(57)【要約】【課題】ＩＰ通信ネットワーク上における分散型ＤｏＳ攻撃等に対して、攻撃パケットが入力されたエッジルータの見落としを局限するとともに、攻撃パケットの検出を効率よく短時間に行うこと。【解決手段】パケット管理機能を有するエッジルータ２ａ〜２ｄでは、監視によって得られたパケット統計情報に基づいて防御対象のＩＰネットワーク１に対する攻撃検出情報およびＩＰネットワーク１に接続される外部ネットワーク等（４、５ａ〜５ｄ）に転送される転送パケットに付加された入力位置情報付きパケット統計情報が攻撃防御制御サーバ３に伝送される。攻撃防御制御サーバ３では、パケット入力位置情報付き統計情報、サーバ通知手段により通知された攻撃検出情報および防御対象のネットワークのネットワーク構成情報に基づいて攻撃防御処理を実施する位置が決定される。【選択図】        図１
2006325091.tif 000002
【特許請求の範囲】
【請求項１】
防御対象のネットワークに入出力されるパケットに対して所定の管理処理を行うパケット管理手段と、該ネットワークに対する攻撃を検知した攻撃検出情報に基づいて所定の防御処理を行う攻撃防御制御サーバと、を具備するネットワーク攻撃防御システムにおいて、
前記パケット管理手段は、
前記防御対象のネットワークに入出力される入出力パケットの統計情報を監視する統計情報監視手段と、
前記統計情報監視手段の監視によって得られたパケット統計情報に基づいて該ネットワークに対する攻撃を検出する攻撃検出手段と、
前記防御対象のネットワークへの入力パケットに入力位置情報を付与するパケット入力位置情報付与手段と、
前記防御対象のネットワークに接続される外部ネットワークに転送される転送パケットに付与されている入力位置情報を取得するパケット入力位置情報取得手段と、
前記パケット統計情報に前記パケット入力位置情報取得手段により取得されたパケット入力位置情報が付加された入力位置情報付きパケット統計情報と、前記攻撃検出手段により検出された攻撃検出情報と、を出力するサーバ通知手段と、
を備え、
前記攻撃防御制御サーバは、
前記サーバ通知手段により出力されたパケット入力位置情報付き統計情報を収集する統計情報収集手段と、
前記統計情報収集手段により収集されたパケット入力位置情報付き統計情報と、前記サーバ通知手段により通知された攻撃検出情報と、前記防御対象のネットワークに接続される機器の接続構成および階層構造を含むネットワーク構成情報と、に基づいて攻撃防御処理を実施する位置を決定する攻撃防御処理位置決定手段を含む攻撃防御処理決定手段と、
を備えたことを特徴とするネットワーク攻撃防御システム。
【請求項２】
前記パケット管理手段は、前記外部ネットワークに転送される転送パケットに付与されている入力位置情報を取得した後に該転送パケットに付与されている入力位置情報を削除する入力位置情報削除手段をさらに備えることを特徴とする請求項１に記載のネットワーク攻撃防御システム。
【請求項３】
前記パケット入力位置情報付与手段は、前記防御対象のネットワークがＩＰネットワークであるときに、該ネットワークに入力される入力パケットのオプションヘッダに入力位置情報を付与することを特徴とする請求項１または２に記載のネットワーク攻撃防御システム。
【請求項４】
前記パケット入力位置情報付与手段は、前記防御対象のネットワークがＩＰネットワークであるときに、該ネットワークに入力される入力パケットの拡張ヘッダに入力位置情報を付与することを特徴とする請求項１または２に記載のネットワーク攻撃防御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク攻撃防御システムに関するものであり、特に、ＩＰネットワークにおけるネットワーク攻撃防御システムに関するものである。
【背景技術】
【０００２】
