(57)【要約】【課題】マルチベクタ型のＤＤｏＳ攻撃を検知する。【解決手段】記憶部１４が、ＤＤｏＳ攻撃の検知時刻と検知手法と攻撃属性と通信先とを含む攻撃情報を記憶する。抽出部１５ａが、攻撃情報の集合から、検知時刻、検知手法、攻撃属性および通信先に応じた攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する。抽出部１５ａは、攻撃情報の集合から、検知時刻の差が所定時間以内である、同一または異なる検知手法の同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同時発生攻撃として抽出する。抽出部１５ａは、検知時刻の差が所定時間より長い、同一または異なる検知手法の同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、間欠攻撃として抽出する。抽出部１５ａは、同一の標的に属する通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同一標的攻撃として抽出する。【選択図】図３
2020061705.tif 000002
【特許請求の範囲】
【請求項１】
ＤＤｏＳ攻撃の検知時刻と攻撃属性と通信先とを含む攻撃情報を記憶する記憶部と、
前記攻撃情報の集合から、検知時刻、攻撃属性および通信先に応じた前記攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する抽出部と、
を備えることを特徴とする検知装置。
【請求項２】
前記抽出部は、前記攻撃情報の集合から、検知時刻の差が所定時間以内である、同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同時発生攻撃として抽出することを特徴とする請求項１に記載の検知装置。
【請求項３】
前記抽出部は、前記攻撃情報の集合から、検知時刻の差が所定時間より長い、同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、間欠攻撃として抽出することを特徴とする請求項１に記載の検知装置。
【請求項４】
前記抽出部は、前記攻撃情報の集合から、同一の標的に属する通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同一標的攻撃として抽出することを特徴とする請求項１に記載の検知装置。
【請求項５】
前記攻撃情報は、検知手法、攻撃規模および継続時間をさらに含み、
前記攻撃情報の検知手法、攻撃規模または継続時間を用いて、抽出された前記攻撃情報の組み合わせの危険度を算出する算出部をさらに備えることを特徴とする請求項１に記載の検知装置。
【請求項６】
ＤＤｏＳ攻撃の検知時刻と攻撃属性と通信先とを含む攻撃情報を記憶する記憶部を備える検知装置で実行される検知方法であって、
前記記憶部を参照し、前記攻撃情報の集合から、検知時刻、攻撃属性および通信先に応じた前記攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する抽出工程を含んだことを特徴とする検知方法。
【請求項７】
ＤＤｏＳ攻撃の検知時刻と攻撃属性と通信先とを含む攻撃情報を記憶する記憶部を参照し、前記攻撃情報の集合から、検知時刻、攻撃属性および通信先に応じた前記攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する抽出ステップをコンピュータに実行させるための検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知装置、検知方法および検知プログラムに関する。
【背景技術】
【０００２】
従来、ＤＤｏＳ攻撃（Distributed  Denial  of  Service）の検知手法が知られている。例えば、送信元詐称攻撃を検知するＢａｃｋＳｃａｔｔｅｒ（非特許文献１参照）、リフレクション攻撃を検知するＨｏｎｅｙＰｏｔ（非特許文献２参照）、ボリューム型攻撃を検知するｘＦｌｏｗ（非特許文献３参照）等が知られている。
【０００３】
