(57)【要約】【課題】複数フローが平等なフロー廃棄になるように制御するとともに、ＤｏＳ攻撃からの通信装置を適切に防御するフロー別流量監視制御方法および通信装置を提供する。【解決手段】受信したパケットのヘッダ情報を抽出するステップと、フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、前記検索履歴情報によりサービス妨害攻撃の発生を検出する。【選択図】図３
2012205159.tif 000002
【特許請求の範囲】
【請求項１】
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を含むことを特徴とするフロー別流量監視制御方法。
【請求項２】
請求項１において、
前記キューイングを行なうステップは、ＱｏＳキュー単位に行なうことを特徴とするフロー別流量監視制御方法。
【請求項３】
請求項１において、
前記サービス妨害攻撃の発生を検出するステップは、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とするフロー別流量監視制御方法。
【請求項４】
請求項３において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とするフロー別流量監視制御方法。
【請求項５】
受信したパケットのヘッダ情報を抽出する手段と、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルと、
ヘッダ情報に示されるアドレス情報からフローを検索する手段と、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて格納する手段と、
前記アドレス情報に対応したフローの処理情報を取得する手段と、
前記検索履歴管理情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なう手段と、
前記検索履歴情報によりサービス妨害攻撃の発生を検出する手段と、
を備えることを特徴とする通信装置。
【請求項６】
請求項５において、
前記受信したパケットのキューイングを行なう手段は、ＱｏＳキュー単位に優先選択と帯域制御を行なうことを特徴とする通信装置。
【請求項７】
請求項５において、
前記サービス妨害攻撃の発生を検出する手段は、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とする通信装置。
【請求項８】
請求項７において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とする通信装置。
【請求項９】
コンピュータに、
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フロー別流量監視制御方法、通信装置、およびプログラムに関し、特に、ＩＰ（Internet Protocol）ネットワークにおけるサービス妨害（ＤｏＳ：Denial of Service）攻撃の可能性のあるフローの流量をフロー別に監視するフロー別流量監視制御方法、通信装置、およびプログラムに関する。
【背景技術】
【０００２】
データ通信において、受信側の処理が追いつかず、データを取りこぼしたりするのを防ぐため、通信状況に応じて送信停止や速度制限などの調整を行なうフロー制御技術が知られている。
【０００３】
一方、サービス妨害（ＤｏＳ：Denial of Service）攻撃は、インターネット経由での不正アクセスであり、大量のデータや不正パケットを送りつけ、ネットワークに接続された資源に過剰な負荷をかけて、攻撃対象のシステムが本来のサービスを実行できなくさせるものである。
【０００４】
ＤｏＳ攻撃を検出する技術については、様々な技術が開示されている。
【０００５】
例えば、単位時間当たりに受信したフローのパケット数またはバイト数が閾値を超えたことで、ＤｏＳ攻撃を検出する技術に関し、先行技術文献がある。
【０００６】
また、ＤｏＳ攻撃を正確に識別する技術、および攻撃被疑を検知した対応フローをサイト内で遮断する技術に関し、先行文献がある。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００７−１１６４０５号公報
【特許文献２】特開２００６−３５２６６９号公報
