特許 7228712 異常ホストのモニタニング

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-02-15

(45)【発行日】2023-02-24

(54)【発明の名称】異常ホストのモニタニング

(51)【国際特許分類】

   H04L 43/00 20220101AFI20230216BHJP

   H04L 12/22 20060101ALI20230216BHJP

   H04L 12/66 20060101ALI20230216BHJP

   H04L 41/0895 20220101ALI20230216BHJP

【ＦＩ】

H04L43/00

H04L12/22

H04L12/66

H04L41/0895

【請求項の数】 11

(21)【出願番号】P 2021555483

(86)(22)【出願日】2020-03-19

(65)【公表番号】

(43)【公表日】2022-05-11

(86)【国際出願番号】 CN2020080223

(87)【国際公開番号】W WO2020187295

(87)【国際公開日】2020-09-24

【審査請求日】2021-09-14

(31)【優先権主張番号】201910212398.8

(32)【優先日】2019-03-20

(33)【優先権主張国・地域又は機関】CN

(73)【特許権者】

【識別番号】518056748

【氏名又は名称】新華三技術有限公司

【氏名又は名称原語表記】ＮＥＷ Ｈ３Ｃ ＴＥＣＨＮＯＬＯＧＩＥＳ ＣＯ．， ＬＴＤ．

(74)【代理人】

【識別番号】110002468

【氏名又は名称】弁理士法人後藤特許事務所

(72)【発明者】

【氏名】候 叶飛

【審査官】鈴木 香苗

(56)【参考文献】

【文献】特開２０１１－１２４７７４（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１８／００２７０１２（ＵＳ，Ａ１）

【文献】韓国公開特許第１０－２０１６－０００２２６９（ＫＲ，Ａ）

【文献】特開２０１２－１４７３７７（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／０３５９８８８（ＵＳ，Ａ１）

【文献】特開２００５－１９８０９０（ＪＰ，Ａ）

【文献】中国特許出願公開第１０６８８８２１７（ＣＮ，Ａ）

【文献】中国特許出願公開第１０７４３８０６８（ＣＮ，Ａ）

【文献】特開２０１６－２０８０９２（ＪＰ，Ａ）

【文献】特開２０１４－０１１６７４（ＪＰ，Ａ）

【文献】特開２０００－１８３９６８（ＪＰ，Ａ）

【文献】特開２００６－１９７５１８（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／００

Ｈ０４Ｌ １２／２２

Ｈ０４Ｌ １２／６６

Ｈ０４Ｌ ４１／０８９５

(57)【特許請求の範囲】

【請求項1】

データ処理機器に用いられる異常ホストモニタニング方法であって、
デプロイ済みホストのホスト情報をコントローラから取得するステップであって、前記ホスト情報は、前記デプロイ済みホストのアドレス情報を含むステップと、
ルーティング管理機器と交渉してボーダーゲートウェイプロトコル（ＢＧＰ）ピアを確立するステップと、
検出すべきホストのルーティング情報を取得するステップであって、前記ルーティング情報は、前記検出すべきホストのアドレス情報を含むステップと、
前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれているか否かを特定するステップと、
前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれていない場合に、前記検出すべきホストを異常ホストとして特定するステップと、を含み、
前記検出すべきホストのルーティング情報を取得するステップは、
前記ルーティング管理機器から送信された前記検出すべきホストのルーティング情報を受信することを含む、
ことを特徴とする異常ホストモニタニング方法。

【請求項2】

前記異常ホストモニタニング方法は、前記デプロイ済みホストのリンク層検出プロトコル（ＬＬＤＰ）情報を前記コントローラから取得し、前記ＬＬＤＰ情報は、前記デプロイ済みホストに関連する第１エッジ機器の機器情報を含み、
前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれている場合に、前記異常ホストモニタニング方法は、
目標ホストに関連する第１エッジ機器の機器情報を前記ＬＬＤＰ情報から取得するステップであって、前記目標ホストは、前記検出すべきホストと同じアドレス情報を有するデプロイ済みホストであるステップと、
前記検出すべきホストに関連する第２エッジ機器の機器情報と前記目標ホストに関連する前記第１エッジ機器の機器情報とが異なる場合に、前記検出すべきホストを前記異常ホストとして特定するステップであって、前記検出すべきホストに関連する前記第２エッジ機器の機器情報は、前記ルーティング情報に含まれるステップと、を更に含み、
ことを特徴とする請求項１に記載の異常ホストモニタニング方法。

【請求項3】

前記ホスト情報は、前記デプロイ済みホストのホスト識別子を更に含み、前記ＬＬＤＰ情報は、前記デプロイ済みホストのホスト識別子を更に含み、
前記目標ホストに関連する前記第１エッジ機器の機器情報を前記ＬＬＤＰ情報から取得するステップは、
前記目標ホストのアドレス情報に基づいて当該目標ホストのホスト情報を検索し、前記目標ホストのホスト識別子を取得することと、
前記目標ホストのホスト識別子に基づいて当該目標ホストのＬＬＤＰ情報を検索し、前記目標ホストに関連する前記第１エッジ機器の機器情報を取得することと、を含むことを特徴とする請求項２に記載の異常ホストモニタニング方法。

【請求項4】

前記検出すべきホストに関連する前記第２エッジ機器の機器情報と前記目標ホストに関連する前記第１エッジ機器の機器情報とが同じである場合に、前記検出すべきホストを正常ホストとして特定するステップを更に含むことを特徴とする請求項２に記載の異常ホストモニタニング方法。

【請求項5】

前記検出すべきホストのルーティング情報を取得した後、前記異常ホストモニタニング方法は、
前記検出すべきホストに対応するエントリが履歴データベースに存在するか否かを特定するステップと、
前記検出すべきホストに対応するエントリが前記履歴データベースに存在する場合に、前記ルーティング情報及び前記ルーティング情報の取得時間を前記エントリに記憶するステップと、
前記検出すべきホストに対応するエントリが前記履歴データベースに存在しない場合に、前記検出すべきホストに対応するエントリを前記履歴データベースに追加し、追加されたエントリに前記ルーティング情報及び前記ルーティング情報の取得時間を記憶するステップと、を更に含むことを特徴とする請求項１に記載の異常ホストモニタニング方法。

【請求項6】

データ処理機器に用いられる異常ホストモニタニング装置であって、
デプロイ済みホストのホスト情報をコントローラから取得するための第１取得モジュールであって、前記ホスト情報は、前記デプロイ済みホストのアドレス情報を含む第１取得モジュールと、
ルーティング管理機器と交渉してＢＧＰピアを確立するための確立モジュールと、
検出すべきホストのルーティング情報を取得するための第２取得モジュールであって、前記ルーティング情報は、前記検出すべきホストのアドレス情報を含む第２取得モジュールと、
前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれているか否かを特定するための第１判断モジュールと、
前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれていない場合に、前記検出すべきホストを異常ホストとして特定するための第１特定モジュールと、を備え、
前記第２取得モジュールは、前記ルーティング管理機器から送信された前記検出すべきホストのルーティング情報を受信するために用いられる、
ことを特徴とする異常ホストモニタニング装置。

【請求項7】

前記異常ホストモニタニング装置は、前記デプロイ済みホストのＬＬＤＰ情報を前記コントローラから取得するための第３取得モジュールを更に備え、前記ＬＬＤＰ情報は、前記デプロイ済みホストに関連する第１エッジ機器の機器情報を含み、
前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれている場合に、前記異常ホストモニタニング装置は、
目標ホストに関連する前記第１エッジ機器の機器情報を前記ＬＬＤＰ情報から取得するための第４取得モジュールであって、前記目標ホストは、前記検出すべきホストと同じアドレス情報を有するデプロイ済みホストである第４取得モジュールと、
前記検出すべきホストに関連する第２エッジ機器の機器情報と前記目標ホストに関連する前記第１エッジ機器の機器情報とが異なる場合に、前記検出すべきホストを前記異常ホストとして特定するための第２特定モジュールであって、前記検出すべきホストに関連する前記第２エッジ機器の機器情報は、前記ルーティング情報に含まれる第２特定モジュールと、を更に備え、
ことを特徴とする請求項６に記載の異常ホストモニタニング装置。

