特開 2024-159625 ネットワーク管理装置及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024159625

(43)【公開日】2024-11-08

(54)【発明の名称】ネットワーク管理装置及び方法

(51)【国際特許分類】

   H04L 43/04 20220101AFI20241031BHJP

【ＦＩ】

H04L43/04

【審査請求】有

【請求項の数】10

【出願形態】ＯＬ

【外国語出願】

(21)【出願番号】P 2024069983

(22)【出願日】2024-04-23

(31)【優先権主張番号】112115527

(32)【優先日】2023-04-26

(33)【優先権主張国・地域又は機関】TW

(71)【出願人】

【識別番号】390023582

【氏名又は名称】財團法人工業技術研究院

【氏名又は名称原語表記】ＩＮＤＵＳＴＲＩＡＬ ＴＥＣＨＮＯＬＯＧＹ ＲＥＳＥＡＲＣＨ ＩＮＳＴＩＴＵＴＥ

【住所又は居所原語表記】Ｎｏ．１９５，Ｓｅｃ．４，ＣｈｕｎｇＨｓｉｎｇＲｄ．，Ｃｈｕｔｕｎｇ，Ｈｓｉｎｃｈｕ，Ｔａｉｗａｎ ３１０４０

(74)【代理人】

【識別番号】110003214

【氏名又は名称】弁理士法人服部国際特許事務所

(72)【発明者】

【氏名】劉哲豪

(72)【発明者】

【氏名】卓傳育

(72)【発明者】

【氏名】羅翊萍

(72)【発明者】

【氏名】何貞儀

(57)【要約】

【課題】ネットワーク管理装置及び方法を提供する。
【解決手段】ネットワーク管理装置は、少なくとも１つの電子装置が複数のネットワークパケットを伝送することに応答して、複数のネットワークパケットに対応する複数のネットワークパケット情報を取得する。ネットワーク管理装置は、複数のネットワークパケット情報に基づいて、この少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断する。ネットワーク管理装置は、これらの第１パケット特徴に基づいて、この少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する。ネットワーク管理装置は、この少なくとも１つの第１候補ルールに基づいて、この少なくとも１つの電子装置がネットワークで伝送したこれらのネットワークパケットを管理する。
【選択図】図６

【特許請求の範囲】

【請求項1】

ネットワークを経由して複数のネットワークパケットを伝送する少なくとも１つの電子装置に通信接続される送受信インタフェースと、
前記少なくとも１つの電子装置が前記複数のネットワークパケットを伝送することに応答して、前記複数のネットワークパケットに対応する複数のネットワークパケット情報を取得する動作と、
前記複数のネットワークパケット情報に基づいて、前記少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断する動作と、
前記複数の第１パケット特徴に基づいて、前記少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する動作と、
前記少なくとも１つの第１候補ルールに基づいて、前記少なくとも１つの電子装置が前記ネットワークで伝送した前記複数のネットワークパケットを管理する動作と、を実行することに用いられ、前記送受信インタフェースに電気的に接続されるプロセッサと、
を備えるネットワーク管理装置。

【請求項2】

前記複数のネットワークパケット情報の各々は、メディアアクセス制御アドレス、パケット時間、通信プロトコル、送信元インターネットプロトコル、送信元ポート、宛先インターネットプロトコル、宛先ポート、パケットサイズ、パケットコンテンツのうちの少なくとも１つ又はそれらの組み合わせを含む請求項１に記載のネットワーク管理装置。

【請求項3】

前記少なくとも１つの電子装置に対応する前記複数の第１パケット特徴を判断することは、
前記複数のネットワークパケットの前記複数のネットワークパケット情報を比較することで、前記複数のネットワークパケットに対応する発生頻度を計算する動作と、
前記複数のネットワークパケットに対応する前記発生頻度に基づいて、前記少なくとも１つの電子装置に対応する前記複数の第１パケット特徴を判断する動作と、
を含む請求項１に記載のネットワーク管理装置。

【請求項4】

前記少なくとも１つの電子装置に対応する前記複数の第１パケット特徴を判断することは、
前記複数のネットワークパケットの前記複数のネットワークパケット情報を比較することで、前記複数のネットワークパケットに対応する発生頻度及びパケット時間を計算する動作と、
前記複数のネットワークパケットに対応する前記発生頻度及び前記パケット時間に基づいて、前記少なくとも１つの電子装置に対応する前記複数の第１パケット特徴を判断する動作と、
を含む請求項１に記載のネットワーク管理装置。

【請求項5】

前記少なくとも１つの電子装置に対応する前記複数の第１パケット特徴を判断することは、
前記複数のネットワークパケットの前記複数のネットワークパケット情報を比較することで、前記複数のネットワークパケットに対応する発生頻度、パケット時間及びパケットサイズを計算する動作と、
前記複数のパケットのそれぞれに対応する前記発生頻度、前記パケット時間及び前記パケットサイズに基づいて、前記少なくとも１つの電子装置に対応する前記複数の第１パケット特徴を判断する動作と、
を含む請求項１に記載のネットワーク管理装置。

