(57)【要約】【課題】  ＤｏＳ攻撃、ＤＤｏＳ攻撃、ワンギリ攻撃のＳＩＰパケットフィルタリングをユーザの端末よりも前段において実施する。【解決手段】  ＤｏＳ攻撃、ＤＤｏＳ攻撃、ワンギリで行われる１シーケンスを所定条件として記録し、通過するＳＩＰパケットが当該所定条件に合致した疑わしいシーケンスか、さらに、短期間に当該疑わしいシーケンスが大量に行われたかを調査し、所定リスト（悪意ユーザリスト）を作成し、これをネットワーク間接続装置またはＳＩＰサーバに転送する。【選択図】  図１
2006100873.tif 000002
【特許請求の範囲】
【請求項１】
ＳＩＰ悪意シーケンスを識別するための所定条件が記録されたリストおよびこの所定条件を満たす悪意ユーザが記録されたリストと、
ＳＩＰパケットを受け取って前記リストを参照し当該ＳＩＰパケットがＳＩＰ悪意シーケンスに関わるＳＩＰパケットであるか否かを判定する手段と
を備えたＳＩＰパケットフィルタリング装置。
【請求項２】
前記所定条件は、過去に実行された複数のＳＩＰ悪意シーケンスに基づき導出された複数のＳＩＰ悪意シーケンス例の情報を含み、
前記判定する手段は、当該ＳＩＰパケットがいずれかの前記ＳＩＰ悪意シーケンス例に類似するシーケンスの少なくとも一部に関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む
請求項１記載のＳＩＰパケットフィルタリング装置。
【請求項３】
前記判定する手段の判定結果に基づき前記悪意ユーザが記録されたリストを更新する手段を備えた請求項１記載のＳＩＰパケットフィルタリング装置。
【請求項４】
ＵＤＰ(User Datagram Protocol) またはＴＣＰ(Transmission
Control Protocol)パケットフィルタリングまたはＳＩＰ(Session Initiation Protocol)パケットフィルタリング機能とＳＩＰパケット転送機能とを有するネットワーク間接続装置またはＳＩＰサーバに接続され、
前記判定する手段の判定結果を前記ネットワーク間接続装置または前記ＳＩＰサーバに転送する手段が設けられ、
この転送する手段は、前記判定する手段の判定結果を当該ＳＩＰパケットの拡張領域に埋め込み前記ネットワーク間接続装置または前記ＳＩＰサーバに転送する手段を備えた
請求項１記載のＳＩＰパケットフィルタリング装置。
【請求項５】
請求項１記載のＳＩＰパケットフィルタリング装置から転送された前記判定結果に基づきＳＩＰパケットをフィルタリングする手段を備えたネットワーク間接続装置。
【請求項６】
請求項１記載のＳＩＰパケットフィルタリング装置から転送された前記判定結果に基づきＳＩＰパケットをキャンセルする手段を備えたＳＩＰサーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＳＩＰ(Session initiation Protocol)パケットが通過するパケット網間を接続するネットワーク間接続装置またはＳＩＰサーバに利用する。特に、ＳＩＰにおけるＤｏＳ(Denial
of Service)攻撃、ＤＤｏＳ(Distributed Denial of Service)攻撃、ワンギリ攻撃、無応答攻撃などに利用されるパケットをフィルタリングする技術に関する。
【背景技術】
【０００２】
昨今では、インターネットを利用した、いわゆるＩＰ(Internet
Protocol)電話サービスが普及しつつある。ＩＰ電話サービスは、インターネット接続した二者間において通信セッションを用意し、電話サービスを提供するというものである。
【０００３】
ＩＰ電話サービスでは交換機を介さず、電話機同士が直接インターネットにより接続されて通信を行うことができる。この際、通信相手を探索するためのサーバとこのサーバとの間で情報をやりとりするためのプロトコルが必要になる。ＳＩＰは、そのようなプロトコルの一つである。
【０００４】
このように交換機を介さない通信では、悪意のユーザによって行われる様々な攻撃を交換機側で排除することができないため、ＳＩＰ端末自身あるいはネットワーク間接続装置あるいはＳＩＰサーバにおいて、何らかの対策をとることが望まれる。
【０００５】
ＳＩＰ端末におけるＳＩＰパケットの遮断は、送信元ＩＰアドレスとポート番号、送信先ＩＰアドレスとポート番号、ユーザの認証ＩＤ、ＣＡＬＬ−ＩＤまたは異常シーケンスかどうかを用いるしかなかった（例えば、非特許文献１参照）。
【０００６】