【特許文献３】特開２００６−１６４０３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来技術においては、パケット流量の監視および制御する場合に、対象のフローまたはキュークラスを固定的に設定し、対象を限定していた。しかし、実際には複数のフローを束ねたキュークラス単位で監視対象となることが多く、一律な閾値が適用された結果、一つのフローの帯域違反が他のフローの廃棄を招いていた。
【０００９】
ＤｏＳ攻撃パケットを拒否するための上記先行技術文献に開示の技術は、通常では監視対象として設定しないプロトコル系パケットのフローを指定してパケット数やバイト数が著しく多いフローを固定的な基準で検出するために、非常に多くの資源を用意しなければならなかった。
【００１０】
本発明は、ネットワークに流れるプロトコル系パケットも含め、全てのフローを制御対象とするフロー別の流量を監視制御する技術に関し、特に複数フローが平等なフロー廃棄になるように制御するとともに、ＤｏＳ攻撃からの通信装置を適切に防御することを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するための方法の一観点は、受信したパケットのヘッダ情報を抽出するステップと、フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップとを含んでいる。
【発明の効果】
【００１２】
以上、開示の技術によれば、全パケットを監視対象とし、且つソフトウェアモジュールごとの処理性能に合わせて柔軟に輻輳状態の判断が行なえるようにしたため、一つのフローの帯域違反が他のフローへの影響を受けなくなるとともに、高度なデータ解析が可能となるので、ＤｏＳ攻撃を受けていると判断したら、エントリの無効化、帯域制限などの防御策について保守者を介さず、リアルタイムに適用することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の適用される通信装置のネットワーク配置図である。
【図２】本発明の適用される通信装置の構成図である。
【図３】本発明の一実施形態における通信装置の詳細構成図である。
【図４】本発明の一実施形態における優先／帯域制御部の構成図である。
【図５】本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その１）である。
【図６】本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その２）である。
【図７】本発明による通信装置で使用するパケットの構造図である。
【図８】本発明の一実施形態における通信装置で使用する管理テーブルの構成図である。
【発明を実施するための形態】
【００１４】
図１は、本発明の適用される通信装置のネットワーク配置図であり、（ａ）ＬＡＮに接続されたＬ２ＳＷ、及び（ｂ）ＷＡＮに接続されたＬ３ＳＷである。
【００１５】
（ａ）ＬＡＮに接続されたＬ２ＳＷ
Ｌ２ＳＷ（レイヤ２スイッチ）（２）は、ネットワークの中継機器の一つであり、データリンク層（第２層）のデータでパケット３１、３２の行先を判断して転送を行なうものである。
【００１６】
複数のユーザ端末４１〜４３が接続されているＬＡＮ（Local Aria Network）（１）にはパケット情報が飛び交っており、不正なパケット攻撃を受ける可能性がある。
【００１７】
そのため、Ｌ２ＳＷ（２）にてパケット流量の監視制御が行われる。
【００１８】
（ｂ）ＷＡＮに接続されたＬ３ＳＷ
Ｌ３ＳＷ（レイヤ３スイッチ）（６１〜６４）は、ネットワークの中継機器の一つであり、ネットワーク層（第３層）のデータでパケットの行先を判断して転送を行なうものである。
【００１９】
Ｌ３ＳＷ［Edge］６１、６３では、Ｌ３ＳＷ［Core］６２、６４と異なり、Ｕｐｐｅｒ ＬｉｎｋとＬｏｗｅｒ Ｌｉｎｋの帯域が異なり、サービス品質（ＱｏＳ：Quality of Service）による流量制御を必要とする。
【００２０】
図２は、本発明に適用される通信装置の構成図である。
【００２１】
通信装置７は、図１で説明したＬ２ＳＷ（２）およびＬ３ＳＷ（６１〜６４）であり、回線処理モジュール８１〜８３、フォワーディング処理モジュール９１、９２、９３、スイッチングモジュール１０、および装置制御モジュール１１で構成される。
