(57)【特許請求の範囲】
【請求項１】
ユーザ端末をＩＰ網に接続するルータと、このルータを介したユーザ端末からの接続要求に対してＩＰアドレスを割り振る認証サーバとを備え、
前記ルータは、通常の状態では受け取ることがないはずの送信元ＩＰアドレスの情報を前記認証サーバに要求し、その情報を前記認証サーバから受け取るとそれを登録して保持し、受信パケットの送信元ＩＰアドレスが登録された情報のいずれかのＩＰアドレスと一致した場合には、そのパケットを廃棄するか、あるいは送信元偽りがあったことを保守者に通知する
ことを特徴とする送信元偽り攻撃制限サービス方式。
【請求項２】
前記情報は当該ルータの配下のユーザ端末に割り振られていないＩＰアドレスのリストであり、そのリストを受け取ったルータは、配下のユーザ端末からのパケットの送信元ＩＰアドレスを監視する請求項１記載の送信元偽り攻撃制限サービス方式。
【請求項３】
前記情報は前記認証サーバが割り振ることのできるＩＰアドレスではあるものの当該ルータの配下のユーザ端末には割り振られていないＩＰアドレスのリストであり、そのリストを受け取ったルータは、配下のユーザ端末宛のパケットの送信元ＩＰアドレスを監視する請求項１記載の送信元偽り攻撃制限サービス方式。
【請求項４】
ユーザ端末をＩＰ網に接続するルータ装置において、通常の状態では受け取ることがないはずの送信元ＩＰアドレスの情報を前記ＩＰ網内の認証サーバから取得する手段と、取得した情報を登録して保持する手段と、受信パケットの送信元ＩＰアドレスを監視し、前記保持手段に登録された情報のいずれかのＩＰアドレスと一致したときには、そのパケットを廃棄するか、あるいは送信元偽りがあったことを保守者に通知する手段とを備えたことを特徴とするルータ装置。
【請求項５】
送信元偽りのパケットを検出したときにはアドレス解決プロトコルにより送信元を特定する手段を備えた請求項４記載のルータ装置。
【請求項６】
ルータに搭載されたマイクロプロセッサを請求項４記載のルータ装置の各手段として機能させるためのプログラム。
【請求項７】
請求項６記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は悪意のあるユーザが送信元アドレスを偽って行うサーバヘの攻撃に対処する技術に関する。
【０００２】
【従来の技術】
悪意のあるユーザーが送信元アドレスを偽って行うサーバヘの攻撃に対しては、悪意のあるユーザーの特定を行うことができず、攻撃をいつまでも許してしまう結果となっていた。
【０００３】
送信元アドレス偽りによる攻撃とは、例えば攻撃者が身元（送信元アドレス）を隠すために、攻撃を仕掛ける時に送信元アドレスを偽ったパケットを攻撃対象へ送りつけるものである。攻撃方法の例としては、
▲１▼  ｐｉｎｇ攻撃：pingパケットを大量に送り、攻撃対象サーバがping返送処理に追われて他処理に弊害を起こすことを目的とする、
▲２▼  ＴＣＰ−ＳＹＮ攻撃：ＴＣＰ−ＳＹＮパケットを大量に送り、正規のＴＣＰコネクシヨンが張れないようにし、パケット待ち状態で攻撃対象サーバを過負荷に陥れることを目的とする
ものがある。
【０００４】
【発明が解決しようとする課題】
偽りの送信元アドレスを使用することに対抗する技術としては、ＩＰアドレスをセッションキー化する技術や、ワンタイムパスワード（ＯＴＰ：One Time Password（RFC2289））、あるいは使い捨てパスワード（RFC1760）などがあるが、いずれも攻撃対象サーバの過負荷状態を救済するものではなかった。
【０００５】
本発明は、このような課題を解決し、悪意のあるユーザが送信元アドレスを偽って行うサーバヘの攻撃に対処する技術を提供することを目的とする。