近年は、複数のＤＤｏＳ攻撃を組み合わせたマルチベクタ型のＤＤｏＳ攻撃が脅威となっている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】“Worldwide  Detection  of  Denial  of  Service  (DoS)  Attack”、[online]、2001年8月、[2018年9月7日検索]、インターネット＜URL:https://www.caida.org/publications/presentations/usenix0108/dos/dos.pdf＞
【非特許文献２】“AmpPot:  Monitoring  and  Defending  Against  Amplification  DDoS  Attacks”、[online]、[2018年9月7日検索]、インターネット＜URL:https://christian-rossow.de/publications/amppot-raid2015.pdf＞
【非特許文献３】“DDoS対策最新動向”、[online]、2017年11月、NTT  Communications  Corpration、[2018年9月7日検索]、インターネット＜URL:https://www.nic.ad.jp/ja/materials/iw/2017/proceedings/s06/s6-nishizuka.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、単一のＤＤｏｓ攻撃を検知する従来の技術では、マルチベクタ型のＤＤｏＳ攻撃を検知することが困難であった。そのため、マルチベクタ型のＤＤｏＳ攻撃の実態を把握できず、適切に防御することが困難であった。
【０００６】
本発明は、上記に鑑みてなされたものであって、マルチベクタ型のＤＤｏＳ攻撃を検知することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明に係る検知装置は、ＤＤｏＳ攻撃の検知時刻と攻撃属性と通信先とを含む攻撃情報を記憶する記憶部と、前記攻撃情報の集合から、検知時刻、攻撃属性および通信先に応じた前記攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する抽出部と、を備えることを特徴とする。
【発明の効果】
【０００８】
本発明によれば、マルチベクタ型のＤＤｏＳ攻撃を検知することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、本実施形態の検知装置の処理概要を説明するための図である。
【図２】図２は、本実施形態の検知装置の処理概要を説明するための図である。
【図３】図３は、本実施形態の検知装置の概略構成を例示する模式図である。
【図４】図４は、単一ＤＤｏＳ攻撃検知情報のデータ構成を例示する図である。
【図５】図５は、抽出部の処理を説明するための図である。
【図６】図６は、抽出部の処理を説明するための図である。
【図７】図７は、検知処理手順を示すフローチャートである。
【図８】図８は、検知処理手順を示すフローチャートである。
【図９】図９は、検知処理手順を示すフローチャートである。
【図１０】図１０は、検知プログラムを実行するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１１】
［処理概要］
図１および図２は、本実施形態の検知装置の処理概要を説明するための図である。本実施形態の検知装置は、検知された単一のＤＤｏＳ攻撃の情報を用いて、マルチベクタ型のＤＤｏＳ攻撃の検知を行なう。
【００１２】
図１に示す単一ＤＤｏＳ攻撃検知情報１４ａは、各種の検知手法で検知された単一のＤＤｏＳ攻撃の情報の集合である。単一のＤＤｏＳ攻撃の検知手法には、図１に示すように、ＤＤｏＳ攻撃背景トラヒック検知とＤＤｏＳ攻撃検知とがある。
【００１３】
ＤＤｏＳ攻撃背景トラヒック検知とは、例えばスパムメール等のような、ＤＤｏＳ攻撃の背景となるトラヒックを検知する手法であり、ＢａｃｋＳｃａｔｔｅｒやＨｏｎｅｙｐｏｔ等が例示される。ＢａｃｋＳｃａｔｔｅｒは、送信元を詐称してリターンメールを発信させる送信元詐称攻撃を検知する。Ｈｏｎｅｙｐｏｔは、要求に対する応答を標的のサーバに反射させるリフレクション攻撃を検知する。
