(57)【要約】  ＤｏＳ／ＤＤｏＳ攻撃を検出する方法は、予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するステップであって、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データも大きくなる、獲得するステップと、獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って時間間隔に対応する全体トラフィック閾値を見出すステップと、トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うステップと、を含む。
2019501547.tif 000002
【特許請求の範囲】
【請求項１】
サービス妨害（ＤｏＳ）又は分散型サービス妨害（ＤＤｏＳ）攻撃を検出する方法であって、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、前記トラフィックデータは、前記サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データが大きくなる、獲得するステップと、
前記獲得したトラフィックデータに対応する前記時間間隔を求め、前記求められた時間間隔に従って前記時間間隔に対応する前記全体トラフィック閾値を見出すステップと、
前記トラフィックデータを、前記見出した全体トラフィック閾値と比較し、前記トラフィックデータが前記全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、前記サービスに対する攻撃の検出を行うステップと、
を含むことを特徴とする、方法。
【請求項２】
異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データは、前記サービスの前記履歴トラフィックデータ及び前記サービスに割り当てられた計算リソースデータに従って計算により獲得され、前記サービスの前記履歴トラフィックデータが大きいほど、前記サービスに割り当てられた前記計算リソースデータも大きくなり、前記獲得した前記サービスの全体トラフィック閾値データも大きくなることを特徴とする、請求項１に記載の方法。
【請求項３】
前記サービスに対する攻撃の検出を行うステップは、
攻撃トラフィックが発生したときに異常時間情報を特定するステップと、
前記異常時間情報に対応する前記サービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得するステップと、
前記獲得したモジュールトラフィックデータを、前記異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、前記モジュールフロー閾値を上回るサービスモジュール識別子を求めるステップと、
を含み、前記異常時間情報に対応する前記モジュールトラフィック閾値は、各サービスモジュールの前記履歴トラフィックデータに従って計算される、
ことを特徴とする、請求項１に記載の方法。
【請求項４】
前記サービスの履歴トラフィック値と時間の対応関連データを収集するステップと、
その間の差異が予め設定された値より小さい隣接する履歴トラフィックレート値を、同じ時間間隔における間隔トラフィック値として設定するステップと、
前記間隔トラフィック値の平均トラフィック値を計算し、前記平均トラフィック値に従って前記時間間隔の前記全体トラフィック閾値を求めるステップと、
をさらに含むことを特徴とする、請求項１に記載の方法。
【請求項５】
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、獲得するステップの後、前記方法は、
前記サービスに割り当てられた前記計算リソースデータを獲得し、前記計算リソースデータに従って最大トラフィック閾値を求めるステップと、
前記求められた最大トラフィック閾値に従って前記異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データを調整するステップと、
をさらに含むことを特徴とする、請求項２に記載の方法。
【請求項６】
新規追加サービスモジュールが前記サービスに与えられたことを監視する場合に、前記新規追加サービスモジュールの属性情報を獲得するステップであって、前記属性情報はタイプ情報及び持続時間情報を含む、獲得するステップと、
前記タイプ情報に従って前記新規追加サービスモジュール用に構成された新規追加トラフィック閾値データを獲得するステップと、
前記新規追加トラフィック閾値データに従って前記持続時間情報に対応する前記時間間隔の前記全体トラフィック閾値を調整するステップと、
をさらに含むことを特徴とする、請求項１に記載の方法。
【請求項７】
ＤｏＳ／ＤＤｏＳ攻撃を検出する装置であって、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するように構成されたトラフィック獲得モジュールであって、前記トラフィックデータは、前記サービスの全体トラフィックと時間との間の対応データである、トラフィック獲得モジュールと、
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するように構成されたマルチプルトラフィック閾値獲得モジュールであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、マルチプルトラフィック閾値獲得モジュールと、
前記獲得したトラフィックデータに対応する前記時間間隔を求め、前記求められた時間間隔に従って前記時間間隔に対応する前記全体トラフィック閾値を見出すように構成された閾値比較及び決定モジュールと、
前記トラフィックデータを、前記見出した全体トラフィック閾値と比較し、前記トラフィックデータが前記全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、前記サービスに対する攻撃の検出を行うように構成された攻撃トラフィック検出モジュールと、
を含むことを特徴とする、装置。
【請求項８】
異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データは、前記サービスの前記履歴トラフィックデータ及び前記サービスに割り当てられた計算リソースデータに従って計算により獲得され、前記サービスの前記履歴トラフィックデータが大きいほど、前記サービスに割り当てられた前記計算リソースデータも大きくなり、前記獲得した前記サービスの全体トラフィック閾値データも大きくなることを特徴とする、請求項７に記載の装置。
【請求項９】
前記攻撃トラフィック検出モジュールは、攻撃トラフィックが発生したときに異常時間情報を特定し、前記異常時間情報に対応する前記サービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得し、前記獲得したモジュールトラフィックデータを、前記異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、前記モジュールフロー閾値を上回るサービスモジュール識別子を求めるようにさらに構成され、前記異常時間情報に対応する前記モジュールトラフィック閾値は、各サービスモジュールの前記履歴トラフィックデータに従って計算されることを特徴とする、請求項７に記載の装置。
