(57)【要約】【課題】アクセス制御リスト、セキュリティ政策などに基づいてホワイトリスト（Ｗｈｉｔｅｌｉｓｔ）と対応規則を定義し、これに基づいてネットワークトラフィックを監視および遮断させるホワイトリスト基盤のネットワークスイッチを提供する。【解決手段】前記ネットワークスイッチは、許容された通信規則を含むホワイトリストが予め格納され、ホワイトリストを基盤として、複数のスイッチインタフェースを介して入力された１つ以上のパケットを監視し、ホワイトリストに従うパケットに対しては通信を許容するホワイトリスト監視部と、ホワイトリストをアップデートさせてホワイトリスト監視部に送るホワイトリスト管理部とを含む。【選択図】図１
2015050767.tif 000002
【特許請求の範囲】
【請求項１】
許容された通信規則を含むホワイトリストが予め格納され、前記ホワイトリストを基盤として、複数のスイッチインタフェースを介して入力された１つ以上のパケットを監視し、前記ホワイトリストに従うパケットに対しては通信を許容するホワイトリスト監視部と、
前記ホワイトリストをアップデートさせて前記ホワイトリスト監視部に送るホワイトリスト管理部とを含むことを特徴とする、ホワイトリスト基盤のネットワークスイッチ。
【請求項２】
前記ホワイトリストは、前記複数のスイッチインタフェース各々に接続許容されたＩＰアドレス（ＩＰ  ａｄｄｒｅｓｓ）、前記複数のスイッチインタフェース各々に接続許容されたマックアドレス（ＭＡＣ  ａｄｄｒｅｓｓ）、１つのＩＰとマッピング可能なマックアドレス、ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則、およびマックアドレス間の通信で守るべき通信規則を含むことを特徴とする、請求項１に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項３】
前記ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則は、パケット送信元ＩＰ、パケット送信元ポート、パケット宛先ＩＰ、パケット宛先ポート、前記パケット送信元ＩＰから前記パケット宛先ＩＰへのセッション接続要請を許容するか否か、または前記パケット送信元ポートから前記パケット宛先ポートへのセッション接続要請を許容するか否か、および前記パケット送信元ＩＰから前記パケット宛先ＩＰに、または前記パケット送信元ポートから前記パケット宛先ポートにパケットを伝達する時に使用可能なプロトコルの集合を含むことを特徴とする、請求項２に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項４】
前記ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則は、前記パケット送信元ＩＰから前記パケット宛先ＩＰに、または前記パケット送信元ポートから前記パケット宛先ポートに伝達されるパケットに対する追加規則を追加的に含むことを特徴とする、請求項３に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項５】
前記マックアドレス間の通信で守るべき通信規則は、送信元ハードウェアアドレス、宛先ハードウェアアドレス、前記送信元ハードウェアアドレスおよび前記宛先ハードウェアアドレスで許容されたプロトコル、および前記送信元ハードウェアアドレスおよび前記宛先ハードウェアアドレスでパケット転送時に守るべき通信規則を含むことを特徴とする、請求項２に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項６】
前記ホワイトリスト監視部は、前記ホワイトリストに違反するパケットの発生時、予め設定された対応規則に従ってアラームを発生または遮断を行うことを特徴とする、請求項１に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項７】
前記複数のスイッチインタフェース各々を介して入力されたパケットに対するトラフィックログを残すトラフィックロギング部を追加的に含み、
前記ホワイトリスト監視部は、前記ホワイトリストを守るパケットに対しては、単位時間ごとに発生するパケット数またはトラフィック量を政策ログに記録し、前記ホワイトリストに違反するパケットに対しては、当該トラフィックログおよび当該パケットの入ったスイッチインタフェース番号を記録して、違反ログとして記録することを特徴とする、請求項１に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項８】