【００１４】
ＤＤｏＳ攻撃検知とは、ＤＤｏＳ攻撃そのものを検知する手法であり、ｘＦｌｏｗ等が例示される。ｘＦｌｏｗは、大量のトラヒックにより標的のサーバ等を停止に追い込むボリューム型攻撃を検知する。
【００１５】
また、図２に示すように、検知手法ごとに検知する攻撃の攻撃属性が異なる。例えば、図２（ａ）に示すように、ＢａｃｋＳｃａｔｔｅｒで検知する攻撃の攻撃属性には、ＴＣＰ  ＳＹＮ  Ｓｐｏｏｆｅｄ、ＴＣＰ  ＲＳＴ  Ｓｐｏｏｆｅｄ、ＴＣＰ  ＦＩＮ  Ｓｐｏｏｆｅｄ、ＵＤＰ  Ｓｐｏｏｆｅｄ等と呼ばれるものがある。なお、これらの攻撃属性には、攻撃先ポート番号が付帯される。
【００１６】
また、Ｈｏｎｅｙｐｔで検知する攻撃の攻撃属性には、ＮＴＰ  Ｒｅｆｌｅｃｔｉｏｎ、ＳＮＭＰ  Ｒｅｆｌｅｃｔｉｏｎ、ＤＮＳ  Ｒｅｆｌｅｃｔｉｏｎ等と呼ばれるものがある。
【００１７】
また、図２（ｂ）に示すように、ｘＦｌｏｗで検知する攻撃の攻撃属性には、ＴＣＰ  ＳＹＮ、ＴＣＰ  ＲＳＴ、ＴＣＰ  ＦＩＮ等と呼ばれるものがある。なお、これらの攻撃属性には、攻撃先ポート番号が付帯される。
【００１８】
本実施形態の検知装置１０は、上記のような各種の検知手法により検知された単一のＤＤｏＳ攻撃の複数の攻撃情報を、検知時刻、攻撃属性、通信先（攻撃先）等に応じて組み合わせることにより、マルチベクタ型のＤＤｏＳ攻撃の発生を検知する。
【００１９】
例えば、検知装置１０は、同時発生攻撃、間欠攻撃、あるいは同一標的攻撃のいずれかの発生を検知する。同時発生攻撃とは、同一の通信先に属性の異なる攻撃が同時に発生するマルチベクタ型ＤＤｏＳ攻撃である。間欠攻撃とは、同一の通信先に属性の異なる攻撃が間欠的に発生するマルチベクタ型ＤＤｏＳ攻撃である。また、同一標的攻撃とは、同一のＷｅｂアプリケーション等の同一の標的に対する属性の異なる攻撃が発生するマルチベクタ型ＤＤｏＳ攻撃である。
【００２０】
また、検知装置１０は、各攻撃情報の攻撃規模や継続時間等を用いて、検知したマルチベクタ型ＤＤｏＳ攻撃の危険度を算出する。検知装置は、検知したマルチベクタ型のＤＤｏＳ攻撃の実態を、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂとして蓄積する。
【００２１】
［検知装置の構成］
図３は、本実施形態の検知装置の概略構成を例示する模式図である。図３に例示するように、検知装置１０は、パソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。
【００２２】
入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置等によって実現される。
【００２３】
通信制御部１３は、ＮＩＣ（Network  Interface  Card）等で実現され、ＬＡＮ（Local  Area  Network）やインターネットなどの電気通信回線を介した外部の装置と制御部１５との通信を制御する。
【００２４】
記憶部１４は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、後述する検知処理により作成されたバッチ等が記憶される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。
【００２５】
本実施形態において、記憶部１４には、単一ＤＤｏＳ攻撃検知情報１４ａと、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂとが記憶される。単一ＤＤｏＳ攻撃検知情報１４ａの各レコードは、単一のＤＤｏＳ攻撃の検知時刻と攻撃属性と通信先とを含む攻撃情報である。
【００２６】
具体的には、図４は、単一ＤＤｏＳ攻撃検知情報１４ａのデータ構成を例示する図である。図４に示すように、単一ＤＤｏＳ攻撃検知情報１４ａの各攻撃情報は、ＤＤｏＳ攻撃を識別するＳＩＤ、検知時刻、検知手法、攻撃属性、通信先、攻撃規模、継続時間およびステータスを含む。図４には、ステータスが終了である、終了した単一のＤＤｏＳ攻撃の攻撃情報と、ステータスが継続である、継続中の単一のＤＤｏＳ攻撃の攻撃情報が例示されている。
【００２７】
