(57)【要約】【課題】  検出・対処装置へのトラヒックを抑制でき、したがって検出・対処装置の輻輳発生を抑制でき、また迂回装置群内のネットワークでの攻撃トラヒックによる消費を抑制できる攻撃トラヒック防御システムを提供する。【解決手段】トラヒック入力部１０１のデカプセル化処理部１１０１では、受信パケットの物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子、外側ＩＰヘッダの送信元ＩＰアドレスを調べる。次に、トンネル情報テーブル１１０３から、それらにマッチする送信元迂回装置識別子、送信元迂回装置入力物理回線識別子を取得する。これにより、迂回装置ならびに入力物理回線を特定することが可能となる。【選択図】  図３
2006246146.tif 000002
【特許請求の範囲】
【請求項１】
攻撃トラヒックを検出し、該トラヒックを他の装置へ迂回させ、迂回トラヒックから攻撃トラヒックを検出するシステムにおいて、
攻撃トラヒックを迂回させたトラヒック迂回装置を特定する手段を有することを特徴とする攻撃トラヒック防御システム。
【請求項２】
前記トラヒック迂回装置を特定する手段が、
前記トラヒック迂回装置と迂回宛装置との間に一つ以上の仮想パスを設定する手段と、
前記トラヒック迂回装置が受信したトラヒックを前記仮想パスを使って迂回させる手段と、
迂回トラヒックを疎通する仮想パスの発信元のトラヒック迂回装置を特定する手段を
含む、請求項１に記載の攻撃トラヒック防御システム。
【請求項３】
前記トラヒック迂回装置が、その入力回線ごとに仮想パスを設定する手段と、
入力回線からのトラヒックを、それに対応付けられた仮想パスを使って迂回させる手段と、
迂回トラヒックを疎通する仮想パスの発信元のトラヒック迂回装置を特定する手段を
さらに有する、請求項２に記載の攻撃トラヒック防御システム。
【請求項４】
迂回トラヒックを構成するパケットをＩＰパケットにカプセル化して転送する手段と、
カプセル化するＩＰパケットの送信元アドレスを迂回元のＩＰアドレスに設定する手段と、
該送信元ＩＰアドレスを使ってトラヒック迂回装置を特定する手段を
含むことを特徴とする、請求項２に記載の攻撃トラヒック防御システム。
【請求項５】
迂回トラヒックを構成するパケットをＩＰパケットにカプセル化して転送する手段と、
カプセル化するＩＰパケットの送信元アドレスを迂回元のＩＰアドレスに設定する手段と、
該送信元ＩＰアドレスを使ってトラヒック迂回装置とその迂回装置へ進入した回線を特定する手段を
含む、請求項３に記載の攻撃トラヒック防御システム。
【請求項６】
迂回トラヒックから攻撃を検出する手段と、
攻撃トラヒックを迂回させた迂回装置もしくは迂回装置と該攻撃トラヒックが進入した回線を特定する手段を
さらに有する、請求項１から５のいずれかに記載の攻撃トラヒック防御システム。
【請求項７】
特定された攻撃トラヒック迂回装置もしくは特定された攻撃トラヒック迂回装置と攻撃トラヒックが進入した回線に関連するトラヒック対処装置を特定する手段をさらに有する、請求項６に記載の攻撃トラヒック防御システム。
【請求項８】
特定された攻撃トラヒック迂回装置に近隣のトラヒック対処装置を特定する手段をさらに有する、請求項６に記載の攻撃トラヒック防御システム。
【請求項９】
攻撃トラヒックのネットワークへの進入位置に最も近い攻撃トラヒック対処装置を算出する手段をさらに有する、請求項６に記載の攻撃トラヒック防御システム。
【請求項１０】
前記攻撃トラヒック対処装置を算出する手段が、
攻撃トラヒックのネットワークへの進入位置に特定された攻撃トラヒック迂回装置を基点とし、攻撃トラヒック進入方向の回線に向かう最短パス木を作成する手段と、
最短パス木上の端点を算出する手段を
含む、請求項９に記載の攻撃トラヒック防御システム。
【請求項１１】
特定された攻撃トラヒック対処装置に指示する手段をさらに有する、請求項７から１０のいずれかに記載の攻撃トラヒック防御システム。
【請求項１２】
指示されたトラヒックを対処する手段を有する、請求項１１に記載の攻撃トラヒック防御システム。
【請求項１３】
攻撃トラヒックが発生するネットワークサービスに利用者が該サービスの提供事業者に攻撃対処を依頼する手段と、
該ネットワークサービス提供事業者が攻撃トラヒックを対処する事業者に攻撃対処を依頼する手段と、
攻撃トラヒックを対処する該事業者が、該ネットワークサービス提供事業者に攻撃対処費を請求する手段と、
該ネットワークサービス提供事業者が、その攻撃対処費に基づき、該ネットワークサービス利用者に撃対処費を請求する手段と
を有する、請求項１から１２のいずれかに記載の攻撃トラヒック防御システム。
