JP4574675B2 - 通信管理システム - Google Patents

Description

本発明は、通信管理技術に関し、特に、不適切な通信を管理する通信管理システム及び通信管理方法に関する。

インターネットのインフラが整備され、携帯電話端末、パーソナルコンピュータ、ＶｏＩＰ（Voice over Internet Protocol）電話端末などの通信端末が広く普及した現在、インターネットの利用者は爆発的に増加している。このような状況下、コンピュータウイルス、ハッキング、スパムメールなど、セキュリティに関する問題が顕在化しており、通信を適切に制御する技術が求められている。通信環境の向上に伴って通信量も膨大になっており、大容量のデータを高速に処理する通信制御装置の必要性が増している。
特開平４−１８０４２５号公報

近年、感染したコンピュータに被害を与えたり、悪用してスパムメール送信やＤＤｏＳ攻撃の踏み台にすることを主目的とした悪質なプログラム（malware）が出現し、問題となっている。このような悪質なプログラムは「ボット（bot）」と呼ばれ、外部からの命令にしたがって動作するので、感染したコンピュータは、ボットを介して外部から自由に操作することができてしまう。しかも、同じボットが多数のコンピュータに感染している場合、１回の命令で多数のコンピュータを同時に操作することができるため、場合によっては甚大な被害が出る虞がある。

ボットは、次々に新しい変種が作られるのでウイルス対策ソフトなどによる検知が困難である。さらに、攻撃者がボットを操作する命令として、独自のプロトコルを使うことが可能であることが、ボットの検出をより困難にしている。

本発明はこうした状況に鑑みてなされたものであり、その目的は、不適切な通信を管理する技術の提供にある。

本発明のある態様は、通信管理システムに関する。この通信管理システムは、通信データの中から、特定の通信データを抽出するためのルールを格納したルールデータベースと、通信データを取得し、その通信データが前記ルールデータベースに格納されたルールに合致するか否かを検索する検索部と、前記ルールデータベースに格納されたルールに合致する通信データを検知したときに、その通信データを出力する出力部と、を備えることを特徴とする。

通信管理システムは、上流のネットワークから通信データを取得して前記検索部へ供給する第１の通信制御部と、前記通信データを下流のネットワークへ送出する第２の通信制御部と、を更に備えてもよく、前記出力部は、前記ルールに合致する通信データを複製して出力してもよい。

通信管理システムは、前記ルールデータベースに格納されたルールの変更を受け付ける更新部を更に備えてもよい。通信管理システムは、前記更新部が受け付けた前記ルールの変更を前記ルールデータベースにリアルタイムに反映させるデータベースサーバを更に備えてもよい。

検索部は、ＦＰＧＡ（Field Programmable Gate Array）やワイヤードロジック回路により構成されてもよい。

本発明の別の態様は、通信管理方法に関する。この通信管理方法は、通信データを取得し、その通信データが、通信データの中から特定の通信データを抽出するためのルールを格納したルールデータベースに格納されたルールに合致するか否かを検索するステップと、前記ルールデータベースに格納されたルールに合致する通信データを検知したときに、その通信データを出力するステップと、を含むことを特徴とする。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、不適切な通信を管理する技術を提供することができる。

前提技術に係る通信制御システムの構成を示す図である。 従来の通信制御装置の構成を示す図である。 前提技術に係る通信制御装置の構成を示す図である。 パケット処理回路の構成を示す図である。 位置検出回路の構成を示す図である。 位置検出回路の別の例を示す図である。 位置検出回路の別の例を示す図である。 第１データベースの内部データの例を示す図である。 第１データベースの内部データの別の例を示す図である。 第１データベースの内部データの更に別の例を示す図である。 インデックス回路の別の例を示す図である。 バイナリサーチ回路に含まれる比較回路の構成を示す図である。 バイナリサーチ回路の構成を示す図である。 第１のデータベースの内部データの更に別の例を示す図である。 第２データベースの内部データの例を示す図である。 第２データベースの内部データの別の例を示す図である。 前提技術に係る通信制御装置の別の構成例を示す図である。 複数の通信制御装置を含む通信制御装置の構成を示す図である。 運用監視サーバに設けられた管理テーブルの内部データの例を示す図である。 通信制御装置が故障したときの運用方法を説明するための図である。 図２１（ａ）（ｂ）（ｃ）は、通信制御装置のデータベースを更新する方法を説明するための図である。 複数の通信制御装置によりパケットを処理するために設けられた通信経路制御装置の構成を示す図である。 実施の形態に係る通信管理システムの構成を示す図である。

符号の説明

１０ 通信制御装置、２０ パケット処理回路、３０ 検索回路、３２ 位置検出回路、３３ 比較回路、３４ インデックス回路、３５ 比較回路、３６ バイナリサーチ回路、３６Ａ，３６Ｂ，３６Ｃ 比較回路、３６Ｚ 制御回路、４０ 処理実行回路、５０ 第１データベース、６０ 第２データベース、１００ 通信制御システム、１１０ 運用監視サーバ、１２０ 接続管理サーバ、１３０ メッセージ出力サーバ、１４０ ログ管理サーバ、１５０ データベースサーバ、２００ 通信経路制御装置、３００ 通信管理システム、３１０ ユーザ端末、３２０ ボット、３２２ ボットネット、３３２ 正常シグネチャリスト、３３４ 異常シグネチャリスト、３３６ ルールデータベース、３４０ 運用者端末、３４２ 警告取得部、３４４ 通信データ取得部、３４６ 解析部、３４８ 判定結果取得部、３５２ 正常シグネチャリスト更新部、３５４ 異常シグネチャリスト更新部、３５６ ルールデータベース更新部、３６２ 正常シグネチャリスト、３６４ 異常シグネチャリスト、３６６ ルールデータベース、３９０ インターネット。

まず、前提技術として、ＣＰＵ及びＯＳを有さず、専用のハードウェア回路によりパケットフィルタリング機能を実現する通信制御システムについて説明する。つづいて、実施の形態として、前提技術の通信制御システムを利用してボットネットにおける通信を管理する技術について説明する。

（前提技術）
図１は、前提技術に係る通信制御システムの構成を示す。通信制御システム１００は、通信制御装置１０と、通信制御装置１０の動作を支援するために設けられた各種の周辺装置を含む。前提技術の通信制御装置１０は、インターネットサービスプロバイダなどにより提供されるパケットフィルタリング機能を実現する。ネットワークの経路に設けられた通信制御装置１０は、ネットワークを介して送受信されるパケットを取得して、その内容を解析し、通信の許否を判断する。通信が許可される場合は、通信制御装置１０は、そのパケットをネットワークへ送出する。通信が禁止される場合は、通信制御装置１０は、そのパケットを破棄し、必要であれば送信元に対して警告メッセージなどを返信する。

前提技術の通信制御システム１００では、複数の通信制御装置１０ａ、１０ｂ、１０ｃ、・・・、が設けられており、それらを協働させて、１台の通信制御装置１０として機能させているが、以下、個々の通信制御装置１０ａ、１０ｂ、１０ｃ、・・・も、それらの総称も区別せずに通信制御装置１０と呼ぶ。