ここで、攻撃規模は、攻撃に用いられたリンクの太さ等に応じて推定されるＤＤｏＳ攻撃の規模を表し、平均値（avg  pps）と想定される最大値（max  pps）とが特定されている。また、継続時間は、ステータスが終了の場合は、検知時刻から終了時刻までの時間であり、ステータスが継続の場合は、検知時刻から現在時刻までの時間である。
【００２８】
マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂについては後述する。
【００２９】
制御部１５は、ＣＰＵ（Central  Processing  Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図３に例示するように、抽出部１５ａおよび算出部１５ｂとして機能する。なお、これらの機能部は、異なるハードウェアに実装されてもよい。
【００３０】
抽出部１５ａは、攻撃情報の集合から、検知時刻、攻撃属性および通信先に応じた単一ＤＤｏＳ攻撃検知情報１４ａの攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する。
【００３１】
具体的には、抽出部１５ａは、攻撃情報の集合である単一ＤＤｏＳ攻撃検知情報１４ａから、検知時刻の差が所定時間以内である、同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同時発生攻撃として抽出する。
【００３２】
なお、抽出部１５ａは、検知手法が異なっていても、攻撃属性が同一の攻撃情報は、組み合わせの対象とはしない。また、検知手法が同一でも、攻撃属性が異なる攻撃情報は、組み合わせの対象とする。
【００３３】
ここで、図５および図６は、抽出部１５ａの処理を説明するための図である。例えば、抽出部１５ａは、図４に示したＳＩＤがＳ１００１〜Ｓ１００４の攻撃情報について、通信先が同一であって、検知時刻の差が例えば３０秒以内の互いに異なる攻撃属性の攻撃情報であることから、同時発生攻撃として抽出する。
【００３４】
抽出部１５ａは、抽出したマルチベクタ型ＤＤｏＳ攻撃を、図５に示すように、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに蓄積する。図５に例示するマルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂは、マルチベクタ型ＤＤｏＳ攻撃を構成する単一のＤＤｏＳ攻撃の攻撃情報（図４参照）に、マルチベクタ型ＤＤｏＳ攻撃の情報を追加したものである。
【００３５】
図５に示す例において、マルチベクタ型ＤＤｏＳ攻撃の情報としては、ＭＩＤ、マルチベクタ型攻撃タイプ、通信先、標的、攻撃規模、継続時間、ステータスおよび危険度を含む。ＭＩＤはマルチベクタ型ＤＤｏＳ攻撃を識別する情報であり、マルチベクタ型攻撃タイプは、同時発生攻撃、間欠攻撃、または同一標的攻撃のいずれかを表す。標的については後述する。
【００３６】
マルチベクタ型ＤＤｏＳ攻撃の攻撃規模は、マルチベクタ型ＤＤｏＳ攻撃を構成する各攻撃情報の攻撃規模の和で表される。また、マルチベクタ型ＤＤｏＳ攻撃の継続時間は、各攻撃情報の検知時刻のうちの最も早い検知時刻から、現在時刻までの時間、または全ての単一ＤＤｏＳ攻撃が終了したマルチベクタ型ＤＤｏＳ攻撃終了時刻までの時間である。例えば、後述する算出部１５ｂが、攻撃規模、継続時間および後述する危険度を算出して、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに含める。
【００３７】
また、抽出部１５ａは、単一ＤＤｏＳ攻撃検知情報１４ａの攻撃情報の集合から、検知時刻の差が所定時間より長い、同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、間欠攻撃として抽出する。例えば、抽出部１５ａは、図４に示した攻撃情報のうち、ＳＩＤがＳ１００４の継続中の攻撃情報について、通信先が同一で過去に終了した、攻撃属性の異なるＳＩＤがＳ０００３の攻撃情報を抽出し、これらを間欠攻撃と判定している。
【００３８】
なお、間欠攻撃については、マルチベクタ型ＤＤｏＳ攻撃の継続時間は、マルチベクタ型ＤＤｏＳ攻撃を構成する各攻撃情報の継続時間のうち、最も長いものとする。