【請求項6】

前記プロセッサは、更に、
前記少なくとも１つの第１候補ルールのそれぞれに対応するルール重みを計算する動作と、
前記複数のルール重みに基づいて、前記少なくとも１つの第１候補ルールから少なくとも１つの適用ルールを決定する動作と、
前記少なくとも１つの適用ルールに基づいて、前記少なくとも１つの電子装置が前記ネットワークで伝送した前記複数のネットワークパケットを管理する動作と、
を実行する請求項１に記載のネットワーク管理装置。

【請求項7】

前記少なくとも１つの電子装置が前記ネットワークで伝送した前記複数のネットワークパケットを管理することは、
伝送対象ネットワークパケットが前記少なくとも１つの適用ルールに一致するかを判断する動作と、
前記伝送対象ネットワークパケットが前記少なくとも１つの適用ルールに一致することに応答して、前記少なくとも１つの電子装置が前記ネットワークで前記伝送対象ネットワークパケットを伝送することを許可する動作と、
を更に含む請求項６に記載のネットワーク管理装置。

【請求項8】

前記プロセッサは、更に、
ファイアウォールログを受信する動作と、
前記ファイアウォールログから、前記少なくとも１つの電子装置に対応する複数の第２パケット特徴を取得する動作と、
前記複数の第２パケット特徴に基づいて、前記少なくとも１つの電子装置に対応する少なくとも１つの第２候補ルールを生成する動作と、
前記少なくとも１つの第１候補ルール及び前記少なくとも１つの第２候補ルールに基づいて、前記少なくとも１つの電子装置が前記ネットワークで伝送した前記複数のネットワークパケットを管理する動作と、
を実行する請求項１に記載のネットワーク管理装置。

【請求項9】

前記プロセッサは、ネットワーク装置から前記ファイアウォールログを受信し、前記少なくとも１つの電子装置は、前記ネットワーク装置に通信接続され、且つ前記ネットワーク装置を経由して前記複数のネットワークパケットを伝送する請求項８に記載のネットワーク管理装置。

【請求項10】

ネットワーク管理装置に使用されるネットワーク管理方法であって、
少なくとも１つの電子装置が伝送した複数のネットワークパケットに対応する複数のネットワークパケット情報に基づいて、前記少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断する工程と、
前記複数の第１パケット特徴に基づいて、前記少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する工程と、
前記少なくとも１つの第１候補ルールに基づいて、前記少なくとも１つの電子装置がネットワークで伝送した前記複数のネットワークパケットを管理する工程と、
を含むネットワーク管理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワーク管理装置及び方法に関する。具体的には、本発明は、無人の自動ネットワーク管理装置及び方法に関する。

【背景技術】

【0002】

近年、ネットワークに関連するアプリケーションサービスが多様化し、人々はネットワーク情報のセキュリティにますます注意を払っている。

【0003】

しかしながら、一般的なネットワーク管理担当者は、関連する情報セキュリティの背景、ネットワークアーキテクチャ、ネットワーク管理等の知識が不足している可能性があるため、適切なネットワークセキュリティから機器を保護できない可能性がある。また、現在の機器、アプリケーションプログラムは多種多様であるため、プロのネットワーク管理担当者であっても、個々のネットワークの動作を完全に理解できず、これにより、正しいネットワーク管理を提供できない可能性がある。

【0004】

また、従来技術の侵入検知システム（ＩＤＳ／ＩＰＳ）は、いずれもブラックリストルールの形式を用いるため、悪意のある攻撃ネットワーク行為が検知された場合のみ阻止される。従って、新しいタイプの悪意のある攻撃が発生するが、その特徴が記録し解析されておらず、又はタイムリーに更新されていないと、従来技術におけるネットワーク管理メカニズムは依然として攻撃を効果的に阻止することができない。

【発明の概要】

【発明が解決しようとする課題】

【0005】

従って、ネットワーク行為を自動的に収集して分析し、その後、ホワイトリストのファイアウォールルールを策定し、手動的な監視は完全に不要（すなわち、人間の介入が不要）になれば、現場内の機器に対してより包括的なネットワークセキュリティ保護を行うことができ、それにより、関連する情報セキュリティ担当者の雇用による追加の人件費及び不適切なルールの策定によるネットワーク侵害の問題を解決する。

【0006】

これを鑑みて、如何に無人を実現できる自動化ネットワーク管理技術を提供するかは、業界が努力する必要がある緊急の目標である。

【課題を解決するための手段】

【0007】

本発明の１つの目的は、ネットワーク管理装置を提供することである。このネットワーク管理装置は、ネットワークを経由して複数のネットワークパケットを伝送する少なくとも１つの電子装置に通信接続される送受信インタフェースと、前記送受信インタフェースに電気的に接続されるプロセッサと、を備える。このプロセッサは、前記少なくとも１つの電子装置が前記複数のネットワークパケットを伝送することに応答して、前記複数のネットワークパケットに対応する複数のネットワークパケット情報を取得する動作と、前記複数のネットワークパケット情報に基づいて、前記少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断する動作と、前記複数の第１パケット特徴に基づいて、前記少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する動作と、前記少なくとも１つの第１候補ルールに基づいて、前記少なくとも１つの電子装置が前記ネットワークで伝送した前記複数のネットワークパケットを管理する動作と、を実行することに用いられる。

