(57)【要約】  フォールトトレラントなソフトウェア定義ネットワーキングコントローラが、アラートモードで、２次ソフトウェア定義ネットワーキングコントローラを使用することにより提供される。
2018504061.tif 000002
【特許請求の範囲】
【請求項１】
ソフトウェア定義ネットワーキングコントローラで、初期の悪質なトラフィックを検出するステップと、
前記検出するステップに応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラを開始するステップと、
前記検出するステップに応答して、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成するステップと、
前記ソフトウェア定義ネットワーキングコントローラにより、受信されるトラフィックから悪質なトラフィックをフィルタリングするステップと、
前記ソフトウェア定義ネットワーキングコントローラから、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送するステップと、
前記ソフトウェア定義ネットワーキングコントローラにより、悪質でないトラフィックを処理するステップと
を含む、方法。
【請求項２】
ソフトウェア定義ネットワーキングコントローラで、初期の悪質なトラフィックを検出するステップと、
前記検出するステップに応答して、２次ソフトウェア定義ネットワーキングコントローラと、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーとを生成するステップと、
前記ソフトウェア定義ネットワーキングコントローラにより、受信されるトラフィックから悪質なトラフィックをフィルタリングするステップと、
前記ソフトウェア定義ネットワーキングコントローラから、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送するステップと、
前記ソフトウェア定義ネットワーキングコントローラにより、悪質でないトラフィックを処理するステップと
を含む、方法。
【請求項３】
前記ソフトウェア定義ネットワーキングコントローラから、前記２次ソフトウェア定義ネットワーキングコントローラに、さらに、前記悪質でないトラフィックを転送するステップ
をさらに含む、請求項１または２に記載の方法。
【請求項４】
通常動作に戻ることが安全であるということを検出することに応答して、前記少なくとも１つの２次ソフトウェア定義コントローラを活動停止するステップ
をさらに含む、請求項１から３までのいずれかに記載の方法。
【請求項５】
通常動作に戻ることが安全であるということを検出することに応答して、各々のコピーされたフローテーブルに対して、前記フローテーブルの健全な状態を決定するステップと、
各々のコピーされたフローテーブルを、対応する健全な状態に更新するステップと
をさらに含む、請求項４に記載の方法。
【請求項６】
前記ソフトウェア定義コントローラから、処理結果を、少なくとも１つの比較ユニットに送出するステップ
をさらに含む、請求項１から５までのいずれかに記載の方法。
【請求項７】
前記２次ソフトウェア定義ネットワーキングコントローラにより、前記ソフトウェア定義ネットワーキングコントローラからの前記トラフィックを処理するステップと、
前記２次ソフトウェア定義ネットワーキングコントローラから、処理結果を、前記少なくとも１つの比較ユニットに送出するステップと
をさらに含む、請求項６に記載の方法。
【請求項８】
前記比較ユニットで、前記ソフトウェア定義ネットワーキングコントローラからの前記処理結果を、前記２次ソフトウェア定義ネットワーキングコントローラからの前記処理結果と比較するステップと、
前記比較ユニットから、前記比較結果を、処理結果として、前記少なくとも１つのトラフィック転送レイヤ装置に送出するステップと
をさらに含む、請求項７に記載の方法。
【請求項９】
前記比較ユニットにより、１つまたは複数のポリシールールを取得するステップと、
前記１つまたは複数のポリシールールを、前記比較するステップで使用して、前記比較結果を決定するステップと
をさらに含む、請求項８に記載の方法。
【請求項１０】
前記２次ソフトウェア定義ネットワーキングコントローラにより、前記ソフトウェア定義ネットワーキングコントローラからの前記トラフィックを処理するステップと、
前記２次ソフトウェア定義ネットワーキングコントローラから、処理結果を、前記少なくとも１つのトラフィック転送レイヤ装置に送出するステップと
をさらに含む、請求項１から５までのいずれかに記載の方法。
【請求項１１】
２次ソフトウェア定義コントローラで、制御トラフィックを、１次ソフトウェア定義ネットワーキングコントローラから受信するステップと、
前記２次ソフトウェア定義ネットワーキングコントローラにより、前記制御トラフィックを、前記２次ソフトウェア定義ネットワーキングコントローラが前記１次ソフトウェア定義ネットワーキングコントローラとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うステップと、
前記２次ソフトウェア定義ネットワーキングコントローラから、処理結果を、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置に送出すること、または、前記２次ソフトウェア定義ネットワーキングコントローラから、処理結果を、比較ユニットに、前記１つもしくは複数のトラフィック転送レイヤ装置に転送されるように送出することの１つを遂行するステップと
を含む、方法。
【請求項１２】
前記処理結果はルーティング命令を含む、請求項１１に記載の方法。
【請求項１３】
１次ソフトウェア定義ネットワーキングコントローラから、悪質でない制御トラフィックに関係する第１の処理結果を受信するステップと、
２次ソフトウェア定義ネットワーキングコントローラから、少なくとも悪質な制御トラフィックに関係する第２の処理結果を受信するステップと、
前記第１の処理結果を、前記第２の処理結果と比較するステップと、
前記比較結果を、処理結果として、前記１次ソフトウェア定義ネットワーキングコントローラから、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置に送出するステップと
を含む、方法。
【請求項１４】
比較ユニットにより、１つまたは複数のポリシールールを取得するステップと、
前記１つまたは複数のポリシールールを、前記比較するステップで使用して、前記比較結果を決定するステップと
をさらに含む、請求項１３に記載の方法。
【請求項１５】
制御レイヤ装置であって、
少なくとも１つのプロセッサと、
前記プロセッサにより実行されることになる命令を記憶するための少なくとも１つのメモリと
を備え、
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
ソフトウェア定義ネットワーキングコントローラ機能性と、
受信される初期の悪質なトラフィックを検出することと、
前記検出することに応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラを開始することと、
前記検出することに応答して、前記ソフトウェア定義ネットワーキングコントローラとしての前記制御レイヤ装置により制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成することと、
受信されるトラフィックから悪質なトラフィックをフィルタリングすることと、
前記２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送することと、
前記フィルタリングされた悪質でないトラフィックを処理することと
を遂行することを引き起こすように構成される、制御レイヤ装置。
【請求項１６】
制御レイヤ装置であって、
少なくとも１つのプロセッサと、
前記プロセッサにより実行されることになる命令を記憶するための少なくとも１つのメモリと
を備え、
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
ソフトウェア定義ネットワーキングコントローラ機能性と、
初期の悪質なトラフィックを検出することと、
前記検出することに応答して、２次ソフトウェア定義ネットワーキングコントローラと、前記ソフトウェア定義ネットワーキングコントローラとしての前記制御レイヤ装置により制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、１つの修正可能コピーとを生成することと、
受信されるトラフィックから悪質なトラフィックをフィルタリングすることと、
前記２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送することと、
前記ソフトウェア定義ネットワーキングコントローラにより、悪質でないトラフィックを処理することと
を遂行することを引き起こすように構成される、制御レイヤ装置。
【請求項１７】
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
前記２次ソフトウェア定義ネットワーキングコントローラに、さらに、前記悪質でないトラフィックを転送すること
を遂行することをさらに引き起こすように構成される、
請求項１５または１６に記載の制御レイヤ装置。
【請求項１８】
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
通常動作に戻ることが安全であるということを検出することに応答して、前記少なくとも１つの２次ソフトウェア定義コントローラを活動停止すること
を遂行することをさらに引き起こすように構成される、
請求項１５から１７までのいずれかに記載の制御レイヤ装置。
【請求項１９】
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
通常動作に戻ることが安全であるということを検出することに応答して、各々のコピーされたフローテーブルに対して、前記フローテーブルの健全な状態を決定することと、
各々のコピーされたフローテーブルを、対応する健全な状態に更新することと
を遂行することをさらに引き起こすように構成される、
請求項１８に記載の制御レイヤ装置。
【請求項２０】
