(57)【要約】      （修正有）【課題】大量アクセスに対して頑健な通信システム、通信方法及びプログラムを提供する。【解決手段】通信システム１０００は、通信装置１００、通信制御装置２００を有する。通信装置１００は、パケットを受信するパケット受信部１０１、所定の条件に一致するパケットを、条件に対応付けられた方法で処理するパケット処理部１０５、パケットが条件に一致しない場合、第１の通知を送信するＰａｃｋｅｔ−ｉｎ送信部１０３を有する。通信制御装置２００は、第１の通知を受信するＰａｃｋｅｔ−ｉｎ受信部２０１、第１の通知の受信数に基づく指標が第１の条件を満たす場合、パケット受信部１０１におけるパケットの受信を制限する通信制限指示部２０５を有する。【選択図】図１
2016163180.tif 000002
【特許請求の範囲】
【請求項１】
パケットを受信するパケット受信部と、
所定の条件に一致する前記パケットを、前記条件に対応付けられた方法で処理するパケット処理部と、
前記パケットが前記条件に一致しない場合、第１の通知を送信するＰａｃｋｅｔ−ｉｎ送信部と、を有する通信装置と、
前記第１の通知を受信するＰａｃｋｅｔ−ｉｎ受信部と、
前記第１の通知の受信数に基づく指標が第１の条件を満たす場合、前記パケット受信部における前記パケットの受信を制限する通信制限指示部と、を有する通信制御装置と、を有する
通信システム。
【請求項２】
前記通信制限指示部は、前記第１の通知の受信数に基づく指標が前記第１の条件を満たす場合、前記パケット受信部における前記パケットの受信レートを制限する
請求項１記載の通信システム。
【請求項３】
前記通信制限指示部は、前記第１の通知の受信数に基づく指標が前記第１の条件を満たす場合、前記パケット受信部における前記パケットの受信を停止させる
請求項１又は２記載の通信システム。
【請求項４】
前記通信制限指示部は、前記パケット受信部における前記パケットの受信を停止させた後、所定時間経過後に前記パケットの受信を再開させる
請求項３記載の通信システム。
【請求項５】
前記通信制限指示部は、前記第１の通知が送信された前記パケットの前記条件及び前記処理方法を生成し、前記パケット処理部に通知する
請求項１乃至４いずれか１項記載の通信システム。
【請求項６】
前記第１の指標は、前記通信制御装置又は前記パケットの送信先の能力に応じて決定される
請求項１乃至５いずれか１項記載の通信システム。
【請求項７】
通信装置が、
パケットを受信するパケット受信ステップと、
所定の条件に一致する前記パケットを、前記条件に対応付けられた方法で処理するパケット処理ステップと、
前記パケットが前記条件に一致しない場合、第１の通知を送信するＰａｃｋｅｔ−ｉｎ送信ステップと、
通信制御装置が、
前記第１の通知を受信するＰａｃｋｅｔ−ｉｎ受信ステップと、
前記第１の通知の受信数に基づく指標が第１の条件を満たす場合、前記パケット受信ステップにおける前記パケットの受信を制限する通信制限指示ステップと、を有する
通信方法。
【請求項８】
通信装置又は通信制御装置に、請求項７記載の前記通信装置又は前記通信制御装置情報にかかるステップを実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は通信システム、通信方法、及びプログラムに関し、例えば動的な経路制御機能を有するネットワークにおいて、大量アクセスに効率的に対処する技術に関する。
【背景技術】
【０００２】
Ｓｏｆｔｗａｒｅ  Ｄｅｆｉｎｅｄ  Ｎｅｔｗｏｒｋｉｎｇ（ＳＤＮ）と呼ばれるネットワーク制御技術が知られている。例えば、ＯｐｅｎＦｌｏｗ（登録商標）はＳＤＮの代表的な技術であり、ネットワークの経路制御機能と、パケット転送機能とを分離することで、ソフトウェアによる柔軟なネットワーク管理を実現している。具体的には、ＯｐｅｎＦｌｏｗは、制御アプリケーション、ネットワークの経路制御を行うコントローラ、コントローラの指示に従ってパケットの転送処理等を行うスイッチにより構成される。
