(57)【要約】  ネットワークのローレベルでネットワークデータトラフィックの識別と解析を行い、そこから発出される望ましくないデータ通信をフィルタリングそして／または防止するシステムおよび方法が開示される。好適な実施例は、インテリジェントコントロールロジックを備える本発明のネットワークインタフェースを用いて、通知そして／または解析のためのデータパケットのタグ化を提供し、例えば外部ネットワークのエッジに配置されたサーバによって、適切なデータパケットの更なる送信をフィルタリングする。それに加えて、またはそれに代えて、本発明のネットワークインタフェースは、例えば伝送帯域しきい値が超えられたことを認識し、データパケットを送信不能にすることによって、データパケットの通信を防止するために用いられる。
2006518963.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークデータトラフィックをコントロールするシステムであって、
ネットワークインタフェースに関する通信帯域使用量を監視し、前記監視された通信帯域使用量のファンクションである、前記ネットワークインタフェースに関するデータ通信を減らすためのコントロールロジックを有するネットワークインタフェースを備える
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項２】
請求項１に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、少なくとも一つのデータ通信帯域しきい値を備える
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項３】
請求項２に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記少なくとも一つのデータ通信帯域しきい値は、前記ネットワークインタフェースの特定のポートに関連する
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項４】
請求項２に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記少なくとも一つのデータ通信帯域しきい値は、前記ネットワークインタフェースのホストシステムによって提供されるネットワークサービスのファンクションとして設定される
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項５】
請求項２に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記少なくとも一つのデータ通信帯域しきい値は、前記ネットワークインタフェースのホストシステムの通常のオペレーションのファンクションとして経験的に設定される
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項６】
請求項２に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記監視される通信帯域使用量が前記少なくとも一つのデータ通信帯域しきい値を超える場合に、独立した管理コンソールに対してアラームメッセージを発行する
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項７】
請求項６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記アラームメッセージは、前記監視される通信帯域使用量の通信チャネルとは別の通信チャネルを介して前記管理コンソールに通信される
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項８】
請求項７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記通信チャネルは、インターネットセキュリティプロトコルチャネルを備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項９】
請求項６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記アラームメッセージに応答する前記管理コンソールによって提供されるコントロール信号のコントロールの下、前記ネットワークインタフェースに関連するデータ通信を減らす
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１０】
請求項９に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロール信号は、前記監視される通信帯域使用量の通信チャネルとは別の通信チャネルを介して前記ネットワークインタフェースに通信される
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１１】
請求項１０に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記通信チャネルは、インターネットセキュリティプロトコルチャネルを備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１２】
請求項２に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記コントロールロジックの自律的なコントロールの下、前記ネットワークインタフェースに関連するデータ通信を減らす
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１３】
請求項１に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、階層的なデータ通信帯域しきい値を備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１４】
請求項１３に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記監視される通信帯域使用量が前記階層的なデータ通信帯域しきい値の前記最初のデータ通信帯域しきい値を超える場合に、独立した管理コンソールに対するアラームメッセージを発行し、前記コントロールロジックは、前記監視される通信帯域使用量が前記階層的なデータ通信帯域しきい値の前記２番目のデータ通信帯域しきい値を超える場合に、前記ネットワークインタフェースに関連するデータ通信を自律的に減らす
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１５】
請求項１に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックが、前記ネットワークインタフェースに関連するデータ通信を減らすことは、前記ネットワークインタフェースのインプット／アウトプット機能を不能にすることを含む
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１６】
請求項１に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックが、前記ネットワークインタフェースに関連するデータ通信を減らすことは、前記ネットワークインタフェースの特定のポートを不能にすることを含む
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１７】
請求項１に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記ネットワークインタフェースは、更に、通信されるデータを予め選択された分類を用いてタグ化するコントロールロジックを備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１８】
請求項１７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記ネットワークインタフェースに関連するホストシステムによって送信される全てのデータは、同一の前記予め選択された分類を用いてタグ化される
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項１９】
請求項１７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記予め選択された分類は、前記ネットワークインタフェースのホストシステムに関する信頼レベルを示す
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２０】
請求項１７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記予め選択された分類は、前記データに与えられる保護レベルを示す
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２１】
請求項１７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記予め選択された分類は、前記ネットワークインタフェースの特定のポートに関連する
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２２】
請求項１７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記データの前記タグ化は、前記データに関するデータパケットのヘッダブロック中に分類フラグを挿入することを含む