【請求項１４】
攻撃コンピュータから被攻撃コンピュータ宛ての攻撃トラヒックをトンネルベース検出・対処装置に迂回させるトンネルベーストラヒック迂回装置であって、
攻撃コンピュータとの物理回線である入力物理回線の識別子と、非攻撃コンピュータのアドレスである宛先アドレスと、トンネルベース検出・対処装置との物理回線である出力物理回線およびＩＰ−ｉｎ−ＩＰトンネルの識別子である出力物理回線の識別子とＩＰ−ｉｎ−ＩＰトンネル識別子の組を記録したアクセス制御リストと、
前記アクセス制御リストにしたがって、受信したパケットを転送すべき出力物理回線とＩＰ−ｉｎ−ＩＰトンネルを特定するルーティング部と、
出力物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子と送信元ＩＰアドレスの組を記録したトンネル情報テーブルと、
前記トンネル情報テーブルから、前記ルーティング部で特定した出力物理回線、ＩＰ−ｉｎ−ＩＰトンネルに関連する物理回線識別子、その送信元ＩＰアドレスを取得し、該送信元ＩＰアドレスを外側ＩＰヘッダの送信元ＩＰアドレスとして該当する物理回線へ受信パケットを送信するカプセル化処理部と
を有するトンネルベーストラヒック迂回装置。
【請求項１５】
請求項１４に記載のトンネルベーストラヒック迂回装置群からの迂回トラヒックを受信し、受信パケットの物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子、外側ＩＰヘッダの送信元ＩＰアドレスを調べるトラヒック入力部と、
前記迂回トラヒックから悪意トラヒックを検出する攻撃トラヒック検出部と、
ブロックされないトラヒックを通過トラヒックとしてトンネルベーストラヒック迂回装置群に戻すトラヒック出力部と、
トンネルベーストラヒック迂回装置群との物理回線、ＩＰ−ｉｎ−ＩＰトンネルそれぞれの識別子である物理回線識別子およびＩＰ−ｉｎ−ＩＰトンネル識別子、送信元ＩＰアドレス、各トンネルベーストラヒック迂回装置の識別子、各トンネルベーストラヒック迂回装置の入力物理回線の識別子である送信元迂回装置識別子および送信元迂回装置入力物理回線識別子の組を記録したトンネル情報テーブルと、
前記トンネル情報テーブルから、受信パケットにマッチする送信元迂回装置識別子、送信元迂回装置入力物理回線識別子を取得し、トンネルベーストラヒック迂回装置およびその入力物理回線を識別する迂回装置特定部と
を有するトンネルベース検出・対処装置。
【請求項１６】
集約したＩＰ−ｉｎ−ＩＰトンネルから流入するトラヒックを格納するトンネルフローテーブルと、
前記トンネルフローテーブルから、攻撃トラヒックが疎通しているトンネルを検出する攻撃トンネル検出部と、
攻撃トラヒック迂回装置情報テーブルと、
新たに攻撃フローを検出した旨の通知を前記攻撃トンネル検出部から受け取ると、フロー状態が「攻撃」であるフローを含む物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子を取得し、次に前記トンネル情報テーブルから、取得した物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子に対応する送信元迂回装置識別子、送信元迂回装置入力物理回線識別子、送信元ＩＰアドレスを取得し、それぞれを前記攻撃トラヒック迂回装置情報テーブルに攻撃トラヒック迂回装置識別子、攻撃トラヒック入力物理回線識別子、ＩＰアドレスの値として保存する攻撃トラヒック迂回装置特定部と
をさらに有する、請求項１５に記載のトンネルベース検出・対処装置。
【請求項１７】
トンネルベーストラヒック迂回装置とこれに関連するトンネルベース検出・対処装置の組を記録した迂回・対処装置関連テーブルと、
前記攻撃トラヒック迂回装置特定部からトンネルベーストラヒック迂回装置を特定した旨の通知を受けると、前記迂回・対処装置関連テーブルから、特定されたトンネルベーストラヒック迂回装置に関連したトンネルベース検出・対処装置を特定する攻撃トラヒック対処装置特定部と
をさらに有する、請求項１６に記載のトンネルベース検出・対処装置。
【請求項１８】
算出された攻撃トラヒック対処装置に指示する攻撃トラヒック対処装置間通信部をさらに有する、請求項１７に記載のトンネルベース検出・対処装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）のようなあるユーザに対し過度のトラヒックを送信することによりそのユーザのサービス停止を狙った攻撃を防御するシステムに関する。
【背景技術】
【０００２】