【０００３】
一方、ネットワークの安全性を確保することは、ネットワーク管理者にとって重要な課題である。特に最近では、多数の端末等を操作し、ターゲットサーバに対して大量のトラフィックを送信するＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃等が増加している。ＤｏＳ攻撃等を受けたネットワークにおいては、例えばルータやファイアウォールの処理能力の低下、ターゲットサーバの処理能力低下、膨大なログによるディスク資源の大量消費等の被害が発生する。また、攻撃者は、送信元アドレスを詐称すること等が多いため、通常、ネットワーク管理者が攻撃者を正確に特定することは困難である。そのため、攻撃者を排除するための有効な対策を講じることができない。
【０００４】
特に、ＯｐｅｎＦｌｏｗのような動的な経路制御機能を有するネットワークにおいては、ＤｏＳ攻撃等の短時間大量アクセスを受けた場合、スイッチからコントローラに対して短時間に大量の新規フロー問合せ（Ｐａｃｋｅｔ−ｉｎ）が発生する。この場合、何も対策を講じなければ、コントローラやパケット転送先のサーバには過剰な処理負荷がかかり、処理不能に陥る可能性もある。
【０００５】
この点、ＯｐｅｎＦｌｏｗ技術を使ってネットワークの制御を行うシステムに対してＤｏＳ攻撃等が発生した場合、コントローラがパケット配信元ユーザの認証（アクセス可否判定）を行ったり、定義パタンに基づいて不正パケットを判別及び廃棄することにより、スイッチにかかる負荷を抑制する手法が提案されている（一例として特許文献１参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−０７０３２５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、配信元ユーザの認証処理や、不正パケットの判別処理は、これらの処理自体にある程度の情報処理コストを要する。特にＤｏＳ攻撃等により瞬間的かつ大量に不正パケットがスイッチに到達し、スイッチからコントローラに大量のＰａｃｋｅｔ−ｉｎが送信された場合、コントローラはこれらの認証処理又は判別処理によって過負荷となり、処理不能に陥る可能性がある。そのため、ＤｏＳ攻撃等に対するより効率的な対処方法が求められている。
【０００８】
本発明は、このような問題点を解決するためになされたものであり、大量アクセスに対して頑健な通信システム、通信方法、及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る通信システムは、パケットを受信するパケット受信部と、所定の条件に一致する前記パケットを、前記条件に対応付けられた方法で処理するパケット処理部と、前記パケットが前記条件に一致しない場合、第１の通知を送信するＰａｃｋｅｔ−ｉｎ送信部と、を有する通信装置と、前記第１の通知を受信するＰａｃｋｅｔ−ｉｎ受信部と、前記第１の通知の受信数に基づく指標が第１の条件を満たす場合、前記パケット受信部における前記パケットの受信を制限する通信制限指示部と、を有する通信制御装置と、を有する。
【００１０】
本発明にかかる通信方法は、通信装置が、パケットを受信するパケット受信ステップと、所定の条件に一致する前記パケットを、前記条件に対応付けられた方法で処理するパケット処理ステップと、前記パケットが前記条件に一致しない場合、第１の通知を送信するＰａｃｋｅｔ−ｉｎ送信ステップと、通信制御装置が、前記第１の通知を受信するＰａｃｋｅｔ−ｉｎ受信ステップと、前記第１の通知の受信数に基づく指標が第１の条件を満たす場合、前記パケット受信ステップにおける前記パケットの受信を制限する通信制限指示ステップと、を有する。
【００１１】
本発明にかかるプログラムは、通信装置又は通信制御装置に、上記通信装置又は上記通信制御装置情報にかかるステップを実行させるためのプログラムである。