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２３】
請求項１７に記載のネットワークデータトラフィックコントロールシステムにおいて、更に、
前記データを解析して前記分類を行い、前記分類に基づいて、前記データのさらなる送信を許容または防止し得るデータフィルタを備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２４】
請求項２３に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記データフィルタは、ネットワークエッジに配置される
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２５】
請求項２３に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記データフィルタは、前記分類に基づいて、前記データのさらなる送信を許容または防止するかの判断に、信頼情報を用いる
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２６】
ネットワークデータトラフィックをコントロールするシステムであって、
通信されるデータを予め選択された分類を用いてタグ化するためのコントロールロジックを備えるネットワークインタフェースと、
前記データを解析して前記分類を行い、前記分類に基づいて、前記データのさらなる送信を許容または防止し得るデータフィルタを備える  
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２７】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記ネットワークインタフェースに関連するホストシステムによって送信される全てのデータは、同一の前記予め選択された分類を用いてタグ化される
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２８】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記予め選択された分類は、前記ネットワークインタフェースのホストシステムに関する信頼レベルを示す
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項２９】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記予め選択された分類は、前記データに与えられる保護レベルを示す
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３０】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記予め選択された分類は、前記ネットワークインタフェースの特定のポートに関連する
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３１】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記データの前記タグ化は、前記データに関するデータパケットのヘッダブロック中に分類フラグを挿入することを含む
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３２】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記データフィルタは、ネットワークエッジに配置される
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３３】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記データフィルタは、前記分類に基づいて、前記データのさらなる送信を許容または防止するかの判断に、信頼情報を用いる
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３４】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックと前記データフィルタは、独立したコントロールコンソールからコントロール信号を受信する
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３５】
請求項３４に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロール信号は、前記タグ化されたデータの送信に用いられた通信チャネルとは独立した通信チャネルを介して通信される
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３６】
請求項３５に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記通信チャネルは、インターネットセキュリティプロトコルチャネルを備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３７】
請求項２６に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記ネットワークインタフェースは、前記ネットワークインタフェースに関する通信帯域使用量を監視し、前記監視された通信帯域使用量のファンクションである、前記ネットワークインタフェースに関するデータ通信を減らすためのコントロールロジックを有する
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項３８】
請求項３７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、少なくとも一つのデータ通信帯域しきい値を備える
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項３９】
請求項３８に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記監視される通信帯域使用量が前記少なくとも一つのデータ通信帯域しきい値を超える場合に、独立した管理コンソールに対するアラームメッセージを発行する
ことを特徴とするネットワークデータトラフィックコントロールシステム。
【請求項４０】
請求項３９に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記アラームメッセージに応答する前記管理コンソールによって提供されるコントロール信号のコントロールの下、前記ネットワークインタフェースに関連するデータ通信を減らす
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項４１】
請求項３８に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記コントロールロジックの自律的なコントロールの下、前記ネットワークインタフェースに関連するデータ通信を減らす
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項４２】
請求項３７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、階層的なデータ通信帯域しきい値を備える
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項４３】
請求項４２に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックは、前記監視される通信帯域使用量が前記階層的なデータ通信帯域しきい値の前記最初のデータ通信帯域しきい値を超える場合に、独立した管理コンソールに対するアラームメッセージを発行し、前記コントロールロジックは、前記監視される通信帯域使用量が前記階層的なデータ通信帯域しきい値の前記２番目のデータ通信帯域しきい値を超える場合に、前記ネットワークインタフェースに関連するデータ通信を自律的に減らす
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項４４】
請求項３７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックが、前記ネットワークインタフェースに関連するデータ通信を減らすことは、前記ネットワークインタフェースのインプット／アウトプット機能を不能にすることを含む
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項４５】
請求項３７に記載のネットワークデータトラフィックコントロールシステムにおいて、
前記コントロールロジックが、前記ネットワークインタフェースに関連するデータ通信を減らすことは、前記ネットワークインタフェースの特定のポートを不能にすることを含む
ことを特徴するネットワークデータトラフィックコントロールシステム。
【請求項４６】
ネットワークデータトラフィックをコントロールする方法であって、
ネットワークインタフェースに関する通信帯域使用量を監視し、前記監視は、前記ネットワークインタフェースのコントロールロジックによって行われ、
前記監視された通信帯域使用量のファンクションである、前記ネットワークインタフェースに関するデータ通信を減らす
