(57)【要約】【課題】多くのマシンリソースを使用せず、かつ検出精度を落とさずに、サービス不能攻撃の検出および攻撃経路の特定、攻撃元の制御を可能とする。【解決手段】監視対象のネットワークのパケットを検査し、宛先IPアドレス、攻撃の種類、上位ルータIPアドレスを含む攻撃情報を生成し、定期的に集約してコレクタに送信し、コレクタから制御依頼を受信してゲートウェイ装置を制御するエクスポータと、攻撃情報を受信し、送信元のエクスポータのIPアドレスを付加して格納し、与えられた宛先IPアドレスを監視対象のネットワークに含むエクスポータについて上位ルータIPアドレスを攻撃情報から取得した後、上位ルータを介して隣接するエクスポータについて上位ルータIPアドレスを攻撃情報から取得する処理を繰り返すことによって、エクスポータとゲートウェイ装置のIPアドレスのリストを生成して制御依頼を送信するコレクタと、を備える。【選択図】図１
2010239392.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムであって、
前記エクスポータは、
監視対象のネットワークにおいて予め定められた攻撃の種類に合致するパケットを検出するパケット検査部と、
前記検出されたパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を生成し、定期的に集約して前記コレクタに送信する攻撃情報管理部と、
前記コレクタからゲートウェイ装置の制御依頼を受信し、該ゲートウェイ装置を制御する制御部と、
を備え、
前記コレクタは、
前記集約された攻撃情報を前記エクスポータから受信し、送信元のエクスポータのIPアドレスを付加して攻撃情報として格納する攻撃情報管理部と、
与えられた宛先IPアドレスを監視対象のネットワークに含むエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得した後、IPアドレスを取得したゲートウェイ装置を介して隣接するエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得する処理を繰り返すことによって、エクスポータとゲートウェイ装置のIPアドレスのリストを生成する攻撃情報検索部と、
前記リストを用いてエクスポータにゲートウェイ装置の制御依頼を送信する制御部と、
を備えるサービス不能攻撃制御システム。 
【請求項２】
前記エクスポータの攻撃情報管理部が生成する攻撃情報は、該攻撃情報が生成された時刻および検出されたパケット数を含み、
前記エクスポータの攻撃情報管理部は、攻撃情報一時テーブルと攻撃情報テーブルとを備え、前記生成した攻撃情報を前記攻撃情報一時テーブルに格納し、前記攻撃情報一時テーブルに格納された攻撃情報を一定期間ごとに検査し、該攻撃情報に含まれる時刻が所定期間を経過していた場合であって、かつ、該攻撃情報に含まれるパケット数が攻撃の種類ごとに予め定められた閾値未満である場合は、該攻撃情報を前記攻撃情報一時テーブルから削除し、閾値以上である場合は、該攻撃情報を前記攻撃情報テーブルに転記して前記攻撃情報一時テーブルから削除し、前記攻撃情報テーブルに転記された攻撃情報を定期的に集約して前記コレクタに送信した後、該攻撃情報を前記攻撃情報テーブルから削除し、
前記コレクタの攻撃情報管理部は、前記集約された攻撃情報を前記エクスポータから受信し、送信元のエクスポータのIPアドレスを付加して攻撃情報として格納する攻撃情報管理テーブルを備える請求項１に記載のサービス不能攻撃制御システム。
【請求項３】
前記エクスポータの攻撃情報管理部が生成する攻撃情報は、該攻撃情報が生成された時刻および検出されたパケット数を含み、
前記エクスポータの攻撃情報管理部は、宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスが同一である攻撃情報について、最も早い時刻、最も遅い時刻、パケット数の合計値を定期的に集約して前記コレクタに送信する請求項１または２に記載のサービス不能攻撃制御システム。
【請求項４】
前記エクスポータの攻撃情報管理部が生成する攻撃情報は、検出されたパケット数を含み、
前記エクスポータの攻撃情報管理部は、前記パケット数が攻撃の種類ごとに予め定められた閾値以上である攻撃情報を定期的に集約して前記コレクタに送信する請求項１に記載のサービス不能攻撃制御システム。
【請求項５】
前記エクスポータの攻撃情報管理部が生成する攻撃情報は、該攻撃情報が生成された時刻を含み、
前記エクスポータの攻撃情報管理部は、前記時刻が所定期間を経過した攻撃情報を定期的に削除する請求項１に記載のサービス不能攻撃制御システム。
【請求項６】
ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムにおいて用いられる前記エクスポータであって、
監視対象のネットワークにおいて予め定められた攻撃の種類に合致するパケットを検出するパケット検査部と、
前記検出されたパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を生成し、定期的に集約して前記コレクタに送信する攻撃情報管理部と、
前記コレクタからゲートウェイ装置の制御依頼を受信し、該ゲートウェイ装置を制御する制御部と、
を備えるエクスポータ。
【請求項７】
ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムにおいて用いられる前記コレクタであって、
予め定められた攻撃の種類に合致したパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を前記エクスポータから受信し、送信元のエクスポータのIPアドレスを付加して攻撃情報として格納する攻撃情報管理部と、
与えられた宛先IPアドレスを監視対象のネットワークに含むエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得した後、IPアドレスを取得したゲートウェイ装置を介して隣接するエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得する処理を繰り返すことによって、エクスポータとゲートウェイ装置のIPアドレスのリストを生成する攻撃情報検索部と、
前記リストを用いてエクスポータにゲートウェイ装置の制御依頼を送信する制御部と、
を備えるコレクタ。
【請求項８】
ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムにおいて用いられる前記エクスポータのコンピュータに、
監視対象のネットワークにおいて予め定められた攻撃の種類に合致するパケットを検出する機能と、
前記検出されたパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を生成し、定期的に集約して前記コレクタに送信する機能と、
前記コレクタからゲートウェイ装置の制御依頼を受信し、該ゲートウェイ装置を制御する機能と、
を実現させるためのプログラム。
【請求項９】
ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムにおいて用いられる前記コレクタのコンピュータに、
予め定められた攻撃の種類に合致したパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を前記エクスポータから受信し、送信元のエクスポータのIPアドレスを付加して攻撃情報として格納する機能と、
