(57)【要約】【課題】踏み台パケットの進入する中継装置を特定し、トラヒック集約装置でそのパケットに対処できるようにする。【解決手段】  攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１において、攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル２１０３の要素の送信元ＩＰアドレスと宛先ＩＰアドレスが等しい、テーブル２１０３の要素の宛先ＩＰアドレスと送信元ＩＰアドレスが等しい、テーブル２１０３の要素の宛先ポート番号が送信元ポート番号と等しい、テーブル２１０３の要素の送達確認順序番号−１が送信順序番号と等しい、の条件を満たす要素を見つける。上記の要素の集約フロー識別子を取得する。トンネルフロー管理テーブル１１０４において、上記の集約フロー識別子と等しい要素を取得する。上記要素の進入エッジルータ識別子を取得し、踏み台パケット進入ルータテーブル２１０４に書き込む。【選択図】図１
2006191433.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを中継する装置を疎通しているトラヒックを集約する装置において、
該集約トラヒックのうち、攻撃パケットを検出する手段と、
該攻撃パケットと相関のあるパケットを検出する手段と、
を有する踏み台パケット・進入中継装置特定装置。
【請求項２】
前記攻撃パケットを検出する手段が、攻撃パケットの宛先アドレスを特定する手段と、攻撃パケットの送信元アドレスを特定する手段とを含み、
前記攻撃パケットと相関のあるパケットを検出する手段が、該宛先アドレスと一致する送信元アドレスと、該送信元アドレスと一致する宛先アドレスをもつ要求パケットを特定する手段を含む、請求項１に記載の装置。
【請求項３】
前記宛先アドレスを特定する手段と、前記送信元アドレスを特定する手段が、攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットを特定する手段と、該ＴＣＰ  ＳＹＮ  ＡＣＫパケットから宛先ＩＰアドレスと送信元ＩＰアドレスを取得する手段と、ＴＣＰヘッダ内の送信元ポート番号を取得する手段とを含み、
前記要求パケットを特定する手段が、該宛先ＩＰアドレスと送信元ＩＰアドレスとが一致し、該送信元ＩＰアドレスが宛先ＩＰアドレスとが一致し、該送信元ポート番号が宛先ポート番号とが一致するＴＣＰ  ＳＹＮパケットを特定する手段を含む、
請求項２に記載の装置。
【請求項４】
前記ＴＣＰ  ＳＹＮパケットを特定する手段が、該ＴＣＰ  ＳＹＮパケットの送信順序番号と該送信順序番号に１を加えた値と送達確認順序番号が一致するＴＣＰ  ＳＹＮ  ＡＣＫパケットを特定する手段を含む、請求項３に記載の装置。
【請求項５】
前記宛先アドレスを特定する手段と、前記送信元アドレスを特定する手段が、攻撃ＩＣＭＰ応答パケットを特定する手段と、該ＩＣＭＰ応答パケットから宛先ＩＰアドレスと送信元ＩＰアドレスを取得する手段とシーケンス番号を取得する手段とを含み、
前記要求パケットを特定する手段が、該宛先ＩＰアドレスと送信元ＩＰアドレスとが一致し、該送信元ＩＰアドレスが宛先ＩＰアドレスと該シーケンス番号がシーケンス番号とが一致するＩＣＭＰ要求パケットを特定する手段を含む、
請求項２に記載の装置。
【請求項６】
前記ＩＣＭＰ要求パケットを特定する手段が、該ＩＣＭＰ応答パケットからＩＣＭＰデータを取得する手段と、該ＩＣＭＰデータとＩＣＭＰデータとが一致するＩＣＭＰ要求パケットを特定する手段を有する、請求項５に記載の装置。
【請求項７】
該相関パケットの進入する中継装置を特定する手段をさらに有する、請求項１または２に記載の装置。
【請求項８】
前記中継装置を特定する手段が、
中継装置とトラヒック集約装置の間で一つ以上のトンネルを設定し、該中継装置は該トンネルを使って疎通パケットをトラヒック集約装置に転送する手段と、
攻撃パケットが転送されたトンネルを特定する手段と、
該攻撃パケットと相関のあるパケットを検出する手段と、
該相関パケットの進入するトンネルを特定する手段と、
該トンネルの発信基の中継装置を特定する手段と
を有する、請求項７に記載の装置。
【請求項９】
前記疎通パケットをトラヒック集約装置に転送する手段が、中継装置とトラヒック集約装置の間で中継装置の回線ごとにトンネルを設定し、該中継装置は該トンネルを使って疎通パケットをトラヒック集約装置に転送する手段を含み、前記トンネルを特定する手段が、該トンネルの発信元の回線を特定する手段を含む、請求項８に記載の装置。
【請求項１０】
前記中継装置を特定する手段が、
中継装置が疎通しているパケットの中から攻撃パケットを特定する手段と、
該攻撃パケットをトラヒック集約装置に転送する手段と、
該攻撃パケットと相関のあるパケットをトラヒック集約装置に転送する手段と
を含む、請求項７に記載の装置。
【請求項１１】
攻撃パケットの宛先アドレスと一致する送信元アドレスと、該送信元アドレスと一致する宛先アドレスを持つ要求パケットをトラヒック集約装置に転送する手段をさらに有する、請求項１０に記載の装置。
【請求項１２】
前記要求パケットをトラヒック集約装置に転送する手段が、攻撃パケットの宛先ＩＰアドレスが送信元ＩＰアドレスと一致し、該攻撃パケットの送信元ＩＰアドレスが宛先ＩＰアドレスとが一致し、該攻撃パケットの送信元ポート番号が宛先ポート番号とが一致するＴＣＰ  ＳＹＮ  ＡＣＫパケットをトラヒック集約装置に転送する手段を含む、請求項１１に記載の装置。
【請求項１３】
前記ＴＣＰ  ＳＹＮ  ＡＣＫパケットをトラヒック集約装置に転送する手段が、ＴＣＰ  ＳＹＮ  ＡＣＫパケットの送達確認順序番号より１減じた値に送信順序番号が一致するＴＣＰ  ＳＹＮパケットをトラヒック集約装置に転送する手段を含む、請求項１２に記載の装置。
【請求項１４】
前記要求パケットをトラヒック集約装置に転送する手段が、攻撃ＩＣＭＰ応答パケットの宛先ＩＰアドレスと送信元ＩＰアドレスとが一致し、該攻撃ＩＣＭＰ応答パケットの送信元ＩＰアドレスが宛先ＩＰアドレスとが一致し、該攻撃ＩＣＭＰ応答パケットのシーケンス番号がシーケンス番号とが一致するＩＣＭＰ要求パケットをトラヒック集約装置に転送する手段を有する、請求項１１に記載の装置。