前記ホワイトリスト管理部は、前記トラフィックログと前記政策ログおよび前記違反ログを外部の監視システムに伝達することを特徴とする、請求項７に記載のホワイトリスト基盤のネットワークスイッチ。
【請求項９】
前記複数のスイッチインタフェース各々を介して入力されるパケットをスイッチングして前記ホワイトリスト監視部に伝達し、前記ホワイトリスト監視部の制御信号に基づいて遮断動作を行うスイッチ制御部を追加的に含むことを特徴とする、請求項１に記載のホワイトリスト基盤のネットワークスイッチ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ホワイトリスト基盤のネットワークスイッチに関するものであって、より詳細には、ネットワークスイッチにおいて、許容された通信ノードおよび許容された通信規則をホワイトリスト（Ｗｈｉｔｅｌｉｓｔ）と定義し、これに違反する通信トラフィックの発生時、アラームを発生または遮断するホワイトリスト基盤のネットワークスイッチに関するものである。
【背景技術】
【０００２】
ネットワークスイッチは、物理的リンクを介して、ネットワークトポロジ構成、回線使用、エラー検出、フレーム伝達の役割を果たす。一般のネットワークスイッチは、ポートミラーリングセキュリティ問題および攻撃者のマック（ＭＡＣ）アドレスをごまかすＡＲＰキャッシュポイズニング（ＡＲＰ  ｃａｃｈｅ  ｐｏｉｓｏｎｉｎｇ）問題、スイッチにハブをつなげてブロードキャストドメイン上にパッケージを分析可能なハビングアウト問題、攻撃者がマック（ＭＡＣ）アドレスをごまかすＡＲＰスプーフィング、ゲートウェイをごまかすＩＣＭＰリダイレクト（ＩＣＭＰ  Ｒｅｄｉｒｅｃｔ）問題、スイッチのマック（ＭＡＣ）テーブルのためのキャッシュ空間にバッファーオーバーフロー攻撃を行うスイッチジャミング攻撃の問題を有している。
【０００３】
そのセキュリティのために発売されたセキュリティネットワークスイッチは、一般のネットワークスイッチのセキュリティ問題を解決し、ネットワークに接続するすべてのエンドポイント（Ｅｎｄ−ｐｏｉｎｔ）ノードを制御し、ネットワークの状態分析およびトラフィックモニタリング、アクセス制御機能およびセキュリティ機能を提供する。
【０００４】
しかし、既存のセキュリティネットワークスイッチは、ブラックリスト（Ｂｌａｃｋｌｉｓｔ）基盤で攻撃を検知するため、ブラックリストに表現されていない変形した攻撃またはゼロデイ攻撃およびＡＰＴ攻撃に対して対応することができない。
【０００５】
ネットワークに接続する装置のセキュリティ状態を点検して安全な機器のみのアクセスを許容する技術であるＮＡＣ（Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）技術は、ユーザのＰＣ、サーバあるいは装備に管理プログラムをインストールする方式であるが、エンベデッドシステム、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ）などが設けられたシステムでは使用が不可能である。
【０００６】
また、内部ネットトラフィックをモニタリングするために、別の装備（タッピング装備）を用いる場合、高い導入価格と複雑な線連結によって現実的に管理が難しく、スイッチミラーリング機能を活用する場合、ミラーリング機能がネットワークスイッチに負荷を与えてスイッチング機能自体の安定性を阻害し得る。また、サイバー脅威の検知時、他の装備の安全を確保するための脅威遮断などの対応が不可能である欠点がある。
【０００７】
したがって、内部ネットトラフィックを追加の装備なしに監視および制御可能なネットワークセキュリティ装備の開発の必要性が提起された。
【０００８】
関連する先行技術としては、全体ネットワークに一括的に適用されていた既存のセキュリティ政策を、内部ネットワーク内における複数の最終クライアントＰＣまで各々のセキュリティ政策を適用させることができ、問題の発生したクライアントＰＣを周囲のクライアントＰＣと隔離して安定したネット管理を行うことができるという内容が、大韓民国登録特許第０７２２７２０号（内部ネットワークユーザ認証とパケット制御機能を有するセキュリティゲートウェイシステムおよび運用方法）に開示された。
【０００９】