【0008】

本発明の別の目的は、ネットワーク管理装置に使用されるネットワーク管理方法を提供することである。このネットワーク管理方法は、少なくとも１つの電子装置が伝送した複数のネットワークパケットに対応する複数のネットワークパケット情報に基づいて、前記少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断する工程と、前記複数の第１パケット特徴に基づいて、前記少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する工程と、前記少なくとも１つの第１候補ルールに基づいて、前記少なくとも１つの電子装置がネットワークで伝送した前記複数のネットワークパケットを管理する工程と、を含む。

【0009】

本発明によって提供されたネットワーク管理技術（少なくとも装置及び方法を含む）は、少なくとも１つの電子装置が伝送した複数のネットワークパケットに対応する複数のネットワークパケット情報を取得することにより、前記少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断し、且つ前記複数の第１パケット特徴に基づいて前記少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する。これにより、本発明によって提供されたネットワーク管理技術は、前記少なくとも１つの第１候補ルールに基づいて、前記少なくとも１つの電子装置がネットワークで伝送した前記複数のネットワークパケットを管理することができる。本発明によって提供されたネットワーク管理技術は、ネットワーク行為を自動的に収集して分析することができ、従って、個々の電子装置（例えば、ホスト機器又はアプリケーションプログラム）の固定的なネットワーク行為に対して管理ルール（例えば、ネットワークファイアウォールのホワイトリスト）を生成し、かつルールをファイアウォールに自動的に適用することでファイアウォールのネットワーク保護を有効にすることができる。従って、従来技術において、ルールの設定や策定に人手を必要とするか、ネットワーク管理者が個々の装置のネットワーク行為を十分に理解できないため、正しいネットワーク管理を提供できないという欠点を解決する。

【0010】

以下、当業者が本発明の技術的特徴を理解できるように、図面を参照しながら、本発明の詳細な技術及び実施形態を説明する。

【図面の簡単な説明】

【0011】

【図1】第１実施形態のネットワーク管理装置の適用シナリオを示す概略図である。

【図2】いくつかの実施形態のネットワーク管理装置の適用シナリオを示す概略図である。

【図3】いくつかの実施形態のネットワーク管理装置のアーキテクチャを示す概略図である。

【図4】いくつかの実施形態のネットワーク管理装置の動作を示す概略図である。

【図5】いくつかの実施形態のネットワークパケットの例を示す概略図である。

【図6】第２実施形態のネットワーク管理方法を示す一部のフローチャートである。

【発明を実施するための形態】

【0012】

以下、実施形態により本発明によって提供されたネットワーク管理装置及び方法を説明する。しかしながら、これらの実施形態は、本発明がこれらの実施形態に記載されるような任意の環境、適用又は方式で実施される必要があることを制限するために使用されるものではない。従って、実施形態についての説明は本発明の説明を目的とするものに過ぎず、本発明の範囲を制限するものではない。理解の便宜上、以下の実施形態及び図面において、本発明に直接関係のない要素は省略されて図示されていない。且つ各要素の寸法及び要素間の寸法比率は例示的なものに過ぎず、本発明の範囲を制限するものではない。

【0013】

まず、本実施形態の適用シナリオを説明し、そのシナリオ概略図１００は図１に示される。図１に示すように、本発明のいくつかの実施形態では、本開示のネットワークシステムは、複数の電子装置２及び複数のネットワーク管理装置１を含むことができ、且つネットワーク管理装置１と電子装置２とは１対１の接続関係を有する（例えば、有線通信方式又は無線通信方式で接続される）。なお、電子装置２はネットワーク装置３（例えば、ルータ装置）によりネットワークＮＷ（例えば、インターネット及びローカルエリアネットワーク）に接続することができ、且つ電子装置２はネットワークＮＷを経由してネットワークパケットを伝送することができる。

【0014】

例を挙げると、図１の適用環境は、例えば、オペレーショナルテクノロジー（Ｏｐｅｒａｔｉｏｎａｌ ｔｅｃｈｎｏｌｏｇｙ、ＯＴ）分野、医療分野等であってもよく、ネットワーク管理装置１は、例えば、ロボットアーム、ダヴィンチ手術台等の機器を保護することができる。

【0015】

また、いくつかの実施形態では、本開示は、１つのネットワーク管理装置１により複数の電子装置２を一括管理してもよい。理解の便宜上、図２のシナリオ概略図２００を参照する。図２に示すように、本開示のネットワークシステムは複数の電子装置２及び１つのネットワーク管理装置１を含むことができ、ネットワーク装置３と複数の電子装置２とは接続関係を有し（例えば、有線通信方式又は無線通信方式で接続される）、ネットワーク装置３とネットワーク管理装置１とは接続関係を有し（例えば、有線通信方式又は無線通信方式で接続される）、複数の電子装置２はネットワーク装置３によりネットワークＮＷに接続される。また、いくつかの実施形態では、ネットワーク装置３とネットワーク管理装置１とは位置を変換してもよい。