攻撃トラヒックを防御する方法として、攻撃トラヒックが疎通しているネットワーク内の装置が、その攻撃トラヒックをネットワーク外部の対処装置に転送し、その装置において、攻撃トラヒックを処理する方式が提案されている（例えば、特許文献１、非特許文献１参照）。
【０００３】
特許文献１の請求項１，１２，４９において記述されている攻撃トラヒック防御システム構成を図１２に示す。図１２のシステムは、攻撃トラヒックを検出し迂回を指示する攻撃トラヒック迂回指示装置３１と検出・対処装置に疎通トラヒックを迂回させるトラヒック迂回装置３２，３３から構成される迂回装置群３と、攻撃トラヒックを検出し、対処する検出・対処装置４１から構成される攻撃トラヒック対処装置群４から構成されている。
【０００４】
図１３にシーケンス図を示す。攻撃コンピュータ１は被攻撃コンピュータ２に攻撃トラヒック５の送信を開始したとする（ステップ２０１）。攻撃トラヒック迂回指示装置３１は、攻撃トラヒック５を受信し、被攻撃コンピュータ２宛への攻撃を検出する（ステップ２０２）。被攻撃コンピュータ２宛への攻撃を検出した攻撃トラヒック迂回指示装置３１は、トラヒック迂回装置３２に対し被攻撃コンピュータ２宛へのトラヒックを検出・対処装置４１に迂回するよう指示する（ステップ２０３）。迂回指示を受けたトラヒック迂回装置３２は、被攻撃コンピュータ２宛へのトラヒックを検出・対処装置４１に迂回する（ステップ２０４）。迂回トラヒック６を受信した検出・対処装置４１は、攻撃トラヒックを検出するために、そのトラヒックを分析する。もし、攻撃トラヒックを検出した場合、その攻撃トラヒックをフィルターし、正常トラヒックは通過トラヒック７として、被攻撃コンピュータ２へ戻す（ステップ２０５）。
【０００５】
図１４に検出・対処装置４１の機能ブロック図を示す。検出・対処装置４１は、迂回装置群３からの迂回トラヒックを受信するトラヒック入力部１０１と、迂回トラヒックから攻撃トラヒックを検出する攻撃トラヒック検出部１０２と、攻撃トラヒック検出部１０２により検出された攻撃トラヒックを選択的にブロックするフィルタ部１０３と、フィルタ部１０３によってブロックされないトラヒックを通過トラヒック７として、迂回装置群３に戻すトラヒック出力部１０４から構成される。
【０００６】
非特許文献１では、トラヒックを迂回する方式として、ＢＧＰ（Ｂｏｒｄｅｒ  Ｇａｔｅｗａｙ  Ｐｒｏｔｏｃｏｌ）を使った方式、Ｌ２ＴＰ（Ｌａｙｅｒ  ２  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）、ＧＲＥ（Ｇｅｎｅｒｉｃ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｏｎ）、ＭＰＬＳ（Ｍｕｌｔｉ−ｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈｉｎｇ）などのプロトコルを使ってトラヒック迂回装置３２，３３と検出・対処装置４１との間で仮想パスを設定してその仮想パスを使って転送する方式が記載されている。
【０００７】
例えば図１２のシステム構成では、トラヒック迂回装置３２，３３と検出・対処装置４１との間で、それぞれ仮想パス１１，１２が設定されている。トラヒック迂回装置３２，３３は、攻撃トラヒック迂回指示装置３１から指定されたトラヒックを迂回する指示を受けた場合、それぞれ仮想パス１１，１２を使って、トラヒックを迂回させる。
【０００８】
図１５に従来のトラヒック迂回装置３２の機能ブロックを示す。トラヒック迂回装置３２は、アクセス制御リスト３０２と、アクセス制御リスト３０２にしたがってルーティング処理を行うルーティング部３０１と、攻撃トラヒック迂回指示装置３１からの指示にしたがいアクセス制御リスト３０２を更新するアクセス制御リスト更新部３０３から構成される。アクセス制御リスト３０２の例を表１に示す。この設定により、被攻撃コンピュータ２宛のトラヒックは仮想パス１１を使って転送される。
【０００９】
【表１】
2006246146.tif 000003
【特許文献１】Methods and apparatus for protecting against overload conditions on nodes of a distributed network: United States Patent Applications Publication, Pub. No.: US 2002/0083175 A1, Pub. Date: Jun. 27, 2002
【非特許文献２】米国ＳＰＲＩＮＴ社の技術資料“DDoS Mitigation via Regional Cleaning Centers”，S. Agarwal他著（http://ipmon.sprint.com/pubs#trs/trs/RR04-ATL-013177.pdf）