本前提技術の通信制御システム１００では、それぞれの通信制御装置１０は、パケットの処理に必要なデータベースの少なくとも一部を分割して保持しているが、分割して保持するのに必要な台数よりも少なくとも１台以上余分に設けられる。例えば、１台あたり１０万件のデータを保持できるとすると、データ数が３０万件以上４０万件未満である場合、運用に必要な通信制御装置の台数は４台であるが、いずれかの通信制御装置１０が故障したときに代わって運用させるための待機用として、また、通信制御装置１０に含まれるデータベースを更新するときの待機用として、１台以上の通信制御装置１０を設け、合計で最低５台の通信制御装置１０を設ける。従来は、フォールトトレラントのために、システム全体を二重化させる必要があったが、本前提技術の技術によれば、分割された単位の通信制御装置１０を余分に設けておけばよいので、コストを低減することができる。これら複数の通信制御装置１０ａ、１０ｂ、１０ｃ、・・・、の運用状況は、運用監視サーバ１１０により管理される。本前提技術の運用監視サーバ１１０は、通信制御装置の運用状況を管理するための管理テーブルを有する。

周辺装置は、運用監視サーバ１１０、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、及びデータベースサーバ１５０を含む。接続管理サーバ１２０は、通信制御装置１０に対する接続を管理する。接続管理サーバ１２０は、例えば、携帯電話端末から送出されたパケットを通信制御装置１０で処理する際に、パケットに含まれる携帯電話端末を一意に識別する情報を用いて、通信制御システム１００のサービスを享受可能なユーザであることを認証する。いったん認証されると、その携帯電話端末に一時的に付されたＩＰアドレスから送出されたパケットは、一定の期間は接続管理サーバ１２０で認証せずに通信制御装置１０へ送られて処理される。メッセージ出力サーバ１３０は、通信制御装置１０により判定された通信の許否の結果に応じて、パケットの送信先又は送信元に対するメッセージを出力する。ログ管理サーバ１４０は、通信制御装置１０の運用履歴を管理する。データベースサーバ１５０は、外部から最新のデータベースを取得し、通信制御装置１０に入力する。通信制御装置１０の運用を止めずにデータベースを更新するために、通信制御装置１０はバックアップ用のデータベースを有してもよい。運用監視サーバ１１０は、通信制御装置１０と、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、データベースサーバ１５０などの周辺装置の運用状況を監視する。運用監視サーバ１１０は、通信制御システム１００の中で最も優先度が高く、通信制御装置１０及び全ての周辺装置の監視制御を行う。通信制御装置１０は、後述するように、専用のハードウェア回路により構成されるが、運用監視サーバ１１０は、本出願人による特許第３０４１３４０号などの技術を利用して、バウンダリスキャン回路を利用して監視のためのデータを通信制御装置１０などとの間で入出力することにより、通信制御装置１０の運用中にも運用状況を監視することができる。

前提技術の通信制御システム１００は、以下に説明するように、高速化のために専用のハードウェア回路により構成された通信制御装置１０を、周辺に接続された各種の機能を有するサーバ群により制御する構成とすることにより、サーバ群のソフトウェアを適当に入れ替えることで、同様の構成により各種の機能を実現することができる。前提技術によれば、このような柔軟性の高い通信制御システムを提供することができる。

図２は、従来の通信制御装置１の構成を示す。従来の通信制御装置１は、受信側の通信制御部２と、パケット処理部３と、送出側の通信制御部４とを備える。通信制御部２及び４は、それぞれ、パケットの物理層の処理を行うＰＨＹ処理部５ａ及び５ｂと、パケットのＭＡＣ層の処理を行うＭＡＣ処理部６ａ及び６ｂとを備える。パケット処理部３は、ＩＰ（Internet Protocol）のプロトコル処理を行うＩＰ処理部７、ＴＣＰ（Transport Control Protocol）のプロトコル処理を行うＴＣＰ処理部８など、プロトコルに応じた処理を行うプロトコル処理部と、アプリケーション層の処理を行うＡＰ処理部９とを備える。ＡＰ処理部９は、パケットに含まれるデータに応じて、フィルタリングなどの処理を実行する。

従来の通信制御装置１では、パケット処理部３は、汎用プロセッサであるＣＰＵと、ＣＰＵ上で動作するＯＳとを利用して、ソフトウェアにより実現されていた。しかしながら、このような構成では、通信制御装置１の性能はＣＰＵの性能に依存することになり、高速に大容量のパケットを処理可能な通信制御装置を実現しようとしても、自ずと限界がある。例えば、６４ビットのＣＰＵであれば、一度に同時に処理可能なデータ量は最大で６４ビットであり、それ以上の性能を有する通信制御装置は存在しなかった。また、汎用的な機能を有するＯＳの存在を前提としていたので、セキュリティホールなどが存在する可能性が絶無ではなく、ＯＳのバージョンアップなどのメンテナンス作業を必要としていた。

図３は、前提技術に係る通信制御装置の構成を示す。本前提技術の通信制御装置１０は、従来の通信制御装置においてはＣＰＵ及びＯＳを含むソフトウェアにより実現されていたパケット処理部に代えて、ワイヤードロジック回路による専用のハードウェアにより構成されたパケット処理回路２０を備える。汎用処理回路であるＣＰＵにおいて動作するＯＳとソフトウェアにより通信データを処理するのではなく、通信データを処理するための専用のハードウェア回路を設けることにより、ＣＰＵやＯＳなどに起因する性能の限界を克服し、処理能力の高い通信制御装置を実現することが可能となる。

例えば、パケットフィルタリングなどを実行するために、パケットに含まれるデータに、フィルタリングの判断基準となる基準データが含まれるか否かを検索する場合に、ＣＰＵを用いて通信データと基準データを比較すると、一度に高々６４ビットしか比較することができず、処理速度を向上させようとしてもＣＰＵの性能で頭打ちになるという問題があった。ＣＰＵでは、通信データから６４ビットをメモリへ読み上げ、基準データとの比較を行い、つづいて、次の６４ビットをメモリへ読み上げる、という処理を何度も繰り返し行う必要があるので、メモリへの読み上げ時間が律速となり、処理速度に限界がある。

それに対し、本前提技術では、通信データと基準データとを比較するために、ワイヤードロジック回路により構成された専用のハードウェア回路を設ける。この回路は、６４ビットよりも長いデータ長、例えば、１０２４ビットのデータ長の比較を可能とするために、並列に設けられた複数の比較器を含む。このように、専用のハードウェアを設けることにより、同時に並列して多数のビットマッチングを実行することができる。従来のＣＰＵを用いた通信制御装置１では一度に６４ビットしか処理できなかったところを、一度に１０２４ビットの処理を可能にすることで、飛躍的に処理速度を向上させることができる。比較器の数を多くすれば処理能力も向上するが、コストやサイズも増大するので、所望の処理性能と、コスト、サイズ、などを考慮して、最適なハードウェア回路を設計すればよい。

また、本前提技術の通信制御装置１０は、ワイヤードロジック回路による専用のハードウェアにより構成されるので、ＯＳ（Operating System）を必要としない。このため、ＯＳのインストール、バグ対応、バージョンアップなどの作業が必要なく、管理やメンテナンスのためのコストや工数を低減させることができる。また、汎用的な機能が求められるＣＰＵとは異なり、不必要な機能を包含していないので、余計なリソースを用いることがなく、低コスト化、回路面積の低減、処理速度の向上などが望める。さらに、ＯＳを利用していた従来の通信制御装置とは異なり、余分な機能を有しないので、セキュリティホールなどが発生する可能性が低く、ネットワークを介した悪意ある第三者からの攻撃に対する耐性に優れている。