【００２２】
回線処理モジュール８１〜８３は、外部の回線と直接接続し、パケットの送受信処理を行うモジュールである。
【００２３】
フォワーディング処理モジュール９１、９２、９３は、パケットのＬ２,Ｌ３,Ｌ４ヘッダ情報を解析し、装置内におけるパケット処理方法を決めるモジュールであり、ＱｏＳキュー単位に帯域制御と優先制御を行う優先／帯域制御部９１１、９１２と、パケットの廃棄もしくはＱｏＳキュークラスへの振り分け指示を行なう制御部９２を備える。
【００２４】
スイッチングモジュール１０は、装置内のスロット間スイッチングを行なうモジュールである。
【００２５】
装置制御モジュール１１は、装置全体を統括して装置管理及び通信プロトコル終端を行うモジュールである。
【００２６】
本発明は、フォワーディング処理モジュール９１、９２、９３内の優先／帯域制御部９１１、９１２および制御部９２に適用される。なお、後述する図３との対応において、制御部９２は、ソフトウェア処理部２５に対応し、その他のモジュール部はパケットに対する読み取り加工処理がメインのため、一般的には優先／帯域制御部９１１、９１２とは区別される。
【００２７】
図３は、本発明の一実施形態における通信装置の詳細構成図である。
【００２８】
パケット受信用バッファ１２は、パケットが到着した場合、パケット振り分け先のＱｏＳキュークラスが決まるまでの間、到着したパケットを格納する。
【００２９】
受信パケットは、最適な経路を選択して送信するルーチングパケット１３、ＩＰアドレスから物理層のネットワーク・アドレス（ＭＡＣアドレス）を求めるために利用されるＡＲＰ（Address Resolution Protocol）パケット１４、およびＩＰの機能を補完するためのＩＣＭＰ（Internet Control Message Protocol）パケット１５が存在する。
【００３０】
なお、ＡＲＰは、Ｌ２レイヤのプロトコルであることからＬ２ヘッダを解析して装置内の処理を決める。ＩＣＭＰは、Ｌ３レイヤのプロトコルであることからＬ３ヘッダを解析して装置内の処理を決める。
【００３１】
フロー識別モジュール１６は、受信用パケットのＬ２／Ｌ３／Ｌ４ヘッダ情報を抽出し、それらを検索キーとしてＣＡＭ（Content Addressable Memory）１７へ送信する。
【００３２】
ＣＡＭ（Content Addressable Memory）１７は、ロンゲストプレフィックス方式でフローのエントリ検索を行い、ヒットしたエントリのアドレス情報を返す。アドレス情報はアドレスデコーダ１８により、セレクタ２０向けおよび連想メモリ２２向けのアドレス情報へと変換される。ロンゲストプレフィックス方式は、対象となっているあるアドレスに対し、複数のプレフィックスの中から上位ビットが最も長く合致するプレフィックスを選択する方式である。
【００３３】
ＣＡＭテーブル１７ａは、ＣＡＭ１７に付随するテーブルであり、テーブル構造については、後述する図８にて説明する。
【００３４】
セレクタ２０は、アドレスデコーダ１８より受信したアドレス情報に対応したヒット履歴格納用ＦＩＦＯ［ＩＣＭＰ］（２１ａ）、ＦＩＦＯ［ＡＲＰ］（２１ｂ）へ時刻情報１９を格納する。
【００３５】
ヒット履歴格納用ＦＩＦＯ［ＩＣＭＰ］（２１ａ）、ＦＩＦＯ［ＡＲＰ］（２１ｂ）は、フローごとの管理ＦＩＦＯであり、ＦＩＦＯの構造については、後述する図８にて説明する。
【００３６】
連想メモリ２２は、アドレスデコーダ１８より受信したアドレス情報に対応した連想メモリテーブル２２ａにアクセスし、ＱｏＳキューおよび有効または無効に関する情報を取得する。
【００３７】
連想メモリテーブル２２ａは、連想メモリ２２に付随するテーブルであり、テーブル構造については、後述する図８にて説明する。
【００３８】
制御部２３は、ヒット履歴格納用ＦＩＦＯ（２１ａ），（２１ｂ）の情報と連想メモリ２２の情報（有効または無効フラグ、ＱｏＳキュー番号）を基にパケットの廃棄もしくはＱｏＳキュークラスへの振り分け指示を行なう。
【００３９】
優先／帯域制御部２４は、ＱｏＳキュー単位に優先制御と帯域制御を行う。優先／帯域制御部２４の詳細については図４にて説明する。
【００４０】
ソフトウェア処理部２５は、フォワーディング処理モジュール９のソフトウェアで終端するパケットの処理を行う。