【請求項8】

前記ホスト情報は、前記デプロイ済みホストのホスト識別子を更に含み、前記ＬＬＤＰ情報は、前記デプロイ済みホストのホスト識別子を更に含み、
前記第４取得モジュールは、前記目標ホストのアドレス情報に基づいて当該目標ホストのホスト情報を検索し、前記目標ホストのホスト識別子を取得し、前記目標ホストのホスト識別子に基づいて当該目標ホストのＬＬＤＰ情報を検索し、前記目標ホストに関連する前記第１エッジ機器の機器情報を取得するために用いられることを特徴とする請求項７に記載の異常ホストモニタニング装置。

【請求項9】

前記第２特定モジュールは、更に、前記検出すべきホストに関連する前記第２エッジ機器の機器情報と前記目標ホストに関連する前記第１エッジ機器の機器情報とが同じである場合に、前記検出すべきホストを正常ホストとして特定するために用いられることを特徴とする請求項７に記載の異常ホストモニタニング装置。

【請求項10】

前記異常ホストモニタニング装置は、
前記検出すべきホストのルーティング情報が前記第２取得モジュールによって取得された後、前記検出すべきホストに対応するエントリが履歴データベースに存在するか否かを特定するための第２判断モジュールと、
前記検出すべきホストに対応するエントリが前記履歴データベースに存在する場合に、前記ルーティング情報及び前記ルーティング情報の取得時間を前記エントリに記憶するための記憶モジュールと、
前記検出すべきホストに対応するエントリが前記履歴データベースに存在しない場合に、前記検出すべきホストに対応するエントリを前記履歴データベースに追加し、追加されたエントリに前記ルーティング情報及び前記ルーティング情報の取得時間を記憶するための追加モジュールと、を更に備えることを特徴とする請求項６に記載の異常ホストモニタニング装置。

【請求項11】

データ処理機器であって、
機器読み取り可能な記憶媒体と、プロセッサと、を備え、
前記機器読み取り可能な記憶媒体には、機器読み取り可能な指令が記憶され、
前記プロセッサは、前記機器読み取り可能な指令を呼び出すことにより、請求項１から５の何れか一項に記載の異常ホストモニタニング方法を実行することを特徴とするデータ処理機器。

【発明の詳細な説明】

【背景技術】

【0001】

イーサネット仮想プライベートネットワーク（Ｅｔｈｅｒｎｅｔ Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ、ＥＶＰＮ）は、レイヤ２仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ、ＶＰＮ）技術であり、制御プレーンがマルチプロトコルボーダーゲートウェイプロトコル（Ｍｕｌｔｉ Ｐｒｏｔｏｃｏｌ Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ、ＭＰ－ＢＧＰ）を用いてルーティング情報を通知し、データプレーンが仮想拡張可能ローカルエリアネットワーク（Ｖｉｒｔｕａｌ ｅＸｔｅｎｓｉｂｌｅ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ、ＶＸＬＡＮ）カプセル化方式を用いてパケットを転送する。ＶＸＬＡＮは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークに基づく、媒体アクセス制御（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ、ＭＡＣ）及びユーザデータグラムプロトコル（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ、ＵＤＰ）のカプセル化形態を採用したレイヤ２ＶＰＮ技術である。ＶＸＬＡＮは、既存のサービスプロバイダ又は企業ＩＰネットワークに基づいて、分散のサイトへレイヤ２相互接続を提供可能であるとともに、異なるテナントへサービスのアイソレーションを提供することもできる。

【0002】

ＥＶＰＮネットワークは、ホスト及びエッジ機器を備える。エッジ機器は、ホストの転送エントリを学習し、転送エントリを利用してデータパケットをホストへ送信してもよい。例えば、エッジ機器Ａは、ホストＡから送信されたアドレス解析プロトコル（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＡＲＰ）パケットを受信した後、ホストＡの転送エントリ１を学習し、ホストＡのアドレスをエッジ機器Ｂへ通知し、エッジ機器Ｂは、ホストＡの転送エントリ２を学習する。エッジ機器Ｂは、ホストＢからホストＡに送信されたデータパケットを受信すると、転送エントリ２を利用してデータパケットをエッジ機器Ａへ送信し、エッジ機器Ａは、転送エントリ１を利用してデータパケットをホストＡへ送信する。

【図面の簡単な説明】

【0003】

本発明の実施例又は従来技術における技術案がより明瞭に説明されるように、以下では、本発明の実施例又は従来技術の記述に使用必要な図面を簡単に紹介する。明らかに、以下の記述に係る図面が単に本発明に記載の幾つかの実施例に過ぎず、当業者であれば、本発明の実施例のこれらの図面から他の図面を取得可能である。

【図1】本発明の一実施例における応用場面の模式図である。

【図2】本発明の一実施例における異常ホストモニタニング方法のフローチャートである。

【図3】本発明の別の実施例における異常ホストモニタニング方法のフローチャートである。

【図4】本発明の一実施例における異常ホストモニタニング装置の構成図である。

【図5】本発明の一実施例におけるデータ処理機器のハードウェア構成図である。

【発明を実施するための形態】

【0004】

本発明の実施例で使用される用語は、単に特定の実施例を記述する目的であり、本発明を制限するためのものではない。本発明及び添付する特許請求の範囲で使用される単数形式の「一種」、「前記」及び「当該」も、文脈から他の意味を明瞭で分かる場合でなければ、複数の形式も含むことを意図する。理解すべきことは、本文で使用される用語「及び／又は」が、１つ又は複数の関連する列挙項目を含む如何なる或いは全ての可能な組み合わせを指す。

【0005】

理解すべきことは、本発明の実施例において第１、第２、第３等という用語を用いて各種の情報を記述するが、これらの情報は、これらの用語に限定されるものではない。これらの用語は、単に同一のタイプの情報同士を区分するために用いられる。例えば、本発明の範囲を逸脱しない限り、第１情報が第２情報と呼称されてもよく、類似的に、第２情報が第１情報と呼称されてもよい。これは、コンテキストに依存する。例えば、ここで使用される言葉「場合」は、「…とき」や「…ときに」あるいは「特定の状況に応じて」として解釈されてもよい。

【0006】

ＥＶＰＮネットワークが攻撃を受けたときに、攻撃者がホストを介して大量の攻撃ＡＲＰパケットを送信する可能性があるため、エッジ機器は、大量の転送エントリを学習してしまう。このように、エントリリソースの浪費が発生し、エッジ機器の処理性能へ影響を与える。そこで、一例では、エッジ機器は、ＡＲＰパケットを受信した後、ＡＲＰパケットをコントローラへ送信して、ＡＲＰパケットが攻撃者から送信されたものであるかをコントローラに分析させる。ＡＲＰパケットが攻撃者から送信されたものである場合に、コントローラは、警告情報を生成して、管理者に攻撃行為に応対させてもよい。

【0007】

しかし、ＥＶＰＮネットワークに大量のＡＲＰパケットが存在し、これらのＡＲＰパケットが攻撃者から送信されたものであるか否かはコントローラによって分析されることは、作業量が非常に大きくて、コントローラの大量のリソースが費やされ、処理性能が低減される。

【0008】

本発明の実施例は、異常ホストモニタニング方法を提出する。当該方法は、ホスト、エッジ機器、コントローラ、クラウドプラットフォーム、ルーティング管理機器及びデータ処理機器を含むネットワーク、例えばＥＶＰＮネットワーク等に適用可能である。図１は、本発明の実施例の応用場面の模式図である。図１において、ホスト１１１及びホスト１１２を例として説明したが、実際の応用において、ホストの数は、より多くなってもよい。また、エッジ機器１２１及びエッジ機器１２２を例として説明したが、実際の応用において、エッジ機器の数は、より多くなってもよい。

【0009】

ホスト１１１と１１２は、物理サーバ上で配置された仮想マシンであってもよく、物理サーバであってもよく、他のタイプのホスト、例えば、パソコン、端末機器、移動端末等であってもよい。

【0010】

エッジ機器１２１と１２２は、ＶＸＬＡＮトンネルエンドポイント（ＶＸＬＡＮ Ｔｕｎｎｅｌ Ｅｎｄ Ｐｏｉｎｔ、ＶＴＥＰ）機器であってもよく、他のタイプのエッジ機器であってもよい。更に、ＶＴＥＰ機器は、ＥＶＰＮネットワークのエッジ機器としてもよく、ＶＸＬＡＮに関する処理は、何れもＶＴＥＰ機器で行われる。