従来の通信制御装置１は、ＣＰＵとＯＳを前提としたソフトウェアによりパケットを処理しており、パケットの全てのデータを受信してからプロトコル処理を行い、データがアプリケーションに渡される。それに対して、本前提技術の通信制御装置１０では、専用のハードウェア回路により処理を行うので、パケットの全てのデータを受信してから処理を開始する必要はなく、処理に必要なデータを受信すれば、後続のデータの受信を待たずに、任意の時点で処理を開始することができる。例えば、後述する位置検出回路における位置検出処理は、比較対象データの位置を特定するための位置特定データを受信した時点で開始することができる。このように、全てのデータの受信を待たずに様々な処理をフローティングで実行することができるので、パケットのデータを処理するのに要する時間を短縮することができる。

図４は、パケット処理回路の内部構成を示す。パケット処理回路２０は、通信データに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１データベース５０Ａ、５０Ｂ、及び５０Ｃ（これらを総称して「第１データベース５０」という）と、受信された通信データの中に基準データが含まれているか否かを、通信データと基準データとを比較することにより検索する検索回路３０と、検索回路３０による検索結果と通信データに対して実行する処理の内容とを対応づけて記憶する第２データベース６０と、検索回路３０による検索結果と第２データベース６０に記憶された条件とに基づいて通信データを処理する処理実行回路４０とを含む。

検索回路３０は、通信データの中から基準データと比較すべき比較対象データの位置を検出する位置検出回路３２と、第１データベース５０に記憶された基準データを３以上の範囲に分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路の一例であるインデックス回路３４と、判定された範囲の中で比較対象データと合致する基準データを検索するバイナリサーチ回路３６とを含む。比較対象データを基準データの中から検索する方法としては、任意の検索技術を利用可能であるが、本前提技術ではバイナリサーチ法を用いる。本前提技術では、後述するように、改良されたバイナリサーチ法を用いるので、そのために第１データベース５０を３つ設けている。第１データベース５０Ａ、５０Ｂ、及び５０Ｃには、同じ基準データが格納されている。

図５は、位置検出回路の内部構成を示す。位置検出回路３２は、比較対象データの位置を特定するための位置特定データと通信データとを比較するための複数の比較回路３３ａ〜３３ｆを含む。ここでは、６個の比較回路３３ａ〜３３ｆが設けられているが、後述するように、比較回路の個数は任意でよい。それぞれの比較回路３３ａ〜３３ｆには、通信データが、所定のデータ長、例えば、１バイトずつずらして入力される。そして、これら複数の比較回路３３ａ〜３３ｆにおいて、同時に並列して、検出すべき位置特定データと通信データとの比較がなされる。

本前提技術においては、通信制御装置１０の動作を説明するための例として、通信データ中に含まれる「Ｎｏ． ＃＃＃」という文字列を検出し、その文字列中に含まれる数字「＃＃＃」を基準データと比較して、基準データに合致した場合はパケットの通過を許可し、合致しなかった場合はパケットを破棄する処理を行う場合について説明する。

図５の例では、通信データの中から、数字「＃＃＃」の位置を特定するための位置特定データ「Ｎｏ．」を検出するために、通信データ「０１Ｎｏ． ３６１・・・」を、１文字ずつずらして比較回路３３ａ〜３３ｆに入力している。すなわち、比較回路３３ａには「０１Ｎ」が、比較回路３３ｂには「１Ｎｏ」が、比較回路３３ｃには「Ｎｏ．」が、比較回路３３ｄには「ｏ． 」が、比較回路３３ｅには「． ３」が、比較回路３３ｆには「 ３６」が、それぞれ入力される。ここで、比較回路３３ａ〜３３ｆが同時に位置特定データ「Ｎｏ．」との比較を実行する。これにより、比較回路３３ｃがマッチし、通信データの先頭から３文字目に「Ｎｏ．」という文字列が存在することが検出される。こうして、位置検出回路３２により検出された位置特定データ「Ｎｏ．」の次に、比較対象データである数字のデータが存在することが検出される。

ＣＰＵにより同様の処理を行うならば、まず、文字列「０１Ｎ」を「Ｎｏ．」と比較し、続いて、文字列「１Ｎｏ」を「Ｎｏ．」と比較する、というように、先頭から順に１つずつ比較処理を実行する必要があるため、検出速度の向上は望めない。これに対し、本前提技術の通信制御装置１０では、複数の比較回路３３ａ〜３３ｆを並列に設けることにより、ＣＰＵではなしえなかった同時並列的な比較処理が可能となり、処理速度を格段に向上させることができる。比較回路は多ければ多いほど同時に比較可能な位置が多くなるので、検出速度も向上するが、コスト、サイズ、などを考慮の上、所望の検出速度を得られるのに十分な数の比較回路を設ければよい。

位置検出回路３２は、位置特定データを検出するためだけでなく、汎用的に文字列を検出する回路として利用されてもよい。また、文字列だけでなく、ビット単位で位置特定データを検出するように構成されてもよい。

図６は、位置検出回路の別の例を示す。図６に示した例では、位置検出回路３２に設けられたそれぞれの比較回路３３ａ〜３３ｆのデータ長よりも位置特定データの方が短い場合は、位置特定データの後に所定のデータ、例えば、「００Ｈ」又は「０１Ｈ」などをパディングする。また、位置特定データと比較する通信データについても、位置特定データと同じデータ長のみを抜き出して、その後に、位置特定データにパディングしたデータと同じデータをパディングする。このとき、通信データ自身を改変しないために、通信データをワークとしてコピーし、コピーしたデータを加工して比較回路３３ａ〜３３ｆに入力してもよい。これにより、位置特定データのデータ長によらず、位置検出回路３２を汎用的に用いることができる。

図７は、位置検出回路の更に別の例を示す。図７に示した例では、図６に示した例と同様に、位置特定データの後に所定のデータをパディングするが、このデータをワイルドカードとして扱う。すなわち、比較回路３３ａ〜３３ｆは、ワイルドカードであるデータが入力されると、比較対象のデータが何であっても無条件に合致したと判定する。これにより、位置特定データのデータ長によらず、位置検出回路３２を汎用的に用いることができる。

図８は、第１データベースの内部データの例を示す。第１データベース５０には、パケットのフィルタリング、ルーティング、スイッチング、置換などの処理の内容を決定するための基準となる基準データが、何らかのソート条件にしたがって昇順又は降順にソートされて格納されている。図８の例では、１０００個の基準データが記憶されている。

インデックス回路３４は、第１データベース５０に格納されている基準データを３以上の範囲５２ａ〜５２ｄに分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する。図８の例では、１０００個の基準データは、２５０個ずつ４つの範囲５２ａ〜５２ｄに分割されている。インデックス回路３４は、範囲の境界の基準データと比較対象データとを比較する複数の比較回路３５ａ〜３５ｃを含む。比較回路３５ａ〜３５ｃにより比較対象データと境界の基準データとを同時に並列して比較することにより、比較対象データがいずれの範囲に属するかを１度の比較処理で判定することができる。

インデックス回路３４の比較回路３５ａ〜３５ｃに入力される境界の基準データは、通信制御装置１０の外部に設けられた装置により設定されてもよいし、予め第１データベース５０の所定位置の基準データが自動的に入力されるようにしてもよい。後者の場合、第１データベース５０を更新しても、自動的に第１データベース５０の所定位置の基準データが比較回路３５ａ〜３５ｃに入力されるので、初期設定などを必要とせず、直ちに通信制御処理を実行させることができる。