他の関連する先行技術としては、ＩＰＳのネットワークポートを基準としてセキュリティ政策を互いに異なって適用することにより、パケットヘッダのアドレスを利用する方法と比較して、性能の面で相当な効果が得られ、当該ネットワークポートごとに互いに異なるセキュリティ政策を適用運営することによって、より融通性のあるネットワークの管理が可能であるという内容が、大韓民国公開特許第１０−２００７−００７３２９３号（多重ポートを支援する侵入防止システムおよびその侵入防止方法）に開示された。
【００１０】
さらに他の関連する先行技術としては、パターンマッチングのために断片化されたパケットがすべて到着するのを待ってパターンマッチングを行う必要なく、断片化されたパケットが受信される度にパターンマッチングが行われるため、断片化されたパケットの再組み立てに伴う負荷を少なくし、全体パケットに対してパターンマッチングを行うのにかかる時間を短縮させ、高速の侵入検知を可能にするという内容が、大韓民国登録特許第０６５６４０３号（ネットワークシステムにおける侵入検知方法）に開示された。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】大韓民国登録特許第０７２２７２０号公報
【特許文献２】大韓民国公開特許第１０−２００７−００７３２９３号公報
【特許文献３】大韓民国登録特許第０６５６４０３号公報
【発明の概要】
【発明が解決しようとする課題】
【００１２】
本発明は、上記の従来の問題を解決するためになされたものであって、アクセス制御リスト、セキュリティ政策などに基づいてホワイトリスト（Ｗｈｉｔｅｌｉｓｔ）と対応規則を定義し、これに基づいてネットワークトラフィックを監視および遮断させるホワイトリスト基盤のネットワークスイッチを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記の目的を達成するために、本発明の好ましい実施様態にかかるホワイトリスト基盤のネットワークスイッチは、許容された通信規則を含むホワイトリストが予め格納され、前記ホワイトリストを基盤として、前記複数のスイッチインタフェースを介して入力された１つ以上のパケットを監視し、前記ホワイトリストに従うパケットに対しては通信を許容するホワイトリスト監視部と、前記ホワイトリストをアップデートさせて前記ホワイトリスト監視部に送るホワイトリスト管理部とを含む。
【００１４】
好ましくは、前記ホワイトリストは、前記複数のスイッチインタフェース各々に接続許容されたＩＰアドレス（ＩＰ  ａｄｄｒｅｓｓ）、前記複数のスイッチインタフェース各々に接続許容されたマックアドレス（ＭＡＣ  ａｄｄｒｅｓｓ）、１つのＩＰとマッピング可能なマックアドレス、ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則、およびマックアドレス間の通信で守るべき通信規則を含むことができる。
【００１５】
好ましくは、前記ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則は、パケット送信元ＩＰ、パケット送信元ポート、パケット宛先ＩＰ、パケット宛先ポート、前記パケット送信元ＩＰから前記パケット宛先ＩＰへのセッション接続要請を許容するか否か、または前記パケット送信元ポートから前記パケット宛先ポートへのセッション接続要請を許容するか否か、および前記パケット送信元ＩＰから前記パケット宛先ＩＰに、または前記パケット送信元ポートから前記パケット宛先ポートにパケットを伝達する時に使用可能なプロトコルの集合を含むことができる。
【００１６】
好ましくは、前記ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則は、前記パケット送信元ＩＰから前記パケット宛先ＩＰに、または前記パケット送信元ポートから前記パケット宛先ポートに伝達されるパケットに対する追加規則を追加的に含むことができる。
【００１７】
好ましくは、前記マックアドレス間の通信で守るべき通信規則は、送信元ハードウェアアドレス、宛先ハードウェアアドレス、前記送信元ハードウェアアドレスおよび前記宛先ハードウェアアドレスで許容されたプロトコル、および前記送信元ハードウェアアドレスおよび前記宛先ハードウェアアドレスでパケット転送時に守るべき通信規則を含むことができる。
【００１８】
好ましくは、前記ホワイトリスト監視部は、前記ホワイトリストに違反するパケットの発生時、予め設定された対応規則に従ってアラームを発生または遮断を行うことができる。
【００１９】