【0016】

例を挙げると、図２の適用環境は、例えば、マイクロネットワークセグメントの分野を分離して保護することができる。

【0017】

そして、本実施形態におけるネットワーク管理装置の要素アーキテクチャを説明する。その概略図は図３に示される。図３に示すように、本発明の第１実施形態では、ネットワーク管理装置１は送受信インタフェース１１及びプロセッサ１３を備え、プロセッサ１３は送受信インタフェース１１に電気的に接続される。いくつかの実施形態では、ネットワーク管理装置１は更に記憶装置（図示せず）を備える。

【0018】

なお、送受信インタフェース１１はデータの送受信が可能なインタフェース又は当業者に知られているデータの送受信が可能なその他のインタフェースであってもよく、送受信インタフェースは、例えば、外部装置、外部ウェブページ、外部アプリケーションプログラム等のソースを介してデータを受信することできる。プロセッサ１３は、様々な処理ユニット、中央処理ユニット（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、ＣＰＵ）、マイクロプロセッサ、又は当業者に知られているその他の計算装置であってもよい。記憶装置は、メモリ、ユニバーサルシリアルバス（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ、ＵＳＢ）ディスク、ハードディスク、光ディスク、ペンドライブ又は当業者に知られており且つ同じ機能を有する任意のその他の記憶媒体又は回路であってもよい。

【0019】

理解の便宜上、以下の段落で説明する場合に、１つのネットワーク管理装置１及び１つの電子装置２（以下、少なくとも１つの電子装置２という）を例として説明する。当業者は、本開示の内容に基づいて接続関係の数が異なる時の実施形態を理解できるため、ここでは詳細に説明しない。

【0020】

先ず、本実施形態では、少なくとも１つの電子装置２がネットワークパケットの伝送（すなわち、送信又は受信を含む双方向動作）を行う時、プロセッサ１３はこのネットワークパケットのネットワークパケット情報を取得する。具体的に、プロセッサ１３は少なくとも１つの電子装置２がこれらのネットワークパケットを伝送することに応答して、これらのネットワークパケットに対応する複数のネットワークパケット情報を取得する。

【0021】

具体的に、これらのネットワークパケット情報の各々は、メディアアクセス制御アドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ ＣｏｎｔｒｏｌＡｄｄｒｅｓｓ）、パケット時間、通信プロトコル（Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）、送信元インターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、ＩＰ）、送信元ポート（Ｐｏｒｔ）、宛先インターネットプロトコル、宛先ポート、パケットサイズ、パケットコンテンツのうちの少なくとも１つ又はそれらの組み合わせを含んでもよい。

【0022】

いくつかの実施形態では、プロセッサ１３は更に、コマンドツール（ｔｃｐｄｕｍｐ及びｔｓｈａｒｋなど）を実行することによりこれらのネットワークパケットに対応する複数のネットワークパケット情報を取得することができる。

【0023】

次に、プロセッサ１３はこれらのネットワークパケット情報に基づいて、少なくとも１つの電子装置２に対応する複数の第１パケット特徴を判断する。

【0024】

なお、プロセッサ１３は異なる分析条件を通じて少なくとも１つの電子装置２の第１パケット特徴を判断することができる。

【0025】

例を挙げると、いくつかの実施形態では、プロセッサ１３は、これらのネットワークパケットのこれらのネットワークパケット情報（例えば、同じ通信プロトコル、送信元インターネットプロトコル、宛先インターネットプロトコルを有するネットワークパケット）を比較することで、これらのネットワークパケットに対応する発生頻度（又はネットワークパケットとネットワークパケット間の送信時間）を計算することができる。次に、プロセッサ１３はこれらのネットワークパケットに対応するこの発生頻度に基づいて、少なくとも１つの電子装置２に対応するこれらの第１パケット特徴（例えば、同じ通信プロトコル、送信元インターネットプロトコル、宛先インターネットプロトコルを有するいくつかのネットワークパケットが５秒ごとに一回伝送する頻度で発生する）を判断する。

【0026】

いくつかの実施形態では、プロセッサ１３は更に、各ネットワークパケットのパケット時間の分析に基づいて、異なる期間に対応するパケット特徴をまとめることができる。例を挙げると、プロセッサ１３はこれらのネットワークパケットのこれらのネットワークパケット情報を比較することで、これらのネットワークパケットに対応する発生頻度及びパケット時間を計算することができる。次に、プロセッサ１３はこれらのネットワークパケットに対応するこの発生頻度及びこのパケット時間に基づいて、少なくとも１つの電子装置２に対応するこれらの第１パケット特徴（例えば、同じ通信プロトコル、送信元インターネットプロトコル、宛先インターネットプロトコルを有するいくつかのネットワークパケットが一定の期間及び一定の頻度で伝送される）を判断する。

