(57)【要約】【課題】効率的なL7フロー分析制御を実現するための技術を提供することである。【解決手段】本発明の一態様は、ネットワークにおける端末側に配置されたゲートウェイと、前記ネットワークを通過するトラフィックフローのアプリケーション層（L7）を解析し、解析結果に基づき前記トラフィックフローを制御するフロー分析制御装置と、を有する通信システムであって、前記フロー分析制御装置は、所定のトラフィックフローのパターンを検知すると、前記検知したパターンを対処するための処理機能を前記ゲートウェイに起動させ、前記ゲートウェイは、前記処理機能に従って前記トラフィックフローを制御する通信システムに関する。【選択図】図２
2019029973.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークにおける端末側に配置されたゲートウェイと、
前記ネットワークを通過するトラフィックフローのアプリケーション層（L7）を解析し、解析結果に基づき前記トラフィックフローを制御するフロー分析制御装置と、
を有する通信システムであって、
前記フロー分析制御装置は、所定のトラフィックフローのパターンを検知すると、前記検知したパターンを対処するための処理機能を前記ゲートウェイに起動させ、
前記ゲートウェイは、前記処理機能に従って前記トラフィックフローを制御する通信システム。
【請求項２】
前記フロー分析制御装置は、
トラフィックフローの１つ以上のパターンを示す検知パターンと、前記検知パターンを対処するためのVNF(Virtual Network Function)機能との関連付けを示すテーブルを有するL7分析制御部と、
前記VNF機能を起動するよう前記ゲートウェイに指示するVNF管理部と、
を有する、請求項１記載の通信システム。
【請求項３】
前記L7分析制御部が、前記テーブルに登録された検知パターンを含むトラフィックフローを検出すると、前記VNF管理部は、前記トラフィックフローを通信するゲートウェイに対して、前記検出された検知パターンに対応するVNF機能を起動するよう指示する、請求項２記載の通信システム。
【請求項４】
前記L7分析制御部が、Bot感染した端末からのトラフィックフローに特徴的なパターンを検出すると、前記VNF管理部は、前記トラフィックフローの送信元のゲートウェイに対して、Bot感染したトラフィックフローを遮断させるためのファイアウォール機能を起動するよう指示する、請求項２乃至３何れか一項記載の通信システム。
【請求項５】
前記L7分析制御部が、有意なキャッシュ効果を有するコンテンツのトラフィックフローに特徴的なパターンを検出すると、前記VNF管理部は、前記トラフィックフローの送信先のゲートウェイに対して、キャッシュサーバから前記コンテンツを取得させるためのステアリング機能を起動するよう指示する、請求項２乃至４何れか一項記載の通信システム。
【請求項６】
前記L7分析制御部が、トラフィックフローの所定のパターンを検出すると、前記VNF管理部は、前記トラフィックフローを通信するゲートウェイに対して、前記フロー分析制御装置を迂回させるためのVPN機能を起動するよう指示する、請求項２乃至５何れか一項記載の通信システム。
【請求項７】
ネットワークを通過するトラフィックフローのアプリケーション層（L7）を解析するステップと、
解析結果に基づき前記トラフィックフローを制御するステップと、
を有するフロー分析制御装置によるフロー分析制御方法であって、
所定のトラフィックフローのパターンが検知されると、前記制御するステップは、前記検知したパターンを対処するための処理機能をゲートウェイに起動させ、前記ゲートウェイに前記処理機能に従って前記トラフィックフローを制御させる方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク技術に関し、より詳細には、フロー分析制御技術に関する。
【背景技術】
【０００２】
ネットワーク技術の高度化に伴って、従来の5tuple識別による制御だけでなく、L7のアプリケーション層のペイロードまで分析して制御するファイアウォールやDPI(Deep Packet Inspection)などのL7フロー分析制御技術の導入が進められている。一方、ソフトウェア技術の進化やハードウェア処理能力の向上に伴って、様々な機器でネットワーク機能のソフトウェア化が実装され、ネットワーク機能の仮想化が進められている。
【０００３】
従来のL7フロー分析制御方式では、図１に示されるように、コアネットワークにおけるL7分析制御処理部が集約配備され、収容される全ての端末のフローを検出し、検出内容に基づきフローを制御する。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】大規模サイトのネットワークセキュリティ  情報処理振興事業協会セキュリティセンター  平成15年2月
【非特許文献２】DPI(Deep Packet Inspection)入門（http://www.netone.co.jp/report/column/20150805a.html）