【請求項１５】
前記ＩＣＭＰ要求パケットをトラヒック集約装置に転送する手段が、該ＩＣＭＰ応答パケットのＩＣＭＰデータとＩＣＭＰデータとが一致するＩＣＭＰ要求パケットをトラヒック集約装置に転送する手段を含む、請求項１４に記載の装置。
【請求項１６】
中継装置もしくは中継装置の回線毎に中継装置とトラヒック集約装置間でトンネルを設定する手段と、
該トンネルを使って攻撃パケットと相関のあるパケットをトラヒック集約装置に転送する手段と
をさらに有する、請求項１０から１５のいずれかに記載の装置。
【請求項１７】
踏み台パケットの発信中継装置ならびに回線情報を第三者に通知する手段をさらに有する、請求項１から１６のいずれかに記載の装置。
【請求項１８】
攻撃パケットが発生するネットワークサービスに利用者が該サービスの提供事業者に攻撃元調査を依頼する手段と、
該ネットワークサービス提供事業者が踏み台パケットを検出する事業者に攻撃元調査を依頼する手段と、
踏み台パケットを検出する該事業者が、該ネットワークサービス提供事業者に調査費を請求する手段と、
該ネットワークサービス提供事業者が、その調査費に基づき、該ネットワークサービス利用者に調査費を請求する手段と
をさらに有する、請求項１７に記載の装置。
【請求項１９】
攻撃パケットが発生するネットワークサービスに利用者が
踏み台パケットを検出する該事業者に攻撃元調査を依頼する手段と、
踏み台パケットを検出する該事業者がネットワークサービス提供事業者に関連するパケットの取得を依頼する手段と、
該ネットワークサービス提供事業者が該踏み台パケット検出事業者が、該パケットの情報を提供する手段と、
該踏み台パケット検出事業者が該ネットワークサービス利用者に調査費を請求する手段を有する、
請求項１７に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、非特許文献１、非特許文献２に記述されているような、複数の踏み台コンピュータに、送信元アドレスと宛先アドレスをそれぞれ被攻撃コンピュータのアドレスと踏み台アドレスに設定した要求パケットを送信し、多数の応答パケットが被攻撃コンピュータに送信することにそのコンピュータでのサービス停止を狙った攻撃（いわゆるＤＤｏＳ（Distributed Denial of Service）攻撃）を行う攻撃パケットが進入するルータなどの中継装置を特定するシステムの高性能化の技術に関する。なお、非特許文献２では、踏み台を使ったＤＤｏＳ攻撃をＤＲＤｏＳ（Distributed Reflection Denial of Service）攻撃と呼んでいる。
【背景技術】
【０００２】
ＤＲＤｏＳ攻撃の例を図１５に示す。図１５では、攻撃コンピュータ１がルータ１１，１２，１３、ネットワーク１０を介して踏み台攻撃コンピュータ２と３に、宛先ＩＰアドレスを踏み台コンピュータ２，３のアドレスに、送信元ＩＰアドレスを被攻撃コンピュータ４のアドレスに設定したＴＣＰ  ＳＹＮパケット２１と２２を送信している。ＴＣＰ  ＳＹＮパケット２１，２２をそれぞれ受信した踏み台コンピュータ２，３は、それぞれＴＣＰ  ＳＹＮ  ＡＣＫパケット２３と２４を、ルータ１２，１３，１４、ネットワーク１０を介して被攻撃コンピュータ４に送信する。
【０００３】
一般に、踏み台コンピュータの数は膨大となるため、膨大なＴＣＰ  ＳＹＮ  ＡＣＫパケット数が被攻撃コンピュータ４に到達する。これにより、被攻撃コンピュータ４のサービスは阻害されてしまう。
【０００４】
特に、踏み台コンピュータを用いたＤＤｏＳ攻撃では、踏み台コンピュータ２と３（非特許文献２でのｒｅｆｌｅｃｔｏｒに相当）の特定のみならず、その踏み台コンピュータから被攻撃コンピュータ装置へのパケット（攻撃パケットと呼ぶ）発生のトリガーとなるパケットを送り込む装置１（非特許文献２でのｚｏｍｂｉｅに相当）からネットワークに進入する中継装置を特定し、その装置からの攻撃パケットの進入を阻止する必要がある。
【０００５】
本発明は、この攻撃パケットの進入を阻止するための中継装置を特定する技術に関する。
【０００６】
なお、この例ではＳＹＮ  ＡＣＫパケットとＳＹＮ  ＡＣＫパケットを用いた攻撃を挙げたが、ＩＣＭＰ要求・応答パケットを用いた攻撃も考えられる（非特許文献２参照）。
【０００７】
従来、踏み台コンピュータからのＤＤｏＳ攻撃を防御する方法として、攻撃フローを特定し、それらのフローの発信元のコンピュータもしくはネットワーク内のそれらのフローが進入するルータを特定し、それらのコンピュータもしくはルータにおいて攻撃フローの発生もしくは疎通を制限する方法がある。前記の特定方式として、非特許文献３に記載された、既存ルータへ容易に適用可能であり、少ない処理数により攻撃フローの発信ルータの特定が可能なトンネリングを使ったトラヒック集約による攻撃フロー特定システムがある。なお、「中継装置」の代表例はルータであるため、「中継装置」の代わりに「ルータ」を用いている。
【０００８】
図１６に、この攻撃フロー特定システムの構成を示す。図１６のシステムは、各ルータ１１〜１４を疎通するトラヒックを事前に設定されたトンネル１１１〜１１４を使って集め、攻撃パケットの進入ルータを特定する攻撃パケット進入ルータ特定装置１１０を有している。なお、非特許文献３での装置「Ｔｒａｃｋｉｎｇ  ｒｏｕｔｅｒ」が攻撃パケット進入ルータ特定装置１１０に相当する。
【０００９】
ルータ１１〜１４を通過するパケットはすべて攻撃パケット進入ルータ特定装置１１０に迂回させると仮定する（これについては、非特許文献３を参照している非特許文献４に明記されている）。
【００１０】
図１７に図１６の従来のシステムの各装置の機能ブロックを示すとともに、図１７を使って、図１６の従来のシステムの動作を説明する。
【００１１】
トンネルトポロジ管理装置１００は、ネットワーク１内で設定されているトンネルのトポロジ情報を管理する。表１に装置１００でのトンネルトポロジテーブル１０１２の例を示す。
【００１２】