【請求項１０】
前記サービスの履歴トラフィック値と時間の対応関連データを収集するように構成された履歴トラフィック収集モジュールと、
その間の差異が予め設定された値より小さい隣接する履歴トラフィックレート値を、同じ時間間隔における間隔トラフィック値として設定するように構成された時間間隔分割モジュールと、
前記間隔トラフィック値の平均トラフィック値を計算し、前記平均トラフィック値に従って前記時間間隔の前記全体トラフィック閾値を求めるように構成された間隔閾値計算モジュールと、
をさらに含むことを特徴とする、請求項７に記載の装置。
【請求項１１】
前記サービスに割り当てられた前記計算リソースデータを獲得し、前記計算リソースデータに従って最大トラフィック閾値を求めるように構成された計算リソース獲得モジュールと、
前記求められた最大トラフィック閾値に従って異なる間隔に対応する前記サービスの前記全体トラフィック閾値データを調整するように構成されたトラフィック閾値調整モジュールと
をさらに含むことを特徴とする、請求項８に記載の装置。
【請求項１２】
新規追加サービスモジュールが前記サービスに与えられたことを監視する場合に、前記新規追加サービスモジュールの属性情報を獲得するように構成された新規追加モジュール情報獲得モジュールであって、前記属性情報はタイプ情報及び持続時間情報を含む、新規追加モジュール情報獲得モジュールと、
前記タイプ情報に従って前記新規サービスモジュール用に構成された新規追加トラフィック閾値データを獲得するように構成された新規追加モジュールトラフィック決定モジュールと、
前記新規追加トラフィック閾値データに従って前記持続時間情報に対応する前記時間間隔の前記全体トラフィック閾値を調整するように構成されたトラフィック閾値更新モジュールと、
をさらに含むことを特徴とする、請求項７に記載の装置。
【請求項１３】
プロセッサと、命令を格納するメモリとを含むサーバであって、前記命令は、前記プロセッサにより実行されたとき、前記プロセッサに、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、前記トラフィックデータは、前記サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、獲得するステップと、
前記獲得したトラフィックデータに対応する前記時間間隔を求め、前記求められた時間間隔に従って前記時間間隔に対応する前記全体トラフィック閾値を見出すステップと、
前記トラフィックデータを、前記見出した全体トラフィック閾値と比較し、前記トラフィックデータが前記全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、前記サービスに対する攻撃の検出を行うステップと、
を含むステップを行わせることを特徴とする、サーバ。
【請求項１４】
異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データは、前記サービスの前記履歴トラフィックデータ及び前記サービスに割り当てられた計算リソースデータに従って計算により獲得され、前記サービスの前記履歴トラフィックデータが大きいほど、前記サービスに割り当てられた前記計算リソースデータも大きくなり、前記獲得した前記サービスの全体トラフィック閾値データも大きくなることを特徴とする、請求項１３に記載のサーバ。
【請求項１５】
前記プロセッサにより行われる前記サービスに対する前記攻撃の検出は、
攻撃トラフィックが発生したときに異常時間情報を特定するステップと、
前記異常時間情報に対応する前記サービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得するステップと、
前記獲得したモジュールトラフィックデータを、前記異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、前記モジュールフロー閾値を上回るサービスモジュール識別子を求めるステップと、
を含み、前記異常時間情報に対応する前記モジュールトラフィック閾値は、各サービスモジュールの前記履歴トラフィックデータに従って計算される、
ことを特徴とする、請求項１３に記載のサーバ。
【請求項１６】
前記プロセッサは、
前記サービスの履歴トラフィック値と時間の対応関連データを収集するステップと、
その間の差異が予め設定された値より小さい隣接する履歴トラフィックレート値を、同じ時間間隔における間隔トラフィック値として設定するステップと、
前記間隔トラフィック値の平均トラフィック値を計算し、前記平均トラフィック値に従って前記時間間隔の前記全体トラフィック閾値を求めるステップと、
をさらに行うことを特徴とする、請求項１３に記載のサーバ。
【請求項１７】
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、獲得するステップの後、前記プロセッサは、
前記サービスに割り当てられた前記計算リソースデータを獲得し、前記計算リソースデータに従って最大トラフィック閾値を求めるステップと、
前記求められた最大トラフィック閾値に従って異なる間隔に対応する前記サービスの前記全体トラフィック閾値データを調整するステップと、
をさらに行うことを特徴とする、請求項１４に記載のサーバ。
【請求項１８】
前記プロセッサは、
新規追加サービスモジュールが前記サービスに与えられたことを監視する場合に、前記新規追加サービスモジュールの属性情報を獲得するステップであって、前記属性情報はタイプ情報及び持続時間情報を含む、獲得するステップと、
前記タイプ情報に従って前記新規サービスモジュール用に構成された新規追加トラフィック閾値情報を獲得するステップと、
前記新規追加トラフィック閾値データに従って前記持続時間情報に対応する前記時間間隔の前記全体トラフィック閾値を調整するステップと、
をさらに行うことを特徴とする、請求項１３に記載のサーバ。
【請求項１９】
少なくとも１つのプロセッサにより実行されたとき、前記少なくとも１つのプロセッサに、請求項１〜請求項６のいずれかに記載のＤｏＳ／ＤＤｏＳ攻撃を検出する方法を実行させるコンピュータ可読命令を格納する少なくとも１つの非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、コンピュータネットワークセキュリティ技術の分野に関し、より具体的には、サービス妨害（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ：ＤｏＳ）又は分散型サービス妨害（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ：ＤＤｏＳ）攻撃を検出する方法、装置、サーバ及び記憶媒体に関する。
【０００２】
（関連出願の相互参照）
本出願は、その内容の全体が引用により本明細書に明確に組み入れられる、２０１６年１１月１５日に出願された、「ＤｏＳ／ＤＤｏＳ攻撃を検出する方法及び装置（英訳：ＭＥＴＨＯＤ  ＡＮＤ  ＤＥＶＩＣＥ  ＯＦ  ＤＥＴＥＣＴＩＮＧ  ＤＯＳ／ＤＤＯＳ  ＡＴＴＡＣＫ）」という名称の中国特許出願番号第２０１６１１００５９５４．７号に対する優先権を主張する。
【背景技術】
【０００３】