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述した、攻撃トラヒックをある装置へ迂回させて、迂回先での装置で攻撃トラヒックを対処する従来の技術では、
１．設備コスト抑制のため、検出・対処装置数が少ない場合、迂回トラヒックが検出・対処装置に集中し、その装置で輻輳が発生する場合がある。
【００１１】
２．攻撃トラヒックはトラヒック迂回装置まで進入するため、迂回装置群内のネットワークを無駄に使用してしまう。
の問題点があった。
【００１２】
本発明の目的は、検出・対処装置へのトラヒックを抑制でき、したがって検出・対処装置の輻輳発生を抑制でき、また迂回装置群内のネットワークでの攻撃トラヒックによる消費を抑制できる攻撃トラヒック防御システムを提供することにある。
【課題を解決するための手段】
【００１３】
前記問題点１、２を解決するために、本発明の攻撃トラヒック防御システムは、攻撃トラヒックを迂回させたトラヒック迂回装置を特定する手段を有する。
【００１４】
具体的には、
トラヒック迂回装置と迂回宛装置との間に一つ以上の仮想パスを設定する手段と、
トラヒック迂回装置は受信したトラヒックを仮想パスを使って迂回させる手段と、
トラヒックを仮想パスを使って迂回させる手段と、
迂回トラヒックを疎通する仮想パスの発信基のトラヒック迂回装置を特定する手段と
を有する。
【００１５】
上記手段に加え、
トラヒック迂回装置では、その入力回線ごとに仮想パスを設定する手段と、
入力回線からのトラヒックを、それに対応付けられた仮想パスを使って迂回させる手段と、
迂回トラヒックを疎通する仮想パスの発信基のトラヒック迂回装置とその迂回装置へ進入した回線を特定する手段を特定する手段と
を有する。
【００１６】
さらに、具体的には、
迂回トラヒックを構成するパケットをＩＰパケットにカプセル化して転送する手段と、
カプセル化するＩＰパケットの送信元アドレスを迂回基のＩＰアドレスに設定する手段と、
該送信元ＩＰアドレスを使ってトラヒック迂回装置を特定する手段と
もしくは
迂回トラヒックを構成するパケットをＩＰパケットにカプセル化して転送する手段と、
カプセル化するＩＰパケットの送信元アドレスを迂回基のＩＰアドレスに設定する手段と、
該送信元ＩＰアドレスを使ってトラヒック迂回装置とその迂回装置へ進入した回線を特定する手段と
を有する。
【００１７】
上記手段に加え、
迂回トラヒックから攻撃を検出する手段と、
攻撃トラヒックを迂回させたトラヒック迂回装置もしくは迂回装置と該攻撃トラヒックが進入した回線を特定する手段と
を有する。
【００１８】
上記手段に加え、
特定された攻撃トラヒック迂回装置もしくは特定された攻撃トラヒック迂回装置と攻撃トラヒックが進入した回線に関連するトラヒック対処装置を特定する手段、
もしくは、
特定された攻撃トラヒック迂回装置に近隣のトラヒック対処装置を特定する手段、
もしくは、
攻撃トラヒックのネットワークへの進入位置に最も近い攻撃トラヒック対処装置を算出する手段
を有する。
【００１９】
上記手段に加え、
特定された攻撃トラヒック対処装置に指示する手段と、
指示されたトラヒックを対処する手段と
を有する。
【発明の効果】
【００２０】
本発明は下記の効果がある。
【００２１】
１．迂回装置群で攻撃トラヒックを対処できるため、検出装置へのトラヒックを抑制でき、検出装置の輻輳発生を抑制できる。
【００２２】
２．攻撃トラヒック進入位置に最も近い攻撃トラヒック対処装置により攻撃トラヒックを対処できるため、迂回装置群内のネットワークでの攻撃トラヒックによる消費を抑制できる。
【発明を実施するための最良の形態】
【００２３】
次に、本発明の実施の形態について図面を参照して説明する。
【００２４】
［第１の実施形態］
図１は本発明の第１の実施形態の攻撃トラヒック防御システムの構成図である。
【００２５】
本実施形態は、図１２に示した従来の攻撃トラヒック防御システムにおいて、トラヒック迂回装置３２，３３をそれぞれトンネルベーストラヒック迂回装置１０３２，１０３３に、また、検出・対処装置４１をトンネルベース検出装置１０４１に置き換えたものである。