【表１】
2006191433.tif 000003
【００１３】
図１６のトンネルトポロジの例では、各コンピュータから攻撃パケット進入ルータ特定装置１１０にトンネルが設定されているため、トンネルトポロジテーブル１０１２は表１のようになる。トンネルトポロジテーブル１０１２はトンネルトポロジ管理部１０１１により管理される。
【００１４】
次に、ルータ１２でのトラヒック迂回処理を説明する。ルーティング部１００１では、ルーティングテーブル１００３、アクセス制御リスト１００４を使ってパケットのルーティング処理を行う。ただし、アクセス制御リスト１００４を使ったルーティング処理は、ルーティング１００３を使った処理より優先的に実施する。
【００１５】
各ルータ内のトンネル管理部１００２は、アクセス制御リスト１００４を管理する。トンネル管理部１００２は、事前にトンネルトポロジ管理部１０１１に問い合わせ、トンネルトポロジテーブルの情報に基づいてルータ１１〜１４と攻撃パケット進入ルータ特定装置１１０との間にトンネル１１１〜１１４を設定している。
【００１６】
表２に、全トラヒックを集約する場合のルータ１２のアクセス制御リスト１００４の例を示す。
【００１７】
【表２】
2006191433.tif 000004
【００１８】
表２に示すように、アクセス制御リスト１００５の宛先アドレスを「全アドレス」、インタフェースを「トンネル１１２の識別子」とする。この設定により、全パケットは、トンネル１１２を使って転送される。トンネル１１２は、事前に攻撃パケット進入ルータ特定装置１１０宛に設定されているため、全パケットは、攻撃パケット進入ルータ特定装置１１０まで届く。
【００１９】
ルータ１１，１３，１４でも同様なトラヒック迂回処理を行い、各ルータでの疎通パケットはそれぞれトンネル１１１，１１３，１１４を使って攻撃パケット進入ルータ特定装置１１０まで転送される。
【００２０】
次に、攻撃パケット進入ルータ特定装置１１０での処理を説明する。攻撃パケット進入ルータ特定装置１１０内のトンネルフロー解析部１１０１では、トンネル１１１〜１１４から流れ込むフローをデコード後解析し、解析結果をトンネルフロー管理テーブル１１０４の情報に従いフロー状態テーブル１１０５に格納する。トンネルフロー管理テーブル１１０４とトンネルフロー状態テーブル１１０５の例を、それぞれ表３と表４に示す。
【００２１】
【表３】
2006191433.tif 000005
【００２２】
【表４】
2006191433.tif 000006
【００２３】
トンネルフロー管理テーブル１１０４は、トンネル識別子と進入エッジルータ識別子と集約フロー識別子から構成される。進入エッジルータ識別子は、該当するトンネルの発端点のエッジルータの識別子である。集約フロー識別子は、そのトンネルから流入するフローを格納しているフロー格納データベース内の要素を識別するのに用いる。なお、トンネルフロー管理テーブル１１０４内の進入エッジルータ識別子、集約フロー識別子はトンネル設定時、付与されていると仮定する。
【００２４】
フロー状態テーブル１１０５はフロー識別子とフロー状態と宛先ＩＰアドレスとパケットレートで構成される。なお、フロー状態テーブル１１０５の要素は、攻撃パケット検出アルゴリズムに依存する。ここでは、宛先ＩＰアドレスごとに集約したフローのパケットレート（単位時間当たりに疎通したパケット数）が閾値を超えた場合被疑攻撃フローと判断する攻撃パケット検出アルゴリズム（例えば、概要については非特許文献５を参照）を仮定している。
【００２５】
攻撃パケット検出部１１０２は、攻撃パケット検出アルゴリズムに従い、フローが攻撃パケットを含むと判断した場合、該当するフロー状態を"異常"とする。図１６の例では、攻撃フロー７と攻撃フロー８のパケットレートの総和が閾値を超えるため、各フローの状態は異常と判定される。
【００２６】
なお、図１７では、トンネルフロー解析部１１０１と攻撃パケット検出部１１０２を分けているが、一般には一つの機能として実行されることが多い（例えば、非特許文献６参照）。
【００２７】
攻撃パケット進入ルータ特定部１１０３では、フロー状態テーブル１１０５を検索し、フロー状態が"異常"のフローを検出する。もし、ひとつでも異常があるフローを含むトンネルがあった場合、トンネルフロー管理テーブル１１０４から、そのトンネルに該当する集約フロー識別子に対応する攻撃パケット進入エッジルータ識別子を取得し、攻撃パケット進入ルータテーブル１１０６を作成する。
【００２８】
表５に攻撃パケット進入ルータテーブル１１０６に示す。
【００２９】
【表５】
2006191433.tif 000007
【００３０】
図１６の例では、攻撃フロー７と攻撃フロー８のフロー状態が“異常”と判定されるため、そのフローが疎通しているトンネル１１２（つまり集約フロー識別子Ｂ）とトンネル１１３（つまり集約フロー識別子Ｃ）の発ルータ１２，１３が攻撃パケット進入エッジルータと特定されるため、表５のようになる。
【非特許文献１】Proceedings of the 2003 conference on Applications, technologies, architectures, and protocols for computer communications, Pages: 99-110 Year of Publication: 2003  "A framework for classifying denial of service attacks"  （A. Hussain 他著）
【非特許文献２】http://grc.com/dos/drdos.htm
【非特許文献３】Proceedings of the USENIX Security Symposium, pages 199-212, Denver, CO, USA, July 2000.  USENIX, "Centertrack: An IP overlay network for tracking DoS floods"  （R. Stone 著）