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項４７】
請求項４６に記載のネットワークデータトラフィックコントロール方法において、更に、
前記コントロールロジックに、前記監視される通信帯域使用量と比較するための、少なくとも一つのデータ通信帯域しきい値を与える
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項４８】
請求項４７に記載のネットワークデータトラフィックコントロール方法において、更に、
前記監視される通信帯域使用量が前記少なくとも一つのデータ通信帯域しきい値を超える場合に、独立した管理コンソールに対してアラームメッセージを発行する
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項４９】
請求項４８に記載のネットワークデータトラフィックコントロール方法において、
前記アラームメッセージに応答する前記管理コンソールによって提供されるコントロール信号のコントロールの下、前記ネットワークインタフェースに関連するデータ通信を減らす
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５０】
請求項４７に記載のネットワークデータトラフィックコントロール方法において、
前記コントロールロジックの自律的なコントロールの下、前記ネットワークインタフェースに関連するデータ通信を減らす
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５１】
請求項４６に記載のネットワークデータトラフィックコントロール方法において、
前記ネットワークインタフェースに関連するデータ通信を減らすことは、前記ネットワークインタフェースのインプット／アウトプット機能を不能にすることを含む
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５２】
請求項４６に記載のネットワークデータトラフィックコントロール方法において、
前記ネットワークインタフェースに関連するデータ通信を減らすことは、前記ネットワークインタフェースの特定のポートを不能にすることを含む
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５３】
請求項４６に記載のネットワークデータトラフィックコントロール方法において、
通信されるデータを予め選択された分類を用いてタグ化し、前記タグ化は、前記ネットワークインタフェースのコントロールロジックによって行われる
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５４】
請求項５３に記載のネットワークデータトラフィックコントロール方法において、
前記データの前記タグ化は、前記データに関するデータパケットのヘッダブロック中に分類フラグを挿入することを含む
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５５】
請求項５３に記載のネットワークデータトラフィックコントロール方法において、更に、
前記分類のための前記データの解析に応答して、データ送信をフィルタリングする
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５６】
ネットワークデータトラフィックをコントロールする方法であって、
ネットワークインタフェースによって通信されるデータを予め選択された分類を用いてタグ化し、前記タグ化は、前記ネットワークインタフェースのコントロールロジックによって行われ、
前記データを前記分類のために解析し、前記解析は、前記ネットワークインタフェースから独立したネットワークノードにおいて行われ、
前記解析に基づいて、前記データのさらなる送信を許容または防止する
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５７】
請求項５６に記載のネットワークデータトラフィックコントロール方法において、
前記ネットワークインタフェースによって通信されるデータの前記タグ化は、同一の前記予め選択された分類を用いて、前記ネットワークインタフェースに関連するホストシステムによって送信される全てのデータをタグ化する
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５８】
請求項５６に記載のネットワークデータトラフィックコントロール方法において、
前記データの前記タグ化は、前記データに関するデータパケットのヘッダブロック中に分類フラグを挿入することを含む
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項５９】
請求項５６に記載のネットワークデータトラフィックコントロール方法において、
前記ネットワークノードは、ネットワークエッジに配置される
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項６０】
請求項５６に記載のネットワークデータトラフィックコントロール方法において、更に、
前記ネットワークインタフェースに関連する通信帯域使用量を監視し、
前記監視された通信帯域使用量のファンクションである、前記ネットワークインタフェースに関するデータ通信を減らす
ことを特徴とするネットワークデータトラフィックコントロール方法。
【請求項６１】
請求項６０に記載のネットワークデータトラフィックコントロール方法において、更に、
前記監視される通信帯域使用量を、少なくとも一つのデータ通信帯域しきい値と比較する
ことを特徴とするネットワークデータトラフィックコントロール方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、データネットワークに関し、特に、ネットワークデータトラフィックのコントロールの提供に関する。
（関連出願）
【０００２】
本出願は、共に継続中であって、譲渡され、その開示されているところがここに参照として組み込まれている、２０００年５月１７日に出願された出願番号０９／５７２，１１２、発明の名称「インテリジェントフィードバックループプロセスコントロールシステム」、及び、２００１年７月６日に出願された出願番号０９／８７５，３１９、発明の名称「データ伝送ネットワークにおけるトラフィックマネジメントコントロールシステム及び方法」の米国特許出願に関連する。
【背景技術】
【０００３】
ネットワークは、多くのソースからの、または多くの原因による望ましくないデータトラフィックを経験する。例えば、ネットワークシステムは、ニムバウィルスやコードレッドウィルスによって攻撃され、ネットワークにおいてデータパケットが氾濫する。そのような攻撃は、ネットワークファイアウォールまたは他の防御手段を通過して、保護されたネットワーク内のシステムに影響を与える。これらの影響を受けたシステムは、そのウィルスや不良コードのコントロールの下、そのネットワーク内から望ましくないデータトラフィックが発出されるようにする。その攻撃は、前述した望ましくないデータトラフィックを介して自己増殖し、従って、そのネットワーク内の多くのまたは全てのシステムに対して段階的に行われる。そのような攻撃は、ネットワークシステムのデータ及びオペレーションにダメージを与えるとともに、利用できる帯域幅の使用に関するパフォーマンスを減退させる。同様に、そのような攻撃は、データをそのネットワーク内からインターネットのような、そのネットワークの外のシステムに対して送信させ、その結果、版権付きデータすなわちプロプライエタリーデータ（ｐｒｏｐｒｉｅｔａｒｙ  ｄａｔａ）または他のデータをばらまく。
【０００４】
加えて、またはそれに代えて、ネットワークシステムまたはユーザがデータ伝送を実行すると、プロプライエタリーや保護されているデータのばらまきといった望ましくないことが起こる。例えば、プロプライエタリー情報を取り出したり見たりするためにアクセスする権限を持っていても、ユーザは、そのような情報を、他者、特にそのネットワークシステムが関するエンティティの外部の者に対してばらまくことは許されていない。しかし、そのユーザは、悪意があってもなくても、そのようなプロプライエタリーデータをそのネットワークシステムを介して、例えばインターネットを経由した外部システムに対して送信する。そのユーザは、そのネットワーク内において許可されたユーザなので、ファイアウォールや他の防御手段は、そのようなデータ伝送を防ぐことができない。
【０００５】
従って、その分野において、内部からネットワークに対して供給される望ましくないデータ通信をフィルタリングそして／または防止するシステム及び方法が必要とされる。
【発明の開示】
【０００６】
（発明の要旨）
本発明は、ネットワークデータトラフィックの特定と解析を、そのネットワーク内のローレベルにおいて行い、その結果、そこから供給される望ましくないデータ通信をフィルタリングそして／または防止するシステム及び方法に向けられている。好ましくは、データパケットの識別そして／または解析が、ネットワーク物理層において行われ、ネットワークユーザとシステムにとって透過的な（ｔｒａｎｓｐａｒｅｎｔ）内部ネットワークデータトラフィックコントロールが行われる。
【０００７】
