(57)【要約】【課題】パケット中継装置を流れるトラヒックは、悪意のない一般ユーザからのトラヒックもあれば、ウィルスに感染したユーザからのトラヒックや悪意のあるユーザからの不正トラヒックもあり、千差万別である。これらのトラヒックを一様にモジュールへ転送し監視するのでは、スループットを大きく損ね、また、悪意のない一般ユーザのトラヒックにとって非常に効率の悪い転送形態となってしまう。モジュールでの処理結果を見て、管理者が適宜、各ユーザの転送モジュールを変更すれば上記課題は解決できるが、人為的な設定では柔軟性に欠ける。【解決手段】プラットフォームモジュールに存在する、各ユーザと転送アプリケーションモジュールとの対を記したテーブルに、セキュリティレベルを設定可能とする。このセキュリティレベルを各モジュールでの処理結果に応じて動的に変更することにより、各ユーザの転送先アプリケーションモジュールを柔軟に変更する。【選択図】図４
2007006054.tif 000002
【特許請求の範囲】
【請求項１】
プラットフォームモジュールと複数のアプリケーションモジュールとパケット入力部とパケット出力部を備えたパケット中継装置であって、
上記プラットフォームモジュールは、
上記パケット入力部から入力されたパケットを上記アプリケーションモジュールまたは上記パケット出力部に転送するパケット転送部と、
上記入力されたパケットの送信元ユーザを識別するユーザ識別部と、
上記ユーザに対応して、該ユーザから送信されたパケットの転送先の一または複数の上記アプリケーションモジュールと、該ユーザのセキュリティレベルとを格納した記憶部を有し、
上記アプリケーションモジュールは、
上記プラットフォームモジュール、他の上記アプリケーションモジュール、又は上記パケット出力部にパケットを転送するパケット転送部と、
上記転送されてきたパケットのセキュリティレベルを認識するセキュリティレベル認識部と、
上記転送されてきたパケットを処理するパケット処理部とを有することを特徴とするパケット中継装置。
【請求項２】
請求項１記載のパケット中継装置であって、
上記プラットフォームモジュールは、さらに入力された複数のパケットの一部を複製し、該複製されたパケットを上記複数のアプリケーションモジュールのいずれかに転送することを特徴とするパケット中継装置。
【請求項３】
複数のアプリケーション装置と、該複数のアプリケーション装置に接続され、プラットフォームモジュールとパケット入力部とパケット出力部を有するパケット中継装置とを備えた、パケット中継システムであって、
上記パケット中継装置のプラットフォームモジュールは、
上記パケット入力部から入力されたパケットを上記アプリケーション装置または上記パケット出力部に転送するパケット転送部と、
上記入力されたパケットの送信元ユーザを識別するユーザ識別部と、
上記ユーザに対応して、該ユーザから送信されたパケットの転送先の一または複数の上記アプリケーション装置と、該ユーザのセキュリティレベルとを格納した記憶部を有し、
上記アプリケーション装置は、
上記プラットフォームジュール、他の上記アプリケーション装置、又は上記パケット出力部にパケットを転送するパケット転送部と、
上記転送されてきたパケットのセキュリティレベルを認識するセキュリティレベル認識部と、
上記転送されてきたパケットを処理するパケット処理部とを有することを特徴とするパケット中継システム。
【請求項４】
請求項３記載のパケット中継システムであって、
上記プラットフォームモジュールは、さらに入力された複数のパケットの一部を複製し、該複製されたパケットを上記複数のアプリケーション装置のいずれかに転送することを特徴とするパケット中継システム。
【請求項５】
請求項１に記載のパケット中継装置であって、
上記プラットフォームモジュールの上記記憶部内の上記情報を参照して、パケットの送信元ユーザ毎にパケット転送先の上記アプリケーションモジュールを決定することを特徴とするパケット中継装置。
【請求項６】
請求項１に記載のパケット中継装置であって、
上記プラットフォームモジュールの上記記憶部には、
上記ユーザに対応して記憶された、該ユーザから送信されたパケットの転送先の一または複数の上記アプリケーションモジュールと、該ユーザのセキュリティレベルに代えて、