近年、アクセスネットワーク・コアネットワークの広帯域化、端末装置の高性能化により、インターネットの利用はますます増大している。こうした中で、Ｗｅｂサイトのダウンや各種サーバへの不正侵入を狙った悪意の攻撃が行われる危険性も高まっており、これらの攻撃に対する対策が重要となってきている。従来、こうした攻撃に対する防御策としては、インターネットと接する各個別のローカルエリアネットワーク入り口にファイアウォールを設置してインターネット側からローカルエリアへの不要な侵入を防ぐとともに、外部からのアクセスを許す各種サーバ等に対しては、ファイアウォールと連動する侵入検出システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）を設置することにより、ローカルエリアネットワークの入り口で攻撃を食い止めるか、公開しているサーバ自身にＩＤＳ機能を実装することによりガードすることが一般的であった。
【０００３】
上述したＩＤＳにおいては、一般に、攻撃検出対象のパケット流の攻撃パターンを記述した“シグネチャ”と呼ばれるルールに照らし合わせて攻撃を検出する方法や、パケット流の振る舞いを常時統計監視し、通常と異なる振る舞いを示すと攻撃と見なす方法が用いられる。しかしながら、こうした検出方法では、ネットワークに接続される数多くの端末装置を操作して、一斉に特定のサーバへアクセスさせるいわゆる分散型ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃への対処は困難である。分散ＤｏＳ攻撃を受けると、被攻撃サーバでのサービス提供が不能になることに加えて、攻撃パケットのトラヒックが負荷となり、ネットワーク全体のパフォーマンスが低下する。このため、攻撃パケットの入力をできる限り上流で遮断することが必要であるが、分散型ＤｏＳ攻撃においては、攻撃元の特定を難しくするため、しばしば、パケットの送信元アドレスが詐称される。またさらに、今後、ますますＩＰ通信サービスのユーザが増大するにつれ、こうした攻撃に対する防御の知識や経験に乏しいユーザでも安心して使えるセーフティなＩＰ通信サービスが求められるようになる。
【０００４】
パケット送信元アドレスを詐称した分散型ＤｏＳ攻撃に対する防御方法としては、例えば、出力パケットフローに基づいて分散型ＤｏＳ攻撃を検出したエッジルータから、Ｈｏｐ  ｂｙ  Ｈｏｐに攻撃パケットの入力ルータを逆探索していく方法や、その改良型として通常のパケット転送ネットワークとは別に構築されたオーバーレイネットワーク上を逆探索していく方法（Ｃｅｎｔｅｒ  Ｔｒａｃｋ方式）が開示されている（例えば、非特許文献１）。また、分散ＤｏＳ攻撃を検出したエッジルータから、攻撃パケットの上流に向かってパケットフィルタリング機能そのものが順次送出され、この順次送出されたパケットフィルタリング機能に基づいて、攻撃防御を行う方法なども開示されている（例えば、特許文献１）。
【０００５】
【特許文献１】特開２００２−１６４９３８号公報
【非特許文献１】Ｃｅｎｔｅｒ  Ｔｒａｃｋ：  Ａｎ  ＩＰ  Ｏｖｅｒｌａｙ  Ｎｅｔｗｏｒｋ  ｆｏｒ  Ｔｒａｃｋｉｎｇ  ＤｏＳ  Ｆｌｏｏｄｓ（ＮＡＮＯＧ１７，  Ｏｃｔｏｂｅｒ  １９９９）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、分散型ＤｏＳ攻撃に対する上記特許文献１などに示される従来の防御方法は、上述のように、攻撃パケットの転送経路を１Ｈｏｐずつ特定して逆探索していく方法であるため、攻撃パケットの入力箇所を特定するまでに数段階の網内探索が必要であり、結果判定に至るまで時間を要するという問題点があった。
【０００７】