前述したように、ＣＰＵによりバイナリサーチを実行する場合は、同時に複数の比較を実行することができないが、本前提技術の通信制御装置１０では、複数の比較回路３５ａ〜３５ｃを並列に設けることにより、同時並列的な比較処理を可能とし、検索速度を格段に向上させることができる。

インデックス回路３４により範囲が判定されると、バイナリサーチ回路３６がバイナリサーチ法により検索を実行する。バイナリサーチ回路３６は、インデックス回路３４により判定された範囲をさらに２^ｎ個に分割し、その境界位置にある基準データと比較対象データとを比較することにより、いずれの範囲に属するかを判定する。バイナリサーチ回路３６は、基準データと比較対象データとをビット単位で比較する比較器を複数個、例えば本前提技術では１０２４個含んでおり、１０２４ビットのビットマッチングを同時に実行する。２^ｎ分割された範囲のいずれに属するかが判定されると、さらに、その範囲を２^ｎ分割して境界位置にある基準データを読み出し、比較対象データと比較する。以降、この処理を繰り返すことにより範囲をさらに限定し、最終的に比較対象データと合致する基準データを検索する。

前述した例を用いてさらに詳細に動作を説明する。インデックス回路３４の比較回路３５ａ〜３５ｃには、比較対象データとして「３６１」が入力され、基準データとして、比較回路３５ａには、範囲５２ａと５２ｂの境界にある基準データ「３７８」が、比較回路３５ｂには、範囲５２ｂと５２ｃの境界にある基準データ「７０４」が、比較回路３５ｃには、範囲５２ｃと５２ｄの境界にある基準データ「９３７」が、それぞれ入力される。比較回路３５ａ〜３５ｃにより同時に比較が行われ、比較対象データ「３６１」が範囲５２ａに属することが判定される。以降、バイナリサーチ回路３６が基準データの中に比較対象データ「３６１」が存在するか否かを検索する。

図９は、第１データベースの内部データの別の例を示す。図９に示した例では、基準データのデータ数が、第１データベース５０に保持可能なデータ数、ここでは１０００個よりも少ない。このとき、第１データベース５０には、最終データ位置から降順に基準データが格納される。そして、残りのデータには０が格納される。データベースのローディング方法として、先頭からデータを配置せずにローディングエリアの後方から配置し、ローディングエリア先頭に空きが生じた場合は全ての空きをゼロサプレスすることで、データーベースは常にフルの状態になり、バイナリー検索する場合の検索時間を一定にすることができる。また、バイナリサーチ回路３６は、検索中に基準データとして「０」を読み込んだときには、比較結果が自明であるから、比較を行わずに範囲を特定して、次の比較にうつることができる。これにより、検索速度を向上させることができる。

ＣＰＵによるソフトウェア処理においては、第１データベース５０に基準データを格納する際に、最初のデータ位置から昇順に基準データが格納される。残りのデータには、例えば最大値が格納されることになるが、この場合、バイナリサーチにおいて、上述したような比較処理の省略はできない。上述した比較技術は、専用のハードウェア回路により検索回路３０を構成したことにより実現される。

図１０は、第１データベースの内部データのさらに別の例を示す。図１０に示した例では、基準データを均等に３以上の範囲に分割するのではなく、範囲５２ａは５００個、範囲５２ｂは１００個というように、範囲に属する基準データの数が不均一になっている。これらの範囲は、通信データ中における基準データの出現頻度の分布に応じて設定されてもよい。すなわち、それぞれの範囲に属する基準データの出現頻度の和がほぼ同じになるように範囲が設定されてもよい。これにより、検索効率を向上させることができる。インデックス回路３４の比較回路３５ａ〜３５ｃに入力される基準データは、外部から変更可能になっていてもよい。これにより、範囲を動的に設定することができ、検索効率を最適化することができる。

図１１は、インデックス回路の別の例を示す。図８〜１０に示した例では、インデックス回路３４は、３つの比較回路３５ａ〜３５ｃを用いて、比較対象データが第１データベース５０の４つの範囲５２ａ〜５２ｄのいずれに属するかを判定したが、図１１の例では、インデックス回路３４には、比較対象データが、４つの範囲５２ａ〜５２ｄのそれぞれに含まれるか否かを判定するための４つの比較回路３５ｄ〜３５ｇが設けられている。例えば、比較回路３５ｄには、第１データベース５０の０件目の基準データと、２５０件目の基準データと、比較対象データとが入力され、それぞれの基準データと比較対象データとを比較することにより、基準データが範囲５２ａに含まれるか否かを判定する。それぞれの比較回路３５ｄ〜３５ｇの比較結果は判定回路３５ｚに入力され、判定回路３５ｚから、基準データがいずれの範囲に含まれているかが出力される。比較回路３５ｄ〜３５ｇは、基準データが入力された２つの基準データの間に含まれるか否かを出力してもよいし、範囲よりも大きい、範囲に含まれる、範囲よりも小さい、のいずれかを出力してもよい。比較対象データが、範囲５２ａ〜５２ｄのいずれにも含まれないと判定された場合は、比較対象データが第１データベース５０中に存在しないことが分かるので、以降のバイナリサーチを行うまでもなく、検索を終了することができる。

図１２は、バイナリサーチ回路に含まれる比較回路の構成を示す。前述したように、バイナリサーチ回路３６に含まれる比較回路は、１０２４個の比較器３６ａ、３６ｂ、・・・、を含む。それぞれの比較器３６ａ、３６ｂ、・・・、には、基準データ５４と比較対象データ５６が１ビットずつ入力され、それらの大小が比較される。インデックス回路３４の各比較回路３５ａ〜３５ｃの内部構成も同様である。このように、専用のハードウェア回路で比較処理を実行することにより、多数の比較回路を並列して動作させ、多数のビットを同時に比較することができるので、比較処理を高速化することができる。

図１３は、バイナリサーチ回路の構成を示す。バイナリサーチ回路３６は、図１２に示した１０２４個の比較器３６ａ、３６ｂ、・・・を含む比較回路３６Ａ、３６Ｂ、及び３６Ｃと、それらの比較回路を制御する制御回路３６Ｚを含む。

従来のバイナリサーチ法では、まず１回目は、データが昇順又は降順に整列されたデータベースの探索対象範囲の１／２の位置にあるデータを読み出して比較対象データと比較する。データが昇順に並べられている場合、比較対象データの方が小さければ、比較対象データは探索対象範囲の前半に存在するので、２回目は前半を探索対象範囲としてその１／２、すなわち最初の探索対象範囲の１／４の位置にあるデータを読み出して比較対象データと比較する。逆に、比較対象データの方が大きければ、比較対象データは探索対象範囲の後半に存在するので、２回目は後半を探索対象範囲としてその１／２、すなわち最初の探索対象範囲の３／４の位置にあるデータを読み出して比較対象データと比較する。このように、探索対象範囲を半分ずつ絞っていき、最終的に対象データに到達する。

本前提技術では、バイナリサーチのための比較回路を３つ設けているので、１回目の探索のために探索対象範囲の１／２の位置にあるデータと比較対象データとを比較させるときに、同時に並行して、２回目の探索のために探索対象範囲の１／４及び３／４の位置にあるデータと比較対象データとを比較させる。これにより、２回分の探索を一度に行うことができるので、データベースからデータを読み上げる時間を短縮することができる。また、３つの比較回路を同時に並列して動作させることにより、比較の回数を半分に抑え、探索に要する時間を短縮することができる。