【発明の効果】
【００１２】
本発明により、大量アクセスに対して頑健な通信システム、通信方法、及びプログラムを提供することができる。
【図面の簡単な説明】
【００１３】
【図１】実施の形態にかかる通信システム１０００の構成を示す図である。
【図２】実施の形態にかかる通信システム１０００の動作を示す図である。
【図３】実施の形態にかかる通信システム１０００の利用例を示す図である。
【発明を実施するための形態】
【００１４】
はじめに、本発明の実施の形態の理解を容易にするため、本実施の形態の背景及び概要について説明する。
【００１５】
本実施の形態は、ＯｐｅｎＦｌｏｗのような動的な経路制御機能を有するネットワークを前提とする。このようなネットワークにおいて、スイッチは、パケットを識別するための条件と、当該条件に合致するパケットの処理方法と、を対応付けたルール（以下、フロー）の集合を予め保持している。スイッチは、パケットを受信すると、このフローに基づいて、所定の転送先にパケットを転送したり、パケットを廃棄するなどの処理を行う。
【００１６】
なお、もしフローに予め定義された条件に合致しない、すなわち未定義のパケットを受信した場合、スイッチは、当該パケットの処理方法をコントローラに問い合わせる（新規フロー問合せ、Ｐａｃｋｅｔ−ｉｎ）。コントローラは、Ｐａｃｋｅｔ−ｉｎに応じて新たなフローを生成し、生成したフローをスイッチに返送する。そしてスイッチは、コントローラから受信した新しいフローに基づき、上記パケットを処理する。
【００１７】
このような動的な経路制御機能を有するネットワークにおいては、仮にＤｏＳ攻撃のような大量アクセスを受けると、スイッチからコントローラに対して大量のＰａｃｋｅｔ−ｉｎが発生する。この場合、コントローラは、新たなフローを生成するなどのため大量の処理を行う必要が生じ、過剰な処理負荷ゆえに制御不能に陥る可能性もある。
【００１８】
なお、特定のサーバに対し大容量のデータを送信するなど、正常なアクセス行為においては、通常、上述のような大量のＰａｃｋｅｔ−ｉｎは発生しない。この場合、初回のアクセスの際にフローが作成されれば、以降のアクセスではそのフローに基づいてスイッチがデータ転送を行うためである。すなわち、コントローラに対するＰａｃｋｅｔ−ｉｎの発生は初回のみで、その後の連続するパケット転送にコントローラは関与しない。
【００１９】
一方、ＤｏＳ攻撃のような不正な大量アクセスにおいては、送信元アドレスが偽装される（例えばランダムに変更される）等の理由により、以前に作成したフローが適用できないようなアクセスが短時間に大量にスイッチに押し寄せることになる。そのため、スイッチからコントローラに対して大量のＰａｃｋｅｔ−ｉｎが発生するのである。
【００２０】
発明者は、かかる問題の回避策として、短時間に大量の不正アクセスが発生した際に、スイッチのＲａｔｅＬｉｍｉｔ機能（スイッチに単位時間あたりの処理量を設定するための機能）を実行することにより、スイッチの入り口で帯域制限をかけることが有効であると考えた。その実現方法として、コントローラが一定時間内に受けたＰａｃｋｅ−ｉｎ数をカウントし、カウント数が予め決めた閾値を超えた場合には、スイッチにＲａｔｅＬｉｍｉｔ機能を発動するよう指示をする手法を発案した。
【００２１】
以下、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。まず、図１を用いて、本発明の実施の形態にかかる情報処理装置１０００の構成について説明する。
【００２２】
通信システム１０００は、通信装置１００、通信制御装置２００を含む。通信システム１０００は、例えばＯｐｅｎＦｌｏｗのような動的な経路制御機能を有するネットワークシステムであって、通信装置１００はスイッチ、通信制御装置２００はコントローラとして動作する。
【００２３】