与えられた宛先IPアドレスを監視対象のネットワークに含むエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得した後、IPアドレスを取得したゲートウェイ装置を介して隣接するエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得する処理を繰り返すことによって、エクスポータとゲートウェイ装置のIPアドレスのリストを生成する機能と、
前記リストを用いてエクスポータにゲートウェイ装置の制御依頼を送信する機能と、
を実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるサービス不能攻撃を制御するシステム、方法、および、プログラムに関する。
【背景技術】
【０００２】
近年、インターネットなどのネットワークは社会のインフラとして欠かすことができないものとなってきており、多数の企業がインターネット上のサーバを通じて宣伝活動を行い、また商品等の販売やミーティングなど多くの産業活動がインターネット上のサーバを通じて行われている。
【０００３】
一方、このようなインターネット上のサーバに対し、DoS攻撃（Denial of Service Attack）やDDoS攻撃（Distributed Denial of Service Attack）などといった不正アクセスを行うことによって、そのサービスの提供を不能にさせる事件が多発しており、社会問題となっている。DoS攻撃は正常なアクセスと区別できず、送信元のIPアドレスが偽装されている可能性が高いという性質があり、攻撃を元から断つことは困難であった。
【０００４】
従来は、上記問題に対して次のような対策がとられてきた。
a.  ネットワーク毎にIDS(Intrusion Detection System)を設置し、各IDSのログを一か所に集めて相関分析を行い、不正端末を特定して対応する（例えば、特許文献１を参照）。
b.  ネットワークを通過するパケットの特徴を記録しておくことで攻撃を検出した際にパケットがどの経路を通過してきたかを追跡可能にするIPトレースバックの技術を用いて対応する（例えば、特許文献２を参照）。
c.  ネットワーク上でアプリケーションなどがやり取りするパケットを通信の流れ(フロー)としてとらえ、ルータなどのネットワーク機器からフローに関する情報を取得して、ネットワーク全体を分析・管理するフローベースのトラフィック解析技術で対応する。
【０００５】
なお、上記技術に関連して特許文献１〜４が知られている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−２２０３７３号公報
【特許文献２】特開２００３−２９８６５２号公報
【特許文献３】特開２００８−１９３５３８号公報
【特許文献４】特開２００２−１６４９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかし、a、b、cの方法ではそれぞれ以下のような問題があった。
a.  検出精度は高いが、大規模ネットワーク環境下で攻撃を素早く検出するには多くのマシンリソース(CPU、メモリなど)が必要となる。
また、ログを分析してIP詐称されたパケットの通信経路を特定するには高いスキルが必要となる。
b.  収集した大量のデータを分析することによって攻撃経路を特定するという性質上、大量のデータを送りつけネットワーク帯域を圧迫することによってサービスの利用を妨害するようなFlood系のDoS攻撃の攻撃経路特定には向くが、ソフトウェアの脆弱性をついて一度でサービスを停止させるような一撃死系のDoS攻撃の攻撃経路特定には向かない。すなわち、aに比べてIP詐称されたパケットの通信経路を容易に追跡できるというメリットはあるが、検出精度はaに比べて劣る。
また、ゲートウェイ装置上に導入する形となるためゲートウェイ装置の改造を伴う。aやcに比べてゲートウェイ装置の処理負荷が高くなり多くのマシンリソースを必要とする。
c.  ネットワーク上を流れるパケットをサンプリングして(間引いて)解析するという性質上、攻撃の特性が見えにくくなり、bと同様に一撃死系のDoS攻撃の検出や攻撃経路の特定はできない。すなわち、aやbに比べて大規模ネットワーク環境下でも多くのマシンリソースを必要とすることなく攻撃を検出できるというメリットはあるが、検出精度はaやbに劣る。
また、収集した情報を分析して、複数箇所から行われるDDoS攻撃の攻撃元や攻撃経路を特定するには高いスキルが必要となるという課題があった。
【０００８】
すなわち、いずれも一長一短であり、多くのマシンリソース(CPU、メモリ、ディスクなど)や特別なスキルを必要とせずに、DoS攻撃の検出や攻撃経路特定を正確に行い、攻撃を元から制御可能にすることはできない。
【課題を解決するための手段】
【０００９】
本発明は上記課題に鑑みてなされたものであり、その目的は、多くのマシンリソースや特別なスキルを必要とせず、DoS攻撃の検出や攻撃経路特定を可能にして、攻撃を元から制御できるようにする、サービス不能攻撃制御システム、装置、および、プログラムを提供することである。
【００１０】
本発明によるサービス不能攻撃制御システムは、ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムであって、前記エクスポータは、監視対象のネットワークにおいて予め定められた攻撃の種類に合致するパケットを検出するパケット検査部と、前記検出されたパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を生成し、定期的に集約して前記コレクタに送信する攻撃情報管理部と、前記コレクタからゲートウェイ装置の制御依頼を受信し、該ゲートウェイ装置を制御する制御部と、を備え、前記コレクタは、前記集約された攻撃情報を前記エクスポータから受信し、送信元のエクスポータのIPアドレスを付加して攻撃情報として格納する攻撃情報管理部と、与えられた宛先IPアドレスを監視対象のネットワークに含むエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得した後、IPアドレスを取得したゲートウェイ装置を介して隣接するエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得する処理を繰り返すことによって、エクスポータとゲートウェイ装置のIPアドレスのリストを生成する攻撃情報検索部と、前記リストを用いてエクスポータにゲートウェイ装置の制御依頼を送信する制御部と、を備える。
【００１１】
本発明によるエクスポータは、ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムにおいて用いられる前記エクスポータであって、監視対象のネットワークにおいて予め定められた攻撃の種類に合致するパケットを検出するパケット検査部と、前記検出されたパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を生成し、定期的に集約して前記コレクタに送信する攻撃情報管理部と、前記コレクタからゲートウェイ装置の制御依頼を受信し、該ゲートウェイ装置を制御する制御部と、を備える。
【００１２】