【0011】

コントローラ１４１は、ソフトウェア定義ネットワーク（Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅ Ｎｅｔｗｏｒｋ、ＳＤＮ）コントローラであってもよく、他のタイプのコントローラであってもよい。クラウドプラットフォーム１５１は、Ｏｐｅｎｓｔａｃｋクラウドプラットフォームであってもよく、他のタイプのクラウドプラットフォームであってもよい。ＥＶＰＮネットワークは、Ｏｐｅｎｓｔａｃｋクラウドプラットフォーム及びＳＤＮコントローラを用いて制御プレーンの機能を実現する。

【0012】

ルーティング管理機器１３１は、ＥＶＰＮネットワークにおける全てのルーティング情報を収集する。例えば、ルーティング管理機器１３１は、ルートリフレクタ（Ｒｏｕｔｅ Ｒｅｆｌｅｃｔｏｒ、ＲＲ）であってもよく、他のタイプの機器であってもよい。

【0013】

データ処理機器１６１は、ビッグデータ処理システムにおける機器であってもよく、データ処理機器１６１は、ビッグデータ技術を採用してデータ収集、データ分析、データ記憶、データ統計、データマイニング等の機能を実現してもよい。

【0014】

本発明の実施例における異常ホストモニタニング方法を紹介する前に、以下の技術を先に紹介する。

【0015】

１、ホストタイプ。本実施例におけるホストは、デプロイ済みホストと検出すべきホストとに分けられてもよい。デプロイ済みホストは、ネットワークに本当に配置されたホストであり、正当なホストである。デプロイ済みホストは、オンラインホストとオフラインホストを含んでもよい。オンラインホストは、既にネットワークにアクセスしたホストであり、オフラインホストは、ネットワークへアクセスしていないホストであり、オンラインホストとオフラインホストは、何れもネットワークに本当に配置された正当なホストである。

【0016】

検出すべきホストは、検出が必要なホストであり、本実施例における異常ホストモニタニング方法は、当該検出すべきホストが異常ホストであるか否かを検出する。検出すべきホストが異常ホストである場合に、検出すべきホストは、デプロイ済みホストに属さず、異常処理を行う必要がある。検出すべきホストが異常ホストではなく、即ち、検出すべきホストが正常ホストである場合に、検出すべきホストは、デプロイ済みホストに属し、ネットワークへのアクセスが許可される。

【0017】

２、コントローラは、デプロイ済みホストのホスト情報を取得し、当該ホスト情報をローカルに記録する。

【0018】

一例では、クラウドプラットフォームは、テナントへホストを作成し（例えば、物理サーバ上でテナントへ仮想マシンを作成し、又は、物理サーバをテナントへ割り当てる）、当該ホストへホスト情報を割り当ててもよい。区分の便宜上、クラウドプラットフォームがテナントへ作成した全てのホストは、何れもデプロイ済みホストと呼称される。その後、クラウドプラットフォームは、デプロイ済みホストのホスト情報をコントローラへ送信して当該ホスト情報を記憶させる。

【0019】

注意すべきことは、ＥＶＰＮネットワークにおける全てのデプロイ済みホストが何れもクラウドプラットフォームによって作成されてもよい。つまり、クラウドプラットフォームからコントローラへ送信されたホスト情報は、全てのデプロイ済みホストのホスト情報を含む。

【0020】

ホスト情報は、アドレス情報とホスト識別子を含んでもよいが、それらに限定されない。更に、当該アドレス情報は、ＩＰアドレス、ＭＡＣアドレス及びネットワーク識別子を含んでもよいが、それらに限定されない。ネットワーク識別子は、ＶＮＩ（ＶＸＬＡＮ Ｎｅｔｗｏｒｋ Ｉｄｅｎｔｉｆｉｅｒ、仮想拡張可能ローカルエリアネットワークのネットワーク識別子）等であってもよい。ホストが物理サーバ上に配置された仮想マシンである場合に、当該ホスト識別子は、当該仮想マシンの所在する物理サーバの機器識別子となってもよく、ホストが物理サーバである場合に、当該ホスト識別子は、当該物理サーバの機器識別子となってもよい。

【0021】

表１は、コントローラに記憶されたホスト情報の例示であり、これらのホスト情報は、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのホスト情報の例示であり、以降ではこれらのホスト情報を例として説明する。

【表1】

【0022】

３、コントローラは、上記デプロイ済みホストのリンク層検出プロトコル（Ｌｉｎｋ Ｌａｙｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ、ＬＬＤＰ）情報を取得し、デプロイ済みホストのＬＬＤＰ情報をローカルに記憶してもよい。当該ＬＬＤＰ情報は、デプロイ済みホストに対応するホスト識別子、デプロイ済みホストに関連するエッジ機器の機器情報を含んでもよいが、それらに限定されない。当該機器情報は、ＩＰアドレス及び／又はＭＡＣアドレス等を含んでもよい。

【0023】

一例では、デプロイ済みホストが物理サーバ上に配置された仮想マシンである場合に、デプロイ済みホストに対応するホスト識別子は、当該仮想マシンの所在する物理サーバの機器識別子となってもよく、デプロイ済みホストに関連するエッジ機器は、当該仮想マシンの所在する物理サーバに接続されたエッジ機器となってもよい。又は、デプロイ済みホストが物理サーバである場合に、デプロイ済みホストに対応するホスト識別子は、当該物理サーバの機器識別子となってもよく、デプロイ済みホストに関連するエッジ機器は、当該物理サーバに接続されたエッジ機器となってもよい。

【0024】

上記実施例を参照すると、デプロイ済みホストは、オンラインホストとオフラインホストを含んでもよい。オンラインホストに関し、オンラインホストのＬＬＤＰ情報を取得するために、以下の方式を参照してもよい。

【0025】

図１に示すように、ホスト１１１がオンラインした後、即ち、ホスト１１１がオンラインホストになると、ホスト１１１は、ホスト１１１に接続されたエッジ機器１２１へＬＬＤＰパケットを送信してもよい。当該ＬＬＤＰパケットは、ホスト１１１の管理アドレス、ホスト識別子等のコンテンツを含む。エッジ機器１２１は、ＬＬＤＰパケットを受信した後、ｏｐｅｎｆｌｏｗを介して当該ＬＬＤＰパケットをコントローラ１４１へ送信してもよい。

【0026】

ここで、コントローラ１４１は、エッジ機器１２１へ制御フローテーブルを配信してもよく、この制御フローテーブルは、エッジ機器１２１がＬＬＤＰパケットをコントローラ１４１へ送信するために用いられる。例えば、この制御フローテーブルのマッチフィールは、プロトコルタイプがＬＬＤＰタイプであることを含み、アクションは、コントローラへ報告することを含む。これにより、エッジ機器１２１は、ＬＬＤＰパケットを受信した後、当該ＬＬＤＰパケットが当該制御フローテーブルにマッチングしたため、ＬＬＤＰパケットをコントローラ１４１へ送信してもよい。

【0027】

コントローラ１４１は、ＬＬＤＰパケットを受信した後、ホスト１１１の管理アドレス、ホスト識別子等のコンテンツをＬＬＤＰパケットから取得する。また、コントローラ１４１が全てのエッジ機器を管理できるため、コントローラ１４１は、エッジ機器１２１から送信されたＬＬＤＰパケットを受信した後、エッジ機器１２１の機器情報（例えば、ＩＰアドレス、ＭＡＣアドレス等）を取得してもよい。このように、コントローラ１４１は、ホスト１１１のホスト識別子とエッジ機器１２１の機器情報を取得可能であり、当該ホスト識別子と当該機器情報は、ホスト１１１のＬＬＤＰ情報に含まれる。