【0027】

いくつかの実施形態では、プロセッサ１３は更に、各ネットワークパケットのパケットサイズの分析に基づいて、対応するパケット特徴を判断することができる。例を挙げると、プロセッサ１３はこれらのネットワークパケットのこれらのネットワークパケット情報を比較することで、これらのネットワークパケットに対応する発生頻度、パケット時間及びパケットサイズを計算することができる。次に、プロセッサ１３はこれらのパケットのそれぞれに対応するこの発生頻度、このパケット時間及びこのパケットサイズに基づいて、少なくとも１つの電子装置２に対応するこれらの第１パケット特徴（例えば、同じ通信プロトコル、送信元インターネットプロトコル、宛先インターネットプロトコルを有するいくつかのネットワークパケットが一定の期間、一定の頻度且つ一定のパケットサイズで伝送される）を判断する。

【0028】

理解できるように説明すると、少なくとも１つの電子装置２は、時間間隔内で、異なる通信プロトコル、送信元インターネットプロトコル、宛先インターネットプロトコル等を有する複数のグループのネットワークパケットを同時に伝送する可能性があるため、プロセッサ１３は、異なるタイプ／組み合わせのネットワークパケットに対応して、異なる複数のグループのパケット特徴を生成する可能性がある。

【0029】

次に、プロセッサ１３はこれらの第１パケット特徴に基づいて、少なくとも１つの電子装置２に対応する少なくとも１つの第１候補ルールを生成する。なお、この少なくとも１つの第１候補ルールのそれぞれは少なくとも１つの電子装置２の第１行為特徴（すなわち、少なくとも１つの電子装置２の固定的な行為特徴）に対応し、且つこの第１行為特徴はこれらの第１パケット特徴により構成される。

【0030】

例を挙げると、プロセッサ１３はいくつかの特定のネットワークパケットに対応する複数のパケット特徴から、一部のパケット特徴を管理条件として選択して、１グループの候補ルールに統合することができる。

【0031】

最後に、プロセッサ１３はこの少なくとも１つの第１候補ルールに基づいて、少なくとも１つの電子装置２がこのネットワークで伝送したこれらのネットワークパケットを管理する。

【0032】

例を挙げると、産業用制御分野におけるロボットアームの適用環境では、プロセッサ１３が生成した候補ルールは、例えば、「月曜日から金曜日の午前９時から午後６時までの時間帯に５分ごとに伝送されるネットワークパケット」に対応する行為特徴であってもよい。これにより、プロセッサ１３は産業用制御分野におけるロボットアームを月曜日から金曜日の午前９時から午後６時まで固定し、５分ごとに送信されたネットワークパケット（すなわち、メインコンソールが送信した、ロボットアームコマンドをディスパッチするネットワークパケット又はロボットアームによりセンターコンソールに返送されるネットワークパケット）を一回作動させる。

【0033】

いくつかの実施形態では、プロセッサ１３はこの少なくとも１つの第１候補ルールから一部を実際にネットワーク管理装置１に適用されて管理するための適用ルールとして選択することができる。具体的に、プロセッサ１３はこの少なくとも１つの第１候補ルールのそれぞれに対応するルール重み（例えば、ネットワークパケットに対応する発生回数、頻度）を計算する。次に、プロセッサ１３はこれらのルール重みに基づいて、この少なくとも１つの第１候補ルールから少なくとも１つの適用ルール（例えば、上位８０％の候補ルール）を決定する。最後に、プロセッサ１３はこの少なくとも１つの適用ルールに基づいて、少なくとも１つの電子装置２がこのネットワークで伝送したこれらのネットワークパケットを管理する。

【0034】

いくつかの実施形態では、プロセッサ１３はホワイトリスト許可メカニズム（例えば、ネットワークファイアウォールホワイトリスト）を設定することにより、ルールに一致するネットワークパケットのみが伝送動作を行うことを許可し、逆に、ルールに一致しないネットワークパケットが伝送動作（すなわち、少なくとも１つの電子装置２による送受信を含む双方向動作）を行うことを阻止する。具体的に、プロセッサ１３は伝送対象ネットワークパケットがこの少なくとも１つの適用ルールに一致するかを判断する。次に、プロセッサ１３はこの伝送対象ネットワークパケットがこの少なくとも１つの適用ルールに一致することに応答して、少なくとも１つの電子装置２がこのネットワークでこの伝送対象ネットワークパケットを伝送することを許可する。

【0035】

いくつかの実施形態では、電子装置がこのネットワークで伝送したこれらのネットワークパケットをより正確に管理するために、プロセッサ１３は更にネットワーク装置（例えば、ルータ装置）のファイアウォールログの分析により、候補ルールを生成することができる。具体的に、プロセッサ１３はファイアウォールログを受信する。次に、プロセッサ１３はこのファイアウォールログから、少なくとも１つの電子装置２に対応する複数の第２パケット特徴を取得する。次に、プロセッサ１３はこれらの第２パケット特徴に基づいて、少なくとも１つの電子装置２に対応する少なくとも１つの第２候補ルールを生成する。最後に、プロセッサ１３はこの少なくとも１つの第１候補ルール及びこの少なくとも１つの第２候補ルールに基づいて、少なくとも１つの電子装置２がこのネットワークで伝送したこれらのネットワークパケットを管理する。

【0036】

いくつかの実施形態では、プロセッサ１３は更に、コマンドツール（例えば：ｒｓｙｓｌｏｇ及びｓｙｓｌｏｇ－ｎｇ）を実行することによりネットワーク装置のファイアウォールログを収集することができる。