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
前記ソフトウェア定義コントローラから、処理結果を、少なくとも１つの比較ユニットに送出すること
を遂行することをさらに引き起こすように構成される、
請求項１５から１９までのいずれかに記載の制御レイヤ装置。
【請求項２１】
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
通常動作に戻ることが安全であるということを、対応する指示をセキュリティ制御ユニットから受信することに応答してのみで検出すること
を遂行することをさらに引き起こすように構成される、
請求項１８から２０までのいずれかに記載の制御レイヤ装置。
【請求項２２】
制御レイヤ装置であって、
少なくとも１つのプロセッサと、
前記プロセッサにより実行されることになる命令を記憶するための少なくとも１つのメモリと
を備え、
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
制御トラフィックを、１次ソフトウェア定義ネットワーキングコントローラから受信することに応答して、前記制御トラフィックを、前記制御レイヤ装置が前記１次ソフトウェア定義ネットワーキングコントローラとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うことと、
処理結果を、比較ユニット、および、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置の１つに送出することと
を遂行することを引き起こすように構成される、制御レイヤ装置。
【請求項２３】
制御レイヤ装置であって、
少なくとも１つのプロセッサと、
前記プロセッサにより実行されることになる命令を記憶するための少なくとも１つのメモリと
を備え、
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
１次ソフトウェア定義ネットワーキングコントローラから、悪質でない制御トラフィックに関係する第１の処理結果を、および、前記１次ソフトウェア定義ネットワーキングコントローラの２次ソフトウェア定義ネットワーキングコントローラから、少なくとも悪質な制御トラフィックに関係する第２の処理結果を受信することに応答して、前記第１の処理結果を、前記第２の処理結果と比較することと、
前記比較結果を、処理結果として、前記１次ソフトウェア定義ネットワーキングコントローラから、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置に送出することと
を遂行することを引き起こすように構成される、制御レイヤ装置。
【請求項２４】
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
１つまたは複数のポリシールールを取得することと、
前記１つまたは複数のポリシールールを、前記比較することで使用して、前記比較結果を決定することと
を遂行することをさらに引き起こすように構成される、
請求項２３に記載の制御レイヤ装置。
【請求項２５】
請求項１から６までのいずれかに記載の方法を実装するための手段、および／または、請求項１１もしくは１２に記載の方法を実装するための手段、および／または、請求項１３もしくは１４に記載の方法を実装するための手段を備える装置。
【請求項２６】
前記装置は、通常動作に戻ることが安全であるということを、対応する指示をセキュリティ制御ユニットから受信することに応答してのみで検出するように構成される、請求項２５に記載の装置。
【請求項２７】
命令を記憶した非一時的コンピュータ可読媒体であって、前記命令は、装置により実行されるときに、前記装置が、
ソフトウェア定義ネットワーキングコントローラとして動作することと、
初期の悪質なトラフィックを検出することに応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラを開始することと、
前記初期の悪質なトラフィックに応答して、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成することと、
受信されるトラフィックから悪質なトラフィックをフィルタリングすることと、
前記２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送することと、
前記フィルタリングされた悪質でないトラフィックを処理することと
を引き起こす、非一時的コンピュータ可読媒体。
【請求項２８】
命令を記憶した非一時的コンピュータ可読媒体であって、前記命令は、装置により実行されるときに、前記装置が、
ソフトウェア定義ネットワーキングコントローラとして動作することと、
初期の悪質なトラフィックを検出することに応答して、２次ソフトウェア定義ネットワーキングコントローラと、前記ソフトウェア定義ネットワーキングコントローラとしての制御レイヤ装置により制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、１つの修正可能コピーとを生成することと、
受信されるトラフィックから悪質なトラフィックをフィルタリングすることと、
前記２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、前記悪質なトラフィックを転送することと、
前記フィルタリングされた悪質でないトラフィックを処理することと
を引き起こす、非一時的コンピュータ可読媒体。
【請求項２９】
前記装置が、前記２次ソフトウェア定義ネットワーキングコントローラに、さらに、前記悪質でないトラフィックを転送することをさらに引き起こす、請求項２８に記載の非一時的コンピュータ可読媒体。
【請求項３０】
前記装置が、処理結果を、少なくとも１つの比較ユニットに送出することをさらに引き起こす、請求項２８または２９に記載の非一時的コンピュータ可読媒体。
【請求項３１】
命令を記憶した非一時的コンピュータ可読媒体であって、前記命令は、装置により実行されるときに、前記装置が、
制御トラフィックを、１次ソフトウェア定義ネットワーキングコントローラから受信することに応答して、前記制御トラフィックを、前記装置が前記１次ソフトウェア定義ネットワーキングコントローラとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うことと、
処理結果を、比較ユニット、および、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置の１つに送出することと
を引き起こす、非一時的コンピュータ可読媒体。
【請求項３２】
命令を記憶した非一時的コンピュータ可読媒体であって、前記命令は、装置により実行されるときに、前記装置が、
１次ソフトウェア定義ネットワーキングコントローラから受信される、悪質でない制御トラフィックに関係する第１の処理結果を、前記１次ソフトウェア定義ネットワーキングコントローラの２次ソフトウェア定義ネットワーキングコントローラから受信される、少なくとも悪質な制御トラフィックに関係する第２の処理結果と比較することと、
前記比較結果を、処理結果として、前記１次ソフトウェア定義ネットワーキングコントローラから、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置に送出することと
を引き起こす、非一時的コンピュータ可読媒体。
【請求項３３】
前記装置が、
１つまたは複数のポリシールールを取得することと、
前記１つまたは複数のポリシールールを、前記比較することで使用して、前記比較結果を決定することと
をさらに引き起こす、請求項３２に記載の非一時的コンピュータ可読媒体。
【請求項３４】
コンピュータプログラム製品であって、前記コンピュータプログラムが実行されるときに、装置を、請求項１から１４までのいずれか１項に記載の方法のステップの任意のものを遂行するように構成するプログラム命令を含む、コンピュータプログラム製品。
【請求項３５】
少なくとも１つのフローテーブルを使用する少なくとも１つのトラフィック転送レイヤ装置と、
前記少なくとも１つのトラフィック転送レイヤ装置の少なくとも１つを制御し、請求項１から５までのいずれかに記載の方法を遂行するように構成される、少なくとも１つのソフトウェア定義ネットワーキングコントローラと、
ネットワークエンティティであって、前記ネットワークエンティティに対して、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つの、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラが、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つからの、請求項１０に記載の方法を遂行するための、対応する命令を受信することに応答して、開始されるように生成され得る、ネットワークエンティティと
を備え、
前記少なくとも１つのフローテーブルの、前記少なくとも１つの修正可能コピーの少なくとも１つは、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラにより、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラが開始された後に使用される、システム。
【請求項３６】
少なくとも１つのフローテーブルを使用する少なくとも１つのトラフィック転送レイヤ装置と、
前記少なくとも１つのトラフィック転送レイヤ装置の少なくとも１つを制御し、請求項６に記載の方法を遂行するように構成される、少なくとも１つのソフトウェア定義ネットワーキングコントローラと、
ネットワークエンティティであって、前記ネットワークエンティティに対して、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つの、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラが、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つからの、
請求項１３または１４に記載の方法を遂行するように構成される少なくとも１つの比較ユニット