【非特許文献３】Networkキーワード-DPI:ITpro（http://itpro.nikkeibp.co.jp/article/Keyword/20121112/436523/?rt=nocnt）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、L7分析制御には多くのリソースが必要であり、シグネチャやフロー数が増加するに従って、大きなリソースが消費される。このため、従来の集約化されたL7フロー分析制御処理によると、ネットワークのスループット低下などの問題が生じうる。
【０００６】
上記問題点を鑑み、本発明の課題は、効率的なL7フロー分析制御を実現するための技術を提供することである。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本発明の一態様は、ネットワークにおける端末側に配置されたゲートウェイと、前記ネットワークを通過するトラフィックフローのアプリケーション層（L7）を解析し、解析結果に基づき前記トラフィックフローを制御するフロー分析制御装置と、を有する通信システムであって、前記フロー分析制御装置は、所定のトラフィックフローのパターンを検知すると、前記検知したパターンを対処するための処理機能を前記ゲートウェイに起動させ、前記ゲートウェイは、前記処理機能に従って前記トラフィックフローを制御する通信システムに関する。
【発明の効果】
【０００８】
本発明によると、効率的なL7フロー分析制御を実現するための技術を提供することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、従来のL7フロー分析制御方式を示す概略図である。
【図２】図２は、本発明の一実施例によるL7フロー分析制御方式を示す概略図である。
【図３】図３は、本発明の一実施例によるL7分析制御処理を示すシーケンス図である。
【図４】図４は、本発明の実施例１によるファイアウォールの動的起動を示す概略図である。
【図５】図５は、本発明の実施例２によるステアリング機能の動的起動を示す概略図である。
【図６】図６は、本発明の実施例３によるVPN機能の動的起動を示す概略図である。
【発明を実施するための形態】
【００１０】
以下、図面に基づいて本発明の実施の形態を説明する。
【００１１】
後述される実施例では、L7フロー分析制御を実現するための通信システムが開示される。以下の実施例による通信システムでは、集約配備されたL7分析制御装置が、フロー検知に基づき必要なフロー制御をHGW(Home Gateway)又はvCPE(virtual Customer Premises Equipment)に動的に分散処理させる。これにより、L7分析制御にかかる負荷をHGW/vCPEに分散させることが可能になる。
【００１２】
まず、図２を参照して、本発明の一実施例によるL7フロー分析制御方式を説明する。図２は、本発明の一実施例によるL7フロー分析制御方式を示す概略図である。
【００１３】
図２に示されるように、L7分析制御装置１００は、L7分析制御部１１０及びVNF管理部１２０を有し、コアネットワーク上に配備される。L7分析制御装置１００は、図示されるように、フロー検知に基づき必要なフロー制御を端末側のHGWに動的に分散処理させる。なお、本実施例では、VNF(Virtual Network Function)管理部１２０は、L7分析制御装置１００に含まれるが、本発明は、これに限定されず、他の装置に含まれてもよいし、あるいは、スタンドアローンな装置として実現されてもよい。
【００１４】
具体的には、ステップＳ１０において、フロー検知パターン（PT）と対応する制御パターン（PT）とを定義したテーブルが、L7分析制御部１１０に予め設定される。ここで、検知PTとは、特徴的なトラフィックフローを判断又は検知するパターンであり、例えば、ある端末がサーバに短時間で大量のUDP(User Datagram Protocol)トラフィックフローを送信した場合、L7分析制御部１１０は、当該トラフィックフローを検知してDDoS(Distributed Denial of Service)攻撃であると判断する。また、制御PTとは、検知パターンに該当したトラフィックフローをどのように処理するかを定義したものである。例えば、DDoS攻撃を検知した場合、L7分析制御部１１０は、テーブルにおいて当該検知PTに対応する制御PTに規定されるプロシージャ（Pro）に従って、当該HGWからのトラフィックフローをフィルタリングするよう制御する。
【００１５】
ステップＳ１１において、L7分析制御部１１０は、コアネットワークを通過するトラフィックフローを監視する。
【００１６】
ステップＳ１２において、監視中のフローにおいて所定のパターンを検知すると、L7分析制御部１１０は、予め設定されたテーブルを参照して、検知した検知PTに対応する制御PTを特定する。
【００１７】
ステップＳ１３において、VNF管理部１２０は、特定した制御PTに規定されたプロシージャを実行するため、対応するVNFを起動するためのVNF起動指示を、検知したトラフィックフローの送信元のHGWに送信し、端末側においてフロー制御機能をVNFとして起動させる。
【００１８】