本発明によるコレクタは、ネットワークに接続されたエクスポータとコレクタとを備えるサービス不能攻撃制御システムにおいて用いられる前記コレクタであって、予め定められた攻撃の種類に合致したパケットの宛先IPアドレス、合致した攻撃の種類、攻撃元により近いゲートウェイ装置のIPアドレスを含む攻撃情報を前記エクスポータから受信し、送信元のエクスポータのIPアドレスを付加して攻撃情報として格納する攻撃情報管理部と、与えられた宛先IPアドレスを監視対象のネットワークに含むエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得した後、IPアドレスを取得したゲートウェイ装置を介して隣接するエクスポータについて、対応する、攻撃元により近いゲートウェイ装置のIPアドレスを前記格納された攻撃情報から取得する処理を繰り返すことによって、エクスポータとゲートウェイ装置のIPアドレスのリストを生成する攻撃情報検索部と、前記リストを用いてエクスポータにゲートウェイ装置の制御依頼を送信する制御部と、を備える。
【発明の効果】
【００１３】
第１の効果は、多くのマシンリソースを必要とせずDoS攻撃の検出や攻撃経路特定を正確に行うことができ、攻撃を元から制御できることである。
その理由は、DoS攻撃を正確に特定するために用いたシグネチャ方式のリソース大量消費の問題を、下記のようにシステム構成やデータ構造を工夫し解決しているためである。
・  攻撃情報を３つのテーブル(攻撃情報一時テーブル、攻撃情報テーブル、攻撃情報管理テーブル)を用いて管理し、テーブルのデータに対して保持期間を設けて、データを２段階に分けてエクスポータからコレクタへ時間的に集約し、データ転記後および集約後に不要となったデータを各テーブルから削除することで、エクスポータおよびコレクタのリソース消費を抑える。
・  エクスポータをゲートウェイ装置から独立させ、かつエクスポータとコレクタを設けて役割を分担させることで１台あたりのマシンリソースの消費を抑える。
・  CPUの負荷を軽減するため、エクスポータ内のパケット検査部での処理を複数ホストに分散可能な構成にする。
【００１４】
第２の効果は、一撃死系のDoS攻撃の攻撃経路特定が可能なことである。
その理由は、シグネチャ管理テーブルを工夫し、一撃死系のDoS攻撃の場合もシグネチャの閾値を１にすることで検出可能にしているためである。
【００１５】
第３の効果は、ゲートウェイ装置の処理負荷を抑えられることである。
その理由は、本発明のコア部分であるエクスポータとコレクタをゲートウェイ装置から独立させているためである。
【００１６】
第４の効果は、複数箇所から行われるようなDDoS攻撃の攻撃元を特定するのにも特別なスキルを必要としないことである。
その理由は、エクスポータとコレクタのもつテーブルのデータ構造を工夫し、コレクタの攻撃情報管理テーブルを検索することで容易に攻撃元を特定できるようにしているためである。
【００１７】
本発明は、ISP(Internet Service Provider)などのネットワーク事業へ適用すれば、事業者側が一般の利用者により安心して利用してもらえるネットワーク環境を提供できる。また、事業者側の運用コスト削減にもつながる。
【図面の簡単な説明】
【００１８】
【図１】本発明が導入されたネットワークとエクスポータ、コレクタの構成を示すブロック図である。
【図２】本発明の実施例１の攻撃情報格納時の動作を示すタイムチャートである。
【図３】本発明の実施例１の攻撃元制御時の動作を示すタイムチャートである。
【図４】攻撃経路リスト、経路検索待ちリスト、経路検索結果リストの使用イメージを示す図である。
【図５】攻撃情報検索部の処理手順を示すフローチャートである。
【図６】本発明の実施例２のネットワーク構成を示すブロック図である。
【発明を実施するための形態】
【００１９】
以下、本発明の実施の形態について詳細に説明する。
【実施例１】
【００２０】
＜実施例の構成＞
図１は、本発明が導入されたネットワークとエクスポータ、コレクタの構成を示すブロック図である。図１に示すように、管理対象ネットワーク上に、エクスポータプログラムおよびコレクタプログラムをそれぞれ導入した装置であるエクスポータ101、エクスポータ107、エクスポータ108とコレクタ106を配置する。これらのエクスポータとコレクタとを連携させ、エクスポータが収集したログ情報をコレクタが集約して管理することによって、前述の課題を解決する。
【００２１】
図１に示した各装置の概要を以下に示す。
エクスポータ101・・・前記エクスポータプログラムを導入した装置。
不正端末102・・・サーバ105に対してDoS攻撃(UDP Flood)を行った装置。
ルータA103・・・不正端末102の属するネットワークとルータB104の属するネットワークとの通信を中継する装置。
ルータB104・・・サーバ105の属するネットワークとルータA103の属するネットワークとの通信を中継する装置。
サーバ105・・・あるサービスを提供する装置。
コレクタ106・・・前記コレクタプログラムを導入した装置。
エクスポータ107・・・前記エクスポータプログラムを導入した装置。
エクスポータ108・・・前記エクスポータプログラムを導入した装置。
【００２２】
まず、本発明のコアとなる構成要素の１つであるエクスポータについて、図１を参照して説明する。
エクスポータは、シグネチャ管理テーブルを基に受信したパケットを検査する機能を有するパケット検査部202と、攻撃情報管理DB内の攻撃情報一時テーブルを定期的に確認してタイムアウトしたデータを削除するか、もしくは、攻撃情報管理DB内の攻撃情報テーブルに転記する機能を有する攻撃情報一時テーブル管理部203と、前記パケット検査部202で攻撃と検知されたデータを攻撃情報管理DB内の攻撃情報一時テーブルに格納する機能、および、攻撃情報管理DB内の攻撃情報テーブルのデータを参照してコレクタに定期送信するデータを集約する機能を有する攻撃情報テーブル管理部204と、制御ルールテーブルに基づいて隣接するゲートウェイ装置を制御する機能を有する攻撃元制御部205と、前記パケット検査部202を制御して受信したパケットの検査を行う機能、前記攻撃情報一時テーブル管理部203および前記攻撃情報テーブル管理部204を制御してコレクタに収集したデータを定期送信する機能、コレクタからの装置制御依頼を受けて前記攻撃元制御部205を制御する機能、および、コレクタからの指示を受けてエクスポータ上の各テーブルや設定を更新する機能を有するエクスポータ機能制御部201とを有する装置である。
一実施形態において、エクスポータは、上記各部の機能を実現させるためのエクスポータプログラムがコンピュータに読み込まれることによって構築される。
【００２３】
なお、本明細書において「転記する」とは、例えば、データを攻撃情報一時テーブルから攻撃情報テーブルに転記すると記載した場合には、当該データと同一のデータを攻撃情報テーブルに追加するだけでなく、当該データを攻撃情報一時テーブルから削除することを伴うが、単に「転記する」と記載する。
【００２４】
また、エクスポータは以下のような設定パラメータを持つ。すなわち、以下のような情報がエクスポータプログラムに設定パラメータとして与えられる。
待ち受けポート番号・・・エクスポータは、コレクタからの装置制御依頼、設定変更指示を処理するサーバとしての機能を持つため、待ち受けポート番号の指定が必要となる。
攻撃情報一時テーブルチェック期間・・・前記攻撃情報一時テーブル管理部203は、この値を基にして定期的に攻撃情報一時テーブル（表３）を確認し、シグネチャ管理テーブル（表１）の「閾値」と「検査タイムアウト」のカラムを基にデータの削除もしくは攻撃情報テーブル（表４）への転記を行う。参照したデータを転記後に攻撃情報一時テーブルから削除することで、エクスポータのリソース消費を軽減する。
攻撃情報一時テーブル登録数上限・・・前記攻撃情報テーブル管理部204は、攻撃情報一時テーブルにデータを登録する際、この値を基にして攻撃情報一時テーブルのエントリ数を確認し、上限に達していた場合は登録されてからの経過時間が一番長いデータを確認してシグネチャ管理テーブルの閾値と検査タイムアウトのカラムを基にデータの削除もしくは攻撃情報テーブルへの転記を行う。攻撃情報一時テーブルに登録数の上限を設けることと、参照したデータを転記後に攻撃情報一時テーブルから削除することで、エクスポータのリソース消費を軽減する。