に対する、対応する命令を受信することに応答して、開始されるように生成され得る、ネットワークエンティティと
を備え、
前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラは、開始された後に、制御トラフィックを、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つから受信することに応答して、前記制御トラフィックを、前記装置が前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うことと、処理結果を、前記少なくとも１つの比較ユニットの少なくとも１つに送出することとを行うように構成される、システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信に関係する。
【背景技術】
【０００２】
ソフトウェア定義ネットワーキング（ＳＤＮ）と呼ばれるネットワーキングパラダイムでは、より低いレベルの機能性は、データ転送（ｆｏｒｗａｒｄｉｎｇ）（データプレーン）を、ルーティングおよびリソース割り当てなどの、上部にある制御判断から切り離すことにより抽象化される。このことは、１つまたは複数のソフトウェアベースＳＤＮコントローラによって実現されるものであり、それらのＳＤＮコントローラによって、下部にあるネットワークは、下部にあるネットワークハードウェアから独立したＳＤＮコントローラによってプログラマブルになることが可能となる。典型的にはＳＤＮネットワークでは、ＳＤＮコントローラはさらには、制御されるネットワークスイッチの任意のものから物理的に分離されるが、それらのスイッチから遠隔に必ずしも位置させられるわけではない。
【発明の概要】
【０００３】
ある態様によって、独立請求項の主題が提供される。実施形態は、従属請求項で定義される。
以下では本発明を、より詳細に、好ましい実施形態によって、添付の図面を参照して説明する。
【図面の簡単な説明】
【０００４】
【図１】例示的な実施形態による、システムの単純化されたアーキテクチャ、および、一部の装置のブロック線図を示す図である。
【図２】例示的な機能性を例解するフローチャートである。
【図３】例示的な情報交換および機能性を例解する図である。
【図４】例示的な情報交換および機能性を例解する図である。
【図５】例示的な装置の概略ブロック線図である。
【発明を実施するための形態】
【０００５】
以下の実施形態は、例示的なものである。本明細書では、「ａｎ」、「１つの」、または「一部の」実施形態に、いくつかの場所で言及することがあるが、このことは、各々のそのような言及が、同じ実施形態に対するものであるということ、または、特徴が、単一の実施形態に適用されるのみであるということを必ずしも意味しない。異なる実施形態の単一の特徴は、さらには、他の実施形態を提供するために組み合わされ得る。
【０００６】
本発明は、ソフトウェア定義ネットワーキングをサポートするように構成される任意のネットワーク／システム、および、そのようなネットワーク／システム内のエンティティ／ノード／装置に適用可能である。そのようなネットワーク／システムの例は、ＬＴＥ（ロングタームエボリューション）アクセスシステムベースネットワーク、ワールドワイドインターオペラビリティフォーマイクロウェーブアクセス（ＷｉＭＡＸ）ベースネットワーク、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）ベースネットワーク、ＬＴＥアドバンスト（ＬＴＥ−Ａ）ベースネットワーク、ならびに、４Ｇ（第４世代）および５Ｇ（第５世代）などのビヨンドＬＴＥ−Ａ（ｂｅｙｏｎｄ  ＬＴＥ−Ａ）ベースネットワーク、インターネットプロトコルを使用するクラウドネットワーク、メッシュネットワーク、ならびに、ＬＴＥダイレクトおよびモバイルアドホックネットワーク（ＭＡＮＥＴ）などのアドホックネットワークを含む。
【０００７】
ソフトウェア定義ネットワーキングアーキテクチャは、３つのレイヤ：スイッチのような異なるネットワークデバイスを備えるインフラストラクチャレイヤ、ネットワークインテリジェンスが論理的に集中させられるソフトウェアベースＳＤＮコントローラを備える制御レイヤ、および、異なるアプリケーションに対するアプリケーションレイヤを有する。結果としてネットワークは、アプリケーションには、１つまたは複数のアプリケーションプログラミングインターフェイスによってアクセス可能な、単一の論理スイッチとして見える。ネットワークデバイスは単純化され得るものであり、なぜならば、ＳＤＮコントローラからの命令のおかげで、それらのデバイスはもはや、複数のプロトコル標準を理解および処理することを必要とせず、ネットワークデバイスが、ＳＤＮコントローラに対する通信インターフェイスを有し、インターフェイスを介しての使用となるように定義される通信プロトコルを使用するように構成されるということが、事足りるものであるからである。通信プロトコルは、例えば、正当プロトコルまたはオープン標準プロトコルであり得る。しかしながら、異なるシステム、ネットワーク、およびプロトコルの仕様は、急速に発展する。そのような発展は、実施形態に対する付帯的な変化を要することがある。したがって、すべての単語および表現を、幅広く解釈すべきであり、それらの単語および表現は、実施形態を例解することを、実施形態を制約しないことを意図される。例えば将来のネットワークは、十中八九、ネットワーク機能仮想化（ＮＦＶ）を利用することになり、そのＮＦＶは、ネットワークノード機能を、「ビルディングブロック」、すなわち、動作的に動的に、インスタンス化され、一体に、接続され、またはリンクされ得るエンティティに仮想化して、ネットワークサービスを提供することを提案する、ネットワークアーキテクチャ概念である。
【０００８】
例示的なＳＤＮシステム１００のきわめて一般的なアーキテクチャが、図１で例解される。図１は、一部の要素および機能エンティティを示すのみである、単純化されたシステムアーキテクチャであり、それらの要素および機能エンティティはすべて、論理ユニットであり、それらの論理ユニットの実装形態は、示されるものとは異なることがある。システムが、例解されない他の機能および構造、例えば、アプリケーションレイヤ内のアプリケーションを備えるということは、当業者には明らかである。
【０００９】
例示的なシステム１００は、制御レイヤ装置１１０と、スイッチ、ルータ、またはブリッジ、または他の対応するトラフィック転送エンティティなどのトラフィック転送レイヤ装置１２０とを備える。実装形態では、トラフィック転送レイヤ装置１２０内に、データおよび制御情報を含む、入来するネットワークトラフィックに対して、１つの物理接続（１つまたは複数の異なるサブ接続／チャネルに分割され得る）が存し、トラフィック転送レイヤ装置１２０は、制御トラフィックを、制御レイヤ装置１１０内のＳＤＮコントローラ１１１に転送する。別の実装形態では、データおよび制御プレーントラフィックは、混合されるのではなく、制御レイヤ装置１１０内に、ＳＤＮコントローラへの入来するネットワーク制御情報に対して、１つの物理接続が、および、入来するネットワークデータトラフィックに対して、トラフィック転送レイヤ装置１２０内に、１つの物理接続が存する。
【００１０】
例解される例では制御レイヤ装置１１０は、ＳＤＮコントローラ１１１と、マルウェア検出構成要素１１２と、１つまたは複数のポリシーを含むメモリ１１３と、比較器ユニット１１４と、セキュリティ制御ユニット１１５とを備える。さらに、ＳＤＮコントローラは、例ではアラートモード（状態）にあるので、そのＳＤＮコントローラは２次ＳＤＮコントローラ１１１’を備え、メモリ１１３は、フローテーブルの少なくとも２つのコピー：読み取り専用コピー、および、１つまたは複数の修正可能（読み書き）コピーを含む。下記では読み取り専用コピーは、フローテーブルの安全コピーと呼ばれ、その読み取り専用コピーは、フローテーブルの、いわば１次コピーであり、一種の２次コピーである修正可能コピー（更新可能コピー）は、フローテーブルの一時コピーと呼ばれる。典型的には、ただし必須ではないが、フローテーブルおよび対応するコピーは、トラフィック転送レイヤ装置固有のものである。本明細書ではコピーは、元のものと正確に同じである、または、元のものと同様である、または、元のものとはわずかに異なる（すなわち、元のものの異形）ことがある何らかのものを意味する。換言すれば、元のものの中の一部の情報がコピー内にないかどうかは問題ではなく、そのコピーは、それでもなおコピーである。さらに、あらかじめ定義されたポリシー（すなわち、１つまたは複数のポリシールール）は、ＳＤＮコントローラ１１１により制御されるすべてのトラフィック転送レイヤ装置１２０に共通であり得るものであり、あるいは、ポリシーの、１つもしくは複数、またはすべては、トラフィック転送レイヤ装置の１つまたは一部に専用であり得る。装置は１つのエンティティとして図示されるが、異なる構成要素が、異なる物理エンティティ内に位置することがあり、それらの構成要素は、ソフトウェア、ハードウェア、ファームウェア、または、それらの任意の組み合わせとして実装され得るということを認識すべきである。
【００１１】
ＳＤＮコントローラは、ＳＤＮネットワークのコアである。上記で述べたように、そのＳＤＮコントローラは、一方の端部でのネットワークデバイス（トラフィック転送レイヤ装置）と、他方の端部でのアプリケーションとの間にあり、アプリケーションとネットワークデバイスとの間のいかなる通信も、ＳＤＮコントローラを通り抜けなければならない。ＳＤＮコントローラはさらには、ＯｐｅｎＦｌｏｗ、ボーダーゲートウェイプロトコル、ならびに／または、同様のルーティングおよび管理プロトコルなどの、１つまたは複数のプロトコルを使用して、ネットワークデバイスを構成し、最適ネットワーク経路をアプリケーショントラフィックに対して選定する。換言すればＳＤＮコントローラは、フロー制御を管理し、ネットワークデバイス（トラフィック転送レイヤ装置）に、どこにパケットを送出すべきかを伝える。例解される例ではこの情報は、トラフィック転送レイヤ装置１２０内で維持される、１つまたは複数のフローテーブル（図１では例解されない）によって提供される。テーブル構造の代わりに、ルーティング情報および／またはリソース割り当て情報を提供する任意の他のデータ構造が使用され得るということを認識すべきである。