ステップＳ１４において、VNF起動指示を受信したHGWは、指示されたVNFを起動し、当該VNFを用いてフロー制御を実行する。なお、フロー制御の終了から一定時間経過した後、HGWはVNFを解除する。
【００１９】
次に、図３を参照して、本発明の一実施例によるL7フロー分析制御処理を説明する。図３は、本発明の一実施例によるL7フロー分析制御処理を示すシーケンス図である。
【００２０】
図３に示されるように、ステップＳ１０１において、L7分析制御部１１０は、検知PTと制御PTとの関連付けを規定したテーブルを作成及び保持する。すなわち、L7分析制御部１１０は、DDoS攻撃などの対処が必要な特徴的な検知PTと、検知PTに対応する対処又はプロシージャを規定した制御PTとの関連付けを示すテーブルを予め保持する。
【００２１】
ステップＳ１０２において、VNF管理部１２０は、HGWに起動させるVNFを管理するために保持するVNF管理テーブルを初期化する。例えば、VNF管理テーブルは、VNFを起動指示したHGW、当該HGWにおいて起動されるVNFの種別などを含むものであってもよい。
【００２２】
ステップＳ１０３において、L7分析制御部１１０は、当該コアネットワークに接続している端末から送信されるトラフィックフローを監視し、検知PTに対応するトラフィックフローがあるか判断する。
【００２３】
ステップＳ１０４において、L7分析制御部１１０は、検知PTに対応するトラフィックフローを検知する。
【００２４】
ステップＳ１０５において、L7分析制御部１１０は、テーブルを参照して、検知した検知PTに対応する制御PTを特定する。
【００２５】
ステップＳ１０６において、L7分析制御部１１０は、検知したトラフィックフローに関する情報と特定した制御PTとをVNF管理部１２０に通知する。
【００２６】
ステップＳ１０７において、VNF管理部１２０は、L7分析制御部１１０から検知したトラフィックフローに関する情報と制御PTとを受信する。
【００２７】
ステップＳ１０８において、VNF管理部１２０は、制御PTに規定されたプロシージャを実行するためにHGWに起動させるVNFを管理するVNF管理テーブルを更新する。具体的には、VNF管理テーブルにおいて、起動されるVNF、当該VNFを起動するHGWなどのVNF管理情報が記録される。
【００２８】
ステップＳ１０９において、VNF管理部１２０は、当該トラフィックフローの送信元のHGWに制御PTに規定されたプロシージャを実行するためのVNFを起動させるため、VNF起動指示を送信する。
【００２９】
ステップＳ１１０において、HGWは、VNF管理部１２０からのVNF起動指示に応答して、VNF起動指示に示されたVNFを起動する。
【００３０】
ステップＳ１１１において、HGWは、起動したVNFに従って端末からのトラフィックフローを制御する。
【００３１】
ステップＳ１１２において、HGWは、当該フロー制御を終了し、ステップＳ１１３において、VNF終了通知をVNF管理部１２０に送信する。
【００３２】
ステップＳ１１４において、VNF管理部１２０は、受信したVNF終了通知に従ってVNF管理テーブルを更新する。
【００３３】
このように、本実施例によると、L7分析及びフロー制御の双方を実行する従来のL7分析制御装置と比較して、L7分析制御処理の一部を端末側に分散させることが可能になり、大量のトラフィックを制御する場合におけるネットワークのスループットの向上が可能になる。
【００３４】
次に、図４〜６を参照して、上述した本発明が適用可能ないくつかの具体的な実施例について説明する。
【００３５】
図４は、本発明の実施例１によるファイアウォールの動的起動を示す概略図である。実施例１は、Twitterなどで決められたつぶやきを定期的にツイートさせるBot感染した端末からのトラフィックフローを制御するため、Botフローを検知すると、HGW/vCPEにファイアウォール機能を起動させるというものである。
【００３６】
図４に示されるように、ステップＳ２０において、検知パターン（PT）と対応する制御パターン（PT）とを定義したテーブルが、L7分析制御部１１０に予め設定される。本実施例では、Bot感染した端末からのトラフィックフローに特徴的なパターンが検知PTに含まれている。
【００３７】
ステップＳ２１において、L7分析制御部１１０は、コアネットワークを通過するトラフィックフローを監視する。
【００３８】
ステップＳ２２において、監視中のフローにおいてBotトラフィックフローに特徴的なパターンを検知すると、L7分析制御部１１０は、予め設定されたテーブルを参照して、検知した検知PTに対応する制御PTを特定し、当該制御PTとして規定されるファイアウォールProcを起動させるようVNF管理部１２０に通知する。
【００３９】
ステップＳ２３において、VNF管理部１２０は、当該トラフィックフローの送信元のHGWにファイアウォール機能を起動するためのVNF起動指示を送信し、HGWにファイアウォール機能を起動させる。
【００４０】
ステップＳ２４において、VNF起動指示を受信したHGWは、ファイアウォール機能を起動し、ファイアウォールによってBotトラフィックフローに個別に対処することによってフロー制御を実行する。
【００４１】