また、本実施形態では、迂回先への仮想パスとして、ＧＲＥを使ったＩＰ−ｉｎ−ＩＰトンネルを使用している。また、トンネルベーストラヒック迂回装置１０３２、１０３３では、入力物理回線ごとにＩＰ−ｉｎ−ＩＰトンネルを設定している。すなわち、図１の例では、トンネルベーストラヒック迂回装置１０３２は入力物理回線１０５１，１０５２を収容し、各物理回線にはそれぞれＩＰ−ｉｎ−ＩＰトンネル１０１１，１０１２が対応し設定されている。また、これらのトンネルは物理回線１０２１を疎通している。さらに、ＩＰ−ｉｎ−ＩＰトンネル１０１１，１０１２の発信元ＩＰアドレスは、それぞれＡ．Ｂ．Ｃ．Ｄ，Ｅ．Ｆ．Ｇ．Ｈとする。また、トンネルベーストラヒック迂回装置１０３３は入力物理回線１０５３を収容し、その物理回線にはＩＰ−ｉｎ−ＩＰトンネル１０１３が設定されている。ＩＰ−ｉｎ−ＩＰトンネル１０１３の発信元ＩＰアドレスは、Ｉ．Ｊ．Ｋ．Ｌとする。
【００２６】
図２はトンネルベーストラヒック迂回装置１０３２の機能ブロックである。
【００２７】
この装置は、図１５の従来のトラヒック迂回装置３２に、カプセル化処理を行うカプセル化処理部１３０４と、トンネル情報テーブル１３０５が追加されている。また、入力物理回線対応にルーティング処理ができるように、ルーティング部３０１とアクセス制御リスト３０３がそれぞれルーティング部１３０１とアクセス制御リスト１３０２して改変されている。
【００２８】
表２、表３はそれぞれアクセス制御リスト１３０２、トンネル情報テーブル１３０５の例を示している。アクセス制御リスト１３０２は、入力物理回線識別子と宛先アドレスと出力物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子で構成されている。トンネル情報テーブル１３０５は出力物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子と送信元ＩＰアドレスで構成されている。
【００２９】
【表２】
2006246146.tif 000004
【００３０】
【表３】
2006246146.tif 000005
【００３１】
次に、攻撃コンピュータ１からパケットを受信した時のトンネルベーストラヒック迂回装置１０３２の処理を示す。ルーティング部１３０１では、アクセス制御リスト１３０２に従い転送すべき出力物理回線（この例では１０２１）とＩＰ−ｉｎ−ＩＰトンネル（この例では１０１１）を特定する。カプセル化処理部１３０４は、トンネル情報テーブル１３０４から、出力物理回線１０２１、ＩＰ−ｉｎ−ＩＰトンネル１０１１に関連する物理回線識別子１０２１、その送信元ＩＰアドレス（この例ではＡ．Ｂ．Ｃ．Ｄ）を取得する。次に、その送信元ＩＰアドレスを外側ＩＰヘッダの送信元ＩＰアドレスとして、該当する物理回線へ受信パケットを送信する。
【００３２】
図３はトンネルベース検出装置１０４１の機能ブロックである。
【００３３】
この装置１０４１は、トンネルベーストラヒック迂回装置１０３２と１０３３から、それぞれ物理回線１０２１、１０２２を疎通しているＩＰ−ｉｎ−ＩＰトンネル１０１１と１０１２、１０１３を収容している。
【００３４】
この装置１０４１は、図１３の従来の検出・対処装置４１に、デカプセル化処理を行うデカプセル化処理部１１０１と、迂回装置の特定を行う迂回装置特定部１１０２と、トンネル情報テーブル１１０３が追加されて構成されている。
【００３５】
表４にトンネル情報テーブル１１０３の例を示す。トンネル情報テーブル１１０３は物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子と送信元ＩＰアドレス送信元迂回装置識別子と送信元迂回装置入力物理回線識別子で構成されている。
【００３６】
【表４】
2006246146.tif 000006
【００３７】
次に、トンネルベーストラヒック迂回装置１０３２，１０３３からのパケットを受信した時のトンネルベース検出装置１０４１の処理を示す。トラヒック入力部１０１のデカプセル化処理部１１０１では、受信パケットの物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子、外側ＩＰヘッダの送信元ＩＰアドレスを調べる。次に、トンネル情報テーブル１１０３から、それらにマッチする送信元迂回装置識別子、送信元迂回装置入力物理回線識別子を取得する。これにより、迂回装置ならびに入力物理回線を特定することが可能となる。
【００３８】
［第２の実施形態］
図４は攻撃トラヒックが疎通するトラヒックを迂回させた迂回装置を特定する機能を追加したトンネルベース検出装置の機能ブロックである。
【００３９】
この装置は、第１の実施形態のトンネルベース検出装置１０４１（図３）に、集約したＩＰ−ｉｎ−ＩＰトンネルから流入するトラヒックを格納するトンネルフローテーブル１１０６と、該テーブル１１０６から攻撃トラヒックが疎通しているトンネルを検出する攻撃トンネル検出部１１０１と、その攻撃トンネルの発信基である迂回装置を特定する攻撃迂回装置特定部１１０５と、攻撃トラヒック迂回装置テーブル１１０７が追加されている。