【００１２】
ＳＤＮコントローラ１１１は、ＳＤＮネットワーク内のクリティカルな構成要素であるので、ＳＤＮコントローラ１１１が、マルウェアトラフィックにより攻撃されるときでさえ機能し続け得るということを確実にする機構が、フローテーブルの安全コピー、フローテーブルの一時コピー、および、１つまたは複数の２次ＳＤＮコントローラを、通常モードがアラートモードに変化させられるときに生成するための、ならびに、セッティングを、アラートモードが通常モードに変化させられるときにリセットするためのモードユニット１１１−１と、悪質なトラフィック（ｍａｌｉｃｉｏｕｓ  ｔｒａｆｆｉｃ）および悪質でないトラフィック（ｎｏｎ−ｍａｌｉｃｉｏｕｓ  ｔｒａｆｆｉｃ）をアラートモードで分離するためのフィルタユニット１１１−２とにより提供される。機構は、ＳＤＮコントローラが、通常モードで、または、アラートモードでのいずれかで機能するということを確実にする。普通は、ただし必ずではないが、２次ＳＤＮコントローラは常に、ゼロの状態から生成される。ゆえにリソースは、不必要に２次コントローラに対して予約されず、リソースは、２次コントローラが必要とされるときにのみ受け取られ、使用される。しかしながら、ウェイクアップ／開始される準備が常に整った２次ＳＤＮコントローラを有することは、実現可能なことである。そのような「ホットスタンバイ」は、ネットワークレイテンシを低減することになり、２次ＳＤＮコントローラを初期化するための時間は、必要とされないことになり、１つまたは複数のフローテーブルを送出するだけのことが、事足りるものである。「ホットスタンバイ」特徴は、セーフティクリティカルネットワーク／システムで、低いネットワークレイテンシがクリティカルであるネットワーク／システムで、および、高い内在性の負荷のもとでのネットワーク／システムで、有用であり得る。実装形態に依存して、２次ＳＤＮコントローラは、一般的なタイプのもの（１つのＳＤＮコントローラに対する１つの２次ＳＤＮコントローラ）、または、トラフィック転送レイヤ装置固有の２次ＳＤＮコントローラ（１つのトラフィック転送レイヤ装置に対する１つの２次ＳＤＮコントローラ）、または、それらの任意の組み合わせであり得る。
【００１３】
２次ＳＤＮコントローラ１１１’は、ハニーポットとして働くように生成され、すなわちその２次ＳＤＮコントローラ１１１’は、すべてのトラフィックを、その２次ＳＤＮコントローラ１１１’が、通常モードで作動するＳＤＮコントローラ１１１であるかのように処理し、ゆえに、ＳＤＮコントローラとして、悪質なトラフィックの発信者には見える。しかしながら、２次ＳＤＮコントローラ１１１’は、トラフィック転送レイヤ装置１２０内のフローテーブルに書き込むことを可能とされない。そのことのおかげで、攻撃がネットワーク／システムの残りに影響を与えるということが回避される。
【００１４】
マルウェア検出構成要素１１２は、機構の部分でもある。どのようにマルウェア検出構成要素１１２が悪質なトラフィックを検出するかの機能性は、重要性をもたず、任意の知られている、または将来の方法が使用され得る。マルウェア検出構成要素１１２は、ネットワークデバイスであり、すなわち、制御レイヤ内になく、ゆえに、制御レイヤ装置１１０に含まれないこともある。さらに別の代替案は、マルウェア検出構成要素１１２が、制御レイヤ内の別々のデバイスであるということである。トラフィック転送レイヤ装置は、入来するトラフィックをマルウェア検出構成要素に方向設定するように構成され得るものであり、または、入来するトラフィックは、トラフィック転送レイヤ装置に、マルウェア検出構成要素を経由して到着し得るものであり、または、ＳＤＮコントローラへの制御プレーントラフィックは、マルウェア検出構成要素を経由して送信され得る。
【００１５】
例解される例では制御レイヤ装置１１０は、機構の部分として、比較器ユニット１１４（比較ユニット）を、および、メモリ１１３内に１つまたは複数のポリシーを備えるが、機構は、それらなしで同様に実装され得る。比較器ユニット１１４の機能性を、より詳細に下記で、図４とともに説明する。
【００１６】
セキュリティ制御ユニット１１５は、機構の部分でもある。セキュリティ制御ユニット１１５は、管理インターフェイスを提供し、その管理インターフェイスを介して、通常モードにリセットするように命令するユーザ入力などの管理コマンドが受信され得る。セキュリティ制御ユニットは、さらには他のセキュリティに関係付けられるアクションを管理し得る。実装形態に依存して、セキュリティ制御ユニット１１５は、制約されたオペレーションシステム環境で、すなわちサンドボックスで作動するように構成される、ＳＤＮコントローラの部分であり得るものであり、そのことによって、セキュリティ制御ユニット機能性は、ＳＤＮコントローラの機能性から分離されるものであり、またはセキュリティ制御ユニット１１５は、別々のノード／制御レイヤ装置内に位置し得る。実装形態に関わらず、ＳＤＮコントローラが、アラートモードから通常モードに、命令がセキュリティ制御センタから／を経由して受信される場合にのみ、戻るように構成されるときに、攻撃に対するセキュアな手段が提供される。
【００１７】
下記の例では、明瞭性のために、トラフィック転送レイヤ装置はスイッチであるということ、および、１つのフローテーブルを伴う１つのスイッチのみが関与させられるということを、それらの例をそのような解決策に制約することなく想定する。どのようにそれらの例を、いくつかのスイッチもしくは対応するネットワークデバイス／トラフィック転送レイヤ装置がＳＤＮコントローラにより制御される、および／または、２つ以上のフローテーブルが関与させられる、および／または、２つ以上の２次ＳＤＮコントローラが関与させられる状況に対して実装すべきか、は、当業者に対して明らかである。
【００１８】
図２は、比較器ユニットが実装されない例示的な実装形態での、ＳＤＮコントローラの機能性を例解するフローチャートである。
【００１９】
図２を参照すると、通常モードでＳＤＮコントローラは、ＳＤＮコントローラが受信する制御トラフィックを通常に処理する（ステップ２０１）ことを、悪質なトラフィックが検出される（ステップ２０２）という情報がマルウェア検出構成要素から受信されるまで行う。その情報を受信することに応答して、ＳＤＮコントローラのモードは、通常からアラートに変化する。例えば、トラフィックが悪質である確率を指示する値が、トラフィックに付加されることがあり、確率に対する値が、あらかじめセットされた限界を超えるならば、ＳＤＮコントローラは、トラフィックを悪質として扱うように構成される。他の例は、トラフィックが悪質であるか否かを明示的に指示する、１つもしくは複数の追加的なパラメータの使用、または、発信アドレスを、例えば、トラフィックが悪質であるか否かを決定するために使用することを含む。
【００２０】
アラートモードの始まりでは、ＳＤＮコントローラは３つの生成動作を遂行する。ＳＤＮコントローラは、ステップ２０３で、スイッチ内の１つまたは複数のフローテーブルの安全コピーを生成することを、対応する情報をスイッチから取得し、１つまたは複数の安全コピーをメモリに記憶することにより行う。フローテーブルの安全コピーは、検出された、可能性のある攻撃の直前の、スイッチ内の現在の知られている状態の読み取り専用コピーである。ＳＤＮコントローラは、ステップ２０４で、さらに、スイッチから取得される１つまたは複数のフローテーブルの一時コピーを生成し、１つまたは複数の一時コピーをメモリに記憶する。フローテーブルの一時コピーは、書き込み可能コピーであり、その書き込み可能コピーの使用は、下記で図３および４とともに例解されている。加えてＳＤＮコントローラは、ステップ２０５で、２次ＳＤＮコントローラを、ハニーポットとして働くように生成する。２次ＳＤＮコントローラの機能性は、通常モードでのＳＤＮコントローラの機能性と同様であるが、２次ＳＤＮコントローラは、１つまたは複数の一時フローテーブルを更新するように構成され、ゆえに、スイッチ内のフローテーブルを更新することはできないという例外を伴う。２次コントローラがすでに終了するならば、その２次コントローラを開始することが、事足りるものであるということを認識すべきである。
【００２１】
制御トラフィックがアラートモードで受信される（ステップ２０６）とき、制御トラフィックが悪質であるか否かがチェックされる（ステップ２０７）。悪質なトラフィックは、ステップ２０８で２次ＳＤＮコントローラに送出され、悪質でない制御トラフィックは、ステップ２０９で通常に処理される。別の実装形態ではさらに、悪質でない制御トラフィックのコピーが、２次ＳＤＮコントローラに送出されるものであり、悪質な制御トラフィックは、それがＳＤＮコントローラにより処理されないことになるようにフィルタリングされるということが、事足りるものであるということを認識すべきである。
【００２２】
制御トラフィックがハンドリングされた後（すなわち、ステップ２０８またはステップ２０９の後）、または、制御トラフィックが受信されないならば、ステップ２１０で、通常モードにリセットするための指示が受信されるか否かがチェックされる。そうでないならば、プロセスはステップ２０６に戻って、制御トラフィックがスイッチから受信されるかどうかを監視する。
【００２３】
通常モードにリセットするための指示は、セキュリティ制御ユニットから、または、セキュリティ制御ユニットを経由してのユーザ入力として受信され得る。典型的には、ただし必須ではないが、通常モードは、アラートモードから、悪質なトラフィックが終了する、ならびに／または、悪質な制御トラフィックが分析、ロギングされた、および、１つもしくは複数の一時フローテーブルが処理された後に入られ得る。当然のこととして、分析、ログ、および安全コピー、および一時フローテーブルは、さらなる悪質なトラフィック区別および検出のためのルールを構築するために使用され得る。
【００２４】