好適な実施例は、インテリジェントコントロールロジックを持っている、本発明のネットワークインタフェースカード（ＮＩＣ）を利用して、データパケットに、識別そして／または解析するためのタグを付けて、不当なデータパケットのさらなる送信をフィルタリングしたりする。それに加えて、またはそれに代えて、本発明のＮＩＣを用いて、例えば伝送帯域のしきい値を超えたことを認識し、データパケットを送信できなくすることによって、データパケットの通信を防止する。
【０００８】
本発明の好適な実施例による、データパケットの送信不能化は、好ましくは、そのＮＩＣ内のインテリジェンスに提供されるパラメータの実行に基づいている。例えば、ネットワークマネジメントツールは、本発明のＮＩＣに対して、データ伝送帯域のしきい値を提供するのに役立つ。その後、そのＮＩＣは、しきい値と比較されるデータ伝送帯域を監視し、しきい値を超えたときは、そのＮＩＣは、いくつかまたは全てのデータパケットの送信をシャンティングまたは停止する。
【０００９】
データパケットシャンティングまたは送信の中止は、上述したネットワークマネジメントツールによってコントロールされる。例えば、そのＮＩＣは、伝送帯域を監視し、特定のしきい値を超えると、そのネットワークマネジメントツールに対してアラームを送信する。そのネットワークマネジメントツールは、そのＮＩＣに対してコントロール信号を提供して、様々なネットワーク条件を解析してそのようなアクションの適正性を判断した後に、データパケットをシャンティングする。
【００１０】
本発明の好適な実施例によるデータパケットのタグ化は、そのシステム、例えば、そのデータパケットを供給するサーバの分類に基づいている。例えば、特定のサーバは、ＮＩＣに対して分類情報を提供する、上述したネットワークマネジメントツールによって、秘密データを蓄積するものとして分類され、このサーバから発せられた全てのデータパケットは、秘密のものとしてタグ化される。そのようなタグ化は、そのデータに関して望まれる保護レベルに基づいて、公開、プライベート、プロプライエタリーといった任意の数のカテゴリーまたは分類を含む。さらに、そのようなカテゴリーと分類は、ウェブ送信、暗号化送信などといった、そのデータに関して許可された使用またはプロトコルを示している。
【００１１】
好ましくは、データパケットのタグ化は、ネットワーク、そのシステムとユーザ、そして、そのデータが活用される他のシステムに対して透過的な技術を用いて実現される。例えば、通常はルーチンデータ伝送においては用いられないインターネットプロトコル（ＩＰ）データパケットヘッダ部といった、データパケットヘッダ部が、本発明によって、データパケットをタグ化するためのフラグとして活用される。
【００１２】
本発明の好適な実施例は、データパケットフラッドイベントが起きた場合においても、ネットワークマネジメントツールとＮＩＣとの間の通信を実行するために、本発明のＮＩＣの一般的な通信機能に関連するチャネルとは異なる通信チャネルを活用する。例えば、本発明の実施例は、データコネクションの利用を保証するために、最低サービス品質（ＱＯＳ）を持つ通信チャネルを活用する。本発明の好適な実施例は、インターネットセキュリティプロトコル（ＩＰＳＥＣ）通信用のセパレートチャネルを提供するインターネットプロトコルバージョン６（Ｉｐｖ６）を活用する。
【００１３】
本発明の技術的利点は、ネットワーク内から発せられる望ましくないデータ通信をフィルタリングそして／または防止するシステム及び方法が提供されることである。
【００１４】
以上は、以下の本発明の詳細な記述がより理解されるように、本発明の特徴と技術的利点の大まかな概略を述べたものである。発明の更なる特徴と利点は、その発明のクレームの主題を形成するものとして以下に記述される。開示される思想と特定の実施例は、修正、そして、本発明と同一の目的を達成するための他の構成を設計するための基礎として、当業者にとってすぐに役立つ。当業者によって、そのような同等の構成は添付されたクレームを逸脱するものではないことは理解されるであろう。本発明の特徴とされる、その構成および操作方法双方の明白な特徴は、さらなる目的と利点とともに、添付された図面が考慮された時に以下の記述から容易に理解されるであろう。しかし、その各図は、表示と説明のためのみのものであり、本発明の限界を定めるものではないことが明確に理解されるべきである。
【発明を実施するための最良の形態】
【００１５】
図１を見ると、本発明の実施例に従って用いられるシステム１００が示される。システム１００は、ローカルエリアネットワーク（ＬＡＮ）リンク、メトロポリタンエリアネットワーク（ＭＡＮ）リンク、ワイドエリアネットワーク（ＷＡＮ）インク、公衆交換電話ネットワーク（ＰＳＴＮ）リンク、無線リンクなどといったネットワークリンクを介した情報通信のために、互いに接続しているネットワークシステム１２０−１５０を含む。示される実施例におけるネットワークの接続性は、ネットワークシステム１２０−１５０のネットワークインタフェースカード１２１−１５１によってそれぞれ提供される。ネットワークシステム１２０−１５０は、ネットワークメールサービス（ネットワークシステム１２０のメールサーバ１２２）を提供し、管理し、また、ネットワークデータベースサービス（ネットワークシステム１３０のデータベースサーバ１３２）を提供し、管理し、そして、ワードプロセッシング、データベース、電子メールクライアント、ネットワークブラウザ（全て図示せず）等といった様々なユーザアプリケーションプログラムを備えるユーザ端末（ネットワークシステム１４０と１５０）を提供するための、様々なユーザ／ネットワーク機能を提供する。
【００１６】
ネットワークシステム１２０−１５０、ルーター１０４、そして、ファイアウォール１０３は、そのようなシステムが特定のエンティティのために連携し、または操作される、「内部」ネットワークを構成する。図１に示すように、ネットワークシステム１２０−１５０は、例えばインターネットを構成する外部ネットワーク１０１に対して、ルーター１０２及び１０４を介して接続される。ファイアウォール１０３は、ネットワークシステム１２０−１５０と外部ネットワーク１０１との間に配置され、その分野においてよく知られているように、ある程度のデータ保護を提供する。しかし、ファイアウォール１０３は、主に予防のためのものであり、外部ネットワーク１０１のシステムから内部ネットワークシステムへの許可されていない通過を防止するのに役立つ。示される実施例では、単一のファイアウォールしか示されていないが、多くのそのようなデバイスが活用される。例えば、１または複数のネットワークシステム１２０−１５０が、インターネット等の公衆ネットワークリンクを活用するようなＷＡＮリンクを用いて、相互に接続されている場合、多数のファイアウォールがここで定義される各内部ネットワーク部を保護するために提供される。
【００１７】
ファイアウォール１０３によって提供される保護を補強するのが、ネットワークエッジデバイスとして配置され、外部ネットワーク１０１のシステムからのフラッド、スプーフィングなどといった、ネットワークシステム１２０−１５０への攻撃を認識し、防止し得る、検知／通知サーバ１１０である。検知／通知サーバ１１０のそのような機能の詳細は、上で述べた「インテリジェントフィードバックループプロセスコントロールシステム」、及び、「データ伝送ネットワークにおけるトラフィックマネジメントコントロールシステム及び方法」の特許出願において提供される。
【００１８】
上述したファイアウォール１０３と同様に、本発明の実施例は、望まれる場合には複数の検知／通知サーバを用いる。例えば、ネットワークトポロジ、外部ネットワークが内部ネットワークのシステムと接続されているポイント数、外部ネットワークポート数、ネットワークトラフィック量などに基づいて、多くの検知／通知サーバが実装される。
【００１９】
それに加えて、またはそれに代えて、検知／通知サーバ１１０は、好ましくは、本発明によって、内部ネットワークデータトラフィックコントロールを提供するために適用される。さらに、１または複数のＮＩＣ１２１−１５１といったＮＩＣは、好ましくは、本発明によって、内部ネットワークデータトラフィックコントロールを提供するために適用される。ユーザの端末ネットワークシステム１５０上で動作し得るように示されるマネージャアプリケーション１５２は、好ましくは、本発明の検知／通知サーバ１１０そして／またはＮＩＣに関するマネジメントコンソールを提供する。従って、検知／通知サーバ１１０そして／または１または複数のＮＩＣ１２１−１５１の起動、監視、そして／またはコントロールが、内部ネットワークデータトラフィックコントロールを実行するために、マネージャアプリケーション１５２によってなされる。
【００２０】
好ましくは、本発明の機能を実行するための、マネージャアプリケーション１５２、検知／通知サーバ１１０そして／またはＮＩＣ１２１−１５１間のデータ通信は、そのネットワークデータを運ぶために用いられたチャネルとは分離したチャネルを用いて提供される。本発明による、マネージャアプリケーション１５２、検知／通知サーバ１１０、そして／またはＮＩＣ１２１−１５１間のデータ通信は、インターネットプロトコルバージョン６（ＩＰｖ６）のインターネットセキュリティプロトコル（ＩＰＳＥＣ）を用いて提供される。従って、マネージャアプリケーション１５２、検知／通知サーバ１１０、そして／またはＮＩＣ１２１−１５１間のデータ通信は、キーレジストレーションスキームと符号化アルゴリズムを用いて提供される。ＩＰｖ６において提供されるように、ＩＰＳＥＣは、データ通信の残りと同一の伝送メディアを用いたとしても、少なくとも最低限のサービス品質（ＱＯＳ）を持つ通信チャネルを提供する。従って、データ通信チャネルが、フラッド攻撃、またはチャネル帯域が物理的に全て使用されることとなる他の条件の結果によって、ブロックされる場合でさえ、マネージャアプリケーション１５２、検知／通知サーバ１１０、そして／またはＮＩＣ１２１−１５１間のデータ通信が可能となる。