本実施例によると、L7分析制御装置１００に流入するトラフィックフローをファイアウォールによって遮断し、L7分析制御装置１００に流れるトラフィックを減少させると共に、Bot感染した端末側に近い場所で対処することによって被害を最小化することができる。
【００４２】
図５は、本発明の実施例２によるステアリング機能の動的起動を示す概略図である。実施例２は、キャッシュ効果の高い動画サービスコンテンツのトラフィックフローを検知すると、HGW/vCPEにステアリング機能を起動させ、エッジ近傍に設置されたキャッシュサーバにステアリングさせるというものである。
【００４３】
図５に示されるように、ステップＳ３０において、検知パターン（PT）と対応する制御パターン（PT）とを定義したテーブルが、L7分析制御部１１０に予め設定される。本実施例では、キャッシュ効果の高い動画サービスコンテンツのトラフィックフローに特徴的なパターンが検知PTに含まれている。
【００４４】
ステップＳ３１において、L7分析制御部１１０は、コアネットワークを通過するトラフィックフローを監視する。
【００４５】
ステップＳ３２において、監視中のフローのURL解析によって、動画サービスコンテンツを識別し、キャッシュ効果の高い動画サービスコンテンツのトラフィックフローに特徴的なパターンを検知すると、L7分析制御部１１０は、予め設定されたテーブルを参照して、検知した検知PTに対応する制御PTを特定し、当該制御PTとして規定されるステアリング機能を起動させるようVNF管理部１２０に通知する。
【００４６】
ステップＳ３３において、VNF管理部１２０は、当該トラフィックフローの送信先のHGWにステアリング機能を起動するためのVNF起動指示を送信し、HGWにステアリング機能を起動させる。
【００４７】
ステップＳ３４において、VNF起動指示を受信したHGWは、ステアリング機能を起動し、該当する動画サービスコンテンツを格納しているキャッシュサーバにステアリングすることによってフロー制御を実行する。
【００４８】
本実施例によると、L7分析制御装置１００に流入するトラフィックフローをエッジ近傍に設置されたキャッシュサーバにステアリングさせることによって、L7分析制御装置１００に流れるトラフィックを減少させることができる。
【００４９】
図６は、本発明の実施例３によるVPN(Virtual Private Network)機能の動的起動を示す概略図である。実施例３は、対象となる特定のトラフィックフローを検知すると、HGW/vCPEにVPN機能を有するVNF機能を起動させ、当該トラフィックフローをL7分析制御装置１００を通過しないルートに変更するというものである。
【００５０】
図６に示されるように、ステップＳ４０において、検知パターン（PT）と対応する制御パターン（PT）とを定義したテーブルが、L7分析制御部１１０に予め設定される。本実施例では、トラフィックフローの特定のパターンが検知PTに含まれている。
【００５１】
ステップＳ４１において、L7分析制御部１１０は、コアネットワークを通過するトラフィックフローを監視する。
【００５２】
ステップＳ４２において、監視中のフローのフロー解析によって、検知PTの対象となる特定のパターンを検知すると、L7分析制御部１１０は、予め設定されたテーブルを参照して、検知した検知PTに対応する制御PTを特定し、当該制御PTとして規定されるVPN機能を起動させるようVNF管理部１２０に通知する。
【００５３】
ステップＳ４３において、VNF管理部１２０は、当該トラフィックフローの送信元のHGWにVPN機能を起動するためのVNF起動指示を送信し、HGWにVPN機能を起動させる。
【００５４】
ステップＳ４４において、VNF起動指示を受信したHGWは、VPN機能を起動し、該当するトラフィックフローをL7分析制御装置１００を通過しないVPNのルートにフロー制御を実行する。
【００５５】
本実施例によると、L7分析制御装置１００に流入するトラフィックフローをL7分析制御装置１００を通過しないVPNのルートにリルートさせることによって、L7分析制御装置１００に流れるトラフィックを減少させることができる。
【００５６】
上述した実施例は、VNF機能としてファイアウォール機能、ステアリング機能及びVPN機能に着目したが、本発明は、これらに限定されず、他の何れか適切なVPN機能に適用可能である。また、実施例１〜３が個別に説明されたが、本発明は、実施例１〜３及び他のVPN機能の何れかの組み合わせに適用されてもよい。すなわち、対応する検知PT及び制御PTをテーブルに追加することによって、これらの組み合わせは容易に実現できる。
【００５７】
以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【００５８】
１０  通信システム
１００  L7分析制御装置
１１０  L7分析制御部
１２０  VNF管理部
【図１】
2019029973.tif 000003
【図２】
2019029973.tif 000004
【図３】
2019029973.tif 000005
【図４】
2019029973.tif 000006
【図５】
2019029973.tif 000007
【図６】
2019029973.tif 000008