攻撃情報テーブルチェック間隔・・・前記エクスポータ機能制御部201は、この値を基に前記攻撃情報テーブル管理部204を制御して収集したデータを時間的に集約し定期的にコレクタへ送信する。大きな値を設定すると攻撃をリアルタイムに検出できなくなるので注意が必要である。
【００２５】
以下、エクスポータで使用される上記各テーブル、すなわち、シグネチャ管理テーブル、制御ルールテーブル、攻撃情報一時テーブル、攻撃情報テーブルの構成を説明する。
【００２６】
＜シグネチャ管理テーブル＞
エクスポータは、表１に示すようなシグネチャ管理テーブルを保持しており、必要に応じて変更可能な権限を有している。
【００２７】
【表１】
2010239392.tif 000003
【００２８】
シグネチャ管理テーブルの各カラムの意味は以下の通りである。
ID・・・シグネチャを一意に特定するためのID(識別子)。
識別名・・・シグネチャの識別名。
プロトコル・・・検査対象のプロトコルの番号。
ルール・・・検査ルール。
閾値・・・攻撃情報一時テーブル管理部203と攻撃情報テーブル管理部204は、攻撃情報一時テーブル更新時に攻撃情報一時テーブルの該当行の攻撃カウンタのカラムとこの値を参照して、攻撃カウンタがこの値以上であるかどうかを確認する。攻撃カウンタが閾値以上である場合は該当行を攻撃情報テーブルに転記する。
検査タイムアウト(秒)・・・攻撃情報一時テーブル管理部203と攻撃情報テーブル管理部204は、攻撃情報一時テーブル更新時に攻撃情報一時テーブルの該当行の登録時刻のカラムとこの値を参照して、登録されてからの時間がこの値を経過していた場合は攻撃情報一時テーブルの攻撃カウンタがシグネチャ管理テーブルの閾値以上であるかどうかを確認する。攻撃カウンタが閾値未満である場合は攻撃情報一時テーブルから該当行を削除する。一方、攻撃カウンタが閾値以上である場合は該当行を攻撃情報テーブルへ転記する。
なお、各表に示す時刻は、協定世界時(1970年1月1日00:00:00)からの経過秒数である。
【００２９】
一撃死系のDoS攻撃の場合もシグネチャの閾値を１にすることで検出することが可能となる。
【００３０】
＜制御ルールテーブル＞
エクスポータは、表２に示すような制御ルールテーブルを保持しており、必要に応じて変更可能な権限を有している。
【００３１】
【表２】
2010239392.tif 000004
【００３２】
制御ルールテーブルの各カラムの意味は以下の通りである。
ルールID・・・制御ルールを一意に特定するためのID。
制御元・・・制御依頼を受け付けるネットワークのアドレス。
制御先・・・制御先ゲートウェイ装置のアドレス。
制御タイプ・・・どの方法で通信の制御を行うかを示す値。図の例では１を警告、２を帯域制御、４を遮断としている。
制御コマンド・・・隣接するゲートウェイ装置を制御するためのコマンド。
制御オプション・・・制御コマンドのオプションに関する情報(制御コマンドの仕様)。
備考・・・制御ルールに対するコメント情報。
【００３３】
エクスポータ機能制御部201がコレクタから制御依頼を受け取った場合、まず表２に示す制御ルールテーブルを参照し、依頼元のIPアドレスをキーとしてマッチする制御ルールを特定する。
【００３４】
すべての制御ルールを確認した結果、どのルールの制御元にも依頼元のIPアドレスがマッチしない場合は、制御依頼を拒否し、制御結果としてエラーを返す。また、特定できた制御ルールと制御依頼の中で指定されている制御タイプがマッチしない場合も制御依頼を拒否し、制御結果としてエラーを返す。制御元と制御タイプがマッチする制御ルールを特定できた場合は、該当するコマンドを制御依頼で指定された制御オプションで実行し、隣接するゲートウェイ装置の制御を行う。
【００３５】
＜攻撃情報一時テーブル＞
エクスポータは、攻撃情報管理DB内に、表３に示すような攻撃情報一時テーブルを保持しており、必要に応じて変更可能な権限を有している。
【００３６】
【表３】
2010239392.tif 000005
【００３７】
攻撃情報一時テーブルの各カラムの意味は以下の通りである。
宛先IP・・・検出した攻撃の宛先IPアドレス。
シグネチャID・・・検出した攻撃に対応するシグネチャ管理テーブルのシグネチャID。
上位ルータIP・・・検出した攻撃の送信元方向に存在するゲートウェイ装置のIPアドレス(攻撃元により近いゲートウェイ装置のIPアドレス)。前記パケット検査部202が受信したデータの送信元MACアドレスをキーとし、エクスポータのARPテーブルを参照して取得する。
攻撃カウンタ・・・データが登録されてから同じ宛先IP、シグネチャID、上位ルータIPの攻撃が何回あったかを示すカウンタ。
登録時刻・・・データが登録された時刻。
【００３８】
＜攻撃情報テーブル＞
エクスポータは、攻撃情報管理DB内に、表４に示すような攻撃情報テーブルを保持しており、必要に応じて変更可能な権限を有している。
なお、表４は、攻撃情報一時テーブルからから転機され、集約された後（図２のステップ３０６）のデータ構成を表わす。
【００３９】
【表４】
2010239392.tif 000006
【００４０】
攻撃情報テーブルの各カラムの意味は以下の通りである。
宛先IP・・・検出した攻撃の宛先IPアドレス。
シグネチャID・・・検出した攻撃に対応するシグネチャ管理テーブルのシグネチャID。
上位ルータIP・・・検出した攻撃の送信元方向に存在するゲートウェイ装置のIPアドレス(攻撃元により近いゲートウェイ装置のIPアドレス)。前記パケット検査部202が受信したデータの送信元MACアドレスをキーとし、エクスポータのARPテーブルを参照して取得する。
攻撃開始時刻・・・攻撃の開始時刻。
攻撃終了時刻・・・攻撃の終了時刻。攻撃情報一時テーブルから転記された時刻。
攻撃カウンタ・・・攻撃が開始されてから同じ宛先IP、シグネチャID、上位ルータIPの攻撃が何回あったかを示すカウンタ。
【００４１】
エクスポータ機能制御部201は攻撃情報テーブル管理部204から定期的に攻撃情報テーブル内のデータを取得しコレクタへ送信する。攻撃情報テーブル管理部204はデータを送信する際、攻撃開始時刻、攻撃終了時刻を参照して、攻撃情報を時間的に集約してから送信する。攻撃情報テーブル管理部204はデータ送信後に送信したデータを攻撃情報テーブルから削除する。これによりエクスポータのリソースの消費を軽減することができる。
【００４２】
エクスポータはネットワークセグメント毎に用意する必要があるものとする。エクスポータプログラムがコンピュータに読み込まれることによってエクスポータが構築される場合、エクスポータプログラムは該当ネットワークの通信がモニタできてコレクタとの通信が可能であれば、どの装置上に導入してもよく、装置一台に複数のエクスポータプログラムを導入してもよい。DoS攻撃でネットワーク帯域が圧迫された場合、エクスポータプログラムを導入した装置とコレクタ間の通信が困難となる可能性がある。そこで、エクスポータプログラムを導入した装置とコレクタ間の通信用に専用のネットワークを構築してもよい。
【００４３】
次に、本発明のコアとなるもう１つの構成要素であるコレクタについて、図１を参照して説明する。
