JP2006013737A - 異常トラヒック除去装置 - Google Patents

Abstract

【課題】ネットワークにおける異常トラヒックを除去する異常トラヒック除去装置に関し、ループ或いはアタック等により生じた異常トラヒックの帯域を削減又は除去し、ネットワークの不安定化・システムダウンを回避し、また、その要因を特定するための情報収集を可能にする。
【解決手段】Ｐｏｒｔ０又は１受信回路Ｉ／Ｆ部１又は２で受信されたフレームをフレーム解析部３でプロトコル識別、検索キーワードの抽出、検索エンジンへの検索要求生成等を行い、ループ監視部４及びアタック監視部５では、フレーム解析部３からの検索要求により検索キーワードを基に検索を行い、監視テーブルに検索対象に一致する検索キーワードが存在する場合に該検索キーワードのフレームカウント数をカウントアップし、予め設定されたカウント閾値を超過したエントリを検出すると、異常トラヒックとしてその帯域を削減又は除去し、また、それらの統計情報を表示する。
【選択図】 図１

Description

本発明は、ネットワークにおける異常トラヒックを除去する異常トラヒック除去装置に関し、特にＭＡＣ（Media Access Control）フレーム等がネットワーク内のループ状の経路に繰り返し転送される異常トラヒック、及びＩＰ（Internet Protocol）フレーム等による故意又は悪意的なネットワークへの迷惑的攻撃行為（以下、「アタック」という）等による特定端末から不特定多数の宛先へ大量に送信される異常トラヒックを除去する装置に関する。

従来よりネットワークは中継装置としてブリッジ装置を用いて構成されている。ループによる異常トラヒックの発生に関して、ブリッジ等の中継装置を用いてネットワークを構築する際には、ブロードキャストフレームによるループが発生しないようにしなければならないが、このための一般的な手法としてスパニングツリープロトコル（ＳＴＰ）が広く使われている。

図４の（ａ）に示すようなツリー構成のネットワークではループは発生しないが、同図（ｂ）に示す構成例のネットワークではループ接続が形成される。殆どのブリッジ装置（中継装置）はスパニングツリープロトコルに対応しており、正常に動作していれば、ループ結線による異常トラヒックは発生しない。ところが、例えば図５に示す中継装置５−２のように自装置の入出力ポート同士を結線してしまうなど、誤接続・誤設定や機器障害(ＢＰＤＵ（Bridge Protocol Data Unit）パケットのロス等）などにより、ループを形成し、異常トラヒックが発生することがある。

また、スパニングツリープロトコルに対応していない、或いは該プロトコルを使用していない場合は、ネットワーク設計ミスによりループを形成してしまうことがある。このループ形成を回避する従来の手法として、２個以上の複数ポートの各々から受信される受信フレーム中の送信元ＭＡＣアドレスを学習しておき、同じ送信元アドレスを有するフレームが該複数のポートで受信されたとき、該フレームの中継を制限するという手法がある。

しかし、この手法ではで双方向の経路からフレームが流入するループトラヒックは検出することができるが、片方向のみからフレームが流入するループトラヒックは検出することができない。また、ブロードキャストフレームやマルチキャストフレームのような送信元ＭＡＣアドレスが同じであるフレームに対しては、ループ形成によるフレームであると誤認識する可能性がある。

また、アタックによる異常トラフィックを防御する手法としては、ファイアーウォールを設けることが一般的に行われている。ファイアーウォールは、外部ネットワークからの侵入又は攻撃から内部ネットワークを保護するものであり、送信元ＩＰアドレスやトランスポート層に属するプロトコル種別やＴＣＰ／ＵＤＰ宛先ポート番号を基に、流入するフレームをフィルタリングして通さないようにするものである。

しかしこの場合、複数のＴＣＰ／ＵＤＰ宛先ポート番号に対するアタック（ポートスキャンなど）に対しては、全てをフィルタリングしなければならないため、対応が困難である。更に、ファイアーウォールは外部ネットワークと内部ネットワークの境界に設置する機能であるため、外部からの侵入に対して有効であるが、ウィルス感染などによる内部ネットワークからの攻撃を防御することができない。

本発明に関連する先行技術文献として以下のものがある。特許文献１は、ＦＣＳエラーの発生間隔からネットワークの障害発生を判定するネットワーク障害予測装置に関するものであり、また、特許文献２は、発信元情報及び発信方向情報を有する検査フレームを送出し、該検査フレームを受取ったときに、受取り方向情報及び検査フレーム内の各情報に基づいてループ障害を検出するケーブルモデムシステム及びケーブルモデム終端装置に関するものである。
特開平０８−１３９７２２号公報 特開平１１−３３１２３５号公報

前述した従来技術では次のような問題がある。まず、ループによる異常トラヒックに関して、ブロードキャストフレームに対するループの監視は、複数の受信ポートで同じ送信元ＭＡＣアドレスのフレームが受信されたか否かにより監視するため、図４（ｂ）のような片方向のループの場合は該ループトラヒックを除去できない。送信元ＭＡＣアドレスに基づいてループ形成を監視する場合、ブロードキャストフレームやマルチキャストフレームのように送信元ＭＡＣアドレスが同じであるフレームに対しては、ループ形成によるフレームと誤認識する可能性がある。

また、アタックによる異常トラヒック関して、ＩＰアドレスやプロトコル種別やＴＣＰ／ＵＤＰポート番号を検索キーとするフィルタリングでは、予め攻撃パターンを予測して行わなければならない。従って、新たな攻撃には対応が不可能である。また、複数の端末が大量のパケットを送信する場合には、ＩＰアドレスを検索キーとした防御では対応しきれない。また、大量のパケットを送信する攻撃者の目的は主にネットワーク装置のシステムダウンであるため、システムダウンの防止が最重要となる。

本発明は、ループ或いはアタック等により生じた異常トラヒックの帯域を削減又は除去することにより、ネットワークの不安定化・システムダウンを回避し、ネットワークとして稼動を継続することが可能な異常トラヒック除去装置を提供することを目的とする。更に、異常トラヒックが発生したとき、即時にその要因を特定するための情報を収集することが可能な異常トラヒック除去装置を提供することを目的とする。

本発明の異常トラヒック除去装置は、（１）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、複数ポートから受信したＭＡＣフレームのＦＣＳ(Frame Check Sequence)フィールドを検索エンジン部に書き込む手段と、同一のＦＣＳ値を有するＭＡＣフレームの受信フレーム数をカウントし、該同一のＦＣＳ値を有するＭＡＣフレームの一定期間の受信フレーム数が予め設定された閾値以上となった場合に、ネットワークがループ状態に陥ったと判定するループ監視・検出手段と、を備えたものである。

また、（２）前記ループ監視・検出手段によりネットワークのループ状態を検出したとき、前記同一のＦＣＳ値を有するＭＡＣネットフレームを異常トラヒック除去装置内で遮断し、支線ネットワークからコアネットワークへの上流方向及びコアネットワークから支線ネットワークへの下流方向に、ループの発生を伝播させないループ遮断手段を備えたものである。

また、（３）前記ループ遮断手段において、ハードウェア又はソフトウェアの自律動作で遮断を実行する自動モードと、異常トラヒック除去装置を制御するオペレータが介在して遮断を実行する手動モードとを選択するループ遮断モード選択手段を備えたものである。

また、（４）前記ループ遮断手段において、遮断するフレームを、異常トラヒック除去装置を通過する全フレーム、又は前記ループ監視・検出手段を用いて検出されたループ状態フレームから選択するループ遮断対象選択手段を備えたものである。

また、（５）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、ネットワークから受信したＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号フィールドを検索エンジン部に書き込む手段と、同一のＴＣＰ／ＵＤＰ宛先ポート番号を有するＩＰｖ４フレームの受信フレーム数をカウントし、ＴＣＰ／ＵＤＰ宛先ポート番号別の統計処理を行うアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段とを備えたものである。

また、（６）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、ネットワークから受信したＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号フィールド、Ｐｒｏｔｏｃｏｌフィールド及びＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＴＣＰ／ＵＤＰ宛先ポート番号フィールド、Ｐｒｏｔｏｃｏｌフィールド及びＩＰＳＡフィールドを有するＩＰｖ４フレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＴＣＰ／ＵＤＰ宛先ポート番号別の統計処理を行うアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段とを備えたものである。

また、（７）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、ネットワークから受信したＩＰｖ４フレームのＩＰＤＡフィールド及びＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＤＡフィールド及びＩＰＳＡフィールドを有するＩＰｖ４フレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＩＰ宛先数の統計処理を行うアタックＩＰＳＡ毎ＩＰ宛先数統計手段とを備えたものである。

また、（８）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、ネットワークから受信したＡＲＰフレームのＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＳＡフィールドを有するＡＲＰフレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＡＲＰフレーム数の統計処理を行うアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段とを備えたものである。

また、（９）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、ネットワークから異常トラヒック除去装置内に受信したＩＣＭＰフレームのＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＳＡフィールドを有するＩＣＭＰフレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＩＣＭＰフレーム数の統計処理を行うアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段とを備えたものである。

また、（１０）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、複数ポートから受信したＭＡＣフレームのトラヒック流量が予め設定された閾値帯域未満であるか、前記（５）のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記（６）のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記（７）のアタックＩＰＳＡ毎ＩＰ宛先数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記（８）のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、又は前記（９）のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるかを監視する手段と、前記トラヒック流量又は各統計手段で計測したフレーム数の何れかが、一定期間、閾値以上を継続した場合にアタック行為による異常トラヒックと判定するアタック監視・検出手段とを備えたものである。

本発明に係る異常トラヒック装置によれば、ＦＣＳ値又はＴＣＰ／ＵＤＰ宛先ポート番号フィールド等を検索キーワードとし、同一の検索キーワードを有するＭＡＣフレームの受信フレーム数をカウントし、一定期間の受信フレーム数が予め設定された閾値以上となった場合に、ネットワークがループ又はアタックによる異常トラヒック状態に陥ったと判定することにより、ループ又はアタックに起因する異常トラヒックを除去することができ、それによりネットワークの不安定化・システムダウンを容易に回避し、ネットワークとして稼動し続けることが可能となる。更に、同一の検索キーワードを有するＭＡＣフレームの統計情報を表示することにより、異常トラヒックが発生している状態で、異常トラヒックの要因特定のための情報を収集することができ、適切なネットワーク管理への瞬時対応が可能となる。また、異常トラヒックの除去条件を細かく柔軟に設定することができるため、様々なネットワークの規模・環境に対応することができる。

図１は本発明による異常トラヒック除去装置の全体構成を示す。同図において、Ｐｏｒｔ０受信回路Ｉ／Ｆ部１は、第１の接続端子Ｐｏｒｔ０に接続されたネットワークとの受信側回線インタフェース部、Ｐｏｒｔ１受信回路Ｉ／Ｆ部２は、第２の接続端子Ｐｏｒｔ１に接続されたネットワークとの受信側回線インタフェース部であり、これらは主に物理層の制御を行うＰＨＹデバイス及びＭＡＣ層の制御を行うＭＡＣデバイスにより構成される。

フレーム解析部３は、主に以下の機能を有する。
ａ）フレームフォーマット識別（ＶＬＡＮ＿Ｔａｇの有無の識別と、有の場合の段数の識別）
ｂ）プロトコル識別（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰの何れのプロトコルであるかの識別）
ｃ）検索キーワードの抽出（ＦＣＳ，ＴＣＰ／ＵＤＰ宛先ポート番号等の検索キーワードの抽出）
ｄ）検索エンジンへの検索要求生成
ｅ）遮断対象フレームの特定（ＦＣＳ，ＴＣＰ／ＵＤＰ宛先ポート番号，ＡＲＰ，ＩＣＭＰを基に特定）
ｆ）以下の統計情報の採取
ｆ−１）ＩＰｖ４のＴＣＰ／ＵＤＰ宛先ポート番号別フレーム数カウント（遮断対象）
ｆ−２）ＩＰｖ４のＴＣＰ／ＵＤＰ宛先ポート番号別バイト数カウント（遮断対象）
ｆ−３）ＡＲＰのフレーム数カウント（遮断対象）
ｆ−４）ＡＲＰのフレームバイト数カウント（遮断対象）
ｆ−５）ＩＣＭＰのフレーム数カウント（遮断対象）
ｆ−６）ＩＣＭＰのフレームバイト数カウント（遮断対象）

ループ監視部４は、主に以下の機能を有する。
ａ）フレーム解析部３からの検索要求により、検索キーワード（ＦＣＳ）を基に検索エンジンに対して検索を実行する。
ｂ）ＦＣＳ監視テーブルに検索対象に一致する検索キーワード（ＦＣＳ）がない場合は、ＦＣＳ監視テーブル内に該検索対象の検索キーワード（ＦＣＳ）を書き込むことでエントリを作成する。
ｃ）ＦＣＳ監視テーブルに検索対象に一致する検索キーワード（ＦＣＳ）が存在する場合は、該検索キーワード（ＦＣＳ）のフレームカウント数をカウントアップする。

アタック監視部５は、主に以下の機能を有する。
ａ）フレーム解析部３からの検索要求により、検索キーワード（ＴＣＰ／ＵＤＰ宛先ポート番号，ＩＰＳＡ，ＩＰＤＡ，Ｐｒｏｔｏｃｏｌ）を基に、検索エンジンに対して検索を実行する。ここで、ＩＰＳＡは送信元ＩＰアドレス、ＩＰＤＡは宛先ＩＰアドレスである。
ｂ）各監視テーブル内に検索キーワードに一致ものが存在しない場合は、各監視テーブル内に当該各キーワードを書き込むことでエントリを作成する。
ｃ）各監視テーブル内に一致する検索キーワードが存在する場合は、各エントリのフレームカウント数をカウントアップする。