【非特許文献１】インプレス社のＥｎｔｅｒｐｒｉｓｅ  ｗａｔｃｈの記事（２００４／３／２６）、「インターネット電話のダークサイドを検証  ピアトゥピアを悪用した“ワンギリ”とその対策」、［ｏｎｌｉｎｅ］、（株）インプレス、２００４年３月２６日発行、インターネット電話のワンギリ対策法、［平成１６年８月１３日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｅｎｔｅｒｐｒｉｓｅ．ｗａｔｃｈ．ｉｍｐｒｅｓｓ．ｃｏ．ｊｐ／ｃｄａ／ｎｅｔｗｏｒｋ／２００４／０３／２６／１７２４．ｈｔｍｌ＞
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、このような従来の技術では、次のような問題点があった。
【０００８】
例えば、ＳＩＰのＤｏＳ攻撃、ＤＤｏＳ攻撃、大規模ワンギリ攻撃といった短期間内に大量のＳＩＰパケットを送信する攻撃が行われた場合に、正しいシーケンスであっても、特定送信先を攻撃目標とした連続攻撃の回避、または、特定送信元からの連続攻撃の回避が重要となる。
【０００９】
これには、送信元ＩＰアドレスとポート番号、送信先ＩＰアドレスとポート番号、ユーザの認証ＩＤ、ＣＡＬＬ−ＩＤまたは異常シーケンスに関する情報について１シーケンス毎に監視するのではなく、短い期間内に送受信された特定のＳＩＰシーケンスの回数も用いて、攻撃パケットの特定または攻撃ユーザの特定を行い、攻撃経路上すべてのＳＩＰフィルタリング装置にて特定ＳＩＰパケットのフィルタリングまたはキャンセルによる回避が重要である。
【００１０】
本発明は、このような課題を解決するためのものであり、ＳＩＰパケットのシーケンスおよび送信時間および送信回数に基づき、ＳＩＰパケットのフィルタリングまたはキャンセルのための情報を、ネットワーク間接続装置またはＳＩＰサーバまたは他のＳＩＰパケットフィルタリング装置に提供することを目的とする。
【００１１】
なお、フィルタリングには、ＳＩＰパケットの廃棄またはＳＩＰパケットのエラー返答の双方を含むものとして説明する。
【課題を解決するための手段】
【００１２】
上述した課題を解決するために、本発明のＳＩＰパケットフィルタリング装置は、所定条件（ＳＩＰ悪意シーケンス情報）および所定リスト（悪意ユーザリスト）を持つことを特徴とする。
【００１３】
すなわち、ＤｏＳ攻撃、ＤＤｏＳ攻撃、ワンギリ攻撃、無応答攻撃で行われるＳＩＰにおける１シーケンスを前記所定条件として記録し、本発明のＳＩＰパケットフィルタリング装置を通過するＳＩＰパケットが前記所定条件に合致した疑わしいシーケンスか、さらに、短期間に疑わしいシーケンスが大量に行われたかを調査し、その調査結果に基づき所定リスト（悪意ユーザリスト）を作成し、前記所定リストに該当するＳＩＰパケットのフィルタリングを行う。
【００１４】
ＳＩＰパケットのフィルタリングは、例えば、パケット網に接続し、ＳＩＰパケットフィルタリングが実施可能なネットワーク間接続装置またはＳＩＰサーバに本発明のＳＩＰパケットフィルタリング装置を接続し、これらのネットワーク間接続装置またはＳＩＰサーバに対し、本発明のＳＩＰパケットフィルタリング装置からフィルタリングの際に用いる設定情報として前記所定リストを転送することにより行われる。
【００１５】
すなわち、本発明の第一の観点はＳＩＰパケットフィルタリング装置であって、本発明の特徴とするところは、ＳＩＰ悪意シーケンスを識別するための所定条件が記録されたリストおよびこの所定条件を満たす悪意ユーザが記録されたリストと、ＳＩＰパケットを受け取って前記リストを参照し当該ＳＩＰパケットがＳＩＰ悪意シーケンスに関わるＳＩＰパケットであるか否かを判定する手段とを備えたところにある。
【００１６】
前記所定条件は、過去に実行された複数のＳＩＰ悪意シーケンスに基づき導出された複数のＳＩＰ悪意シーケンス例の情報を含み、前記判定する手段は、当該ＳＩＰパケットがいずれかの前記ＳＩＰ悪意シーケンス例に類似するシーケンスの少なくとも一部に関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含むことが望ましい。
【００１７】
例えば、前記所定条件は、短い所定周期で連続的に繰り返されるＤｏＳ攻撃またはＤＤｏＳ攻撃に関わるＳＩＰ悪意シーケンス例の情報を含み、前記判定する手段は、当該ＳＩＰパケットが短い所定周期で連続的に繰り返されるシーケンスに関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。これにより、ＤｏＳ攻撃、ＤＤｏＳ攻撃、ワンギリ攻撃を判定することができる。