【0028】

オフラインホストに関し、オフラインホストのＬＬＤＰ情報を取得するために、以下の方式を採用してもよい。

【0029】

（１）ホスト１１２がオンラインしておらず、且つオフラインホスト１１２が物理サーバ上に配置された仮想マシンであると仮定すれば、当該物理サーバが既にオンラインしている場合に、物理サーバは、当該物理サーバに接続されたエッジ機器１２２へＬＬＤＰパケットを送信してもよい。当該ＬＬＤＰパケットは、物理サーバのホスト識別子を含み、このホスト識別子は、当該物理サーバ上に配置された全ての仮想マシンのホスト識別子でもある。

【0030】

エッジ機器１２２は、ＬＬＤＰパケットを受信した後、当該ＬＬＤＰパケットをコントローラ１４１へ送信する。コントローラ１４１は、ＬＬＤＰパケットを受信した後、物理サーバのホスト識別子をＬＬＤＰパケットから取得し、エッジ機器１２２の機器情報（例えば、ＩＰアドレス、ＭＡＣアドレス等）を取得する。物理サーバのホスト識別子とエッジ機器１２２の機器情報は、ホスト１１２のＬＬＤＰ情報に含まれる。

【0031】

（２）ホスト１１１がオンラインしておらず、且つオフラインホスト１１１が物理サーバであると仮定すれば、エッジ機器１２１は、ホスト１１１へＬＬＤＰパケットを送信してもよく、当該ＬＬＤＰパケットには、エッジ機器１２１の機器情報（例えば、ＩＰアドレス、ＭＡＣアドレス等）が付加されてもよい。一例では、ホスト１１１がオンラインしていないが、そのオペレーティングシステム及びＬＬＤＰデーモンが依然として正常に動作しているため、オンラインしていない場合に、エッジ機器１２１から送信されたＬＬＤＰパケットを受信可能である。ホスト１１１は、ＬＬＤＰパケットを受信した後、エッジ機器１２１の機器情報、ホスト１１１のホスト識別子をクラウドプラットフォーム１５１へ送信してもよい。ホストがクラウドプラットフォームによって直接制御されるため、内部チャンネルを介して情報をクラウドプラットフォームへ送信してもよい。クラウドプラットフォーム１５１は、エッジ機器１２１の機器情報、ホスト１１１のホスト識別子をコントローラ１４１へ送信し、エッジ機器１２１の機器情報、ホスト１１１のホスト識別子は、エッジ機器１２１のＬＬＤＰ情報に含まれる。

【0032】

このように、コントローラ１４１は、各デプロイ済みホストのＬＬＤＰ情報を取得し、各デプロイ済みホストのＬＬＤＰ情報を記憶してもよい。表２は、ＬＬＤＰ情報の１つの例示である。

【表2】

【0033】

４、ルーティング管理機器は、ルーティング情報を受信し、当該ルーティング情報をエッジ機器に同期させる。

【0034】

一例では、図１に示すように、ホスト１１１は、オンラインしているとき、エッジ機器１２１へＡＲＰパケット（例えば、ＡＲＰ要求パケット又はＧｒａｔｕｉｔｏｕｓ ＡＲＰパケット等）を送信する。エッジ機器１２１は、ＡＲＰパケットを受信した後、ＡＲＰパケットのソースアドレス（即ち、ホスト１１１のアドレス、例えば、ＩＰアドレス及び／又はＭＡＣアドレス等）とＡＲＰパケットのイングレスポートとの対応関係を転送エントリに記録してもよい。

【0035】

更に、エッジ機器１２１は、当該ＡＲＰパケットを受信した後、更にＢＧＰメッセージ（例えば、ＭＰ－ＢＧＰメッセージ）を生成してもよい。当該ＢＧＰメッセージは、ルーティング情報を含んでもよい。当該ルーティング情報は、ホスト１１１のアドレス情報（当該アドレス情報は、ＩＰアドレス、ＭＡＣアドレス及びネットワーク識別子を含んでもよい）、エッジ機器１２１の機器情報（当該機器情報は、ＩＰアドレス、ＭＡＣアドレス等を含んでもよい）を含んでもよいが、それらに限定されない。

【0036】

エッジ機器１２１は、ＢＧＰメッセージを生成した後、ＢＧＰメッセージをエッジ機器１２２へ送信してもよい。エッジ機器１２２は、ＢＧＰメッセージを受信した後、ＢＧＰメッセージからホスト１１１のアドレス情報を取得し、ホスト１１１のアドレス情報（例えば、ＩＰアドレス、ＭＡＣアドレス及びネットワーク識別子等）とトンネルとの対応関係を転送エントリに記録してもよく、この転送エントリの学習手順について限定しない。当該トンネルは、エッジ機器１２２とエッジ機器１２１との間のトンネル、例えばＶＸＬＡＮトンネル等であってもよい。

【0037】

エッジ機器１２１がＢＧＰメッセージをエッジ機器１２２へ送信することは、以下の２種の方式を含んでもよいが、それらに限定されない。

【0038】

方式一では、エッジ機器１２１がＢＧＰメッセージをエッジ機器１２２へ直接送信可能である。

【0039】

方式二では、エッジ機器１２１がＢＧＰメッセージをルーティング管理機器１３１へ送信し、ルーティング管理機器１３１がＢＧＰメッセージを受信した後、当該ＢＧＰメッセージをエッジ機器１２２へ送信してもよい。

【0040】

方式一を実現するために、いずれか２つのエッジ機器の間でＢＧＰピアを確立する必要がある。例えば、１００個のエッジ機器が存在するときに、それぞれのエッジ機器は、何れも他の９９個のエッジ機器とのＢＧＰピアを確立する必要があり、ネットワークリソース及びＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）リソースの消耗は、非常に大きい。

【0041】

実施形態二では、ＥＶＰＮネットワークにルーティング管理機器１３１（例えば、ルートリフレクタ）を配置してもよい。このように、各エッジ機器がルーティング管理機器１３１とのＢＧＰピアを確立するだけでよく、他のエッジ機器とのＢＧＰピアを確立する必要がなくなり、ネットワークリソース及びＣＰＵリソースの消耗が低減される。

【0042】

ＥＶＰＮネットワークにルーティング管理機器１３１が配置されたときに、方式二を用いてＢＧＰメッセージを伝送してもよい。即ち、各エッジ機器は、ＢＧＰメッセージを送信する際、ＢＧＰメッセージをルーティング管理機器１３１へ送信し、ルーティング管理機器１３１にＢＧＰメッセージを他のエッジ機器へ送信させる。

【0043】

本発明の実施例では、方式二を採用することを例として説明する。方式二を採用するときに、ルーティング管理機器１３１は、ＥＶＰＮネットワークで生成された全てのＢＧＰメッセージを収集可能であり、各ＢＧＰメッセージは、何れも配布者で配布されたルーティング情報、例えば、ホストのアドレス情報、エッジ機器の機器情報等を含む。

【0044】

上記応用場面において、本発明は、異常ホストモニタニング方法を提供する。図２は、異常ホストモニタニング方法のフロー模式図である。図２を参照すると、当該方法は、データ処理機器に適用可能であり、当該方法は、以下のステップを含んでもよい。

【0045】

ステップ２０１では、デプロイ済みホストのホスト情報をコントローラから取得する。当該ホスト情報は、デプロイ済みホストのアドレス情報を含む。また、当該ホスト情報は、デプロイ済みホストのホスト識別子を更に含んでもよい。

【0046】

上記実施例を参照すると、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのホスト情報が既にコントローラに記憶されたため、データ処理機器は、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのホスト情報をコントローラから取得可能である。表１に示すように、これらのホスト情報は、アドレス情報及びホスト識別子を含んでもよいが、それらに限定されない。当該アドレス情報は、ＩＰアドレス、ＭＡＣアドレス及びネットワーク識別子等を含んでもよいが、それらに限定されない。

【0047】

ステップ２０２では、検出すべきホストのルーティング情報を取得し、当該ルーティング情報は、検出すべきホストのアドレス情報を含む。検出すべきホストは、検出が必要なホストであり、異常ホスト又は正常ホストである。

【0048】

一例では、データ処理機器は、ルーティング管理機器と交渉してＢＧＰピアを確立してもよい。具体的に、データ処理機器にＢＧＰプロトコルを配置してもよい。このように、データ処理機器は、ルーティング管理機器と交渉してＢＧＰピアを確立することができ、このＢＧＰピアの確立手順について限定しない。