好ましくは、前記複数のスイッチインタフェース各々を介して入力されたパケットに対するトラフィックログを残すトラフィックロギング部を追加的に含み、前記ホワイトリスト監視部は、前記ホワイトリストを守るパケットに対しては、単位時間ごとに発生するパケット数またはトラフィック量を政策ログに記録し、前記ホワイトリストに違反するパケットに対しては、当該トラフィックログおよび当該パケットの入ったスイッチインタフェース番号を記録して、違反ログとして記録することができる。
【００２０】
好ましくは、前記ホワイトリスト管理部は、前記トラフィックログと前記政策ログおよび前記違反ログを外部の監視システムに伝達することができる。
【００２１】
好ましくは、前記複数のスイッチインタフェース各々を介して入力されるパケットをスイッチングして前記ホワイトリスト監視部に伝達し、前記ホワイトリスト監視部の制御信号に基づいて遮断動作を行うスイッチ制御部を追加的に含むことができる。
【発明の効果】
【００２２】
このような構成の本発明によれば、ホワイトリスト基盤でネットワークトラフィックを監視し、これに違反するトラフィックに対してアラームを発生または当該トラフィックを遮断することができる。
【００２３】
本発明は、ネットワークスイッチ機能を有していて、パケットスイッチ機能を行いながら、ネットワークの資源管理および内部ネットモニタリング機能および制御機能などを行うことができる。
【００２４】
本発明において、ホワイトリストは、許容機器（物理的アドレス：ＭＡＣ、ＩＰ、スイッチインタフェースなど）、許容サービス（ＴＣＰ、ＵＤＰ、通信プロトコル、サービスポートなど）、許容接続（セッション）などを用いて、ネットワークアクセス制御、ホストアクセス制御、特定スイッチインタフェース制御、アプリケーション水準の通信規則などを表現することができ、監視対象のネットワークの特性を表現および管理することができる。
【００２５】
また、ホワイトリスト基盤のネットワーク監視により、ブラックリスト（Ｂｌａｃｋｌｉｓｔ）情報なしにサイバー攻撃を検知し、ホワイトリストに違反したトラフィックに対しては、条件に従ってアラームおよび遮断を設定することができる。
【００２６】
さらに、ネットワークに接続された装備の相関関係および資産の把握も可能である。
【図面の簡単な説明】
【００２７】
【図１】本発明の実施形態にかかるホワイトリスト基盤のネットワークスイッチの構成を示す図である。
【図２】本発明の実施形態にかかるホワイトリスト基盤のネットワークスイッチの動作を説明するフローチャートである。
【図３】図２に示されたアラームの発生および遮断が発生した場合の処理方式を説明するためのフローチャートである。
【発明を実施するための形態】
【００２８】
本発明は、多様な変更を加えることができ、様々な実施形態を有することができるが、特定の実施形態を図面に例示および詳細に説明する。
【００２９】
しかし、これは、本発明を特定の実施形態に対して限定しようとするのではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物または代替物を含むことが理解されなければならない。
【００３０】
本出願で使用された用語は、単に特定の実施形態を説明するために使用されたものであり、本発明を限定しようとするものではない。単数の表現は、文脈上別途に明示されない限り、複数の表現を含む。本出願において、「含む」または「有する」などの用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指すものであり、１つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものの存在または付加の可能性を予め排除しないことが理解されなければならない。
【００３１】
別途に定義されない限り、技術的または科学的な用語を含み、ここで使用されるすべての用語は、本発明の属する技術分野における通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般的に使用される、辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有すると解釈されなければならず、本出願で明らかに定義しない限り、理想的または過度に形式的な意味で解釈されない。
【００３２】
以下、添付した図面を参照して、本発明の好ましい実施形態をより詳細に説明する。本発明を説明するにあたり、全体的な理解を容易にするために、図面上の同一の構成要素については同一の参照符号を使用し、同一の構成要素について重複した説明は省略する。