【００１８】
例えば、前記所定条件は、リンギングからキャンセルまでが短い所定時間内に行われるいわゆるワンギリ攻撃に関わるＳＩＰ悪意シーケンス例の情報を含み、前記判定する手段は、当該ＳＩＰパケットがリンギングからキャンセルまでが短い所定時間内に行われるシーケンスに関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。これにより、ワンギリ攻撃を判定することができる。
【００１９】
例えば、前記所定条件は、リンギングに対する応答が長い所定時間以上経過しても行われないいわゆる無応答攻撃に関わるＳＩＰ悪意シーケンス例の情報を含み、前記判定する手段は、当該ＳＩＰパケットがリンギングに対する応答が長い所定時間以上経過しても行われないシーケンスに関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。これにより、いわゆる「無応答」による攻撃を判定することができる。なお、「無応答」による攻撃も相手に着信履歴を残し通話を行わない点でワンギリ攻撃の一つの形態である。
【００２０】
また、前記判定する手段の判定結果に基づき前記悪意ユーザが記録されたリストを更新する手段を備えることが望ましい。これにより、新たに発生する悪意ユーザに対処することができると共に、不必要となった記録を削除し、メモリの有効利用を図ることができる。
【００２１】
また、ＵＤＰ(User Datagram Protocol) またはＴＣＰ(Transmission
Control Protocol)パケットフィルタリングまたはＳＩＰ(Session Initiation Protocol)パケットフィルタリング機能とＳＩＰパケット転送機能とを有するネットワーク間接続装置またはＳＩＰサーバに接続され、前記判定する手段の判定結果を前記ネットワーク間接続装置または前記ＳＩＰサーバに転送する手段が設けられ、この転送する手段は、前記判定する手段の判定結果を当該ＳＩＰパケットの拡張領域に埋め込み前記ネットワーク間接続装置または前記ＳＩＰサーバに転送する手段を備えることが望ましい。これにより、判定結果をネットワーク間接続装置またはＳＩＰサーバに転送するためのパケットを新たに生成する必要がなく、ネットワーク資源または帯域を有効利用することができる。
【００２２】
本発明の第二の観点は、本発明のＳＩＰパケットフィルタリング装置から転送された前記判定結果に基づきＳＩＰパケットをフィルタリングする手段を備えたネットワーク間接続装置である。
【００２３】
本発明の第三の観点は、本発明のＳＩＰパケットフィルタリング装置から転送された前記判定結果に基づきＳＩＰパケットをキャンセルする手段を備えたＳＩＰサーバである。
【発明の効果】
【００２４】
本発明によれば、ＳＩＰにおけるＤｏＳ攻撃、ＤＤｏＳ攻撃、ワンギリ攻撃（無応答攻撃を含む）のパケットをユーザ端末よりも前段にてシーケンスとその回数から判断し、ＳＩＰパケットフィルタリングを広範囲に実施することができる。
【発明を実施するための最良の形態】
【００２５】
本発明実施例のＳＩＰパケットフィルタリング装置およびネットワーク間接続装置およびＳＩＰサーバを図１、図３、図５を参照して説明する。図１は本実施例のネットワーク間接続装置に接続されたＳＩＰパケットフィルタリング装置を示す図である。図３は本実施例のＳＩＰサーバに接続されたＳＩＰパケットフィルタリング装置を示す図である。図５は本実施例のＳＩＰパケットフィルタリング装置のブロック構成図である。なお、本実施例では、説明をわかりやすくするために、図５に示すように、ネットワーク間接続装置またはＳＩＰサーバ５３１と、ＳＩＰパケットフィルタリング装置５３２とをそれぞれ別装置として説明するが、ネットワーク間接続装置またはＳＩＰサーバ５３１の機能と、ＳＩＰパケットフィルタリング装置５３２の機能とを併せ持った一つの装置として構成することもできる。
【００２６】