ループ検出部６は、予め設定されたループフレームカウント閾値を超過したエントリを検出すると、フレームのＦＣＳ値をフレーム解析部３へ通知する。

アタック統計部７は、アタック監視部５でのフレームカウント数を基に以下ａ）〜ｆ）の機能を実行する。
ａ）予め設定されたＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウント閾値を超過したエントリの中から、フレームカウント数の上位１０位のＴＣＰ／ＵＤＰ宛先ポート番号を抽出し、フレームカウントを実行する。
ｂ）ＩＰＳＡ毎のＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウント数の上位１位のＩＰＳＡ値を抽出する。
ｃ）予め設定されたＩＰＳＡ毎のＡＲＰフレームカウント数が閾値を超過したエントリの中から、フレームカウント数の上位１位のＡＲＰフレームカウントを実行する。
ｄ）ＩＰＳＡ毎のＡＲＰフレームカウント数の上位１位のＩＰＳＡ値を抽出する。
ｅ）予め設定されたＩＰＳＡ毎のＩＣＭＰフレームカウント数が閾値を超過したエントリの中からフレームカウント数の上位１位のＩＣＭＰフレームカウントを実行する。
ｆ）ＩＰＳＡ毎のＩＣＭＰフレームカウント数の上位１位のＩＰＳＡ値を抽出する。
この情報を基に遮断するフレーム（ＩＰｖ４ ＴＣＰ／ＵＤＰフレーム、ＡＲＰフレーム、ＩＣＭＰフレーム）を決定する。

フレーム遮断部８は、フレーム解析部３からのフレーム遮断情報を基に以下ａ）〜ｉ）の機能を実行する。
ａ）アラート閾値以上のループフレームを全て遮断する。
ｂ）アラート閾値以上のループフレームの帯域を制限する。
ｃ）ＩＰｖ４ ＴＣＰ／ＵＤＰフレーム（１０個）の帯域を制限する。
ｄ）ＡＲＰフレームの帯域を制限する。
ｅ）ＩＣＭＰフレームの帯域を制限する。
ｆ）遮断されたループフレームの数をカウントする。
ｇ）遮断されたＩＰｖ４ ＴＣＰ／ＵＤＰフレームの数をカウントする。
ｈ）遮断されたＡＲＰフレームの数をカウントする。
ｉ）遮断されたＡＲＰフレームの数をカウントする。

Ｐｏｒｔ０送信回線Ｉ／Ｆ部９は、第１の接続端子Ｐｏｒｔ０に接続されたネットワークとの送信側回線インタフェース部、Ｐｏｒｔ１送信回線Ｉ／Ｆ部１０は第２の接続端子Ｐｏｒｔ１に接続されたネットワークとの送信側回線インタフェース部であり、これらは、主に物理層の制御を行うＰＨＹデバイス及びＭＡＣ層の制御を行うＭＡＣデバイスにより構成される。

受信流量監視部１１は、リンクの流量を計測するために以下のトラヒック量を計測する機能有する。
ａ）受信フレーム数
ｂ）受信バイト数
ｃ）受信エラーフレーム数のカウント

送信流量監視部１２は、主に以下の機能を有する。
ａ）ＩＰｖ４ ＴＣＰ／ＵＤＰ宛先ポート番号別フレーム数カウント（遮断対象）
ｂ）ＩＰｖ４ ＴＣＰ／ＵＤＰ宛先ポート番号別バイト数カウント（遮断対象）
ｃ）ＡＲＰフレーム数カウント（遮断対象）
ｄ）ＡＲＰフレームバイト数カウント（遮断対象）
ｅ）ＩＣＭＰフレーム数カウント（遮断対象）
ｆ）ＩＣＭＰフレームバイト数カウント（遮断対象）
ｇ）全フレーム数カウント
ｈ）全フレームバイト数カウント

制御部１３は、ＣＰＵ（中央演算処理装置）で構成され、主に該異常トラヒック除去装置内の監視、制御、及び異常トラヒック除去装置を制御するパネル画面とのインタフェース機能を有する。本発明によるループ除去のフローを図２に、また本発明によるアタック除去のフローを図３に示し、また図５に本発明の異常トラヒック除去装置５−１の適用例を示している。

（本発明の第１の実施形態）
本発明によるループの監視及び検出は以下の処理により行われる。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査する（ＦＣＳ検査、フレーム長検査）。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無を認識し、ＶＬＡＮ＿Ｔａｇ有りときＴａｇ段数を認識し、ＦＣＳの格納位置を特定する。そしてＦＣＳの値を抽出し、ループ監視部４へＦＣＳの値を検索キーワードとする検索要求をアサートする。
（３）ループ監視部４ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＦＣＳの値をＦＣＳ監視テーブル内に書き込み、エントリを新規に作成する。ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタを‘１’に設定する（初回のみ）。
・検索ヒット時（検索成功）：ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタをアップ（前値に＋‘１’）する。
（４）ループ検出部６では、検索ヒット時にモニタしたＦＣＳフレームカウンタの値が、予め設定されたフレームカウント閾値以上であれば、ネットワークがループ状態に陥ったと判断し、アラームをアサートすると同時に、フレーム解析部３に対してＦＣＳの値を通知する。
この実施形態によれば、複数ポートから受信したＭＡＣフレームの同一ＦＣＳ毎のフレームをカウントすることができるため、片方向のループトラヒックを検出することができる。片方向のループトラヒックを検出することができなかった従来技術ではネットワークダウンを回避することがきないが、この本発明の実施形態によればその問題点を解決することができる。

（本発明の第２の実施形態）
フレームの遮断は以下のように処理される。
（１）フレーム解析部３ではループ検出部６から受け取ったＦＣＳの値を有するＭＡＣフレームの特定を行う。
（２）該特定が完了するとそのＭＡＣフレームにフラグを付加し、該ＭＡＣフレームをフレーム遮断部８へ伝送する。
（３）フレーム遮断部８では、予め設定された遮断方法（アラート閾値以上を遮断又は帯域を制限する）に従ってフレームを遮断する。
この実施形態によれば、複数ポートから受信したＭＡＣフレームからネットワークのループ状態を検出して異常トラヒックを除去することができるため、片方向のループ除去し、ネットワークダウンを回避することができる。

（本発明の第３の実施形態）
・ループフレームの自動遮断モード時には以下の処理を実施する。
（１）遮断対象が全通過フレームである場合、ハードウェアが自律動作でリンクイネーブルをオフ（フレーム転送を停止）にする。
（２）遮断対象がループフレームで、且つ、遮断方法が“アラート閾値以上を遮断”である場合、アラート閾値以上のループフレームを全て遮断する。
（３）遮断対象がループフレームで、且つ、遮断方法が“帯域を制限”である場合、アラート閾値以上のループフレームの帯域を予め設定された通過率に従って制限する。
・ループフレームの手動遮断モード時には以下のように処理される。
（１）遮断対象が全通過フレームである場合、異常トラヒック除去装置を制御するオペレータが介在して遮断を実行することで、リンクイネーブルがオフ（フレーム転送を停止）になる。
（２）遮断対象がループフレームで、且つ、遮断方法が“アラート閾値以上を遮断”である場合、アラート閾値以上のループフレームを全て遮断する（ハードウェアの自律動作による）。
（３）遮断対象がループフレームで、且つ、遮断方法が“帯域を制限”である場合、アラート閾値以上のループフレームの帯域を予め設定された通過率に従って制限する（ハードウェアの自律動作による）。
この実施形態によれば、複数ポートから受信したＭＡＣフレームの除去方法(自動モード又は手動モード)を用途に応じて選択し、適正な対処を実施することができる。

（本発明の第４の実施形態）
・遮断対象が全通過フレーム時には以下のように処理される。
（１）遮断モードが自動モードである場合、ハードウェアが自律動作でリンクイネーブルをオフ（フレーム転送を停止）にする。
（２）遮断モードが手動モードである場合、異常トラヒック除去装置を制御するオペレータが介在し遮断を実行することでリンクイネーブルがオフ（フレーム転送を停止）になる。
・遮断対象がループフレーム時には以下のように処理される。
（１）遮断方法が“アラート閾値以上を遮断”である場合、アラート閾値以上のループフレームを全て遮断する。
（２）遮断方法が“帯域を制限”である場合、アラート閾値以上のループフレームの帯域を予め設定された通過率に従って制限する。
この実施形態によれば、複数ポートから受信したＭＡＣフレームの除去対象フレームを、異常トラヒック除去装置内を通過する全てのフレーム又はループと検知されたフレームから選択することができ、ネットワークの状況に応じた除去を実現することができる。

（本発明の第５の実施形態）
ループフレームの閾値超過遮断は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行い、ＦＣＳの位置を特定する。ＦＣＳの値を抽出し、ループ監視部４へＦＣＳの値を検索キーワードとする検索要求をアサートする。
（３）ループ監視部４ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＦＣＳの値をＦＣＳ監視テーブル内に書き込み、エントリを新規に作成する。ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタをアップ（前値に＋‘１’）する。
（４）ループ検出部６では検索ヒット時にモニタしたＦＣＳフレームカウンタの値が予め設定されたフレームカウント閾値以上である場合、ネットワークがループ状態に陥ったと判断し、アラームをアサートすると同時にフレーム解析部３に対してＦＣＳの値を通知する。
（５）フレーム解析部３ではループ検出部６から受け取ったＦＣＳの値を持つＭＡＣフレームの特定を行う。
（６）特定が完了するとそのＭＡＣフレームにフラグを付加して該ＭＡＣフレームをフレーム遮断部８へ伝送する。
（７）フレーム遮断部８ではフラグが付加されたＭＡＣフレームを全て遮断する。
この実施形態によれば、複数ポートから受信したＭＡＣフレームのフレームカウントが閾値を超過した時点以降をループ異常発生と判断し、それ以降のループフレームを遮断するため、正常なフレームは除去することなくループフレームのみを遮断することができる。

（本発明の第６の実施形態）
ループフレームの帯域制限は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行い、ＦＣＳの位置を特定する。ＦＣＳの値を抽出し、ループ監視部４へＦＣＳの値を検索キーワードとする検索要求をアサートする。
（３）ループ監視部４ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＦＣＳの値をＦＣＳ監視テーブル内に書き込み、エントリを新規に作成する。ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタをアップ（前値に＋‘１’）する。
（４）ループ検出部６では検索ヒット時にモニタしたＦＣＳフレームカウンタの値が予め設定されたフレームカウント閾値以上である場合ネットワークがループ状態に陥ったと判断し、アラームをアサートすると同時にフレーム解析部３に対してＦＣＳの値を通知する。
（５）フレーム解析部３ではループ検出部６から受け取ったＦＣＳの値を持つＭＡＣフレームの特定を行う。
（６）特定が完了するとそのＭＡＣフレームにフラグを付加して該ＭＡＣフレームをフレーム遮断部８へ伝送する。
（７）フレーム遮断部８ではフラグが付加されたＭＡＣフレームを予め設定された通過率だけ通過させることで帯域を制限する。
この実施形態によれば、複数ポートから受信したＭＡＣフレームのフレームカウントが閾値を超過した時点以降をループ異常発生と判断し、それ以降のループフレームを帯域制限するため、正常なフレームを除去することなくループフレームのみを帯域制限することができる。

（本発明の第７の実施形態）
ループフレームの統計情報表示は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行い、ＦＣＳの位置を特定する。ＦＣＳの値を抽出し、ループ監視部４へＦＣＳの値を検索キーワードとする検索要求をアサートする。
（３）ループ監視部４ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＦＣＳの値をＦＣＳ監視テーブル内に書き込み、エントリを新規に作成する。ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタをアップ（前値に＋‘１’）する。
（４）ループ検出部６では検索ヒット時にモニタしたＦＣＳフレームカウンタの値が、予め設定されたフレームカウント閾値以上である場合そのエントリ数を蓄積し、制御部１３からの読み出し要求に応じて値を返送する。制御部１３はその値を異常トラヒック除去装置を制御するソフトウェア（汎用のコンピュータ上で動作するもの）上に表示する。
（５）ループ検出部６では検索ヒット時にモニタしたＦＣＳフレームカウンタの値が、予め設定されたフレームカウント閾値以上である場合、エントリ毎のフレーム数を蓄積し、制御部１３からの読み出し要求に応じて値を返送する。制御部１３はその値を異常トラヒック除去装置を制御するソフトウェア（汎用のコンピュータ上で動作するもの）上に表示する。
（６）ループ検出部６では検索ヒット時にモニタしたＦＣＳフレームカウンタの値が、予め設定されたフレームカウント閾値以上である場合、閾値超過エントリのフレーム数の総和を蓄積し、制御部１３からの読み出し要求に応じて値を返送する。制御部１３はその値を異常トラヒック除去装置を制御するソフトウェア（汎用のコンピュータ上で動作するもの）上に表示する。
この実施形態によれば、ループしたＭＡＣフレームの統計情報の表示からループ異常状態発生の要因を特定することにより、ネットワークの修復を行い、ネットワークに多大な影響を及ぼすネットワークダウンを回避することができる。

（本発明の第８の実施形態）
アタックの監視と検出を以下のように処理する。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）受信流量監視部１１では接続端子Ｐｏｒｔ０，Ｐｏｒｔ１それぞれの受信フレーム数、受信バイト数、受信エラーフレーム数を計測する。
（３）受信流量監視部１１で計測する値を監視し、フレームの流量が監視閾値を超過していた場合、後述する本発明の第９の実施形態、第１０の実施形態、第１１の実施形態、第１２の実施形態又は第１３の実施形態により計測したフレーム数が予め設定された閾値以上である場合アタック攻撃と判定する。
この実施形態によれば、リンク帯域(トラヒック流量)を監視することで、アタックを瞬時に判定することができる。

（本発明の第９の実施形態）
アタックＴＣＰ／ＵＤＰ宛先ポート番号別統計を以下のように処理する。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＴＣＰ／ＵＤＰ宛先ポート番号の位置を特定する。ＴＣＰ／ＵＤＰ宛先ポート番号を抽出し、アタック監視部５へＴＣＰ／ＵＤＰ宛先ポート番号を検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＴＣＰ／ＵＤＰ宛先ポート番号の値をＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル内に書き込み、エントリを新規に作成する。ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタをアップ（前値に＋‘１’）する。
この実施形態によれば、ＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウントにより、ＩＰｖ４フレームによるアタックの発生要因を特定することができる。