サービス妨害（ＤｏＳ）攻撃及び分散型サービス妨害（ＤＤｏＳ）攻撃は、正規ユーザがサービスに正常にアクセスするのを妨害する一種のネットワーク攻撃である。ＤｏＳ／ＤＤｏＳ攻撃の本質は、大量の無用なメッセージをターゲットに送信して、ターゲット帯域幅及びホストリソースを占有し、それにより大規模な悪意のあるトラフィック攻撃をもたらすものである。ネットワークセキュリティ及び通常のサービス運用を保証するために、正確でタイムリーな攻撃検出が不可欠である。
【０００４】
ＤｏＳ／ＤＤｏＳ攻撃を検出する従来の方法は、経験に基づいて一定のトラフィック閾値を設定するものであり、トラフィックが設定されたトラフィック閾値を上回る場合、そのトラフィックをクリーニングする。一定のトラフィック閾値に基づく単純な攻撃検出方法では、攻撃が検出されない又は攻撃がエラー検出される可能性が高く、これにより幾つかの問題、例えば通常のトラフィックの不要なクリーニングにより引き起こされる不安定なサービスプラットフォームサービス、及びリソースの悪質な消費、又はさらに、検出されなかった攻撃により引き起こされるシステムの麻痺がもたらされる。
【発明の概要】
【０００５】
種々の実施形態によれば、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法、装置、サーバ及び記憶媒体が提供される。
【０００６】
ＤｏＳ／ＤＤｏＳ攻撃を検出する方法は、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するステップであって、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データも大きくなる、獲得するステップと、
獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って時間間隔に対応する全体トラフィック閾値を見出すステップと、
トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うステップと、
を含む。
【０００７】
ＤｏＳ／ＤＤｏＳ攻撃を検出する装置は、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するように構成されたトラフィック獲得モジュールであって、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである、トラフィック獲得モジュールと、
サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するように構成されたマルチプルトラフィック閾値獲得モジュールであって、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データも大きくなる、マルチプルトラフィック閾値獲得モジュールと、
獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って時間間隔に対応する全体トラフィック閾値を見出すように構成された閾値比較及び決定モジュールと、
トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うように構成された攻撃トラフィック検出モジュールと
を含む。
【０００８】
サーバが、プロセッサと、命令を格納するメモリとを含み、命令は、プロセッサにより実行されたとき、プロセッサに、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するステップであって、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データも大きくなる、獲得するステップと、
獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って時間間隔に対応する全体トラフィック閾値を見出すステップと、
トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うステップと、
を行わせる。
【０００９】
少なくとも１つの非一時的コンピュータ可読記憶媒体は、少なくとも１つのプロセッサにより実行されたとき、少なくとも１つのプロセッサに、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するステップであって、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データも大きくなる、獲得するステップと、
獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って時間間隔に対応する全体トラフィック閾値を見出すステップと、
トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うステップと、
を実行させるコンピュータ可読命令を格納する。
【００１０】
本開示の少なくとも１つの実施形態の詳細は、以下の図面及び説明を参照して説明される。本開示の他の特徴、目的及び利点は、明細書、図面及び特許請求の範囲からより明らかになるであろう。
【００１１】
本発明の実施形態による又は従来技術における技術的解決法をより明らかに示すために、実施形態又は従来技術を説明するための添付図面を以下に簡単に紹介する。明らかに、以下の説明における添付図面は、本発明の幾つかの実施形態に過ぎず、当業者であれば、創造的な取り組みなしに、添付図面から他の図面を導き出すことができる。
【図面の簡単な説明】
【００１２】
【図１】一実施形態による、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法のための環境を示す図である。
【図２】一実施形態による、サーバのブロック図である。
【図３】一実施形態による、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法のフローチャートである。
【図４】一実施形態による、攻撃トラフィックを特定するステップを含むフローチャートである。
【図５】一実施形態による、異なる時間間隔の全体トラフィック閾値データを準備するステップを含むフローチャートである。
【図６】一実施形態による、新規追加サービスモジュールにより全体トラフィック閾値を調整することを含むフローチャートである。
【図７】一実施形態による、ＤｏＳ／ＤＤｏＳ攻撃を検出する装置のブロック図である。
【図８】別の実施形態による、ＤｏＳ／ＤＤｏＳ攻撃を検出する装置のブロック図である。
【図９】更に別の実施形態による、ＤｏＳ／ＤＤｏＳ攻撃を検出する装置のブロック図である。
【発明を実施するための形態】
【００１３】
本発明の実施形態は、添付図面を参照して以下により十分に説明される。しかしながら、本発明の種々の実施形態は、多数の異なる形態で具体化することができ、本明細書に述べられる実施形態に限定されると解釈すべきではない。むしろ、これらの実施形態は、本開示が完璧かつ完全であり、本発明の範囲を当業者に十分に伝えられるように提供される。
【００１４】