【０００６】
【課題を解決するための手段】
本発明の第一の観点によると、ユーザ端末をＩＰ網に接続するルータと、このルータを介したユーザ端末からの接続要求に対してＩＰアドレスを割り振る認証サーバとを備え、前記認証サーバは、前記接続要求に対して、認証済みのＩＰアドレスを要求元のユーザ端末に加えてそのユーザ端末を配下にもつルータに送付し、認証済みのＩＰアドレスが送付されたルータは、そのＩＰアドレスを登録して保持するとともに、配下のユーザ端末からのパケットの送信元ＩＰアドレスを監視し、登録されたＩＰアドレスと異なるときには、そのパケットを廃棄するか、あるいは送信元偽りがあったことを保守者に通知することを特徴とする送信元偽り攻撃制限サービス方式が提供される。
【０００７】
認証済みのＩＰアドレスに代えて、割り振られていないはずのＩＰアドレスを利用することもできる。すなわち、本発明の第二の観点によると、ユーザ端末をＩＰ網に接続するルータと、このルータを介したユーザ端末からの接続要求に対してＩＰアドレスを割り振る認証サーバとを備え、前記ルータは、通常の状態では受け取ることがないはずの送信元ＩＰアドレスの情報を前記認証サーバに要求し、その情報を前記認証サーバから受け取るとそれを登録して保持し、受信パケットの送信元ＩＰアドレスが登録された情報のいずれかのＩＰアドレスと一致した場合には、そのパケットを廃棄するか、あるいは送信元偽りがあったことを保守者に通知することを特徴とする送信元偽り攻撃制限サービス方式が提供される。
【０００８】
前記情報が当該ルータの配下のユーザ端末に割り振られていないＩＰアドレスのリストである場合には、そのリストを受け取ったルータは、配下のユーザ端末からのパケットの送信元ＩＰアドレスを監視することができる。また、前記情報は前記認証サーバが割り振ることのできるＩＰアドレスではあるものの当該ルータの配下のユーザ端末には割り振られていないＩＰアドレスのリストである場合には、配下のユーザ端末宛のパケットの送信元ＩＰアドレスを監視することができる。
【０００９】
本発明の第三の観点によると、ユーザ端末をＩＰ網に接続するルータ装置において、前記ＩＰ網内の認証サーバから配下のユーザ端末に割り振られたＩＰアドレスを登録して保持する手段と、配下のユーザ端末からのパケットの送信元ＩＰアドレスを監視し、登録されたＩＰアドレスと異なるときには、そのパケットを廃棄するか、あるいは送信元偽りがあったことを保守者に通知する手段とを備えたことを特徴とするルータ装置が提供される。
【００１０】
本発明の第四の観点によると、ユーザ端末をＩＰ網に接続するルータ装置において、通常の状態では受け取ることがないはずの送信元ＩＰアドレスの情報を前記ＩＰ網内の認証サーバから取得する手段と、取得した情報を登録して保持する手段と、受信パケットの送信元ＩＰアドレスを監視し、前記保持手段に登録された情報のいずれかのＩＰアドレスと一致したときには、そのパケットを廃棄するか、あるいは送信元偽りがあったことを保守者に通知する手段とを備えたことを特徴とするルータ装置が提供される。
【００１１】
第三または第四の観点のルータ装置には、送信元偽りのパケットを検出したときにはアドレス解決プロトコル（ＡＲＰ：Address Resolution Protocol）により送信元を特定する手段を備えることが望ましい。
【００１２】
【発明の実施の形態】
図１は送信元偽り攻撃を説明する図であり、ＩＰ網１を通じてインターネット通信が行われており、攻撃対象サーバ２をルータ３経由で攻撃者である端末４が攻撃している例を示す。この例において、攻撃者の端末４は、自らのＩＰアドレス（例えば129.60.11.8）ではなくルータ５配下の端末６のＩＰアドレス（例えば168.98.5.1）を盗用し、その盗用したＩＰアドレス（168.98.5.1）をＩＰヘッダに用いたpingパケットを、攻撃対象サーバ２に送り続ける。これにより攻撃対象サーバ２は過負荷状態となり、他の処理に弊害が生じる。
