(57)【要約】      （修正有）【課題】ＤＮＳサーバを備えるコンピュータシステムを、上記ＤＮＳサーバに向けられたＤｏＳ攻撃またはＤＤｏＳ攻撃から防御する。【解決手段】ＤＮＳサーバを備えるコンピュータシステムを、上記ＤＮＳサーバに向けられたＤｏＳ攻撃またはＤＤｏＳ攻撃から防御するための方法であって、ユーザによってクライアントソフトウェアに提供された上記システムのアドレスを代替アドレスで置き換えるステップを含み、上記アドレスが、上記ユーザと関連付けられたソフトウェアエージェントによって、上記クライアントソフトウェアが上記システムと接続することができるように置き換えられる。【選択図】図１
2014096793.tif 000002
【特許請求の範囲】
【請求項１】
ＤＮＳサーバを備えるコンピュータシステムを、前記ＤＮＳサーバに向けられたＤｏＳ攻撃またはＤＤｏＳ攻撃から防御するための方法であって、ユーザによってクライアントソフトウェアに提供された前記システムのアドレスを代替アドレスで置き換えるステップを含み、前記アドレスが、前記ユーザと関連付けられたソフトウェアエージェントによって、前記クライアントソフトウェアが前記システムと接続することができるように置き換えられる方法。
【請求項２】
前記ソフトウェアエージェントが前記ユーザによって使用される前記クライアントソフトウェアまたはウェブブラウザと一体化されている、請求項１に記載の方法。
【請求項３】
前記ソフトウェアエージェントが、ブラウザまたは他のクライアントソフトウェアと対話する別個のソフトウェアである、請求項１に記載の方法。
【請求項４】
前記代替アドレスが代替ＤＮＳサーバのアドレスである、請求項１に記載の方法。
【請求項５】
前記代替アドレスが、前記ユーザのクライアントソフトウェアが到達しなければならないリソースの静的ＩＰアドレスである、請求項１に記載の方法。
【請求項６】
目標システムのホスト名／ドメインの解決に失敗したことを検出し、そのような失敗が検出されたときに、前記目標システムと通信するのに使用されるクライアントソフトウェアを異なるアドレスに宛先変更するのに適したソフトウェアエージェント。
【請求項７】
ＤｏＳ攻撃またはＤＤｏＳ攻撃から防御するためのシステムであって、そのアドレスが広告されていない、代替ＤＮＳサーバ、静的ＩＰアドレス、および構成サーバのうちの１つもしくは複数を備えるシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はインターネットセキュリティの分野に関する。より詳細には、本発明は、サービス不能型の、コンピュータシステムに対する悪意のある攻撃に応じるのに適する方法およびシステムに関する。
【背景技術】
【０００２】
分散型サービス不能攻撃（ＤＤｏＳ攻撃：Ｄｉｓｔｒｉｂｕｔｅｄ  ｄｅｎｉａｌ−ｏｆ−ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）は、マシンまたはネットワークリソースをその意図されるユーザが利用できないようにしようとする企てである。ＤＤｏＳ攻撃は一般に、１人もしくは複数の者の、インターネットに接続されたホストのサービスを一時的に、または無期限に遮断し、または中断しようとする活動からなる。
【０００３】
サービス不能攻撃（ＤｏＳ）攻撃の１つのよくある方法は、標的マシンを外部の通信要求で飽和させて、標的マシンが正当なトラフィックに応答できなくすること、または実質的に利用不能になるほどにゆっくりと応答するようにすることを伴う。そうした攻撃は普通、サーバの過負荷につながる。一般的には、ＤｏＳ攻撃は、（１台もしくは複数の）標的とされるコンピュータにリセットを強制することによって、または標的とされるコンピュータがその意図されるサービスを提供できなくなるようにそのリソースを消費し、もしくは意図されるユーザと被害者とが適切な通信を行えなくなるようにその間の通信媒体を妨害することによって実施される。
【０００４】
「サービス不能」攻撃は、サービスの正当なユーザが当該サービスを使用するのを妨げるための攻撃者による明らかな企てを特徴とする。ＤｏＳ攻撃には２つの一般的な形態があり、それらは、サービスを破壊するものとサービスを氾濫させるものとである。
【０００５】
ＤｏＳ攻撃はいくつかの方法で行われうる。５つの基本的な種類の攻撃は以下の通りである。
−帯域幅、ディスクスペース、プロセッサ時間といった計算リソースの消費、
−経路指定情報といった構成情報の破壊、
−要求していないＴＣＰセッションのリセットといった状態情報の破壊、
−物理的ネットワークコンポーネントの破壊、
−意図されるユーザと被害者とが適切な通信を行えなくなるようにその間の通信媒体を妨害すること。
【０００６】