【0049】

一例では、検出すべきホストのルーティング情報を取得することは、ルーティング管理機器から送信された検出すべきホストのルーティング情報を受信することを含んでもよいが、それらに限定されない。

【0050】

具体的に、データ処理機器が既にルーティング管理機器と交渉してＢＧＰピアを確立したため、ルーティング管理機器は、ルーティング情報を受信するたびに、当該ルーティング情報をデータ処理機器へ送信してもよい。

【0051】

具体的に、上記実施例を参照すると、ルーティング管理機器は、ＥＶＰＮネットワークで生成された全てのＢＧＰメッセージを収集してもよい。ＢＧＰメッセージは、ルーティング情報を含み、当該ルーティング情報は、検出すべきホストのアドレス情報、及び、検出すべきホストに関連するエッジ機器の機器情報を含んでもよい。データ処理機器が既にルーティング管理機器と交渉してＢＧＰピアを確立したため、ルーティング管理機器は、各ＢＧＰメッセージを収集したときに、当該ＢＧＰメッセージをデータ処理機器へ送信する。データ処理機器は、ＢＧＰメッセージを受信した後、ルーティング情報、例えば、検出すべきホストのアドレス情報、検出すべきホストに関連するエッジ機器の機器情報をＢＧＰメッセージから取得してもよい。

【0052】

ステップ２０３では、デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれているか否かを特定する。

【0053】

デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれていない場合に、ステップ２０４を実行してもよい。デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれている場合に、ステップ２０５を実行してもよい。

【0054】

ステップ２０４では、当該検出すべきホストを異常ホストとして特定する。

【0055】

ステップ２０５では、当該検出すべきホストを正常ホストとして特定する。

【0056】

一例では、データ処理機器は、表１に示すように、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのホスト情報をコントローラから取得してもよい。これにより、表１に示すホスト情報に検出すべきホストのアドレス情報が含まれている場合に、検出すべきホストを正常ホストとして特定してもよく、表１に示すホスト情報に検出すべきホストのアドレス情報が含まれていない場合に、検出すべきホストを異常ホストとして特定してもよい。

【0057】

１つの場合に、図１に示すように、ホスト１１１（検出すべきホストと仮定する）は、オンラインした後、エッジ機器１２１へＡＲＰパケットを送信する。ホスト１１１が正常ホストである場合に、ＡＲＰパケットに付加されるのは、本当のアドレス情報、例えば、ＩＰアドレスＡ及びＭＡＣアドレスＡである。

【0058】

エッジ機器１２１は、ＡＲＰパケットを受信した後、ホスト１１１に対するＢＧＰメッセージを生成し、当該ＢＧＰメッセージをルーティング管理機器１３１へ送信してもよい。ルーティング管理機器１３１は、当該ＢＧＰメッセージを受信した後、当該ＢＧＰメッセージをデータ処理機器１６１へ送信してもよい。

【0059】

当該ＢＧＰメッセージは、ルーティング情報を含んでもよく、当該ルーティング情報は、ホスト１１１のＩＰアドレスＡとＭＡＣアドレスＡ、ホスト１１１のネットワーク識別子（例えば、ＶＮＩ１）、エッジ機器１２１の機器情報（ＩＰアドレス１とＭＡＣアドレス１）を含んでもよいが、それらに限定されない。

【0060】

この場合に、ルーティング情報に含まれるホスト１１１のアドレス情報がＩＰアドレスＡ、ＭＡＣアドレスＡ及びネットワーク識別子ＶＮＩ１であり、表１に示すホスト情報に上記アドレス情報が含まれているか否かは、判断される。表１に示すホスト情報が上記アドレス情報を含むため、ホスト１１１を正常ホストとして特定可能である。

【0061】

別の場合に、図１に示すように、ホスト１１１（検出すべきホストと仮定する）は、オンラインした後、エッジ機器１２１へＡＲＰパケットを送信する。ホスト１１１が異常ホスト（例えば、攻撃者）である場合に、ＡＲＰパケットに付加されるのは、攻撃者が偽造したアドレス情報、例えば、ＩＰアドレスＡＡＡ及びＭＡＣアドレスＡＡＡである。

【0062】

エッジ機器１２１は、ＡＲＰパケットを受信した後、ホスト１１１に対するＢＧＰメッセージを生成し、当該ＢＧＰメッセージをルーティング管理機器１３１へ送信してもよい。ルーティング管理機器１３１は、当該ＢＧＰメッセージを受信した後、当該ＢＧＰメッセージをデータ処理機器１６１へ送信してもよい。

【0063】

当該ＢＧＰメッセージは、ルーティング情報を含んでもよく、当該ルーティング情報は、ホスト１１１のＩＰアドレスＡＡＡとＭＡＣアドレスＡＡＡ、ホスト１１１のネットワーク識別子（例えば、ＶＮＩ１）、エッジ機器１２１の機器情報（ＩＰアドレス１とＭＡＣアドレス１）を含んでもよいが、それらに限定されない。

【0064】

この場合に、ルーティング情報に含まれるホスト１１１のアドレス情報がＩＰアドレスＡＡＡ、ＭＡＣアドレスＡＡＡ及びネットワーク識別子ＶＮＩ１であり、表１に示すホスト情報に上記アドレス情報が含まれているか否かは、判断される。表１に示すホスト情報が上記アドレス情報を含まないため、ホスト１１１を異常ホストとして特定してもよい。

【0065】

一例では、データ処理機器１６１は、ホスト１１１を異常ホストとして特定したときに、警告情報も生成して管理者に攻撃行為に応対させてもよい。この処理手順について繰り返し説明しない。

【0066】

上記技術案によると、本発明の実施例では、データ処理機器（通常は、ビッグデータ処理システム）が、デプロイ済みホストのホスト情報をコントローラから取得し、ルーティング管理機器から検出すべきホストのルーティング情報を取得し、ホスト情報及びルーティング情報に基づいて検出すべきホストが異常ホストであるか否かを分析可能であるため、ビッグデータ処理システムのデータ収集能力及びデータ処理能力は、十分に発揮され、検出すべきホストが異常ホストであるか否かは、正確に分析される。上記方式により、コントローラを介して検出すべきホストが異常ホストであるか否かを分析する必要がなくなり、コントローラの作業量が低減され、コントローラの処理リソースが節約され、コントローラの処理性能が向上する。上記方式において、ビッグデータ技術に基づいて検出すべきホストが異常ホストであるか否かを分析し、ホスト行為の分析、異常検出及びエラー訂正を行うため、ネットワーク管理者は、各ホストのネットワークアクセス情報を正確に把握し、ホストの異常アクセス行為を迅速に感知することができる。

【0067】

上記応用場面において、本発明は、別の異常ホストモニタニング方法を更に提供する。図３は、異常ホストモニタニング方法のフローの模式図である。図３に示すように、当該方法は、データ処理機器に適用可能であり、当該方法は、以下のステップを含んでもよい。

【0068】

ステップ３０１では、デプロイ済みホストのホスト情報をコントローラから取得する。当該ホスト情報は、デプロイ済みホストのアドレス情報を含む。また、当該ホスト情報は、デプロイ済みホストのホスト識別子を更に含んでもよい。

【0069】

ステップ３０１の実施手順は、ステップ２０１を参照すればよいため、ここで繰り返し説明しない。

【0070】

ステップ３０２では、デプロイ済みホストのＬＬＤＰ情報をコントローラから取得する。当該ＬＬＤＰ情報は、デプロイ済みホストのホスト識別子、デプロイ済みホストに関連する第１エッジ機器の機器情報を含む。

【0071】

上記実施例を参照すると、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのＬＬＤＰ情報が既にコントローラに記憶されたため、データ処理機器は、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのＬＬＤＰ情報をコントローラから取得してもよい。表２に示すように、これらのＬＬＤＰ情報は、デプロイ済みホストのホスト識別子、当該デプロイ済みホストに関連する第１エッジ機器の機器情報を含んでもよいが、それらに限定されない。