（本発明の第１０の実施形態）
アタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計を以下のように処理する。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＴＣＰ／ＵＤＰ宛先ポート番号の位置を特定する。Ｐｒｏｔｏｃｏｌフィールドの位置を特定する。ＩＰＳＡの位置を特定する。ＴＣＰ／ＵＤＰ宛先ポート番号、Ｐｒｏｔｏｃｏｌフィールド、ＩＰＳＡを抽出し、アタック監視部５へＴＣＰ／ＵＤＰ宛先ポート番号、Ｐｒｏｔｏｃｏｌフィールド、ＩＰＳＡを検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＴＣＰ／ＵＤＰ宛先ポート番号、Ｐｒｏｔｏｃｏｌフィールド、ＩＰＳＡの値をＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタをアップ（前値に＋‘１’）する。
この実施形態によれば、ＩＰｖ４フレームのＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウントにより、ＩＰｖ４フレームによるアタックの発生要因を特定することができる。

（本発明の第１１の実施形態）
アタックＩＰＳＡ毎ＩＰ宛先数統計は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＩＰＤＡの位置を特定する。ＩＰＳＡの位置を特定する。ＩＰＤＡ、ＩＰＳＡを抽出し、アタック監視部５へＩＰＤＡ、ＩＰＳＡを検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＩＰＤＡ、ＩＰＳＡの値をＩＰＳＡ毎ＩＰ宛先数監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＩＰ宛先数フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＰ宛先数フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＩＰ宛先数フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＰ宛先数フレームカウンタをアップ（前値に＋‘１’）する。
この実施形態によれば、ＩＰｖ４フレームのＩＰＳＡ毎ＩＰ宛先数のフレームカウントにより、ＩＰｖ４フレームによるアタックの発生要因を特定することができる。

（本発明の第１２の実施形態）
アタックＩＰＳＡ毎ＡＲＰフレーム数統計は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＩＰＳＡの位置を特定する。ＩＰＳＡを抽出し、アタック監視部５へＩＰＳＡを検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＩＰＳＡの値をＩＰＳＡ毎ＡＲＰフレーム数監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＡＲＰフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＡＲＰフレームカウンタをアップ（前値に＋‘１’）する。
この実施形態によれば、ＡＲＰフレームのＩＰＳＡ毎のフレームカウントにより、ＡＲＰフレームによるアタック攻撃の発生要因を特定することができる。

（本発明の第１３の実施形態）
アタックＩＰＳＡ毎ＩＣＭＰフレーム数統計は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＩＰＳＡの位置を特定する。ＩＰＳＡを抽出し、アタック監視部５へＩＰＳＡを検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＩＰＳＡの値をＩＰＳＡ毎ＩＣＭＰフレーム数監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＣＭＰフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＣＭＰフレームカウンタをアップ（前値に＋‘１’）する。
この実施形態によれば、ＩＣＭＰフレームのＩＰＳＡ毎のフレームカウントにより、ＩＣＭＰフレームによるアタックの発生要因を特定することができる。

（本発明の第１４の実施形態）
アタックＩＰｖ４フレーム統計は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＴＣＰ／ＵＤＰ宛先ポート番号の位置を特定する。ＴＣＰ／ＵＤＰ宛先ポート番号を抽出し、アタック監視部５へＴＣＰ／ＵＤＰ宛先ポート番号を検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＴＣＰ／ＵＤＰ宛先ポート番号の値をＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル内に書き込み、エントリを新規に作成する。ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタをアップ（前値に＋‘１’）する。
（４）（8）アタック統計部内のＩＰｖ４ＴＣＰ／ＵＤＰ統計部では、検索ヒット時にモニタしたＴＣＰ／ＵＤＰ宛先ポート番号毎のフレームカウンタの値が予め設定されたフレームカウント閾値以上であることを検出すると、閾値を超過した中でフレームカウントの多い上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号をアタック監視部５内のＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルからレジスタへ抽出する。
（５）抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号毎のフレームカウント数をアタック監視部５内のＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブルから抽出し、アタック統計部内のＩＰｖ４ＴＣＰ／ＵＤＰ統計部で継続してフレームカウントを実施する。このフレームカウントの動作は、レジスタで実施する。
（６）抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号毎にカウント値が一番多いＩＰＳＡの値をアタック監視部５内のＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルからレジスタへ抽出する。
この実施形態によれば、ＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウントにより、ＩＰｖ４ＴＣＰ／ＵＤＰフレームによるアタックに対してＴＣＰ／ＵＤＰ宛先ポート番号別のフレーム統計情報を得ることができる。

（本発明の第１５の実施形態）
ＡＲＰフレーム統計は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＩＰＳＡの位置を特定する。ＩＰＳＡを抽出し、アタック監視部５へＩＰＳＡを検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＩＰＳＡの値をＩＰＳＡ毎ＡＲＰフレーム数監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＡＲＰフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＡＲＰフレームカウンタをアップ（前値に＋‘１’）する。
（４）アタック統計部７内のＡＲＰ統計部では検索ヒット時にモニタしたＩＰＳＡ毎ＡＲＰフレームカウンタの値が予め設定されたフレームカウント閾値以上である場合閾値超過を検出する。
（５）閾値超過を検出するとＩＰＳＡ毎ＡＲＰフレームカウント数をアタック監視部５内のＩＰＳＡ毎ＡＲＰフレームカウントテーブルから抽出し、アタック統計部内のＡＲＰ統計部で継続してフレームカウントを実施する。このフレームカウントの動作は、レジスタで実施する。
（６）ＩＰＳＡ毎ＡＲＰフレームカウントでカウント値が一番多いＩＰＳＡの値をアタック監視部５内のＩＰＳＡ毎ＡＲＰ監視テーブルからレジスタへ抽出する。
この実施形態によれば、ＡＲＰフレームのＩＰＳＡ毎のフレームカウントにより、ＩＰｖ４ＡＲＰフレームによるアタックに対してＩＰＳＡ毎のフレーム統計情報を得ることができる。

（本発明の第１６の実施形態）
ＩＣＭＰフレーム統計は以下のように処理される。
（１）Ｐｏｒｔ０受信回路Ｉ／Ｆ部１又はＰｏｒｔ１受信回路Ｉ／Ｆ部２でＭＡＣフレームの妥当性を検査（ＦＣＳ検査、フレーム長検査）する。検査結果不良の場合はフレームを廃棄する。
（２）フレーム解析部３ではフレームフォーマットの識別を行い、ＶＬＡＮ＿Ｔａｇ有無の認識、ＶＬＡＮ＿Ｔａｇ有り時のＴａｇ段数の認識を行う。プロトコル（ＩＰｖ４，ＡＲＰ，ＩＣＭＰ，ＴＣＰ，ＵＤＰ）を識別しフレームを認識する。ＩＰＳＡの位置を特定する。ＩＰＳＡを抽出し、アタック監視部５へＩＰＳＡを検索キーワードとする検索要求をアサートする。
（３）アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗） ＩＰＳＡの値をＩＰＳＡ毎ＩＣＭＰフレーム数監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＣＭＰフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＣＭＰフレームカウンタをアップ（前値に＋‘１’）する。
（４）アタック統計部７内のＩＣＭＰ統計部では検索ヒット時にモニタしたＩＰＳＡ毎ＩＣＭＰフレームカウンタの値が予め設定されたフレームカウント閾値以上である場合閾値超過を検出する。
（５）閾値超過を検出するとＩＰＳＡ毎ＩＣＭＰフレームカウント数をアタック監視部５内のＩＰＳＡ毎ＩＣＭＰフレームカウントテーブルから抽出し、アタック統計部内のＡＲＰ統計部で継続してフレームカウントを実施する。このフレームカウントの動作は、レジスタで実施する。
（６）ＩＰＳＡ毎ＩＣＭＰフレームカウントでカウント値が一番多いＩＰＳＡの値をアタック監視部５内のＩＰＳＡ毎ＩＣＭＰ監視テーブルからレジスタへ抽出する。
この実施形態によれば、ＩＣＭＰフレームＩＰＳＡ毎のフレームカウントにより、ＩＰｖ４ＩＣＭＰフレームによるアタックに対してＩＰＳＡ毎のフレーム統計情報を得ることができる。

（本発明の第１７の実施形態）
アタックIPｖ４フレーム遮断対象決定は以下のように処理される。
（１）前述の第１４の実施形態の（４）で抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号、及び（５）で抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号毎のフレームカウント数（継続カウント）を基に、遮断対象のＴＣＰ／ＵＤＰ宛先ポート番号を決定する。
この実施形態によれば、ＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウントにより、ＩＰｖ４ＴＣＰ／ＵＤＰフレームによるアタックに対して遮断対象となるフレーム(ＴＣＰ／ＵＤＰ宛先ポート番号)を特定することができる。

（本発明の第１８の実施形態）
アタックＩＰｖ４フレーム通過率決定は以下のように処理される。
（１）前述の第１７の実施形態で決定した遮断対象のＴＣＰ／ＵＤＰ宛先ポート番号毎の受信フレーム数、受信バイト数とリンク流量を解析し、ＴＣＰ／ＵＤＰ宛先ポート番号毎のフレーム通過率を決定する。
この実施形態によれば、ＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウントにより、ＩＰｖ４ＴＣＰ／ＵＤＰフレームによるアタックに対して遮断対象となったフレーム(ＴＣＰ／ＵＤＰ宛先ポート番号)通過率を設定することができる。

（本発明の第１９の実施形態）
アタックＩＰｖ４フレーム帯域制限は以下のように処理される。
（１）前述の第１８の実施形態で決定したＴＣＰ／ＵＤＰ宛先ポート番号毎のフレーム通過率をレジスタへ設定する。
（２）通過率にはＴＣＰ／ＵＤＰ宛先ポート番号毎に有効ビットが付加されているので、通過率を実行するにはこの有効ビットをオンにする必要がある。
（３）通過率が有効になると、対象となるＴＣＰ／ＵＤＰ宛先ポート番号を持ったフレームの受信バイト数をカウントし、ある時間内（例:１００ｍｓ）に通過率として設定された値のバイト数をカウントすると、それ以降はフレームを受信しないことで帯域を制限する。
この実施形態によれば、ＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号別のフレームカウントにより、ＩＰｖ４ＴＣＰ／ＵＤＰフレームによるアタックに対して遮断対象となったフレーム(ＴＣＰ／ＵＤＰ宛先ポート番号)通過率だけフレームを通過させることでＩＰｖ４フレームのアタックフレームの帯域制限を実現することができる。

（本発明の第２０の実施形態）
アタックＡＲＰフレーム遮断対象決定は以下のように処理される。
（１）前述の第１５の実施形態の（５）で抽出したＩＰＳＡ毎のＡＲＰフレームカウント数（継続カウント）を基に、ＡＲＰフレームを遮断するか決定する。
この実施形態によれば、ＩＰｖ４ＡＲＰフレームのフレームカウントにより、ＩＰｖ４ＡＲＰフレームによるアタックに対して、ＡＲＰフレームの遮断を決定することができる。

（本発明の第２１の実施形態）
アタックＡＲＰフレーム通過率決定は以下のように処理される。
（１）前述の第２０の実施形態でＡＲＰフレームを遮断対象とすることが決定した場合、ＡＲＰフレームの受信フレーム数、受信バイト数及びリンク流量を解析し、ＡＲＰフレームの通過率を決定する。
この実施形態によれば、ＩＰｖ４ＡＲＰフレームのフレームカウントにより、ＩＰｖ４ＡＲＰフレームによるアタックに対してＡＲＰフレーム通過率を設定することができる。

（本発明の第２２の実施形態）
アタックＡＲＰフレーム帯域制限は以下のように処理される。
（１）前述の第２１の実施形態で決定したＡＲＰフレームの通過率をレジスタへ設定する。
（２）通過率には有効ビットが付加されているので、通過率を実行するにはこの有効ビットをオンにする必要がある。
（３）通過率が有効になると、対象となるＡＲＰフレームの受信バイト数をカウントし、ある時間内（例：１００ｍｓ）に通過率として設定された値のバイト数をカウントすると、それ以降はフレームを受信しないことで帯域を制限する。
この実施形態によれば、ＩＰｖ４ＡＲＰフレームのフレームカウントにより、ＩＰｖ４ＡＲＰフレームによるアタックに対してＡＲＰフレームの通過率だけフレームを通過させることでＡＲＰフレームのアタックフレームの帯域制限を実現することができる。

（本発明の第２３の実施形態）
アタックＩＣＭＰフレーム遮断対象決定は以下のように処理される。
（１）本発明の第１６の実施形態の（５）で抽出したＩＰＳＡ毎のＩＣＭＰフレームカウント数（継続カウント）を基に、ＩＣＭＰフレームを遮断するか決定する。
この実施形態によれば、ＩＰｖ４ＩＣＭＰフレームのフレームカウントにより、ＩＰｖ４ＩＣＭＰフレームによるアタックに対してＩＣＭＰフレームの遮断決定を実現することができる。

（本発明の第２４の実施形態）
アタックＩＣＭＰフレーム通過率決定は以下のように処理される。
（１）前述の第２３の実施形態で決定したＩＣＭＰの受信フレーム数、受信バイト数及びリンク流量を解析し、ＩＣＭＰフレームの通過率を決定する。
この実施形態によれば、ＩＰｖ４ＩＣＭＰフレームのフレームカウントにより、ＩＰｖ４ＩＣＭＰフレームによるアタックに対してＩＣＭＰフレーム通過率を設定することができる。

（本発明の第２５の実施形態）
アタックＩＣＭＰフレーム帯域制限は以下のように処理される。
（１）前述の第２４の実施形態で決定したＩＣＭＰフレームの通過率をレジスタへ設定する。
（２）通過率には有効ビットが付加されているので、通過率を実行するにはこの有効ビットをオンにする必要がある。
（３）通過率が有効になると、対象となるＩＣＭＰフレームの受信バイト数をカウントし、ある時間内（例：１００ｍｓ）に通過率として設定された値のバイト数をカウントすると、それ以降はフレームを受信しないことで帯域を制限する。
この実施形態によれば、ＩＰｖ４ＩＣＭＰフレームのフレームカウントにより、ＩＰｖ４ＩＣＭＰフレームによるアタックに対してＩＣＭＰフレームの通過率だけフレームを通過させることでＩＣＭＰフレームのアタックフレームの帯域制限を実現することができる。