また、逆探索する網のトポロジーを簡単化して探索時間を短縮するようなＣｅｎｔｅｒＴｒａｃｋ方式を用いた上記非特許文献１などに示される従来の防御方法では、各攻撃パケット送信元から断続的に攻撃パケットが入力されるようなパターンでは、次Ｈｏｐ逆探索処理中に、たまたま攻撃パケット入力が中断すると、入力エッジルータの見落としが発生する可能性があり、攻撃パケットが入力された全てのエッジルータの検出に至れないことがあるという問題点があった。
【０００８】
さらに、攻撃防御サーバにて収集した統計情報と、ネットワーク構成情報に基づく分析を行うような従来手法では、攻撃パケットが入力されているエッジルータを特定するだけでも、多くの統計情報に基づいた分析処理を行う必要があり、入力位置を特定する分析処理の負荷が高くなるという問題点があった。
【０００９】
本発明は、上記に鑑みてなされたものであって、ＩＰ通信ネットワーク上の分散型Ｄｏｓ攻撃等において、攻撃パケットが入力されたエッジルータの見落としを局限するとともに、攻撃パケットの検出を効率よく短時間に行うことができるネットワーク攻撃防御システムを実現することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、本発明にかかるネットワーク攻撃防御システムは、防御対象のネットワークに入出力されるパケットに対して所定の管理処理を行うパケット管理手段と、該ネットワークに対する攻撃を検知した攻撃検出情報に基づいて所定の防御処理を行う攻撃防御制御サーバと、を具備するネットワーク攻撃防御システムにおいて、前記パケット管理手段は、前記防御対象のネットワークに入出力される入出力パケットの統計情報を監視する統計情報監視手段と、前記統計情報監視手段の監視によって得られたパケット統計情報に基づいて該ネットワークに対する攻撃を検出する攻撃検出手段と、前記防御対象のネットワークへの入力パケットに入力位置情報を付与するパケット入力位置情報付与手段と、前記防御対象のネットワークに接続される外部ネットワークに転送される転送パケットに付与されている入力位置情報を取得するパケット入力位置情報取得手段と、前記パケット統計情報に前記パケット入力位置情報取得手段により取得されたパケット入力位置情報が付加された入力位置情報付きパケット統計情報と、前記攻撃検出手段により検出された攻撃検出情報と、を出力するサーバ通知手段と、を備え、前記攻撃防御制御サーバは、前記サーバ通知手段により出力されたパケット入力位置情報付き統計情報を収集する統計情報収集手段と、前記統計情報収集手段により収集されたパケット入力位置情報付き統計情報と、前記サーバ通知手段により通知された攻撃検出情報と、前記防御対象のネットワークに接続される機器の接続構成および階層構造を含むネットワーク構成情報と、に基づいて攻撃防御処理を実施する位置を決定する攻撃防御処理位置決定手段を含む攻撃防御処理決定手段と、を備えたことを特徴とする。
【発明の効果】
【００１１】
本発明にかかるネットワーク攻撃防御システムによれば、入力パケットに入力位置情報が付加された入力位置情報付き統計情報、検出された攻撃検出情報および防御対象のネットワークに接続される機器の接続構成および階層構造を含むネットワーク構成情報に基づいて攻撃防御処理を実施する位置を決定するようにしているので、攻撃パケットが入力された箇所の見落としを局限することができるとともに、攻撃パケットの検出を効率よく短時間に行うことができるという効果を奏する。
【発明を実施するための最良の形態】
【００１２】
以下に、本発明にかかるネットワーク攻撃防御システムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。
【００１３】
実施の形態
図１は、通信ネットワーク上に設置された本発明にかかるネットワーク攻撃防御システムの構成を示す説明図である。図１において、所定のＩＰ通信が行われるＩＰネットワーク１が存在し、このＩＰネットワーク１にはエッジルータ２ａ〜２ｄと、攻撃防御制御サーバ３とが接続されている。また、エッジルータ２ａ〜２ｄには、ローカルエリアネットワーク５ａ〜５ｄのそれぞれが接続されている。また、ローカルエリアネットワーク５ａ〜５ｄには、情報処理端末６ａ〜６ｆのそれぞれが収容されている。なお、これらの情報処理端末６ａ〜６ｆは、各種アプリケーションにて、サーバとして動作する場合もある。