【００４０】
表５と表６に、それぞれトンネルフローテーブル１１０６、攻撃トラヒック迂回装置情報テーブル１１０７の例を示す。トンネルフローテーブル１１０６は物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子とからなり、それぞれ、フロー識別子、フロー状態、宛先ＩＰアドレス、パケットレートから構成される。攻撃トラヒック迂回装置情報テーブル１１０７は攻撃トラヒック迂回装置識別子と攻撃トラヒック入力物理回線識別子とＩＰアドレスで構成される。
【００４１】
【表５】
2006246146.tif 000007
【００４２】
【表６】
2006246146.tif 000008
【００４３】
次に、この装置の処理を説明する。
【００４４】
トラヒック入力部１０１は、受信したパケットを物理回線・ＩＰ−ｉｎ−ＩＰトンネルごとにフロー（ここでは宛先アドレス単位のパケットの流れ）単位でレート（単位時間当たりに疎通したパケット数）を計測し、その結果をトンネル情報テーブル１１０３に格納する。
【００４５】
攻撃トンネル検出部１１０１では、攻撃パケット検出アルゴリズムにしたがってフローが攻撃であるかどうか調べる。ここでは文献ＡＣＭ  ＳＩＧＣＯＭＭ  Ｃｏｍｐｕｔｅｒ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｒｅｖｉｅｗ，Ｖｏｌｕｍｅ  ３４，Ｉｓｓｕｅ  ２（Ａｐｒｉｌ  ２００４）Ｐａｇｅｓ：３９−５３“Ａ  Ｔａｘｏｎｏｍｙ  ｏｆ  ＤＤｏＳ  Ａｔｔａｃｋｓ  ａｎｄ  ＤＤｏＳ  Ｄｅｆｅｎｓｅ  Ｍｅｃｈａｎｉｓｍｓ”、Ｊ．Ｍｉｒｋｏｖｉｃら著において記述されているアルゴリズムである「宛先ＩＰアドレスごとに集約したフローのレートが閾値を超えた場合被疑攻撃フローと判断する」を使用しているとする。
【００４６】
表５の宛先ＩＰアドレスα．β．γ．ε宛のパケットレートの総和が閾値を超えていた場合、その宛先ＩＰアドレスのフローの状態を「攻撃」とする。
【００４７】
攻撃トンネル検出部１１０１は、新たに攻撃フローを検出した場合、攻撃トラヒック迂回装置特定部１１０５に通知する。
【００４８】
その通知を受け取った攻撃トラヒック迂回装置特定部１１０５は、フロー状態が「攻撃」であるフローを含む物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子を取得する。次に、トンネル情報テーブル１１０３から取得した物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子と一致する送信元迂回装置識別子、送信元迂回装置入力物理回線識別子、送信元ＩＰアドレスを取得し、それぞれ攻撃トラヒック迂回装置情報テーブル１１０７の攻撃トラヒック迂回装置識別子、攻撃トラヒック入力物理回線識別子、ＩＰアドレスの値として保存する。
【００４９】
これらの値により特定される迂回装置が所望の攻撃トラヒック迂回装置となる。
【００５０】
［第３の実施形態］
図５はこの実施形態の攻撃トラヒック防御システムの構成である。
【００５１】
本実施形態は、図１の攻撃トラヒック防御システムに、攻撃トラヒックを対処する攻撃トラヒック対処装置１２４２，１２４３が追加されて構成されている。
【００５２】
図６は、攻撃トラヒック対処装置を算出機能を有するトンネルベース検出・対処指示装置１２４１の機能ブロックである。
【００５３】
この装置１２４１は、図４の装置に、迂回・対処装置関連テーブル１１０９と、該テーブル１１０９から攻撃トラヒック対処装置を算出する攻撃トラヒック対処装置特定部１１０８が追加されて構成されている。
【００５４】
表７は、各迂回装置に関連する対処装置の情報が保存されている迂回・対処装置関連テーブル１１０９の例を示している。迂回・対処装置関連テーブル１１０９は攻撃トラヒック迂回装置と攻撃トラヒック対処装置で構成されている。
【００５５】
【表７】
2006246146.tif 000009
【００５６】
次に、攻撃トラヒック対処装置特定部１１０８の処理を説明する。攻撃トラヒック迂回装置特定部１１０５から特定通知を受けた攻撃トラヒック対処装置特定部１１０８は、迂回・対処装置トポロジテーブル１１０９より特定された迂回装置に関連した攻撃トラヒック対処装置を特定する。
【００５７】
［第４の実施形態］
図７は本実施形態での実施形態の攻撃トラヒック防御システムの構成図である。
【００５８】