図１３の例では、２回分の探索を同時に行うために、３つの比較回路を設けたが、一般に、ｎ回分の探索を同時に並行して行うためには、２^ｎ−１個の比較回路を設ければよい。制御回路３６Ｚは、探索対象範囲の１／２^ｎ、２／２^ｎ、・・・、（２^ｎ−１）／２^ｎの位置のデータを、２^ｎ−１個の比較回路のそれぞれに入力させ、それらを同時に並列して動作させて比較対象データと比較させる。制御回路３６Ｚは、それぞれの比較回路の比較結果を取得して、比較対象データが探索されたか否かを判定する。制御回路３６Ｚは、いずれかの比較回路が、データが一致した旨の信号を出力した場合、比較対象データが探索されたと判定して、バイナリサーチを終了する。一致した旨の信号が出力されなかった場合、次回の探索に移る。比較対象データがデータベースに存在するならば、２^ｎ−１個の比較回路の比較結果が反転する範囲に存在するはずである。例えば、１５個の比較回路が設けられているときに、５／１６の位置のデータが比較対象データより小さく、６／１６の位置のデータが比較対象データより大きければ、５／１６から６／１６の間の範囲に比較対象データがある。したがって、制御回路３６Ｚは、各比較回路の比較結果を取得して、比較結果が反転した範囲を次回の探索対象範囲と決定し、決定された次回の探索対象範囲の１／２^ｎ、２／２^ｎ、・・・、（２^ｎ−１）／２^ｎの位置のデータをそれぞれの比較回路へ入力させる。

本前提技術では、第１データベース５０を３つ設けており、第１データベース５０Ａは比較回路３６Ａに接続されて探索対象範囲の１／４の位置にあるデータを比較回路３６Ａに供給し、第１データベース５０Ｂは比較回路３６Ｂに接続されて探索対象範囲の２／４の位置にあるデータを比較回路３６Ｂに供給し、第１データベース５０Ｃは比較回路３６Ｃに接続されて探索対象範囲の３／４の位置にあるデータを比較回路３６Ｃに供給する。これにより、それぞれの比較回路にデータを同時に並行して読み上げることができるので、データの読み上げに要する時間を更に短縮し、バイナリサーチを高速化することができる。

比較回路は多ければ多いほど探索速度も向上するが、コスト、サイズなどを考慮の上、所望の探索速度を得られるのに十分な数の比較回路を設ければよい。また、比較回路の数と同じだけ第１データベースを設けるのが好ましいが、コスト、サイズなどを考慮の上、いくつかの比較回路でデータベースを共用してもよい。

図１４は、第１データベースの内部データの更に別の例を示す。図１４に示した第１データベース５０は、フィルタリングの対象となるコンテンツのＵＲＬを格納している。第１データベース５０に格納されるデータは、ワイルドカードとして認識される所定のデータ、例えば、「００Ｈ」又は「０１Ｈ」などを含んでもよい。図１４に示した例において、「http://www.xx.xx/*********」は、「*********」がワイルドカードとして認識され、比較器３６ａ、３６ｂ、・・・において、比較対象データが何であっても合致すると判定される。したがって、「http://www.xx.xx/」で始まる文字列は全てバイナリサーチ回路３６により検出される。これにより、例えば、ドメイン「http://www.xx.xx/」の配下にあるコンテンツの全てにフィルタリングをかける処理などを容易に行うことができる。

図１５は、第２データベースの内部データの例を示す。第２データベース６０は、検索回路３０による検索結果を格納する検索結果欄６２と、通信データに対して実行する処理の内容を格納する処理内容欄６４とを含み、検索結果と処理内容とを対応づけて保持する。図１５の例では、通信データに基準データが含まれている場合は、そのパケットの通過を許可し、含まれていない場合は、そのパケットを破棄するという条件が設定されている。処理実行回路４０は、検索結果に基づいて第２データベース６０から処理内容を検索し、通信データに対して処理を実行する。処理実行回路４０も、ワイヤードロジック回路により実現されてもよい。

図１６は、第２データベースの内部データの別の例を示す。図１６の例では、基準データごとに、処理内容が設定されている。パケットの置換を行う場合、置換先のデータを第２データベース６０に格納しておいてもよい。パケットのルーティングやスイッチングを行う場合、経路に関する情報を第２データベース６０に格納しておいてもよい。処理実行回路４０は、検索回路３０による検索結果に応じて、第２データベース６０に格納された、フィルタリング、ルーティング、スイッチング、置換などの処理を実行する。図１６のように、基準データごとに処理内容を設定する場合、第１データベース５０と第２データベース６０とを統合してもよい。

第１のデータベース及び第２のデータベースは、外部から書き換え可能に設けられる。これらのデータベースを入れ替えることにより、同じ通信制御装置１０を用いて、さまざまなデータ処理や通信制御を実現することができる。また、検索対象となる基準データを格納したデータベースを２以上設けて、多段階の検索処理を行ってもよい。このとき、検索結果と処理内容とを対応づけて格納したデータベースを２以上設けて、より複雑な条件分岐を実現してもよい。このように、データベースを複数設けて多段階の検索を行う場合に、位置検出回路３２、インデックス回路３４、バイナリサーチ回路３６などを複数設けてもよい。

上述した比較に用いられるデータは、同じ圧縮ロジックにより圧縮されてもよい。比較に際して、比較元のデータと比較先のデータが同じ方式で圧縮されていれば、通常と同様の比較が可能である。これにより、比較の際にローディングするデータ量を低減することができる。ローディングするデータ量が少なくなれば、メモリからデータを読み出すのに要する時間が短縮されるので、全体の処理時間も短縮することができる。また、比較器の量を削減することができるので、装置の小型化、軽量化、低コスト化に寄与することができる。比較に用いられるデータは、圧縮された形式で格納されていてもよいし、メモリから読み出した後、比較の前に圧縮されてもよい。

図１７は、前提技術の通信制御装置の別の構成例を示す。本図に示した通信制御装置１０は、図４に示した通信制御装置１０と同様の構成を備える通信制御ユニット１２を２つ有している。また、それぞれの通信制御ユニット１２の動作を制御する切替制御部１４が設けられている。それぞれの通信制御ユニット１２は、２つの入出力インタフェース１６を有しており、それぞれの入出力インタフェース１６を介して、上流側、下流側の２つのネットワークに接続されている。通信制御ユニット１２は、いずれか一方のネットワークから通信データを入力し、処理したデータを他方のネットワークに出力する。切替制御部１４は、それぞれの通信制御ユニット１２に設けられた入出力インタフェース１６の入出力を切り替えることにより、通信制御ユニット１２における通信データの流れの方向を切り替える。これにより、一方向だけではなく、双方向の通信制御が可能となる。

切替制御部１４は、通信制御ユニット１２の一方がインバウンド、他方がアウトバウンドのパケットを処理するように制御してもよいし、双方がインバウンドのパケットを処理するように制御してもよいし、双方がアウトバウンドのパケットを処理するように制御してもよい。これにより、例えばトラフィックの状況や目的などに応じて、制御する通信の方向を可変とすることができる。