【００１３】
図２はこのような攻撃に対処するための本発明の第一の実施形態を示す。この実施形態では、ユーザ端末１５、１６をＩＰ網１に接続するルータ１４と、このルータ１４を介したユーザ端末１５、１６からの接続要求に対してＩＰアドレスを割り振る認証サーバ１３とを備える。ここで、認証サーバ１３はインターネットサービスプロバイダ（ＩＳＰ）の通信網１２内に設けられ、ルータ１４はこの通信網１２を介してＩＰ網１に接続される。ルータ１４は、配下のユーザ端末１５、６からの接続要求に対して認証サーバ１３へアクセスし、また、配下のユーザ端末１５、１６の通信終了時にはその通信に使用したＩＰアドレスの使用権を認証サーバ１３に返還する。
【００１４】
この構成において、クライアントとしてユーザ端末１５やユーザ端末１６が発信するためにＩＰアドレスを要求▲１▼すると、認証サーバ１３はＩＰアドレス（この例では129.60.11.7、129.60.11.8とする）を端末１５、１６およびそれらのクライアントを配下に持っているルータ１４に送付▲２▼し、ルータ１４はそのＩＰアドレスを登録して保持▲３▼する。ルータ１４は、配下の端末１５または１６が送信したパケットの送信元アドレスを常に監視し、その登録されたＩＰアドレスと異なるＩＰアドレス付きパケットを受信した場合は、そのパケットを破棄し、あるいは保守者に連絡をする。
【００１５】
ここで、ユーザ端末１６が偽りの送信元ＩＰアドレス168.98.5.1を使って攻撃対象サーバ２に攻撃pingパケットを送ろうとしたとする。その場合、その攻撃pingパケットのＩＰアドレス168.98.5.1は攻撃者ユーザ端末１６の正しいＩＰアドレス129.60.11.8とは相違しているので、ルータ１４はそのpingパケットを破棄する。このようにして、攻撃対象サーバ２には攻撃pingパケットが送付されることなく、送信元偽り攻撃による被害の発生は抑制される。また、ＩＰアドレス168.98.5.1の正規な保持者である端末６のクライアントが迷惑を被ることも防止できる。
【００１６】
図３は通常の動作および送信偽り攻撃時の動作を説明するフローチャートである。ユーザ端末１５、１６は、ルータ１４を経由して認証サーバ１３にＩＰアドレスを要求する（Ｓ１）。認証サーバ１３は、認証済みＩＰアドレス129.60.11.7と129.60.11.8をユーザ端末１５、１６とこれらのユーザ端末１５、１６を配下にもつルータ１４に送付する（Ｓ２）。ルータ１４はＩＰアドレス129.60.11.7と129.60.11.8を登録して保持し、配下のユーザ端末１５、１６からのパケットの送信元ＩＰアドレスを監視する（Ｓ３）。ユーザ端末１５、１６が自分に割り振られたＩＰアドレス129.60.11.7、129.60.11.8を用いるときには、通常に通信を実行できる（Ｓ４）。そして、通信が終了した後には、ルータ１４はそのＩＰアドレスを認証サーバに返還する（Ｓ５）。これに対して、ユーザ端末１６が自分の割り振られたＩＰアドレス129.60.11.8と異なるＩＰアドレス168.98.5.1（端末６のＩＰアドレス）を盗用して攻撃対象サーバ２に攻撃パケットをルータ１４経由で送信しようとする（Ｓ６）と、ルータ１４は、ＩＰアドレス168.98.5.1が登録されていないので、その攻撃パケットを廃棄する（Ｓ７）。したがって、ユーザ端末１６による攻撃は失敗となる。
【００１７】