本発明のＳＩＰパケットフィルタリング装置は、図１または図３に示すように、ＵＤＰまたはＴＣＰパケットフィルタリングまたはＳＩＰパケットフィルタリング機能とＳＩＰパケット転送機能とを有するネットワーク間接続装置１３１またはＳＩＰサーバ３３１に接続され、図５に示すように、ＳＩＰ悪意シーケンスを識別するための所定条件が記録されたリストを含むＳＩＰ悪意シーケンス設定データベース５３６およびこの所定条件を満たす悪意ユーザが記録されたリストを含むＳＩＰ悪意シーケンス準備状態データベース５３４、ＳＩＰ悪意シーケンスデータベース５３５−１、攻撃対象リスト５３５−２、悪意ユーザリスト５３５−３と、ネットワーク間接続装置１３１またはＳＩＰサーバ３３１からのＳＩＰパケットを受け取って前記リストを参照し当該ＳＩＰパケットがＳＩＰ悪意シーケンスに関わるＳＩＰパケットであるか否かを判定するＳＩＰシーケンス監視処理部５３３とを備え、このＳＩＰシーケンス監視処理部５３３は、判定結果をネットワーク間接続装置１３１またはＳＩＰサーバ３３１に転送する手段を備える。
【００２７】
ＳＩＰ悪意シーケンス設定データベース５３６の所定条件は、過去に実行された複数のＳＩＰ悪意シーケンスに基づき導出された複数のＳＩＰ悪意シーケンス例の情報を含み、ＳＩＰ悪意シーケンス監視処理部５３３は、当該ＳＩＰパケットがいずれかの前記ＳＩＰ悪意シーケンス例に類似するシーケンスの少なくとも一部に関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。
【００２８】
例えば、ＳＩＰ悪意シーケンス設定データベース５３６の所定条件は、短い所定周期で連続的に繰り返されるＤｏＳ攻撃またはＤＤｏＳ攻撃に関わるＳＩＰ悪意シーケンス例の情報を含み、ＳＩＰシーケンス監視処理部５３３は、当該ＳＩＰパケットが短い所定周期で連続的に繰り返されるシーケンスに関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。
【００２９】
あるいは、ＳＩＰ悪意シーケンス設定データベース５３６の所定条件は、リンギングからキャンセルまでが短い所定時間内に行われるいわゆるワンギリ攻撃に関わるＳＩＰ悪意シーケンス例の情報を含み、ＳＩＰシーケンス監視処理部５３３は、当該ＳＩＰパケットがリンギングからキャンセルまでが短い所定時間内に行われるシーケンスに関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。
【００３０】
あるいは、ＳＩＰ悪意シーケンス設定データベース５３６の所定条件は、リンギングに対する応答が長い所定時間以上経過しても行われないいわゆる無応答攻撃に関わるＳＩＰ悪意シーケンス例の情報を含み、ＳＩＰシーケンス監視処理部５３３は、当該ＳＩＰパケットがリンギングに対する応答が長い所定時間以上経過しても行われないシーケンスに関わるＳＩＰパケットであるときに当該ＳＩＰパケットをＳＩＰ悪意シーケンスに関わるＳＩＰパケットであると判定する手段を含む。
【００３１】
また、ＳＩＰシーケンス監視処理部５３３は、判定結果に基づきＳＩＰ悪意シーケンス準備状態データベース５３４、ＳＩＰ悪意シーケンスデータベース５３５−１、攻撃対象リスト５３５−２、悪意ユーザリスト５３５−３を更新する手段を備える。
【００３２】
また、ＳＩＰシーケンス監視処理部５３３は、判定結果を当該ＳＩＰパケットの拡張領域に埋め込みネットワーク間接続装置またはＳＩＰサーバ５３１に転送する手段を備える。
【００３３】
また、ネットワーク間接続装置１３１は、ＳＩＰパケットフィルタリング装置１３２から転送された判定結果に基づきＳＩＰパケットをフィルタリングする手段を備える。
【００３４】
また、ＳＩＰサーバ３３１は、ＳＩＰパケットフィルタリング装置３３２から転送された判定結果に基づきＳＩＰパケットをキャンセルする手段を備える。
【００３５】
以下では、本発明の実施の形態を詳細に説明する。
【００３６】
本発明の実施の形態について、図面を参照して説明する。以下、パケット網については、Ｅｔｈｅｒｎｅｔ（商標登録）上のＶＬＡＮまたはＡＴＭ上のＶＣにて形成されたＩＰ網を指すものであり、ＶＬＡＮ−ＩＤは、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮにおけるＶＬＡＮ−ＩＤを、ＶＣはＡＴＭのＶＰＩ、ＶＣＩの対を指すものとする。
【００３７】
図１に示すように、ネットワーク間接続装置１３１は、端末１０１〜１０Ｎが接続されたパケット網１５０と、端末１１１〜１１Ｎが接続されたパケット網１６０の２つ以上のパケット網１５０、１６０、１７０間に位置し、複数のパケット網を接続している。
【００３８】
また、図３に示すように、ＳＩＰサーバ３３１は、端末３０１〜３０Ｎが接続されたパケット網など１つ以上のパケット網に接続している。
【００３９】
端末１０１〜１０Ｎ、端末１１１〜１１Ｎ、端末１２１〜１２Ｎ、端末３０１〜３０Ｎは、ＶｏＩＰ通信をやりとりする前に、ＳＩＰ信号手順（ＲＦＣ２５４１またはＲＦＣ３２６１）に従ってＲＴＰ接続を確立する。