上記入力部のポートに対応して、該ポートから入力されたパケットの転送先の一または複数のアプリケーションモジュールと、該ポートのセキュリティレベルとが記憶されており、該記憶部内の情報を参照して、ポート毎にパケット転送先のアプリケーションモジュールを決定することを特徴とするパケット中継装置。
【請求項７】
請求項３に記載のパケット中継システムであって、
上記プラットフォームモジュールの上記記憶部内の上記情報を参照して、パケットの送信元ユーザ毎にパケット転送先の上記アプリケーション装置を決定することを特徴とするパケット中継システム。
【請求項８】
請求項３に記載のパケット中継システムであって、
上記プラットフォームモジュールの上記記憶部には、
上記ユーザに対応して記憶された、該ユーザから送信されたパケットの転送先の一または複数の上記アプリケーション装置と、該ユーザのセキュリティレベルに代えて、
上記入力部のポートに対応して、該ポートから入力されたパケットの転送先の一または複数のアプリケーション装置と、該ポートのセキュリティレベルとが記憶されており、該記憶部内の情報を参照して、ポート毎にパケット転送先のアプリケーション装置を決定することを特徴とするパケット中継システム。
【請求項９】
請求項１に記載のパケット中継装置であって、
上記アプリケーションモジュールから上記プラットフォームモジュールに制御メッセージを送信し、該制御メッセージに基づいて、上記プラットフォームモジュールの上記記憶部内の情報を変更することを特徴とするパケット中継装置。
【請求項１０】
請求項３に記載のパケット中継システムであって、 
上記アプリケーション・ネットワーク装置から上記プラットフォームモジュールに制御メッセージを送信し、該制御メッセージに基づいて、上記プラットフォームモジュールの記憶部内の情報を変更することを特徴とするパケット中継システム。
【請求項１１】
請求項２に記載のパケット中継装置であって、
上記アプリケーションモジュールから上記プラットフォームモジュールに制御メッセージを送信し、該制御メッセージに基づいてモジュールの増減要求の送信、又は上記サンプリング部でのパケットの複製頻度の変更を行うことを特徴とするパケット中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、各ユーザの送信するトラヒックの種類に応じて各ユーザのセキュリティレベルを動的に変え、転送先アプリケーションモジュールを変更するパケット中継装置に関する。
【背景技術】
【０００２】
FW（Firewall）機能やIDS（Intrusion Detection System）機能は、従来、ユーザ毎、或いは企業毎に設けられてきた。しかしながら、インターネットを利用するユーザ数・層ともに益々拡大していく中で、これらの機能の実現を各ユーザ・各企業に期待することは、難しくなりつつある。現在、これらの機能をパケット中継装置側で提供し、ユーザ・企業にFW、IDS機能の存在を意識させない構成がとられている。IPネットワークで使用されるパケット中継装置側にてFW機能、IDS機能を実現する場合、パケット中継装置にモジュールとして組み込む方式と、パケット中継装置に外付け装置を接続する方式との２通りの方式が存在する。図１はFW機能、IDS機能をそれぞれFWモジュール、IDSモジュールとしてパケット中継装置に組み込んだ場合を示しており、パケット中継装置１１の内部構成は図３に示す。図２はFW機能、IDS機能を外付け装置としてパケット中継装置に接続した場合を示している。 
ここでFWとは、組織内のコンピュータへ外部から侵入されることを防ぐ、或いは組織内のコンピュータが危険性のあるウェブサイトへ不正アクセスすることを防ぐことを目的とした機能である。またIDSとは、通信回線を流れるパケットを分析し、不正侵入を検知した場合、管理者に通報する機能である。不正侵入を検知する方法としては、不正アクセスの際にしばしば用いられる手段をパターン化して記憶しておき、実際に流れてくるパケットと不正パターンとを比較することによって、不正でないか判断する方法などが取られている。
【０００３】