【非特許文献４】IEEE  Communications Magazine, Volume 41, Issue: 7, July 2003  Pages: 142-153  "On IP traceback"  （A. Belenky 他著）
【非特許文献５】ACM SIGCOMM Computer Communication Review, Volume 34, Issue 2 (April 2004) Pages: 39-53  "A Taxonomy of DDoS Attacks and DDoS Defense Mechanisms", J. Mirkovic ら著
【非特許文献６】“不正浸入検知［ＩＤＳ］入門−Snort & Tripwire の基礎と実践”、日吉  龍著、技術評論社、2004年
【発明の開示】
【発明が解決しようとする課題】
【００３１】
中継装置からトラヒックを集約して攻撃パケットを検出する、上述した従来の技術では、次のような問題がある。
１．踏み台パケットを検出することができない。
２．踏み台パケットが進入している中継装置を特定できない。
３．踏み台パケットが進入している回線を特定できない。
４．攻撃パケット進入ルータ特定装置では、すべての中継装置からのトラヒックを集約しているため、過度なトラヒック集中を受け処理不可能状態に陥りやすい。
【００３２】
本発明の目的は、上記の問題を解決した踏み台パケット・進入中継装置特定装置を提供することにある。
【課題を解決するための手段】
【００３３】
上記問題点１を解決するために、本発明の踏み台パケット・進入中継装置特定装置は、集約トラヒックのうち、攻撃パケットを検出する手段と、該攻撃パケットと相関のあるパケットを検出する手段とを有している。
【００３４】
攻撃パケットと踏み台パケットには、
・Ａ：踏み台パケットの宛先ＩＰアドレスは、攻撃パケットの送信元ＩＰアドレスと一致する。
・Ｂ：踏み台パケットの送信元ＩＰアドレスは、攻撃パケットの宛先ＩＰアドレスと一致する。
・Ｃ：踏み台パケットは、攻撃パケットに対応する要求パケットである。
なる相関があることを利用し、本発明の実施態様では、攻撃パケット検出手段が、攻撃パケットの宛先アドレスを特定する手段を含み、相関のあるパケットを検出する手段が、攻撃パケットの送信元アドレスを特定する手段と、その攻撃パケットの宛先アドレスと一致する送信元アドレスとその攻撃パケットの送信元アドレスと一致する宛先アドレスをもつ要求パケットを特定する手段を含む。
【００３５】
図１３は踏み台を使ったＴＣＰ  ＳＹＮ  ＡＣＫ攻撃でのＴＣＰ  ＳＹＮパケットとＴＣＰ  ＳＹＮ  ＡＣＫパケットの各フィールドの関係を示している。この図から明らかなように、ＴＣＰ  ＳＹＮ  ＡＣＫパケット３２の宛先ＩＰアドレスとＴＣＰ  ＳＹＮパケット３１の送信元ＩＰアドレスとが一致し、ＴＣＰ  ＳＹＮ  ＡＣＫパケット３２の送信元ＩＰアドレスとＴＣＰ  ＳＹＮパケット３１の宛先ＩＰアドレスとが一致し、ＴＣＰ  ＳＹＮ  ＡＣＫパケット３２の宛先ポート番号とＴＣＰ  ＳＹＮパケット３１の送信元ポート番号とが一致する。
【００３６】
そこで、本発明の他の実施態様では、
送信元アドレスを特定する手段が、攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットを特定する手段と、そのＴＣＰ  ＳＹＮ  ＡＣＫパケットから宛先ＩＰアドレスと送信元ＩＰアドレスとＴＣＰヘッダ内の送信元ポート番号を取得する手段とを含み、
要求パケットを特定する手段が、ＴＣＰ  ＳＹＮ  ＡＣＫパケットの宛先ＩＰアドレスとＴＣＰ  ＳＹＮパケットの送信元ＩＰアドレスとが一致し、ＴＣＰ  ＳＹＮ  ＡＣＫパケットの送信元ＩＰアドレスとＴＣＰ  ＳＹＮパケットの宛先ＩＰアドレスとが一致し、ＴＣＰ  ＳＹＮ  ＡＣＫパケットの宛先ポート番号とＴＣＰ  ＳＹＮパケットの送信元ポート番号とが一致するＴＣＰ  ＳＹＮパケットを特定する手段を含む。
【００３７】
また、図１３に示すように、ＴＣＰ  ＳＹＮパケット３１の送信順序番号（Ｘ）に１を加えた値（Ｘ＋１）がＴＣＰ  ＳＹＮ  ＡＣＫパケット３２の送信確認順序番号になっている。
【００３８】
そこで、本発明の他の実施態様では、ＴＣＰ  ＳＹＮパケットを特定する手段が、ＴＣＰ  ＳＹＮパケットの送信順序番号とその送信順序番号に１を加えた値と送達確認順序番号が一致するＴＣＰ  ＳＹＮ  ＡＣＫパケットを特定する手段を含む。
【００３９】
図１４は踏み台を使ったＩＣＭＰ応答パケット攻撃でのＩＣＭＰ要求パケットとＩＣＭＰ応答パケットの各フィールドの関係を示している。この図から明らかなように、ＩＣＭＰ応答パケット４２の宛先ＩＰアドレスとＩＣＭＰ要求パケット４１の送信元ＩＰアドレスとが一致し、ＩＣＭＰ応答パケット４２の送信元ＩＰアドレスとＩＣＭＰ要求パケット４１の宛先ＩＰアドレスとが一致し、ＩＣＭＰ応答パケット４２のシーケンス番号とＩＣＭＰ要求パケット４１のシーケンス番号とが一致する。
【００４０】
そこで、本発明の他の実施態様では、要求パケットを特定する手段が、ＩＣＭＰ応答パケットのＩＣＭＰデータを取得する手段と、そのＩＣＭＰデータと等しいＩＣＭＰデータを持つＩＣＭＰ応答パケットを特定する手段を含む。
【００４１】
また、問題点２を解決するために、本発明の踏み台パケット・進入パケット中継装置は、攻撃パケットと相関のあるパケットが進入する中継装置を特定する手段を有する。
【００４２】
本発明の実施態様では、背景技術において説明したトンネル識別子を巧みに利用して、中継装置を特定する手段が、
中継装置とトラヒック集約装置の間でトンネルを設定し、該中継装置は該トンネルを使って疎通パケットをトラヒック集約装置に転送する手段と、
攻撃パケットが疎通したトンネルを特定する手段と、
該攻撃パケットと相関のあるパケットを送信したトンネルを特定する手段と、
該トンネルの発信基の中継装置を特定する手段を有する。
【００４３】
問題点３を解決するために、本発明の踏み台パケット・進入中継装置特定装置は、
中継装置が収容している回線ごとにトンネルを設定し、該中継装置が該回線から入力したパケットを対応付けられたトンネルを使ってトラヒック集約装置へ転送する手段と、