【００４０】
以下、図２、図４を用いて、接続の手順を示す。図２は本実施例のＳＩＰパケットフィルタリング装置がネットワーク間接続装置に接続された例を説明するための図である。図４は本実施例のＳＩＰパケットフィルタリング装置がＳＩＰサーバに接続された例を説明するための図である。ここでは、端末２０１、端末４０１がそれぞれ端末２１１、端末４１１にＩＰパケットを送信するものとする。
【００４１】
図２では、ネットワーク間接続装置にてＳＩＰパケットを解析させ、図４では、ＳＩＰサーバにてＳＩＰパケットを解析させるため、ＳＩＰパケットフィルタリング装置２４２、４４２にて次の処理を行う。
【００４２】
なお、パケット網はＩＰ網の場合とする。複数パケット網接続は、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮにおけるＶＬＡＮ−ＩＤの書き換えでもよいし、ＡＴＭにおけるＶＰＩ値、ＶＣＩ値の書き換えでもよいし、ＥｔｈｅｒｎｅｔまたはＡＴＭの出力先の物理線を変更する機能でもよい。
【００４３】
図２におけるネットワーク間接続装置２３１または図４におけるＳＩＰサーバ４４１の処理の流れを図５を参照して説明する。図５の所定条件５３６は、ＳＩＰ悪意シーケンスおよびＳＩＰ悪意シーケンス準備状態とＳＩＰ悪意シーケンス判断パケットとＳＩＰ悪意シーケンス判断時間との３つを定義したＳＩＰ悪意シーケンス設定データベースである。
【００４４】
図１４、図１５、図１６、図１７はそれぞれＳＩＰ悪意シーケンスの例を示す図であるが、ＳＩＰ悪意シーケンス設定データベース５３６には、図１４〜図１７に示したようなＳＩＰ悪意シーケンス例のパターンが記録されており、ネットワーク間接続装置またはＳＩＰサーバ５３１から受信したＳＩＰパケットのそれぞれについて、当該ＳＩＰ悪意シーケンス例に該当するか否かを分析する。
【００４５】
また、図９はＳＩＰ悪意シーケンスレベル表を示す図であるが、この表には、ＳＩＰ悪意シーケンスが連続した回数が記録されると共に、この回数に基づき算出された悪意レベル点数が記録される。
【００４６】
ちなみに、図１４のＳＩＰ悪意シーケンス例１は、いわゆる「ワンギリ攻撃」の例であり、端末５１１が端末５０１からの呼び出し（１８０Ｒｉｎｇｉｎｇ２−５、２−６）を受けてから端末５０１が呼び出しを止める（Ｃａｎｃｅｌ３−１、３−３：ＳＩＰ悪意シーケンス判断パケット）までの間がＳＩＰ悪意シーケンス判断時間（秒）以内であり、これにより端末５０１は端末５１１との通話を行う意志が無いことは明白であり、ワンギリが行われたことが判定できる。
【００４７】
また、図１５のＳＩＰ悪意シーケンス例２も「ワンギリ攻撃」の例であり、端末５１１が端末５０１からの呼び出し（１８０Ｒｉｎｇｉｎｇ２−５、２−６）を受け、端末５１１が受話器をオフフック（２００ＯＫ２−７、２−８）させた直後に、端末５０１は受話器をオンフック（ＢＹＥ３−３、３−４：ＳＩＰ悪意シーケンス判断パケット）させており、端末５１１が呼び出しを受けてから端末５０１が受話器をオンフックするまでの間がＳＩＰ悪意シーケンス判断時間（秒）以内であり、これによりワンギリが行われたことが判定できる。
【００４８】
また、図１６のＳＩＰ悪意シーケンス例３は、いわゆる「無応答攻撃」の例であり、これもワンギリ攻撃の一形態である。図１６の例では、端末５１１が端末５０１からの呼び出し（１８０Ｒｉｎｇｉｎｇ２−５、２−６）を受けて受話器をオフフック（２００ＯＫ２−７、２−８）させてから以降、ＳＩＰ悪意シーケンス判断時間（秒）以上無応答であり、これにより「無応答攻撃」が行われたことが判定できる。
【００４９】
また、図１７のＳＩＰ悪意シーケンス例４はＤｏＳ攻撃またはＤＤｏＳ攻撃の例であり、２００ＯＫ２−２とＲｅｇｉｓｔｅｒ３−１（ＳＩＰ悪意シーケンス判断パケット）との間がＳＩＰ悪意シーケンス判断時間（秒）以内であり、これによりＤｏＳ攻撃またはＤＤｏＳ攻撃が行われたことが判定できる。正常なシーケンスでは、２００ＯＫ２−２とＲｅｇｉｓｔｅｒ３−１との間は、数分の間隔が空く。
【００５０】
なお、ＳＩＰ悪意シーケンス準備状態とは、ＳＩＰ悪意シーケンスの途中段階のシーケンスを意味し、ＳＩＰ悪意シーケンス判断パケットは、ＳＩＰ悪意シーケンス準備状態からＳＩＰ悪意シーケンスと判断するためのパケットを意味し、ＳＩＰ悪意シーケンス判断時間とは、ＳＩＰ悪意シーケンスと判定されるための、ＳＩＰ悪意シーケンス準備状態の特定パケットからＳＩＰ悪意シーケンス判断パケットまでの最長時間を意味する。