ユーザからパケット中継装置へ送られたパケットは、通常、パケット中継装置にて宛先検索され、所望の宛先へ転送される。このとき、図３のようにパケット中継装置にFWモジュール、IDSモジュールが組み込まれており、それらのモジュールへパケットを振り分ける機能を備えたプラットフォームモジュールが稼動していれば、プラットフォームモジュールから各モジュールへパケットを転送することによって、パケットに各モジュール固有の処理を施すことができる。また、図３のようにプラットフォームモジュールに、ユーザを識別するユーザ識別部、各ユーザと転送先アプリケーションモジュールとの対を記したユーザ・転送モジュール対応テーブルが存在すれば、ユーザに応じて転送先アプリケーションモジュールを違えることが可能である。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
FW、IDSモジュールは一般的に処理量が多く、単にパケットを次の宛先へ転送するだけで良いパケット中継装置に比べ、スループットが小さいのが特徴である。よって、パケット中継装置で処理したトラヒック全てにFW、IDS処理を施すと、全体のスループットがFWまたはIDSのスループットに律速されてしまう。
また、パケットをモジュールへ転送し処理を施すと、その分だけ転送・処理時間が増加する。つまり、セキュリティの確保に力を入れれば入れるほど、その転送・処理時間は大きくなり、逆に転送・処理時間を優先すると、セキュリティの確保が不十分となる。
【０００５】
一方で、パケット中継装置を流れるトラヒックは、悪意のない一般ユーザからのトラヒックもあれば、ウィルスに感染したユーザからのトラヒックや悪意のあるユーザからの不正トラヒックもあり、千差万別である。それにも関わらず、これらのトラヒックを一様にモジュールへ転送し監視するのでは、スループットを大きく損ね、また、悪意のない一般ユーザのトラヒックにとって非常に効率の悪い転送形態となってしまう。各モジュールでの処理結果を見て、管理者が適宜、各ユーザの転送モジュールを変更すれば上記課題は解決できるが、その場合，不正アクセスを検知するたびに人為的な設定が必要となり，煩雑である。また，不正アクセスを検知してから，その後管理者が認識し設定が為されるまでに時間を要し，即応性に欠ける。
【課題を解決するための手段】
【０００６】
プラットフォームモジュールに存在する、ユーザと転送アプリケーションモジュールとの対を記したテーブルに、セキュリティレベルを設定可能とする。このセキュリティレベルを各モジュールでの処理結果に応じて動的に変更することにより、各ユーザの転送先アプリケーションモジュールを柔軟に変更する。
【０００７】
具体的には、悪意のない一般ユーザのトラヒックについては、アプリケーションモジュールへは転送せず、高スループットの確保を優先する。但し、定期的にパケットをサンプリングしモジュールにて処理を施す。その結果、ウィルスに感染している疑いがある、或いは悪意が感じられるトラヒックを送信している場合、そのユーザのセキュリティレベルを上げ、テーブルに設定する。これにより転送先アプリケーションモジュールが変化し、危険性の高いトラヒックのみ、堅牢なモジュール転送を施されることになる。
【発明の効果】
【０００８】
危険性の少ないユーザに対しては、処理遅延の少ないパケット転送を提供し、悪意のあるユーザに対しては、堅牢なモジュール転送を実現するため、高効率のパケット転送が可能である。
【実施例１】
【０００９】
図４は、図１のようにFW機能、IDS機能をそれぞれFWモジュール、IDSモジュールとして組み込んだ場合の、本実施例におけるパケット中継装置の内部構成を示す。プラットフォームモジュール１２は、パケット転送部２１にてユーザからのパケットを受信すると、そのパケットをユーザ識別部３１へ転送し、送信ユーザを認識する。
パケット処理部２２内にあるユーザ・転送モジュール対応テーブル３４には、図５に示すユーザとセキュリティレベルとの対を記したテーブルと、図６に示すセキュリティレベルと転送モジュールとの対を記したテーブルとが存在する。ここでは、セキュリティレベルの値が小さいほど、より強固なセキュリティを実現するものとする。ユーザ１は、セキュリティレベルが１であり、最もセキュリティレベルが高い。転送先のアプリケーションモジュールとして、FWモジュール、IDSモジュールが設定されている。セキュリティレベル１は主に、悪意のあるトラヒックを送信してきているユーザを対象としたセキュリティレベルである。ユーザ２は、セキュリティレベルが２であり、転送先アプリケーションモジュールはFWモジュールとなる。これは主に、ウィルス等に感染した結果、通常は送信されることのないトラヒックを送信して来ているユーザを対象としたセキュリティレベルである。ユーザ３はセキュリティレベルが３であり、モジュール転送はされない。プラットフォームモジュールから直接外部ネットワークへ転送する。このセキュリティレベルは、高速なパケット転送のみを目指す、一般ユーザを対象としたレベルである。