コレクタは、エクスポータ情報テーブルに登録されたエクスポータから定期取得したデータを攻撃情報管理テーブルに格納する機能を有する攻撃情報管理部207と、攻撃情報管理テーブルを参照し攻撃元を検索する機能を有する攻撃情報検索部208と、前記攻撃情報管理部207を制御してエクスポータから定期取得したデータを攻撃情報管理テーブルに格納する機能、攻撃情報検索部208を制御して攻撃元を特定する機能、外部からの制御依頼を受けて前記攻撃情報検索部208およびエクスポータを制御して攻撃元を制御する機能、および、エクスポータやコレクタ上の各テーブルや設定を更新する機能を有するコレクタ機能制御部206とを有する装置である。
一実施形態において、コレクタは、上記各部の機能を実現させるためのコレクタプログラムがコンピュータに読み込まれることによって構築される。
【００４４】
また、コレクタは以下のような設定パラメータを持つ。すなわち、以下のような情報がコレクタプログラムに設定パラメータとして与えられる。
待ち受けポート番号・・・エクスポータから定期送信されてくる攻撃情報や外部からの制御依頼を処理するサーバとしての機能を持つため、待ち受けポート番号の指定が必要となる。
【００４５】
コレクタは、表５に示すような攻撃情報管理テーブルを保持しており、必要に応じて変更可能な権限を有している。
【００４６】
【表５】
2010239392.tif 000007
【００４７】
攻撃情報管理テーブルの各カラムの意味は以下の通りである。
エクスポータIP・・・データ入手元のエクスポータのIPアドレス。
宛先IP・・・検出した攻撃の宛先IPアドレス。
シグネチャID・・・検出した攻撃に対応するシグネチャ管理テーブルのシグネチャID。
上位ルータIP・・・検出した攻撃の送信元方向に存在するゲートウェイ装置のIPアドレス(エクスポータから見て攻撃元により近いゲートウェイ装置のIPアドレス)。
攻撃開始時刻・・・攻撃の開始時刻。
攻撃終了時刻・・・攻撃の終了時刻。
攻撃カウンタ・・・攻撃が開始されてから同じ宛先IP、シグネチャID、上位ルータIPの攻撃が何回あったかを示すカウンタ。
【００４８】
コレクタの攻撃情報管理部207はエクスポータから入手した攻撃情報にデータ入手元のエクスポータのIPアドレスを付加して、攻撃情報管理テーブルにエントリを追加する。
【００４９】
コレクタは、表６に示すようなエクスポータ情報テーブルを保持しており、必要に応じて変更可能な権限を有している。
【００５０】
【表６】
2010239392.tif 000008
【００５１】
エクスポータ情報テーブルの各カラムの意味は以下の通りである。
ID・・・エクスポータを一意に特定するためのID。
エクスポータIP・・・管理対象のエクスポータのIPアドレス。
管理者メールアドレス・・・エクスポータの管理者のメールアドレス。
監視対象NW・・・監視対象のネットワークのアドレス。
隣接エクスポータ情報・・・隣接するエクスポータが監視しているネットワークへデータを送信する際に経由するゲートウェイ装置のIPアドレスと隣接するエクスポータのIDを組にしてコロン区切りでつなげた情報。複数存在する場合はカンマ区切りで記述する。攻撃経路を特定する際に使用する。
備考・・・エクスポータに対するコメント情報。
【００５２】
コレクタはエクスポータ情報テーブルに登録されたエクスポータのみから攻撃情報を受け取る。
【００５３】
前記エクスポータからコレクタへ集約したデータを送信する際は、ネットワークの帯域を圧迫しないよう圧縮して送信する。また、前記エクスポータとコレクタ間の通信は公開鍵暗号方式を用いて暗号化し、機密性、完全性を保持する。
隣接するゲートウェイ装置の制御は、SNMP(Simple Network Management Protocol)、NETCONF Configuration Protocol、予め登録しておいたコマンド（装置専用のツール）などで行う。
【００５４】
＜実施例の動作＞
図２を参照して攻撃情報の集約手順を説明する。
【００５５】
不正端末102からの通信を受信したエクスポータのエクスポータ機能制御部201は受信パケットの検査をパケット検査部202に依頼する(ステップ301)。
【００５６】
検査依頼を受け取ったパケット検査部202はシグネチャ情報テーブルを基に受信したパケットが攻撃かどうかを検査して、検査結果をエクスポータ機能制御部201に返信する(ステップ302)。このとき受信したパケットが攻撃であった場合にのみ検査結果を返すものとする。検査結果には以下の情報を含める。
・  攻撃パケットの宛先IPアドレス
・  攻撃の種類を示すシグネチャID
・  上位ルータのIPアドレス
・  攻撃パケットの受信時刻
【００５７】
シグネチャIDはシグネチャ管理テーブルより取得する。上位ルータIPは受信したパケットの送信元MACアドレスをキーとし、エクスポータのARPテーブルを参照して取得する。
CPU負荷軽減のため、パケット検査部202での処理を複数ホストに分散させてもよい。
【００５８】
エクスポータ機能制御部201は、パケット検査部202から検査結果を受信すると、攻撃情報の登録依頼を攻撃情報テーブル管理部204に送信する(ステップ303)。攻撃情報登録依頼には以下の情報を含める。
・  攻撃パケットの宛先IPアドレス
・  攻撃の種類を示すシグネチャID
・  上位ルータのIPアドレス
・  パケットの受信時刻
【００５９】
攻撃情報テーブル管理部204はエクスポータ機能制御部201から攻撃情報登録依頼(ステップ303)を受信すると次の手順で攻撃情報一時管理テーブルを更新し、登録結果をエクスポータ機能制御部201に返信する(ステップ304)。
1.  攻撃情報一時テーブルの登録データ数が攻撃情報一時テーブル登録数上限を超えている場合は、登録されてからの経過時間が一番長いデータを確認してシグネチャ管理テーブルの閾値と検査タイムアウトのカラムを基にデータの削除もしくは攻撃情報テーブルへの転記を行う。
2.  攻撃パケットの宛先IP、シグネチャID、上位ルータIPをキーとして攻撃情報一時テーブルを検索し、すでに同じエントリが存在するかどうかを確認する。
3.  同じデータが未登録の場合は、新たにデータを登録し、攻撃カウンタとシグネチャ管理テーブルの閾値を確認する。確認の結果、攻撃カウンタが閾値以上である場合は情報管理テーブルへデータを転記する。攻撃カウンタが閾値未満である場合は何もしない。
4.  同じデータが登録済みの場合は登録時刻とシグネチャ管理テーブルの検査タイムアウトを参照して、登録データがタイムアウトしているかどうかを確認する。また、攻撃カウンタとシグネチャ管理テーブルの閾値を比較する。
5.  登録済みデータがタイムアウトしていない場合は、登録データの攻撃カウンタの値をインクリメントする。その結果、攻撃カウンタが閾値以上である場合は情報管理テーブルへデータを転記する。攻撃カウンタが閾値未満である場合は何もしない。
6.  登録済みデータがタイムアウトしている場合で、かつ攻撃カウンタが閾値以上である場合は情報管理テーブルへデータを転記する。登録済みデータがタイムアウトしている場合で、かつ攻撃カウンタが閾値未満である場合は該当データを削除する。そして、3と同じ方法で新たにデータを登録する。
【００６０】
例えば、不正端末102からサーバ105へUDP Floodが行われた場合、エクスポータ101、エクスポータ107、エクスポータ108の攻撃情報テーブルには、それぞれ表７、表８、表９に示すようなデータが登録される。
【００６１】
【表７】
2010239392.tif 000009
【００６２】
【表８】
2010239392.tif 000010
【００６３】
【表９】
2010239392.tif 000011
【００６４】
エクスポータ機能制御部201は、攻撃情報テーブルチェック間隔の設定に従い、攻撃情報テーブル管理部205に攻撃情報の集約を依頼する(ステップ305)。攻撃情報テーブル管理部205は攻撃情報テーブルの宛先IP、シグネチャID、上位ルータIP、攻撃開始時刻、攻撃終了時刻、攻撃カウンタを参照してデータを時間的に集約して、エクスポータ機能制御部201に集約結果を返信する(ステップ306)。