【００３３】
図１は、本発明の実施形態にかかるホワイトリスト基盤のネットワークスイッチの構成を示す図である。
【００３４】
本発明の実施形態にかかるホワイトリスト基盤のネットワークスイッチ１００は、スイッチ制御部１０と、トラフィックロギング部１２と、ホワイトリスト監視部１４と、ホワイトリスト管理部１６とを含む。
【００３５】
スイッチ制御部１０は、各々のスイッチインタフェース１を介して入力されるパケットをスイッチングするための機能を担当する。ネットワークスイッチ１００は、スイッチ制御部１０によるパケットスイッチ機能により、ネットワークの資源管理および内部ネットモニタリング機能および制御機能などを行うことができる。特に、スイッチ制御部１０によってスイッチインタフェース１ごとに個別的な政策（通信を許容するかそれとも遮断するかを決定した内容を含む）を適用することができる。
【００３６】
スイッチ制御部１０は、複数のスイッチインタフェース１各々を介して入力されるパケットをスイッチングしてホワイトリスト監視部１４に伝達し、ホワイトリスト監視部１４の制御信号に基づいて遮断動作を行うことができる。
【００３７】
トラフィックロギング部１２は、スイッチ制御部１０でスイッチングされ、入力されるスイッチインタフェース１からのパケットを受けてトラフィックログ１８ａを残す機能を果たす。トラフィックログ１８ａは、以後、外部の監視システムに伝達され、ホワイトリスト（Ｗｈｉｔｅｌｉｓｔ）の自動生成および事故分析、ネットワーク状態の把握などに用いられる。そのため、トラフィックログ１８ａは、使用するホワイトリストを抽出するために必要な情報の形態を取らなければならない。トラフィックロギング部１２は、入力されるパケットでホワイトリストに対応する情報を選別するために、例えば、送信元ＩＰ、送信元ポート、目的地ＩＰ、目的地ポート、プロトコルなどの情報を抽出することができる。トラフィックロギング部１２から抽出された情報（例えば、送信元ＩＰ、送信元ポート、目的地ＩＰ、目的地ポート、プロトコルなど）は、ホワイトリスト監視部１４に伝達され、ホワイトリストに違反するかを判断する根拠資料として用いられる。
【００３８】
本発明の明細書に記載されたホワイトリスト（Ｗｈｉｔｅｌｉｓｔ）は、第三者によるＩＰアドレスまたはサイト裏付けリスト、スパムメール、悪性コードを流布するＩＰアドレス、フィッシングを煽る偽サイトなどをデータベース（ＤＢ）として作るブラックリスト（Ｂｌａｃｋｌｉｓｔ）に反対する概念で理解することができる。
【００３９】
ホワイトリスト監視部１４は、許容された通信ノードおよび許容された通信規則が定義されたホワイトリストが予め格納されている。ホワイトリスト監視部１４は、ホワイトリストを基盤として、複数のスイッチインタフェース１を介して入力された１つ以上のパケットを監視し、ホワイトリストに従うパケットに対しては通信を許容する。つまり、ホワイトリスト監視部１４は、スイッチ制御部１０から入るパケットを受けてホワイトリスト基盤の監視を行うが、ホワイトリストに相当する（ホワイトリストを守る）パケットに対しては、単位時間ごとに発生するパケット数またはトラフィック量を政策ログ１８ｂに記録する。また、ホワイトリスト監視部１４は、ホワイトリストに違反するパケットに対しては、トラフィックログ１８ａおよび当該パケットの入ったスイッチインタフェース番号を記録して、違反ログ１８ｃとして記録する。ホワイトリスト監視部１４は、トラフィックロギング部１２から抽出された情報（例えば、送信元ＩＰ、送信元ポート、目的地ＩＰ、目的地ポート、プロトコルなど）に基づいて当該パケットが予め設定されたホワイトリストに違反するかを判断することができる。
【００４０】