通常モードにリセットするための指示が受信されるとき、リセットがステップ２１１で遂行され、そのステップ２１１の後、プロセスはステップ２０１に進行して、ＳＤＮコントローラが受信する制御トラフィックを通常に処理する。リセットでは、２次ＳＤＮコントローラは活動停止（ｓｈｕｔ  ｄｏｗｎ）／破棄され、ハニーポットスキームは、もはや使用されない。フローテーブルに対するリセットは、いくつかの形で遂行され得る。例えば、１つまたは複数の一時テーブルが（人により、または特定のソフトウェアにより、またはそれらの任意の組み合わせのいずれかで）健全であることを認められるならば、それらの一時テーブルは、スイッチ内の対応する１つまたは複数のフローテーブルであるようにコピーされる。別の選択肢は、１つまたは複数の安全コピーを、スイッチに戻すようにコピーすることである。さらに、さらなる代替案は、スイッチが、スイッチ内の１つまたは複数のフローテーブルの使用を、それらのフローテーブルを置換することなく続けることを可能とすることである。さらに別の代替案は、１つまたは複数の健全なフローテーブルを、スイッチ内の１つまたは複数のフローテーブル、１つまたは複数の安全コピー、および、１つまたは複数の一時フローテーブルから計算することである。
【００２５】
比較器ユニットを備える実装形態では、アラートモードで悪質でない制御トラフィックは、ほとんど通常であるように処理される（ステップ２０９）が、例外は、命令をスイッチに送出する代わりに、命令は比較器ユニットに送出されるということである。
【００２６】
図３は、例示的な情報交換を例解するフローチャートであり、その情報交換の部分は、装置の中の内部的なものであり得る。図３で例解される例は、比較器ユニットを備えない実装形態に関係する。さらに例では、アラートモードでのすべての制御トラフィックは、２次ＳＤＮコントローラに転送されるということ、および、２次ＳＤＮコントローラはすべての時間に存在し、そのことによってその２次ＳＤＮコントローラは、開始されることのみを必要とするということを想定する。しかしながら、どのようにその例を、悪質な制御トラフィックのみが２次ＳＤＮコントローラに転送される、および／または、２次ＳＤＮコントローラが、生成されることを必要とする場合に実装すべきか、は、当業者には明白である。図３を参照すると、ＳＤＮコントローラＳＤＮ−Ｃは、通常モードにあり、メッセージ３−１で、悪質でない制御トラフィックを受信し、そのメッセージを処理し、命令をメッセージ３−２で、スイッチに送出して、そのスイッチのフローテーブルＦＴを更新する。スイッチは、フローテーブルＦＴをメッセージ３−３により更新する。メッセージ３−２は例えば、「ｕｐｄａｔｅＴａｂｌｅ（ｘ，Ｒ）」であり得るものであり、メッセージ３−３は、「Ａｄｄ  Ｒ」、「Ｄｅｌｅｔｅ  Ｒ」、または「Ｍｏｄｉｆｙ  Ｒ」であり得る。
【００２７】
次いでＳＤＮ−Ｃは、悪質な制御トラフィックを指示するメッセージ３−４を受信し、ポイント３−５で、通常モードからアラートモードに移る。ＳＤＮ−Ｃは、メッセージ３−６により、スイッチ内のフローテーブルのコピーを取得する／取り出す。次いでＳＤＮ−Ｃは、ポイント３−７で、フローテーブルの安全コピーＳ−ＦＴを、取得されたコピーを使用して生成し、一時フローテーブルＴ−ＦＴを、取得されたコピーを使用して生成する。次いで、フローテーブルのコンテンツが、メッセージ３−８および３−９で、対応して、安全コピーおよび一時フローテーブルのコンテンツとなるように移される。メッセージ３−８および３−９は、「ｇｅｔＣｕｒｒｅｎｔＴａｂｌｅｓ」であり得る。別の例ではメッセージ３−６は、「ｇｅｔＣｕｒｒｅｎｔＴａｂｌｅｓ」であり得るものであり、メッセージ３−８および３−９は、「ｕｐｄａｔｅＴａｂｌｅｓ」であり得る。さらに、２次ＳＤＮコントローラＳ−ＳＤＮ−Ｃが、メッセージ３−１１により開始される。メッセージ３−１１は、「Ｓｔａｒｔ」または「Ｓｐａｗｎ」であり得る。Ｓ−ＳＤＮ−Ｃが生成される例では、追加的なメッセージが、Ｓ−ＳＤＮ−Ｃを生成および開始するために必要とされ得る。
【００２８】
次いでＳＤＮ−Ｃは、制御トラフィックをメッセージ３−１２で受信し、そのメッセージのコピーをＳ−ＳＤＮ−Ｃに、メッセージ３−１２’で送出する。Ｓ−ＳＤＮ−Ｃは、制御トラフィックを、そのＳ−ＳＤＮ−Ｃが、通常モードにあるＳＤＮ−Ｃであるかのように処理し、一時フローテーブルを、結果に対応するように、メッセージ３−１３により更新する。さらに、Ｓ−ＳＤＮ−Ｃはハニーポットとして機能するので、そのＳ−ＳＤＮ−Ｃは、メッセージ３−１４をスイッチに送出し、そのことによってスイッチは、制御トラフィックに対する通常戻り値を受信する。そのことのおかげで、悪質な制御トラフィックの送出者は、制御トラフィックを処理するＳＤＮコントローラが変化したということを検出しないはずである。制御トラフィックに対する通常戻り値、すなわち、メッセージ３−１４での処理結果は、例えば、ルーティング情報および／またはリソース割り当てを含み得る。
【００２９】
メッセージ３−１２のコピーを送出することに加えて、ＳＤＮ−Ｃは、ポイント３−１５で、悪質なトラフィックを、受信される制御トラフィックからフィルタリングすることを、悪質と指示されるパケットが取り除かれる／フィルタリング除去されるように行い、悪質でないトラフィックを通常モードでのように処理し、メッセージ３−１６で、制御トラフィックに対する通常戻り値をスイッチに送出し、そのことによってスイッチは、例えば、そのスイッチのフローテーブルを更新し得る。制御トラフィックに対する通常戻り値、すなわち、メッセージ３−１６での処理結果は、例えば、ルーティング情報および／またはリソース割り当てを含み得る。
【００３０】
図４は、例示的な情報交換を例解するフローチャートであり、その情報交換の部分は、装置の中の内部的なものであり得る。図４で例解される例は、受け入れ可能なフローテーブル構成の範囲を定義する、１つまたは複数のあらかじめ定義されたポリシーを利用する比較器ユニットを備える実装形態に関係する。１つまたは複数のあらかじめ定義されたポリシーの他の例は、制御トラフィックが悪質である確率に対するしきい値、例えば具体的に、発生源、および、フローテーブルの発生源に関する要件を含む。例解される例では、ＳＤＮコントローラＳＤＮ−Ｃは、すでにアラートモードにあるということ、および、すべての制御トラフィックは、２次ＳＤＮコントローラに転送されるということを想定する。どのようにその例を、悪質な制御トラフィックのみが２次ＳＤＮコントローラに転送される場合に実装すべきか、は、当業者には明白である。
【００３１】
図４を参照すると、ＳＤＮ−Ｃは、メッセージ４−１で制御トラフィックを受信し、そのメッセージのコピーを２次ＳＤＮコントローラＳ−ＳＤＮ−Ｃに、メッセージ４−１’で送出する。Ｓ−ＳＤＮ−Ｃは、制御トラフィックを、そのＳ−ＳＤＮ−ＣがＳＤＮ−Ｃであるかのように処理し、メッセージ４−２を比較器に送出するものであり、メッセージ４−２は、プロセスの結果に関する情報を内包し、結果は、一時フローテーブルに対する更新を含む。メッセージ４−２での処理結果は、例えば、ルーティング情報および／またはリソース割り当てを含み得る。
【００３２】
メッセージ４−１のコピーを送出することに加えて、ＳＤＮ−Ｃは、ポイント４−３で、悪質なトラフィックを、受信される制御トラフィックからフィルタリングし、悪質でないトラフィックを通常モードでのように処理し、メッセージ４−４で、プロセスの結果に関する情報を比較器に送出するものであり、結果は、スイッチ内で維持されるフローテーブルに対する更新を含む、制御トラフィックに対する通常戻り値である。メッセージ４−４での処理結果は、例えば、ルーティング情報および／またはリソース割り当てを含み得る。
【００３３】
比較器は、算出で必要とされる、１つまたは複数のあらかじめ定義されたポリシーを取得する（メッセージ４−５）。比較器は、ポイント４−６で、フローテーブルデルタ（差）、および更新テーブルコマンドなどの、更新の間の差、ならびに、現在の一時フローテーブル状態に関する他の影響を算出する。他の影響の例は、ルーティング更新が、知られているスパミング範囲内のアドレスを有する、知られている「スパマ」から来たということを含む。そのようなスパマは、ブラックリスト上のサーバであり得る。例解される例では、比較器は、算出された差が、ポリシーで定められた要件を満たすということを見出し、メッセージ４−７をスイッチに送出し、そのことによってスイッチは、制御トラフィックに対する通常戻り値を受信し、例えば、フローテーブルを更新し得るということを想定する。制御トラフィックに対する通常戻り値、すなわち、メッセージ４−７での比較結果は、例えば、ルーティング情報および／またはリソース割り当てを含み得る。
【００３４】
１つまたは複数のポリシーの例は、以下の２つのルールを、解決策をそのようなルールに制約することなく含む。
ＡＬＬＯＷ  ｉｆ  ｃ１．ｕｐｄａｔｅＴａｂｌｅ（…）  ＝＝  ｃ２．ｕｐｄａｔｅＴａｂｌｅ（…）
ＡＬＬＯＷ  ｉｆ
ａｐｐｌｙ（Ｆ，ｃ１．ｕｐｄａｔｅＴａｂｌｅ（…））◎ａｐｐｌｙ（Ｆ，ｃ２．ｕｐｄａｔｅＴａｂｌｅ（…））  ＜  εＦ
ここで、
ｃ１はＳＤＮ−Ｃを表象し、
ｃ２はＳ−ＳＤＮ−Ｃを表象し、
Ｆは、１つまたは複数のフローテーブルからなり得るフローテーブル構造を表象し、
◎は、算出された更新テーブルの間の比較を表象し、
εＦは、２つの比較されるテーブルの間の最大差であって、その範囲内で、有効なフローテーブル構造が取得可能である最大差、すなわち、フローテーブルの差に対する測定基準である。
【００３５】
ＩＰアドレスの比較などの、差に対する何らかの種類の測定基準を生み出す、任意のルールおよび任意の比較が使用され得るということを認識すべきである。さらに、任意の測定基準または境界が、差を決定するときに使用され得る。
【００３６】
比較器が、算出された差（ｄｉｆｆｅｒｅｎｃｉｅｓ）が、ポリシーで定められた要件を満たさない、例えば、差が、可能とされる最大差より大きいということを見出すならば、比較器は、１つもしくは複数の、警告、および／もしくはエラー、および／もしくはクリティカルシステム障害、その他を発行するように、または、何もしないように構成され得る。構成は、あらかじめセットされた構成である、または、１つもしくは複数のポリシー（ポリシールール）で定義される、または、それらの任意の組み合わせであることがある。
【００３７】
フローテーブルの安全コピー、および一時フローテーブルに加えて、フローテーブルの任意の数のコピーが生成され得るものであり、一時フローテーブルの任意の数のコピーが、任意の段階で同様に生成され得るということを認識すべきである。
【００３８】
上記から明白であるように、フォールトトレラントなソフトウェア定義ネットワーキングコントローラが、アラートモード機能性、および、ハニーポット様式での２次ソフトウェア定義ネットワーキングコントローラの使用によって提供される。