【００６５】
例えば、宛先IP、シグネチャID、上位ルータIPが同じで攻撃開始時刻、攻撃終了時刻、攻撃カウンタがそれぞれ1190800396, 1190900496, 100と1190800496, 1190900596, 100となっている行が存在する場合は、攻撃開始時刻、攻撃終了時刻、攻撃カウンタを1190800396, 1190900596, 200とし一つのデータに集約する。すなわち、攻撃開始時刻は両者のうち早い時刻、攻撃終了時刻は両者のうち遅い時刻、攻撃カウンタは両者の合計値となる。集約後、集約元のデータは攻撃情報テーブル管理部205が攻撃情報テーブルから削除する。
【００６６】
エクスポータ機能制御部201は、攻撃情報テーブル管理部205から受信した集約後の攻撃情報をコレクタ機能制御部206に送信する(ステップ307)。
【００６７】
コレクタ機能制御部206は、エクスポータ機能制御部201から受信した攻撃情報を攻撃情報管理テーブルに格納するよう攻撃情報管理部207に依頼する(ステップ308)。格納依頼にはエクスポータ機能制御部201から受信した攻撃情報と、攻撃情報入手元のエクスポータのIPアドレスを含める。
【００６８】
攻撃情報管理部207は攻撃情報の格納結果をコレクタ機能制御部206に返信する(ステップ309)。
【００６９】
表７に示したエクスポータ101の攻撃情報テーブル（表１０に再掲）がコレクタに集約された場合の例を表１１に示す。攻撃開始時刻は最も早い時刻、攻撃終了時刻は最も遅い時刻、攻撃カウンタは表１０から省略された攻撃情報も含め全体の合計値となる。
【００７０】
【表１０】
2010239392.tif 000012
【００７１】
【表１１】
2010239392.tif 000013
【００７２】
上記手順のように、DoS攻撃の攻撃経路特定に必要となるデータを３つのテーブルを用いて管理し、テーブルのデータに対して保持期間を設けデータを２段階に分けてエクスポータからコレクタに集約することで、エクスポータおよびコレクタのリソース（メモリ、ディスク）の消費を抑えることができる。また、エクスポータをゲートウェイ装置から独立させ、かつエクスポータとコレクタを設けて役割を分担させることでマシンリソース（CPU、メモリ、ディスク）の消費を抑えることができると考える。
【００７３】
次に、図３を参照して攻撃元(不正端末102)の制御手順を説明する。
【００７４】
コレクタ機能制御部206が任意のタイミング、もしくは定期的に攻撃元の検索を攻撃情報検査部208に依頼する(ステップ401)。検索依頼には以下の情報を含める。
・  検索期間(検索開始時刻と検索終了時刻)
・  宛先IPアドレス
・  シグネチャID
【００７５】
コレクタ機能制御部206は、宛先IPアドレスにサーバ105のIPアドレス、シグネチャIDに１を指定し、攻撃情報検索部208に攻撃経路の検索を依頼する。
【００７６】
攻撃情報検索部208は、コレクタ機能制御部206からの依頼を受け、攻撃の向きとは逆方向に攻撃経路を特定する。攻撃情報検索部208は、下記の３つのリストを使用して攻撃経路を検索する。各リストの使用イメージを図４に示す。
攻撃経路リスト・・・攻撃経路の検索で得られた攻撃経路情報(攻撃経路上のエクスポータのIPアドレスと攻撃元により近いゲートウェイ装置のIPアドレスを組にしたデータ)を格納するリスト。
経路検索待ちリスト・・・攻撃経路の検索が完了していない検索処理待ちの攻撃経路リストを格納するリスト。このリストが空になるまで攻撃経路の検索を行う。
経路検索結果リスト・・・攻撃経路の検索が完了した攻撃経路リストを格納するリスト。攻撃情報検索部208がコレクタ機能制御部206に攻撃経路の検索結果を返信する際に参照する。
【００７７】
図５を参照して攻撃経路の検索手順を説明する。
1.  検索依頼に含まれている検索期間、宛先IPアドレス、シグネチャIDをキーにして攻撃情報管理テーブルの攻撃開始時刻、宛先IP、シグネチャIDのカラムを参照し該当行を抽出する(ステップ501)。
2.  手順1で取得した情報を攻撃開始時刻の降順でソートし、エクスポータIP、宛先IP、シグネチャID、上位ルータIPが重複する行を削除した情報（表１２）を得る。表１２は、不正端末102からサーバ105に攻撃が行われた場合のコレクタの攻撃情報テーブルの検索結果を示す。
【００７８】
【表１２】
2010239392.tif 000014
【００７９】
3.  エクスポータ情報テーブルの監視対象NWのカラムを参照して、検索依頼に含まれている宛先IPアドレスと同じネットワークに存在するエクスポータを特定し、特定したエクスポータのIPアドレスを取得する。
4.  手順3で取得したエクスポータのIPアドレスをキーとして、手順2で取得した情報のエクスポータIPのカラムを参照し該当する行(経路検索に必要な攻撃情報)が存在するかどうかを確認する。該当行が存在しない場合は手順5に、該当行が存在する場合は手順6に進む(ステップ502)。
5.  処理を打ち切り、検索結果として前述の経路検索結果リストをコレクタ機能制御部206へ返信する(ステップ503)。
6.  該当行すべてについて経路検索を行う。該当行すべてについて経路検索の処理を完了している場合は手順7に、完了していない場合は手順aに進む(ステップ504)。
7.  検索結果として経路検索結果リストに格納された攻撃経路情報をコレクタ機能制御部206へ返信する(ステップ503)。
【００８０】
a.  攻撃経路リストを作成し、作成した攻撃経路リストの末尾に該当行のエクスポータIPと上位ルータIPの組を登録して、経路検索待ちリストの末尾に作成した攻撃経路リストを登録する(ステップ505)。
b.  経路検索待ちリストが空の場合は手順6に、空でない場合は経路検索待ちリストを末尾から順に辿り、攻撃経路リストを取得して手順Aに進む(ステップ506)。
【００８１】
A.  攻撃経路リストの末尾のエクスポータIPをキーとして、エクスポータ情報テーブルのエクスポータIPのカラムを参照し、該当エクスポータの情報を取得する(ステップ507)。
B.  攻撃経路リストの末尾の上位ルータIPをキーとして、手順Aで取得した情報の隣接エクスポータ情報のカラムを参照し、隣接するエクスポータのIDの取得を試みる。攻撃経路リストの末尾の上位ルータIPに該当するIDを取得できた場合は手順Cに、取得できなかった場合は経路検索待ちリストから経路検索結果リストに現在参照しているエントリ(攻撃経路リスト)を移して手順bに進む(ステップ508)。
C.  手順Bで取得した隣接するエクスポータのIDをキーとして、エクスポータ情報テーブルのIDとエクスポータIPのカラムを参照し、隣接するエクスポータのIPアドレスを取得する(ステップ509)。
D.  手順Cで取得した隣接するエクスポータのIPアドレスをキーとして、手順2で取得した情報のエクスポータIPのカラムを参照し、マッチする行が存在するかどうかを確認する。マッチする行が存在する場合は手順Eに、マッチする行が存在しない場合は、隣接するエクスポータからの攻撃情報が無いと判断して、経路検索待ちリストから経路検索結果リストに現在参照しているエントリ(攻撃経路リスト)を移して手順bに進む(ステップ510)。
E.  マッチする行が複数存在するかどうかを確認し、複数存在しない場合は手順iに、複数存在する場合は手順Fに進む(ステップ511)。
F.  マッチしたすべての行について経路情報の妥当性確認と登録処理行う。マッチした最後の行を処理する場合は手順iに、最後以外の行を処理する場合は手順Iに進む(ステップ512)。