【００２１】
本発明による内部ネットワークデータトラフィックコントロールの提供において、本発明の好適な実施例のＮＩＣは、インテリジェントコントロールロジックを含む。例えば、本発明のＮＩＣは、正当なデータパケットのさらなる伝送をフィルタリングするためといった、識別そして／または解析のためにデータパケットをタグ化するためのインテリジェントコントロールロジックを備える。それに加えて、またはそれに代えて、本発明のＮＩＣは、例えば、伝送帯域のしきい値が超えられていることを認識し、データパケットを送信できなくすることによって、データパケットの通信を防止するためのインテリジェントコントロールロジックを備える。
【００２２】
図２を見ると、ＮＩＣ１２１及びマネージャアプリケーション１５２の好適な実施例に関する詳細が示される。図２のＮＩＣ１２１は、本発明のインテリジェントコントロールロジックを備えるように示される。特に、帯域スロットルしきい値２１０、マネージャエンコーダ／ＩＰＳＥＣ２３０、そしてクラスフラグ２４０を備える、本発明のインテリジェントコントロールロジックが、インタフェース２０１及びインプット／アウトプット２２０を備える従来のＮＩＣ１２１の機能に組み込まれている。マネージャエンコーダ／ＩＰＳＥＣ２３０は、好ましくは、ＮＩＣ１２１とマネージャアプリケーション１５２との間の転送及び通信メカニズムを提供する。帯域スロットルしきい値２１０は、好ましくは、ＮＩＣ１２１によって伝送帯域の使用を監視し、そして／またはコントロールするために、マネージャアプリケーション１５２によって設定される。クラスフラグ２４０は、好ましくは、ＮＩＣ１２１によって送信されるデータパケットのタグ化に用いるために、マネージャアプリケーション１５２によって設定される。示される実施例のインタフェース２０１は、無線インタフェース、有線インタフェース、そして／または光インタフェースといったネットワークメディアに対する物理的な接続を提供する。アウトプット／インプット２２０は、物理的なネットワークを介した通信をするための、オープンシステムインターコネクト（ＯＳＩ）ネットワーク層を通じたデータ操作を提供する。
【００２３】
マネージャアプリケーション１５２は、好ましくは、本発明のＮＩＣの、起動、監視、そして／またはコントロールするためのインテリジェントコントロールロジックを協働させるために適用される。従って、示される実施例のマネージャアプリケーション１５２は、ＩＰＳＥＣプロトコル及び対応するＮＩＣ１２１のマネージャエンコーダ／ＩＰＳＥＣ２３０を用いて、ＮＩＣ１２１とのデータ通信を行うための、マネージャエンコーダ／レジストレーションキー２５０を備える。加えて、示される実施例のマネージャアプリケーション１５２は、ＮＩＣ１２１に、例えば、クラスフラグ２４０と帯域スロットルしきい値２１０をそれぞれ用いて、データパケットの識別そして／または解析を目的としたタグ化を行うための情報そして／またはコントロール、及び、データパケットを通信させないようにするための情報そして／またはコントロールを提供するために、クラスデータ２６０としきい値データ２７０を備える。
【００２４】
好ましくは、ＮＩＣ１２１そして／またはマネージャアプリケーション１５２は、ＮＩＣ１２１がネットワークにおいて最初に展開し、そして／または様々なリセット条件が成立した場合に、その間の通信を認識し、開始するように構成されている。従って、ＩＰＳＥＣチャネルが確立され、様々なオペレーティング指示そして／またはパラメータがＮＩＣ１２１とマネージャアプリケーション１５２との間で通信され、発明によるオペレーションが実質的に「プラグアンドプレイ」な技術の中で実現されるようにする。
【００２５】
本発明の好適な実施例によれば、内部データ通信が監視されて、通信帯域の過剰使用、そして、関連する通信妨害、ネットワークパフォーマンス悪化、不必要なネットワークシステム処理などが緩和または防止される。そのような通信帯域の過剰使用は、ファイアウォール１０３（図１）を通過するウィルスに関連しており、１または複数のネットワークシステム１２０−１５０に大量のデータパケットを送信させる。その問題は、ウィルスが最初は少数のネットワークシステム１２０−１５０だけが感染しており、残りは未チェックである場合、全てのネットワークシステム１２０−１５０が感染し、各々に大量のデータパケットを送信させるように自己伝搬するウィルスによって悪化する。さらに、そのような通信帯域の過剰使用は、そのネットワークシステムの許可されたユーザが意識せずにまたは偶然にネットワークパフォーマンスに重大な影響を与え得るデータパケットの送信を開始してしまうというように、より良性の原因に関連している。本発明の好適な実施例は、上述した原因を含む複数の原因によって引き起こされる、内部ネットワーク内の帯域の過剰使用を検知するために適用される。
【００２６】
好ましくは、本発明は、様々なネットワークシステムに関する帯域しきい値を実現する操作を行い、しきい値が超えられた場合にデータ伝送をできなくしたりまたは抑制したりする。示される実施例による、データパケットの伝送不能化または抑制は、ＮＩＣ１２１内の帯域スロットルしきい値２１０に提供されるオペレーティングパラメータに基づいている。例えば、マネージャアプリケーション１５２は、しきい値データ２７０によって設定され、そして／または蓄積されるようなデータ伝送帯域しきい値を、マネージャエンコーダ／レジストレーションキー２５０とマネージャエンコーダ／ＩＰＳＥＣ２３０とを用いるＩＰＳＥＣチャネルを介して、ＮＩＣ１２１に対して提供する。
【００２７】
本発明のデータ伝送帯域しきい値は、多くの方法で設定され、様々なメトリクスを含んでいる。例えば、データ伝送帯域しきい値は、許容される瞬間帯域のシーリングまたは最大値、または許容される時平均帯域使用量に設定される。データ伝送帯域しきい値は、各ＮＩＣ、そのＮＩＣ上で動作する各ポート（例えば、ＷＥＢ、ＦＴＰ、ポート８０など）、ネットワークシステムの各タイプなどについて独立に設定される。例えば、データ伝送帯域しきい値は、特定のサービスを提供しているネットワークシステムについて、そのようなサービスを実行する上で通常用いられる予想帯域量に基づいて設定される。それに加えて、またはそれに代えて、データ伝送帯域のしきい値は、ネットワーク構成、望まれるパフォーマンス基準、ＱＯＳメトリクス、企業のオペレーションに対する特定のネットワークシステムのクリティカリティ、特定のネットワークシステムに関する信頼レベルまたはセキュリティレベルなどに基づいて設定される。好適な実施例によれば、データ伝送帯域しきい値は、マネージャアプリケーション１５２のしきい値データ２７０のオペレーションなどによって、経験的に設定され、ネットワークの構成とその活用パターンを考慮した、望ましいレベルのオペレーションを提供する。
【００２８】
最初に展開する時は、ＮＩＣ１２１は、帯域スロットルしきい値２１０について設定されるデータ伝送帯域しきい値を持っていない。従って、ＮＩＣ１２１は、最初は、データ伝送帯域しきい値を実装することなく動作する。その代わりに、ＮＩＣ１２１は、例えば上述したプラグアンドプレイ技術を用いて、「デフォルト」の値の伝送帯域しきい値を与えられる。その後、ＮＩＣ１２１とマネージャアプリケーション１５２は、協働して、ＮＩＣ１２１、ネットワークシステム１２０、そして／または他のネットワークシステムに関するデータを収集し、ＮＩＣ１２１について設定される、望ましいデータ伝送帯域しきい値を経験的に決定する。例えば、ＮＩＣ１２１のオペレーションは、ある期間、例えば１日、１週間、１月の間、監視され、ネットワークシステム１２０に関するネットワークオペレーションのベースラインが経験的に決定される。この情報は、マネージャアプリケーション１５２そして／またはそのオペレータに用いられて、本発明によるＮＩＣ１２１によって用いられるデータ伝送帯域しきい値が設定される。もちろん、上述したデフォルトのそして経験的に決定されるデータ伝送帯域しきい値に加えて、またはそれに代えて、データ伝送帯域しきい値は、システムアドミニストレータによってマニュアルで設定されることを含む、任意の数の方法で提供される。
【００２９】
データ伝送帯域しきい値は、マニュアルで選択されたものであれ、デフォルト値であれ、または経験的に決定されたものであれ、好ましくは、上述したＩＰＳＥＣチャネルを用いてマネージャアプリケーション１５２によって入力される。もちろん、ＮＩＣ１２１は、望ましくは、例えば製造時点といった最初から、データ伝送帯域しきい値を持ち、マネージャアプリケーション１５２と通信することなくオペレーションを行うように構成され得る。しかし、好適な実施例のオペレーションは、以下に説明するように、ＮＩＣ１２１とマネージャアプリケーション１５２とが協働してデータ伝送帯域しきい値を設定し、そして／またはデータパケットの通信がされないようにコントロールすることを利用し、上述したデータプッシュ技術を利用する。
【００３０】