図１を参照すると、１つの実施形態によれば、端末１１０及びサーバ１２０を含む、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法のための環境を示す図が提供される。端末１１０は、スマートフォン、タブレット型コンピュータ、ノートブック型コンピュータ、デスクトップコンピュータのうちの少なくとも１つとすることができるが、これらに限定されない。サーバ１２０は、別個の物理サーバ又は複数の物理サーバのサーバクラスタとすることができる。端末１１０は、ユーザがサービス端末ページに対して実行する動作イベント、すなわちユーザ行動情報を獲得し、獲得したユーザ行動情報をサーバにアップロードして、サーバ応答を取得する。サーバ１２０は、端末によりアップロードされたユーザ行動情報を記録し、ユーザ行動情報に従ってサービスのトラフィックデータを計算する。サーバ１２０は、トラフィックデータの統計を実施して異なる時間間隔についてのトラフィック閾値を取得し、サーバ１２０は異なる時間間隔で現行のトラフィックを監視する。サービストラフィックが時間間隔のトラフィック閾値を上回る場合、サービスは、攻撃トラフィックを発生したと判定される。
【００１５】
図２は、一実施形態によるサーバ１２０のブロック図である。サーバ１２０は、システムバスを介して結合された、プロセッサ、非一時的記憶媒体、ランダムアクセスメモリ（ＲＡＭ）、ネットワークインターフェースを含む。サーバ１２０の非一時的記憶媒体は、オペレーティングシステム、データベース、及び少なくとも１つのコンピュータ可読命令を格納する。コンピュータ可読命令がプロセッサにより実行されるとき、プロセッサは、図３に示されるＤｏＳ／ＤＤｏＳ攻撃を検出する方法を実行する。データベースは、ＤｏＳ／ＤＤｏＳ攻撃検出方法の実行に関与するサービストラフィックデータ等のデータを収集し格納するのに用いられる。プロセッサは、サーバ１２０の動作全体をサポートする計算及び制御機能を提供するために用いられる。サーバのＲＡＭは、非一時的記憶媒体におけるＤｏＳ／ＤＤｏＳ攻撃を検出する装置のための動作環境を提供する。ネットワークインターフェースは、外部端末１１０と通信するために用いられる。当業者であれば、図２に示される構造は、本開示のソリューションの構造の一部に過ぎず、サーバに制限を課すものではないことが理解できる。特定のサーバは、図に示されるより多い又は少ない構成要素を含むことができ、又は幾つかの構成要素を組み合わせることができ、又は異なる構成要素の配置を有することができる。
【００１６】
図３を参照すると、一実施形態において、以下のステップを含む、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法が提供される。
【００１７】
ステップＳ２０２において、予め設定された期間における予め設定されたサービスのトラフィックデータが獲得され、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである。
【００１８】
本明細書で用いられるサービスは、コンピュータプログラムにより特定の完全な機能を達成するために用いることができる、オンラインウェブサイト、アプリケーション等を指す。サービスシステムがサービストップページへのユーザアクセスに応答し、ユーザが他のイベントのサービストップページで操作した場合、サービス帯域幅及び計算リソースが占有され、この占有帯域幅及び計算リソースをサービスのトラフィックと呼ぶことができる。
【００１９】
例えば、サービスは、ゲームフォーラム、金融アプリケーション等とすることができる。端末のユーザがゲームフォーラム又は金融アプリケーションにログインし、一連の他の操作を行うと、サービスのサービストラフィックが生成される。
【００２０】
一実施形態において、ユーザ行動情報は、コンピュータネットワークシステムにおける多数のキーノード又はログ記録で収集することができ、ユーザ行動情報に従って、サービスのトラフィックデータを計算することができる。
【００２１】
具体的には、サーバは、あらゆる予め設定された時間に予め設定された期間でトラフィックデータを獲得し、例えば、サーバは、１０分ごとに、１０分以内のトラフィックデータを獲得する。トラフィックデータは、対応する時間情報を含み、すなわち、トラフィックデータは、サービスの全体トラフィックと時間との間の対応データである。ここでの時間は、８：００から８：１０ａｍまでといった一日の特定の期間とすることができ、トラフィックデータは、月曜の朝８：００から８：１０までのサービスの全体トラフィックといった週情報を含むこともできる。
【００２２】
トラフィックデータを獲得するための予め設定された期間は、攻撃検出の適時性に従って構成できることに留意すべきである。迅速な攻撃の検出の必要性がある場合には、予め設定された期間の長さを短くし、トラフィックデータへのアクセス頻度を増やすことができる。
【００２３】
ステップＳ２０４において、サービスの履歴トラフィックデータに従って計算された、異なる時間間隔に対応するサービスの全体トラフィック閾値データが獲得され、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データが大きくなる。
【００２４】
具体的には、サーバは、サービスの履歴トラフィックデータに従って前もってサービスのトラフィック特性を分析及びカウントし、サービスの全体トラフィック閾値は、サービスのトラフィック特性に従って構成される。例示される実施形態において、履歴トラフィックデータに従って計算された、獲得したサービスの全体トラフィック閾値データは、異なる時間間隔に対応する複数の全体トラフィック閾値である。例えば、サービスの全体トラフィック閾値データが、８：００〜１０：００、１０：００〜１５：００、１５：００〜１８：００、１８：００〜２４：００及び２４：００〜８：００に対応する全体トラフィック間に差異があることを示す場合、間隔は、トラフィック閾値間隔として構成され（異なるサービスに対応するトラフィック閾値間隔は異なる）、対応する全体トラフィック閾値は、各トラフィック閾値間隔に対応するトラフィックデータに従って計算される。間隔における履歴トラフィックデータが大きいほど、間隔について構成された全体トラフィック閾値も大きくなる。
【００２５】
一実施形態において、トラフィック閾値データはまた、週属性も区別する、すなわち、異なる週属性は、異なる全体トラフィック閾値データに対応する。例えば、月曜日から金曜日までの各トラフィック閾値間隔は、土曜日から日曜日までの各トラフィック閾値間隔とは異なり、トラフィック閾値間隔に対応する全体トラフィック閾値は同じではない。一実施形態において、履歴トラフィックデータに従って、毎日のトラフィック閾値間隔と、週の各曜日についての全体トラフィック閾値とを区別することもできる。
【００２６】
全体トラフィック閾値計算のための履歴トラフィックデータは、履歴時間内に発生した攻撃の異常な履歴トラフィックを含まないことに留意されたい。
【００２７】
ステップＳ２０６において、獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って、時間間隔に対応する全体トラフィック閾値を見出す。
【００２８】
具体的には、獲得したトラフィックデータに対応する時間が属するトラフィック閾値間隔を求め、トラフィック閾値間隔に対応する全体トラフィック閾値を見出す。例えば、獲得したトラフィックデータの期間がトラフィック閾値間隔Ａに対応する場合、トラフィック閾値間隔Ａに対応する予め計算された全体トラフィック閾値は、現行の獲得したトラフィックのコントラスト閾値として構成される。