【0037】

具体的に、このファイアウォールログはファイアウォール動作情報（例えば、生成したルールが正常に動作するか）、アプリケーションプログラムインタフェースの対話記録、ルールマッチング記録のうちの少なくとも１つ又はそれらの組み合わせを含むことができる。

【0038】

例を挙げると、プロセッサ１３はファイアウォールログ内の過去の履歴ルールマッチング記録を取得し、どのネットワークパケットが通過することを許可するか、又は阻止するかを分析することにより、少なくとも１つの電子装置２に対応する複数のパケット特徴を取得し、かつファイアウォールログに対応する候補ルールを生成することができる。

【0039】

なお、プロセッサ１３は、ネットワーク装置（例えば、図２におけるネットワーク装置３）からこのファイアウォールログを受信し、少なくとも１つの電子装置２は、ネットワーク装置３に通信接続され、且つこのネットワーク装置を経由してこれらのネットワークパケットを伝送する。理解できるように、ネットワーク装置３が記録した情報は外部ネットワーク及びローカルエリアネットワークの情報を含むため、プロセッサ１３はファイアウォールログの内容に基づいて候補ルールをより正確に生成することができる。

【0040】

本開示のいくつかの実施形態の動作プロセスの理解を容易にするために、図４におけるフローチャート４００を参照する。先ず、プロセッサ１３はネットワーク管理の動作ＯＰ１の実行を開始する。次に、プロセッサ１３はネットワークパケットを収集する動作ＯＰ２及びファイアウォールログを取得する動作ＯＰ５を実行する。次に、プロセッサ１３はネットワークパケットを有するかを判断する動作ＯＰ３を実行し、動作ＯＰ３の判断がＹＥＳである場合、プロセッサ１３がそれぞれネットワークパケットコンテンツ（例えば、ネットワークパケット情報）を記憶する動作ＯＰ４及びネットワーク特徴を取得する動作ＯＰ７を実行し、動作ＯＰ３の判断がＮＯである場合、プロセッサ１３はネットワークパケットの収集を継続する（すなわち、電子装置がネットワークパケットの伝送を有するかを継続的に監視する）動作ＯＰ２を実行する。

【0041】

また、プロセッサ１３はファイアウォールログを有するかを判断する動作ＯＰ６を実行し、動作ＯＰ６の判断がＹＥＳである場合、プロセッサ１３はネットワーク特徴を取得する動作ＯＰ７を実行し、動作ＯＰ６の判断がＮＯである場合、プロセッサ１３はファイアウォールログの取得を継続する動作ＯＰ５を実行する。

【0042】

次に、プロセッサ１３は候補ルールを生成する動作ＯＰ８を実行する。次に、プロセッサ１３は候補ルールからルールをフィルタリングする動作ＯＰ９を実行する。最後に、プロセッサ１３はルールを適用してネットワーク管理装置１においてネットワークパケットの管理動作を行う動作ＯＰ１０を実行する。

【0043】

理解の便宜上、実際の例で説明すると、図５におけるネットワークパケット例の概略図５００を参照する。本例では、プロセッサ１３は先ずネットワークパケットＰ１の情報を抽出し、ネットワークパケットＰ１に対応するネットワークパケット情報は、送信元ＩＰ「１９２．１６８．４７．１４７」、宛先ＩＰ「１９２．１６８．４７．２２３」、通信プロトコル「ＩＣＭＰ」、パケットサイズ「８４ｂｙｔｅｓ」及びパケット時間「１３：５５：３１」を含む。次に、プロセッサ１３は前回のネットワークパケットとの間隔時間を判断し、本例では、この前にその他のパケットデータがないため、１回目の判断は終了する。

【0044】

次に、プロセッサ１３は２番目のネットワークパケットＰ２を抜粋し、ネットワークパケットＰ２に対応するネットワークパケット情報は、送信元ＩＰ「１９２．１６８．４７．１４７」、宛先ＩＰ「１９２．１６８．４７．２２３」、通信プロトコル「ＩＣＭＰ」、パケットサイズ「８４ｂｙｔｅｓ」及びパケット時間「１３：５５：３２」を含む。次に、プロセッサ１３は前回のネットワークパケットとの間隔時間を判断し、前回のネットワークパケットの時間が「１３：５５：３１」であるため、プロセッサ１３が間隔が１秒であると判断する。その他のパケットデータがないため、プロセッサ１３は今回の判断を終了する。

【0045】

次に、プロセッサ１３は３番目のネットワークパケットＰ３を抜粋し、ネットワークパケットＰ３に対応するネットワークパケット情報は、送信元ＩＰ「１９２．１６８．４７．１４７」、宛先ＩＰ「１９２．１６８．４７．２２３」、通信プロトコル「ＩＣＭＰ」、パケットサイズ「８４ｂｙｔｅｓ」及びパケット時間「１３：５５：３３」を含む。次に、プロセッサ１３は前回のネットワークパケットとの間隔時間を判断し、前回のネットワークパケットの時間が「１３：５５：３２」であるため、プロセッサ１３が間隔が１秒であると判断する。プロセッサ１３は発生頻度を比較することで、このようなネットワークパケットの間隔時間がいずれも１秒である（すなわち、ネットワークパケットＰ１とネットワークパケットＰ２との間隔が１秒であり、且つネットワークパケットＰ２とネットワークパケットＰ３との間隔が１秒である）と判断する。