【００８２】
i.  マッチした行の上位ルータIPが現在参照している攻撃経路リストの末尾にある上位ルータIPと一致するかどうかを確認する。一致する場合は経路検索待ちリストから経路検索結果リストに現在参照しているエントリ(攻撃経路リスト)を移して手順bに、一致しない場合は手順iiに進む(ステップ516)。
ii.  現在参照している攻撃経路リストに、マッチした行のエクスポータIPと上位ルータIPの組を追加し手順bに進む(ステップ517)。
【００８３】
I.  マッチした行の上位ルータIPが現在参照している攻撃経路リストの末尾にある上位ルータIPと一致するかどうかを確認する。一致する場合は手順Fに、一致しない場合は手順IIに進む(ステップ513)。
II.  現在参照している攻撃経路リストの複製を作成し、マッチした行のエクスポータIPと上位ルータIPの組を複製した攻撃経路リストの末尾に追加する(ステップ514)。
III.  複製した攻撃経路リストを経路検索待ちリストの末尾に追加して手順Fに進む(ステップ515)。
【００８４】
例えば、不正端末102からサーバ105へUDP Floodが行われた場合は、以下の順番で攻撃経路の検索処理が行われる。
[手順1]→[手順2]→[手順3]→[手順4]→[手順5]→[手順6]→[手順a]→[手順b]→[手順A]→[手順B]→[手順C]→[手順D]→[手順E]→[手順i]→[手順ii]→[手順b]→[手順A]→[手順B]→[手順C]→[手順D]→[手順E]→[手順i]→[手順ii]→[手順b]→[手順A]→[手順B]→[手順b]→[手順6]→[手順7]
【００８５】
攻撃経路の検索処理は処理的に独立しているので、効率化のため複数のホストに処理を分散させてもよい。検索処理の効率化のため、攻撃経路を検索した結果を保存しておいてもよい。
【００８６】
攻撃情報検査部208は、上記手順で作成した検索結果をコレクタ機能制御部206に返信する(ステップ402)。検索結果には以下の情報を含める。
・  攻撃経路数
・  検索結果リスト・・・経路サイズと経路リスト(経路上のエクスポータのIPアドレスと攻撃元により近いゲートウェイ装置のIPアドレスのリスト)を組にした複数の攻撃経路情報
【００８７】
例えば、不正端末102からサーバ105へUDP Floodが行われた場合、攻撃経路数は１、検索結果リスト(経路サイズと経路リスト)は表１３のようになる。
【００８８】
【表１３】
2010239392.tif 000015
【００８９】
コレクタ機能制御部206は、検索結果リスト中の各経路リストを末尾から順に辿り、制御依頼を行う先のエクスポータのIPアドレスと攻撃元により近いゲートウェイ装置のIPアドレスを取得する。
【００９０】
表１３の例の場合、コレクタ機能制御部206は、最初に取得したエクスポータ101のIPアドレスを参照して、エクスポータ101の制御ルールテーブルを必要に応じて入手する(すでに入手済みの場合は入手しない)。エクスポータ101から取得した制御ルールではルータでない不正端末102のIPアドレス(偽装IP)の制御は不可能であるため、コレクタ機能制御部206は経路リストの次のエントリを参照する。
【００９１】
コレクタ機能制御部206は、次に取得したエクスポータ107のIPアドレスを参照して、エクスポータ107の制御ルールテーブルを必要に応じて入手する(すでに入手済みの場合は入手しない)。エクスポータ107から取得した制御ルールではルータA103の制御が可能なので、コレクタ機能制御部206は攻撃元により近いゲートウェイ装置ルータA103の制御をエクスポータ107のエクスポータ機能制御部201に依頼する(ステップ403)。制御依頼には以下の情報を含める。
・  依頼元のIPアドレス
・  制御したいルータのIPアドレス
・  受けた攻撃の種類を示すシグネチャID
・  制御タイプ
・  制御タイプに対応する制御コマンドと制御オプションのリスト
【００９２】
依頼元のIPアドレスにはコレクタのIPアドレス、もしくはコレクタに攻撃の制御を依頼したホストのIPアドレスを指定する。制御したいルータのIPアドレスには、経路リストから取得したルータA103のIPアドレスを指定する。制御タイプには、通信制御の方法を指定する。例えば、エクスポータの管理者に警告を出したい場合は１、帯域制御を行いたい場合は２、遮断を行いたい場合は４を指定する。制御コマンド、制御オプションは、指定した制御タイプをキーとして制御依頼を行う先のエクスポータの制御ルールテーブルを参照して決定する。
【００９３】
制御依頼を受信したエクスポータ機能制御部201は、攻撃元制御部205に攻撃元の制御を指示する(ステップ404)。制御指示には以下の情報を含める。
・  依頼元のIPアドレス
・  制御したいルータのIPアドレス
・  受けた攻撃の種類を示すシグネチャID
・  制御コマンド
・  制御オプション
【００９４】
制御依頼を受信した攻撃元制御部205は、制御ルールテーブルを参照して該当するゲートウェイ装置の制御を試みる。そして、制御結果をエクスポータ機能制御部201に返信する(ステップ405)。
制御結果を受信したエクスポータ機能制御部201は、制御が成功したかどうかを確認する。制御が成功した場合は、制御結果をコレクタ機能制御部206に中継する(ステップ406)。制御が失敗した場合で、かつ他に実行する制御タイプがない場合も、制御結果をコレクタ機能制御部206に中継する。制御が失敗した場合で、かつ他に実行する制御タイプがある場合は、再度攻撃元制御部205に攻撃元の制御を指示する。
【００９５】
本発明の実施例１によれば、攻撃元のIPアドレスが詐称されている場合でも、攻撃元直近のゲートウェイ装置(ルータA103)を特定し、攻撃元(不正端末102)からの通信を攻撃元直近のゲートウェイ装置(ルータA103)で効率よく制御することができることから、本発明が攻撃元のIPアドレスが詐称されているようなDoS攻撃に対しても有効であると言える。
【実施例２】
【００９６】
次に、本発明の実施例２について説明する。実施例１では、DoS攻撃が単一方向から実行された場合について説明したが、DoS攻撃は複数方向から同時に実行される可能性もある。DoS攻撃が複数方向から同時に行われた場合にも本発明が有効であることを以下に説明する。
【００９７】
本発明の実施例２のネットワーク構成を図６に示す。図６に示した各装置の概要を以下に記述する。図１に示した構成に、エクスポータ109、ルータC110、不正端末111、不正端末112を加えた構成にしている。
エクスポータ101・・・前記エクスポータプログラムを導入した装置。
不正端末102・・・サーバ105に対してDoS攻撃(UDP Flood)を行った装置。
ルータA103・・・不正端末102の属するネットワークとルータB104の属するネットワークとの通信を中継する装置。
ルータB104・・・サーバ105の属するネットワークとルータA103の属するネットワークとの通信を中継する装置。
サーバ105・・・あるサービスを提供する装置。
コレクタ106・・・前記コレクタプログラムを導入した装置。
エクスポータ107・・・前記エクスポータプログラムを導入した装置。
エクスポータ108・・・前記エクスポータプログラムを導入した装置。
エクスポータ109・・・前記エクスポータプログラムを導入した装置。
ルータC110・・・サーバ105の属するネットワークと不正端末111の属するネットワークとの通信を中継する装置。
不正端末111・・・サーバ105に対してDoS攻撃(UDP Flood)を行った装置。
不正端末112・・・サーバ105に対してDoS攻撃(UDP Flood)を行った装置。