示される実施例によれば、伝送帯域しきい値は、ＮＩＣ１２１の帯域スロットルしきい値２１０に提供される。好適な実施例の帯域スロットルしきい値２１０は、ＮＩＣ１２１の様々なポートの帯域使用量を監視して、その使用量情報を適当なデータ帯域しきい値の一つと比較する。アラーム及び他の様々なレベルのアクションが、その帯域使用量と伝送帯域しきい値との比較結果に基づいてとられる。例えば、帯域スロットルしきい値２１０は、シンプルネットワークマネジメントプロトコル（ＳＮＭＰ）、または他のメッセージプロトコルを用いて、データ伝送帯域しきい値が超えられたことをイベントとして、マネージャアプリケーション１５２に対してアラームメッセージを通信する。それに加えて、またはそれに代えて、帯域スロットルしきい値２１０は、その帯域使用量と伝送帯域しきい値との比較結果に基づいて、例えばＮＩＣ１２１を割り込み禁止状態にし、さもなくばデータパケット伝送を停止する修正アクションをとる。好適な実施例によれば、アラームメッセージが、上述したＩＰＳＥＣチャネルを用いて、ＮＩＣ１２１からマネージャアプリケーション１５２に対して通信されて帯域使用量コンディションが遅延しないことを保証し、または、そのアラームがマネージャアプリケーション１５２へ通信されないようにする。
【００３１】
マネージャアプリケーション１５２は、自律的にアラーム条件を解析し、例えばＮＩＣ１２１をコントロールして特定のポートを使えなくするか、さもなくば、データパケット伝送を中止するためのアクションを指示する。それに加えて、またはそれに代えて、マネージャアプリケーション１５２は、ネットワークシステム１５０のディスプレイを用いて、そして／またはメッセージングの（例えば電子メール通信、ページャー通知、電話メッセージングなどを介した）送出を開始して、アラーム条件情報をシステムアドミニストレーターに対して提供する。従って、システムアドミニストレーターは、その状況を知らされ、例えば、他のネットワークシステム環境への影響を考慮し、その環境のソースを調査してその拡大を防止し、ＮＩＣ１２１をコントロールして特定のポートを使えなくし、またはデータパケット伝送を中止し、特定のユーザのそのコンディションにアドレスする権限を変更するなどといった、適切なアクションをとる。
【００３２】
好ましくは、本発明のデータ伝送帯域しきい値は、上述のアラームメッセージングと修正アクションを容易にするために、階層的な配置をとる。例えば、ＮＩＣ１２１のポートは、それぞれ、そこに関連する複数のデータ伝送帯域しきい値を持つ。そのような各ポートの最も低い伝送帯域しきい値が、ある関連するポートに関する帯域使用量の増加をシステムアドミニストレーターに通知するためのアラームメッセージング用に、システムアドミニストレーターに提供される。この最も低いデータ伝送帯域しきい値は、主に通知を目的とするため、そのアラームメッセージは、ネットワークシステム１５０においてシステムアドミニストレーターが見るために表示されるだけである。各ポートの次に低いデータ伝送帯域しきい値は、差し迫ったパフォーマンスの悪化を示すためのアラームメッセージを提供する。この次に低いデータ伝送帯域しきい値は、より緊急であるため、そのアラームメッセージは、１または複数のシステムアドミニストレーターに関連するメッセージ通知の送出を引き起こす。各ポートの最も高いデータ伝送帯域しきい値は、関連するポートの自律的な不活性化、またはデータ伝送を中止する他の手段を提供する。例えば、帯域スロットルしきい値２１０は、この最も高いしきい値が超えられたと判断し、ＮＩＣ１２１の関連するポートを使用できなくし、好ましくは、マネージャアプリケーション１５２に対してアラームメッセージを提供して、システムアドミニストレーターにその状況を通知する。その代わりとして、帯域スロットルしきい値２１０は、この最も高いしきい値が超えられたと判断して、マネージャアプリケーション１５２に対して緊急のアラームメッセージを提供して、とられるべき修正アクションに関するさらなる指示を待つ場合もある。
【００３３】
好ましくは、帯域スロットルしきい値２１０は、マネージャアプリケーション１５２に対してアラームメッセージングを提供し、多くの理由による修正アクションの指示を待つ。マネージャアプリケーション１５２は、複数のネットワークシステムとの通信を通じて、そのネットワークのオペレーションへの影響を最小化するよう計算された適切な修正コースを決定する。例えば、マネージャアプリケーション１５２は、そのデータパケットのソース、そのデータパケットの宛先、そして／またはそのデータパケットの内容を解析して、特定のしきい値が超えられたとしても、そのデータ伝送が継続されるべきであると判断する。同様に、マネージャアプリケーション１５２は、他のネットワークシステムに関するデータ通信を解析して、特定のしきい値が超えられたとしても、ネットワークパフォーマンスへの現在の影響が無視し得るのでそのデータ伝送は継続されるべきであると判断する。マネージャアプリケーション１５０は、また、ルーターやサーバのような他のネットワークシステムに対してコントロール信号を送信して、ある特定のアラームコンディションに照らしてネットワークオペレーションを再構築する。さらに、好ましくは、ＮＩＣ１２１の帯域スロットルしきい値２１０について実装されるコントロールロジックを簡潔化するためには、適切な修正アクションを決定するためにマネージャアプリケーション１５２に対してアラームメッセージングが提供されることが望ましい。
【００３４】
ＮＩＣ１２１、そして／またはその特定のポートによるデータ伝送を不能にしたり可能にしたりすることは、本発明による多くの方法で実現される。例えば、帯域スロットルしきい値２１０そして／またはマネージャアプリケーション１５２は、インプット／アウトプット２２０に対してコントロール信号を提供して、そのインプット／アウトプット機能を停止させる。そのようなインプット／アウトプット機能は、例えば、超えられたしきい値、そのしきい値に関連するポート、超えられたしきい値に関連するネットワークシステムの機能性などに基づいて、予め決められた時間中止される。その代わりに、インプット／アウトプット機能は、適切な帯域スロットルしきい値２１０そして／またはマネージャアプリケーション１５２から再開コントロール信号が提供されるか、またはＮＩＣ１２１そして／またはネットワークシステム１２０の再開といった、特定のイベントが生じるまで中止される。
【００３５】
帯域スロットルしきい値２１０が帯域使用量をデータ伝送帯域しきい値と比較してアラームメッセージを通信することについて上述したが、好ましくは、帯域スロットルしきい値２１０がＮＩＣ１２１による帯域使用量を監視することによる、別のメッセージングがなされることが望ましい。例えば、帯域スロットルしきい値２１０は、マネージャアプリケーション１５２に履歴データをコンパイルさせ、しきい値または他のオペレーショナルパラメータを設定／調整させ、ネットワーク使用量をマッピングさせるために、帯域使用量に関する情報を定期的にマネージャアプリケーション１５２に対して提供する。同様に、帯域スロットルしきい値２１０は、データ伝送帯域しきい値が関連するポートが使用できなくなったことによってもはや超えられなくなったとしても、マネージャアプリケーション１５２がいつポートが使用可能にするかを判断するために、特定のポートが不能になった後も、ネットワークシステム１２０によってインプット／アウトプット２２０に対して提供されるデータに関する情報を提供し続ける。例えば、マネージャアプリケーション１５２は、特定のデータ伝送帯域しきい値はもはや超えられないと判断し、従って、ＮＩＣ１２１に対してその影響を受けたポートを再び使用可能にするためのコントロール信号を提供する。
【００３６】
ＩＰｖ６によれば、ＩＰＳＥＣは、見えないプロトコルであり、従って、その関連するポートは、ＮＩＣ１２１内において見えないのは、好ましいことである。従って、ＮＩＣ１２１をコントロールして、そのいくつかまたは全てのポートを使用できなくすることは、ＩＰＳＥＣ通信の不能をもたらさず、例えばＷＥＢ、ＦＴＰ、ポート８０といった知られたＩＰプロトコルのみが不能となる。また、これらのポートのいくつかまたは全てが、上述したＩＰＳＥＣチャネルを介して通信されたコントロール信号を用いて、再び使用可能となる。
【００３７】
本発明の好適な実施例によれば、内部データ通信は、望ましくないデータ通信、そして、知的財産の喪失、重要なデータのばらまき、そして／または他の許可されていないデータ通信を緩和または中止するために監視される。そのような許可されていないデータ通信は、ファイアウォール１０３（図１）を通過し、ネットワークシステム１２０−１５０の一つをして、その蓄積しているデータを外部システムに対して伝送させる、ウィルスまたは他の不良コードに関連している。さらに、そのような許可されていないデータ通信は、データにアクセスし、内部からそのデータを外部システムに対して送信することを許されている、ネットワークシステムのユーザといった、許可されたユーザに関連している。本発明の好適な実施例は、許可されていないデータ伝送を遮断するための、システムに関連する信頼できるレベルを設定するために適用される。
【００３８】
好ましくは、本発明は、ネットワークシステムによって送信されるデータパケットをタグ化し、システムを、ある地点においてそのようなタグ化されたデータパケットを解析し、それらが外部システムに通信される前にデータパケットを解析して遮断するように配置する。例えば、検知／通知サーバ１１０（図１）は、エッジルーター１０２の上に配置され、本発明のマネージャアプリケーション１５２とＮＩＣと協働して、外部ネットワーク１０１を介して特定のデータパケットが送信される前に、特定のデータパケットを解析し、遮断する。もちろん、検知／通知サーバ１１０は、好ましくは、そのネットワーク中のどこにでも配置できる。しかし、好適な実施例では、検知／通知サーバ１１０は、示されるように、少なくとも部分的には上述した外部攻撃機能を実装し得るように、ネットワークエッジデバイスとして配置される。
【００３９】