【００１４】
なお、この実施の形態では、入力パケットとは防御対象であるＩＰネットワーク１に入力されるパケットのことを意味し、一方、出力パケットとは防御対象であるＩＰネットワーク１から出力されるパケットのことを意味するものとする。
【００１５】
図２は、本発明にかかるパケット管理機能を備えたエッジルータの構成を示す説明図である。同図において、エッジルータ２はパケット管理部２０を備え、このパケット管理部２０は、入出力パケットの統計情報（以下「パケット統計情報」と呼称）を監視する統計情報監視手段２１と、統計情報監視手段２１の監視によって得られたパケット統計情報に基づいてＩＰネットワーク１に対する攻撃を検出する攻撃検出手段２２と、ＩＰネットワーク１への入力パケットに入力位置情報を付与する入力位置情報付与手段２４と、ネットワーク外部（ＩＰネットワーク１以外のネットワークを意味し、例えば、外部ＩＰネットワーク４や他のローカルエリアネットワークなどが該当）に転送される転送パケットに付与されている入力位置情報を取得する入力位置情報取得手段２５と、外部ネットワークに転送される転送パケットに付与されている入力位置情報を取得した後に当該転送パケットに付与されている入力位置情報を削除する入力位置情報削除手段２６と、統計情報監視手段２１の監視によって得られたパケット統計情報に入力位置情報取得手段２５によって取得されたパケット入力位置情報が付加された統計情報（以下「入力位置情報付きパケット統計情報」と呼称）や、攻撃検出手段２２によって検出された検出情報（以下「攻撃検出情報」と呼称）などを攻撃防御制御サーバ３へ通知するサーバ通知手段２３と、を備えるように構成されている。なお、フィルタリング手段２００は、パケットに付与されている情報に基づいて、特定の条件を満たすものだけを通過させる、あるいは破棄するような一般的なルータに具備される機能を備えている。
【００１６】
なお、上述のパケット統計情報とは、入出力パケットに含まれる宛先アドレス、送信元アドレス、シグネチャなどの一定期間収集された情報を意味している。また、上記で定義した入力位置情報付きパケット統計情報とは、このパケット統計情報に入力位置情報取得手段２５によって取得されたパケット入力位置情報が付加された情報を意味している。なお、このパケット入力位置情報は、例えば、ＩＰｖ４のオプションヘッダやＩＰｖ６の拡張ヘッダなどを用いることができる。
【００１７】
図３は、本発明にかかる攻撃防御制御サーバ３の構成を示す説明図である。同図において、攻撃防御制御サーバ３は、各エッジルータ２に具備されるパケット管理部２０から通知された入力位置情報付きパケット統計情報を収集する統計情報収集手段３１と、この統計情報収集手段３１により収集された入力位置情報付きパケット統計情報を保持するパケット統計情報ＤＢ３２と、例えば、接続構成や階層構造などのネットワーク構成情報を保持するネットワーク構成情報ＤＢ３３と、を備えるように構成される。また、パケット統計情報ＤＢ３２に保持された入力位置情報付きパケット統計情報や、ネットワーク構成情報ＤＢ３３に保持されたネットワーク構成情報に基づいて、例えば攻撃防御を実施する位置を決定する攻撃防御処理位置決定手段３４１を含む攻撃防御処理決定手段３４を備えるように構成される。
【００１８】
図４は、本発明にかかるネットワーク攻撃防御システム上の動作シーケンスを示す説明図である。以下、図４に示すシーケンス図および図１〜図３の各構成図を参照して、本発明にかかるネットワーク攻撃防御システムの動作について説明する。
【００１９】