【００４１】
流量解析動的制御部２５１は、フォワーディング処理モジュール９１、９２、９３のソフトウェアで終端するパケットの処理が完了するたびに該当するヒット履歴格納用ＦＩＦＯ（２１ａ）、（２１ｂ）よりヒット履歴を読み出す。また、単位時間当たりのヒット率を計算し、ＤｏＳ攻撃を受けていると判断した場合にはフローエントリの一時的な無効化や、ＱｏＳキューの帯域変更を動的に行い、パケット廃棄動作を起動させる。
【００４２】
ＡＲＰ処理モジュール２５２は、前述したＡＲＰ（Address Resolution Protocol）パケット１４を処理するモジュールである。
【００４３】
ＩＣＭＰ処理モジュール２５３は、前述したＩＣＭＰ（Internet Control Message Protocol）パケット１５を処理するモジュールである。
【００４４】
このように、ソフトウェアモジュールごとに流量制御するため、あるモジュールで輻輳してもその影響が他のソフトウェアモジュールに及ぶことは無く、ソフトウェアモジュール自身の処理性能に合わせてパケット供給を行なうことができる。
【００４５】
以上の構成において、フロー識別モジュール１６→ＣＡＭ１７→アドレスデコーダ１８→セレクタ２０→制御部２３→優先／帯域制御部２４のルートは、パケットのヘッダ部のみの処理になる。
【００４６】
本例では、パケットの種類として、ルーチングパケット１３、ＡＲＰパケット１４、およびＩＣＭＰパケット１５を例にして説明したが、多種類あるパケットのうちで自装置宛フローと、他装置宛フローの一例として上げたものであり、本発明はその他のパケットに対しても適用することが可能である。
【００４７】
ＡＲＰパケット１４、およびＩＣＭＰパケット１５は、ＡＲプロトコル、ＩＣＭプロトコルを任意の通信の制御部（ソフトウェア処理部）へ伝達するためのパケットであり、本例では、ＤｏＳ攻撃の代表例として、それらのパケットを対象として説明した。
【００４８】
なお、本例では流量監視制御対象を自装置宛フローとした場合について記載している。
【００４９】
図４は、本発明の一実施形態における優先／帯域制御部の構成図である。図４に示すように、優先／帯域制御部２４は、クラシファイア２４１と、メインスケジューラ２４２と、ＱｏＳキューアドレス管理ＦＩＦＯ１（２４３１）〜ＦＩＦ３（２４３３）とＱｏＳ共有メモリ２４４と、セレクタ２４５とからなる。
【００５０】
クラシファイア（Classifier）２４１は、制御部２３から指示されたＱｏＳキューにパケット受信用バッファ１２から受信したパケットを振り分けて格納する分類装置であり、制御部２３から振り分け指示を受けた場合は、ＱｏＳ共有メモリ２４４へ受信したパケットを格納し、受信パケットのアドレスをＱｏＳキューアドレス管理ＦＩＦＯ１（２４３１）〜ＦＩＦＯ３（２４３３）へ格納する。
【００５１】
メインスケジューラ２４２は、流量解析動的制御部２５１から送信される帯域調整値に基づいて、ＱｏＳ共有メモリ２４４に格納されたパケットの読出し順序および回数を指示する。
【００５２】
ＱｏＳキューアドレス管理ＦＩＦＯ１（２４３１）〜ＦＩＦＯ３（２４３３）は、ＱｏＳ共有メモリ２４４に格納されたパケットのアドレスが格納される。
【００５３】
ＱｏＳ共有メモリ２４４は、パケット受信用バッファ１２から受信したパケットを格納する。
【００５４】
セレクタ２４５は、メインスケジューラ２４２からの指示の元、ＱｏＳ共有メモリ２４４からパケットを読み出す。
【００５５】
以上の構成により、優先／帯域制御部２４は、パケット振り分け先のＱｏＳキュークラスを決定してＱｏＳの利用条件や運用条件の規定を決めるＱｏＳポリシーを実現する。
【００５６】
ＱｏＳポリシーとは、どのアプリケーションを優先するか、各アプリケーションに対するＱｏＳの評価尺度をどの程度にするのかを決めたものを呼ぶ。
【００５７】
図５は、本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その１）である。以下に、図３通信装置の詳細構成図を参照しながら、フロー別流量監視制御手順を時系列的に説明する。
【００５８】
Ｓ１．パケット受信用バッファ１２は、パケットが到着し、自バッファ内にパケットが格納されているかを確認する。
【００５９】
Ｓ２．フロー識別モジュール１６は、パケット受信用バッファ１２内に格納されているパケットのヘッダ領域を抽出し、それらを検索キーとしてＣＡＭ１７へ送信する。