図３に示すように、通信装置１００は、通信制御装置２００、及び複数のノード（例えばノード１、ノード２）と接続される。複数のノードは、通信装置１００にとってはパケットの送信元又は送信先である。以降、本実施の形態では、ノード１がパケットの送信元、ノード２がパケットの送信先である場合を例として説明する。
【００２４】
また、通信装置１００は、図３に示すように、受信パケットの条件と、当該条件に対応するパケット処理方法と、を定義したフローテーブルを保持している。例えば、図３のフローテーブルによれば、プロトコルがＩＣＭＰであるパケットは、通信装置１００において破棄される。また、通信装置１００は、宛先ＴＣＰポートが８０であるパケットを受信したなら、物理ポート２から当該パケットを送出する。
【００２５】
通信装置１００は、パケット受信部１０１、Ｐａｃｋｅｔ−ｉｎ送信部１０３、パケット処理部１０５、通信制限部１０７を含む。
【００２６】
パケット受信部１０１は、送信元からパケットを受信し、受信したパケットが、フローテーブルに定義された条件のいずれかに一致するか否かを判定する。
【００２７】
Ｐａｃｋｅｔ−ｉｎ送信部１０３は、受信したパケットが、フローテーブルに定義された条件のいずれにも一致しない場合に、通信制御装置２００に対し新規フロー問合せ（Ｐａｃｋｅｔ−ｉｎ）を送信する。
【００２８】
パケット処理部１０５は、フローテーブルに従った受信パケットの処理を行う。
【００２９】
通信制限部１０７は、通信制御装置２００の指示に従って、トラフィック制限（レート制限）や、特定の送信元アドレスのパケットの遮断、特定の通信ポートの遮断、又はネットワークインターフェイスの遮断等の通信制限を実行する。
【００３０】
通信制御装置２００は、Ｐａｃｋｅｔ−ｉｎ受信部２０１、攻撃検知部２０３、通信制限指示部２０５を含む。
【００３１】
Ｐａｃｋｅｔ−ｉｎ受信部２０１は、通信装置１００から新規フロー問合せ（Ｐａｃｋｅｔ−ｉｎ）を受信する。
【００３２】
攻撃検知部２０３は、通信装置１００から受信したＰａｃｋｅｔ−ｉｎ数に応じて、通信制限を発動するか否かを判定する。典型的には、Ｐａｃｋｅｔ−ｉｎ数が所定の閾値を超えた場合に、通信制限を実施すべきと判定する。
【００３３】
通信制限指示部２０５は、通信装置１００に対して、実施すべき通信制限の内容を指示する。本実施の形態では、まずトラフィック制限（レート制限）を行うよう通信装置１００に指示する。続いて、必要に応じ、Ｐａｃｋｅｔ−ｉｎが通知されたパケットを解析して、さらなる通信制限を通信装置１００に指示する。
【００３４】
つづいて、図２を用いて、本発明の実施の形態１にかかる通信システム１０００の動作について説明する。
【００３５】
Ｓ１：パケット受信
パケット受信部１０１が、ノード１からパケットを受信する。
【００３６】
Ｓ２：対応するフローがあるか否か判定
パケット受信部１０１は、受信したパケットを解析し、当該パケットがフローテーブルに定義された条件に一致するか否かを判定する。一致する場合、Ｓ８に遷移する。一致しない場合、Ｓ３に遷移する。
【００３７】
Ｓ３：Ｐａｃｋｅｔ−ｉｎ問合せ
通信装置１００は、受信パケットに対応するフローを有していないため、受信パケットを処理することができない。よって、Ｐａｃｋｅｔ−ｉｎ送信部１０３は、通信制御装置２００のＰａｃｋｅｔ−ｉｎ受信部２０１に対し、新規フロー問合せ（Ｐａｃｋｅｔ−ｉｎ）を送信して、受信パケットに対応するフローを要求する。
【００３８】
Ｐａｃｋｅｔ−ｉｎ受信部２０１は、Ｐａｃｋｅｔ−ｉｎ送信部１０３からＰａｃｋｅｔ−ｉｎを受信する。
【００３９】
Ｓ４：Ｐａｃｋｅｔ−ｉｎの判定
攻撃検知部２０３は、通信装置１００から受信したＰａｃｋｅｔ−ｉｎの数をカウントする。具体的には、例えばタイマで所定時間を計測し、所定時間が経過したなら、当該時間内のＰａｃｋｅｔ−ｉｎ数を出力するとともに、タイマをリセットする処理を、繰り返し実施することができる。