各エッジルータ２は、自身の統計情報監視手段２１によって、例えば、パケット統計情報に含まれる各宛先アドレス、送信元アドレス、パケット入力位置情報が所定周期内に何個受信されたかをカウントするなどしてパケット統計情報を監視する。例えば図４において、エッジルータ２ａの攻撃検出手段２２は、統計情報監視手段２１によって監視された監視情報に基づいて、例えばローカルエリアネットワーク５ａに収容される情報処理端末６ａに対する攻撃パケット出力（例えばＤｏＳ攻撃）を検出した場合（ＳＱ１０１）、サーバ通知手段２３は、攻撃が行われたことを示す攻撃検出情報を攻撃防御制御サーバ３に通知する（ＳＱ１０２）。なお、当該通知に併せて、攻撃パケットと判断した入力位置情報付き統計情報も通知される。
【００２０】
これに対して、攻撃防御制御サーバ３の攻撃防御処理位置決定手段３４１は、エッジルータ２ａから入力位置情報付き統計情報を含む攻撃検出情報が通知されると、この攻撃検出情報と、ネットワーク構成情報ＤＢ３３に保存されたネットワーク構成情報と、に基づき、攻撃パケットが入力されているエッジルータ２を特定する（ＳＱ１０３）。そして、攻撃防御処理決定手段３４は、この特定した攻撃パケットが入力されたエッジルータ２に対して、攻撃パケットの宛先アドレスおよび送信元アドレス情報を含む攻撃パケットの入力を遮断するように攻撃防御処理指示の一つである攻撃パケット入力遮断指示を送出する。
【００２１】
ここで例えば、単一の攻撃元によるＤｏＳ攻撃で、攻撃パケットが入力されているエッジルータはエッジルータ２ｂであると特定されると、攻撃防御処理決定手段３４により、エッジルータ２ｂに対して、攻撃パケットの宛先アドレスおよび送信元アドレス情報を含む攻撃パケットの入力を遮断するように攻撃パケット入力遮断指示が送出される（ＳＱ１０４）。
【００２２】
また例えば、複数の攻撃元による分散型ＤｏＳ攻撃で、攻撃パケットが入力されているエッジルータはエッジルータ２ｂ、２ｃであると特定されると、攻撃防御処理決定３４により、エッジルータ２ｂ、２ｃに対して、攻撃パケットの宛先アドレスおよび送信元アドレス情報を含む攻撃パケットの入力を遮断するように攻撃パケット入力遮断指示が送出される（ＳＱ１０４、ＳＱ１０５）。
【００２３】
そして、エッジルータ２ｂ、２ｃでは、攻撃防御制御サーバ３から攻撃パケットの入力を遮断するための攻撃パケット入力遮断指示を受け取ったフィルタリング手段２００が、この指示により指定された宛先アドレスおよび送信元アドレスに合致する入力パケット、すなわち攻撃パケットの廃棄処理を開始する（ＳＱ１０６、ＳＱ１０７）。この処理により、攻撃パケットがＩＰネットワーク１内に流入されるのを防御することができる。
【００２４】
上記の攻撃防御処理の後、エッジルータ２ａの攻撃検出手段２２は、攻撃パケットの出力が消滅したと判断すると（ＳＱ１０８）、攻撃防御制御サーバ３に対して、攻撃パケットの出力が消滅したという攻撃消滅情報を通知する（ＳＱ１０９）。攻撃消滅情報を受信した攻撃防御制御サーバ３は、エッジルータ２ｂ、２ｃに対して、攻撃パケットの入力遮断を解除するように攻撃パケット入力遮断解除指示を送出する（ＳＱ１１０、ＳＱ１１１）。
【００２５】
すると、エッジルータ２ｂ、２ｃでは、攻撃防御制御サーバ３から攻撃パケットの入力遮断を解除するための攻撃パケット入力遮断解除指示を受け取ったフィルタリング手段２００が、この指示により攻撃パケットの廃棄処理を解除し（ＳＱ１１２、ＳＱ１１３）、ＤｏＳ攻撃が検出される前の状態に戻る。
【００２６】
以上のように、本発明にかかるネットワーク攻撃防御システムでは、入力パケットに入力位置情報が付加された入力位置情報付き統計情報に基づいて、攻撃パケットが入力されたエッジルータを特定するようにしているので、例えば出力側でＤｏＳ攻撃が検出されたことを契機として、効率よく、かつ攻撃パケットの入力が断続的であったとしても取りこぼすことなく、その攻撃パケットの入力エッジルータを特定することができ、ＤｏＳ攻撃からＩＰネットワークを防御することができる。特に、送信元アドレスを詐称した分散型ＤｏＳ攻撃の場合においても、効率よく、かつ攻撃パケットの入力エッジルータを見落とすことなく検出することができる。