【００６０】
パケットのヘッダ領域（Ｌ２ヘッダ、Ｌ３ヘッダ、Ｌ４ヘッダ）については、図５にて詳述する。
【００６１】
Ｓ３．ＣＡＭ１７は、ロンゲストプレフィックス方式で、フローのエントリ検索を行い、ヒットしたエントリのアドレス情報をアドレスデコーダ１８へ送信する。ロンゲストプレフィックス方式は、対象となっているあるアドレスに対し、複数のプレフィックスの中から上位ビットがもっとも長く合致するプレフィックスを選択する方式である。アドレスデコーダ１８は、このアドレス情報をデコードし、セレクタ２０向けのアドレス情報と、連想メモリ２２向けのアドレス情報に変換する。なお、フローエントリがヒットする詳細説明は、図８にて後述する。
【００６２】
Ｓ４．受信した時刻情報２３を含むセレクタ２０は、アドレスデコーダ１８より受信したアドレス情報に示されるフロー種別により、アドレス情報に対応したヒット履歴格納用ＦＩＦＯ［ＩＣＭＰ］（２１ａ）およびヒット履歴格納用ＦＩＦＯ［ＡＲＰ］（２１ｂ）・・・・等へそれぞれ時刻情報を格納する。
【００６３】
Ｓ５．連想メモリ２２は、アドレスデコーダ１８より受信したアドレス情報に対応した連想メモリテーブル２２ａにアクセスし、フロー情報の判別（ＱｏＳキューおよび有効／無効に関する情報より）を行なう。
【００６４】
Ｓ６．制御部２３は、前述のＳ４によるヒット履歴格納用ＦＩＦＯの情報（Ｆｕｌｌ、Ａｌｍｏｓｔ Ｆｕｌｌ）と、前述のＳ５による有効／無効フラグ、ＱｏＳキュー番号）を元に、パケットの廃棄もしくはＱｏＳクラスへの振り分けを行なう。
【００６５】
Ｓ７．優先／帯域制御部２４は、ＱｏＳキュー単位に優先制御と帯域制御を行う。具体的には、ＱｏＳ共有メモリ２４４にパケットを格納し、格納したパケットのアドレスをＱｏＳキューアドレス管理ＦＩＦＯ１（２４３１）〜ＱｏＳキューアドレス管理ＦＩＦＯ３（２４３３）に振り分ける動作をする。
【００６６】
以上のフローチャートは、受信パケットのヘッダ情報を抽出してからＱｏＳキュー単位に優先／帯域制御を行うまでを示す。
【００６７】
特に、フロー識別処理の際に装置内のデバイス間での情報伝達されるエントリアドレスと、ヒット時刻を管理することにより、全ての履歴をデータ解析可能な形で保存できることに着目している。
【００６８】
図６は、本発明の一実施形態におけるフロー別流量監視制御手順のフローチャート（その２）である。以下に、図３通信装置の詳細構成図を参照しながら、フロー別流量監視制御手順を時系列的に説明する。
【００６９】
Ｓ８．優先／帯域制御２４より出力されるパケットのうち、自装置宛については、ソフトウェア処理部２５へのフォワーディング（forwarding）を行なう。自装置宛のパケットは、ＡＲＰパケット１４とＩＣＭＰパケット１５である。
【００７０】
Ｓ９．優先／帯域制御２４より出力されるパケットのうち、他装置宛については、他装置へのフォワーディング（forwarding）を行なう。他装置宛のパケットは、ルーチングパケット１３である。
【００７１】
Ｓ１０．フォワーディング処理モジュール９のソフトウェアで終端するパケットの処理を行う。
【００７２】
Ｓ１１．流量解析動的制御部２５１は、フォワーディング処理モジュール９のソフトウェアで終端するパケットの処理が完了するたびに該当するヒット履歴格納用ＦＩＦＯ（２１）よりヒット履歴を読みだし、流量の解析と、動的制御を実行する。流量の解析は、単位時間あたりのヒット率を算定する。動的制御は、ＤｏＳ攻撃を受けていると判断した場合にフローエントリの無効化、ＱｏＳキューの帯域変更およびパケット廃棄動作である。上記動的制御は、流量解析動的制御部２５１より連想メモリ２２および優先／帯域制御部２４に対して指示される。
【００７３】
以上のフローチャートは、ＱｏＳキュー単位に優先／帯域制御を行ってから、特に自装置宛のパケットについて流量解析と動的制御を行うまでを示す。
【００７４】
特に、フローのエントリアドレスとヒット時刻がデータとして装置内のソフトウェア処理部に渡されるため、高度なデータ解析が可能となる。その結果、攻撃を受けていると判断したら、エントリの無効化、帯域制限などの防御策について保守者を介さずリアルタイムに適用できる。
【００７５】