攻撃パケットと相関のあるパケットが流入したトンネルの発信基の回線を特定する手段と
を有する。
【００４４】
問題点４を解決するために、本発明の踏み台パケット・進入中継装置特定装置は、
中継している装置が疎通しているトラヒックのうち攻撃トラヒックを特定する手段と、
そのトラヒックをトラヒック集約装置に転送する手段と、
攻撃トラヒックと同じ送信元アドレスをもつトラヒックをトラヒック集約装置に転送する手段と
を有する。
【００４５】
さらに、絞り込んだトラヒックをトラヒック集約装置に転送する手段として、本発明の実施態様では、前記したＴＣＰ  ＳＹＮパケットとＴＣＰ  ＳＹＮ  ＡＣＫパケットの相関関係、ＩＣＭＰ要求パケットとＩＣＭＰ応答パケットの相関関係に着目し、
攻撃パケットの宛先アドレスと一致する送信元アドレスと、該送信元アドレスと一致する宛先アドレスをもつ要求パケットをトラヒック集約装置に転送する手段、
攻撃パケットの宛先ＩＰアドレスと送信元ＩＰアドレスとが一致し、該攻撃パケットの送信元ＩＰアドレスが宛先ＩＰアドレスとが一致し、該攻撃パケットの送信元ポート番号が宛先ポート番号とが一致するＴＣＰ  ＳＹＮパケットをトラヒック集約装置に転送する手段、
ＴＣＰ  ＳＹＮ  ＡＣＫパケットの送達確認順序番号より１減じた値に送信順序番号が一致するＴＣＰ  ＳＹＮパケットをトラヒック集約装置に転送する手段、
攻撃ＩＣＭＰ応答パケットの宛先ＩＰアドレスと送信元ＩＰアドレスとが一致し、該攻撃ＩＣＭＰ応答パケットの送信元ＩＰアドレスが宛先ＩＰアドレスとが一致し、該攻撃ＩＣＭＰ応答パケットのシーケンス番号がシーケンス番号とが一致するＩＣＭＰ要求パケットをトラヒック集約装置に転送する手段、
該ＩＣＭＰ応答パケットのＩＣＭＰデータとＩＣＭＰデータとが一致するＩＣＭＰ要求パケットをトラヒック集約装置に転送する手段、
のいずれかを有する。
【００４６】
さらに、転送させるトラヒックを回線単位に絞り込むため、本発明の実施態様では、中継装置もしくは中継装置の回線毎に中継装置とトラヒック集約装置間でトンネルを設定する手段と、該トンネルを使って攻撃パケットと相関のあるパケットをトラヒック集約装置に転送する手段を有する。
【発明の効果】
【００４７】
本発明は下記の効果がある。
１．踏み台パケットの進入する中継装置を特定でき、トラヒック集約装置でそのパケットを対処できる。
２．踏み台パケットの進入する中継装置を特定できるため、ネットワークへ進入する大元の攻撃パケットの進入を阻止することができる。
３．踏み台パケットが進入している回線を特定できるため、攻撃対処を絞り込むことができる。
４．必要なフローのみ集約して踏み台パケットの検出を行うため、攻撃パケット進入中継装置特定装置での輻輳の発生が抑制される。
【発明を実施するための最良の形態】
【００４８】
次に、本発明の実施の形態について図面を参照して説明する。
【００４９】
（第１の実施形態）
図１は本発明の第１の実施の形態の踏み台パケット・進入中継装置特定装置のブロック図である。
【００５０】
本実施形態の踏み台パケット・進入中継装置特定装置２１０は図１７の従来の攻撃パケット進入ルータ特定装置１１０にトンネルフロー解析部２１０１と攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１と攻撃ＴＣＰ  ＳＹＮ  ＡＣＫ踏み台パケット検出部２１０２と攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル２１０３と踏み台パケット進入ルータテーブル２１０４を追加したものである。
【００５１】
トンネルフロー解析部２１０１は、従来の技術のトンネルフロー解析部１１０１と同様にトンネル１１１〜１１４から流れ込むフローをデコード後、解析し、解析結果をトンネルフロー管理テーブル１１０４の情報に従い攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１に格納する。
【００５２】
攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１は従来の技術において説明したフロー状態テーブル１１０５に幾つか要素を追加している。
【００５３】
表６に攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１の例を示す。表６には、表４での要素の他に送信元ＩＰアドレス、ＩＰプロトコル識別子、ＴＣＰパケット識別子、宛先ポート番号、送信元ポート番号、送信順序番号、送達確認順序番号を追加している。
【００５４】
【表６】
2006191433.tif 000008
【００５５】
攻撃パケット検出部１１０２の機能は、従来の技術のそれと等価である。また、攻撃パケット進入ルータ特定部１１０３も従来の技術のそれと等価であるが、踏み台パケット検出には関わらないことを明記しておく。
【００５６】
次に、踏み台パケット検出部２１０２の動作について説明する。まず、攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットの情報を取得する方法を説明する。そのアルゴリズムを図２に示す。
【００５７】
攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１でのフロー状態が"攻撃"となっているすべての要素について以下の処理を行う（ステップ３０００）。
【００５８】
●ＩＰプロトコル識別子が１７（つまりＴＣＰを意味する）であるか調べる（ステップ３００１）。もし、「偽」であれば、終了。「真」であれば、次のステップへ進む。
【００５９】
●ＴＣＰパケット識別子がＳＹＮ  ＡＣＫであるか調べる（ステップ３００２）。もし、「偽」であれば、終了。「真」であれば、次のステップへ進む。
【００６０】
●該当する要素の送信元ＩＰアドレス、宛先ＩＰアドレス、宛先ポート番号、送達確認順序番号を取得して、その要素を攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル２１０３に書き込む（ステップ３００３）。