切替制御部１４は、各通信制御ユニット１２の動作状況を取得し、その動作状況に応じて通信制御の方向を切り替えてもよい。例えば、一方の通信制御ユニット１２を待機状態として、他方の通信制御ユニット１２を動作させている場合に、その通信制御ユニット１２が故障などにより停止したことを検知したときに、代替として待機中の通信制御ユニット１２を動作させてもよい。これにより、通信制御装置１０のフォールトトレランスを向上させることができる。また、一方の通信制御ユニット１２に対して、データベースの更新などのメンテナンスを行うときに、他方の通信制御ユニット１２を代替として動作させてもよい。これにより、通信制御装置１０の運用を停止させずに、適切にメンテナンスを行うことができる。

通信制御装置１０に３以上の通信制御ユニット１２が設けられてもよい。切替制御部１４は、例えば、トラフィックの状況を取得して、通信量の多い方向の通信制御処理に、より多くの通信制御ユニット１２を割り当てるように、各通信制御ユニット１２の通信の方向を制御してもよい。これにより、ある方向の通信量が増加しても、通信速度の低下を最小限に抑えることができる。

図１８は、複数の通信制御装置１０ａ、１０ｂ、１０ｃ、・・・、を含む通信制御装置１０の構成を示す。第１データベース５０は、データ数に比例して大きな容量を必要とするので、分割して通信制御装置１０ａ、１０ｂ、１０ｃ、・・・、に保持させる。後述するように、本前提技術の通信制御システム１００では、処理すべき通信パケットを、運用中の全ての通信制御装置１０ａ、１０ｂ、１０ｃ、・・・、に供給し、それぞれの通信制御装置１０が受け取ったパケットを処理する。例えば、通信制御装置１０ａは、データＩＤが「０００００１」から「１０００００」まで、通信制御装置１０ｂは、データＩＤが「１００００１」から「２０００００」まで、通信制御装置１０ｃは、データＩＤが「２００００１」から「３０００００」までのデータを保持しており、それぞれが保持するデータを参照してパケットを処理する。

図１９は、運用監視サーバ１１０に設けられた管理テーブル１１１の内部データの例を示す。管理テーブル１１１には、装置ＩＤ欄１１２、運用状況欄１１３、データＩＤ欄１１４が設けられている。装置ＩＤ欄１１２には、通信制御装置１０ａ、１０ｂ、・・・、の装置ＩＤが格納され、運用状況欄１１３には、その通信制御装置の運用状況が格納され、データＩＤ欄１１４には、その通信制御装置が担当すべきデータＩＤの範囲が格納される。運用状況には、例えば、「運用中」、「スタンバイ」、「故障中」、「データ更新中」などがある。運用状況欄１１３は、通信制御装置１０ａ、１０ｂ、・・・、の運用状況が変更されるたびに、運用監視サーバ１１０により更新される。図１９に示した例では、「４６５１８３」件のデータが第１データベース５０に格納されるので、装置ＩＤ「１」〜「５」の５台の通信制御装置１０が運用されており、装置ＩＤ「６」の通信制御装置１０はスタンバイ状態となっている。

運用監視サーバ１１０は、複数の通信制御装置１０の運用状況を監視し、いずれかの通信制御装置１０においてトラブルが発生して運用不可能な状態になったことを検知したときには、スタンバイ状態となっている通信制御装置１０に、運用が停止した通信制御装置１０と同じデータを格納し、その通信制御装置１０に運用を切り替える。例えば、図２０に示すように、装置ＩＤ「２」の通信制御装置１０が故障により運用停止した場合、スタンバイ状態であった装置ＩＤ「６」の通信制御装置１０に、データＩＤ「１００００１〜２０００００」のデータを格納して運用を開始させる。これにより、何らかのトラブルで通信制御装置１０が停止されるような状況になっても、適切に運用を継続することができる。スタンバイ中の通信制御装置１０には、予めいずれかのデータを格納しておき、ホットスタンバイ状態にしておいてもよいし、コールドスタンバイ状態にしておいてもよい。

次に、通信制御装置１０に含まれるデータベースを更新する手順について説明する。データベースサーバ１５０は、所定のタイミングで外部のデータベースから最新のデータベースを取得して保持する。運用監視サーバ１１０は、所定のタイミングで、データベースサーバ１５０に保持された最新のデータベースを通信制御装置１０に反映させるために、データベースサーバ１５０から通信制御装置１０にデータを転送して格納させる。

図２１（ａ）（ｂ）（ｃ）は、データベースを更新する様子を説明するための図である。図２１（ａ）は、図１９と同様に、装置ＩＤ「１」〜「５」の通信制御装置１０が運用中であり、装置ＩＤ「６」の通信制御装置１０がスタンバイ中である状況を示す。運用監視サーバ１１０は、データベースを更新するタイミングが到来すると、現在スタンバイ状態である通信制御装置１０を特定し、その通信制御装置１０に対してデータを格納するようデータベースサーバ１５０に指示する。図２１（ａ）の例では、装置ＩＤ「６」の通信制御装置１０がスタンバイ中であるから、この通信制御装置１０にデータベースサーバ１５０からデータが格納される。このとき、運用監視サーバ１１０は、装置ＩＤ「６」の運用状況欄１１３を「データ更新中」に変更する。

図２１（ｂ）は、通信制御装置１０のデータベースが更新中である状況を示す。データベースサーバ１５０は、運用中の通信制御装置１０のいずれかが担当するデータを、スタンバイ中であった装置ＩＤ「６」の通信制御装置１０の第１データベース５０に格納する。図２１（ｂ）の例では、装置ＩＤ「１」の通信制御装置１０が担当していた、データＩＤ「０００００１〜１０００００」のデータを、装置ＩＤ「６」の通信制御装置１０に格納している。

図２１（ｃ）は、装置ＩＤ「６」の通信制御装置１０のデータベースが更新されて運用が開始され、代わって装置ＩＤ「１」の通信制御装置１０がスタンバイ状態となった状況を示す。運用監視サーバ１１０は、装置ＩＤ「６」の通信制御装置１０に対するデータの格納が終了すると、更新後のデータベースを保持する装置ＩＤ「６」の通信制御装置１０の運用を開始すると同時に、更新前のデータベースを保持する装置ＩＤ「１」の通信制御装置１０の運用を停止してスタンバイ状態にする。これにより、データベースが更新された通信制御装置１０に運用が切り替えられる。つづいて、装置ＩＤ「１」の通信制御装置１０に、データＩＤ「１００００１〜２０００００」のデータを格納した後、装置ＩＤ「１」の通信制御装置１０を運用開始し、装置ＩＤ「２」の通信制御装置１０の運用を停止する。以降、同様に、巡回的にデータベースを更新していくことで、通信制御システム１００の運用を停止することなく、全ての通信制御装置１０のデータベースを背後で更新することができる。

このように、本前提技術の通信制御装置１０では、各通信制御装置１０に格納されているデータは固定的ではなく、あるデータがいずれの通信制御装置１０に格納されているかは、時間によって移り変わる。各通信制御装置１０にパケットを送る前に、いずれの通信制御装置１０にそのユーザのデータが存在するかを判定する処理を行うと、その処理に要する時間が余分にかかる。そのため、本実施の形態では、受信したパケットを全ての通信制御装置１０へ供給し、各通信制御装置１０がパケットを処理する。以下、このような仕組みを実現するための技術について説明する。