図７は、本発明による通信装置で処理するパケットの構造である。到着するパケットのヘッダ構造は図７に示すとおりであり、ネットワークレイヤーごとヘッダを具備する。
【００７６】
レイヤ２であれば、Ｌ２ヘッダには、ＭＡＣ Ｄｓｔ（４８ビット）とＭＡＣ Ｓｒｃ（４８ビット）が該当する。
【００７７】
レイヤ３であれば、Ｌ３ヘッダには、ＩＰ Ｓｒｃ（３２ビット）とＩＰ Ｄｓｔ（３２ビット）が該当する。
【００７８】
レイヤ４であれば、Ｌ４ヘッダには、Ｐｏｒｔ Ｓｒｃ（１６ビット）とＰｏｒｔ Ｄｓｔ（１６ビット）が該当する。
【００７９】
ネットワークポリシーの適用単位となるフローは、これらのヘッダ情報に基づいて決められる。
【００８０】
ペイロード（Ｐａｙｌｏａｄ）は、パケット、フレーム、セルなどで、制御用のヘッダ部分などを除いた実データを伝送するフィールドであり、ＦＣＳ［３２ビット］は、フレーム・チェック・シーケンス（Frame check sequence）であり、受信側が伝送誤りを検出できるようにするために、送信側がフレームと呼ぶデータ転送単位の最後尾に付けるビット列である。
【００８１】
以上の構成において、Ｌ２ヘッダ、Ｌ３ヘッダ及びＬ４ヘッダのヘッダ構造は、ネットワークレイヤごとのヘッダを具備している。よって、ネットワークポリシーの適用単位となるフローは、これらのヘッダ情報に基づいて決められる。
【００８２】
図８は、本発明の一実施形態における通信装置で使用する管理テーブルの構成図である。  ＣＡＭテーブル１７ａの構造は、［フローNo.０］、［フローNo.１］、［フローNo.２］、［フローNo.３］・・・の中で、Ｌ２／Ｌ３／Ｌ４ヘッダをキーとした検索により、［フローNo.１］エントリーがヒット状態を示す。
【００８３】
ＣＡＭ（Content Addressable Memory）テーブル１７ａは、ヒットしたエントリのアドレス情報0x0000_0010をアドレスデコーダ１８に返す。
【００８４】
アドレスデコーダ１８は、ヒット履歴管理用ＦＩＦＯ（２１）に対し、［フローNo.１のヒット履歴］へヒットした時刻を格納する。
【００８５】
更に、アドレスデコーダ１８は、連想メモリ２２の［フローNo.１の処理詳細］から、ヒットしたフローに対する処理詳細である「ＱｏＳキュー（ＦＩＦＯ）番号：２」及び「有効／無効フラグ：有効」の情報を取得する。
【００８６】
以上の構成により、アドレスデコーダ１８は、ＣＡＭテーブル１７ａからフローエントリがヒットしたエントリアドレスを受信し、このエントリアドレスに対応した連想メモリ２２ａのアドレスからヒットしたフローに対する処理詳細を取得でき、且つ、ヒットした時刻をフローごとのヒット履歴管理用ＦＩＦＯ（２１）へ格納できる。
【産業上の利用可能性】
【００８７】
本発明によるフロー別流量監視制御方法および通信装置は、キュークラスではなく、フロー単位に独立した流量制御が可能となるため、他の違反フローの影響を受けなくなり、全てのプロトコル系パケットを制御対象として網羅できるため、セキュリティ対策となる。更に、プロトコルごとの処理能力に合わせて最大限の性能と、最小限の廃棄となる流量制御を実現できる。
【００８８】
以上から、不平等な廃棄率の改善、ＤｏＳ攻撃パケットの防御、保守工数の削減に貢献できる通信装置を提供でき、また、通信装置の管理者にとって利便性が大幅に向上する。
【００８９】
以上の実施態様に関し、さらに以下の付記を開示する。
（付記１）
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を含むことを特徴とするフロー別流量監視制御方法。
（付記２）
付記１において、
前記キューイングを行なうステップは、ＱｏＳキュー単位に行なうことを特徴とするフロー別流量監視制御方法。
（付記３）
付記１において、
前記サービス妨害攻撃の発生を検出するステップは、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とするフロー別流量監視制御方法。
（付記４）
付記３において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とするフロー別流量監視制御方法。
（付記５）
受信したパケットのヘッダ情報を抽出する手段と、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルと、