【００３９】
図２、３、および４での、上記で説明した、ステップ／ポイント、メッセージ（すなわち、情報交換）、および、関係付けられる機能は、決して絶対的な経時的な順序でのものではなく、ステップ／ポイントおよび／または情報交換の一部は、同時に、または、所与のものとは異なる順序で遂行され得る。他の機能がさらに、ステップ／ポイントの間で、または、ステップ／ポイント内で実行され得るものであり、他のメッセージが送出され得る。例えばアラートモードでは、ＳＤＮコントローラは、通知をセキュリティ制御ユニットに、または、そのセキュリティ制御ユニットを経由して、ＳＤＮコントローラを管理するエンティティに送出し得る。ステップ／ポイント／メッセージの一部、または、ステップ／ポイント／メッセージの部分はさらに、省かれる、または、対応するステップ／ポイント／メッセージ、もしくは、ステップ／ポイント／メッセージの部分により置換されることがある。
【００４０】
本明細書で説明する技法は、様々な手段により実装され得るものであり、そのことによって、実施形態／例／実装形態によって説明する、対応する制御レイヤ装置／ネットワークノードの、１つまたは複数の機能を実装する、装置／ネットワークノードは、従来技術手段のみでなく、さらには、実施形態によって説明する、対応する制御レイヤ装置の、１つまたは複数の機能を実装するための手段を備え、その装置／ネットワークノードは、各々の別々の機能に対する別々の手段を備え得るものであり、または手段は、２つ以上の機能を遂行するように構成され得る。例えば、ＳＤＮコントローラ、および／またはモードユニット、および／またはフィルタユニット、および／または２次ＳＤＮコントローラ、および／または比較器ユニット、および／またはアルゴリズムは、ソフトウェア、および／またはソフトウェア−ハードウェア、および／またはハードウェア、および／またはファームウェア構成要素（読み取り専用メモリなどの媒体上に消えないように記録される、または、ハードワイヤードコンピュータ回路網で実施される）、または、それらの組み合わせであり得る。ソフトウェアコードは、任意の適したプロセッサ／コンピュータ可読データ記憶媒体、またはメモリユニット、または製造品に記憶され、１つもしくは複数のプロセッサ／コンピュータ、ハードウェア（１つまたは複数の装置）、ファームウェア（１つまたは複数の装置）、ソフトウェア（１つまたは複数のモジュール）、または、それらの組み合わせにより実行され得る。ファームウェアまたはソフトウェアに対しては、実装形態は、本明細書で説明する機能を遂行するモジュール（例えば、プロシージャ、関数等々）によるものであり得る。
【００４１】
図５は、少なくとも、ＳＤＮコントローラ、および／もしくはモードユニット、および／もしくはフィルタユニット、および／もしくは２次ＳＤＮコントローラ、および／もしくは比較器ユニットを、または、ハイブリッドもしくは分散型のシナリオが集中型の実装形態の代わりに実装されるならば、対応する機能性、もしくは、対応する機能性の一部を備える制御レイヤ装置であるように構成される装置５００に対する、一部のユニットを例解する、単純化されたブロック線図である。例解される例では装置は、情報を受信および送信するためのインターフェイス（ＩＦ）５０１と、本明細書で説明する、少なくとも、ＳＤＮコントローラ、および／もしくはモードユニット、および／もしくはフィルタユニット、および／もしくは２次ＳＤＮコントローラ、および／もしくは比較器ユニットを、または、対応する機能性の少なくとも部分をサブユニット機能性として、対応するアルゴリズム５０３によって、実装するように構成されるプロセッサ５０２と、ＳＤＮコントローラ、および／もしくはモードユニット、および／もしくはフィルタユニット、および／もしくは２次ＳＤＮコントローラ、および／もしくは比較器ユニット、または、対応するユニットもしくはサブユニットに対して要されるコンピュータプログラムコード、すなわち、機能性を実装するためのアルゴリズムを記憶するために使用可能なメモリ５０４とを備える。メモリ７０４はさらに、安全コピーおよび／または一時フローテーブルのような、他の可能な情報を記憶するために使用可能である。
【００４２】
換言すれば、制御レイヤ装置を提供するように構成される装置、または、１つもしくは複数の対応する機能性を提供するように構成される装置は、実施形態／例／実装形態によって説明する、対応する装置機能性の１つまたは複数を遂行するように構成される、任意の装置、またはデバイス、または機器、またはノードであり得る、コンピューティングデバイスであり、そのコンピューティングデバイスは、異なる実施形態／例／実装形態からの機能性を遂行するように構成され得る。上記で制御レイヤ装置によって説明した、ＳＤＮコントローラ、および／またはモードユニット、および／またはフィルタユニット、および／または２次ＳＤＮコントローラ、および／または比較器ユニット、ならびに、対応するユニット、およびサブユニット、および他のユニットは、別の物理装置内に位置させられても、分散型の物理装置が、機能性を提供する１つの論理装置を形成する、別々のユニットであり得るものであり、または、同じ装置内の別のユニットに統合され得る。
【００４３】
制御レイヤ装置を提供するように構成される装置、または、１つもしくは複数の対応する機能性を提供するように構成される装置は、一般的には、装置のメモリに、および様々なインターフェイスに接続される、プロセッサ、コントローラ、制御ユニット、マイクロコントローラ、または類するものを含み得る。一般的には、プロセッサは中央処理ユニットであるが、プロセッサは、追加的な演算プロセッサであり得る。本明細書で説明するユニット／サブユニットおよび／またはアルゴリズムの、各々、または一部、または１つは、コンピュータ、または、シングルチップコンピュータ要素などのプロセッサもしくはマイクロプロセッサとして、あるいは、少なくとも、算術演算に対して使用される記憶領域を提供するためのメモリと、算術演算を実行するための演算プロセッサとを含むチップセットとして構成され得る。上記で説明したユニット／サブユニットおよび／またはアルゴリズムの、各々、または一部、または１つは、１つまたは複数の実施形態／実装形態／例の、１つまたは複数の機能を履行するような形で、コンピュータプログラムコード（１つまたは複数のアルゴリズム）をダウンロードすることにより、プログラムされている、および／または、プログラムされることになる、１つまたは複数の、コンピュータプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、デジタル信号プロセッサ（ＤＳＰ）、デジタル信号処理デバイス（ＤＳＰＤ）、プログラマブル論理デバイス（ＰＬＤ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および／または、他のハードウェア構成要素を備え得る。実施形態は、１つまたは複数のプロセッサ／コンピュータにより実行可能なプログラム命令であって、それらの命令は、装置内にロードされるときに、ＳＤＮコントローラ、および／またはモードユニット、および／またはフィルタユニット、および／または２次ＳＤＮコントローラ、および／または比較器ユニットを成す、プログラム命令を含む、任意のクライアント可読配布（ｃｌｉｅｎｔ−ｒｅａｄａｂｌｅ  ｄｉｓｔｒｉｂｕｔｉｏｎ）／データ記憶媒体、またはメモリユニット、または製造品上で実施されるコンピュータプログラムを提供する。プログラム製品とも呼ばれ、ソフトウェアルーチン、「プログラムライブラリ」を成すプログラムスニペット、アプレット、およびマクロを含む、プログラムは、任意の媒体に記憶され得るものであり、装置内にダウンロードされ得る。換言すれば、上記で説明したユニット／サブユニットおよび／またはアルゴリズムの、各々、または一部、または１つは、１つまたは複数の算術論理ユニットと、いくつかの特殊レジスタと、制御回路とを備える要素であり得る。
【００４４】
さらに、制御レイヤ装置を提供するように構成される装置、または、１つもしくは複数の対応する機能性を提供するように構成される装置は、一般的には、揮発性および／または不揮発性メモリ、例えば、ＥＥＰＲＯＭ、ＲＯＭ、ＰＲＯＭ、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭ、二重フローティングゲート電界効果トランジスタ、ファームウェア、プログラマブル論理、その他を含み、典型的には、コンテンツ、データ、または類するものを記憶し得る。メモリ、または複数のメモリは、任意のタイプのものであり（互いとは異なる）、任意の可能な記憶構造を有し、要されるならば、任意のデータベース管理システムにより管理されていることがある。換言すればメモリは、プロセッサ内の、または、プロセッサの外部の、任意のコンピュータ使用可能非一時的媒体であり得るものであり、その事例ではそのメモリは、プロセッサに、様々な手段を介して通信可能に結合され得る。メモリはさらに、プロセッサが、例／実施形態による装置の動作に関連するステップを遂行するための、ソフトウェアアプリケーション（例えば、ユニット／サブユニット／アルゴリズムの１つまたは複数に対する）もしくはオペレーティングシステムなどのコンピュータプログラムコード、情報、データ、コンテンツ、または類するものを記憶し得る。メモリ、またはその部分は、例えば、装置内で、または、装置の外部で実装される、ランダムアクセスメモリ、ハードドライブ、または、他の固定データメモリもしくは記憶デバイスであり得るものであり、その事例では、そのメモリ、またはその部分は、装置に、当技術分野で知られているような様々な手段を介して通信可能に結合され得る。外部メモリの例は、装置に取り外し可能に接続されるリムーバブルメモリ、分散型データベース、およびクラウドサーバを含む。
【００４５】
制御レイヤ装置を提供するように構成される装置、または、１つもしくは複数の対応する機能性を提供するように構成される装置は、一般的には、１つまたは複数の受信ユニット、および、１つまたは複数の送出／送信ユニットなどの、異なるインターフェイスユニットを備え得る。受信ユニットおよび送信ユニットは各々、装置内のインターフェイスを提供し、インターフェイスは、送信器および／もしくは受信器、または、情報を受信および／もしくは送信するための任意の他の手段を含み、必要な機能を遂行し、そのことによって情報その他は、受信および／または送出され得る。