【００４０】
そして、例えば、一定時間内に受信したＰａｃｋｅｔ−ｉｎ数が、予め定めた閾値を超えたならば、攻撃検知部２０３は、通信装置１００にＤｏＳ攻撃等が発生したものと判断する。この場合、通常のアクセスにおいては経験上あり得ない程度のＰａｃｋｅｔ−ｉｎ数を閾値として設定しておくことが好ましい。なお、当該判断に用いる指標は限定されるものではなく、例えばＰａｃｋｅｔ−ｉｎ数の増加率等、Ｐａｃｋｅｔ−ｉｎ数に基づく任意の指標を用いても構わない。
【００４１】
Ｓ５：レート制限指示
通信制限指示部２０５は、通信装置１００にＤｏＳ攻撃等が発生したものと判断された場合、通信装置１００に対してレート制限を指示する。典型的には、通信装置１００に対するＲａｔｅＬｉｍｉｔコマンドを実行することにより、通信装置１００が単位時間あたりに処理できるパケットの量の上限を抑制する。これにより、通信装置１００におけるパケットの受信量自体が抑制されるので、通信制御装置２００が処理できないほどの量のＰａｃｋｅｔ−ｉｎが発生することを防止できる。これにより、まずは通信制御装置２００が処理不能に陥る事態を回避できる。
【００４２】
Ｓ６−１、Ｓ６−２又はＳ６−３：
その後、通信制限指示部２０５は、Ｐａｃｋｅｔ−ｉｎが通知された受信パケットを解析して、攻撃の特徴の検出を試行する。そして、当該特徴をフィルタリングできるようなフローや指示を生成する。例えば、受信パケットの送信元ＩＰアドレスが毎回異なるものに詐称されていても、送信元ＭＡＣアドレスが共通しているならば、当該ＭＡＣアドレスが送信元であるパケットを破棄するフローを生成できる。又は、受信パケットの宛先ＴＣＰポートが共通しているならば、当該ポートを遮断する指示を生成できる。
【００４３】
あるいは、通信制限指示部２０５は、通信装置１００のネットワークインターフェイス自体を一定時間遮断する指示を生成してもよい。この一定時間のうちに、攻撃が中止又は緩和されることがあるためである。この場合、通信装置１００のネットワークインターフェイスは、一定時間経過後に復帰する必要がある。具体的には、例えば通信装置１００の通信制限部１０７が、ネットワークインターフェイスが遮断された時にタイマを作動させ、所定時間経過後にネットワークインターフェイスを復帰させることができる。又は、通信制御装置２００の通信制限指示部２０５が、通信制御装置２００の処理負荷を監視し、負荷がある閾値以下になったときに、通信制限部１０７に対しネットワークインターフェイスを復帰させる指示を生成してもよい。
【００４４】
なお、Ｓ６−１、Ｓ６−２又はＳ６−３にかかる処理は、いずれか任意の１つの処理を実施してもよく、適宜組み合わせて実行してもよい。あるいは、他の任意の通信制限手法を適宜採用してもよい。
【００４５】
Ｓ７：フロー生成、送信
通信制限指示部２０５は、Ｓ６−１、Ｓ６−２又はＳ６−３で生成したフロー又は指示を、通信制限部１０７に対して送信する。通信制限部１０７は、受信したフローをフローテーブルに書き込む。
【００４６】
Ｓ８：フローに従ってパケット処理
パケット処理部１０５は、フローテーブルに従って受信パケットを処理する。また、通信制限部１０７は、通信制限指示部２０５から受けた指示を実行する。
【００４７】
本実施の形態によれば、通信制御装置２００は、通信装置１００から送られてくるＰａｃｋｅｔ−ｉｎの数が所定の条件を満たす場合に、ＤｏＳ攻撃等が発生したものと判断する。このように、通信制御装置２００は、Ｐａｃｋｅｔ−ｉｎ数という簡便な指標を用いてＤｏＳ攻撃等の発生を検知するので、処理負荷を抑制できる。また、Ｐａｃｋｅｔ−ｉｎは、通信装置１００に適切なフローがない場合にのみ送られるので、通信制御装置２００は攻撃検知のために全てのパケットを解析する必要がなく、処理負荷を抑制できる。
【００４８】