（本発明の第２６の実施形態）
アタックＩＰｖ４フレームアタック要因表示は以下のように処理される。
（１）本発明の第１４の実施形態の（６）で抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号毎にカウント値が一番多いＩＰＳＡの値を、制御部１３からの読み出し要求に応じて返送する。
（２）制御部１３はその値を異常トラヒック除去装置を制御するソフトウェア（汎用のコンピュータ上で動作するもの）上に表示する。
（３）異常トラヒック除去装置を制御するオペレータは、表示されたＩＰＳＡ値からＩＰｖ４アタック攻撃フレームを送信しているＩＰ送信元アドレスを特定することで、即時に要因特定を行う情報を収集することが可能である。
この実施形態によれば、ＩＰｖ４ＴＣＰ／ＵＤＰフレームによるアタックに対して、抽出したＩＰＳＡ情報を解析し、ＩＰｖ４ＴＣＰ／ＵＤＰアタックフレームのアタック元を表示することで、予めアタックパターン(ＩＰアドレスやプロトコル種別やＴＣＰ／ＵＤＰポート番号)を予測する従来技術では対応できない新たなアタックの要因を特定することができる。

（本発明の第２７の実施形態）
アタックＡＲＰフレームアタック要因表示は以下のように処理される。
（１）本発明の第１５の実施形態の（６）で抽出したカウント値が一番多いＩＰＳＡの値を、制御部１３からの読み出し要求に応じて返送する。
（２）制御部１３はその値を異常トラヒック除去装置を制御するソフトウェア（汎用のコンピュータ上で動作するもの）上に表示する。
（３）異常トラヒック除去装置を制御するオペレータは表示されたＩＰＳＡ値からＡＲＰアタック攻撃フレームを送信しているＩＰ送信元アドレスを特定することで、即時に要因特定を行う情報を収集することが可能である。
この実施形態によれば、ＩＰｖ４ＡＲＰフレームによるアタックに対して、抽出したＩＰＳＡ情報を解析し、ＩＰｖ４ＡＲＰアタックフレームのアタック元を表示することで、予めアタックパターン(ＩＰアドレスやプロトコル種別やＴＣＰ／ＵＤＰポート番号)を予測する従来技術では対応できない新たなアタックの要因を特定することができる。

（本発明の第２８の実施形態）
アタックＩＣＭＰフレームアタック要因表示は以下のように処理される。
（１）本発明の第１６の実施形態の（６）で抽出したカウント値が一番多いＩＰＳＡの値を、制御部１３からの読み出し要求に応じて返送する。
（２）制御部１３はその値を異常トラヒック除去装置を制御するソフトウェア（汎用のコンピュータ上で動作するもの）上に表示する。
（３）異常トラヒック除去装置を制御するオペレータは、表示されたＩＰＳＡ値からＩＣＭＰアタック攻撃フレームを送信しているＩＰ送信元アドレスを特定することで、即時に要因特定を行う情報を収集することが可能である。
この実施形態によれば、ＩＰｖ４ＩＣＭＰフレームによるアタックに対して、抽出したＩＰＳＡ情報を解析し、ＩＰｖ４ＩＣＭＰアタックフレームのアタック元を表示することで、予めアタックパターン(ＩＰアドレスやプロトコル種別やＴＣＰ／ＵＤＰポート番号)を予測する従来技術では対応できない新たなアタックの要因の特定することができる。

（本発明の第２９の実施形態）
・アタックフレームの自動遮断モード時には以下の処理が実施される。
（１）ＩＰｖ４ＴＣＰ／ＵＤＰフレームについて本発明の第１９の実施形態の処理をハードウェア又はソフトウェアの自律処理機能で実行する。
（２）ＡＲＰフレームについて本発明の第２２の実施形態の処理をハードウェア又はソフトウェアの自律処理機能で実行する。
（３）ＩＣＭＰフレームについて本発明の第２５の実施形態の処理をハードウェア又はソフトウェアの自律処理機能で実行する。

・アタックフレームのの手動遮断モード時には以下のように処理される。
（１）ＩＰｖ４ＴＣＰ／ＵＤＰフレームについて、本発明の第１９の実施形態の（１）はハードウェアが自律的に実行する。本発明の第１９の（２）のＴＣＰ／ＵＤＰ宛先ポート番号毎通過率有効ビット有効のオン／オフ設定を異常トラヒック除去装置を制御するオペレータが介在して行う。本発明の第１９の実施形態の（３）はハードウェアが自律的に実行する。
（２）ＡＲＰフレームについて、本発明の第２２の実施形態の（１）はハードウェアが自律動作で実行する。本発明の第２２の実施形態の（２）の通過率有効ビット有効のオン／オフ設定を、異常トラヒック除去装置を制御するオペレータが介在して行う。本発明の第２２の実施形態の（３）はハードウェアが自律動作で実行する。
（３）ＩＣＭＰフレームについて、本発明の第２５の実施形態の（１）はハードウェアが自律動作で実行する。本発明の第２５の実施形態の（２）の通過率有効ビット有効のオン／オフ設定を、異常トラヒック除去装置を制御するオペレータが介在して行う。本発明の第２５の実施形態の（３）はハードウェアが自律動作で実行する。
この実施形態によれば、複数ポートから受信したアタックフレームの除去を、自動モード又は手動モードから選択でき、用途に応じて除去方法を選択し、適正な対処を実施することができる。

（本発明の第３０の実施形態）
ループ・アタック統計は受信するフレームの内容によって以下のように処理される。
（１）ＭＡＣフレーム（レイヤ３以上を実装しないフレーム）について、本発明の第１の実施形態のループ監視・検出の各処理を実行する。
（２）ＩＰｖ４ＴＣＰ フレームについて、本発明の第１の実施形態のループ監視・検出の各処理を実行する。本発明の第９の実施形態のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計の各処理を実行する。本発明の第１０の実施形態のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計の各処理を実行する。本発明の第１１の実施形態のアタックＩＰＳＡ毎ＩＰ宛先数統計の各処理を実行する。
（３）ＩＰｖ４ＵＤＰフレームについて、本発明の第１の実施形態のループ監視・検出の各処理を実行する。本発明の第９の実施形態のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計の各処理を実行する。本発明の第１０の実施形態のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計の各処理を実行する。本発明の本発明の第１１の実施形態のアタックＩＰＳＡ毎ＩＰ宛先数統計の各処理を実行する。
（４）ＩＰｖ４ＡＲＰフレームについて、本発明の第１の実施形態のループ監視・検出の各処理を実行する。本発明の第１２の実施形態のアタックＩＰＳＡ毎ＡＲＰフレーム数統計の各処理を実行する。
（５）ＩＰｖ４ＩＣＭＰフレームについて、本発明の第１の実施形態のループ監視・検出方式の各処理を実行する。本発明の第１３の実施形態のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計の各処理を実行する。
この実施形態によれば、ループ監視・検出、アタック監視・検出を並行処理することができるため、同時に発生したループとアタックとに対してそれらの異常トラヒックを一台の装置で除去することができる。

（本発明の第３１の実施形態）
監視テーブルパージは以下のように処理される。各監視テーブルのパージは個別に実行できる。
（１）ＦＣＳ監視テーブルについて、ネットワークで一度ループが発生すると瞬時（数秒と言われている）にしてネットワークは通信不能に陥る。ネットワークを元通りに復旧させるにはかなりの時間を要する。ＦＣＳは受信する全フレームに付加されているので、ＦＣＳ監視テーブル（エントリが書き込んである部分）のエントリは短時間で一杯になる可能性が高い。そこで、
ａ）ある周期（例:１秒）毎に、ＦＣＳ監視テーブル（例:１６Ｋワード）に対してパージコマンドを発行する。
ｂ）パージコマンドを受信すると、エントリされているＦＣＳ値を全て無効にする。
ｃ）パージが完了すると、ＦＣＳ監視テーブルの０番地から新規にＦＣＳ値がエントリされる。（常に最新の情報でループの監視が可能）。パージとパージの間にループフレームカウントの閾値を超過するエントリを検出した場合は、ＦＣＳ監視テーブルを保持（パージ中止）し、ループフレームの遮断を実施する。ループフレームが収束したら周期パージを再開する。ループフレームカウントの閾値超過がなければ、ａ）〜ｃ）の動作を繰り返す。
（２）ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎宛先（ＩＰＤＡ）数監視テーブルについて、ＩＰｖ４ＴＣＰ／ＵＤＰアタック攻撃でネットワークが通信不能に陥るケースはループに比べると低いと思われる。アタック攻撃が発生すると、ルータ等の中継装置の処理性能が低下し、ネットワークに輻輳が発生する。そこで、
ａ）ある周期（例：３０秒）毎に、ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル（例:１６Ｋワード）、ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル（例：３２Ｋワード）、ＩＰＳＡ毎宛先（ＩＰＤＡ）数監視テーブル（例：３２Ｋワード）に対してパージコマンドを発行する。
ｂ）パージコマンドを受信すると、エントリされているをＴＣＰ／ＵＤＰ宛先ポート番号、Ｐｒｏｔｏｃｏｌ、ＩＰＤＡ、ＩＰＳＡを全て無効にする。
ｃ）パージが完了すると、ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎宛先（ＩＰＤＡ）数監視テーブルの０番地から新規にＴＣＰ／ＵＤＰ宛先ポート番号、Ｐｒｏｔｏｃｏｌ、ＩＰＤＡ、ＩＰＳＡがエントリされる。
（３）ＩＰＳＡ毎ＡＲＰ監視テーブルについて、ＩＰｖ４のＡＲＰアタック攻撃でネットワークが通信不能に陥るケースはループに比べると低いと思われる。アタック攻撃が発生するとルータ等の中継装置の処理性能が低下しネットワークに輻輳が発生する。そこで、
ａ）ある周期（例：３０秒）毎に、ＩＰＳＡ毎ＡＲＰ監視テーブル（例:１６Ｋワード）に対してパージコマンドを発行する。
ｂ）パージコマンドを受信すると、エントリされているをＩＰＳＡを全て無効にする。
ｃ）パージが完了すると、ＩＰＳＡ毎ＡＲＰ監視テーブルの０番地から新規にＩＰＳＡがエントリされる。
（４）ＩＰＳＡ毎ＩＣＭＰ監視テーブルについて、ＩＰｖ４のＩＣＭＰアタック攻撃でネットワークが通信不能に陥るケースはループに比べると低いと思われる。アタック攻撃が発生するとルータ等の中継装置の処理性能が低下しネットワークに輻輳が発生する。そこで、
ａ）ある周期（例：３０秒）毎に、ＩＰＳＡ毎ＩＣＭＰ監視テーブル（例:１６Ｋワード）に対してパージコマンドを発行する。
ｂ）パージコマンドを受信するとエントリされているをＩＰＳＡを全て無効にする。
ｃ）パージが完了するとＩＰＳＡ毎ＡＲＰ監視テーブルの０番地から新規にＩＰＳＡがエントリされる。
この実施形態によれば、ＦＣＳ監視テーブル、ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎宛先（ＩＰＤＡ）数監視テーブル、ＩＰＳＡ毎ＡＲＰ監視テーブル及びＩＰＳＡ毎ＩＣＭＰ監視テーブルを定期的にパージし、テーブル内を更新することで、監視精度を向上させることができる。

（本発明の第３２の実施形態）
監視・遮断平行実行は以下のように処理される。
（１）ＩＰｖ４ＴＣＰ／ＵＤＰフレーム
ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎宛先（ＩＰＤＡ）数監視テーブルをある周期（例：３０秒）でパージ（パージ中は監視停止）する。パージから次のパージまでの間にＩＰｖ４ＴＣＰ／ＵＤＰフレームの監視/遮断を実行する。パージ動作の直前に、本発明の第１７の実施形態のアタックＩＰｖ４フレーム遮断対象決定、本発明の第１８の実施形態のアタックＩＰｖ４フレーム通過率決定を実行してからパージを実行する。パージ後、本発明の第１９の実施形態のアタックＩＰｖ４フレーム帯域制限を実行しＩＰｖ４のＴＣＰ／ＵＤＰアタック攻撃フレームを遮断する。
（２）ＩＰｖ４ＡＲＰフレーム
ＩＰＳＡ毎ＡＲＰ監視テーブルをある周期（例：３０秒）でパージ（パージ中は監視停止）する。パージから次のパージまでの間にＩＰｖ４ＡＲＰフレームの監視／遮断を実行する。パージ動作の直前に、本発明の第２０の実施形態のアタックＡＲＰフレーム遮断決定、本発明の第２１の実施形態のアタックＡＲＰフレーム通過率決定を実行してからパージを実行する。パージ後、本発明の第２２の実施形態のアタックＡＲＰフレーム帯域制限を実行し、ＩＰｖ４のＡＲＰアタック攻撃フレームを遮断する。
（３）ＩＰｖ４ＩＣＭＰフレーム
ＩＰＳＡ毎ＩＣＭＰ監視テーブルをある周期（例：３０秒）でパージ（パージ中は監視停止）する。パージから次のパージまでの間にＩＰｖ４のＩＣＭＰフレームの監視／遮断を実行する。パージ動作の直前に、本発明の第２３の実施形態のアタックＩＣＭＰフレーム遮断決定、本発明の第２４の実施形態のアタックＩＣＭＰフレーム通過率決定を実行してからパージを実行する。パージ後、本発明の第２５のアタックＩＣＭＰフレーム帯域制限を実行し、ＩＰｖ４のＩＣＭＰアタック攻撃フレームを遮断する。
この実施形態によれば、ＩＰｖ４ＴＣＰ／ＵＤＰフレームによるアタック、ＩＰｖ４ＡＲＰフレームによるアタック及びＩＰｖ４ＩＣＭＰフレームによるアタックに対して統計処理を行い、各監視テーブルをパージした後に遮断を実行することにより、変動するネットワークの監視に対応することができる。