【0046】

本例では、プロセッサ１３は更に、比較閾値を３に動的に調整することができ（すなわち、相対的に一致するネットワークパケットの数が比較閾値に達すると、プロセッサ１３は管理メカニズムを有効にすることができる）、プロセッサ１３は比較閾値を動的に更新することができるため、行為特徴をタイムリーに検知して管理メカニズムを有効にすることを実現できる。

【0047】

また、プロセッサ１３は更に、ネットワークパケットの発生時間帯を比較し、このようなネットワークパケットがいずれも「１３：５５」という時間間隔に発生すると判断することができる。また、プロセッサ１３は更に、ネットワークパケットのパケットサイズを比較し、このようなネットワークパケットがいずれも「８４ｂｙｔｅｓ」というパケットサイズであると判断することができる。

【0048】

これにより、プロセッサ１３が生成したルールは、送信元がＩＰ「１９２．１６８．４７．１４７」、宛先ＩＰが「１９２．１６８．４７．２２３」、通信プロトコルが「ＩＣＭＰ」、パケットサイズが「８４ｂｙｔｅｓ」、及びパケット時間が「１３：５５」に対応するネットワークパケットの伝送を許可することである。

【0049】

上記説明から明らかなように、本発明によって提供されたネットワーク管理装置１は、少なくとも１つの電子装置が伝送した複数のネットワークパケットに対応する複数のネットワークパケット情報を取得することにより、この少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断し、且つこれらの第１パケット特徴に基づいてこの少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する。これにより、本発明によって提供されたネットワーク管理装置１はこの少なくとも１つの第１候補ルールに基づいて、この少なくとも１つの電子装置がネットワークで伝送したこれらのネットワークパケットを管理することができる。本発明によって提供されたネットワーク管理装置１はネットワーク行為を自動的に収集して分析することができ、従って、個々の電子装置（例えば、ホスト機器又はアプリケーションプログラム）の固定的なネットワーク行為に対して管理ルール（例えば、ネットワークファイアウォールのホワイトリスト）を生成し、かつルールをファイアウォールに自動的に適用することでファイアウォールのネットワーク保護を有効にすることができる。従って、従来技術において、ルールの設定や策定に人手を必要とするか、ネットワーク管理者が個々の装置のネットワーク行為を十分に理解できないため、正しいネットワーク管理を提供できないという欠点を解決する。

【0050】

本発明の第２実施形態はネットワーク管理方法であり、そのフローチャートは図６に示される。ネットワーク管理方法６００はネットワーク管理装置、例えば、第１実施形態に記載のネットワーク管理装置１に適用される。ネットワーク管理方法６００は工程Ｓ６０１～工程Ｓ６０５で少なくとも１つの電子装置がネットワークで伝送したネットワークパケットを管理する。

【0051】

工程Ｓ６０１で、ネットワーク管理装置は少なくとも１つの電子装置が伝送した複数のネットワークパケットに対応する複数のネットワークパケット情報に基づいて、この少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断する。次に、工程Ｓ６０３で、ネットワーク管理装置はこれらの第１パケット特徴に基づいて、この少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する。最後に工程Ｓ６０５で、ネットワーク管理装置はこの少なくとも１つの第１候補ルールに基づいて、この少なくとも１つの電子装置がネットワークで伝送したこれらのネットワークパケットを管理する。

【0052】

いくつかの実施形態では、これらのネットワークパケット情報のそれぞれは、メディアアクセス制御アドレス、パケット時間、通信プロトコル、送信元インターネットプロトコル、送信元ポート、宛先インターネットプロトコル、宛先ポート、パケットサイズ、パケットコンテンツのうちの少なくとも１つ又はそれらの組み合わせを含む。

【0053】

いくつかの実施形態では、ネットワーク管理方法６００は更に、これらのネットワークパケットのこれらのネットワークパケット情報を比較することで、これらのネットワークパケットに対応する発生頻度を計算する工程と、これらのネットワークパケットに対応するこの発生頻度に基づいて、この少なくとも１つの電子装置に対応するこれらの第１パケット特徴を判断する工程と、を含む。

【0054】

いくつかの実施形態では、ネットワーク管理方法６００は更に、これらのネットワークパケットのこれらのネットワークパケット情報を比較することで、これらのネットワークパケットに対応する発生頻度及びパケット時間を計算する工程と、これらのネットワークパケットに対応するこの発生頻度及びこのパケット時間に基づいて、この少なくとも１つの電子装置に対応するこれらの第１パケット特徴を判断する工程と、を含む。

【0055】

いくつかの実施形態では、ネットワーク管理方法６００は更に、これらのネットワークパケットのこれらのネットワークパケット情報を比較することで、これらのネットワークパケットに対応する発生頻度、パケット時間及びパケットサイズを計算する工程と、これらのパケットのそれぞれに対応するこの発生頻度、このパケット時間及びこのパケットサイズに基づいて、この少なくとも１つの電子装置に対応するこれらの第１パケット特徴を判断する工程と、を含む。