【００９８】
攻撃情報の集約については、実施例１と同じであるため省略し、図３を参照して攻撃元(不正端末102および不正端末111、不正端末112)の制御手順を説明する。
【００９９】
コレクタ機能制御部206が任意のタイミング、もしくは定期的に攻撃元の検索を攻撃情報検査部208に依頼する(ステップ401)。検索依頼には以下の情報を含める。
・  検索期間(検索開始時刻と検索終了時刻)
・  宛先IPアドレス
・  シグネチャID
【０１００】
コレクタ機能制御部206は、宛先IPアドレスにサーバ105のIPアドレス、シグネチャIDに１を指定し、攻撃情報検索部208に攻撃経路の検索を依頼する。
攻撃情報検索部208は、コレクタ機能制御部206からの依頼を受け、攻撃の向きとは逆方向に攻撃経路を特定する。
【０１０１】
攻撃経路の検索手順についても実施例１と同じであるが、図５のステップ501で攻撃情報管理テーブルから抽出される攻撃情報は表１４のように異なってくる。表１４は、不正端末102、不正端末111からサーバ105に攻撃が行われた場合のコレクタの攻撃情報テーブルの検索結果を示す。
【０１０２】
【表１４】
2010239392.tif 000016
【０１０３】
また、不正端末102および不正端末111、不正端末112からサーバ105へUDP Floodが行われた場合は、以下の順番で攻撃経路の検索処理が行われる。
[手順1]→[手順2]→[手順3]→[手順4]→[手順5]→[手順6]→[手順a]→[手順b]→[手順A]→[手順B]→[手順C]→[手順D]→[手順E]→[手順F]→[手順I]→[手順II]→[手順III]→[手順F]→[手順i]→[手順ii]→[手順b]→[手順A]→[手順B]→[手順b]→[手順A]→[手順B]→[手順b]→[手順6]→[手順a]→[手順b]→[手順A]→[手順B]→[手順C]→[手順D]→[手順E]→[手順i]→[手順ii]→[手順b]→[手順A]→[手順B]→[手順C]→[手順D]→[手順E]→[手順i]→[手順ii]→[手順b]→[手順A]→[手順B]→[手順b]→[手順6]→[手順7]
【０１０４】
攻撃情報検査部208は、上記手順で作成した検索結果をコレクタ機能制御部206に返信する(ステップ402)。検索結果には以下の情報を含める。
・  攻撃経路数
・  検索結果リスト・・・経路サイズと経路リスト(経路上のエクスポータのIPアドレスと攻撃元により近いゲートウェイ装置のIPアドレスのリスト)を組にした複数の攻撃経路情報
【０１０５】
不正端末102および不正端末111、不正端末112からサーバ105へUDP Floodが行われた場合、攻撃経路数は３、検索結果リスト(経路サイズと経路リスト)は表１５、表１６、表１７のようになる。
【０１０６】
【表１５】
2010239392.tif 000017
【０１０７】
【表１６】
2010239392.tif 000018
【０１０８】
【表１７】
2010239392.tif 000019
【０１０９】
コレクタ機能制御部206は、検索結果リスト中の各経路リストを末尾から順に辿り、制御依頼を行う先のエクスポータのIPアドレスと攻撃元により近いゲートウェイ装置のIPアドレスを取得する。
【０１１０】
表１５の例の場合、コレクタ機能制御部206は、最初に取得したエクスポータ101のIPアドレスを参照して、エクスポータ101の制御ルールテーブルを必要に応じて入手する(すでに入手済みの場合は入手しない)。エクスポータ101から取得した制御ルールではルータでない不正端末102のIPアドレス(偽装IP)の制御は不可能であるため、コレクタ機能制御部206は経路リストの次のエントリを参照する。
【０１１１】
コレクタ機能制御部206は、次に取得したエクスポータ107のIPアドレスを参照して、エクスポータ107の制御ルールテーブルを必要に応じて入手する(すでに入手済みの場合は入手しない)。エクスポータ107から取得した制御ルールではルータA103の制御が可能なので、コレクタ機能制御部206は攻撃元により近いゲートウェイ装置ルータA103の制御をエクスポータ107のエクスポータ機能制御部201に依頼する(ステップ403)。制御依頼には以下の情報を含める。
・  依頼元のIPアドレス
・  制御したいルータのIPアドレス
・  受けた攻撃の種類を示すシグネチャID
・  制御タイプ
・  制御タイプに対応する制御コマンドと制御オプションのリスト
【０１１２】
依頼元のIPアドレスにはコレクタのIPアドレス、もしくはコレクタに攻撃の制御を依頼したホストのIPアドレスを指定する。制御したいルータのIPアドレスには、経路リストから取得したルータA103のIPアドレスを指定する。制御タイプには、通信制御の方法を指定する。例えば、エクスポータの管理者に警告を出したい場合は1、帯域制御を行いたい場合は2、遮断を行いたい場合は4を指定する。制御コマンド、制御オプションは、指定した制御タイプをキーとして制御依頼を行う先のエクスポータの制御ルールテーブルを参照して決定する。
【０１１３】
制御依頼を受信したエクスポータ機能制御部201は、攻撃元制御部205に攻撃元の制御を指示する(ステップ404)。制御指示には以下の情報を含める。
・  依頼元のIPアドレス
・  制御したいルータのIPアドレス
・  受けた攻撃の種類を示すシグネチャID
・  制御コマンド
・  制御オプション
【０１１４】
制御依頼を受信した攻撃元制御部205は、制御ルールテーブルを参照して該当するゲートウェイ装置の制御を試みる。そして、制御結果をエクスポータ機能制御部201に返信する(ステップ405)。
制御結果を受信したエクスポータ機能制御部201は、制御が成功したかどうかを確認する。制御が成功した場合は、制御結果をコレクタ機能制御部206に中継する(ステップ406)。制御が失敗した場合で、かつ他に実行する制御タイプがない場合も、制御結果をコレクタ機能制御部206に中継する。制御が失敗した場合で、かつ他に実行する制御タイプがある場合は、再度攻撃元制御部205に攻撃元の制御を指示する。
【０１１５】
同様にして、不正端末111、不正端末112からサーバ105への攻撃も攻撃元直近のルータC110で制御することができる。
【０１１６】
本発明の実施例２によれば、DoS攻撃が複数方向から同時に実行され場合でも、攻撃元直近のゲートウェイ装置(ルータA103、ルータC110)を特定し、攻撃元(不正端末102、不正端末111、不正端末112)からの通信を攻撃元直近のゲートウェイ装置(ルータA103、ルータC110)で効率よく制御することができることから、本発明が複数方向から同時にDoS攻撃が実行されるようなDDoS攻撃に対しても有効であると言える。
【産業上の利用可能性】
【０１１７】
本発明は、ISP(Internet Service Provider)などのネットワーク事業に用いられるネットワーク設備に適用することができる。
【符号の説明】
【０１１８】
１０１、１０７、１０８・・・エクスポータ  １０６・・・コレクタ  ２０１・・・エクスポータ機能制御部  ２０２・・・パケット検査部  ２０３・・・攻撃情報一時テーブル管理部  ２０４・・・攻撃情報テーブル管理部  ２０５・・・攻撃元制御部  ２０６・・・コレクタ機能制御部  ２０７・・・攻撃情報管理部  ２０８・・・攻撃情報検索部
【図１】
2010239392.tif 000020
【図２】
2010239392.tif 000021
【図３】
2010239392.tif 000022
【図４】
2010239392.tif 000023
【図５】
2010239392.tif 000024
【図６】
2010239392.tif 000025