【００６１】
攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル２１０３の例を表７に示す。
【００６２】
【表７】
2006191433.tif 000009
【００６３】
まず、踏み台パケット進入ルータを特定する方法を説明する。そのアルゴリズムを図３に示す。攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル２１０３のすべての要素において、以下の処理を行う（ステップ３１００）。
【００６４】
●攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１において、以下の条件を満たす要素を見つける（ステップ３１０１）。
【００６５】
・攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル２１０３の要素の送信元ＩＰアドレスと宛先ＩＰアドレスが等しい。
【００６６】
・テーブル２１０３の要素の宛先ＩＰアドレスと送信元ＩＰアドレスが等しい。
【００６７】
・テーブル２１０３の要素の宛先ポート番号が送信元ポート番号と等しい。
【００６８】
・テーブル２１０３の要素の送達確認順序番号−１が送信順序番号と等しい。
【００６９】
●上記の要素の集約フロー識別子を取得する（ステップ３１０２）。
【００７０】
●トンネルフロー管理テーブル１１０４において、上記の集約フロー識別子と等しい要素を取得する（ステップ３１０３）。
【００７１】
●上記要素の進入エッジルータ識別子を取得し、踏み台パケット進入ルータテーブル２１０４に書き込み、処理を終了する（ステップ３１０４）。
【００７２】
表８に踏み台パケット進入ルータテーブル２１０４の例を示す。図１６の例では、踏み台フロー５と６が疎通しているトンネル１１２（つまり集約フロー識別子Ｂ）とトンネルの発ルータは１１となるため、踏み台パケット進入エッジルータは１１となる。
【００７３】
【表８】
2006191433.tif 000010
【００７４】
（第２の実施形態）
図４は本発明の第２の実施形態の踏み台パケット・進入中継装置特定装置のブロック図である。
【００７５】
本実施形態の踏み台パケット・進入中継装置特定装置３０１は図１の踏み台パケット・進入中継装置特定装置２１０の攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル２２０１と攻撃ＴＣＰ  ＳＹＮ  ＡＣＫ踏み台パケット検出部２１０２の代りにそれぞれ攻撃ＩＣＭＰフロー状態テーブル２３０１、攻撃ＩＣＭＰ踏み台パケット検出部２３０２を有している。
【００７６】
表９に攻撃ＩＣＭＰフロー状態テーブル２３０１の例を示す。表９には表４での要素の他に、送信元ＩＰアドレス、ＩＰプロトコル識別子、ＩＣＭＰタイプ、送信順序番号、オプションデータが追加されている。
【００７７】
【表９】
2006191433.tif 000011
【００７８】
攻撃パケット検出部１１０２の機能は従来の技術のそれと等価である。また、攻撃パケット進入ルータ特定部１１０３も従来の技術のそれと等価であるが、踏み台パケット検出には関わらないことを明記しておく。
【００７９】
次に、攻撃ＩＣＭＰ踏み台パケット検出部２３０２の動作について説明する。まず、攻撃ＩＣＭＰパケットの情報を取得する方法を説明する。そのアルゴリズムを図５に示す。
【００８０】
攻撃ＩＣＭＰフロー状態テーブル２３０１でのフロー状態が「攻撃」となっているすべての要素について以下の処理を行う（ステップ３２００）。
【００８１】
・ＩＰプロトコル識別子が１７（つまりＩＣＭＰを意味する）であるか調べる（ステップ３２０１）。もし、「偽」であれば、終了。「真」であれば、次のステップへ進む。
【００８２】
・ＩＣＭＰタイプが著Ｅｃｈｏ  ｒｅｐｌｙ（０）であるか調べる（ステップ３２０２）。もし、「偽」であれば、終了。「真」であれば、次のステップへ進む。
【００８３】
・該当する要素の送信元ＩＰアドレス、宛先ＩＰアドレス、順序番号、オプションデータを取得して、その要素を攻撃ＩＣＭＰパケットテーブル２３０３に書き込み、処理を終了する。
【００８４】
次に、踏み台パケット進入ルータを特定する方法を説明する。そのアルゴリズムを図６に示す。攻撃ＩＣＭＰパケットテーブル２３０３のすべての要素において、以下の処理を行う（ステップ３３００）。
【００８５】
・攻撃ＩＣＭＰフロー状態テーブル２３０１において、以下の条件を満たす要素を見つける（ステップ３３０１）。
【００８６】
攻撃ＩＣＭＰパケットテーブル２３０１の要素の送信元ＩＰアドレスと宛先ＩＰアドレスが等しい。
【００８７】
テーブル２３０３の要素の宛先ＩＰアドレスと送信元ＩＰアドレスが等しい。
【００８８】
テーブル２３０３の要素の宛先ポート番号が送信元ポート番号と等しい。
【００８９】
テーブル２３０３の要素の送達確認順序番号−１が送信順序番号と等しい。
【００９０】
・上記の要素の集約フロー識別子を取得する（ステップ３３０２）。
【００９１】
・トンネルフロー管理テーブル１１０４において、上記の集約フロー識別子と等しい要素を取得する（ステップ３３０３）。
【００９２】
・上記要素の進入エッジルータ識別子を取得し、踏み台パケット進入ルータテーブル２１０４に書き込み、処理を終了する（ステップ３１０４）。
【００９３】
表１０に攻撃パケットＩＣＭＰパケットテーブル２３０３の例を示す。
【００９４】
【表１０】
2006191433.tif 000012
【００９５】
図１６の例では、踏み台フロー５と６が疎通しているトンネル１１２（つまり集約フロー識別子１３）とトンネルの発ルータは１１となるため、踏み台パケット進入エッジルータは１１となる。
【００９６】
（第３の実施形態）
図７は本発明の第３の実施形態の構成図である。
【００９７】
図７に示すように、ルータ１１，１２，１３，１４は、それぞれ回線２５０１、２５０２〜２５０４、回線２５０５、回線２５０６を収容していると仮定する。また、ルータ１２での回線２５０３を通して踏み台コンピュータ２を接続していると仮定する。
