２２などのその他構成については、第１の実施の形態と同様であり、ここでの詳細な説明は省略する。
【００７１】
［第２の実施の形態の動作］
次に、図１４を参照して、本実施の形態にかかるトラヒック制御装置１０の動作について説明する。図１４は、第２の実施の形態にかかるトラヒック制御装置の動作を示すシーケンス図である。
【００７２】
通信トラヒックから受信した受信パケットを監視して非正規トラヒックを廃棄する処理を実行するのに先立って、廃棄テーブル２１および廃棄フィルタ２２に廃棄条件を登録する。
ここで、予め統合管理装置４０において、ネットワーク管理者により廃棄条件に関して前述した図１３のような設定データの組が指定されている場合、上位設定制御部１６において、設定検出部１６Ａは、統合管理装置４０からネットワーク管理者が指定した設定データを検出し（ステップ２００）、設定同期部１６Ｂが、条件設定部１２に設定されている廃棄条件に関する設定データを、検出した設定データと自動的に同期させる（ステップ２０１）。
【００７３】
次に、条件設定部１２において、解析仕様入力部１２Ａは、ネットワーク管理者からの指示に応じて、受信パケットのヘッダ解析仕様を入力し（ステップ２０２）、廃棄条件入力部１２Ｂは、上位設定制御部１６の設定同期部１６Ｂにより登録された非正規トラヒックの廃棄条件を取得する（ステップ２０３）。これに応じて、仕様合致判定部１２Ｃは、ヘッダ解析仕様をもとに廃棄条件の解析範囲がヘッダ内か否かを判定する（ステップ１０２）。
【００７４】
これ以降、前述した図１０のステップ１０２〜１０６およびステップ１１０〜１１６がそれぞれ実行される。これら処理内容は、図１０と同様であり、ここでの詳細な説明は省略する。
【００７５】
［第２の実施の形態の効果］
近年、トラヒック制御装置１０は、膨大な数のサーバで構成されるクラウド環境の中で管理されるようになってきているが、膨大なサーバを管理に加えてトラヒック制御装置１０の管理が必要になると、管理が複雑になり設定ミス等の事故につながりかねないという課題がある。しかし、ネットワーク管理者が所望する様々な装置の設定を矛盾なく統合的に設定することは困難である。
【００７６】
本実施の形態は、上位設定制御部１６を追加し、この上位設定制御部１６により、トラヒック制御装置１０に外部接続されている統合管理装置４０に設定されている廃棄条件に関する設定内容を検出して、トラヒック制御装置１０に取り込むようにしたものである。これにより、トラヒック制御装置１０内の廃棄条件に関する設定内容が、ネットワーク管理者が統合管理装置４０で設定した設定内容と、自動的に同期することになる。
【００７７】
このため、ネットワーク管理者は、トラヒック制御装置１０での個別設定に煩わされることなく、統合管理装置４０で廃棄条件に関する設定内容を一元的に管理することができる。したがって、トラヒック制御装置１０の管理対象となるサーバ数が増大しても、廃棄条件に関する管理の複雑さや負担を増やすことなく、非正規パケットを適切に管理することが可能となる。
【００７８】
以上、本発明の実施形態が示され、説明がなされた。実施形態の説明において「〜部」と説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手段」、「〜処理」であってもよい。また、本実施形態で「〜部」として説明しているものは、ＲＯＭに記憶されたファームウェアおよび再構成型デバイス・素子・基板・配線などのハードウェアで実現されていても構わない。或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵにより読み出されて実行される。すなわち、プログラムは、本発明の実施形態の「〜手段」としてコンピュータを機能させるものである。あるいは、実施形態の「〜部」の手順や方法をコンピュータに実行させるものである。
【００７９】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。
【符号の説明】
【００８０】
１０…トラヒック制御装置、１１…パケット受信部、１１Ａ…パケット送受信部、１２…条件設定部、１２Ａ…解析仕様入力部、１２Ｂ…廃棄条件入力部、１２Ｃ…仕様合致判定部、１３…ヘッダ解析部、１３Ａ…廃棄テーブル登録部、１３Ｂ…受信ヘッダ解析部、１３Ｃ…仕様合致判定部、１３Ｄ…廃棄テーブル検索部、１４…データ解析部、１４Ａ…廃棄シグネチャ演算部、１４Ｂ…廃棄フィルタ登録部、１４Ｃ…データシグネチャ演算部、１４Ｄ…廃棄フィルタ照合部、１５…廃棄制御部、１５Ａ…廃棄条件管理部、１５Ｂ…パケット廃棄部、１６…上位設定制御部、１６Ａ…設定検出部、１６Ｂ…設定同期部、２１…廃棄テーブル、２２…廃棄フィルタ、３０…上位処理装置、４０…統合管理装置。
【図１】
2018014712.tif 000005
【図２】
2018014712.tif 000006
【図３】
2018014712.tif 000007
【図４】
2018014712.tif 000008
【図５】
2018014712.tif 000009
【図６】
2018014712.tif 000010
【図７】
2018014712.tif 000011
【図８】
2018014712.tif 000012
【図９】
2018014712.tif 000013
【図１０】
2018014712.tif 000014
【図１１】
2018014712.tif 000015
【図１２】
2018014712.tif 000016
【図１３】
2018014712.tif 000017
【図１４】
2018014712.tif 000018
【図１５】
2018014712.tif 000019