また、本実施の形態によれば、通信制御装置２００は、ＤｏＳ攻撃等を検知した場合に、通信装置１００のレート制限を行う。これにより、処理できないほどのＰａｃｋｅｔ−ｉｎにより、通信制御装置２００が処理不能に陥るような事態を回避できる。また、パケットの転送先においても、処理負荷を抑制することができる。
【００４９】
また、本実施の形態によれば、通信制御装置２００は、ＤｏＳ攻撃等を検知した場合に、通信装置１００に対し、攻撃に対処するためのフローの設定や各種通信制限の指示を行う。これにより、通信装置１００において攻撃パケットを排除でき、通信制御装置２００に処理負荷がかかることを抑制できる。
【００５０】
通常、コントローラとしての通信制御装置２００や、ノード２としてのサーバ機等は、一旦処理不能に陥ってしまうと復帰させることが容易ではない。そのため、本実施の形態では、まずは通信制御装置２００にかかるトラフィックを絞ることで、一定の処理能力を確保している。ついで、通信制御装置２００が攻撃パケットの特徴を解析できたならば、攻撃パケットを排除するためのルールを通信装置１００に設定することで、通信制御装置２００に対する攻撃の影響を排除している。
【００５１】
＜その他の実施の形態＞
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、本実施の形態では、通信制御装置２００はＰａｃｋｅｔ−ｉｎ数が閾値を超えた場合に、通信装置１００にＲａｔｅＬｉｍｉｔ制限の発動を指示した。しかしながら、例えば、スイッチとコントローラとが同じデバイス内に存在するような場合には、コントローラ側がシステムコールなどの手段を使って、直接ＲａｔｅＬｉｍｉｔ制限を発動することも可能である。
【００５２】
また、ＲａｔｅＬｉｍｉｔ制限の発動は、通信制御装置２００が細かく制御せずに、通信開始の前等に通信装置１００が実施してもよい。あるいは、通信装置１００が、フローに該当しない受信パケット数をカウントし、カウント数に基づく指標が所定の条件を満たした場合に、自らＲａｔｅＬｉｍｉｔ制限を発動させることとしてもよい。これにより、通信制御装置２００の処理負荷をさらに減らすことができる。
【００５３】
また、上述の実施の形態では、本発明を主にハードウェアの構成として説明したが、これに限定されるものではなく、任意の処理を、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）にコンピュータプログラムを実行させることにより実現することも可能である。この場合、コンピュータプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ−ｔｒａｎｓｉｔｏｒｙ  ｃｏｍｐｕｔｅｒ  ｒｅａｄａｂｌｅ  ｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅ  ｓｔｏｒａｇｅ  ｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ  ＲＯＭ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ  ＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙ  ｃｏｍｐｕｔｅｒ  ｒｅａｄａｂｌｅ  ｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【符号の説明】
【００５４】
１０００  通信システム
１００  通信装置
１０１  パケット受信部
１０３  Ｐａｃｋｅｔ−ｉｎ送信部
１０５  パケット処理部
１０７  通信制限部
２００  通信制御装置
２０１  Ｐａｃｋｅｔ−ｉｎ受信部
２０３  攻撃検知部
２０５  通信制限指示部
【図１】
2016163180.tif 000003
【図２】
2016163180.tif 000004
【図３】
2016163180.tif 000005