ＤＤｏＳ攻撃の加害者らは通常、銀行、クレジットカード決済ゲートウェイなどといった注目されるウェブサーバ上でホストされる標的サイトまたはサービスを攻撃する。
【０００７】
分散型サービス不能攻撃（ＤＤｏＳ）は、複数のシステムが、標的とされるシステム、普通は１台もしくは複数のウェブサーバの帯域幅またはリソースを氾濫させるときに発生する。これらのシステムは、攻撃者によって様々な方法を使用して損なわれる。
【０００８】
マルウェアは、そのＤｏＳ機構が特定の日時にトリガされたものである、ＭｙＤｏｏｍといったＤＤｏＳ攻撃機構を運ぶことができる。この種のＤＤｏＳはマルウェアのリリース前の標的ＩＰアドレスのハードコーディングを伴い、そうすれば攻撃を開始するのにそれ以上の対話を行わなくて済む。
【０００９】
ＤＤｏＳツール、例えば周知のＳｔａｃｈｅｌｄｒａｈｔなどは、Ｓｍｕｒｆ（スマーフ）攻撃やＦｒａｇｇｌｅ（フラグル）攻撃（帯域幅消費攻撃ともいう）のようなＩＰスプーフィングおよび増幅を中心とした古典的なＤｏＳ攻撃方法を使用する。より新しいツールはＤｏＳ目的でＤＮＳサーバを使用することができる。
【００１０】
「ＤＤｏＳ」という用語は、リモートホストに対する攻撃を開始するのに多くのシステムを同時に使用して開始されるＤｏＳ攻撃をいう。
【００１１】
ＤＤｏＳ攻撃は、銀行といった金融機関に対してより頻発するようになってきており、金融機関の活動およびその顧客の活動を破壊することで知られている。そのような攻撃は、機関のＤＮＳサーバに対して公然と向けられ（open directed）、それによって、顧客のウェブブラウザが宛先指定される相手のホスト名の解決を妨げる。したがって、あらゆるそうした攻撃にもかかわらず、そのような機関の通常の活動、ならびに同じ悪意のある攻撃に直面する任意の他の団体の活動を維持するための手段を提供することが望ましいはずであることは明らかである。
【発明の概要】
【発明が解決しようとする課題】
【００１２】
本発明の一目的は、システムのＤＮＳサーバに対して向けられたＤＤｏＳ攻撃にさらされていることを発見したシステムが、攻撃にもかかわらず機能し続けることを可能にするシステムおよび方法を提供することである。
【００１３】
本発明の別の目的は、顧客が利用できるクライアントソフトウェアと関連付けられたソフトウェア手段であって、所望のホストに到達する際の顧客の支障を防止し、または制限するのに適するソフトウェア手段を提供することである。
【００１４】
本発明の他の目的および利点は、説明が進むにつれて明らかになるであろう。
【課題を解決するための手段】
【００１５】
本発明は、ＤＮＳサーバを備えるコンピュータシステムを、上記ＤＮＳサーバに向けられたＤｏＳ攻撃またはＤＤｏＳ攻撃から防御するための方法であって、ユーザによってクライアントソフトウェアに提供された上記システムのアドレスを代替アドレスで置き換えるステップを含み、上記アドレスが、上記ユーザと関連付けられたソフトウェアエージェントによって、上記クライアントソフトウェアが上記システムと接続することができるように置き換えられる方法に関するものである。
【００１６】
本発明の一実施形態によれば、ソフトウェアエージェントは、ユーザによって使用されるクライアントソフトウェアまたはウェブブラウザと一体化されている。
【００１７】
本発明の別の実施形態によれば、ソフトウェアエージェントは、ブラウザまたは他のクライアントソフトウェアと対話する別個のソフトウェアである。
【００１８】
代替アドレスは、代替ＤＮＳサーバのアドレスまたはユーザのクライアントソフトウェアが到達しなければならないリソースの静的ＩＰアドレスとすることができる。
【００１９】
本発明はさらに、目標システムのホスト名／ドメインの解決に失敗したことを検出し、そのような失敗が検出されたときに、上記目標システムと通信するのに使用されるクライアントソフトウェアを異なるアドレスに宛先変更するのに適したソフトウェアエージェントを対象とする。
【００２０】
また本発明には、ＤｏＳ攻撃またはＤＤｏＳ攻撃から防御するためのシステムであって、そのアドレスが広告されていない、代替ＤＮＳサーバ、静的ＩＰアドレス、および構成サーバのうちの１つもしくは複数を備えるシステムも含まれる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態に従って動作する、構成サーバを用いるものである例示的システムの概略的流れ図である。
【発明を実施するための形態】
【００２２】