【0072】

ステップ３０３では、検出すべきホストのルーティング情報を取得し、当該ルーティング情報は、検出すべきホストのアドレス情報、検出すべきホストに関連する第２エッジ機器の機器情報、例えば、ＩＰアドレス及び／又はＭＡＣアドレスを含む。検出すべきホストに関連するエッジ機器は、第２エッジ機器と呼称されてもよい。ステップ３０３の実施手順は、ステップ２０２を参照すればよいため、ここで繰り返し説明しない。

【0073】

ステップ３０４では、デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれているか否かを特定する。

【0074】

デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれていない場合に、ステップ３０５を実行してもよく、デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれている場合に、ステップ３０６を実行してもよい。

【0075】

ステップ３０５では、当該検出すべきホストを異常ホストとして特定する。

【0076】

一例では、データ処理機器は、ＥＶＰＮネットワークにおける全てのデプロイ済みホストのホスト情報をコントローラから取得してもよい。表１に示すように、これを基に、表１に示すホスト情報に検出すべきホストのアドレス情報が含まれていない場合に、検出すべきホストを異常ホストとして特定してもよい。表１に示すホスト情報に検出すべきホストのアドレス情報が含まれている場合に、ステップ３０６及び後続のステップを実行してもよい。

【0077】

ステップ３０６では、目標ホストに関連する第１エッジ機器の機器情報をＬＬＤＰ情報から取得する。記述の便宜上、本実施例では、アドレス情報が前記検出すべきホストと同じであるデプロイ済みホストを目標ホストと呼称する。

【0078】

上記実施例を参照すると、デプロイ済みホストのホスト情報は、デプロイ済みホストのアドレス情報、デプロイ済みホストのホスト識別子を含み、ＬＬＤＰ情報は、デプロイ済みホストのホスト識別子、デプロイ済みホストに関連する第１エッジ機器の機器情報を含み、ルーティング情報は、検出すべきホストのアドレス情報を含む。

【0079】

これにより、デプロイ済みホストのアドレス情報に検出すべきホストのアドレス情報が含まれている場合に、目標ホストに関連する第１エッジ機器の機器情報をＬＬＤＰ情報から取得することは、目標ホストのアドレス情報（目標ホストのアドレス情報と検出すべきホストのアドレス情報とが同じである）に基づいてホスト情報を検索し、目標ホストのホスト識別子を取得することと、目標ホストのホスト識別子に基づいてＬＬＤＰ情報を検索し、目標ホストに関連する第１エッジ機器の機器情報を取得することと、を含んでもよい。

【0080】

例えば、表１に示すように、ホスト情報がアドレス情報とホスト識別子との対応関係を含むため、データ処理機器は、検出すべきホストのアドレス情報に基づいて表１に示すホスト情報を検索することにより、検出すべきホストのアドレス情報と同じであるデプロイ済みホスト（即ち、目標ホスト）のホスト識別子を特定してもよい。

【0081】

例えば、検出すべきホストのアドレス情報がＩＰアドレスＡ、ＭＡＣアドレスＡ及びネットワーク識別子ＶＮＩ１である場合に、検出すべきホストのアドレス情報に基づいて表１に示すホスト情報を検索すると、表１においてヒットして目標ホストのホスト識別子をａａａとして取得可能である。更に例えば、検出すべきホストのアドレス情報がＩＰアドレスＢ、ＭＡＣアドレスＢ及びネットワーク識別子ＶＮＩ１である場合に、検出すべきホストのアドレス情報に基づいて表１に示すホスト情報を検索すると、ヒットして目標ホストのホスト識別子をｂｂｂとして取得可能である。

【0082】

目標ホストのホスト識別子をａａａとして取得した後、ホスト識別子ａａａによって表２に示すＬＬＤＰ情報を検索し、目標ホストに関連する第１エッジ機器の機器情報をＩＰアドレス１及びＭＡＣアドレス１として取得する。

【0083】

ステップ３０７では、第２エッジ機器の機器情報（即ち、ルーティング情報に付加される機器情報）と目標ホストに関連する第１エッジ機器の機器情報とが同じであるか否かを特定する。

【0084】

第２エッジ機器の機器情報と目標ホストに関連する第１エッジ機器の機器情報とが異なる場合に、ステップ３０８を実行してもよく、第２エッジ機器の機器情報と目標ホストに関連する第１エッジ機器の機器情報とが同じである場合に、ステップ３０９を実行してもよい。

【0085】

上記実施例を参照すると、検出すべきホストのルーティング情報に第２エッジ機器の機器情報が含まれており、また、目標ホストに関連する第１エッジ機器の機器情報が既に取得されたため、本ステップ３０７では、検出すべきホストに関連する第２エッジ機器の機器情報と目標ホストに関連する第１エッジ機器の機器情報とが同じであるか否かを判断可能である。

【0086】

ステップ３０８では、当該検出すべきホストを異常ホストとして特定する。

【0087】

ステップ３０９では、当該検出すべきホストを正常ホストとして特定する。

【0088】

１つの場合に、図１に示すように、ホスト１１１（検出すべきホストと仮定する）は、オンラインした後、エッジ機器１２１へＡＲＰパケットを送信してもよい。ホスト１１１が正常ホストである場合に、ＡＲＰパケットに付加されるのは、本当のアドレス情報、例えば、ＩＰアドレスＡ及びＭＡＣアドレスＡである。

【0089】

エッジ機器１２１は、ＡＲＰパケットを受信した後、ホスト１１１に対するＢＧＰメッセージを生成し、当該ＢＧＰメッセージをルーティング管理機器１３１へ送信してもよい。ルーティング管理機器１３１は、当該ＢＧＰメッセージを受信した後、当該ＢＧＰメッセージをデータ処理機器１６１へ送信してもよい。

【0090】

当該ＢＧＰメッセージは、ルーティング情報を含んでもよく、当該ルーティング情報は、ホスト１１１のＩＰアドレスＡとＭＡＣアドレスＡ、ホスト１１１のネットワーク識別子（例えば、ＶＮＩ１）、エッジ機器１２１の機器情報（ＩＰアドレス１とＭＡＣアドレス１）を含んでもよいが、それらに限定されない。エッジ機器１２１の機器情報は、検出すべきホストに関連する第２エッジ機器の機器情報である。

【0091】

この場合に、ルーティング情報に含まれるホスト１１１のアドレス情報がＩＰアドレスＡ、ＭＡＣアドレスＡ及びネットワーク識別子ＶＮＩ１であり、データ処理機器１６１は、表１に示すホスト情報に上記アドレス情報が含まれているか否かを判断してもよい。表１に示すホスト情報に上記アドレス情報が含まれているため、上記アドレス情報に対応する目標ホストのホスト識別子、例えば、ホスト識別子ａａａをホスト情報から取得可能である。その後、データ処理機器１６１は、ホスト識別子ａａａに基づいて表２に示すＬＬＤＰ情報を検索し、ホスト識別子ａａａに対応する機器情報を取得してもよい。即ち、当該機器情報は、ＩＰアドレス１及びＭＡＣアドレス１である。ホスト識別子ａａａに対応する機器情報は、目標ホストに関連する第１エッジ機器の機器情報である。

【0092】

以上のように、検出すべきホストに関連する第２エッジ機器の機器情報は、ＩＰアドレス１とＭＡＣアドレス１であり、目標ホストに関連する第１エッジ機器の機器情報は、ＩＰアドレス１とＭＡＣアドレス１である。つまり、上記２つの機器情報は、同じである。したがって、ホスト１１１が正常ホストであることは、特定できる。

【0093】

別の場合に、図１に示すように、ホスト１１１（検出すべきホストと仮定する）は、オンラインした後、エッジ機器１２１へＡＲＰパケットを送信してもよい。ホスト１１１が異常ホスト（例えば、攻撃者）である場合に、ＡＲＰパケットに含まれるのは、攻撃者が偽造したアドレス情報となる。攻撃者が偽造したのがホスト１１２のアドレス情報である場合に、ＡＲＰパケットに含まれるのは、ＩＰアドレスＢ及びＭＡＣアドレスＢとなる。

【0094】

エッジ機器１２１は、ＡＲＰパケットを受信した後、ホスト１１１に対するＢＧＰメッセージを生成し、当該ＢＧＰメッセージをルーティング管理機器１３１へ送信してもよい。ルーティング管理機器１３１は、当該ＢＧＰメッセージを受信した後、当該ＢＧＰメッセージをデータ処理機器１６１へ送信してもよい。