図４は本発明の第二の実施形態を示す。ルータ１４は、通常の状態では受け取ることがないはずの送信元ＩＰアドレスの情報（リスト）を認証サーバ１３に要求▲１▼し、認証サーバ１３はそのリストをルータ１４に送付▲２▼し、ルータ１４はそのリストを登録▲３▼して保持し、受信したパケットの送信元ＩＰアドレスと登録されたリストとを比較し、一致した場合には、その受信パケットを破棄するか、あるいは送信元偽りがあったことを保守者に通知する。
【００１８】
図５は通常の動作および送信偽り攻撃時の動作を説明するフローチャートである。ユーザ端末１５、１６がルータ１４を経由して認証サーバ１３にＩＰアドレスを要求する（Ｓ１１）と、認証サーバ１３は認証済みＩＰアドレス129.60.11.7と129.60.11.8をユーザ端末１５、１６に送付する（Ｓ１２）。また、ルータ１４は認証サーバ１３へ、通常の状態では受け取ることがないはずの送信元ＩＰアドレスリストを要求し（Ｓ１３）、認証サーバ１３はそのリストをルータ１４に送付する（Ｓ１４）。ルータ１４は送付されたリストを登録して保持し、受信パケットの送信元ＩＰアドレスを監視する（Ｓ１５）。ユーザ端末１５、１６が自分に割り振られたＩＰアドレス129.60.11.7、129.60.11.8を用いるときには、通常に通信を実行できる（Ｓ１６）。そして、通信が終了した後には、ルータ１４はそのＩＰアドレスを認証サーバに返還する（Ｓ１７）。これに対して、ユーザ端末１６が自分の割り振られたＩＰアドレス129.60.11.8と異なるＩＰアドレス168.98.5.1（端末６のＩＰアドレス）を盗用して攻撃対象サーバ２に攻撃パケットをルータ１４経由で送信しようとする（Ｓ１８）と、ルータ１４は、リスト内に送信元ＩＰアドレスと一致するＩＰアドレスがあるので、その攻撃パケットを廃棄する（Ｓ１９）。したがって、ユーザ端末１６による攻撃は失敗となる。
【００１９】
ここではルータ１４の配下のユーザ端末１６が攻撃者となる場合を説明したが、送信元ＩＰアドレスのリストの内容によっては、端末側だけでなく、網側から到来したパケットのＩＰアドレスを監視することもできる。例えばルータ１４の配下にないはずのリストであれば、ルータ１４の配下のユーザ端末が発信するパケットのＩＰアドレスを監視することが可能である。一方、ＩＳＰ配下だがルータ１４の配下でないはずのリスト、すなわち認証サーバ１３が割り振ることのできるＩＰアドレスではあるもののルータ１４の配下のユーザ端末には割り振られていないＩＰアドレスのリストであれば、ルータ１４の配下のユーザ端末が受信してもよいパケットのＩＰアドレスを監視できる。
【００２０】
以上の実施形態において、ルータ１４は、送信元ＩＰアドレスを偽って特定のサーバへの過負荷攻撃を行う悪意あるユーザ端末からのＩＰパケットを検知して排除するのみならず、悪意呼の送信元をＡＲＰ手順により特定することができる。
【００２１】
図６はルータ１４の装置構成例を示すブロック図である。このルータ１４は、ユーザ端末１５、１６が接続されるラインカード１４１、１４２と、これらのラインカード１４１、１４２と外部の通信網１２との間のＩＰパケットに関する基本的な機能である中継交換機能を提供するスイッチ１４３と、これらの動作を制御するとともに上述した送信元偽り攻撃制限の制御を行う制御部１４４およびＩＰアドレスリスト保持部１４５とを備える。制御部１４４はマイクロプロセッサを備え、その動作プログラムにしたがって動作する。
【００２２】