【００３９】
また、抽出部１５ａは、単一ＤＤｏＳ攻撃検知情報１４ａの攻撃情報の集合から、同一の標的に属する通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同一標的攻撃として抽出する。例えば、通信先の異なる攻撃情報であっても、同一のＷｅｂアプリケーション等の同一の標的に属すると推定される場合に、抽出部１５ａが、同一標的攻撃を検知する場合がある。
【００４０】
ここで、図６には、異なる通信先が同一の標的に属することを推定する手法が例示されている。例えば、抽出部１５ａは、Ｐａｓｓｉｖｅ  ＤＮＳあるいはＤＮＳ逆引きと呼ばれる手法を用いて、通信先のＦＱＤＮ（Fully  Qualified  Domain  Name）を特定し、同一のＦＱＤＮの通信先を同一の標的に属すると推定する。あるいは、抽出部１５ａは、ＢＧＰ（Border  Gateway  Protocol）テーブルまたはＧｅｏＩＰを用いて通信先のＡＳ（Autonomous  System）番号を特定し、ＡＳ番号が同一の通信先を同一の標的に属すると推定する。あるいは、抽出部１５ａは、ＧｅｏＩＰを用いて通信先の組織を特定し、同一の組織に属する通信先を同一の標的に属すると推定する。
【００４１】
その場合に、抽出部１５ａは、同一の標的に属すると推定した通信先に対する、異なる攻撃属性の攻撃情報の組み合わせを、同一標的攻撃として抽出する。また、抽出部１５ａは、図５に示したように、抽出した攻撃情報の組み合わせと標的とを、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに蓄積する。
【００４２】
図３の説明に戻る。算出部１５ｂは、単一ＤＤｏＳ攻撃検知情報１４ａの攻撃情報の検知手法、攻撃規模または継続時間を用いて、抽出された攻撃情報の組み合わせの危険度を算出する。
【００４３】
例えば、算出部１５ｂは、抽出されたマルチベクタ型ＤＤｏＳ攻撃ごとに、上記のとおり、攻撃規模として、マルチベクタ型ＤＤｏＳ攻撃を構成する各攻撃情報の攻撃規模の和を算出する。また、算出部１５ｂは、マルチベクタ型ＤＤｏＳ攻撃の継続時間として、各攻撃情報の検知時刻のうちの最も早い検知時刻から、現在時刻までの時間、または全ての単一ＤＤｏＳ攻撃が終了した時刻すなわちマルチベクタ型ＤＤｏＳ攻撃終了時刻までの時間を算出する。
【００４４】
そして、算出部１５ｂは、マルチベクタ型ＤＤｏＳ攻撃の危険度として、例えば、抽出されたマルチベクタ型ＤＤｏＳ攻撃ごとに、次の項目Ａ〜Ｄを算出し、各項目Ａ〜Ｄの算出値の和を算出する。
【００４５】
Ａ＝検知手法数／全検知手法
【００４６】
Ｂ＝攻撃規模／予め想定される最大攻撃規模
【００４７】
Ｃ＝継続時間／予め想定される最大継続時間
【００４８】
Ｄ＝Ｍ＿Ｄ１（同時発生攻撃の場合）、Ｍ＿Ｄ２（間欠攻撃の場合）、Ｍ＿Ｄ３（同一標的攻撃の場合）
【００４９】
ここで、項目Ｄの各値Ｍ＿Ｄ１、Ｍ＿Ｄ２、Ｍ＿Ｄ３は、各攻撃タイプの想定される危険度に応じて予め設定された値である。また、項目Ａ、ＢおよびＣの値は、それぞれ所定の最大値（Ｍ＿Ａ、Ｍ＿Ｂ、Ｍ＿Ｃ）で正規化された値である。また、Ｍ＿Ａ、Ｍ＿Ｂ、およびＭ＿Ｃと、Ｍ＿Ｄ１、Ｍ＿Ｄ２、Ｍ＿Ｄ３のうちの最大値との和がＮ（例えば１０）になるように、予め設定される。
【００５０】
このように、算出部１５ｂが危険度を算出することにより、抽出されたマルチベクタ型ＤＤｏＳ攻撃の危険度が、検知手法数、攻撃規模、攻撃間隔、攻撃タイプ等に応じて、Ｎで正規化された値で定量化される。
【００５１】
算出部１５ｂは、図５に示したように、算出したマルチベクタ型ＤＤｏＳ攻撃の攻撃規模、継続時間および危険度を、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに蓄積する。
【００５２】
なお、危険度の定義は上記に限定されない。例えば、算出部１５ｂは、上記項目Ａ〜Ｄの一部を用いて危険度を定義して値を算出してもよい。
【００５３】
［検知処理］