【００５１】
ＳＩＰ悪意シーケンス判断パケットであっても、ＳＩＰ悪意シーケンス判断時間内に送信されなかった場合は、ＳＩＰ悪意シーケンスではなく正常シーケンスと判断し、ＳＩＰ悪意シーケンス準備状態ではないと判断される。
【００５２】
また、図１０はＳＩＰ悪意シーケンス準備状態データベース５３４を示す図であるが、図５のＳＩＰ悪意シーケンス準備状態データベース５３４は、図１０に示すとおり、所定条件５３６を基にやりとりされるＳＩＰパケットからＳＩＰ悪意シーケンスの可能性のあるシーケンスを蓄積したデータベースである。
【００５３】
また、図１１はＳＩＰ悪意シーケンスデータベース５３５−１を示す図であり、図１２は攻撃対象リスト５３５−２を示す図であり、図１３は悪意ユーザリスト５３５−３を示す図であるが、図５の悪意ユーザが記録されたリスト５３５は、図１１のＳＩＰ悪意シーケンスを蓄積したＳＩＰ悪意シーケンスデータベース５３５−１と、図１２の攻撃対象リスト５３５−２、図１３の悪意ユーザリスト５３５−３の３つからなるデータベースである。
【００５４】
図５のネットワーク間接続装置またはＳＩＰサーバ５３１では、端末５０１から端末５１１に向けたＳＩＰパケットを受信すると、ＳＩＰパケットフィルタリング装置５３２のＳＩＰシーケンス監視処理部５３３に転送する。
【００５５】
次に、図６を参照して図５のＳＩＰパケットフィルタリング装置５３２のＳＩＰシーケンス監視処理部５３３の処理フローを説明する。図６は、図５のＳＩＰパケットフィルタリング装置５３２のＳＩＰシーケンス監視処理部５３３の処理フローを示す図である。ＳＩＰシーケンス監視処理部５３３は、まず、このパケットのＳＩＰ拡張領域から情報を取得し、攻撃対象リスト５３５−２、悪意ユーザリスト５３５−３にて該当エントリを探し出し、ＳＩＰ悪意レベル点数が５３５−２、５３５−３の該当エントリより大きな値の場合は、５３５−２、５３５−３に代入する。
【００５６】
該当エントリがない場合は、５３５−２、５３５−３にエントリを作成した上で、ＳＩＰ悪意レベル点数を代入する。
【００５７】
次に、書き換えられた５３５−２、５３５−３のエントリの中から悪意レベル点数の一定点数以上のエントリを対象に、このパケットが該当するかを分析する。
【００５８】
このパケットが該当する場合には、悪意あるパケットと位置付けられ、ＳＩＰキャンセルパケットまたはＳＩＰエラー返答パケットを作成し、ＳＩＰパケット拡張領域に５３５−２、５３５−３の一定の点数以上のエントリを暗号化して埋め込んだ上で、ネットワーク間接続装置またはＳＩＰサーバ５３１に返却し、ネットワーク間接続装置またはＳＩＰサーバ５３１にて、パケット廃棄またはこのパケットのＩＰヘッダ上の送信ＩＰアドレスおよびポート番号に対して、ＳＩＰパケットフィルタリング監視処理部５３３が作成したＳＩＰキャンセルパケットまたはＳＩＰエラー返答パケットを返却する。
【００５９】
このパケットが該当しない場合は、ＳＩＰ悪意シーケンスまたはＳＩＰ悪意シーケンス準備状態か、全く悪意のないシーケンスかを判断する。
【００６０】
判断には、このパケットのＣＡＬＬ−ＩＤ、送信元情報、送信先情報を一組にしてＳＩＰ悪意シーケンス準備状態データベース５３４の該当エントリを検索し、ＳＩＰ悪意シーケンス設定データベース５３６と照らし合わせて判断する。
【００６１】
なお、ＳＩＰ悪意シーケンス準備状態データベース５３４に該当エントリが存在しない場合は、ＳＩＰ悪意シーケンス設定データベース５３６の全てのシーケンス例の最初のパケットの可能性があるため、該当するＳＩＰ悪意シーケンス例がないかを照らし合わせて判断する。
【００６２】
ＳＩＰ悪意シーケンス準備状態、ＳＩＰ悪意シーケンスのいずれでもないと判断された場合は、ＳＩＰ悪意シーケンス準備状態データベース５３４から、ＣＡＬＬ−ＩＤ、送信元情報、送信先情報を組みに合致するエントリの削除を行い。このパケットをネットワーク間接続装置またはＳＩＰサーバ５３１に転送し、このパケットのＩＰヘッダの転送先に転送する。
【００６３】
ＳＩＰ悪意シーケンス準備状態またはＳＩＰ悪意シーケンスの可能性有りと判断されたものについては、ＳＩＰ悪意シーケンス準備状態かＳＩＰ悪意シーケンスかを判断する。このパケットがＳＩＰ悪意シーケンス判断パケットでなければ、ＳＩＰ悪意シーケンス準備状態である。
【００６４】