【００２９】
一実施形態において、獲得したトラフィックデータの時間が２つのトラフィック閾値間隔に対応する場合、２つのトラフィック閾値間隔に対応する全体トラフィック閾値を、それぞれ見出す。第１のトラフィック閾値間隔における全体トラフィックデータを、第１トラフィック閾値と比較し、第２のトラフィック閾値間隔における全体トラフィックデータを、第２トラフィック閾値と比較する。
【００３０】
ステップＳ２０８において、トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行う。
【００３１】
比較する全体トラフィック閾値を求めた後、獲得したトラフィックデータを、求められた全体トラフィック閾値と比較する。獲得した現行のトラフィックデータが全体トラフィック閾値を上回り且つ予め設定された時間続くことが検出された場合、攻撃トラフィックが検出されたと判定され、攻撃トラフィック特定及び処理プログラムが作動される。
【００３２】
一実施形態において、獲得した現行のトラフィックデータが全体トラフィック閾値を上回り且つ予め設定された時間続くことが検出された場合、トラフィック攻撃警報が生成される。
【００３３】
例示される実施形態において、複数のトラフィック閾値が、異なる時間間隔に対して構成される。構成された複数のトラフィック閾値は、時間間隔におけるサービスのトラフィック特性をより良好に反映することができ、異なる時間間隔のマルチプルトラフィック閾値は、トラフィックの検出をより正確なものにすることができ、従って、エラー検出及び検出失敗の現象を効果的に回避する。
【００３４】
一実施形態において、サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するステップＳ２０４において、異なる時間間隔に対応するサービスの全体トラフィック閾値データは、サービスの履歴トラフィックデータに従った計算及びサービスに割り当てられた計算リソースデータによって獲得される。サービスの履歴トラフィックデータが大きいほど、サービスに割り当てられる計算リソースデータは大きくなり、獲得したサービスの全体トラフィック閾値データは大きくなる。
【００３５】
具体的には、第一に、サービスの履歴トラフィックデータが統計的に分析され、異なる時間間隔に対応する中間トラフィック閾値がオフラインで計算される。中間トラフィック閾値は、履歴トラフィックデータに従って直接計算された非攻撃状況におけるサービスの全体トラフィックの経験的推定値である。第二に、現行のサービスに割り当てられた計算リソースデータが獲得され、中間トラフィック閾値が計算リソースデータに従って調整され、最終的に確定した全体トラフィック閾値を取得する。最終的に確定した全体トラフィック閾値は、中間トラフィック閾値を下回らない。計算リソースデータにより表わされる計算リソースが大きいほど、中間トラフィック閾値の調整の大きさも大きくなる。
【００３６】
例えば、履歴トラフィックデータから計算された中間トラフィック閾値データは、以下の通りである、すなわち、時間間隔Ａについての中間トラフィック閾値は１００Ｇであり、時間間隔Ｂについての中間トラフィック閾値は１５０Ｇとすることができる。サービスに割り当てられた計算リソースのロードトラフィックが３００Ｇである場合、時間間隔Ａに対応する全体トラフィック閾値は２００Ｇに調整され、時間間隔Ｂに対応する全体トラフィック閾値は３００Ｇとなる、すなわち、求められた全体トラフィック閾値は、中間トラフィック閾値の二倍となる。サービスに割り当てられた計算リソースのロードトラフィックが２００Ｇである場合、時間間隔Ａに対応する全体トラフィック閾値は１５０Ｇに調整され、時間間隔Ｂに対応する全体トラフィック閾値は２００Ｇとなる。
【００３７】
上述の調整規則は、最大中間トラフィック閾値を、計算リソースが提供できるロードトラフィックになるように調整することである。調整比率が計算され、他の中間トラフィック閾値が、その比率に従って調整される。言うまでもなく、調整された全体トラフィック閾値が、計算リソースが提供できるロードトラフィックを上回らない限り、他の調整規則を採用することもできる。
【００３８】
例示される実施形態において、トラフィック閾値は、現行のサービスに割り当てられた計算リソースデータに従って調整され、計算リソースが十分にある場合、攻撃トラフィック検出の可能性が減るように、トラフィック閾値が可能な限り増大され、これにより、トラフィックのクリーニングによる通常のサービス運用に対する影響をある程度まで低減させることができる。
【００３９】
一実施形態において、図４を参照すると、トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うステップＳ２０８は、以下を含む。
【００４０】
ステップＳ３０２において、攻撃トラフィックが発生したとき、異常時間情報を特定する。
【００４１】
異常時間は、全体トラフィック閾値を上回る全体トラフィックデータに対応する時間間隔を指す。一実施形態において、異常時間は、攻撃トラフィックの開始時間とすることもできる。
【００４２】
ステップＳ３０４において、異常時間情報に対応する、サービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得する。
【００４３】
具体的には、サービスに含まれるサービスモジュール識別子を獲得し、異常時間情報に対応する各サービスモジュール識別子の下でのモジュールトラフィックデータを獲得する。
【００４４】
ステップＳ３０６において、獲得したモジュールトラフィックデータを、異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、モジュールフロー閾値を上回るサービスモジュール識別子を求め、ここで異常時間情報に対応するモジュールトラフィック閾値を、各サービスモジュールの履歴トラフィックデータに従って計算する。
【００４５】
具体的には、異常時間における各モジュールのモジュールトラフィックデータを獲得すると、異常時間に対応する各モジュールについてのモジュールトラフィック閾値も獲得される。各モジュールについての獲得したモジュールトラフィック閾値は、各モジュールの履歴トラフィックデータに従って前もって計算される。全体トラフィック閾値の前述の計算方法と同様に、各モジュールのモジュールトラフィック閾値は、異なる時間間隔のマルチ閾値でもある。
【００４６】
異常時間に対応するモジュールトラフィックデータと、前もって計算されたモジュールトラフィック閾値とを比較することにより、予め設定された閾値を上回るモジュール識別子が特定され、異常時間の間にモジュールにより生成されたトラフィックは、攻撃トラフィックである。攻撃トラフィックを特定した後、攻撃トラフィックをクリーニングすることができる。
【００４７】
ゲームフォーラムのサービスを例にとると、ゲームフォーラムが、ログインモジュール、ポストモジュール及び金貨両替モジュールを含むと仮定する。異常時間間隔における上記の各モジュールのモジュールトラフィックデータを獲得し、異常時間に対応する各モジュールについてのトラフィック閾値も獲得する。モジュールトラフィックデータをトラフィック閾値と比較し、金貨両替モジュールのトラフィックデータがモジュールのトラフィック閾値よりはるかに大きいことが検出された場合、金貨両替モジュールがトラフィック攻撃を受けていると判定される。次いで、金貨両替モジュールのトラフィックをクリーニングすることができ、攻撃源（ａｔｔａｃｋ  ｓｏｕｒｃｅ）情報を検出することができる。