【0095】

当該ＢＧＰメッセージは、ルーティング情報を含んでもよく、当該ルーティング情報は、ホスト１１１のＩＰアドレスＢとＭＡＣアドレスＢ、ホスト１１１のネットワーク識別子（例えば、ＶＮＩ１）、エッジ機器１２１の機器情報（ＩＰアドレス１とＭＡＣアドレス１）を含んでもよいが、それらに限定されない。

【0096】

この場合に、ルーティング情報に含まれるホスト１１１のアドレス情報がＩＰアドレスＢ、ＭＡＣアドレスＢ及びネットワーク識別子ＶＮＩ１であり、データ処理機器１６１は、表１に示すホスト情報に上記アドレス情報が含まれているか否かを判断してもよい。表１に示すホスト情報に上記アドレス情報が含まれているため、上記アドレス情報に対応する目標ホストのホスト識別子、例えば、ホスト識別子ｂｂｂをホスト情報から取得可能である。その後、データ処理機器１６１は、ホスト識別子ｂｂｂに基づいて表２に示すＬＬＤＰ情報を検索し、ホスト識別子ｂｂｂに対応する機器情報を取得してもよい。即ち、当該機器情報は、ＩＰアドレス２とＭＡＣアドレス２である。ホスト識別子ｂｂｂに対応する機器情報は、目標ホストに関連する第１エッジ機器の機器情報である。

【0097】

このように、検出すべきホストに関連する第２エッジ機器の機器情報は、ＩＰアドレス１とＭＡＣアドレス１であり、目標ホストに関連する第１エッジ機器の機器情報は、ＩＰアドレス２とＭＡＣアドレス２である。つまり、上記２つの機器情報は、異なる。したがって、ホスト１１１が異常ホストであることは、特定可能である。

【0098】

以上のように、ホスト１１１がＡＲＰパケットを送信する際に、ＡＲＰパケットに付加されたのが攻撃者の偽造した正当なホストのアドレス情報であっても、データ処理機器１６１は、ホスト１１１を異常ホストとして認識可能である。

【0099】

一例では、データ処理機器１６１は、ホスト１１１を異常ホストとして特定したときに、警告情報も生成して管理者に攻撃行為に応対させてもよい。この処理手順について繰り返し説明しない。

【0100】

上記技術案によると、本発明の実施例では、攻撃者の偽造したのが正常ホストのアドレス情報であっても、データ処理機器（通常は、ビッグデータ処理システム）はこの検出すべきホストが異常ホストであるか否かを分析可能であるため、正常ホストと異常ホストとを認識する正確率は高められ、ビッグデータ処理システムのデータ収集能力及びデータ処理能力は、十分に発揮することができる。上記方式により、コントローラを介して検出すべきホストが異常ホストであるか否かを分析する必要がなくなり、コントローラの作業量が低減され、コントローラの処理リソースが節約され、コントローラの処理性能が向上する。上記方式において、ビッグデータ技術に基づいて検出すべきホストが異常ホストであるか否かを分析し、ホスト行為の分析、異常検出及びエラー訂正を行うため、ネットワーク管理者は、各ホストのネットワークアクセス情報を正確に把握し、ホストの異常アクセス行為を迅速に感知することができる。

【0101】

上記実施例では、検出すべきホストのルーティング情報（例えば、アドレス情報、検出すべきホストに関連するエッジ機器の機器情報）がデータ処理機器によって取得された後、当該検出すべきホストに対応するエントリが履歴データベースに存在するか否かを特定することと、前記検出すべきホストに対応するエントリが前記履歴データベースに存在する場合に、前記ルーティング情報及び前記ルーティング情報の取得時間を当該エントリに記憶することと、前記検出すべきホストに対応するエントリが前記履歴データベースに存在しない場合に、当該検出すべきホストに対応するエントリを履歴データベースに追加し、追加されたエントリに前記ルーティング情報及び前記ルーティング情報の取得時間を記憶することと、を更に含んでもよい。

【0102】

例えば、表３は、履歴データベースの１つの例示であり、当該履歴データベースは、ルーティング情報を記録する。無論、表３は、１つの例示に過ぎず、他のコンテンツを含んでもよく、ここで限定されない。

【表3】

【0103】

一例では、ホスト１１１がオフラインしてから再度オンラインすると仮定すれば、ホスト１１１は、ＡＲＰパケットを再送してもよい。エッジ機器１２１は、当該ＡＲＰパケットを受信した後、ルーティング管理機器１３１へＢＧＰメッセージを送信してもよい。ルーティング管理機器１３１は、ＢＧＰメッセージをデータ処理機器１６１へ送信してもよい。データ処理機器１６１は、ホスト１１１のルーティング情報を最終的に取得する。この手順は、上記実施例を参照すればよく、繰り返し説明しない。当該ルーティング情報は、ホスト１１１のアドレス情報（例えば、ＩＰアドレスＡ、ＭＡＣアドレスＡとネットワーク識別子ＶＮＩ１）、エッジ機器１２１の機器情報（例えば、ＩＰアドレス１とＭＡＣアドレス１）を含む。データ処理機器１６１は、当該ルーティング情報の取得時間、例えば時刻Ｄを更に特定してもよい。

【0104】

本発明の実施例では、データ処理機器１６１は、アドレス情報（例えば、ＩＰアドレスＡ、ＭＡＣアドレスＡとネットワーク識別子ＶＮＩ１）に対応するエントリが表３に示す履歴データベースに存在するか否かを判断してもよい。存在するため、表４に示すように、ＩＰアドレスＡ、ＭＡＣアドレスＡとネットワーク識別子ＶＮＩ１、ＩＰアドレス１とＭＡＣアドレス１、時刻Ｄの対応関係を当該エントリに記憶する。

【表4】

【0105】

このように、本実施例では、ビッグデータシステムが膨大な情報を記憶可能であるため、データ処理機器１６１は、エントリに既存したルーティング情報を置換するのではなく、エントリにルーティング情報を追加することができる。即ち、長期間にわたってルーティング情報を保存可能であり、時間順で保存可能であり、情報を高速に検索することができる。ビッグデータシステムが膨大な情報を記憶可能であるため、履歴データベースには、正常ルーティング時の情報だけでなく、異常ルーティング時の情報も記憶され得る。履歴データベースは、更に履歴時間に応じて検索可能であるため、長期間に渡るアクセス行為異常の原因の遡りをサポートする。例えば、上述した表３や４に示すように、ＩＰアドレスＢ、ＭＡＣアドレスＢ及びネットワーク識別子ＶＮＩ１に対応するホストは、時刻Ｃで異常が発生する。したがって、ビッグデータシステムで保存された時系列属性を有する膨大な情報に基づいて、履歴の任意時間点における異常アクセス行為を高速に遡ることができる。

【0106】

上記実施例では、データ処理機器１６１は、データ収集器とデータ分析器を更に備えてもよく、データ収集器は、データの収集を実施し、データ分析器は、データの分析を実施する。こうすると、データ収集器は、ステップ３０１－ステップ３０３を実行可能であり、データ分析器は、ステップ３０４－ステップ３０９を実行可能である。

【0107】

上記方法と同様な出願思想に基づき、本発明の実施例は、異常ホストモニタニング装置を更に提出する。当該異常ホストモニタニング装置は、データ処理機器に用いられる。図４は、前記装置の構成図であり、図４に示すように、前記装置は、以下のモジュールを備える。

【0108】

第１取得モジュール４１は、デプロイ済みホストのホスト情報をコントローラから取得する。前記ホスト情報は、前記デプロイ済みホストのアドレス情報を含む。

【0109】

第２取得モジュール４２は、検出すべきホストのルーティング情報を取得する。前記ルーティング情報は、前記検出すべきホストのアドレス情報を含む。

【0110】

第１判断モジュール４３は、前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれているか否かを特定する。

【0111】

第１特定モジュール４４は、前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれていない場合に、前記検出すべきホストを異常ホストとして特定する。

【0112】

一例では、前記装置は、ルーティング管理機器と交渉してＢＧＰピアを確立するための確立モジュールを更に備え（図示せず）、前記第２取得モジュール４２は、前記ルーティング管理機器から送信された検出すべきホストのルーティング情報を受信するために用いられる。