本発明の好適な実施例によるデータパケットのタグ化は、例えばそのデータパケットを発出するネットワークシステム１２０といったシステムの分類に基づいている。図２を再び見ると、特定のネットワークシステムは、例えばマネージャアプリケーション１５２がクラスデータ２６０からＮＩＣ１２１のクラスフラグ２４０に対して分類情報を提供することなどによって、そこに関する特定のデータタイプを持つものとして分類される。その後、このネットワークシステムから出た全てのデータパケットは、特定の分類を用いてタグ化される。そのようなタグ化は、そのデータについて望まれる保護レベルに基づいて、パブリック、プライベート、プロプライエタリーといった、任意の数のカテゴリーまたは分類を包含する。さらに、上では、同じカテゴリーの特定のネットワークから出た全てのデータをタグ化することについて述べたが、本発明の実施例は、カテゴリーまたは分類を、ウェブ送信、暗号化送信などといった、そのデータに関して許可された使用またはプロトコルを示すために用いる。同様に、特定のポートから出たデータパケットは、好ましくは、本発明による様々なカテゴリーを用いてタグ化される。
【００４０】
最初に展開された時には、ＮＩＣ１２１は、クラスフラグ２４０について設定された分類フラグを持っていない。従って、ＮＩＣ１２１は、最初は、データパケットがタグ化されない状態で動作する。その代わりに、ＮＩＣ１２１は、データパケットのタグ化に用いる「デフォルト」値の分類フラグを与えられる場合がある。そのようなデフォルトの分類フラグそして／またはデータパケットからの分類タグ情報の省略の結果、好ましくは、そのような特定のデータパケットが外部システムに対して送信されないようにするという結果をもたらす。
【００４１】
ＮＩＣ１２１及びマネージャアプリケーション１５２は、協働して、データパケットのタグ化に連続的に用いられる望ましいまたは適切な分類フラグを提供する。例えば、上述したプラグアンドプレイ技術を用いて、適切な分類フラグがＮＩＣ１２１に提供されて、クラスフラグ２４０中に格納される。その分類フラグは、そのネットワークシステムによって提供される機能、そのネットワークシステム上に蓄積されるデータのタイプ、そのネットワークシステムの使用を許されているユーザのタイプ、システムアドミニストレーターによる入力などに基づいて設定される。
【００４２】
分類フラグは、好ましくは、マネージャアプリケーション１５２によって、上述したＩＰＳＥＣチャネルを用いて、ＮＩＣ１２１にプッシュされる。もちろん、ＮＩＣ１２１は、好ましくは、例えば製造時点といった最初から、マネージャアプリケーション１５２と通信することなくオペレーションを実行できるようにするための分類フラグを持つように構成される。しかし、好適な実施例のオペレーションは、以下に説明するように、ＮＩＣ１２１とマネージャアプリケーション１５２とが協働してデータ伝送帯域しきい値を設定し、そして／またはデータパケットの通信がされないようにコントロールすることを利用し、そして、上述したデータプッシュ技術を利用する。
【００４３】
示される実施例によれば、分類フラグがＮＩＣ１２１のクラスフラグ２４０に対して提供される。好適な実施例のクラスフラグ２４０は、インプット／アウトプット２２０と協働して、ＮＩＣ１２１によって送信されるデータパケットを適切な分類を用いてタグ化する。好ましくは、データパケットのタグ化は、そのネットワーク、そのシステムとユーザ、そして、そのデータが活用される他のシステムにとって透過的である技術を用いて実現される。例えば、そのデータパケットは、典型的には、上述したＯＳＩモデルの７層を通過することによって形成され、そして、ヘッダ部とデータペイロード部とを備えていることが多い。通常はルーチンデータ伝送においては用いられない、インターネットプロトコル（ＩＰ）データパケットヘッダ部といったデータパケットヘッダ部が、本発明によって、データパケットのタグ化のために用いられる。データパケットはインプット／アウトプット２２０によって形成されるので、クラスフラグ２４０によって示される望ましい分類フラグは、そのパケットのヘッダ内に単一ビットまたは比較的少数のビットとして挿入される。
【００４４】
図３を参照すると、本発明の好適な実施例による、データ発出防止を行う検知／通知サーバ１１０の詳細が示される。特に、検知／通知サーバ１１０は、好ましくは、外部システムに対する／からの通信を許されそして／または許されていない特定のデータパケットを特定し、遮断するのに用いられる、発出フィルタ３０１とトラストテーブル３０２とを備える。発出フィルタ３０１そして／またはトラストテーブル３０２は、マネージャアプリケーション１５２を用いて開始され、そして／または維持される。例えば、マネージャアプリケーション１５２は、発出フィルタとトラストテーブルの構成と、システムアドミニストレーターが検知／通知サーバ１１０のこれらの機能をコントロールし、維持するための管理機能とを備える。
【００４５】
好適な実施例の発出フィルタ３０１は、データパケットを解析し、その解析に従ってそのデータパケットを処理するためのロジックを備える。例えば、発出フィルタ３０１は、各データパケットについてのヘッダ情報を解析して、上述した本発明の好適な実施例によって、そこに挿入されている分類フラグを判断する。発出フィルタ３０１は、上述した分類フラグに追加する、または代替的な情報を活用する。例えば、発出フィルタ３０１は、特定のネットワークシステムがデータを送信していたり、そして／または特定のネットワークシステムが送信されたデータを受信しようとしていることを、媒体アクセスコントロール（ＭＡＣ）アドレス情報などから判断する。それに加えて、または、それに代えて、発出フィルタ３０１は、そのデータを送信する特定のポートから送信されるデータの特定のタイプ、そのデータのフォーマットの特定のタイプ、そして／またはそのデータを送信する際に用いられるプロトコルの特定のタイプを決定する。そのような情報は、発出フィルタ３０１が特定のデータパケットが外部への送信に向けられるべきかを決定するのに用いられる。例えば、シンプルメール転送プロトコル（ＳＭＴＰ）サーバに関するデータパケットは、ＳＭＴＰサーバの使用に関する問題に起因して検知／通知サーバ１１０によってブロックされる。同様に、特定のサーバのＷＥＢポート以外の全てのポートに関するデータパケットは、検知／通知サーバ１１０によってブロックされる。
【００４６】
好適な実施例のトラストテーブル３０２は、トラストされたソースそして／またはデータタイプに関する情報を備えている。例えば、トラストテーブル３０２は、外部システムに対する送信を遮断し、そして／または外部システムへの送信に向かわせるための、本発明の特定の分類フラグに関する情報を備えている。そのような情報は、特定の分類フラグのみならず、外部システムに対する遮断そして／または送信を行うための、任意のまたは全てのそのような分類フラグ用の、データ、ポート、ネットワークシステムの特定のタイプを含む。従って、好適な実施例のトラストテーブル３０２と発出フィルタ３０１は、協働して、外部システムへの送信が許されていないデータパケットの中止または他の遮断を行う。
【００４７】
好適な実施例によるオペレーションにおいては、ネットワークシステム１２０のＮＩＣ１２１は、クラスフラグ２４０中に格納された「パブリック」分類に関する分類フラグを与えられる。その後、ユーザがデータをネットワークシステム１２０から外部ネットワーク１０１に接続されているような外部システムに向けて送信されるようにする場合、「パブリック」フラグを用いてタグ化された関連するデータパケットがルーター１０４、ファイアウォール１０３、そして、ルーター１０２に通常通り渡される。しかし、そのデータパケットは、外部ネットワーク１０１を介した送信の前に検知／通知サーバ１１０に到着する。好ましくは、発出フィルタ３０１は、トラストテーブル３０２からの情報を用いて、そのデータパケットを解析し、そのデータパケットは「パブリック」に配信することが許されていると判断し、そして、そのデータパケットを外部ネットワーク１０１を介して継続させる。
【００４８】
一方、好適な実施例によるオペレーションにおいては、ネットワークシステム１３０のＮＩＣ１３１は、そこに関する示されていないクラスフラグのロジック中に格納されている「秘密」分類についての分類フラグを与えられる。その後、ユーザがデータをネットワークシステム１３０から外部ネットワーク１０１に接続されているような外部システムに向けて送信されるようにする場合、「秘密」フラグを用いてタグ化された関連するデータパケットが、ルーター１０４、ファイアウォール１０３、そして、ルーター１０２に通常通り渡される。しかし、そのデータパケットは、外部ネットワーク１０１を介した送信の前に検知／通知サーバ１１０に到着する。好ましくは、発出フィルタ３０１は、トラストテーブル３０２からの情報を用いて、そのデータパケットを解析し、そのデータパケットは「パブリック」に配信することが許されてないと判断し、そして、そのデータパケットの送信を中止して、これらのデータパケットが外部ネットワーク１０１上に置かれないようにする。
【００４９】