前記ホワイトリストは、「Ｗｈｉｔｅｌｉｓｔ：＝（ＳＰＩＰ、ＳＰＭＡＣ、ＩＰＭＡＣ、ＡｐｐＲｕｌｅｓ、ＮｅｔＲｕｌｅｓ）」と表現可能である。すなわち、ホワイトリスト（Ｗｈｉｔｅｌｉｓｔ）は、ＳＰＩＰ、ＳＰＭＡＣ、ＩＰＭＡＣ、ＡｐｐＲｕｌｅｓ、ＮｅｔＲｕｌｅｓの５つの規則の集合から構成できる。ここで、ＳＰＩＰは、「ＳＰＩＰ：＝Ｓｅｔ  ｏｆ（ＳｗｉｔｃｈＰｏｒｔ、ＩＰＳｅｔ）」であって、スイッチインタフェースごとに接続許容されたＩＰアドレス（ＩＰ  ａｄｄｒｅｓｓ）を示す。ＳＰＭＡＣは、「ＳＰＭＡＣ：＝Ｓｅｔ  ｏｆ（ＳｗｉｔｃｈＰｏｒｔ、ＭＡＣＳｅｔ）」であって、スイッチインタフェースごとに接続許容されたマックアドレス（ＭＡＣ  ａｄｄｒｅｓｓ）を示す。ここで、ＳｗｉｔｃｈＰｏｒｔは、ホワイトリスト基盤のネットワークスイッチ１００の当該スイッチインタフェースを意味する。一方、ＩＰＭＡＣは、「ＩＰＭＡＣ：＝Ｓｅｔ  ｏｆ（ＩＰ、ＭＡＣ）」であって、１つのＩＰとマッピング可能なマックアドレス（ＭＡＣ  ａｄｄｒｅｓｓ）を示す。そして、ＡｐｐＲｕｌｅｓは、ＩＰまたはスイッチインタフェースを用いて通信を行う時に守るべき通信規則である。最後に、ＮｅｔＲｕｌｅｓは、マックアドレス（ＭＡＣ  ａｄｄｒｅｓｓ）間の通信（ネットワーク階層、例えばＡＲＰ）で守るべき通信規則である。ＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ；アドレス決定プロトコル）は、ネットワーク上でＩＰアドレスを物理的ネットワークアドレスに対応させるために用いられるプロトコルである。
【００４１】
そして、ＡｐｐＲｕｌｅｓに対してより具体的に説明すれば、ＡｐｐＲｕｌｅｓは、「ＡｐｐＲｕｌｅｓ：＝Ｓｅｔ  ｏｆ  ＡｐｐＲｕｌｅ」と表現することができる。ここで、ＡｐｐＲｕｌｅは、「ＡｐｐＲｕｌｅ：＝（ＳｒｃＩＰｓ、ＳｒｃＰｏｒｔｓ、ＤｅｓｔＩＰｓ、ＤｅｓｔＰｏｒｔｓ、ＳｅｓｓｉｏｎＲｅｑｕｅｓｔ、Ｐｒｏｔｏｃｏｌ、ＥＴＣｓ）」と定義できる。すなわち、ＡｐｐＲｕｌｅは、ＳｒｃＩＰｓ、ＳｒｃＰｏｒｔｓ、ＤｅｓｔＩＰｓ、ＤｅｓｔＰｏｒｔｓ、ＳｅｓｓｉｏｎＲｅｑｕｅｓｔ、Ｐｒｏｔｏｃｏｌ、ＥＴＣｓの組み合わせからなっていてよい。ＳｒｃＩＰｓは、送信元ＩＰ（Ｓｏｕｒｃｅ  ＩＰ）を意味するもので、パケット送信元ＩＰを意味すると考えられる。ＳｒｃＰｏｒｔｓは、送信元ポートを意味するもので、パケット送信元ポート（Ｐｏｒｔ）を意味すると考えられる。ＤｅｓｔＩＰｓは、目的地ＩＰ（Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰ）を意味するもので、パケット宛先ＩＰを意味すると考えられる。ＤｅｓｔＰＯＲＴｓは、目的地ポート（Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ）を意味するもので、パケット宛先ポート（Ｐｏｒｔ）を意味すると考えられる。ＳｅｓｓｉｏｎＲｅｑｕｅｓｔは、ＳｒｃＩＰ∈ＳｒｃＩＰｓ、ＳｒｃＰｏｒｔ∈ＳｒｃＰｏｒｔｓ、ＤｅｓｔＩＰ∈ＤｅｓｔＩＰｓ、ＤｅｓｔＰｏｒｔ∈Ｄｅｓｔに対して、（ＳｒｃＩＰ、ＳｒｃＰｏｒｔ）から（ＤｅｓｔＩＰ、ＤｅｓｔＰｏｒｔ）にセッション接続要請を許容するか否かを示す。つまり、ＳｅｓｓｓｉｏｎＲｅｑｕｅｓｔは、パケット送信元ＩＰからパケット宛先ＩＰへのセッション接続要請を許容するか否か、またはパケット送信元ポートからパケット宛先ポートへのセッション接続要請を許容するか否かを示す。ここで、許容されない場合、パケット送信元ＩＰまたはパケット送信元ポート（Ｐｏｒｔ）からパケット宛先ＩＰまたはパケット宛先ポート（Ｐｏｒｔ）へのセッション接続要請をしてはならない。そして、Ｐｒｏｔｏｃｏｌは、ＳｒｃＩＰ∈ＳｒｃＩＰｓ、ＳｒｃＰｏｒｔ∈ＳｒｃＰｏｒｔｓ、ＤｅｓｔＩＰ∈ＤｅｓｔＩＰｓ、ＤｅｓｔＰｏｒｔ∈Ｄｅｓｔに対して、（ＳｒｃＩＰ、ＳｒｃＰｏｒｔ）から（ＤｅｓｔＩＰ、ＤｅｓｔＰｏｒｔ）へのパケット転送時に使用許可されたプロトコルを示す。つまり、Ｐｒｏｔｏｃｏｌは、パケット送信元ＩＰからパケット宛先ＩＰに、またはパケット送信元ポートからパケット宛先ポートにパケットを伝達する時に使用可能なプロトコルの集合を含む。許容されないプロトコルにはパケットを伝達してはならない。最後に、ＥＴＣｓは、ＳｒｃＩＰ∈ＳｒｃＩＰｓ、ＳｒｃＰｏｒｔ∈ＳｒｃＰｏｒｔｓ、ＤｅｓｔＩＰ∈ＤｅｓｔＩＰｓ、ＤｅｓｔＰｏｒｔ∈Ｄｅｓｔに対して、（ＳｒｃＩＰ、ＳｒｃＰｏｒｔ）から（ＤｅｓｔＩＰ、ＤｅｓｔＰｏｒｔ）に転送するトラフィックに対する追加的な規則（例えば、パケットの長さ、データの長さ、ｂｐｓ、ｐｐｓ、Ｆｒａｇｍｅｎｔａｔｉｏｎ情報、ＴＣＰ  ｆｌａｇの使用など）を示す。つまり、ＥＴＣｓは、パケット送信元ＩＰからパケット宛先ＩＰに、またはパケット送信元ポートからパケット宛先ポートに伝達されるパケットに対する追加規則を示す。ＥＴＣｓは、追加規則を記述する必要がある場合にのみ用いるため、選択的な事項である。
【００４２】