（本発明の第３３の実施形態）
ループ／アタック物理Ｐｏｒｔモード選択は以下のように処理される。
（１）分割モード：異常トラヒックを除去する装置の複数ポートから受信したフレームのループ／アタックフレーム監視・検出・統計・遮断動作を実行する際に、受信した物理Ｐｏｒｔ番号毎に各処理を行う。
（２）共有モード：異常トラヒックを除去する装置の複数ポートから受信したフレームのループ／アタックフレーム監視・検出・統計・遮断動作を実行する際に、受信した物理Ｐｏｒｔ番号毎に分けずに各処理を行う。
この実施形態によれば、物理ポートを分割モード（Ｐｏｒｔを意識する）又は共有（Ｐｏｒｔを意識しない）モードから選択することができるため、ネットワークの双方向及び片方向のトラヒック監視処理に対応することができる。

ループの監視、検出、統計、遮断動作について本発明の実施例１を説明する。実施例１は前述した以下の本発明の実施形態に関連する。第１の実施形態のループ監視・検出、第２の実施形態のループ遮断、第３の実施形態のループ遮断モード選択、第４の実施形態のループ遮断対象選択、第５の実施形態のループ閾値超過遮断、第６の実施形態のループ帯域制限、第７の実施形態のループ統計情報表示、第３０の実施形態のループ・アタック統計、第３１の実施形態の監視テーブルパージ、第３３の実施形態のループ・アタック物理ポートモード選択。

ループフレームの監視について
（１）ネットワークからのフレームの受信処理について
ネットワークから受信したイーサネット（登録商標）フレームは、先ず図１のＰｏｒｔ０受信回路Ｉ／Ｆ部１、Ｐｏｒｔ１受信回路Ｉ／Ｆ部２にて受信フレームの妥当性を検査する（検査内容は図１９の（ａ）参照）。フレームの妥当性検査を完了したフレームは図１の３つのブロック（フレーム解析部３、フレーム遮断部８、受信流量監視部１１（主な機能は図１９（ｂ）参照）に伝送される。

（２）フレームの解析処理について
フレーム解析部３にてフレームの内容の解析を以下のように行う。
ａ）プロトコル解析１（ＴＹＰＥフィールド解析）：イーサネット（登録商標）フレームのＴＹＰＥフィールドによりプロトコルを判別する（図１９（ｃ）参照）。ＩＰｖ４フレームフォーマットは図６（ＶＬＡＮ＿Ｔａｇ無し）及び図７（ＶＬＡＮ＿Ｔａｇ有り）に示している。また、ＡＲＰフレームフォーマットは図８（ＶＬＡＮ＿Ｔａｇ無し）及び図９（ＶＬＡＮ＿Ｔａｇ有り）に示す。また、ＩＣＭＰフレームフォーマットは図１０（ＶＬＡＮ＿Ｔａｇ無し）及び図１１（ＶＬＡＮ＿Ｔａｇ有り）に示している。
ｂ）プロトコル解析２（ＩＰｖ４ヘッダプロトコルフィールド解析）：ＩＰｖ４ヘッダのＰｒｏｔｏｃｏｌフィールドにより上位層のプロトコルを判別する（図１９（ｄ）参照）。
ｃ）検索キーワードの抽出：ＴＹＰＥフィールドとＩＰｖ４プロトコルフィールドの解析結果により、検索キーワードの抽出を実行する（図２０（ａ）参照）。
ｄ）検索コードの生成：ループ、アタック監視イネーブル信号からループ監視部４、アタック監視部５へ渡す検索要求コードを生成する（図２０（ｂ）参照。ループ監視の検索コードは同図（ｂ）の網掛け部分が該当する。）
ｅ）検索キーワードの連接：各検索キーワードを１２１ビットに連結する。図１２は検索キーワード構成図を示している。ループ監視を行う場合はＦＣＳが検索キーワードである。
ｆ）検索要求信号の生成：ループ監視部４及びアタック監視部５に対して図２０（ｃ）に示す信号を渡す。

（３）ループ監視について
ループ監視部４では、フレーム解析部３からの検索要求を基に、検索エンジン（ＦＣＳ監視テーブル）に対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるとその結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＦＣＳの値をＦＣＳ監視テーブル内に書き込み、エントリを新規に作成する。→ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＦＣＳフレームカウントテーブル内にエントリ毎にアロケートされたＦＣＳフレームカウンタを‘１’にする（２回目以降は前値に＋‘１’）。図１３にループ監視テーブルの構成及びＦＣＳフレームカウントテーブルを示す。

ループフレームの検出について
ループ状態検出について：ループ検出部６では、検索ヒット時にモニタしたＦＣＳフレームカウンタの値が予め設定されたフレームカウント閾値以上である場合、ネットワークがループ状態に陥ったと判断し、アラームをアサートすると同時にフレーム解析部３に対してＦＣＳの値を通知する。
・検索ヒット時（検索成功）：［検索エンジンに対して検索を要求する。］→［検索ヒット信号を受信（検索成功）］→［監視テーブルエントリナンバに対応するＦＣＳフレームカウントテーブルを読み出す。］→［読み出し値と予め設定されたフレームカウント閾値を比較する。読み出し値に＋‘１’してＦＣＳフレームカウントテーブル内に格納する。］→［比較の結果、読み出し値が大きければループ状態検出としてアラート（割り込み）を制御部１３に通知する（障害通知）。ループ検出部６からフレーム解析部３に対してアラートを発生したフレームのＦＣＳ値を通知する。］→［制御部１３では割り込みを検出したら異常トラヒック除去装置の制御画面にループ状態発生を表示し、オペレータに通知する。］

ループフレームの統計について
ループフレームの統計情報として以下の３つの項を表示する。
項１：ループフレームエントリ数（フレームカウントが閾値を超過したエントリ数をループ検出部６内のレジスタで構成されるカウンタに蓄積する。異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。）
項２：エントリ毎ループフレーム数（フレームカウントが閾値を超過したエントリ毎のフレームカウント。ループ監視部４内ＦＣＳフレームカウントテーブルに蓄積。異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。）
項３：ループフレーム総数（フレームカウントが閾値を超過したエントリ毎のフレームカウントの総和ループ検出部６内のレジスタで構成されるカウンタに蓄積。異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。）

ループフレームの遮断について
（１）ループフレームの特定について：フレーム解析部３では以下のフローでループフレームの特定を行う。［ループ検出部６からアラート発生信号とＦＣＳ値を受取る。］→［ＦＣＳ値を内部に保持して、受信するフレームのＦＣＳと比較する（フィルタリング）。］→［フィルタリングにマッチしたフレームに対してフラグを付加してフレーム遮断部８へ伝送する。］

（２）ループフレームの遮断の組み合わせについて：図２１（ａ）に示す組み合わせでループフレームの遮断を実現する。
（３）ループフレームの遮断方法について：フレーム遮断部８内にストア＆フォワード方式のフレームバッファを実装し、フレームのストアを完了する際にフレームの登録、廃棄を決定する。ループフレームにフラグが付加されていた場合は、フレームの登録を行わずに廃棄を行うことで遮断を実現する。
（４）ループフレーム通過率について：通過率はオペレータが異常トラヒック除去装置の制御画面よりエントリした帯域より算出する。フラグが付加されたループフレームにおいて、実際に送信したバイト数をフレーム単位で加算し、１００ｍｓ間に送信したバイト数が閾値（通過率）を超えた時点から送信を停止することで１００ｍｓ間内での送信バイト数を抑制する。超過するバイト数が発生するが、次の１００ｍｓ間でのバイト数として加算することにより、平均値として帯域を制限する。

ＦＣＳ監視テーブルのパージについて
常に最新のネットワークを監視するために、ＦＣＳ監視テーブルを定期的にパージする。以下にその処理フローを示す。［図２１（ｂ）に示すように定期的に（例:１秒）ＦＣＳ監視テーブル（例:１６Ｋワード）に対してパージコマンドを発行する。］→［ループ監視部４では、ＦＣＳ監視テーブルに対してパージを実行する。］→［パージコマンドが発行されると、エントリは全て無効になる。］→［パージが完了するとＦＣＳ監視テーブルの０番地から新規にＦＣＳ値がエントリされ、ＦＣＳフレームカウントテーブル内のフレームカウントも‘１’からカウントする。］
パージとパージの間にループフレームカウントの閾値を超過するエントリを検出した場合は、ＦＣＳ監視テーブルを保持（パージ中止）し、ループフレームの遮断を実施する。ループフレームが収束したらパージを再開する。

本発明の実施例２のＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの監視、検出、統計、遮断動作について説明する。本発明の実施例２は前述した本発明の以下の実施形態に関連する。第８の実施形態のアタック監視・検出処理、第９の実施形態のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計処理、第１０の実施形態のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計処理、第１１の実施形態のアタックＩＰＳＡ毎ＩＰ宛先数統計処理、第１４の実施形態のアタックＩＰｖ４フレーム統計処理、第１７の実施形態のアタックＩＰｖ４フレーム遮断対象決定処理、第１８の実施形態のアタックＩＰｖ４フレーム通過率決定処理、第１９の実施形態のアタックＩＰｖ４フレーム帯域制限処理、第２６の実施形態のアタックＩＰｖ４フレームアタック要因表示処理、第２９の実施形態のアタック遮断モード選択処理、第３０の実施形態のループ・アタック統計処理、第３１の実施形態の監視テーブルパージ処理、第３２の実施形態の監視・遮断平行実行処理、第３３の実施形態のループ・アタック物理Ｐｏｒｔモード選択処理。

ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの監視について
（１）ネットワークからのフレームの受信処理について：ネットワークから受信したイーサネット（登録商標）フレームは、先ずＰｏｒｔ０受信回路Ｉ／Ｆ部１、Ｐｏｒｔ１受信回路Ｉ／Ｆ部２にて受信フレームの妥当性を検査する。図１９（ａ）に検査内容を示す。フレームの妥当性検査を完了したフレームは図１９（ｂ）に示す３つのブロックに伝送される。
（２）フレームの解析処理について：フレーム解析部３にてフレームの内容の解析を以下のように行う。
ａ）プロトコル解析１（ＴＹＰＥフィールド解析）：イーサネット（登録商標）フレームのＴＹＰＥフィールドによりプロトコルを図１９（ｃ）に示すように判別する。ＩＰｖ４フレームフォーマットは図６及び図７に示している。
ｂ）プロトコル解析２（ＩＰｖ４ヘッダプロトコルフィールド解析）：ＩＰｖ４ヘッダのＰｒｏｔｏｃｏｌフィールドにより、図２１（ｃ）の網掛け部に示す上位層のプロトコルＴＣＰ／ＵＤＰを判別する。
ｃ）検索キーワードの抽出：ＴＹＰＥフィールドとＩＰｖ４プロトコルフィールドの解析結果により、図２０（ａ）に示す検索キーワードの抽出を実行する。
ｄ）検索コードの生成：ループ、アタック監視イネーブル信号からループ監視部４、アタック監視部５へ渡す検索要求コードを生成する。ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタック監視は、図２２（ａ）に示す網掛け部分が該当する。
ｅ）検索キーワードの連接：各検索キーワードを１２１ビットに連結する。図１２に検索キーワード構成を示している。ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタック監視は全てのフィールドが検索キーワードである。
ｆ）検索要求信号の生成：ループ監視部４、アタック監視部５に対して図２０（ｃ）に示す信号を渡す。
（４）ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタック監視について：ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタック監視には以下の４つの項がある。
項１：リンク帯域監視（受信流量監視部１１ではＰｏｒｔ０、Ｐｏｒｔ１それぞれの受信フレーム数、受信バイト数、受信エラーフレーム数を計測する。）
項２：ＴＣＰ／ＵＤＰ宛先ポート番号別統計（アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＴＣＰ／ＵＤＰ宛先ポート番号の値をＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル内に書き込み、エントリを新規に作成する。ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタをアップする（２回目以降は前値に＋‘１’）。
項３：ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計（アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＴＣＰ／ＵＤＰ宛先ポート番号、Ｐｒｏｔｏｃｏｌフィールド、ＩＰＳＡの値をＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウンタをアップする（２回目以降は前値に＋‘１’）。
項４：ＩＰＳＡ毎ＩＰ宛先数統計（アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・索ミスヒット時（検索失敗）：ＩＰＤＡ、ＩＰＳＡの値をＩＰＳＡ毎ＩＰ宛先数監視テーブル内に書き込み、エントリを新規に作成する。ＩＰＳＡ毎ＩＰ宛先数フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＰ宛先数フレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＩＰ宛先数フレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＰ宛先数フレームカウンタをアップする（２回目以降は前値に＋‘１’）。
図１４にアタックＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルの構成、図1５にアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルの構成、図1６にアタックＩＰＳＡ毎ＩＰ宛先数監視テーブルの構成を示している。

ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの検出について
前述の（４）“ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタック監視について”で説明した４つの項の検出手法を説明する。
項１：リンク帯域超過検出に対して、受信流量監視部１１で計測する値を監視し、フレームの流量が監視閾値を超過していたらアタック攻撃と判定する。
項２：ＴＣＰ／ＵＤＰ宛先ポート番号別統計検出に対して、
・検索ヒット時（検索成功）：ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内のエントリナンバに対応するＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブルを読み出す。→読み出し値と予め設定されたフレームカウント閾値を比較する。読み出し値に＋‘１’してＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内に格納する。→比較の結果、読み出し値が大きければアタック状態検出としてアラート（割り込み）を制御部１３に通知する（障害通知）。→制御部１３では割り込みを検出したら異常トラヒック除去装置の制御画面にアタック状態発生を表示し、オペレータに通知する。
項３：ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計検出に対して、
・検索ヒット時（検索成功）時：ＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内のエントリナンバに対応するＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブルを読み出す。→読み出し値と予め設定されたフレームカウント閾値を比較する。読み出し値に＋‘１’してＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブル内に格納する。→比較の結果、読み出し値が大きければアタック状態検出としてアラート（割り込み）を制御部１３に通知する（障害通知）。→制御部１３では割り込みを検出したら異常トラヒック除去装置の制御画面にアタック状態発生を表示し、オペレータに通知する。
項４：ＩＰＳＡ毎ＩＰ宛先数統計検出に対して、
・検索ヒット時（検索成功）：ＩＰＳＡ毎宛先数フレームカウントテーブル内のエントリナンバに対応するＩＰＳＡ毎宛先数フレームカウントテーブルを読み出す。→読み出し値と予め設定されたフレームカウント閾値を比較する。読み出し値に＋‘１’してＩＰＳＡ毎宛先数フレームカウントテーブル内に格納する。→比較の結果、読み出し値が大きければアタック状態検出としてアラート（割り込み）を制御部１３に通知する（障害通知）。→制御部１３では割り込みを検出したら異常トラヒック除去装置の制御画面にアタック状態発生を表示し、オペレータに通知する。

ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの統計について、ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの統計情報の処理を以下に示す。
項１：ＴＣＰ／ＵＤＰ宛先ポート番号（上位１０個）に対して、アタック統計部７内のＩＰｖ４ＴＣＰ／ＵＤＰ統計部では検索ヒット時にモニタしたＴＣＰ／ＵＤＰ宛先ポート番号毎のフレームカウンタの値が予め設定されたフレームカウント閾値以上であることを検出すると、閾値を超過したものの中でフレームカウントの多いものから上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号をアタック監視部５内のＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルからレジスタへ抽出する。それらを異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。
項２：ＴＣＰ／ＵＤＰ宛先ポート番号（上位１０個）フレームカウント数に対して、抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号毎のフレームカウント数をアタック監視部５内のＴＣＰ／ＵＤＰ宛先ポート番号フレームカウントテーブルから抽出し、アタック統計部内のＩＰｖ４ＴＣＰ／ＵＤＰ統計部で継続してフレームカウントを実施する。このフレームカウントの動作は、レジスタで実施する。それらを異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。
項３：ＴＣＰ／ＵＤＰ宛先ポート番号（上位１０個）毎ＩＰＳＡ値に対して、抽出した上位１０個のＴＣＰ／ＵＤＰ宛先ポート番号毎にカウント値が一番多いＩＰＳＡの値をアタック監視部５内のＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルレジスタへ抽出する。それらを異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。

ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの遮断対象の特定について
ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの統計情報を基に遮断対象を特定する。以下に遮断対象特定の処理を説明する。
項１：フレーム解析部３内の遮断対象統計部にて以下を実行する。
ａ）ＩＰｖ４ＴＣＰ／ＵＤＰ宛先ポート番号別フレーム数カウント
ｂ）ＩＰｖ４ＴＣＰ／ＵＤＰ宛先ポート番号別バイト数カウント
↓
ｃ）フレーム数、バイト数から帯域を算出する。
それらを異常トラヒック除去装置の制御画面に帯域として表示し、オペレータに通知する。オペレータはポート番号毎の帯域を認識し、遮断を実行するポート番号に対して帯域を制御画面よりエントリする。

ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの遮断について
ＩＰｖ４ＴＣＰ／ＵＤＰフレームアタックの遮断対象特定を基に遮断を実行する。以下に遮断の処理を説明する。
（１）ＩＰｖ４ＴＣＰ／ＵＤＰアタックフレームのフィルタリングについて
フレーム解析部３では以下の流れでＩＰｖ４ＴＣＰ／ＵＤＰアタックフレームの
特定を行う。
［オペレータが遮断を実行するポート毎の帯域を制御画面よりエントリする。］→［ポート番号を内部に保持して、受信するフレームのＴＣＰ／ＵＤＰ宛先ポート番号と比較する（フィルタリング）。］→［フィルタリングにマッチしたフレームに対してフラグを付加してフレーム遮断部８へ伝送する。］
（２）ＩＰｖ４ＴＣＰ／ＵＤＰアタックフレームの遮断方法について
フレーム遮断部８内にストア＆フォワード方式のフレームバッファを実装し、フレームのストアを完了する際にフレームの登録、廃棄を決定する。ＩＰｖ４ＴＣＰ／ＵＤＰアタックフレームにフラグが付加されていた場合は、フレームの登録を行わず廃棄を行うことで遮断を実現する。
（３）遮断対象となるＴＣＰ／ＵＤＰポート番号毎の通過率について
通過率はオペレータが異常トラヒック除去装置の制御画面よりエントリした帯域より算出する。フラグが付加されたループフレームにおいて、実際に送信したバイト数をフレーム単位で加算し、１００ｍｓ間に送信したバイト数が閾値（通過率）を超えた時点から送信を停止することで１００ｍｓ間内での送信バイト数を抑制する。超過するバイト数が発生するが、次の１００ｍｓ間でのバイト数として加算することにより、平均値として帯域を制限する。

ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブル、ＩＰＳＡ毎ＴＣＰ／ＵＤＰ/宛先ポート番号監視テーブル、ＩＰＳＡ毎ＩＰ数監視テーブル、パージ周期と監視周期、遮断周期について、常に最新のネットワークを監視するために、上記３つの監視テーブルを定期的にパージする。以下にその流れを示す。
［定期的に（例：３０秒）３つの監視テーブル（例：各３２Ｋワード）に対してパージコマンドを発行する。］→［アタック監視部５では、３つの監視テーブルに対してパージを実行する。］→［パージコマンドが発行されると、エントリは全て無効になる。］→［パージが完了すると３つの監視テーブルの０番地から新規に各検索キーワードがエントリされ、３つのフレームカウントテーブル内のフレームカウントも‘１’からカウントする。］

図２１（ｂ）において（Ａ）の時間で監視、統計情報を基に遮断対象の統計と特定を実行し、（Ｂ）の時間でオペレータがエントリした帯域を基に遮断を実行する。パージとパージの間で監視、統計処理を行い、次の周期で遮断を実行する。

ＩＰｖ４ＡＲＰフレームアタックの監視、検出、統計、遮断動作について説明する。本実施例は以下の実施形態に関連する。第８の実施形態のアタック監視・検出、第１２の実施形態のアタックＩＰＳＡ毎ＡＲＰフレーム数統計、第１５の実施形態のＡＲＰフレーム統計、第２０の実施形態のアタックＡＲＰフレーム遮断決定、第２１の実施形態のアタックＡＲＰフレーム通過率決定、第２２の実施形態のアタックＡＲＰフレーム帯域制限、第２７の実施形態のアタックＡＲＰフレームアタック要因表示、第２９の実施形態のアタック遮断モード選択、第３０の実施形態のループ・アタック統計、第３１の実施形態の監視テーブルパージ、第３２の実施形態の監視・遮断平行実行、第３３の実施形態のループ・アタック物理Ｐｏｒｔモード選択。

ＩＰｖ４ＡＲＰフレームアタックの監視について
（１）ネットワークからのフレームの受信処理について、ネットワークから受信したイーサネット（登録商標）フレームは、先ずＰｏｒｔ０受信回路Ｉ／Ｆ部１、Ｐｏｒｔ１受信回路Ｉ／Ｆ部２にて受信フレームの妥当性を検査する。図１９（ａ）に検査内容を示す。フレームの妥当性検査を完了したフレームは以下、図１９（ｂ）に示すフレーム解析部３、フレーム遮断部８、受信流量監視部１１の３つのブロックに伝送される。
（２）フレームの解析処理について、フレーム解析部３にてフレームの内容の解析を以下のように行う。
ａ）プロトコル解析１（ＴＹＰＥフィールド解析）：イーサネット（登録商標）フレームのＴＹＰＥフィールドにより図１９（ｃ）に示すようにプロトコルを判別する。ＡＲＰフレームフォーマットは図８、図９に示している。
ｂ）プロトコル解析２（ＩＰｖ４ヘッダプロトコルフィールド解析）：ＩＰｖ４ヘッダのＰｒｏｔｏｃｏｌフィールドにより図１９（ｄ）に示すように上位層のプロトコルＩＣＭＰ、ＴＣＰ、ＵＤＰを判別する。
ｃ）検索キーワードの抽出：ＴＹＰＥフィールドとＩＰｖ４プロトコルフィールドの解析結果により、図２０（ａ）に示すように検索キーワードの抽出を実行する。
ｄ）検索コードの生成：ループ、アタック監視イネーブル信号からループ監視部４、アタック監視部５へ渡す検索要求コードを図２２（ｂ）に示すように生成する。なお、ＩＰｖ４ＡＲＰフレームアタック監視は図２２（ｂ）の網掛け部分が該当する。
ｅ）検索キーワードの連接：各検索キーワードを１２１ビットに連結する。図１２に検索キーワード構成を示している。ＩＰｖ４ＡＲＰフレームアタック監視はＩＰＳＡフィールドが検索キーワードである。
ｆ）検索要求信号の生成：ループ監視部４、アタック監視部５に対して図２０（ｃ）に示す信号を渡す。
（４）ＩＰｖ４ＡＲＰフレームアタック監視について、ＩＰｖ４ＡＲＰフレームアタック監視には以下の項目がある。
項１：リンク帯域監視（受信流量監視部１１ではＰｏｒｔ０、Ｐｏｒｔ１それぞれの受信フレーム数、受信バイト数、受信エラーフレーム数を計測する。
項２：ＩＰＳＡ毎ＡＲＰ統計（アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＩＰＳＡの値をＩＰＳＡ毎ＡＲＰ監視テーブル内に書き込み、エントリを新規に作成する。→ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＡＲＰフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＡＲＰフレームカウンタをアップする（２回目以降は前値に＋‘１’）。
図１７にアタックＩＰＳＡ毎ＡＲＰ監視テーブルの構成を示している。

ＩＰｖ４ＡＲＰフレームアタックの検出について、前述の（４）“ＩＰｖ４ＡＲＰフレームアタック監視について”で述べた２つの項の検出の手法について説明する。
項１：リンク帯域超過検出（受信流量監視部１１で計測する値を監視し、フレームの流量が監視閾値を超過していたらアタック攻撃と判定する。）
項２：ＩＰＳＡ毎ＡＲＰ統計検出（検索ヒット時（検索成功）、ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内のエントリナンバに対応するＩＰＳＡ毎ＡＲＰフレームカウントテーブルを読み出す。→読み出し値と予め設定されたフレームカウント閾値を比較する。読み出し値に＋‘１’してＩＰＳＡ毎ＡＲＰフレームカウントテーブル内に格納する。→比較の結果、読み出し値が大きければアタック状態検出としてアラート（割り込み）を制御部１３に通知する（障害通知）。→制御部１３では割り込みを検出すると異常トラヒック除去装置の制御画面にアタック状態発生を表示し、オペレータに通知する。

ＩＰｖ４ＡＲＰフレームアタックの統計について、ＩＰｖ４ＡＲＰフレームアタックの統計情報の処理及び表示方法を以下に示す。
項１：ＡＲＰフレームカウント数（ＩＰＳＡ毎ＡＲＰフレームカウント数をアタック監視部５内のＩＰＳＡ毎ＡＲＰフレームカウントテーブルから抽出し、アタック統計部７内のＡＲＰ統計部７で継続してフレームカウントを実施する。このフレームカウントの動作は、レジスタで実施する。それらを異常トラヒック除去装置の制御画面で表示し、オペレータに通知する。）
項２：ＡＲＰフレームＩＰＳＡ値（カウント値が一番多いＩＰＳＡの値をアタック統計部７内のレジスタへ抽出する。それを異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。）

ＩＰｖ４ＡＲＰフレームアタックの遮断判定について
ＩＰｖ４ＡＲＰフレームアタックの統計情報を基に遮断実行を判断する。以下に遮断対象特定の処理を説明する。フレーム解析部３内の遮断対象統計部にて以下を実行する。
ａ）ＡＲＰフレーム数カウント
ｂ）ＡＲＰバイト数カウント
↓
ｃ）フレーム数、バイト数から帯域を算出する。
異常トラヒック除去装置の制御画面に帯域として表示（オペレータに通知）刷る。オペレータはＡＲＰフレームの帯域を認識し、帯域を制御画面よりエントリする。

ＩＰｖ４ＡＲＰフレームアタックの遮断について
ＩＰｖ４ＡＲＰフレームアタックの遮断判定を基に遮断を実行する。以下に遮断の処理を説明する。
（１）ＩＰｖ４ＡＲＰアタックフレームのフィルタリングについて、フレーム解析部３では以下の流れでＩＰｖ４ＡＲＰアタックフレームの特定を行う。
［オペレータが遮断実行の帯域を制御画面よりエントリする。］→［受信するフレームからＡＲＰフレームを識別する（フィルタリング）。］→［フィルタリングにマッチしたフレームに対してフラグを付加してフレーム遮断部８へ伝送する。］
（２）ＩＰｖ４ＡＲＰアタックフレームの遮断方法について、フレーム遮断部８内にストア＆フォワード方式のフレームバッファを実装し、フレームのストアを完了する際にフレームの登録、廃棄を決定する。ＩＰｖ４ＡＲＰアタックフレームにフラグが付加されていた場合は、フレームの登録を行わず廃棄を行うことで遮断を実現する。
（３）遮断対象となるＡＲＰフレームの通過率について、通過率はオペレータが異常トラヒック除去装置の制御画面よりエントリした帯域より算出する。フラグが付加されたループフレームにおいて、実際に送信したバイト数をフレーム単位で加算し、１００ｍｓ間に送信したバイト数が閾値（通過率）を超えた時点から送信を停止することで１００ｍｓ間内での送信バイト数を抑制する。超過するバイト数が発生するが、次の１００ｍｓ間でのバイト数として加算することにより、平均値として帯域を制限する。