次に、図７〜図９を参照して、本実施形態に係る検知装置１０による検知処理について説明する。図７〜図９は、検知処理手順を示すフローチャートである。各図のフローチャートは、例えば、ユーザが処理の開始を指示する操作入力を行ったタイミングで開始される。
【００５４】
まず、図７には、同時発生攻撃の検知処理手順が示されている。まず、抽出部１５ａは、単一ＤＤｏＳ攻撃検知情報１４ａから、継続中または一定時間以内に終了した攻撃情報を処理対象として抽出する（ステップＳ１）。
【００５５】
抽出部１５ａは、継続中の攻撃情報を選択し、選択した継続中の攻撃情報と同一の通信先（ＤｓｔＩＰ）に対して異なる攻撃属性の攻撃情報があるか、すなわち、同時発生攻撃が発生しているかを確認する（ステップＳ２）。
【００５６】
ステップＳ２の処理において、該当する攻撃情報がない場合には（ステップＳ２、Ｎｏ）、抽出部１５ａは、マルチベクタ型ＤＤｏＳ攻撃が終了したものと判定し（ステップＳ３）、ステップＳ７に処理を進める。
【００５７】
一方、ステップＳ２の処理において、該当する攻撃情報がある場合には（ステップＳ２、Ｙｅｓ）、抽出部１５ａは、継続中の攻撃情報が単一のＤＤｏＳ攻撃かを確認する（ステップＳ４）。単一のＤＤｏＳ攻撃である場合には（ステップＳ４、Ｙｅｓ）、抽出部１５ａは、２つのＤＤｏＳ攻撃で構成されるマルチベクタ型ＤＤｏＳ攻撃を検知したものとして（ステップＳ５）、ステップＳ７に処理を進める。
【００５８】
または、単一のＤＤｏＳ攻撃ではない場合には（ステップＳ４、Ｎｏ）、抽出部１５ａは、継続中の攻撃情報を含む既存のマルチベクタ型ＤＤｏＳ攻撃に新たに追加する攻撃情報を検知したものとして（ステップＳ６）、ステップＳ７に処理を進める。
【００５９】
ステップＳ７の処理では、抽出部１５ａが、マルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂの更新を行う。その後、抽出部１５ａは、全ての継続中の攻撃情報について、上記の処理を行ったかを確認する（ステップＳ８）。全ての継続中の攻撃情報について上記の処理を行っていない場合には（ステップＳ８、Ｎｏ）、抽出部１５ａは、ステップＳ２に処理を戻す。一方、全ての継続中の攻撃情報についての処理を行った場合には（ステップＳ８、Ｙｅｓ）、抽出部１５ａは、一連の検知処理を終了し、一定時間のスリープ（ステップＳ９）の後にステップＳ１に処理を戻す。
【００６０】
これにより、抽出部１５ａは、マルチベクタ型ＤＤｏＳ攻撃のうち、同時発生攻撃を検知して、検知した情報をマルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに蓄積する。
【００６１】
また、図８には、間欠攻撃の検知処理手順が示されている。図８の処理は、図７とは、ステップＳ２の処理に置き換えてステップＳ２１の処理を行う点が異なる。その他の処理は図７と同様であるので、説明を省略する。
【００６２】
ステップＳ２１の処理では、抽出部１５ａが、継続中の攻撃情報を選択し、選択した継続中の攻撃情報と同一の通信先（ＤｓｔＩＰ）に対して、一定時間以上の過去に異なる攻撃属性の攻撃情報があるか、すなわち、間欠攻撃が発生しているかを確認する。
【００６３】
これにより、抽出部１５ａは、マルチベクタ型ＤＤｏＳ攻撃のうち、間欠攻撃を検知して、検知した情報をマルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに蓄積する。
【００６４】
また、図９には、同一標的攻撃の検知処理手順が示されている。図９の処理は、図７とは、ステップＳ２の処理に置き換えてステップＳ２２の処理を行う点が異なる。その他の処理は図７と同様であるので、説明を省略する。
【００６５】
ステップＳ２２の処理では、抽出部１５ａが、継続中の攻撃情報を選択し、選択した継続中の攻撃情報と同一の標的に属する通信先（ＤｓｔＩＰ）に対して、異なる攻撃属性の攻撃情報があるか、すなわち、同一標的攻撃が発生しているかを確認する。
【００６６】
これにより、抽出部１５ａは、マルチベクタ型ＤＤｏＳ攻撃のうち、同一標的攻撃を検知して、検知した情報をマルチベクタ型ＤＤｏＳ攻撃検知情報１４ｂに蓄積する。
【００６７】