本実施形態では、第３の実施形態の攻撃トラヒック防御システムにおいて、攻撃トラヒック対処装置１２４２，１２４３の代わりに１３０１，１３０２，１３０３，１３０４が追加されている。
【００５９】
また、第３の実施形態での迂回・対処装置関連テーブル１１０９は図８に示すように迂回・対処装置群内の迂回装置・対処装置のトポロジーを表している。このトポロジー情報は、インターネットの場合、情報はＯＳＰＦ（Ｏｐｅｎ  Ｓｈｏｒｔｅｓｔ  Ｐａｔｈ  Ｆｉｒｓｔ）プロトコルのようなリンク状態ルーティングプロトコルが実行されているルータ内のデータベースに存在する（文献“マスタリングＴＣＰ／ＩＰ応用編”Ｐ．Ｍｉｌｌｅｒ著、平成１０年、オーム社）。
【００６０】
次に、攻撃トラヒック対処装置特定部１１０８での処理を説明する。攻撃トラヒック迂回装置特定部１１０５から特定通知を受けた攻撃トラヒック対処装置特定部１１０８では、攻撃トラヒック迂回装置を基点とし、攻撃トラヒック物理回線方向の最短パス木を作成する。最短パス木の作成手順は、前述の文献に記載されている。
【００６１】
図８の例での最短パス木を１４００に示す。最短パス木の端点にある攻撃トラヒック対処装置を所望の攻撃トラヒック対処装置とする。
【００６２】
［第５の実施形態］
図９は、攻撃トラヒック対処装置に対処指示する機能を有するトンネルベース検出・対処指示装置の機能ブロックを示す。
【００６３】
この装置は、算出された攻撃トラヒック対処装置に指示する攻撃トラヒック対処装置間通信部１１１０が図６の装置に追加されている。
【００６４】
図１０に、本実施形態のシーケンスを示す。本実施形態でのシーケンスでのトンネルベーストラヒック迂回装置がトラヒックを他装置へ迂回させるまでの手順は、従来の技術と同じである（図１０の２００１から２００４まで）。迂回トラヒック６を受信した攻撃トラヒック対処指示装置１０４１は、第２の実施形態で述べた手順により攻撃トラヒック迂回装置を特定する（図１０のステップ２００５）。
【００６５】
攻撃トラヒック迂回装置特定部１１０５から特定通知を受けた攻撃トラヒック対処装置特定部１１０８では、迂回・対処装置トポロジテーブル１１０９より特定された迂回装置に関連した攻撃トラヒック対処装置を特定する（図１０の２００６）。そして、特定された攻撃トラヒック対処装置１２４２に対し、攻撃トラヒックを対処するよう指示する（図１０のステップ２００７）。その指示を受けた攻撃対処装置１２４２では、そのトラヒックをフィルターする（図１０のステップ２００８）。
【００６６】
［第６の実施形態］
図１１に本実施形態の各事業者間のシーケンスを示す。
【００６７】
この実施形態は、攻撃トラヒックが発生するインターネットサービスを提供する事業者３０００とそのサービスの利用者３００１と攻撃対処を行う事業者３００２から構成される。
【００６８】
事業者３０００はインターネット４０００を管理する。また、事業者３０００は、転送装置４００１，４００２の転送機能を管理している。さらに、インターネットサービス利用者を管理するインターネットサービス利用者管理装置４１００とインターネットサービス利用者のデータベース４１０１を所有する。
【００６９】
利用者３００１は、図１に示した被攻撃コンピュータ２を所有している。
【００７０】
事業者３００２は、図５に示した迂回・対処装置群１２０３、攻撃トラヒック検出・対処指示装置群１２０４を所有する。さらに、攻撃対処サービスを管理する攻撃対処サービス管理装置４２００と攻撃対処サービス利用者のデータベース４２０１を所有している。
【００７１】
まず、インターネットサービス利用者３００１は、利用しているコンピュータが攻撃を受けていると認識した場合、インターネットサービス提供事業者３０００に攻撃対処依頼３０１１を行う。
【００７２】
それを受けた事業者３０００は、インターネットサービス利用者管理装置４１００を通して、インターネットサービス利用者管理データベース４１０１にそのサービス利用を記録する。また、攻撃対処事業者３００２に対し攻撃対処依頼３０１２を行う。
【００７３】
それを受けた攻撃対処事業者３００２では、攻撃対処サービス管理装置４２００を通して、攻撃対処サービス利用者のデータベース４２０１にそのサービス利用を記録する。また、攻撃対処サービス管理装置４２００を通して、第１〜第５の実施形態で説明した手段により、攻撃トラヒックを対処するとともに対処費を請求する（３０１３）。
【００７４】
それを受けたインターネットサービス提供事業者３０００は、攻撃対処結果を、インターネットサービス利用者管理装置４１００を通して、インターネットサービス利用者管理データベース４１０１に記録し、インターネットサービス利用者３００１に提供するとともに対処費を請求する（３０１４）。