このパケットがＳＩＰ悪意シーケンス判断パケットであれば、ＳＩＰ悪意シーケンス判断時間以内にパケットが送信されたか否かを判断し、ＳＩＰ悪意シーケンス判断時間を越えていればＳＩＰ悪意シーケンスではなく、悪意のないＳＩＰシーケンス、ＳＩＰ悪意シーケンス判断時間以内に送信されていれば、ＳＩＰ悪意シーケンスと判断される。
【００６５】
ＳＩＰ悪意シーケンス準備状態と判断された場合には、ＳＩＰ悪意シーケンス準備状態５３４データベースのエントリ情報を更新し、このパケットのＳＩＰパケット拡張領域に５３５−２、５３５−３の一定の点数以上のエントリを暗号化して埋め込んだ上で、ネットワーク間接続装置またはＳＩＰサーバ５３１に転送し、このパケットのＩＰヘッダの転送先に転送する。
【００６６】
悪意のないＳＩＰシーケンスと判断された場合は、ＳＩＰ悪意シーケンス準備状態５３４データベースよりエントリを削除し、このパケットのＳＩＰパケット拡張領域に５３５−２、５３５−３の一定の点数以上のエントリを暗号化して埋め込んだ上で、ネットワーク間接続装置またはＳＩＰサーバ５３１に転送し、このパケットのＩＰヘッダの転送先に転送する。
【００６７】
ＳＩＰ悪意シーケンスと判断された場合は、図８のような特定対象への攻撃（多対１攻撃）か否かの判断を行う。図８は多対１攻撃（特定対象への攻撃）例を示す図である。ＳＩＰ悪意シーケンスデータベース５３５−１においてこのパケットの送信先認証ＩＤに該当するエントリを検索し、検索結果の最新時刻と、このパケットの到着時刻との差が規定秒以内か否かを調査し、規定秒以内ならば攻撃、規定秒を越えていれば非攻撃、ＳＩＰ悪意シーケンスデータベース５３５−１にエントリがない場合は、攻撃か否かは不明とする。
【００６８】
攻撃の場合は、５３５−１を書き換えた上で、このパケットと同じ攻撃対象認証ＩＤ、攻撃元認証ＩＤのエントリを検索し、５３５−１を検索して出てきた全てのエントリのＳＩＰ悪意レベル点数を、ＳＩＰ悪意シーケンスレベル表を用いて、ＳＩＰ悪意レベル点数＊回数にて計算する。そして、計算して出たＳＩＰ悪意レベル点数を全て加算した上で、攻撃対象リスト５３５−２の該当エントリを書き換える。もし、５３５−２に該当エントリがない場合は、新規にて作成した上で、ＳＩＰ悪意レベル点数を代入する。
【００６９】
非攻撃の場合は、５３５−１を書き換えた上で、このパケットと同じ攻撃対象認証ＩＤ、攻撃元認証ＩＤのエントリを検索し、５３５−１を検索して出てきた全てのエントリのＳＩＰ悪意レベル点数を、ＳＩＰ悪意シーケンスレベル表を用いて、ＳＩＰ悪意レベル点数＊回数にて再計算する。そして、計算して出たＳＩＰ悪意レベル点数を全て加算した上で、攻撃対象リスト５３５−２の該当エントリを書き換える。なお、書き換えた結果が、ＳＩＰ悪意レベル点数０点の場合は、エントリ自体を削除する。不明の場合は、５３５−１の新規作成を行うのみとする。
【００７０】
次に、図７のようなこのパケットが特定送信元からの攻撃（１対多攻撃）か否かの判断を行う。図７は１対多攻撃（特定送信元からの攻撃）例を示す図である。ＳＩＰ悪意シーケンスデータベース５３５−１においてこのパケットの送信先認証ＩＤに該当するエントリを検索し、検索結果の最新時刻と、このパケットの到着時刻との差が規定秒以内か否かを調査し、規定秒以内ならば攻撃、規定秒を越えていれば非攻撃、ＳＩＰ悪意シーケンスデータベース５３５−１にエントリがない場合は、攻撃か否かは不明とする。
【００７１】
攻撃の場合は、５３５−１を書き換えた上で、このパケットと同じ攻撃対象認証ＩＤ、攻撃元認証ＩＤのエントリを検索し、５３５−１を検索して出てきた全てのエントリのＳＩＰ悪意レベル点数を、ＳＩＰ悪意シーケンスレベル表を用いて、ＳＩＰ悪意レベル点数＊回数にて計算する。そして、計算して出たＳＩＰ悪意レベル点数を全て加算した上で、攻撃対象リスト５３５−２の該当エントリを書き換える。もし、５３５−３に該当エントリがない場合は、新規にて作成した上で、ＳＩＰ悪意レベル点数を代入する。
【００７２】
非攻撃の場合は、５３５−１を書き換えた上で、このパケットと同じ攻撃対象認証ＩＤ、攻撃元認証ＩＤのエントリを検索し、５３５−１を検索して出てきた全てのエントリのＳＩＰ悪意レベル点数を、ＳＩＰ悪意シーケンスレベル表を用いて、ＳＩＰ悪意レベル点数＊回数にて計算する。そして、計算して出たＳＩＰ悪意レベル点数を全て加算した上で、攻撃対象リスト５３５−３の該当エントリを書き換える。なお、書き換えた結果が、ＳＩＰ悪意レベル点数０点の場合は、エントリ自体を削除する。不明の場合は、５３５−１の新規作成を行うのみとする。
【００７３】