図２２は、複数の通信制御装置１０によりパケットを処理するために設けられた通信経路制御装置の構成を示す。通信経路制御装置２００は、スイッチ２１０、データ供給ユニットの一例である光スプリッタ２２０、及びスイッチ２３０を備える。スイッチ２１０は、受信したパケットを通信制御装置１０へ送信する。ここで、スイッチ２１０と通信制御装置１０の間には、複数の通信制御装置１０ａ、１０ｂ、１０ｃにパケットを並行して供給するための光スプリッタ２２０が設けられており、スイッチ２１０は、実際には光スプリッタ２２０へパケットを送信し、光スプリッタ２２０が各通信制御装置へパケットを並行して送信する。

複数の通信制御装置１０ａ、１０ｂ、１０ｃへパケットを送信するために、パケットをブロードキャストに変換すると、例えばヘッダにタイムスタンプを追加するなどの余分な処理が発生し、処理速度が低下してしまう。そのため、パケットに変更を加えずに、光スプリッタ２２０により分割して、ユニキャストのまま複数の通信制御装置１０ａ、１０ｂ、１０ｃへパケットを送信する。この方式を、本明細書では「パラレルキャスト」と呼ぶ。

各通信制御装置は、自装置のＭＡＣアドレス宛のパケットのみを受信するモードではなく、宛先のＭＡＣアドレスに関係なく全てのパケットを受信するプロミスキャスモードに設定される。各通信制御装置は、光スプリッタ２２０からパラレルキャストされたパケットを受信すると、ＭＡＣアドレスのマッチング処理を省き、全てのパケットを取得して処理する。

通信制御装置１０ｃは、通信が禁止された場合など、送信元宛にパケットを返信する場合には、光スプリッタ２２０を介さずにスイッチ２１０へ応答パケットを送信する。通信制御装置１０ｃは、パケットを処理した結果、通信が許可された場合は、そのパケットをネットワークへ送出する。ここで、通信制御装置１０と上流の通信回線の間には、複数の通信制御装置１０ａ、１０ｂ、１０ｃから送出されるパケットを集約するためのスイッチ２３０が設けられており、通信制御装置１０ｃは、実際にはスイッチ２３０へパケットを送信し、スイッチ２３０が上流の通信回線へパケットを送出する。

パケットの送信先から返信されたパケットをスイッチ２３０が受信したときに、返信されたパケットが通信制御装置１０による処理を必要としない場合は、スイッチ２３０のポート２３２からスイッチ２１０のポート２１２へ送信され、スイッチ２１０から送信元に向けて送出される。通常、インターネットでは、パケットに対する応答パケットが確実に送信元に返信されるよう、返信経路を確保するために、送信時の経路がパケットに記録される。しかし、本実施の形態では、通信経路制御装置２００内における返信経路が予め用意されているので、経路を記録せずに、すなわち、パケットを加工せずに装置間の通信を行う。これにより、無駄な処理を省き、処理速度を向上させることができる。

図２２の例では、送信元から発信されたパケットを送信先へ送出する場合にのみパケットを処理し、送信先から送信元へ送出された応答パケットは処理せずに通過させる場合の構成を示しているが、通信制御装置１０が両方向のパケットを処理するように構成してもよい。この場合、通信制御装置１０の両側に光スプリッタ２２０を設ければよい。また、スイッチ２３０からスイッチ２１０へのバイパス経路は設けなくてもよい。

このように、複数の通信制御装置のうち、パケットを処理すべき通信制御装置を予め特定しなくても、全ての通信制御装置に同じパケットをパラレルキャストすることにより、処理すべき通信制御装置に適切にパケットを処理させることができる。

これらの通信制御装置は、上述したように、通信経路制御装置２００からパラレルキャストされる全てのパケットを受信して処理又は破棄するので、インターネット上で装置を一意に識別するためのＩＰアドレスを付与しておく必要がない。サーバ装置などにより、上述したようなパケット処理を実行する場合は、サーバ装置に対する攻撃を考慮する必要があるが、本実施の形態の通信制御装置は、インターネットを介して悪意ある第三者から直接攻撃を受けることがないので、安全に通信制御を行うことができる。

（実施の形態）
図２３は、実施の形態に係る通信管理システムの構成を示す。通信管理システム３００は、パケットフィルタリングなどの機能を有する通信制御装置１０を用いて、ボットを操作するための通信など、不適切な通信を検知して遮断するための処理を行う。

前述したように、ボットは、ユーザ端末３１０に感染して被害をもたらす。ボットが感染したユーザ端末（以下、「ボット３２０」という）は、攻撃者の意のままに操られ、攻撃者の端末として振る舞う。したがって、ボット３２０を操作する通信や、ボット３２０が他のユーザ端末３１０を攻撃する通信を検知して遮断することが望まれる。

しかし、ソースコードが公開されたボットをもとに、新しい亜種が次々と登場しているので、ボット３２０や、複数のボット３２０により構成されるボットネット３２２に対して送受信される不適切な通信データの全てを確実に検知することは難しい。

したがって、本実施の形態では、発想を逆転させ、正常な通信のシグネチャリストを作成して正常な通信を通過させる一方、正常ではない通信を逐一エスカレーションして解析し、正常な通信のシグネチャリストと異常な通信のシグネチャリストを随時更新していく技術を提案する。この技術により、ボットネットによる被害が軽減されることが期待されるため、本発明の社会的な貢献度は非常に高いと言える。

通信管理システム３００において、ユーザ端末３１０とインターネット３９０の間に通信制御装置１０が設けられており、インターネット３９０を介して送受信される通信データが制御される。通信制御装置１０は、正常でない通信データを検知すると、運用者端末３４０へ通知する。運用者端末３４０において、該当する通信データが解析され、その通信データが正常であるか否かが判定される。正常であると判定された通信データのシグネチャは通信制御装置１０に反映され、以降、この通信データと同種の通信データは送受信を許可される。異常であると判定された通信データのシグネチャも通信制御装置１０に反映され、以降、この通信データと同種の通信データは送受信を禁止され遮断される。このようにして、通信制御装置１０は、ボット３２０とボットネット３２２との間の通信や、インターネット３９０を介してボット３２０を操作するための通信などを検知して遮断する。

本実施の形態の通信制御装置１０には、第１データベース５０として、正常シグネチャリスト３３２、異常シグネチャリスト３３４、及びルールデータベース３３６が設けられている。正常シグネチャリスト３３２は、正常な通信として通過させるべき通信データのシグネチャのリストを格納する。異常シグネチャリスト３３４は、異常な通信として遮断すべき通信データのシグネチャのリストを格納する。ルールデータベース３３６は、解析を要する通信データを抽出するためのルールを格納する。

第１データベース５０が３つ設けられているのに合わせて、検索回路３０も３つ設けられている。検索回路３０Ａは、取得した通信データが正常シグネチャリスト３３２に格納された正常な通信のシグネチャに合致するか否かを検索する第１の検索部として機能する。検索回路３０Ｂは、取得した通信データが異常シグネチャリスト３３４に格納された異常な通信のシグネチャに合致するか否かを検索する第２の検索部として機能する。検索回路３０Ｃは、取得した通信データがルールデータベース３３６に格納されたルールに合致するか否かを検索する第３の検索部として機能する。これらの検索回路３０のうち少なくとも２つ、好ましくは全ての検索回路３０が、同時に並列して検索を実行する。これにより、スループットを低下させることなく、正常な通信、異常な通信、抽出すべき通信を高速に検知することができる。通信データを３つの検索回路３０へ同時に供給するために、図２２に示した技術を利用してもよい。