【００７５】
これに従い、インターネットサービス利用者３００１は対処費をインターネットサービス事業者３０００に、事業者３０００は、攻撃対処事業者３００２に対処費を支払う（それぞれ図４での３０１５、３０１６に対応する）。
【００７６】
インターネットサービス利用者３００１から対処費を受領したインターネットサービス提供事業者３６０００は、インターネットサービス利用者管理装置４１００を通して、インターネットサービス利用者管理データベース４１０１にその支払い情報を記録する。
【００７７】
インターネットサービス提供事業者３００１から対処費を受領した攻撃対処事業者３００２では、攻撃対処サービス管理装置４２００を通して、攻撃対処サービス利用者のデータベース４２０１にその支払い情報を記録する。
【図面の簡単な説明】
【００７８】
【図１】本発明の第１の実施形態による攻撃トラヒック防御システムの構成図である。
【図２】図１中のトンネルベーストラヒック迂回装置のブロック図である。
【図３】図１中のトンネルベース検出装置のブロック図である。
【図４】本発明の第２の実施形態による攻撃トラヒック防御システムを構成するトンネルベース検出装置のブロック図である。
【図５】本発明の第３の実施形態による攻撃トラヒック防御システムの構成図である。
【図６】図５中のトンネルベース検出・対処指示装置のブロック図である。
【図７】本発明の第４の実施形態による攻撃トラヒック防御システムの構成図である。
【図８】迂回・対処装置関連テーブルの例を示す図である。
【図９】本発明の第５の実施形態による攻撃トラヒック防御システムを構成するトンネルベース検出・対処指示装置のブロック図である。
【図１０】第５の実施形態による攻撃トラヒック防御システムのシーケンス図である。
【図１１】本発明の第６の実施形態による攻撃トラヒック防御システムの構成図である。
【図１２】従来の攻撃トラヒック防御システムの構成図である。
【図１３】図１２の攻撃トラヒック防御システムのシーケンス図である。
【図１４】図１２中の検出・対処装置のブロック図である。
【図１５】図１２中のトラヒック迂回装置のブロック図である。
【符号の説明】
【００７９】
１    攻撃コンピュータ
２    被攻撃コンピュータ
５    攻撃トラヒック
６    迂回トラヒック
７    通過トラヒック
３１    攻撃トラヒック迂回指示装置
１０１１，１０１２，１０１３    ＩＰ−ｉｎ−ＩＰトンネル
１０２１，１０２２    物理回線
１０３２，１０３３    トンネルベーストラヒック迂回装置
１０４１    トンネルベース検出装置
１０５１，１０５２，１０５３    物理回線
１３０１    ルーティング部
１３０２    アクセス制御リスト
１３０３    アクセス制御リスト更新部
１３０４    カプセル化処理部
１３０５    トンネル情報テーブル
１１０１    カプセル化処理部
１１０２    迂回装置特定部
１１０３    トンネル情報テーブル
１１０５    攻撃トラヒック迂回装置特定部
１１０６    トンネルフローテーブル
１１０７    攻撃トラヒック迂回装置テーブル
１１０８    攻撃トラヒック対処装置特定部
１１０９    迂回・対処装置関連テーブル
１１１０    攻撃トラヒック対処装置間通信部
１２４１    トンネルベース検出・対処指示装置
１２４２、１２４３  攻撃トラヒック対処装置
１３０１〜１３０４  攻撃トラヒック対処装置
１４００    最短パス木
２００１〜２００８    ステップ
３０００    インターネットサービス提供事業者
３００１    インターネットサービス利用者
３００２    攻撃対処事業者
【図１】
2006246146.tif 000010
【図２】
2006246146.tif 000011
【図３】
2006246146.tif 000012
【図４】
2006246146.tif 000013
【図５】
2006246146.tif 000014
【図６】
2006246146.tif 000015
【図７】
2006246146.tif 000016
【図８】
2006246146.tif 000017
【図９】
2006246146.tif 000018
【図１０】
2006246146.tif 000019
【図１１】
2006246146.tif 000020
【図１２】
2006246146.tif 000021
【図１３】
2006246146.tif 000022
【図１４】
2006246146.tif 000023
【図１５】
2006246146.tif 000024