【００４６】
さらに、装置は他のユニットを備え得る。
【００４７】
技術が進歩するにつれて、発明的な概念は様々な形で実装され得るということは、当業者には明白であろう。本発明、およびその実施形態は、上記で説明した例に制限されるのではなく、特許請求の範囲の範囲内で変動し得る。
【図１】
2018504061.tif 000003
【図２】
2018504061.tif 000004
【図３】
2018504061.tif 000005
【図４】
2018504061.tif 000006
【図５】
2018504061.tif 000007
【手続補正書】
【提出日】平成29年7月28日(2017.7.28)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ソフトウェア定義ネットワーキングコントローラで、初期の悪質なトラフィックを検出するステップと、
前記検出するステップに応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラの開始または生成をトリガするステップと、
前記検出するステップに応答して、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成するステップと、
前記ソフトウェア定義ネットワーキングコントローラにより、受信されるトラフィックから悪質なトラフィックをフィルタリングするステップと、
前記ソフトウェア定義ネットワーキングコントローラにより、悪質でないトラフィックを処理するステップと、
前記ソフトウェア定義ネットワーキングコントローラから、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送するステップと、前記ソフトウェア定義ネットワーキングコントローラから、前記２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる前記悪質なトラフィックと前記悪質でないトラフィックとを転送するステップと、のうち１つを遂行するステップと
を含む、悪質なトラフィックに対する方法。
【請求項２】
初期の悪質なトラフィックを指示する情報をマルウェア検出構成要素から受信することに応答して、検出を遂行するステップ
をさらに含む、請求項１に記載の方法。
【請求項３】
通常動作に戻ることが安全であるということを検出することに応答して、前記少なくとも１つの２次ソフトウェア定義コントローラを活動停止するステップ
をさらに含む、請求項１または２のいずれかに記載の方法。
【請求項４】
通常動作に戻ることが安全であるということを検出することに応答して、各々のコピーされたフローテーブルに対して、前記フローテーブルの健全な状態を決定するステップと、
各々のコピーされたフローテーブルを、対応する健全な状態に更新するステップと
をさらに含む、請求項３に記載の方法。
【請求項５】
前記ソフトウェア定義コントローラから、処理結果を、少なくとも１つの比較ユニットに送出するステップ
をさらに含む、請求項１から４までのいずれかに記載の方法。
【請求項６】
前記２次ソフトウェア定義ネットワーキングコントローラにより、前記ソフトウェア定義ネットワーキングコントローラからの前記トラフィックを処理するステップと、
前記２次ソフトウェア定義ネットワーキングコントローラから、処理結果を、前記少なくとも１つの比較ユニットに送出するステップと
をさらに含む、請求項５に記載の方法。
【請求項７】
前記比較ユニットで、前記ソフトウェア定義ネットワーキングコントローラからの前記処理結果を、前記２次ソフトウェア定義ネットワーキングコントローラからの前記処理結果と比較するステップと、
前記比較ユニットから、前記比較結果を、処理結果として、前記少なくとも１つのトラフィック転送レイヤ装置に送出するステップと
をさらに含む、請求項６に記載の方法。
【請求項８】
前記比較ユニットにより、１つまたは複数のポリシールールを取得するステップと、
前記１つまたは複数のポリシールールを、前記比較するステップで使用して、前記比較結果を決定するステップと
をさらに含む、請求項７に記載の方法。
【請求項９】
前記２次ソフトウェア定義ネットワーキングコントローラにより、前記ソフトウェア定義ネットワーキングコントローラからの前記トラフィックを処理するステップと、
前記２次ソフトウェア定義ネットワーキングコントローラから、処理結果を、前記少なくとも１つのトラフィック転送レイヤ装置に送出するステップと
をさらに含む、請求項１から４までのいずれかに記載の方法。
【請求項１０】
２次ソフトウェア定義コントローラで、制御トラフィックを、１次ソフトウェア定義ネットワーキングコントローラから受信するステップであって、前記制御トラフィックが、悪質なトラフィックか、悪質な及び悪質でないトラフィックの両方か、を含むステップと、
前記２次ソフトウェア定義ネットワーキングコントローラにより、前記制御トラフィックを、前記２次ソフトウェア定義ネットワーキングコントローラが前記１次ソフトウェア定義ネットワーキングコントローラとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うステップと、
前記２次ソフトウェア定義ネットワーキングコントローラから、ルーティング命令を含む処理結果を、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置のうちの１つと比較ユニットに、前記１つもしくは複数のトラフィック転送レイヤ装置に転送されるように送出するステップと
を含む、悪質なトラフィックに対する方法。
【請求項１１】
１次ソフトウェア定義ネットワーキングコントローラから、悪質でない制御トラフィックに関係する第１の処理結果を受信するステップと、
２次ソフトウェア定義ネットワーキングコントローラから、悪質な制御トラフィックと、悪質な及び悪質でない制御トラフィックの両方と、のうちの一方に関係する第２の処理結果を受信するステップと、
比較ユニットにより、１つまたは複数のポリシールールを取得するステップと、
前記１つまたは複数のポリシールールを使用して、比較結果を決定するべく、前記第１の処理結果を前記第２の処理結果と比較するステップと、
前記比較結果を、処理結果として、前記１次ソフトウェア定義ネットワーキングコントローラから、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置に送出するステップと
を含む、悪質なトラフィックに対する方法。
【請求項１２】
制御レイヤ装置であって、
少なくとも１つのプロセッサと、
前記プロセッサにより実行されることになる命令を記憶するための少なくとも１つのメモリと
を備え、
前記少なくとも１つのメモリ、および前記命令は、前記少なくとも１つのプロセッサによって、前記装置が、少なくとも、
ソフトウェア定義ネットワーキングコントローラ機能性と、
受信される初期の悪質なトラフィックを検出することと、
前記検出することに応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラの開始または生成をトリガすることと、
前記検出することに応答して、前記ソフトウェア定義ネットワーキングコントローラとしての前記制御レイヤ装置により制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成することと、
受信されるトラフィックから悪質なトラフィックをフィルタリングすることと、
前記フィルタリングされた悪質でないトラフィックを処理することと、
前記２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送することと、前記ソフトウェア定義ネットワーキングコントローラから前記２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる前記悪質なトラフィックと前記悪質でないトラフィックとを転送することと、のうち１つを遂行することと
を遂行することを引き起こすように構成される、悪質なトラフィックに対する制御レイヤ装置。
【請求項１３】
初期の悪質なトラフィックの受信を検出するための手段と、
前記検出するための手段に応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラの開始または生成をトリガするための手段と、
前記検出するための手段に応答して、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成するための手段と、
受信されるトラフィックから悪質なトラフィックをフィルタリングするための手段と、
悪質でないトラフィックを処理するための手段と、
前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる悪質なトラフィックを転送することと、前記２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる前記悪質なトラフィックと前記悪質でないトラフィックとを転送することと、のうち１つを遂行するための手段と
を備えるソフトウェア定義ネットワーキングコントローラ
を備える悪質なトラフィックに対する装置。
【請求項１４】
前記ソフトウェア定義ネットワーキングコントローラは、通常動作に戻ることが安全であるということを、対応する指示をセキュリティ制御ユニットから受信することに応答してのみで検出するように構成される、請求項１２に記載の装置。
【請求項１５】
前記ソフトウェア定義ネットワーキングコントローラは、請求項２から５までのいずれかに記載の方法を遂行するための手段をさらに備える、請求項１４に記載の装置。
【請求項１６】
前記ソフトウェア定義ネットワーキングコントローラはさらに、
通常動作に戻ることが安全であるということを検出することに応答して、各々のコピーされたフローテーブルに対して、前記フローテーブルの健全な状態を決定するための手段と、
各々のコピーされたフローテーブルを、対応する健全な状態に更新するための手段と
をさらに備える、請求項１５に記載の装置。
【請求項１７】