【００４８】
一実施形態において、攻撃トラフィックを生成する攻撃源情報は、攻撃トラフィックの特性に基づく深層学習（ｄｅｐｔｈ  ｌｅａｒｎｉｎｇ）方法に従って取得することができる。
【００４９】
一実施形態において、図５を参照すると、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法は、以下のステップをさらに含む。
【００５０】
ステップＳ４０２において、サービスの履歴トラフィック値と時間との対応関連データを収集する。
【００５１】
ステップＳ４０４において、それらの間の差異が予め設定された値より小さい隣接する履歴トラフィックレート値が、同じ時間間隔の間隔トラフィック値として設定される。
【００５２】
ステップＳ４０６において、間隔トラフィック値の平均トラフィック値を計算し、平均トラフィック値に従った時間間隔の全体トラフィック閾値を求める。
【００５３】
具体的には、履歴トラフィックと時間との間の対応データである、履歴時間における履歴トラフィックデータを収集する。
【００５４】
２４時間を１つの期間として用いて、各期間における獲得した履歴トラフィックデータのトラフィックデータ特性を分析する。具体的には、そのトラフィックの差異が履歴トラフィックデータの予め設定された値を下回るような、期間における隣接する時点を、同じ時間間隔に分割する。
【００５５】
さらに、トラフィックデータ特性の分析を行うために複数の期間を獲得し、トラフィックについての時間間隔規則を見出し、従って、より正確な時間間隔分割を容易にする。
【００５６】
時間間隔分割を終えた後、時間間隔における履歴トラフィック値を獲得し、時間間隔における全ての履歴トラフィック値の平均トラフィック値を計算し、計算した平均トラフィック値に従って、時間間隔の全体トラフィック閾値を求める。求められた全体トラフィック閾値は、計算した時間間隔における平均トラフィックを下回らない。
【００５７】
一実施形態において、平均トラフィック値を計算する前に、時間間隔における最大履歴トラフィック値及び最小履歴トラフィック値を除去し、全体トラフィック閾値の基礎として、最大履歴トラフィック値及び最小履歴トラフィック値以外の履歴トラフィック値の平均トラフィック値を求める。
【００５８】
一実施形態において、サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するステップであって、時間間隔の履歴トラフィックデータが大きいほど、対応するサービスの全体トラフィック閾値データも大きくなる、ステップＳ２０４の前に、この方法は、
サービスに割り当てられた計算リソースデータを獲得し、計算リソースデータに従って最大トラフィック閾値を求めるステップと、
求められた最大トラフィック閾値に従って、異なる間隔に対応するサービスの全体トラフィック閾値データを調整するステップと、
をさらに含む。
【００５９】
ステップＳ２０４において取得された異なる時間間隔に対応する全体トラフィック閾値データは、調整された全体トラフィック閾値データである。
【００６０】
例示される実施形態において、トラフィック閾値は、現行のサービスに割り当てられた計算リソースデータに従って調整される。計算リソースが十分である場合、攻撃トラフィック検出の可能性が減るように、トラフィック閾値が可能な限り増大され、これにより、トラフィックのクリーニングによる通常のサービス運用に対する影響をある程度まで低減させることができる。
【００６１】
一実施形態において、図６を参照すると、ＤｏＳ／ＤＤｏＳ攻撃を検出する方法は、以下のステップをさらに含む。
【００６２】
ステップＳ５０２において、新規に追加されたサービスモジュールがサービスに提供されたことを監視すると、新規に追加された新サービスモジュールの属性情報を獲得し、この属性情報は、タイプ情報及び持続時間情報を含む。
【００６３】
サーバは、種々のタイプの新サービスモジュールを予め格納し、新モジュールがリリースされると、対応するタイプ情報を新規追加モジュールに割り当てる。例えば、サービスモジュールのタイプは、広告タイプ、抽選タイプなどを含むことができる。新規追加サービスモジュール属性における持続時間情報は、サービスモジュールの開始時間情報及び終了時間情報とすることができる。
【００６４】
ステップＳ５０４において、タイプ情報に従って、新サービスモジュール用に構成された新規追加トラフィック閾値データを獲得する。
【００６５】
サーバは、各々の新規追加サービスモジュールのタイプについて、対応する新規追加トラフィック閾値データを予め構成する。具体的には、同じタイプのサービスモジュールについての履歴トラフィックデータに従って、構成された新規追加トラフィック閾値を求めることができる。
【００６６】
ステップＳ５０６において、新規追加トラフィック閾値データに従って、持続時間情報に対応する時間間隔の全体トラフィック閾値を調整する。
【００６７】
新規追加サービスモジュールの持続時間情報を時間間隔と照合し、新規追加トラフィック閾値データを、時間間隔に合致する全体トラフィック閾値に付加し、時間間隔についての全体トラフィック閾値が新規追加サービスモジュールのトラフィックを反映できるようにする。全体トラフィック閾値は、サービスモジュールの増加又は減少に従って動的に調整することができ、これにより新モジュールのトラフィックにより引き起こされるエラー攻撃の状況を回避することができる。
【００６８】
一実施形態において、図７を参照すると、ＤｏＳ／ＤＤｏＳ攻撃を検出する装置が提供され、この装置は、以下を含む。
【００６９】
トラフィック獲得モジュール６０２は、予め設定された期間における予め設定されたサービスのトラフィックデータを獲得するように構成され、ここでトラフィックデータは、サービスの全体トラフィックと時間との間の対応データである。
【００７０】
マルチプルトラフィック閾値獲得モジュール６０４は、サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応するサービスの全体トラフィック閾値データを獲得するように構成された獲得モジュールであり、時間間隔の履歴トラフィックデータが大きいほど、サービスの対応する全体トラフィック閾値データも大きくなる。
【００７１】
閾値比較及び決定モジュール６０６は、獲得したトラフィックデータに対応する時間間隔を求め、求められた時間間隔に従って時間間隔に対応する全体トラフィック閾値を見出すように構成される。
【００７２】
攻撃トラフィック検出モジュール６０８は、トラフィックデータを、見出した全体トラフィック閾値と比較し、トラフィックデータが全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、サービスに対する攻撃の検出を行うように構成される。
【００７３】
一実施形態において、異なる時間間隔に対応するサービスの全体トラフィック閾値データは、サービスの履歴トラフィックデータ及びサービスに割り当てられた計算リソースデータに従って、計算により獲得され、サービスの履歴トラフィックデータが大きいほど、サービスに割り当てられた計算リソースデータも大きくなり、獲得したサービスの全体トラフィック閾値データも大きくなる。