【００１０】
図４のユーザ識別部３１は、図５、６のテーブルを参照することにより、各ユーザのトラヒックの転送先アプリケーションモジュールを認識する。転送先アプリケーションモジュールを認識したユーザ識別部は、該当するモジュールへ転送するため、図７に示す内部ヘッダをパケットに付与し、カプセル化する。内部ヘッダは、IPヘッダ、UDPヘッダ、独自ヘッダで構成される。独自ヘッダのフォーマットは、図８に示す。独自ヘッダは、パケット種別フィールド、ユーザ識別子フィールド、セキュリティレベルフィールドで構成される。図７のIPヘッダに含まれる宛先アドレスフィールドには、転送先アプリケーションモジュールのIPアドレスを記す。図８のパケット種別フィールドにはパケットがデータパケットかサンプルパケットか制御パケットかを、ユーザ識別子フィールドにはユーザ識別のための一意の識別子を、セキュリティレベルフィールドにはそのユーザの現在のセキュリティレベルを記す。
【００１１】
図４のユーザ識別部３１にて内部ヘッダを付与されたパケットは、内部ヘッダ内の宛先IPアドレスによってパケット転送部２１から所望のアプリケーションモジュールへ転送される。パケットは、アプリケーションモジュール内のパケット転送部２１へ到達すると、パケット処理部２２へ転送され、その部位にて各アプリケーションモジュール固有の処理を施される。パケット処理がなされたパケットは、内部ヘッダが削除された後、パケット転送部２１へ送られる。パケット転送部２１に到達したパケットは、パケット内の宛先IPアドレスによって宛先が認識され、外部ネットワークへ送信される。
以上により例えば、ユーザ３から送信されたパケットは、プラットフォームモジュール内のユーザ識別部３１にて送信元が認識されると、図５よりセキュリティレベルが３であり、図６より転送アプリケーションモジュールがないと判断される。よって、このパケットはアプリケーションモジュールを経由せずに外部ネットワークへ転送される。ユーザ２からのパケットは、セキュリティレベルが２であり、転送アプリケーションモジュールはFWモジュールであると判断される。よって、このパケットには、FWモジュールのIPアドレス、データパケットであること、ユーザ識別子、セキュリティレベル２を記した内部ヘッダが付与され、FWモジュールへ転送される。パケットは、FWモジュールにてFW処理がなされた後、正常であれば、図１２のフローチャートに示すように内部ヘッダを削除され、外部ネットワークへ転送される。不正トラヒックであれば、パケットは廃棄される。同様に、ユーザ１からのパケットは、FWモジュール、IDSモジュールを経由して外部ネットワークへ転送される。
【００１２】
ここで、図４のサンプリング部３２では、ユーザ識別部に届いたパケットを定期的に複製してサンプルパケットとし、現セキュリティレベルより１段階上のレベルの転送先アプリケーションモジュールへ転送している。ユーザ３の場合、現在のセキュリティレベルが３であるので、セキュリティレベル２の場合の転送モジュール、即ちFWモジュールへサンプルパケットを転送する。この時の内部ヘッダのパケット種別には、サンプルデータであることを記す。転送されたパケットは、パケット処理部２２において、FW機能にかけられる。FW機能にかけた結果、特に異常がなければ、図１０に示すように、サンプルパケットは廃棄される。一方、例えばユーザ３のサンプルパケット内に、危険なURL（Uniform Resource Locator）として予めFWモジュールに登録しておいたURLが含まれていた場合、FWモジュールはこのトラヒックを不正なトラヒックと判断する。不正アクセスと判断された場合、FWモジュールは、図１１に示すように、サンプルパケット廃棄後、ユーザ３のセキュリティレベルを３から２へ変更するようプラットフォームモジュールへ制御メッセージを送信する。このときの制御メッセージのフォーマットは、データフィールドがない以外は図７と同じである。