そして、ＮｅｔＲｕｌｅｓについてより具体的に説明すれば、ＮｅｔＲｕｌｅｓは、「ＮｅｔＲｕｌｅｓ：＝Ｓｅｔ  ｏｆ  ＮｅｔＲｕｌｅ」と表現することができる。ここで、ＮｅｔＲｕｌｅは、「ＮｅｔＲｕｌｅ：＝（ＳｒｃＭＡＣｓ、ＤｅｓｔＭＡＣｓ、Ｐｒｏｔｏｃｏｌ、ＥＴＣｓ）」と定義できる。すなわち、ＮｅｔＲｕｌｅは、ＳｒｃＭＡＣｓ、ＤｅｓｔＭＡＣｓ、Ｐｒｏｔｏｃｏｌ、ＥＴＣｓの組み合わせからなっていてよい。ＳｒｃＭＡＣｓは、送信元マックアドレス（Ｓｏｕｒｃｅ  ＭＡＣ  ａｄｄｒｅｓｓ）を意味するもので、送信元ハードウェアアドレス（ＭＡＣ  ａｄｄｒｅｓｓ）を意味すると考えられる。ＤｅｓｔＭＡＣｓは、宛先マックアドレス（Ｄｅｓｔ  ＭＡＣ  ａｄｄｒｅｓｓ）を意味するもので、宛先ハードウェアアドレスを意味すると考えられる。Ｐｒｏｔｏｃｏｌは、ＳｒｃＭＡＣｓおよびＤｅｓｔＭＡＣｓで許容されたプロトコル（Ｐｒｏｔｏｃｏｌ）である。ＥＴＣｓは、ＳｒｃＭＡＣｓおよびＤｅｓｔＭＡＣｓでパケット転送時に守るべき通信規則（例えば、周期性、ｂｐｓ、ｐｐｓなど）を示す。
【００４３】
一方、ホワイトリスト監視部１４は、違反するトラフィック（すなわち、１つ以上のパケット；パケットバンドル）に対する遮断規則をスイッチ制御部１０に伝達し、トラフィックの遮断（パケット遮断と見なされる）を行うようにする。すなわち、ホワイトリスト監視部１４は、ホワイトリストに違反するパケットの発生時、予め設定された対応規則に従ってアラームを発生または遮断を行う。ここで、予め設定された対応規則は、アラーム発生、特定スイッチインタフェース遮断、特定ＩＰ遮断、特定マック（ＭＡＣ）遮断、特定データフローの遮断（すなわち、特定送信元ＩＰから特定宛先ＩＰへのデータフローの遮断、特定送信元ポートから特定宛先ポートへのデータフローの遮断）、特定セッション接続遮断（すなわち、特定送信元ＩＰから特定宛先ＩＰへのセッション接続遮断、特定送信元ポートから特定宛先ポートへのセッション接続遮断）などのような内容を含む。これにより、ホワイトリスト監視部１４は、ホワイトリストに含まれる通信許容規則のうちのどれに違反するかによって、アラーム発生、特定スイッチインタフェース遮断、特定ＩＰ遮断など、詳細なモニタリングおよび通信制御を行うようになる。
【００４４】
このように、ホワイトリスト監視部１４は、ホワイトリストに違反するパケットの発生時、違反したホワイトリスト規則（すなわち、ＳＰＩＰ、ＳＰＭＡＣ、ＩＰＭＡＣ、ＡｐｐＲｕｌｅｓ、ＮｅｔＲｕｌｅｓの５つの規則の集合から構成できる）および当該パケット情報によって別の対応規則を設定することができる。
【００４５】
図１では、トラフィックロギング部１２とホワイトリスト監視部１４を別個の構成要素としたが、トラフィックロギング部１２がホワイトリスト監視部１４の内部に内蔵されるものにしても構わない。仮に、トラフィックロギング部１２がホワイトリスト監視部１４の内部に内蔵される場合、トラフィックロギング部１２の機能はホワイトリスト監視部１４で行うものとなる。
【００４６】
ホワイトリスト管理部１６は、外部で生成および変更されるホワイトリストを受けてホワイトリスト監視部１４に送る。つまり、ホワイトリスト管理部１６は、ホワイトリスト監視部１４にホワイトリストを伝達する機能と、トラフィックログ１８ａと政策ログ１８ｂおよび違反ログ１８ｃを外部の監視システム（図示せず）に管理インタフェース２０を介して伝達する機能を担当する。外部の監視システムは、伝達されたログを、事故分析、ネットワーク状態の把握、ホワイトリストの生成および変更などに用いる。もちろん、ホワイトリスト管理部１６がログを利用して、事故分析、ネットワーク状態の把握、ホワイトリストの生成および変更を行うものにしても構わない。
【００４７】
ログ部１８の各ログ（トラフィックログ１８ａ、政策ログ１８ｂ、違反ログ１８ｃ）は、管理インタフェース２０に接続された外部の管理システム（図示せず）がホワイトリストを生成および管理、事故分析、環境変化の分析などを行えるように用いられ、外部管理制御に用いられる。
【００４８】
既存のネットワークスイッチは、ハードウェアの性能の限界によって、すべてのトラフィックに対してトラフィックログを残すことができない欠点がある。しかし、上述した本発明の実施形態によれば、スイッチインタフェース１を介して通るパケットに対して情報をロギングし、ロギングされた情報に基づいてネットワークのアクセス関係によって政策を決定することができる。ここで、政策を決定するとは、通信を許容するか通信を遮断することを決定すると考えられる。
【００４９】