【0113】

一例では、前記装置は、前記デプロイ済みホストのＬＬＤＰ情報を前記コントローラから取得するための第３取得モジュールを更に備える（図示せず）。前記ＬＬＤＰ情報は、前記デプロイ済みホストに関連する第１エッジ機器の機器情報を含む。前記デプロイ済みホストのアドレス情報に前記検出すべきホストのアドレス情報が含まれている場合に、前記装置は、目標ホストに関連する前記第１エッジ機器の機器情報を前記ＬＬＤＰ情報から取得するための第４取得モジュールを更に備える（図示せず）。前記目標ホストは、前記検出すべきホストと同じアドレス情報を有するデプロイ済みホストである。第２特定モジュールは、前記検出すべきホストに関連する第２エッジ機器の機器情報と前記目標ホストに関連する前記第１エッジ機器の機器情報とが異なる場合に、前記検出すべきホストを前記異常ホストとして特定する。前記検出すべきホストに関連する前記第２エッジ機器の機器情報は、前記ルーティング情報に含まれる。

【0114】

一例では、前記ホスト情報は、前記デプロイ済みホストのホスト識別子を更に含み、前記ＬＬＤＰ情報は、前記デプロイ済みホストのホスト識別子を更に含み、前記第４取得モジュールは、具体的に、前記目標ホストのアドレス情報に基づいて当該目標ホストのホスト情報を検索し、前記目標ホストのホスト識別子を取得し、前記目標ホストのホスト識別子に基づいて当該目標ホストのＬＬＤＰ情報を検索し、前記目標ホストに関連する前記第１エッジ機器の機器情報を取得するために用いられる。

【0115】

一例では、前記第２特定モジュールは、更に、前記検出すべきホストに関連する前記第２エッジ機器の機器情報と前記目標ホストに関連する前記第１エッジ機器の機器情報とが同じである場合に、前記検出すべきホストを正常ホストとして特定するために用いられる。

【0116】

一例では、前記装置は、前記検出すべきホストのルーティング情報が前記第２取得モジュールによって取得された後、前記検出すべきホストに対応するエントリが履歴データベースに存在するか否かを特定するための第２判断モジュールと、前記検出すべきホストに対応するエントリが前記履歴データベースに存在する場合に、前記ルーティング情報及び前記ルーティング情報の取得時間を前記エントリに記憶するための記憶モジュールと、前記検出すべきホストに対応するエントリが前記履歴データベースに存在しない場合に、前記検出すべきホストに対応するエントリを前記履歴データベースに追加し、追加されたエントリに前記ルーティング情報及び前記ルーティング情報の取得時間を記憶するための追加モジュールとを更に備える（図示せず）。

【0117】

本発明の実施例は、データ処理機器を提供する。ハードウェア実装から言うと、データ処理機器のハードウェアアーキテクチャ模式図の詳細は、図５に示されてもよい。データ処理機器は、機器読み取り可能な記憶媒体５０２とプロセッサ５０１を備える。前記データ処理機器は、インターフェース５０３とバス５０４を更に備えてもよい。前記機器読み取り可能な記憶媒体５０２には、前記プロセッサ５０１によって実行され得る機器の実行可能な指令が記憶される。前記プロセッサ５０１は、機器読み取り可能な記憶媒体５０２と通信し、機器読み取り可能な記憶媒体５０２に記憶された機器の実行可能な指令を読み取って実行することにより、本発明の上記例示に開示された異常ホストのモニタニング操作を実施する。インターフェース５０３は、コントローラ、ルーティング管理機器への接続に用いられてもよい。プロセッサ５０１、機器読み取り可能な記憶媒体５０２とインターフェース５０３の間では、バス５０４を介して互いに通信可能である。

【0118】

ここで、機器読み取り可能な記憶媒体は、如何なる電気的なもの、磁気的なもの、光学的なもの又は他の物理的記憶装置であってもよく、情報（例えば、実行可能な指令、データ等）を含むか記憶可能である。例えば、機器読み取り可能な記憶媒体は、揮発性メモリ、ＲＡＭ（Ｒａｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ、ランダムアクセスメモリ）及び不揮発性メモリ、フラッシュメモリ、記憶ドライバ（例えば、ハードディスクドライバ）、ソリッド・ステート・ディスク、如何なるタイプの記憶ディスク（例えば、光ディスク、ｄｖｄ等）若しくは類似する記憶媒体、又はそれらの組み合わせであってもよい。

【0119】

上記実施例で説明されるシステム、装置、モジュール又は手段は、具体的にコンピュータチップ又は実体によって実施されてもよく、又はある機能を有する製品によって実施されてもよい。１つの典型的な実施機器は、コンピュータである。コンピュータの具体的な形式は、パソコン、ラップトップコンピュータ、携帯電話、カメラ電話、スマートフォン、ＰＤＡ、メディアプレーヤー、ナビゲーション機器、電子メール送受信機器、ゲームコンソール、タブレットＰＣ、ウェアラブル機器又はこれらの機器のうちの任意何種かの機器の組み合わせであってもよい。

【0120】

記述の便宜上、上記装置を記述する際、機能に応じて各種の手段に区分してそれぞれ記述する。無論、本発明の実施時に、各手段の機能は、同一又は複数のソフトウェア及び／又はハードウェアで実現されてもよい。

【0121】

本分野における技術者であれば理解できるように、本発明の実施例は、方法、システム又はコンピュータプログラム製品として提供され得る。したがって、本発明は、１００％ハードウェアの実施例、１００％ソフトウェアの実施例、又はソフトウェアとハードウェアとを組み合わせた態様の実施例の形式を採用してもよい。また、本発明の実施例は、１つ又は複数の、コンピュータ利用可能なプログラムコードを含むコンピュータ利用可能な記憶媒体（磁気ディスクメモリ、ＣＤ－ＲＯＭ、光学メモリ等を含むが、それらに限定されない）で実施されるコンピュータプログラム製品の形式を採用してもよい。

【0122】

本発明は、本発明の実施例の方法、機器（システム）及びコンピュータプログラム製品に基づくフローチャート及び／又はブロック図を参照して記述されている。コンピュータプログラム指令にてフローチャート及び／又はブロック図における各フロー及び／又はブロック、並びにフローチャート及び／又はブロック図におけるフロー及び／又はブロックの組み合わせを実施可能であることは理解されるべきである。これらのコンピュータプログラム指令を汎用コンピュータ、専用コンピュータ、組み込み型処理機器又は他のプログラム可能なデータ処理機器のプロセッサへ供給して１つのマシンを生成することにより、コンピュータ又は他のプログラム可能なデータ処理機器のプロセッサで実行される指令にて、フローチャートの１つのフロー若しくは複数のフロー及び／又はブロック図の１つのブロック若しくは複数のブロックにおける指定の機能を実施するための装置を発生してもよい。

【0123】

また、これらのコンピュータプログラム指令は、更に、コンピュータ又は他のプログラム可能なデータ処理機器が特定の方式で動作するようガイドできるコンピュータ可読メモリに記憶されてもよい。このように、当該コンピュータ可読メモリに記憶された指令は、指令装置を含む製品を生成し、当該指令装置は、フローチャートの１つのフロー若しくは複数のフロー及び／又はブロック図の１つのブロック若しくは複数のブロックにおける指定の機能を実現する。

【0124】

これらのコンピュータプログラム指令は、コンピュータ又は他のプログラム可能なデータ処理機器にロードされて、コンピュータ又は他のプログラム可能な機器に一連の操作ステップを実施してコンピュータで実現される処理を生成してもよい。これにより、コンピュータ又は他のプログラム可能な機器で実行される指令は、フローチャートの１つのフロー若しくは複数のフロー及び／又はブロック図の１つのブロック若しくは複数のブロックにおける指定の機能を実現するステップを提供する。

【0125】

上述したのは、本発明の実施例に過ぎず、本発明を制限するためのものではない。当業者にとって、本発明は種々な変更や変形があり得る。本発明の精神及び原則内でなされた如何なる変更、均等物による置換、改良等も、本発明の保護範囲内に含まれる。

【図1】

【図2】

【図3】

【図4】

【図5】