以上、説明したように、本実施形態の検知装置１０において、記憶部１４が、ＤＤｏＳ攻撃の検知時刻と攻撃属性と通信先とを含む攻撃情報を記憶する。抽出部１５ａが、攻撃情報の集合から、検知時刻、攻撃属性および通信先に応じた攻撃情報の組み合わせを、同時発生攻撃、間欠攻撃、または同一標的攻撃として抽出する。
【００６８】
例えば、抽出部１５ａは、攻撃情報の集合から、検知時刻の差が所定時間以内である、同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同時発生攻撃として抽出する。また、抽出部１５ａは、攻撃情報の集合から、検知時刻の差が所定時間より長い、同一の通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、間欠攻撃として抽出する。また、抽出部１５ａは、攻撃情報の集合から、同一の標的に属する通信先に対する異なる攻撃属性の攻撃情報の組み合わせを、同一標的攻撃として抽出する。
【００６９】
これにより、検知装置１０は、検知された単一のＤＤｏＳ攻撃の攻撃情報を用いて、マルチベクタ型のＤＤｏＳ攻撃を検知することができる。したがって、マルチベクタ型のＤＤｏＳ攻撃の実態を把握して、適切に防御することが可能となる。
【００７０】
また、記憶部１４の攻撃情報は、攻撃規模および継続時間をさらに含み、算出部１５ｂが、攻撃情報の検知手法、攻撃規模または継続時間を用いて、抽出された前記攻撃情報の組み合わせの危険度を算出する。これにより、検知装置１０は、マルチベクタ型ＤＤｏＳ攻撃の危険度を、検知手法数、攻撃規模、攻撃間隔、攻撃タイプ等に応じて定量化することができる。したがって、マルチベクタ型ＤＤｏＳ攻撃の実態をより具体的に把握して、より適切に防御することが可能となる。
【００７１】
［プログラム］
上記実施形態に係る検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、検知装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）などの移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistants）などのスレート端末などがその範疇に含まれる。また、検知装置１０の機能を、クラウドサーバに実装してもよい。
【００７２】
図１０は、検知プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００７３】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
【００７４】
ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
【００７５】
また、検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した検知装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００７６】
また、検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００７７】
なお、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００７８】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【００７９】
１０  検知装置
１１  入力部
１２  出力部
１３  通信制御部
１４  記憶部
１４ａ  単一ＤＤｏＳ攻撃検知情報
１４ｂ  マルチベクタ型ＤＤｏＳ攻撃検知情報
１５  制御部
１５ａ  抽出部
１５ｂ  算出部
【図１】
2020061705.tif 000003
【図２】
2020061705.tif 000004
【図３】
2020061705.tif 000005
【図４】
2020061705.tif 000006
【図５】
2020061705.tif 000007
【図６】
2020061705.tif 000008
【図７】
2020061705.tif 000009
【図８】
2020061705.tif 000010
【図９】
2020061705.tif 000011
【図１０】
2020061705.tif 000012