制御メッセージであることは、独自ヘッダのパケット種別に明示することによって認識させる。独自ヘッダ内のセキュリティレベルフィールドには、セキュリティレベルの変更後の値を格納する。該制御メッセージは、プラットフォームモジュールのサンプリング部にて受信される。サンプリング部は、制御メッセージを受信すると、転送テーブルのセキュリティレベルを変更する。これにより、以後ユーザ３のセキュリティレベルは２となり、ユーザ３からのトラヒックは全てFWモジュールへ転送され、FWモジュールの監視下に置かれることになる。ユーザ３から送られてきたトラヒックで、FWモジュールにて不正と判断されたパケットは以後廃棄される。正常トラヒックであれば、外部ネットワークへ転送される。
【００１３】
サンプリング部３２は、更に定期的にサンプルデータを複製し、モジュール転送を続ける。セキュリティレベルが２となったので、以後はセキュリティレベル１の場合の転送モジュールであるFWモジュール、IDSモジュールへサンプルパケットを転送する。IDSモジュールにてIDS処理をした結果、特に異常がなければ、図１０に示すように、パケットは廃棄する。一方、例えばユーザ３のサンプルパケット内に、通常は使用されることのないコマンドとして予めIDSモジュールに登録しておいた不正コマンド（シグニチャ）が含まれていた場合、IDSモジュールはこのトラヒックを不正なトラヒックと判断する。不正アクセスと判断された場合、図１１に示すように、IDSモジュールは、ユーザ３のセキュリティレベルを２から１へ変更するようプラットフォームモジュールへ制御メッセージを送信する。該制御メッセージは、プラットフォームのサンプリング部にて受信され、テーブルの値を変更する。これ以降、ユーザ３からのトラヒックは全てFWモジュール、IDSモジュールへ転送され、FWモジュール、IDSモジュールの監視下に置かれる。ユーザ３から送られてきたトラヒックで、FWモジュール或いはIDSモジュールにて不正と判断されたパケットは以後廃棄される。正常トラヒックであれば、外部ネットワークへ転送される。
【００１４】
以上により、危険性の少ない一般ユーザに対しては通常負荷の少ないパケット転送を提供し、危険性のある場合にのみ徐々にそのセキュリティレベルを上げ、堅牢なモジュール転送を実現することで、高効率のパケット転送を可能とする。
【００１５】
一方で、一旦アプリケーションモジュールの監視下に置かれたユーザであっても、ウィルス除去などの対策が施され、トラヒックの安全性が回復した場合は、そのユーザのセキュリティレベルを下げ、通常の状態に戻す必要がある。そのためアプリケーションモジュールでは、一定期間内における異常検出数の統計を取る。一定期間内に異常が検知されなかった場合、セキュリティレベルを元の状態へ戻して行く。例えばユーザ３のトラヒックが現在IDSモジュール、FWモジュールにて監視されていて、例えば１時間の監視の結果、何も異常が見られなかった場合、IDSモジュールは、ユーザ３のセキュリティレベルを１から２へ戻すようプラットフォームモジュールへ制御メッセージを送信する。該制御メッセージは、プラットフォームのサンプリング部にて受信され、テーブルの値を変更する。これにより、以降ユーザ３からのトラヒックはFWモジュールのみの転送となる。更にFWモジュールにおいても１時間監視した結果、同じく何も異常が見られなかった場合、FWモジュールは、ユーザ３のセキュリティレベルを２から３へ変更するようプラットフォームモジュールへ制御メッセージを送信する。該制御メッセージは、プラットフォームのサンプリング部にて受信され、テーブルの値を変更する。これにより、ユーザ３は悪意のないユーザであると判定され、以降モジュール転送はされない。
【００１６】
以上により、トラヒックの危険性の度合いに応じて、柔軟に転送先アプリケーションモジュールの変更が可能となる。
【実施例２】
【００１７】