ＩＰＳＡ毎ＡＲＰ監視テーブルのパージ周期と監視周期、遮断周期について
常に最新のネットワークを監視するために、ＩＰＳＡ毎ＡＲＰ監視テーブルを定期的にパージする。以下にその流れを示す。
［定期的に（例：３０秒）ＩＰＳＡ毎ＡＲＰ監視テーブル（例：各３２Ｋワード）に対してパージコマンドを発行する。］→［アタック監視部５では、ＩＰＳＡ毎ＡＲＰ監視テーブルに対してパージを実行する。］→［パージコマンドが発行されると、エントリは全て無効になる。］→［パージが完了するとＩＰＳＡ毎ＡＲＰ監視テーブルの０番地から新規に各検索キーワードがエントリされ、ＩＰＳＡ毎ＡＲＰフレームカウントテーブル内のフレームカウントも‘１’からカウントする。］
図２１（ｂ）の（Ａ）の時間で監視、統計情報を基に遮断対象の統計と特定を実行する。（Ｂ）の時間でオペレータがエントリした帯域を基に遮断を実行する。パージとパージの間で監視、統計を行い、次の周期で遮断を実行する。

ＩＰｖ４ＩＣＭＰフレームアタックの監視、検出、統計、遮断動作について説明する。本実施例は以下の実施形態に関連する。第８の実施形態のアタック監視・検出、第１３の実施形態のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計、第１６の実施形態のＩＣＭＰフレーム統計、第２３の実施形態のアタックＩＣＭＰフレーム遮断決定、第２４の実施形態のアタックＩＣＭＰフレーム通過率決定、第２５の実施形態のアタックＩＣＭＰフレーム帯域制限、第２８の実施形態のアタックＩＣＭＰフレームアタック要因表示、第２９の実施形態のアタック遮断モード選択、第３０の実施形態のループ・アタック統計、第３１の実施形態の監視テーブルパージ、第３２の実施形態の監視・遮断並行実行、第３３の実施形態のループ・アタック物理Ｐｏｒｔモード選択。

ＩＰｖ４ＩＣＭＰフレームのアタック監視について
（１）ネットワークからのフレームの受信処理について、ネットワークから受信したイーサネット（登録商標）フレームは、先ずＰｏｒｔ０受信回路Ｉ／Ｆ部１、Ｐｏｒｔ１受信回路Ｉ／Ｆ部２にて受信フレームの妥当性を検査する。図１９（ａ）に検査内容を示す。フレームの妥当性検査を完了したフレームは図１９（ｂ）の３つのブロックに伝送される。
（２）フレームの解析処理について、フレーム解析部３にてフレームの内容の解析を以下のように行う。
ａ）プロトコル解析１（ＴＹＰＥフィールド解析）：イーサネット（登録商標）フレームのＴＹＰＥフィールドにより図１９（ｃ）に示すようにプロトコルを判別する。ＩＣＭＰフレームフォーマットは図１０、図１１に示している。
ｂ）プロトコル解析２（ＩＰｖ４ヘッダプロトコルフィールド解析）：ＩＰｖ４ヘッダのＰｒｏｔｏｃｏｌフィールドにより図２３（ａ）に示すように上位層のプロトコルＩＣＭＰを判別する。
ｃ）検索キーワードの抽出：ＴＹＰＥフィールドとＩＰｖ４プロトコルフィールドの解析結果により、図２０（ａ）に示すように検索キーワードの抽出を実行する。
ｄ）検索コードの生成：ループ、アタック監視イネーブル信号からループ監視部４、アタック監視部５へ渡す検索要求コードを図２３（ｂ）に示すように生成する。ＩＰｖ４ＩＣＭＰフレームアタック監視は同図（ｂ）の網掛け部分が該当する。
ｅ）検索キーワードの連接：各検索キーワードを１２１ビットに連結する。図１２に検索キーワードの構成を示している。ＩＰｖ４ＩＣＭＰフレームアタック監視はＩＰＳＡフィールドが検索キーワードである。
ｆ）検索要求信号の生成：ループ監視部４、アタック監視部５に対して図２０（ｃ）に示す信号を渡す。
（４）ＩＰｖ４ＩＣＭＰフレームアタック監視について、ＩＰｖ４ＩＣＭＰフレームアタック監視には以下の項がある。
項１リンク帯域監視（受信流量監視部１１ではＰｏｒｔ０、Ｐｏｒｔ１それぞれの受信フレーム数、受信バイト数、受信エラーフレーム数を計測する。
項２：ＩＰＳＡ毎ＩＣＭＰ統計（アタック監視部５ではフレーム解析部３からの検索要求を基に、検索エンジンに対して検索（LOOKUP）を実行する。検索エンジンから検索結果が返送されるので結果に応じて以下の処理を行う。
・検索ミスヒット時（検索失敗）：ＩＰＳＡの値をＩＰＳＡ毎ＩＣＭＰ監視テーブル内に書き込み、エントリを新規に作成する。→ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＣＭＰフレームカウンタを‘１’にする（初回のみ）。
・検索ヒット時（検索成功）：ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内にエントリ毎にアロケートされたＩＰＳＡ毎ＩＣＭＰフレームカウンタをアップする（２回目以降は前値に＋‘１’）。図１８にアタックＩＰＳＡ毎ＩＣＭＰ監視テーブルの構成を示す。

ＩＰｖ４ＩＣＭＰフレームアタックの検出について
前述の（４）“ＩＰｖ４ＩＣＭＰフレームアタック監視について”で述べた２つの項の検出手法を説明する。
項１：リンク帯域超過検出（受信流量監視部１１で計測する値を監視し、フレームの流量が監視閾値を超過していたらアタック攻撃と判定する。）
項２：ＩＰＳＡ毎ＩＣＭＰ統計検出（検索ヒット時（検索成功）、ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内のエントリナンバに対応するＩＰＳＡ毎ＩＣＭＰフレームカウントテーブルを読み出す。→読み出し値と予め設定されたフレームカウント閾値を比較する。読み出し値に＋‘１’してＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内に格納する。→比較の結果、読み出し値が大きければアタック状態検出としてアラート（割り込み）を制御部１３に通知する（障害通知）。→制御部１３では割り込みを検出したら異常トラヒック除去装置の制御画面にアタック状態発生を表示し、オペレータに通知する。

ＩＰｖ４ＩＣＭＰフレームアタックの統計について
ＩＰｖ４ＩＣＭＰフレームアタックの統計情報の処理を以下に示す。
項１：ＩＣＭＰフレームカウント数（ＩＰＳＡ毎ＩＣＭＰフレームカウント数をアタック監視部５内のＩＰＳＡ毎ＩＣＭＰフレームカウントテーブルから抽出し、アタック統計部７内のＩＣＭＰ統計部で継続してフレームカウントを実施する。このフレームカウントの動作は、レジスタで実施する。それらを異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。）
項２：ＩＣＭＰフレームＩＰＳＡ値（カウント値が一番多いＩＰＳＡの値をアタック統計部７内のレジスタへ抽出する。それを異常トラヒック除去装置の制御画面に表示し、オペレータに通知する。）

ＩＰｖ４ＩＣＭＰフレームアタックの遮断判定について
ＩＰｖ４ＩＣＭＰフレームアタックの統計情報を基に遮断実行を判断する。以下に遮断対象特定の処理を説明する。フレーム解析部３内の遮断対象統計部にて以下を実行する。
ａ）ＩＣＭＰフレーム数カウント
ｂ）ＩＣＭＰバイト数カウント
↓
ｃ）フレーム数、バイト数から帯域を算出する。
異常トラヒック除去装置の制御画面に帯域として表示（オペレータに通知）する。オペレータはＩＣＭＰフレームの帯域を認識し、帯域を制御画面よりエントリする。

ＩＰｖ４ＩＣＭＰフレームアタックの遮断について
ＩＰｖ４ＩＣＭＰフレームアタックの遮断判定を基に遮断を実行する。以下に遮断の処理を説明する。
（１）ＩＰｖ４ＩＣＭＰアタックフレームのフィルタリングについて、フレーム解析部３では以下の流れでＩＰｖ４ＩＣＭＰアタックフレームの特定を行う。
［オペレータが遮断実行の帯域を制御画面よりエントリする。］→［受信するフレームからＩＣＭＰフレームを識別する（フィルタリング）。］→［フィルタリングにマッチしたフレームに対してフラグを付加してフレーム遮断部８へ伝送する。］
（２）ＩＰｖ４ＩＣＭＰアタックフレームの遮断方法について、フレーム遮断部８内にストア＆フォワード方式のフレームバッファを実装し、フレームのストアを完了する際にフレームの登録、廃棄を決定する。ＩＰｖ４ＩＣＭＰアタックフレームにフラグが付加されていた場合は、フレームの登録を行わず廃棄を行うことで遮断を実現する。
（３）遮断対象となるＩＣＭＰフレームの通過率について、通過率はオペレータが異常トラヒック除去装置の制御画面よりエントリした帯域より算出する。フラグが付加されたループフレームにおいて、実際に送信したバイト数をフレーム単位で加算し、１００ｍｓ間に送信したバイト数が閾値（通過率）を超えた時点から送信を停止することで１００ｍｓ間内での送信バイト数を抑制する。超過するバイト数が発生するが、次の１００ｍｓ間でのバイト数として加算することにより、平均値として帯域を制限する。

ＩＰＳＡ毎ＩＣＭＰ監視テーブルのパージ周期と監視周期、遮断周期について
常に最新のネットワークを監視するために、ＩＰＳＡ毎ＩＣＭＰ監視テーブルを定期的にパージする。以下にその流れを示す。
［定期的に（例：３０秒）ＩＰＳＡ毎ＩＣＭＰ監視テーブル（例：各３２Ｋワード）に対してパージコマンドを発行する。］→［アタック監視部５では、ＩＰＳＡ毎ＩＣＭＰ監視テーブルに対してパージを実行する。］→［パージコマンドが発行されると、エントリは全て無効になる。］→［パージが完了するとＩＰＳＡ毎ＩＣＭＰ監視テーブルの０番地から新規に各検索キーワードがエントリされ、ＩＰＳＡ毎ＩＣＭＰフレームカウントテーブル内のフレームカウントも‘１’からカウントする。］
図２１（ｂ）に示すように、（Ａ）の時間で監視、統計情報を基に遮断対象の統計と特定を実行する。（Ｂ）の時間でオペレータがエントリした帯域を基に遮断を実行する。パージとパージの間で監視、統計を行い、次の周期で遮断を実行する。