ヘッダ情報に示されるアドレス情報からフローを検索する手段と、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて格納する手段と、
前記アドレス情報に対応したフローの処理情報を取得する手段と、
前記検索履歴管理情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なう手段と、
前記検索履歴情報によりサービス妨害攻撃の発生を検出する手段と、
を備えることを特徴とする通信装置。
（付記６）
付記５において、
前記受信したパケットのキューイングを行なう手段は、ＱｏＳキュー単位に優先選択と帯域制御を行なうことを特徴とする通信装置。
（付記７）
付記５において、
前記サービス妨害攻撃の発生を検出する手段は、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とする通信装置。
（付記８）
付記７において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とする通信装置。
（付記９）
コンピュータに、
受信したパケットのヘッダ情報を抽出するステップと、
フロー情報と、該フロー情報に対応するアドレス情報が関連づけられたテーブルを用い、前記ヘッダ情報に示されるアドレス情報からフローを検索するステップと、
前記フローが前記テーブルに存在した場合には、前記フローに関連するアドレス情報に検索履歴情報を関連づけて検索履歴管理情報格納手段に格納するとともに、前記アドレス情報に対応したフローの処理情報を取得するステップと、
前記検索履歴情報と前記フローの処理情報を用いて前記受信したパケットのキューイングを行なうステップと、
前記検索履歴情報によりサービス妨害攻撃の発生を検出するステップと、
を実行させることを特徴とするプログラム。
（付記１０）
付記９において、
前記キューイングを行なうステップは、ＱｏＳキュー単位に行なうことを特徴とするプログラム。
（付記１１）
付記９において、
前記サービス妨害攻撃の発生を検出するステップは、読み出された自装置宛のパケットをソフトウェア処理で終端処理が完了するたびに該当する前記検索履歴情報を読み出すことを特徴とするフロー別流量監視制御方法。
前記キューイングは、ＱｏＳキュー単位に行なうことを特徴とするプログラム。
（付記１２）
付記１１において、
前記サービス妨害攻撃の発生を検出するステップは、単位時間あたりの前記検索履歴情報の発生率を算定することを特徴とするプログラム。
【符号の説明】
【００９０】
１    ＬＡＮ
２    Ｌ２ＳＷ
３１、３２    パケット
４１、４２、４３    ユーザ端末
５    ＷＡＮ
６１、６２、６３、６４    Ｌ３ＳＷ
７    通信装置（Ｌ２ＳＷ、Ｌ３ＳＷ）
８１、８２、８３    回線処理モジュール
９１、９２、９３    フォワーディング処理モジュール
１０    スイッチングモジュール
１１    装置制御モジュール
１２    パケット受信用バッファ
１３    ルーチングパケット
１４    ＡＲＰパケット
１５    ＩＣＭＰパケット
１６    フロー識別モジュール
１７    ＣＡＭ
１７ａ    ＣＡＭテーブル
１８    アドレスデコーダ
１９    時刻情報
２０    セレクタ
２１、２１ａ、２１ｂ    ヒット履歴管理用ＦＩＦＯ
２２    連想メモリ
２２ａ    連想メモリテーブル
２３    制御部
２４    優先／帯域制御部
２４１    クラシファイヤ
２４２    メインスケジューラ
２４３１、２４３２、２４３３    ＱｏＳキューアドレス管理ＦＩＦＯ
２４４    ＱｏＳ共有メモリ
２４５    セレクタ
２５    ソフトウェア処理部
２５１    流量解析動的制御部
２５２    ＡＲＰ処理モジュール
２５３    ＩＣＭＰ処理モジュール
【図１】
2012205159.tif 000003
【図２】
2012205159.tif 000004
【図３】
2012205159.tif 000005
【図４】
2012205159.tif 000006
【図５】
2012205159.tif 000007
【図６】
2012205159.tif 000008
【図７】
2012205159.tif 000009
【図８】
2012205159.tif 000010