【００７４】
一実施形態において、攻撃トラフィック検出モジュール６０８は、攻撃トラフィックが発生したときに異常時間情報を特定し、異常時間情報に対応するサービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得し、獲得したモジュールトラフィックデータを、異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、モジュールフロー閾値を上回るサービスモジュール識別子を求めるようにさらに構成され、ここで異常時間情報に対応するモジュールトラフィック閾値は、各サービスモジュールの履歴トラフィックデータに従って計算される。
【００７５】
一実施形態において、図８を参照すると、ＤｏＳ／ＤＤｏＳ攻撃を検出する装置は、以下をさらに含む。
【００７６】
履歴トラフィック収集モジュール７０２は、サービスの履歴トラフィック値と時間の対応関連データを収集するように構成される。
【００７７】
時間間隔分割モジュール７０４は、隣接し、その差異が予め設定された値より小さい履歴トラフィックレート値を、同じ時間間隔の間隔トラフィック値として構成するように構成される。
【００７８】
間隔閾値計算モジュール７０６は、間隔トラフィック値の平均トラフィック値を計算し、平均トラフィック値に従って時間間隔の全体トラフィック閾値を求めるように構成される。
【００７９】
計算リソース獲得モジュール７０８は、サービスに割り当てられた計算リソースデータを獲得するように構成される。
【００８０】
トラフィック閾値調整モジュール７１０は、求められた最大トラフィック閾値に従って異なる間隔に対応するサービスの全体トラフィック閾値データを調整するように構成される。
【００８１】
一実施形態において、図９を参照すると、Ｄｏｓ／ＤＤｏＳ攻撃を検出する装置は、以下をさらに含む。
【００８２】
新規追加モジュール情報獲得モジュール８０２は、新規追加サービスモジュールがサービスに提供されたことを監視すると、新規追加サービスモジュールの属性情報を獲得するように構成され、この属性情報は、タイプ情報及び持続時間情報を含む。
【００８３】
新規追加モジュールトラフィック決定モジュール８０４は、タイプ情報に従って新サービスモジュール用に構成された新規追加トラフィック閾値データを獲得するように構成される。
【００８４】
トラフィック閾値更新モジュール８０６は、新規追加トラフィック閾値データに従って持続時間情報に対応する時間間隔の全体トラフィック閾値を調整するように構成される。
【００８５】
当業者であれば、上記の実施形態における方法のプロセスは、基礎をなすハードウェアに指示するコンピュータプログラムにより、全体的又は部分的に実装することができ、このプログラムは、コンピュータ可読記憶媒体内に格納できることを理解すべきである。本発明の実施形態において、プログラムは、コンピュータシステムの記憶媒体内に格納し、コンピュータシステム内の少なくとも１つのプロセッサにより実行して、上述したような実施形態のプロセスを実装することができる。記憶媒体は、ディスク、ＣＤ、読み出し専用メモリ（ＲＯＭ）及びランダムアクセスメモリ（ＲＡＭ）等とすることができる。
【００８６】
Ｄｏｓ／ＤＤｏＳ攻撃を検出する上記の装置の種々のモジュールは、ソフトウェア、ハードウェア、又はそれらの組み合わせによって、部分的に又は全体として実装することができる。上記のモジュールは、基地局のプロセッサ内に埋め込むこと又はそれとは独立していること、及びハードウェアの形態とすることができ、又は、基地局のメモリ内に格納すること及びソフトウェアの形態とすることができ、プロセッサが、上記の種々のモジュールの対応する動作を呼び出し、実行するのを容易にすることができる。プロセッサは、ＣＰＵ、マイクロプロセッサ、シングルチップマイクロコンピュータ等とすることができる。
【００８７】
上記の実施形態の異なる技術的特徴は、簡潔にするために述べられていない種々の組み合わせを有することができる。それにもかかわらず、異なる技術的特徴を組み合わせることで互いに対立しない範囲で、全てのそうした組み合わせが、本開示の範囲内にあるとみなすべきである。
【００８８】
上記の実装は、本開示の特定の実施形態に過ぎず、本開示の保護範囲を限定することを意図するものではない。本開示において開示された技術的範囲内の当業者により容易に理解されるいずれの変形又は置換も、全て本開示の保護範囲内に入ることに留意されたい。従って、本開示の保護範囲は、特許請求の範囲の保護範囲の対象である。
【符号の説明】
【００８９】
１１０：端末
１２０：サーバ
６０２：トラフィック獲得モジュール
６０４：マルチプルトラフィック閾値獲得モジュール
６０６：閾値比較及び決定モジュール
６０８：攻撃トラフィック検出モジュール
７０２：履歴トラフィック収集モジュール
７０４：時間間隔分割モジュール
７０６：間隔閾値計算モジュール
７０８：計算リソース獲得モジュール
７１０：トラフィック閾値調整モジュール
８０２：新規追加モジュール情報獲得モジュール
８０４：新規追加モジュールトラフィック決定モジュール
８０６：トラフィック閾値更新モジュール
【図１】
2019501547.tif 000003
【図２】
2019501547.tif 000004
【図３】
2019501547.tif 000005
【図４】
2019501547.tif 000006
【図５】
2019501547.tif 000007
【図６】
2019501547.tif 000008
【図７】
2019501547.tif 000009
【図８】
2019501547.tif 000010
【図９】
2019501547.tif 000011
【手続補正書】
【提出日】平成29年12月28日(2017.12.28)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
サービス妨害（ＤｏＳ）又は分散型サービス妨害（ＤＤｏＳ）攻撃を検出する方法であって、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、前記トラフィックデータは、前記サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データが大きくなる、獲得するステップと、
前記獲得したトラフィックデータに対応する前記時間間隔を求め、前記求められた時間間隔に従って前記時間間隔に対応する前記全体トラフィック閾値を見出すステップと、
前記トラフィックデータを、前記見出した全体トラフィック閾値と比較し、前記トラフィックデータが前記全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、前記サービスに対する攻撃の検出を行うステップと、
を含むことを特徴とする、方法。
【請求項２】
異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データは、前記サービスの前記履歴トラフィックデータ及び前記サービスに割り当てられた計算リソースデータに従って計算により獲得され、前記サービスの前記履歴トラフィックデータが大きいほど、前記サービスに割り当てられた前記計算リソースデータも大きくなり、前記獲得した前記サービスの全体トラフィック閾値データも大きくなることを特徴とする、請求項１に記載の方法。