好ましくは、検知／通知サーバ１１０は、明確に送信が許されたデータパケット以外の全てのデータパケットについて、データが外部システムに対して送信されないように動作する。ネットワークシステム１４０のＮＩＣ１４１は、例えば、本発明によっては用いられないか、最初は本発明の分類フラグを持たないものとして開始される。従って、ユーザがデータをネットワークシステム１４０から外部ネットワーク１０１に接続されているような外部システムに向けて送信されるようにする場合、関連するタグ化されていないデータパケットが、ルーター１０４、ファイアウォール１０３、そして、ルーター１０２に通常通り渡される。しかし、そのデータパケットは、外部ネットワーク１０１を介した送信の前に検知／通知サーバ１１０に到着する。好ましくは、発出フィルタ３０１は、トラストテーブル３０２からの情報を用いて、そのデータパケットを解析し、そのデータパケットは本発明に従ってタグ化されていないので、「パブリック」に配信することが許されてないと判断し、そして、そのデータパケットの送信を中止して、これらのデータパケットが外部ネットワーク１０１上に置かれないようにする。そのような実施例は、外部通信が許されているネットワークシステムに関して展開された本発明に従って適用されるＮＩＣを用いたデータ伝送の防止をもたらす。もちろん、本発明の実施例は、好ましくは、本発明に従って構成されるＮＩＣを持つそのようなネットワークシステムについての外部へのデータ伝送を防止するために適用され得る。
【００５０】
本発明に従う分類フラグの設定を用いると、外部送信が許されている／許されていないデータを特定するのに役立つ。例えば、上述したＭＡＣアドレス情報が一意にＮＩＣ、そしてそれが接続されたネットワークシステムを特定するとしても、そのネットワークライフにおける様々なポイントにおいて、そのようなＮＩＣはそのネットワーク内で交換を必要としそして／または再配置を必要とする。従って、本発明のコントロールロジックなしにＮＩＣを用いて、ＭＡＣアドレス情報などの、その一意の情報に頼るならば、時間を消費し、そして、ＭＡＣテーブルの冗長な管理を必要とする。しかし、本発明の分類フラグは、好ましくは、マネージャアプリケーション１５２、そして／またはそのシステムアドミニストレーターによって設定され、そのネットワークシステムそして／またはそこに関するデータパケットの信頼レベルを示す。さらに、好適な実施例は、本発明のコントロールロジックのプラグアンドプレイ構成をもたらし、さらに好適な実施例のトラストテーブル３０２のメンテナンスを簡潔化する。
【００５１】
図４を見ると、本発明の好適な実施例によるオペレーションについてのフロー図が示される。ステップ４０１において、マネージャアプリケーション１５２そして／または検知／通知サーバ１１０は、本発明のＮＩＣを認識し、そのＮＩＣとその関連するネットワークシステムを登録する。ステップ４０２において、認識されたＮＩＣは有効な／望ましいコントロールロジックを備えるかが判断される。望ましいコントロールロジックがそのＮＩＣ上にないなら、ステップ４０３において、例えばマネージャアプリケーション１５２から望ましいコントロールロジックをそのＮＩＣに対してプッシュし、ステップ４０２の処理に戻る。しかし、望ましいコントロールロジックがそのＮＩＣ上にある場合は、ステップ４０４の処理に進む。好ましくは、ステップ４０１から４０３は、上述したプラグアンドプレイ開始技術の一部として実装されている。
【００５２】
ステップ４０４において、本発明の分類フラグとデータ伝送帯域しきい値が設定される。分類フラグそして／またはデータ伝送帯域しきい値は、例えば、システムアドミニストレーターが適切な値をマネージャアプリケーション１５２に入力することによって、または、マネージャアプリケーション１５２が、そこに関連するデータベースからデフォルトのまたは予め選択された値を取り出すことによって、そして／またはマネージャアプリケーション１５２がそのネットワークのオペレーションに関する情報を解析し、適切な値を設定することによって、設定される。分類フラグとデータ伝送帯域しきい値は、ステップ４０５において、ＮＩＣに対してプッシュされる。その後、ステップ４０６において、その分類フラグとデータ伝送帯域しきい値がＮＩＣによって受信されたかについて判断される。その分類フラグとデータ伝送帯域しきい値とがＮＩＣによって受信されなかった場合、ステップ４０５の処理にもどる。しかし、その分類フラグとデータ伝送帯域しきい値とがＮＩＣによって受信された場合、ステップ４０７の処理に進む。好ましくは、ステップ４０４から４０６、またはその繰り返しは、上述したプラグアンドプレイ開始技術の一部として実装されている。例えば、分類フラグ及びデータ伝送帯域しきい値用としてデフォルトまたは予め選択された値が用いられると、ステップ４０４から４０６は、上述したプラグアンドプレイ技術の一部として実装される。その後、これらの値は、好ましくはマニュアルでまたは自動的に更新される。
【００５３】
ステップ４０７において、ＮＩＣは、本発明のコントロールロジックと関連するパラメータを実装するために、シーケンスと関数属性を符号化する。ステップ４０８において、そのシーケンスと関数属性の符号化が成功したかが判断される。シーケンスと関数属性の符号化が成功しない場合、ステップ４０７の処理に戻る。しかし、シーケンスと関数属性の符号化が成功した場合、ステップ４０９の処理に進む。上述したステップに関し、示される実施例の、ステップ４０７と４０８は、上述したプラグアンドプレイ技術の一部として実装される。
【００５４】
ステップ４０９において、本発明による内部ネットワークデータトラフィックコントロールを提供するＮＩＣの処理が、それに提供されるコントロールロジックとパラメータに従って調査される。例えば、ＮＩＣは、帯域使用量を監視して、アラームそして／またはそれに対応する他のメッセージを出す。さらに、ＮＩＣは、送信されるデータパケットをタグ化する。
【００５５】
ここで説明する本発明のコントロールロジックは、好ましくは、対応するプロセッシングユニットについて実行し得る指示セットとして実装される。例えば、上述した検知／通知サーバの発出フィルタとトラストテーブルは、インテルペンティアムプロセッサプラットフォーム上で動作し得るコンピュータシステムといった、マイクロプロセッサベースのコンピュータシステム上で動作し得るソフトウェアとして実装される。同様に、ここで説明するネットワークシステムのマネージャアプリケーションは、マイクロプロセッサベースのコンピュータシステム上で動作し得るソフトウェアとして実装される。好ましくは、ここで説明する帯域スロットルしきい値、クラスフラグ、そしてエンコーダといったＮＩＣコントロールロジックは、消去可能プログラマブルリードオンリーメモリ（ＥＰＲＯＭ）といった不揮発性のメモリ内に実装され、そこに関連するマイクロプロセッサに関して動作可能である。例えば、本発明のコントロールロジックは、ＮＩＣのベーシックインプット／アウトプットシステム（ＢＩＯＳ）中に実装される。それに加えて、またはそれに代えて、本発明のコントロールロジックそして／またはその他の機能は、例えばアプリケーション特定集積回路（ＡＳＩＣ）といった集積回路のような、専用デバイス中に実装される。
【００５６】
本発明の好適な実施例を、内部ネットワークデータコントロールの提供に関連してここに説明したが、好ましくは、本発明の機能は、他のネットワーク構成についても適用可能である。従って、本発明は、内部ネットワークに関する適用に限定されるものではなく、従って、その機能は、外部ネットワークシステムに対して適用可能である。
【００５７】
同様に、本発明の好適な実施例を、データ伝送のコントロールに関して説明したが、好ましくは、本発明の機能は、データ通信の他の側面に対しても適用可能である。例えば、本発明の機能は、データパケットの受信について適用可能である。
【００５８】
本発明の好適な実施例を、本発明によるＮＩＣの適用に関連してここに説明したが、本発明は、通常ネットワークインタフェースカードとして考えられているネットワークインタフェースの使用に限定されるものではない。例えば、本発明の概念は、システムに不可欠なネットワークインタフェースに対して適用され、従って、「カード」上に置かれるものではない。同様に、本発明の概念は、ネットワークインタフェースの集積回路例に対して適用される。
【００５９】
本発明とその利点を詳細に述べてきたが、付随するクレームによって定義される発明の思想と範囲を逸脱することなく様々な変形、代用、改変がなされる。さらに、本出願の範囲は、明細書に記述されたプロセス、機械、製品、構成、手段、方法そしてステップの特定の実施例に限定するものではない。当業者が本発明の開示からすぐに恩恵を受けるように、ここで述べられる対応する具体例と実質上同じ機能を営み、実質上同じ結果をもたらす、現在存在しており、後に発展することとなるプロセス、機械、製品、構成物、手段、方法、ステップが用いられる。従って、付随するクレームは、その範囲内でそのようなプロセス、機械、製品、構成、手段、方法、ステップを包含する。
添付図面に関してなされる下記の説明を参照することによって、本実施例とその利点はより完全に理解される。
【図面の簡単な説明】
【００６０】
【図１】本発明の好適な実施例を実行するネットワークシステムを示す。
【図２】本発明の好適な実施例に従って用いられる、ネットワークインタフェース及びマネジメントツールに関する詳細を示す。
【図３】本発明の好適な実施例に従って用いられる、検知／通知サーバに関する詳細を示す。
【図４】本発明の好適な実施例に従う、オペレーションのフロー図を示す。
【図１】
2006518963.tif 000003
【図２】
2006518963.tif 000004
【図３】
2006518963.tif 000005
【図４】
2006518963.tif 000006
【国際調査報告】
2006518963.tif 000007
2006518963.tif 000008
2006518963.tif 000009
2006518963.tif 000010
2006518963.tif 000011