【００９８】
本実施形態においては、回線単位にトンネルを設定する。本実施形態では、回線２５０１〜２５０６にはトンネル１１１１，１１２１，１１２２，１１２３，１１３１，１１４１が設定されている。このため、トンネルトポロジ管理装置１００内の従来のトンネルトポロジテーブル１０１２を表１１に示すように回線単位のトンネルトポロジテーブル２６０１に拡張する。
【００９９】
【表１１】
2006191433.tif 000013
【０１００】
これに伴い、ルータ内のアクセス制御リスト１００４を収容している回線毎に用意する。表１２に、ルータ１２の回線２５０３において全トラヒックを集約する場合のアクセス制御リスト２６０２の例を示す。
【０１０１】
【表１２】
2006191433.tif 000014
【０１０２】
本実施形態でのルーティング部１００１では、回線単位に用意されたアクセス制御リスト２６０２に従い、ルーティングを行なう。
【０１０３】
また、攻撃パケット進入ルータ特定装置１１０でのトンネルフロー管理テーブル２６０３、攻撃パケット進入ルータテーブル２６０４、踏み台パケット進入ルータテーブル２６０５もそれぞれ、表１３，１４，１５に示すように拡張する。
【０１０４】
【表１３】
2006191433.tif 000015
【０１０５】
【表１４】
2006191433.tif 000016
【０１０６】
【表１５】
2006191433.tif 000017
【０１０７】
なお、本実施形態では、第１の実施形態での攻撃パケットの進入ルータの特定単位、踏み台パケットの進入ルータ単位を回線単位に置き換えればよい。
【０１０８】
（第４の実施形態）
図８は本発明の第４の実施形態のシステム構成図である。
【０１０９】
図８に示すように、各ルータ１１〜１４には、接続しているルータを疎通するフローの情報を取得するフロー情報取得装置４００１〜４００４と、フロー情報取得装置４００１と４００２、４００３と４００４から出力されるフロー情報から被疑パケットを検出する被疑パケット検出装置４０１１，４０１１と、被疑パケット検出装置４０１１，４０１１からの出力情報をもとに各ルータへのトラヒック迂回指示を行うトラヒック集約制御装置４１００が新たに追加されている。
【０１１０】
図９〜１１に本実施形態における装置間のシーケンス例を示す。
【０１１１】
各フロー情報取得装置４００１〜４００４は、対応する被疑パケット検出装置４０１１，４０１２にフロー情報を通知する（図９での５００１〜５００４）。
【０１１２】
被疑パケット検出装置４０１１，４０１２では通知されたフロー情報をもとに被疑攻撃パケットがないか検出する。もし、被疑フローを検出した場合は、トラヒック集約制御装置４１００に被疑攻撃フローの宛先装置のアドレスを含む被疑攻撃パケット通知情報を送る。
【０１１３】
図１５で示した例では、ルータ１４を疎通するトラヒックに被攻撃コンピュータ４宛のトラヒックが含まれるため、被疑パケット検出装置４０１２において、被疑攻撃パケットを検出する（図９の５０１０）。そして、トラヒック集約制御装置４１００に被攻撃コンピュータ４宛被疑パケット発生通知を行う（図９の５０１１）。
【０１１４】
被疑攻撃パケット検出通知を受けたトラヒック制御装置４１００では被攻撃コンピュータ４宛トラヒック迂回指示処理を行う（図９の５０２０）。つまり、各ルータに被攻撃コンピュータ４宛トラヒック迂回指示を行う（図１０の５０２１、５０２４、５０２７、５０３０）。この指示を受け取ったルータは、自ルータ内のアクセス制御リストを更新し、被攻撃コンピュータ４宛トラヒック迂回処理を行う（図１０の５０２２、５０２５、５０２８、５０３１）。これにより、各ルータの被攻撃コンピュータ４宛トラヒックは、踏み台パケット進入ルータ特定装置２１０に転送される（図１０の５０２３、５０２６、５０２９８、５０３２）。
【０１１５】
踏み台パケット進入ルータ特定装置２１０では、第１の実施形態の手順により、集約したトラヒックより攻撃パケットを検出する。そして、攻撃パケットの宛先を調べる。そして宛先のトラヒックを踏み台パケット進入ルータ特定装置２１０に迂回させるためにトラヒック集約制御装置４１００に依頼する。この例では、踏み台コンピュータ２，３宛のトラヒックに被疑パケットが発生したことを通知する（図１１の５０４０）。
【０１１６】
これを受信したトラヒック集約制御装置４１００は先ほどの手順と同様に各ルータへ踏み台コンピュータ２，３宛トラヒックを踏み台パケット進入ルータ特定装置２１０に迂回させる処理を行う（図１１の５０４１〜５０５２）。
【０１１７】
この迂回トラヒックから踏み台パケット進入ルータは踏み台パケットを検出する。
【０１１８】
以上より、踏み台パケット進入ルータ特定装置２１０は踏み台を特定するための必要なトラヒックだけを受信するため、無駄なトラヒックの到着を防ぐことができる。
【０１１９】
（第５の実施形態）
図１２に本実施形態の各事業者間のシーケンスを示す。本実施形態は、攻撃パケットが発生するインターネットサービスを提供する事業者６０００と、そのサービスの利用者６００１と、攻撃元を調査する事業者６００２から構成される。事業者６０００は、図８に示すネットワーク１０、ルータ１１〜１４を所有する。さらに、インタネットサービス利用者を管理するインターネットサービス利用者管理装置７０００と、インタネットサービス利用者管理データベース７００１を所有する。利用者６００１は、被攻撃コンピュータ４を所有している。事業者６００２は、トンネルトポロジ管理装置１００、踏み台パケット進入ルータ特定装置２１０、フロー情報取得装置４００１〜４００４、被疑パケット検出装置４０１２、トラヒック集約制御装置４１００を所有している。さらに、攻撃元調査サービスを管理する攻撃元調査管理装置７１００と、攻撃元調査サービス利用者管理データベース７１０１を所有している。
【０１２０】