第２データベース６０には、正常シグネチャリスト３３２に格納された正常な通信のシグネチャに合致しない通信データを検知したときに、警告を発する旨の処理内容が格納されている。これに応じて、処理実行回路４０は、検索回路３０Ａが正常シグネチャリスト３３２に格納されたシグネチャに合致しない通信データを検知すると、警告を発して運用者端末３４０へ通知する警告部として機能する。

また、第２データベース６０には、異常シグネチャリスト３３４に格納された遮断すべき通信のシグネチャに合致する通信データを検知したときに、その通信データを遮断する旨の処理内容が格納されている。これに応じて、処理実行回路４０は、検索回路３０Ｂが異常シグネチャリスト３３４に格納されたシグネチャに合致する通信データを検知すると、その通信データを破棄して遮断する遮断部として機能する。

運用者端末３４０では、警告取得部３４２が通信制御装置１０から警告を取得すると、その旨を表示又は音声などにより運用者へ報知する。このとき、通信データ取得部３４４は、警告を発せられた通信データを通信制御装置１０から取得する。解析部３４６は、警告を発せられた、正常な通信のシグネチャに合致しない通信データを解析し、正常な通信であるか否かを判定して判定結果取得部３４８へ伝達する。判定結果取得部３４８は、通信データを解析した運用者から判定結果を取得してもよい。また、運用者からエスカレーションされたセキュリティベンダーなどから判定結果を取得してもよい。

判定結果取得部３４８は、警告を発せられた通信データが正常な通信データであるとの判定結果を取得したときに、正常シグネチャリスト３６２にその通信データのシグネチャを追加するよう正常シグネチャリスト更新部３５２へ指示する。正常シグネチャリスト更新部３５２は、正常シグネチャリスト３６２に、正常であると判定された通信データのシグネチャを追加する。

判定結果取得部３４８は、警告を発せられた通信データが遮断すべき通信データであるとの判定結果を取得したときに、異常シグネチャリスト３６４にその通信データのシグネチャを追加するよう異常シグネチャリスト更新部３５４へ指示する。異常シグネチャリスト更新部３５４は、異常シグネチャリスト３６４に、遮断すべきと判定された通信データのシグネチャを追加する。

更新された正常シグネチャリスト３６２及び異常シグネチャリスト３６４は、データベースサーバ１５０により、所定のタイミングで通信制御装置１０の正常シグネチャリスト３３２及び異常シグネチャリスト３３４へ反映される。データベースの更新は、前提技術で説明した手順により行われてもよい。また、正常シグネチャリスト更新部３５２及び異常シグネチャリスト更新部３５４が、正常シグネチャリスト３３２及び異常シグネチャリスト３３４へ直接アクセスして更新してもよい。複数の通信制御装置１０が設けられる場合は、データベースサーバ１５０が、それぞれの通信制御装置１０により警告を発せられた通信データの判定結果を集約した正常シグネチャリスト３６２を作成し、集約された正常シグネチャリスト３６２をそれぞれの通信制御装置１０の正常シグネチャリスト３３２に反映させる。

このように、異常な通信のみをシグネチャにより抽出して遮断するのではなく、正常な通信のみをシグネチャにより抽出して通過させ、それ以外の通信を解析し、正常か否かを判定して判定結果を反映させる。これにより、ボットネット３２２などにおいて新しい通信プロトコルにより不適切な通信が行われたとしても、それは正常な通信ではないので、確実に検知することができる。また、いったん遮断すべき通信データを検知すると、そのシグネチャを異常シグネチャリスト３３４に登録するので、以降は適切に遮断することができる。正常シグネチャリスト３３２及び異常シグネチャリスト３３４のシグネチャの量はかなり多くなるが、前提技術で説明したように、本実施の形態の通信制御装置１０は、専用のハードウェアにより構成されていて、非常に高速な検索が可能であるから、スループットを低下させることなく適切に通信を管理することができる。

第２データベース６０には、さらに、ルールデータベース３３６に格納されたルールに合致する通信データを検知したときに、その通信データを複製して出力する旨の処理内容が格納されている。これに応じて、処理実行回路４０は、検索回路３０Ｃがルールデータベース３３６に格納されたルールに合致する通信データを検知すると、その通信データの複製を出力ポートから運用者端末３４０へ出力する抽出部として機能する。

例えば、警告が発せられた通信データが正常であるか遮断すべきであるかを判定するにあたって、同じ送信元から送られた他の通信データや、同じ送信先へ送られた他の通信データなどを参照して解析する必要がある場合がある。このような場合に、警告が発せられた通信データの送信元のＩＰアドレス、送信先のＩＰアドレス、ペイロードの内容などをルールとしてルールデータベース３３６に登録しておけば、そのルールに合致した通信データを収集して解析することができる。前提技術で説明したように、本実施の形態の通信制御装置１０は、送信元又は送信先のＩＰアドレスなど、ヘッダに格納された情報だけでなく、ペイロード部分に格納された情報も検索対象とすることができるので、より細かいルールの設定が可能である。

運用者は、警告を発せられた通信データを解析する際に、他の通信データも参照して解析すべきと判断した場合、ルールデータベース更新部３５６を介して、関連した通信データを抽出するためのルールをルールデータベース３６６に追加することができる。更新されたルールデータベース３６６は、データベースサーバ１５０により、通信制御装置１０のルールデータベース３３６に反映される。これにより、シグネチャを随時変更可能なパケットキャプチャ装置を実現することができる。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

実施の形態では、正常シグネチャリスト３３２、異常シグネチャリスト３３４、ルールデータベース３３６と、それらを参照して通信データを検索する検索回路３０Ａ、３０Ｂ、３０Ｃを１つの通信制御装置１０に設けたが、それぞれを別の通信制御装置１０に設けてもよい。

本発明は、不適切な通信を管理する通信管理システムに利用することができる。

Claims (2)

1. 正常な通信のシグネチャのリストを格納した正常シグネチャリストと、
   通信データを取得し、その通信データが前記正常シグネチャリストに格納された正常な通信のシグネチャに合致するか否かを検索する第１の検索部と、
   前記正常シグネチャリストに格納された正常な通信のシグネチャに合致しない通信データを検知したときに警告を発する警告部と、
   通信データの中から、特定の通信データを出力させるためのルールを格納したルールデータベースと、
   警告を発せられた通信データに関連した通信データを出力させるために、警告が発せられた通信データの送信元のＩＰアドレス、送信先のＩＰアドレス、又はペイロードの内容を前記ルールデータベースにルールとして登録する更新部と、
   前記更新部が受け付けた前記ルールの変更を前記ルールデータベースにリアルタイムに反映させるデータベースサーバと、
   通信データを取得し、その通信データが前記ルールデータベースに格納されたルールに合致するか否かを検索する第２の検索部と、
   前記ルールデータベースに格納されたルールに合致する通信データを検知したときに、その通信データを複製して出力する出力部と、
   を備えることを特徴とする通信管理システム。
2. 上流のネットワークから通信データを取得して前記第１又は第２の検索部へ供給する第１の通信制御部と、
   前記通信データを下流のネットワークへ送出する第２の通信制御部と、を更に備え、
   前記出力部は、前記ルールに合致する通信データを複製して出力することを特徴とする請求項１に記載の通信管理システム。

Images