図７は制御部１４４による制御の一例を示すフローチャートである。ここでは、配下のひとつのユーザ端末に関する処理のみを示す。制御部１４４は、ラインカード１４１または１４２にユーザ端末からのＩＰアドレス要求があると（Ｓ２１）、その要求をスイッチ１４３を介して認証サーバに転送し（Ｓ２２）、認証サーバから通知されたＩＰアドレスをスイッチ１４３およびラインカード１４１または１４２を介して要求元のユーザ端末に転送するとともに、そのＩＰアドレスをＩＰアドレスリスト保持部１４５に登録して保持する（Ｓ２３）。そして、ラインカード１４１または１４２にユーザ端末からパケット送信があると（Ｓ２４）、その送信元ＩＰアドレスをＩＰアドレスリスト保持部１４５に登録されたＩＰアドレスと一致するかどうか、すなわち認証サーバが認証した正規のものであるかどうかを照合判定し（Ｓ２５）、正規なものである場合には、そのパケットを網に送信する（Ｓ２６）。一方、送信元ＩＰアドレスが不正なものである場合には、そのパケットを廃棄し、ＡＲＰにより送信元を特定し、送信元偽りを保守者に通知する（Ｓ２７）。ユーザ端末の通信が終了すると（Ｓ２８）、そのＩＰアドレスを認証サーバに返還する（Ｓ２９）。
【００２３】
図８は制御部１４４による制御の別の例を示すフローチャートである。この例でも、配下のひとつのユーザ端末に関する処理のみを示す。制御部１４４は、ユーザ端末からのＩＰアドレス要求があると（Ｓ３１）、その要求を認証サーバに転送し（Ｓ３２）、認証サーバから通知されたＩＰアドレスを要求元のユーザ端末に転送する（Ｓ３３）。制御部１４４はさらに、スイッチ１４３を介して、通常の状態では受け取ることがないはずの送信元ＩＰアドレスの情報を認証サーバから取得し（Ｓ３４）、その情報をＩＰアドレスリスト保持部１４５に登録して保持する（Ｓ３５）。そして、ユーザ端末からパケット送信があると（Ｓ３６）、その送信元ＩＰアドレスをＩＰアドレスリスト保持部１４５に登録されたＩＰアドレスと一致するかどうかを照合判定し（Ｓ３７）、一致するものがなければ、そのパケットを網に送信する（Ｓ３８）。一致するものがある場合には、その送信元ＩＰアドレスが不正であるとして、そのパケットを廃棄し、ＡＲＰにより送信元を特定し、送信元偽りを保守者に通知する（Ｓ３９）。ユーザ端末の通信が終了すると（Ｓ４０）、そのＩＰアドレスを認証サーバに返還する（Ｓ４１）。
【００２４】
【発明の効果】
本発明により、送信元ＩＰアドレスを偽って、特定のサーバヘの過負荷攻撃を行う悪意あるユーザ端末からの攻撃ＩＰパケットを検知し、必要な処置、例えば当該攻撃ＩＰパケットの破棄や送信元の特定を行うことが可能となり、社会基盤として発展を続けるコンピュータ通信システムのより一層のセキュリテイの向上が可能となる。
【図面の簡単な説明】
【図１】送信元偽り攻撃を説明する図。
【図２】本発明の第一の実施形態を示す図。
【図３】通常の動作および送信偽り攻撃時の動作を説明するフローチャート。
【図４】本発明の第二の実施形態を示す図。
【図５】通常の動作および送信偽り攻撃時の動作を説明するフローチャート。
【図６】ルータの装置構成例を示すブロック図。
【図７】制御部による制御の一例を示すフローチャート。
【図８】制御部による制御の別の例を示すフローチャート。
【符号の説明】
１  ＩＰ網
２  攻撃対象サーバ
３、５、１４  ルータ
４、６  端末
１２  ＩＳＰの通信網
１３  認証サーバ
１５、１６  ユーザ端末
１４１、１４２  ラインカード
１４３  スイッチ
１４４  制御部
１４５  ＩＰアドレスリスト保持部
【図１】
0003670242.tif 000002
【図２】
0003670242.tif 000003
【図３】
0003670242.tif 000004
【図４】
0003670242.tif 000005
【図５】
0003670242.tif 000006
【図６】
0003670242.tif 000007
【図７】
0003670242.tif 000008
【図８】
0003670242.tif 000009