図４のサンプリング部３２では、プラットフォームモジュールに繋がるアプリケーションモジュールの種類とその数を把握している。これは、アプリケーションモジュールが、その状態が遷移する度に、図９に示す「パケット種別」「モジュール識別子」「ステータス」の情報を図７の独自ヘッダ部に含んだ制御パケットを送信することにより可能である。図９のモジュール識別子フィールドには、制御パケットを送信するモジュールの種類も含めたそのモジュールの一意の識別子が、ステータスフィールドには該モジュールの状態が明示される。この制御メッセージによりプラットフォームモジュールは、アプリケーションモジュールの状態に応じてアクションを起こすことが可能である。例えばIDSモジュールの処理量が閾値を超えるところまで増加し、プラットフォームモジュールから送られてくるパケットを処理しきれなくなった場合、“過負荷”である旨を図９のステータスフィールドに記し、図７の制御メッセージにてプラットフォームモジュールへ通知する。制御メッセージを受信したプラットフォームモジュールでは、新規IDSモジュールを追加せよ、と管理者に通知する、或いはサンプルパケットの送信間隔を広げる設定を施し、単位時間あたりの送信トラヒック量を減少させる。更に、新規IDSモジュールがプラットフォームモジュールに接続された場合、“新規追加”である旨を図９のステータスフィールドに記し、制御メッセージにてプラットフォームモジュールへ通知する。制御メッセージを受信したプラットフォームモジュールでは、サンプルパケットの送信間隔を狭める設定を施し、単位時間あたりの送信トラヒック量を増加させる。
【００１８】
以上により、アプリケーションモジュールの状態遷移に応じて、プラットフォームモジュールからアプリケーションモジュールへ転送するパケット量を柔軟に変更可能となる。 
【図面の簡単な説明】
【００１９】
【図１】本発明のパケット中継装置にFWモジュール、IDSモジュールを組み込んだときのネットワーク構成を示す図である。
【図２】本発明のパケット中継装置にFWモジュール、IDSモジュールを外付け装置として接続したときのネットワーク構成を示す図である。
【図３】従来のパケット中継装置を示す図である。
【図４】本発明のパケット中継装置を示す図である。
【図５】本発明のパケット中継装置内のプラットフォームモジュールにて保持される、ユーザに対するセキュリティレベルを記したテーブルである。
【図６】本発明のパケット中継装置内のプラットフォームモジュールにて保持される、セキュリティレベルと転送アプリケーションモジュールとの対応を記すテーブルである。
【図７】本発明のパケット中継装置内でやりとりされるパケットの内部ヘッダを示す図である。
【図８】実施例１における、図７の独自ヘッダを示す図である。
【図９】実施例２における、図７の独自ヘッダを示す図である。
【図１０】実施例１において、サンプルパケットがアプリケーションモジュールにて正常と判定された場合の、パケット中継装置内のパケットのやりとりを示す図である。
【図１１】実施例１において、サンプルパケットがアプリケーションモジュールにて異常と判定された場合の、パケット中継装置内のパケットのやりとりを示す図である。
【図１２】本発明のパケット中継装置内のアプリケーションモジュールにおけるフローチャートを示す図である。
【符号の説明】
【００２０】
１１    パケット中継装置
１２    プラットフォームモジュール
１３    IDSモジュール
１４    FWモジュール
１５    スイッチ
１６    インターネット
２１    パケット転送部
２２    パケット処理部
３１    ユーザ識別部
３２    サンプリング部
３３    セキュリティレベル識別部
３４    ユーザ・転送モジュール対応テーブル
４１〜４３    パケット中継装置と接続するユーザ
５１    内部ヘッダでカプセル化されたパケット
５２    セキュリティレベルの変更通知をする際の独自ヘッダ
５３    モジュールの状態通知をする際の独自ヘッダ。
【図１】
2007006054.tif 000003
【図２】
2007006054.tif 000004
【図３】
2007006054.tif 000005
【図４】
2007006054.tif 000006
【図５】
2007006054.tif 000007
【図６】
2007006054.tif 000008
【図７】
2007006054.tif 000009
【図８】
2007006054.tif 000010
【図９】
2007006054.tif 000011
【図１０】
2007006054.tif 000012
【図１１】
2007006054.tif 000013
【図１２】
2007006054.tif 000014