【００２７】
また、外部ネットワークに転送される転送パケットに付与されている入力位置情報を取得した後に当該転送パケットに付与されている入力位置情報を削除することで、転送パケットに入力位置情報が付加されているといった情報や、入力位置情報のフォーマット情報などが外部ネットワークに漏洩することがないので、セキュリティ強度を高めることができる。なお、入力位置情報のフォーマットを定期的に変更するようにすれば、セキュリティ強度をさらに高めることができる。
【００２８】
また、各エッジルータの出力パケット統計情報に基づいているため、既知のＤｏＳ攻撃だけでなく、未知のＤｏＳ攻撃に対しても、柔軟に対応することができる。
【００２９】
また、この実施の形態では、エッジルータ２内にパケット管理部２０を備えた場合について説明したが、エッジルータ２の入出力パケットを管理できればこれに限られず、エッジルータ２とは別に設けても同様の効果を得ることができる。
【００３０】
また、この実施の形態では、エッジルータ２内にパケット管理部２０を備えた場合について説明したが、パケットを転送する装置であればこれに限られず、エッジルータ以外のルータや終端装置にパケット管理部２０を設けても同様の効果を得ることができる。この場合も、パケット管理部２０をルータ等に内蔵しても、別に設けてもよい。
【００３１】
なお、上述の実施の形態では、防御対象ネットワークとしてＩＰネットワークを一例として説明したが、ＩＰネットワークに限定されるものではなく、ＩＰネットワーク以外の他のネットワークであっても勿論よい。肝要な点は、自身のネットワークに侵入する攻撃パケットに入力位置情報を付与する点と、入力位置情報が付与された攻撃パケットが自身のネットワークから外部のネットワークに出力される場合に、付与された入力位置情報を削除する点にあり、これらの処理はＩＰネットワーク以外のネットワークにおいても、容易に実現することができる。
【産業上の利用可能性】
【００３２】
以上のように、本発明にかかるネットワーク攻撃防御システムは、例えばＤｏＳ攻撃等に対して有用な侵入検出システムであり、特に、分散型ＤｏＳ攻撃に好適な侵入検出システムである。
【図面の簡単な説明】
【００３３】
【図１】通信ネットワーク上に設置された本発明にかかるネットワーク攻撃防御システムの構成を示す説明図である。
【図２】本発明にかかるパケット管理機能を備えたエッジルータの構成を示す説明図である。
【図３】本発明にかかる攻撃防御制御サーバの構成を示す説明図である。
【図４】本発明にかかるネットワーク攻撃防御システム上の動作シーケンスを示す説明図である。
【符号の説明】
【００３４】
１  ＩＰネットワーク
２ａ、２ｂ、２ｃ、２ｄ  エッジルータ
３  攻撃防御制御サーバ
４  外部ＩＰネットワーク
５ａ、５ｂ、５ｃ、５ｄ  ローカルエリアネットワーク
６ａ、６ｂ、６ｃ、６ｄ、６ｅ、６ｆ  情報処理端末
２０  パケット管理部
２１  統計情報監視手段
２２  攻撃検出手段
２３  サーバ通知手段
２４  入力位置情報付与手段
２５  入力位置情報取得手段
２６  入力位置情報削除手段
３１  統計情報収集手段
３２  パケット統計情報ＤＢ
３３  ネットワーク構成情報ＤＢ
３４  攻撃防御処理決定手段
２００  フィルタリング手段
３４１  攻撃防御処理位置決定手段
【図１】
2006325091.tif 000003
【図２】
2006325091.tif 000004
【図３】
2006325091.tif 000005
【図４】
2006325091.tif 000006