本発明によれば、システムのＤＮＳサーバがＤＤｏＳ攻撃のせいで利用不能になり、ゆえに、当該システムに接続しようとしているユーザのブラウザが当該サーバのホスト名／ドメインのＤＮＳ解決を得ることができないときに、ユーザのブラウザはユーザが選択したのと異なるアドレスに宛先指定される。上記異なるアドレスは様々な方法で作成することができ、（ブックマークを使用して、またはタイプ入力によって）ユーザがブラウザに最初に提示したホスト名または他のアドレスを、ユーザ自身に気付かれないように置き換える。以下の例では、説明する様々な動作を、ユーザが使用するクライアントソフトウェアもしくはウェブブラウザと一体化されたソフトウェアに、またはそのようなブラウザもしくはクライアントソフトウェアと対話する別個のソフトウェアに行わせることができる。例示のために、以下で本発明の２つの代替の実施形態を論じる。
【００２３】
代替ＤＮＳサーバの使用
本発明のこの実施形態によれば、このシナリオで使用するための代替ＤＮＳサーバが設けられ、この代替ＤＮＳサーバは広告されず、一般には知らされない。この実施形態では、ＤｏＳ攻撃またはＤＤｏＳ攻撃が検出されると、ユーザに提供されたソフトウェアは、システムと通信するのに使用されるクライアントソフトウェアに、代替ＤＮＳサーバを使用したアドレス解決に移行するよう指示する。
【００２４】
このようにして、ユーザは、システムが攻撃に対処する間にサービスを受け続けることができる。当業者には明らかなように、ＤＮＳサーバは広告されないため、関連システムによって配布されたクライアントソフトウェアを備えるユーザだけがＤＮＳサーバに到達することができる。
【００２５】
本発明の一実施形態に従って動作する、構成サーバを用いるものである例示的システムの概略的流れ図が図１に示されている。この例示的システムの動作は流れ図およびこの説明を読めば自明であり、よって、簡潔にするためにこれ以上論じない。
【００２６】
静的ＩＰアドレスの使用
本発明の代替の実施形態では、代替ＤＮＳサーバが設けられない。代わりに、ユーザが到達しなければならないリソースが静的ＩＰアドレスと関連付けられ、この静的ＩＰアドレスもやはり広告されず、ユーザがシステムにアクセスするのに使用するクライアントソフトウェアと一体化された、またはクライアントソフトウェアと共に働くソフトウェアからのみ利用できる。システムの正規のＤＮＳサーバが利用できなくなると、クライアントソフトウェア内に、またはクライアントソフトウェアと共に提供されたソフトウェアが、ＤＮＳサーバへの要求を静的ＩＰアドレスで置き換えて、ユーザがサービスを得ることを可能にする。
【００２７】
ソフトウェアが、ＤＮＳサーバのアドレスを、代替ＤＮＳサーバもしくは静的ＩＰのアドレス、または任意の他の所望の位置のアドレスで置き換えるのにいくつかの方法を利用することができる。使用される実際の方法はユーザのオペレーティングシステムに依存し、当業者は、所与のオペレーティングシステムに最も適する方法を実施するであろう。例えば、オペレーティング・システム・レベルでＤＮＳ  ＡＰＩプロセスを利用することも可能である。別のオペレーティングシステムでは、ＤＮＳクライアントの動作に干渉することも可能であり、または、ネットワークレベルでは、ＵＤＰの進行中のパケットを傍受し、次いで、クライアントソフトウェアを望み通りに宛先変更するのに適する偽の着信パケットを作成するのが望ましい場合もある。
【００２８】
本発明は異なるモードで動作してよく、そのうちの３つを例示のために以下で詳述する。
【００２９】
１．自動モード：ユーザの端末上に位置するソフトウェアエージェントは、特定のホスト名／ドメインのＤＮＳ解決についてのある一定の回数の連続した失敗、および／または所与の閾値より大きい失敗率を検出する。次いでソフトウェアエージェントは、関連するホスト名／ドメインのための代替ＤＮＳ／静的アドレス解決を始動する。
【００３０】
２．手動モード：ソフトウェアエージェントは、ＤＮＳサーバをモニタし、ＤＤｏＳ活動を特定する役割を担う「構成サーバ」を周期的にポーリングする。銀行のＤＮＳサーバのモニタリングは、銀行のＤＮＳサーバに対するＤＮＳ  ＤＤｏＳ攻撃について通知を受ける一方法であるが、他の方法（例えば、ＤＮＳサーバの所有者から直接警告を受けるなど）も当然ながら用いることができる。構成サーバが、ＤＤｏＳフラグがオンになった構成を提供すると、ソフトウェアエージェントは代替ＤＮＳ／静的ＩＰアドレスに遷移する。
【００３１】
３．フルバックを備える手動モード：このモードは、構成サーバ自体が応答しない場合に、ソフトウェアエージェントが、構成サーバ自体がＤＤｏＳ攻撃にさらされているものと想定して、代替ＤＮＳ／静的ＩＰアドレスに遷移するという例外を有するモード（２）である。
【００３２】
以上の説明および例はすべて例示のために提供したものであり、添付の特許請求の範囲で提示するものを除いていかなる点でも本発明の限定を意図したものではない。
【図１】
2014096793.tif 000003