（付記１）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
複数ポートから受信したＭＡＣフレームのＦＣＳ(Frame Check Sequence)フィールドを検索エンジン部に書き込む手段と、同一のＦＣＳ値を有するＭＡＣフレームの受信フレーム数をカウントし、該同一のＦＣＳ値を有するＭＡＣフレームの一定期間の受信フレーム数が予め設定された閾値以上となった場合に、ネットワークがループ状態に陥ったと判定するループ監視・検出手段と、を備えたことを特徴とする異常トラヒック除去装置。
（付記２）前記ループ監視・検出手段によりネットワークのループ状態を検出したとき、前記同一のＦＣＳ値を有するＭＡＣネットフレームを異常トラヒック除去装置内で遮断し、支線ネットワークからコアネットワークへの上流方向及びコアネットワークから支線ネットワークへの下流方向に、ループの発生を伝播させないループ遮断手段を備えたことを特徴とする付記１に記載の付記１の異常トラヒック除去装置。
（付記３）前記ループ遮断手段において、ハードウェア又はソフトウェアの自律動作で遮断を実行する自動モードと、異常トラヒック除去装置を制御するオペレータが介在して遮断を実行する手動モードとを選択するループ遮断モード選択手段を備えたことを特徴とする付記２に記載の異常トラヒック除去装置。
（付記４）前記ループ遮断手段において、遮断するフレームを、異常トラヒック除去装置を通過する全フレーム、又は前記ループ監視・検出手段を用いて検出されたループ状態フレームから選択するループ遮断対象選択手段を備えたことを特徴とする付記２に記載の異常トラヒック除去装置。
（付記５）前記ループ遮断対象選択手段において、遮断対象にループ状態フレームを選択した場合に、前記ループ監視・検出手段を用いて閾値超過を検出したループ状態フレームを、閾値超過以降遮断するループ閾値超過遮断手段を備えたことを特徴とする付記４に記載の異常トラヒック除去装置。
（付記６）前記ループ遮断対象選択手段において、遮断対象にループ状態フレームを選択した場合に前記ループ監視・検出手段を用いて閾値超過を検出したループ状態フレームの帯域を制限するループ帯域制限手段を備えたことを特徴とする付記４に記載の異常トラヒック除去装置。
（付記７）前記ループ監視・検出手段において、閾値を超過したＦＣＳエントリ数、閾値を超過したＦＣＳエントリ毎のループ状態フレームカウント数、閾値を超過したＦＣＳエントリのループ状態フレームカウント数の総和を表示するループ統計情報表示手段を備えたことを特徴とする付記１に記載の異常トラヒック除去装置。
（付記８）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
ネットワークから受信したＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号フィールドを検索エンジン部に書き込む手段と、同一のＴＣＰ／ＵＤＰ宛先ポート番号を有するＩＰｖ４フレームの受信フレーム数をカウントし、ＴＣＰ／ＵＤＰ宛先ポート番号別の統計処理を行うアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段とを備えたことを特徴とする異常トラヒック除去装置。
（付記９）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
ネットワークから受信したＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号フィールド、Ｐｒｏｔｏｃｏｌフィールド及びＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＴＣＰ／ＵＤＰ宛先ポート番号フィールド、Ｐｒｏｔｏｃｏｌフィールド及びＩＰＳＡフィールドを有するＩＰｖ４フレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＴＣＰ／ＵＤＰ宛先ポート番号別の統計処理を行うアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段とを備えたことを特徴とする異常トラヒック除去装置。
（付記１０）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
ネットワークから受信したＩＰｖ４フレームのＩＰＤＡフィールド及びＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＤＡフィールド及びＩＰＳＡフィールドを有するＩＰｖ４フレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＩＰ宛先数の統計処理を行うアタックＩＰＳＡ毎ＩＰ宛先数統計手段とを備えたことを特徴とする異常トラヒック除去装置。
（付記１１）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
ネットワークから受信したＡＲＰフレームのＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＳＡフィールドを有するＡＲＰフレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＡＲＰフレーム数の統計処理を行うアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段とを備えたことを特徴とする異常トラヒック除去装置。
（付記１２）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
ネットワークから異常トラヒック除去装置内に受信したＩＣＭＰフレームのＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＳＡフィールドを有するＩＣＭＰフレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＩＣＭＰフレーム数の統計処理を行うアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段とを備えたことを特徴とする異常トラヒック除去装置。
（付記１３）ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
複数ポートから受信したＭＡＣフレームのトラヒック流量が予め設定された閾値帯域未満であるか、前記付記８のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記付記９のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記付記１０のアタックＩＰＳＡ毎ＩＰ宛先数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記付記１１のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、又は前記付記１２のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるかを監視する手段と、
前記トラヒック流量又は各統計手段で計測したフレーム数の何れかが、一定期間、閾値以上を継続した場合にアタック行為による異常トラヒックと判定するアタック監視・検出手段とを備えたことを特徴とする異常トラヒック除去装置。
（付記１４）
付記８のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段において、受信フレームカウントの上位から所定数のＴＣＰ／ＵＤＰ宛先ポート番号、ＴＣＰ／ＵＤＰ宛先ポート番号毎の受信フレーム数及びＴＣＰ／ＵＤＰ宛先ポート番号毎のＩＰＳＡ値を抽出するアタックＩＰｖ４フレーム統計手段を備えたことを特徴とする異常トラヒック除去装置。
（付記１５）
付記１１のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段において、受信フレーム数カウント及びＩＰＳＡ値を抽出するアタックＡＲＰフレーム統計手段を備えたことを特徴とする異常トラヒック除去装置。
（付記１６）
付記１２のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段において、受信フレーム数カウント及びＩＰＳＡ値を抽出するアタックＩＣＭＰフレーム統計手段を備えたことを特徴とする異常トラヒック除去装置。
（付記１７）
付記１４のアタックＩＰｖ４フレーム統計手段において、抽出した情報を解析し、遮断対象のＴＣＰ／ＵＤＰ宛先ポート番号を決定するアタックＩＰｖ４フレーム遮断対象決定手段を備えたことを特徴とする異常トラヒック除去装置。
（付記１８）
付記１７のアタックＩＰｖ４遮断対象決定手段において、遮断対象となったＴＣＰ／ＵＤＰ宛先ポート番号を有するＩＰｖ４フレームの受信フレーム数、受信バイト数の統計処理を行い、通過率を決定するアタックＩＰｖ４フレーム通過率決定手段を備えたことを特徴とする異常トラヒック除去装置。
（付記１９）
付記１８のアタックＩＰｖ４フレーム通過率決定手段において、設定された通過率分のＩＰｖ４アタックフレームを通過させるアタックＩＰｖ４フレーム帯域制限手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２０）
付記１５のアタックＡＲＰフレーム統計手段において、抽出した情報を解析し、ＡＲＰフレームを遮断対象と決定するアタックＡＲＰフレーム遮断決定手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２１）
付記２０のアタックＡＲＰ遮断決定手段において、遮断対象となったＡＲＰフレームの受信フレーム数及び受信バイト数の統計処理を行い、通過率を決定するアタックＡＲＰフレーム通過率決定手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２２）
付記２１のアタックＡＲＰフレーム通過率決定手段において、設定された通過率分のＡＲＰアタックフレームを通過させるアタックＡＲＰフレーム帯域制限手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２３）
付記１６のアタックＩＣＭＰフレーム統計手段において、抽出した情報を解析し、ＩＣＭＰフレームを遮断対象と決定するアタックＩＣＭＰフレーム遮断決定手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２４）
付記２３のアタックＩＣＭＰ遮断決定手段において、遮断対象となったＩＣＭＰフレームの受信フレーム数、受信バイト数の統計処理を行い、通過率を決定するアタックＩＣＭＰフレーム通過率決定手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２５）
付記２４のアタックＩＣＭＰフレーム通過率決定手段において、設定された通過率分のＩＣＭＰアタックフレームを通過させるアタックＩＣＭＰフレーム帯域制限手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２６）
付記１４のアタックＩＰｖ４フレーム統計手段において、抽出したＩＰＳＡ情報を解析し、アタックＩＰｖ４フレームのアタック元を表示するアタックＩＰｖ４フレームアタック要因表示手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２７）
付記１５のアタックＡＲＰフレーム統計手段において、抽出したＩＰＳＡ情報を解析し、アタックＡＲＰフレームのアタック元を表示するアタックＡＲＰフレームアタック要因表示手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２８）
付記１６のアタックＩＣＭＰフレーム統計手段において、抽出したＩＰＳＡ情報を解析し、アタックＩＣＭＰフレームのアタック元を表示するアタックＩＣＭＰフレームアタック要因表示手段を備えたことを特徴とする異常トラヒック除去装置。
（付記２９）
付記１９、付記２２又は付記２５のアタック帯域制限手段において、ハードウェア又はソフトウェアの自律動作で帯域制限を実行する自動モードと、異常トラヒック除去装置を制御するオペレータが介在して帯域制限を実行する手動モードとを選択するアタック遮断モード選択手段を備えたことを特徴とする異常トラヒック除去装置。
（付記３０）
付記１のループ監視・検出手段、付記８のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段、付記９のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段、付記１０のアタックＩＰＳＡ毎ＩＰ宛先数統計手段、付記１１のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段、又は付記１２のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段において、付記１と付記８と付記９と付記１０のカウント及び各統計処理の平行処理、付記１と付記１１のカウント及び統計処理の平行処理、付記１と付記１２のカウント及び統計処理の平行処理、又は付記８と付記９と付記１０の各統計処理の平行処理を行うループ・アタック統計手段を備えたことを特徴とする異常トラヒック除去装置。
（付記３１）
付記１のループ監視・検出手段、付記８のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段、付記９のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段、付記１０のアタックＩＰＳＡ毎ＩＰ宛先数統計手段、付記１１のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段、又は付記１２のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段において、検索エンジン内の監視テーブルのエントリが書き込んである部分をパージし、監視対象を定期的に更新する監視テーブルパージ手段を備えたことを特徴とする異常トラヒック除去装置。
（付記３２）
付記３１の監視テーブルパージの間に、付記８のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段、付記１１のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段、又は付記１２のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段を用いて統計処理を行い、遮断する対象を決定し、次の監視テーブルパージ後に遮断を実施する監視・遮断平行実行手段を備えたことを特徴とする異常トラヒック除去装置。
（付記３３）
ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
ループ状態フレームの監視・検出、統計若しくは遮断、ＩＰｖ４ＴＣＰ／ＵＤＰアタックフレームの監視・検出、統計若しくは遮断、ＩＰｖ４ＡＲＰアタックフレームの監視・検出、統計若しくは遮断、又は、ＩＰｖ４ＩＣＭＰアタックフレームの監視・検出、統計若しくは遮断を、物理ポート番号毎に行う分割モードと、物理ポート番号ごとに分けずに行う共有モードとから選択して実行するループ・アタック物理ポートモード選択手段を備えたことを特徴とする異常トラヒック除去装置。

本発明による異常トラヒック除去装置の全体構成を示す図である。 本発明によるループ除去フローチャートである。 本発明によるアタック除去フローチャートである。 ツリー構成のネットワーク及びループ状態の一例を示す図である。 本発明の異常トラヒック除去装置の適用例を示す図である。 ＩＰｖ４フレームフォーマット（ＶＬＡＮ＿Ｔａｇ無し）を示す図である。 ＩＰｖ４フレームフォーマット（ＶＬＡＮ＿Ｔａｇ有り）を示す図である。 ＡＲＰフレームフォーマット（ＶＬＡＮ＿Ｔａｇ無し）を示す図である。 ＡＲＰフレームフォーマット（ＶＬＡＮ＿Ｔａｇ有り）を示す図である。 ＩＣＭＰフレームフォーマット（ＶＬＡＮ＿Ｔａｇ無し）を示す図である。 ＩＣＭＰフレームフォーマット（ＶＬＡＮ＿Ｔａｇ有り）を示す図である。 本発明による検索キーワード構成を示す図である。 本発明によるループ監視テーブルの構成及びＦＣＳフレームカウントテーブルを示す図である。 本発明によるアタックＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルの構成を示す図である。 本発明によるアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号監視テーブルの構成を示す図である。 本発明によるアタックＩＰＳＡ毎ＩＰ宛先数監視テーブルの構成を示す図である。 本発明によるアタックＩＰＳＡ毎ＡＲＰ監視テーブルの構成を示す図である。 本発明によるアタックＩＰＳＡ毎ＩＣＭＰ監視テーブル構成を示す図である。 本発明における受信フレームの妥当性検査等を示す図である。 本発明における検索キーワード抽出等を示す図である。 本発明におけるループフレームの遮断の組合せ等を示す図である。 本発明における検索コード生成等を示す図である。 本発明におけるプロトコル解析等を示す図である。

符号の説明

１ Ｐｏｒｔ０受信回路Ｉ／Ｆ部
２ Ｐｏｒｔ１受信回路Ｉ／Ｆ部
３ フレーム解析部
４ ループ監視部
５ アタック監視部
６ ループ検出部
７ アタック統計部
８ フレーム遮断部
９ Ｐｏｒｔ０送信回線Ｉ／Ｆ部
１０ Ｐｏｒｔ１送信回線Ｉ／Ｆ部
１１ 受信流量監視部
１２ 送信流量監視部
１３ 制御部

Claims (10)

1. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
   複数ポートから受信したＭＡＣフレームのＦＣＳ(Frame Check Sequence)フィールドを検索エンジン部に書き込む手段と、同一のＦＣＳ値を有するＭＡＣフレームの受信フレーム数をカウントし、該同一のＦＣＳ値を有するＭＡＣフレームの一定期間の受信フレーム数が予め設定された閾値以上となった場合に、ネットワークがループ状態に陥ったと判定するループ監視・検出手段と、を備えたことを特徴とする異常トラヒック除去装置。
2. 前記ループ監視・検出手段によりネットワークのループ状態を検出したとき、前記同一のＦＣＳ値を有するＭＡＣネットフレームを異常トラヒック除去装置内で遮断し、支線ネットワークからコアネットワークへの上流方向及びコアネットワークから支線ネットワークへの下流方向に、ループの発生を伝播させないループ遮断手段を備えたことを特徴とする請求項１に記載の異常トラヒック除去装置。
3. 前記ループ遮断手段において、ハードウェア又はソフトウェアの自律動作で遮断を実行する自動モードと、異常トラヒック除去装置を制御するオペレータが介在して遮断を実行する手動モードとを選択するループ遮断モード選択手段を備えたことを特徴とする請求項２に記載の異常トラヒック除去装置。
4. 前記ループ遮断手段において、遮断するフレームを、異常トラヒック除去装置を通過する全フレーム、又は前記ループ監視・検出手段を用いて検出されたループ状態フレームから選択するループ遮断対象選択手段を備えたことを特徴とする請求項２に記載の異常トラヒック除去装置。
5. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
   ネットワークから受信したＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号フィールドを検索エンジン部に書き込む手段と、同一のＴＣＰ／ＵＤＰ宛先ポート番号を有するＩＰｖ４フレームの受信フレーム数をカウントし、ＴＣＰ／ＵＤＰ宛先ポート番号別の統計処理を行うアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段とを備えたことを特徴とする異常トラヒック除去装置。
6. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
   ネットワークから受信したＩＰｖ４フレームのＴＣＰ／ＵＤＰ宛先ポート番号フィールド、Ｐｒｏｔｏｃｏｌフィールド及びＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＴＣＰ／ＵＤＰ宛先ポート番号フィールド、Ｐｒｏｔｏｃｏｌフィールド及びＩＰＳＡフィールドを有するＩＰｖ４フレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＴＣＰ／ＵＤＰ宛先ポート番号別の統計処理を行うアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段とを備えたことを特徴とする異常トラヒック除去装置。
7. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
   ネットワークから受信したＩＰｖ４フレームのＩＰＤＡフィールド及びＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＤＡフィールド及びＩＰＳＡフィールドを有するＩＰｖ４フレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＩＰ宛先数の統計処理を行うアタックＩＰＳＡ毎ＩＰ宛先数統計手段とを備えたことを特徴とする異常トラヒック除去装置。
8. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
   ネットワークから受信したＡＲＰフレームのＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＳＡフィールドを有するＡＲＰフレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＡＲＰフレーム数の統計処理を行うアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段とを備えたことを特徴とする異常トラヒック除去装置。
9. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
   ネットワークから異常トラヒック除去装置内に受信したＩＣＭＰフレームのＩＰＳＡフィールドを検索エンジン部に書き込む手段と、同一のＩＰＳＡフィールドを有するＩＣＭＰフレームの受信フレーム数をカウントし、ＩＰＳＡ毎のＩＣＭＰフレーム数の統計処理を行うアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段とを備えたことを特徴とする異常トラヒック除去装置。
10. ＭＡＣヘッダ部、ＩＰヘッダ部、ＩＰデータグラム部を含むフレームが伝送されるネットワークで発生する異常トラヒックを除去する装置において、
    複数ポートから受信したＭＡＣフレームのトラヒック流量が予め設定された閾値帯域未満であるか、前記請求項５のアタックＴＣＰ／ＵＤＰ宛先ポート番号別統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記請求項６のアタックＩＰＳＡ毎ＴＣＰ／ＵＤＰ宛先ポート番号別統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記請求項７のアタックＩＰＳＡ毎ＩＰ宛先数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、前記請求項８のアタックＩＰＳＡ毎ＡＲＰフレーム数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるか、又は前記請求項９のアタックＩＰＳＡ毎ＩＣＭＰフレーム数統計手段で計測したフレーム数が予め設定された閾値帯域未満であるかを監視する手段と、
    前記トラヒック流量又は各統計手段で計測したフレーム数の何れかが、一定期間、閾値以上を継続した場合にアタック行為による異常トラヒックと判定するアタック監視・検出手段とを備えたことを特徴とする異常トラヒック除去装置。

Images