【請求項３】
前記サービスに対する攻撃の検出を行うステップは、
攻撃トラフィックが発生したときに異常時間情報を特定するステップと、
前記異常時間情報に対応する前記サービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得するステップと、
前記獲得したモジュールトラフィックデータを、前記異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、前記モジュールフロー閾値を上回るサービスモジュール識別子を求めるステップと、
を含み、前記異常時間情報に対応する前記モジュールトラフィック閾値は、各サービスモジュールの前記履歴トラフィックデータに従って計算される、
ことを特徴とする、請求項１に記載の方法。
【請求項４】
前記サービスの履歴トラフィック値と時間の対応関連データを収集するステップと、
その間の差異が予め設定された値より小さい隣接する履歴トラフィックレート値を、同じ時間間隔における間隔トラフィック値として設定するステップと、
前記間隔トラフィック値の平均トラフィック値を計算し、前記平均トラフィック値に従って前記時間間隔の前記全体トラフィック閾値を求めるステップと、
をさらに含むことを特徴とする、請求項１に記載の方法。
【請求項５】
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、獲得するステップの後、前記方法は、
前記サービスに割り当てられた前記計算リソースデータを獲得し、前記計算リソースデータに従って最大トラフィック閾値を求めるステップと、
前記求められた最大トラフィック閾値に従って前記異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データを調整するステップと、
をさらに含むことを特徴とする、請求項２に記載の方法。
【請求項６】
新規追加サービスモジュールが前記サービスに与えられたことを監視する場合に、前記新規追加サービスモジュールの属性情報を獲得するステップであって、前記属性情報はタイプ情報及び持続時間情報を含む、獲得するステップと、
前記タイプ情報に従って前記新規追加サービスモジュール用に構成された新規追加トラフィック閾値データを獲得するステップと、
前記新規追加トラフィック閾値データに従って前記持続時間情報に対応する前記時間間隔の前記全体トラフィック閾値を調整するステップと、
をさらに含むことを特徴とする、請求項１に記載の方法。
【請求項７】
プロセッサと、命令を格納するメモリとを含むサーバであって、前記命令は、前記プロセッサにより実行されたとき、前記プロセッサに、
予め設定された期間内に予め設定されたサービスのトラフィックデータを獲得するステップであって、前記トラフィックデータは、前記サービスの全体トラフィックと時間との間の対応データである、獲得するステップと、
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、獲得するステップと、
前記獲得したトラフィックデータに対応する前記時間間隔を求め、前記求められた時間間隔に従って前記時間間隔に対応する前記全体トラフィック閾値を見出すステップと、
前記トラフィックデータを、前記見出した全体トラフィック閾値と比較し、前記トラフィックデータが前記全体トラフィック閾値を上回り続ける持続時間が、予め設定された値を上回る場合、前記サービスに対する攻撃の検出を行うステップと、
を含むステップを行わせることを特徴とする、サーバ。
【請求項８】
異なる時間間隔に対応する前記サービスの前記全体トラフィック閾値データは、前記サービスの前記履歴トラフィックデータ及び前記サービスに割り当てられた計算リソースデータに従って計算により獲得され、前記サービスの前記履歴トラフィックデータが大きいほど、前記サービスに割り当てられた前記計算リソースデータも大きくなり、前記獲得した前記サービスの全体トラフィック閾値データも大きくなることを特徴とする、請求項７に記載のサーバ。
【請求項９】
前記プロセッサにより行われる前記サービスに対する前記攻撃の検出は、
攻撃トラフィックが発生したときに異常時間情報を特定するステップと、
前記異常時間情報に対応する前記サービスに含まれる各サービスモジュールのモジュールトラフィックデータを獲得するステップと、
前記獲得したモジュールトラフィックデータを、前記異常時間情報に対応する前もって計算されたモジュールトラフィック閾値と比較し、前記モジュールフロー閾値を上回るサービスモジュール識別子を求めるステップと、
を含み、前記異常時間情報に対応する前記モジュールトラフィック閾値は、各サービスモジュールの前記履歴トラフィックデータに従って計算される、
ことを特徴とする、請求項７に記載のサーバ。
【請求項１０】
前記プロセッサは、
前記サービスの履歴トラフィック値と時間の対応関連データを収集するステップと、
その間の差異が予め設定された値より小さい隣接する履歴トラフィックレート値を、同じ時間間隔における間隔トラフィック値として設定するステップと、
前記間隔トラフィック値の平均トラフィック値を計算し、前記平均トラフィック値に従って前記時間間隔の前記全体トラフィック閾値を求めるステップと、
をさらに行うことを特徴とする、請求項７に記載のサーバ。
【請求項１１】
前記サービスの履歴トラフィックデータに従って計算された異なる時間間隔に対応する前記サービスの全体トラフィック閾値データを獲得するステップであって、前記時間間隔の前記履歴トラフィックデータが大きいほど、対応する前記サービスの全体トラフィック閾値データも大きくなる、獲得するステップの後、前記プロセッサは、
前記サービスに割り当てられた前記計算リソースデータを獲得し、前記計算リソースデータに従って最大トラフィック閾値を求めるステップと、
前記求められた最大トラフィック閾値に従って異なる間隔に対応する前記サービスの前記全体トラフィック閾値データを調整するステップと、
をさらに行うことを特徴とする、請求項８に記載のサーバ。
【請求項１２】
前記プロセッサは、
新規追加サービスモジュールが前記サービスに与えられたことを監視する場合に、前記新規追加サービスモジュールの属性情報を獲得するステップであって、前記属性情報はタイプ情報及び持続時間情報を含む、獲得するステップと、
前記タイプ情報に従って前記新規サービスモジュール用に構成された新規追加トラフィック閾値情報を獲得するステップと、
前記新規追加トラフィック閾値データに従って前記持続時間情報に対応する前記時間間隔の前記全体トラフィック閾値を調整するステップと、
をさらに行うことを特徴とする、請求項７に記載のサーバ。
【請求項１３】
少なくとも１つのプロセッサにより実行されたとき、前記少なくとも１つのプロセッサに、請求項１〜請求項６のいずれかに記載のＤｏＳ／ＤＤｏＳ攻撃を検出する方法を実行させるコンピュータ可読命令を格納する少なくとも１つの非一時的コンピュータ可読記憶媒体。
【国際調査報告】
2019501547.tif 000012
2019501547.tif 000013
2019501547.tif 000014
2019501547.tif 000015