１次ソフトウェア定義ネットワーキングコントローラから受信された制御トラフィックを処理するよう構成された２次ソフトウェア定義コントローラであって、前記制御トラフィックが、悪質なトラフィックか、悪質な及び悪質でないトラフィックの両方か、を含み、前記２次ソフトウェア定義ネットワーキングコントローラが前記１次ソフトウェア定義ネットワーキングコントローラとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うよう構成された２次ソフトウェア定義コントローラを作動するための手段と、
前記２次ソフトウェア定義ネットワーキングコントローラから、ルーティング命令を含む処理結果を、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置のうちの１つと比較ユニットに、前記１つもしくは複数のトラフィック転送レイヤ装置に転送されるように送出するための手段と
を備える悪質なトラフィックに対する装置。
【請求項１８】
１次ソフトウェア定義ネットワーキングコントローラから、悪質でない制御トラフィックに関係する第１の処理結果を受信するための手段と、
２次ソフトウェア定義ネットワーキングコントローラから、悪質な制御トラフィックと、悪質な及び悪質でない制御トラフィックの両方と、のうちの一方に関係する第２の処理結果を受信するための手段と、
比較ユニットにより、１つまたは複数のポリシールールを取得するための手段と、
前記１つまたは複数のポリシールールを使用して、比較結果を決定するべく、前記第１の処理結果を前記第２の処理結果と比較するための手段と、
前記比較結果を、処理結果として、前記１次ソフトウェア定義ネットワーキングコントローラから、前記１次ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置に送出するための手段と
を備える悪質なトラフィックに対する装置。
【請求項１９】
コンピュータプログラムであって、前記コンピュータプログラムが装置上で実行された時に、
ソフトウェア定義ネットワーキングコントローラ機能性と、
受信される初期の悪質なトラフィックを検出することと、
前記検出することに応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラの開始または生成をトリガすることと、
前記検出することに応答して、前記ソフトウェア定義ネットワーキングコントローラとしての前記制御レイヤ装置により制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成することと、
受信されるトラフィックから悪質なトラフィックをフィルタリングすることと、
前記フィルタリングされた悪質でないトラフィックを処理することと、
前記２次ソフトウェア定義ネットワーキングコントローラに、少なくとも、処理されることになる前記悪質なトラフィックを転送することと、前記ソフトウェア定義ネットワーキングコントローラから前記２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる前記悪質なトラフィックと前記悪質でないトラフィックとを転送することと、のうち１つを遂行することと
を前記装置に遂行させるよう構成されたプログラム命令を含む、コンピュータプログラム。
【請求項２０】
少なくとも１つのフローテーブルを使用する少なくとも１つのトラフィック転送レイヤ装置と、
前記少なくとも１つのトラフィック転送レイヤ装置の少なくとも１つを制御し、
初期の悪質なトラフィックの受信を検出するための手段と、
前記検出するための手段に応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラの開始または生成をトリガするための手段と、
前記検出するための手段に応答して、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成するための手段と、
受信されるトラフィックから悪質なトラフィックをフィルタリングするための手段と、
悪質でないトラフィックを処理するための手段と、
前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる悪質なトラフィックを転送することと、前記２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる前記悪質なトラフィックと前記悪質でないトラフィックとを転送することと、のうち１つを遂行するための手段と
を備える、少なくとも１つのソフトウェア定義ネットワーキングコントローラと、
ネットワークエンティティであって、前記ネットワークエンティティに対して、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つの、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラが、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つからの、少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つから受信された制御トラフィックの処理であって、前記受信された制御トラフィックが、悪質なトラフィックか、悪質な及び悪質でないトラフィックの両方か、を含み、前記２次ソフトウェア定義ネットワーキングコントローラが前記少なくとも１つのソフトウェア定義ネットワーキングコントローラのうち少なくとも１つとなるかのような処理をし、すべての制御トラフィックを悪質でないとして扱うための、そして、前記２次ソフトウェア定義ネットワーキングコントローラから、ルーティング命令を含む処理結果を、少なくとも１つのトラフィック転送レイヤ装置のうちの１つと比較ユニットに、前記少なくとも１つのトラフィック転送レイヤ装置に転送されるように送出するための対応する命令を受信することに応答して、開始されるように生成され得る、ネットワークエンティティと
を備え、
前記少なくとも１つのフローテーブルの、前記少なくとも１つの修正可能コピーの少なくとも１つは、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラにより、前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラが開始された後に使用される、悪質なトラフィックに対するシステム。
【請求項２１】
少なくとも１つの比較ユニットと
少なくとも１つのフローテーブルを使用する少なくとも１つのトラフィック転送レイヤ装置と、
前記少なくとも１つのトラフィック転送レイヤ装置の少なくとも１つを制御し、
初期の悪質なトラフィックの受信を検出するための手段と、
前記検出するための手段に応答して、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラの開始または生成をトリガするための手段と、
前記検出するための手段に応答して、前記ソフトウェア定義ネットワーキングコントローラにより制御される少なくとも１つのトラフィック転送レイヤ装置内の各々のフローテーブルの、少なくとも１つの読み取り専用コピー、および、少なくとも１つの修正可能コピーを生成するための手段と、
受信されるトラフィックから悪質なトラフィックをフィルタリングするための手段と、
悪質でないトラフィックを処理するための手段と、
前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる悪質なトラフィックを転送することと、前記２次ソフトウェア定義ネットワーキングコントローラに、処理されることになる前記悪質なトラフィックと前記悪質でないトラフィックとを転送することと、のうち１つを遂行するための手段と、
処理結果を前記少なくとも１つの比較ユニットに送出する手段と
を備える、少なくとも１つのソフトウェア定義ネットワーキングコントローラと、
ネットワークエンティティであって、前記ネットワークエンティティに対して、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つの、少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラが、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つからの、
少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つから、悪質でない制御トラフィックに関係する第１の処理結果を受信するための手段と、
少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラから、悪質な制御トラフィックと、悪質な及び悪質でない制御トラフィックの両方と、のうちの一方に関係する第２の処理結果を受信するための手段と、
前記比較ユニットにより、１つまたは複数のポリシールールを取得するための手段と、
前記１つまたは複数のポリシールールを使用して、比較結果を決定するべく、前記第１の処理結果を前記第２の処理結果と比較するための手段と、
前記比較結果を、処理結果として、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの少なくとも１つから、少なくとも１つのトラフィック転送レイヤ装置の少なくとも１つに送出するための手段と
を備える少なくとも１つの比較ユニット
に対する、対応する命令を受信することに応答して、開始されるように生成され得る、ネットワークエンティティと
を備え、
前記少なくとも１つの２次ソフトウェア定義ネットワーキングコントローラは、開始された後に、制御トラフィックを、前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つから受信することに応答して、前記制御トラフィックを、前記装置が前記少なくとも１つのソフトウェア定義ネットワーキングコントローラの前記少なくとも１つとなるかのように処理し、すべての制御トラフィックを悪質でないとして扱うことと、処理結果を、前記少なくとも１つの比較ユニットの少なくとも１つに送出することとを行うように構成される、悪質なトラフィックのためのシステム。
【国際調査報告】
2018504061.tif 000008
2018504061.tif 000009
2018504061.tif 000010