まず、インターネットサービス利用者６００１は、利用しているコンピュータが攻撃を受けていると認識した場合、インターネットサービス提供事業者６０００に攻撃元調査依頼６０１１を行う。それを受けた事業者６０００は、インターネットサービス利用者管理装置７０００を通して、インタネットサービス利用者管理データベース７００１にそのサービス利用を記録する。それを受けた事業者６０００は、攻撃元調査事業者６００２に対し攻撃元調査依頼６０１２を行う。それを受けた攻撃元調査事業者６００２では、攻撃元調査管理装置７１００を通して、攻撃元調査サービス利用者管理データベース７１０１にそのサービス利用を記録する。また、攻撃元調査管理装置７１００を通して、第１〜第４の実施形態で説明した手段により、攻撃元を特定するとともに調査費を請求する（６０１３）。それを受けたインターネットサービス提供事業者６０００は、調査結果（踏み台パケットの進入ルータもしくは回線情報）を、インターネットサービス利用者管理装置７０００を通して、インタネットサービス利用者管理データベース７００１に記録し、インターネットサービス利用者６００１に提供するとともに調査費を請求する。
【０１２１】
これに従い、インターネットサービス利用者６００１は調査費をインターネットサービス事業者６０００に、事業者６０００は、攻撃元調査事業者６００２に調査費を支払う（それぞれ図１２での６０１５、６０１６に対応する）。
【０１２２】
インターネットサービス利用者６００１から調査費を受領したインターネットサービス提供事業者６０００は、インターネットサービス利用者管理装置７０００を通して、インタネットサービス利用者管理データベース７００１にその支払い情報を記録する。インターネットサービス提供事業者６０００から調査費を受領した攻撃元調査事業者６００２では、攻撃元調査管理装置７１００を通して、攻撃元調査サービス利用者管理データベース７１０１にその支払い情報を記録する。
【図面の簡単な説明】
【０１２３】
【図１】本発明の第１の実施形態による踏み台パケット・進入ルータ特定装置のブロック図である。
【図２】攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケット特定アルゴリズムを示すフローチャートである。
【図３】踏み台パケット進入ルータ特定アルゴリズムを示すフローチャートである。
【図４】本発明の第２の実施形態による踏み台パケット・進入ルータ特定装置のブロック図である。
【図５】攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケット特定アルゴリズムを示すフローチャートである。
【図６】攻撃ＩＣＭＰ踏み台パケット進入ルータ特定アルゴリズムを示すフローチャートである。
【図７】本発明の第３の実施形態を示すシステム構成図である。
【図８】本発明の第４の実施形態を示すシステム構成図である。
【図９】第４の実施形態における装置間処理シーケンスの例を示す図である。
【図１０】第４の実施形態における装置間処理シーケンスの例を示す図である。
【図１１】第４の実施形態における装置間処理シーケンスの例を示す図である。
【図１２】本発明の第５の実施形態における事業者間シーケンスの例を示す図である。
【図１３】踏み台を使ったＴＣＰ  ＳＹＮ  ＡＣＫ攻撃のパケットの流れの例を示す図である。
【図１４】踏み台を使ったＩＣＭＰ応答攻撃のパケットの流れの例を示す図である。
【図１５】踏み台を使ったＤＤｏＳ攻撃の例を示す図である。
【図１６】従来のシステムの構成例を示す図である。
【図１７】図１６の従来のシステムにおける各装置のブロック図である。
【符号の説明】
【０１２４】
１    攻撃コンピュータ
２，３    踏み台コンピュータ
４    被攻撃コンピュータ
５，６    踏み台フロー
７，８    攻撃フロー
１０    ネットワーク
１１〜１４    ルータ
１００    トンネルトポロジ管理装置
１１１〜１１４    トンネル
２１０    踏み台パケット進入ルータ特定装置
１１０２    攻撃パケット検出部
１１０３    攻撃パケット進入ルータ特定部
１１０４    トンネルフロー管理テーブル
１１０６    攻撃パケット進入ルータテーブル
２１０１    トンネルフロー解析部
２１０２    踏み台パケット検出部
２１０３    攻撃ＴＣＰ  ＳＹＮ  ＡＣＫパケットテーブル
２１０４    踏み台パケット進入ルータテーブル
２２０１    攻撃ＴＣＰ  ＳＹＮ  ＡＣＫフロー状態テーブル
２３０１    攻撃ＩＣＭＰフロー状態テーブル
２３０２    攻撃ＩＣＭＰ踏み台パケット検出部
２５０１〜２５０５    回線
３０００〜３００３，３１００〜３１０４，３２０１〜３２０４，３３００〜３３０４    ステップ
４００１〜４００４    フロー情報取得装置
４０１１，４０１２    被疑パケット検出装置
４１００    トラヒック集約制御装置
６０００    インターネットサービス提供事業者
６００１    インターネットサービス利用者
６００２    攻撃元調査事業者
７０００    インターネットサービス利用者管理装置
７００１    インタネットサービス利用者管理データベース
７１００    攻撃元調査管理装置
７１０１    攻撃元調査サービス利用者管理データベース
【図１】
2006191433.tif 000018
【図２】
2006191433.tif 000019
【図３】
2006191433.tif 000020
【図４】
2006191433.tif 000021
【図５】
2006191433.tif 000022
【図６】
2006191433.tif 000023
【図７】
2006191433.tif 000024
【図８】
2006191433.tif 000025
【図９】
2006191433.tif 000026
【図１０】
2006191433.tif 000027
【図１１】
2006191433.tif 000028
【図１２】
2006191433.tif 000029
【図１３】
2006191433.tif 000030
【図１４】
2006191433.tif 000031
【図１５】
2006191433.tif 000032
【図１６】
2006191433.tif 000033
【図１７】
2006191433.tif 000034