【0056】

いくつかの実施形態では、ネットワーク管理方法６００は更に、この少なくとも１つの第１候補ルールのそれぞれに対応するルール重みを計算する工程と、これらのルール重みに基づいて、この少なくとも１つの第１候補ルールから少なくとも１つの適用ルールを決定する工程と、この少なくとも１つの適用ルールに基づいて、この少なくとも１つの電子装置がこのネットワークで伝送したこれらのネットワークパケットを管理する工程と、を含む。

【0057】

いくつかの実施形態では、ネットワーク管理方法６００は更に、伝送対象ネットワークパケットがこの少なくとも１つの適用ルールに一致するかを判断する工程と、この伝送対象ネットワークパケットがこの少なくとも１つの適用ルールに一致することに応答して、この少なくとも１つの電子装置がこのネットワークでこの伝送対象ネットワークパケットを伝送することを許可する工程と、を含む。

【0058】

いくつかの実施形態では、ネットワーク管理方法６００は更に、ファイアウォールログを受信する工程と、このファイアウォールログから、この少なくとも１つの電子装置に対応する複数の第２パケット特徴を取得する工程と、これらの第２パケット特徴に基づいて、この少なくとも１つの電子装置に対応する少なくとも１つの第２候補ルールを生成する工程と、この少なくとも１つの第１候補ルール及びこの少なくとも１つの第２候補ルールに基づいて、この少なくとも１つの電子装置がこのネットワークで伝送したこれらのネットワークパケットを管理する工程と、を含む。

【0059】

いくつかの実施形態では、このネットワーク管理装置は、ネットワーク装置からこのファイアウォールログを受信し、この少なくとも１つの電子装置は、このネットワーク装置に通信接続され、且つこのネットワーク装置を経由してこれらのネットワークパケットを伝送する。

【0060】

上記工程に加え、第２実施形態は第１実施形態に記載のネットワーク管理装置１のすべての動作及び工程を実行することもでき、同じ機能を有し、且つ同じ技術効果を達成することができる。当業者は第２実施形態で如何に上記第１実施形態に基づいてこのような動作及び工程を実行するかを直接了解することができ、同じ機能を有し、且つ同じ技術効果を達成するため、ここでは詳細に説明しない。

【0061】

なお、本発明の特許明細書及び特許出願の範囲において、いくつかの用語（パケット特徴、候補ルール等を含む）の前に「第１」又は「第２」が付けられており、これらの「第１」又は「第２」は異なる用語を区別するためにのみ使用される。例えば、第１パケット特徴及び第２パケット特徴における「第１」及び「第２」は、異なる動作時に使用される異なるパケット特徴を示すためにのみ使用される。

【0062】

要約すると、本発明によって提供されたネットワーク管理技術（少なくとも装置及び方法を含む）は、少なくとも１つの電子装置が伝送した複数のネットワークパケットに対応する複数のネットワークパケット情報を取得することにより、この少なくとも１つの電子装置に対応する複数の第１パケット特徴を判断し、且つこれらの第１パケット特徴に基づいてこの少なくとも１つの電子装置に対応する少なくとも１つの第１候補ルールを生成する。これにより、本発明によって提供されたネットワーク管理技術はこの少なくとも１つの第１候補ルールに基づいて、この少なくとも１つの電子装置がネットワークで伝送したこれらのネットワークパケットを管理することができる。本発明によって提供されたネットワーク管理技術はネットワーク行為を自動的に収集して分析することができ、従って、個々の電子装置（例えば、ホスト機器又はアプリケーションプログラム）の固定的なネットワーク行為に対して管理ルール（例えば、ネットワークファイアウォールのホワイトリスト）を生成し、かつルールをファイアウォールに自動的に適用することでファイアウォールのネットワーク保護を有効にすることができる。従って、従来技術において、ルールの設定や策定に人手を必要するか、又はネットワーク管理者が個々の装置のネットワーク行為を十分に理解できないため、正しいネットワーク管理を提供できないという欠点を解決する。

【0063】

上記実施形態は、例を挙げて本発明の一部の実施態樣を説明し、本発明の技術特徴を説明するためにのみ使用され、本発明の保護範疇及び範囲を制限するものではない。当業者が容易に達成できる任意の変更又は等価な配置はいずれも本発明が請求する範囲に属し、本発明の権利の保護範囲は特許出願の範囲を基準とすべきである。

【符号の説明】

【0064】

１：ネットワーク管理装置
２：電子装置
３：ネットワーク装置
１００：概略図
ＮＷ：ネットワーク
２００：概略図
１１：送受信インタフェース
１３：プロセッサ
４００：フロー図
ＯＰ１、…、ＯＰ１０：動作
５００：ネットワークパケット例概略図
Ｐ１、Ｐ２、Ｐ３：ネットワークパケット
６００：ネットワーク管理方法
Ｓ６０１、Ｓ６０３、Ｓ６０５：工程

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【外国語明細書】