次に、ネットワーク間接続装置またはＳＩＰサーバ５３１にてパケットフィルタリング設定を行う場合は、５３５−１、５３５−２、５３５−３の情報から、設定可能な情報を抽出した上で、設定ファイルを作成し、５３１に転送する。なお、ＳＩＰの送信元アドレスおよびポート番号または送信先アドレスおよびポート番号が送信元認証ＩＤまたは送信先認証ＩＤから不明な場合は、設定情報の抽出は行わない。
【００７４】
それから、ＳＩＰ悪意シーケンス準備状態データベース５３４から、このパケットと同じＣＡＬＬ−ＩＤ、送信元認証ＩＤ、送信先認証ＩＤのエントリを検索し、削除する。
【００７５】
最後に、このパケットのＳＩＰパケット拡張領域に５３５−２、５３５−３の一定の点数以上のエントリを暗号化して埋め込んだ上で、ネットワーク間接続装置またはＳＩＰサーバ５３１に転送し、このパケットのＩＰヘッダの転送先に転送する。これにより図１４〜図１７に示したＳＩＰ悪意シーケンス例を本発明により防ぐことができる。
【産業上の利用可能性】
【００７６】
本発明によれば、ＳＩＰにおけるＤｏＳ攻撃、ＤＤｏＳ攻撃、ワンギリ攻撃（無応答攻撃を含む）のパケットをユーザ端末よりも前段にてシーケンスとその回数から判断し、ＳＩＰパケットフィルタリングを広範囲に実施することができるので、例えば、ＩＰ電話利用者をこれらの攻撃から守ることができる。
【図面の簡単な説明】
【００７７】
【図１】本実施例のネットワーク間接続装置に接続されたＳＩＰパケットフィルタリング装置を示す図。
【図２】本実施例のＳＩＰパケットフィルタリング装置がネットワーク間接続装置に接続された例を説明するための図。
【図３】本実施例のＳＩＰサーバに接続されたＳＩＰパケットフィルタリング装置を示す図。
【図４】本実施例のＳＩＰパケットフィルタリング装置がＳＩＰサーバに接続された例を説明するための図。
【図５】本実施例のＳＩＰパケットフィルタリング装置のブロック構成図。
【図６】ＳＩＰシーケンス監視処理部の処理フローを示す図。
【図７】１対多攻撃（特定送信元からの攻撃）例を示す図。
【図８】多対１攻撃（特定対象への攻撃）例を示す図。
【図９】ＳＩＰ悪意シーケンスレベル表を示す図。
【図１０】ＳＩＰ悪意シーケンス準備状態データベースを示す図。
【図１１】ＳＩＰ悪意シーケンスデータベースを示す図。
【図１２】攻撃対象リストを示す図。
【図１３】悪意ユーザリストを示す図。
【図１４】ＳＩＰ悪意シーケンス例１を示す図。
【図１５】ＳＩＰ悪意シーケンス例２を示す図。
【図１６】ＳＩＰ悪意シーケンス例３を示す図。
【図１７】ＳＩＰ悪意シーケンス例４を示す図。
【符号の説明】
【００７８】
１０１〜１０Ｎ、１１１〜１１Ｎ、１２１〜１２Ｎ、２０１、２１１、３０１〜３０Ｎ、４０１、４１１、５０１、５１１  端末
１５０、１６０、１７０、２５０、２６０、２７０、３５０、４５０  パケット網
１３１、２３１、２４１  ネットワーク間接続装置
１３２、１４２、２３２、２４２、３３２、４３２、４４２、５３２  ＳＩＰパケットフィルタリング装置
３３１、４３１、４４１  ＳＩＰサーバ
５３１  ネットワーク間接続装置またはＳＩＰサーバ
５３３  ＳＩＰシーケンス監視処理部
５３４  ＳＩＰ悪意シーケンス準備状態データベース
５３５  悪意ユーザが記録されたリスト
５３５−１  ＳＩＰ悪意シーケンスデータベース
５３５−２  攻撃対象リスト
５３５−３  悪意ユーザリスト
５３６  ＳＩＰ悪意シーケンス設定データベース
【図１】
2006100873.tif 000003
【図２】
2006100873.tif 000004
【図３】
2006100873.tif 000005
【図４】
2006100873.tif 000006
【図５】
2006100873.tif 000007
【図６】
2006100873.tif 000008
【図７】
2006100873.tif 000009
【図８】
2006100873.tif 000010
【図９】
2006100873.tif 000011
【図１０】
2006100873.tif 000012
【図１１】
2006100873.tif 000013
【図１２】
2006100873.tif 000014
【図１３】
2006100873.tif 000015
【図１４】
2006100873.tif 000016
【図１５】
2006100873.tif 000017
【図１６】
2006100873.tif 000018
【図１７】
2006100873.tif 000019