図２は、本発明の実施形態にかかるホワイトリスト基盤のネットワークスイッチの動作を説明するフローチャートである。
【００５０】
ホワイトリスト基盤のネットワークスイッチ１００に特定のホストが接続を試みると、トラフィックロギング部１２は、スイッチ制御部１０を介して入力されるパケットを検知する（Ｓ１０）。
【００５１】
次に、トラフィックロギング部１２は、入力されるパケットから、ホワイトリストに対応する情報（例えば、送信元ＩＰ、送信元ポート、目的地ＩＰ、目的地ポート、プロトコルなど）を抽出する（Ｓ１２）。
【００５２】
以後、ホワイトリスト監視部１４は、トラフィックロギング部１２からの情報（例えば、送信元ＩＰ、送信元ポート、目的地ＩＰ、目的地ポート、プロトコルなど）を受信し、予め格納されたホワイトリストに基づいて当該パケットがホワイトリストに違反するかそれとも許容されたパケットであるかを判断する（Ｓ１４）。
【００５３】
判断の結果、許容されたパケットであれば、転送を許容する（Ｓ１６）。
【００５４】
逆に、許容されたパケットでなければ（Ｓ１４で「Ｎｏ」）、ホワイトリスト監視部１４は、対応規則に従って遮断すべきかを判断する（Ｓ１８）。
【００５５】
判断の結果、対応規則に従ってアラームを発生させなければならない場合であれば、ホワイトリスト監視部１４は、アラームを発生させる（Ｓ２０）。ここで、アラームの発生に対してそれ以上の詳細な説明をしなくても、同種業界に従事する者であれば、アラームを発生させ得る周知の技術によって十分に理解することができる。
【００５６】
一方、対応規則に従って遮断させなければならない場合であれば、ホワイトリスト監視部１４は、スイッチ制御部１０を制御して遮断（例えば、スイッチインタフェース遮断、許容機器遮断、サービス接続遮断など）動作を行う（Ｓ２２）。
【００５７】
図３は、図２に示されたアラーム発生および遮断が発生した場合の処理方式を説明するためのフローチャートである。
【００５８】
アラームを発生させた後には、ホワイトリストを修正すべきかを把握する（Ｓ２５）。すなわち、アラームを発生させた当該パケットは、予め設定されたホワイトリストに違反したため、ホワイトリスト監視部１４がアラームを発生させたものの、アラームを発生させた当該パケットが予め設定されたホワイトリストには含まれていなくても、ホワイトリストに含まれるべきパケットでもあり得ることから、ホワイトリストに含むべきパケットであれば、ホワイトリストを修正しなければならない。
【００５９】
ホワイトリストを修正すべきかどうかは管理者が判断する。管理者が判断した結果、ホワイトリストを修正しなければならない場合には、管理者は、それに相応する信号および修正する情報をホワイトリスト管理部１６に送る。
【００６０】
それによって、ホワイトリスト管理部１６は、入力された修正する情報に基づいてホワイトリストをアップデートする（Ｓ２６）。このようにアップデートされたホワイトリストは、ホワイトリスト監視部１４に伝達される。
【００６１】
その後に、管理者は、対応規則を修正すべきかどうかを判断する。判断の結果、対応規則を修正しなければならない場合には、管理者は、対応規則をどのように修正すべきかを示す情報をホワイトリスト管理部１６に送る。
【００６２】
それによって、ホワイトリスト管理部１６は、入力された情報に基づいて対応規則を修正する（Ｓ２８）。このように修正された対応規則は、ホワイトリスト監視部１４に伝達される。
【００６３】
以上、図面および明細書で最適な実施形態が開示された。ここで、特定の用語が使用されたが、これは、単に本発明を説明するための目的で使用されたものであり、意味の限定や特許請求の範囲に記載された本発明の範囲を制限するために使用されたものではない。そのため、本技術分野における通常の知識を有する者であれば、これから多様な変形および均等な他の実施形態が可能である点を理解することができる。したがって、本発明の真の技術的保護範囲は、添付した特許請求の範囲の技術的思想によって定められなければならない。
【符号の説明】
【００６４】
１：スイッチインタフェース
１０：スイッチ制御部
１２：トラフィックロギング部
１４：ホワイトリスト監視部
１６：ホワイトリスト管理部
１８：ログ部
１８ａ：トラフィックログ
１８ｂ：政策ログ
１８ｃ：違反ログ
２０：管理インタフェース
１００：ネットワークスイッチ
【図１】
2015050767.tif 000003
【図２】
2015050767.tif 000004
【図３】
2015050767.tif 000005