(57)【要約】      （修正有）【課題】攻撃者から基幹サーバーへ送信される攻撃リクエストの処理すべき数量を減らし、基幹サーバーから攻撃の標的へ送信されるトラフィックを間接的に減少させ、反射型トラフィックの分散効果を達成可能な反射型ＤＤＯＳトラフィックの分散方法及びシステムを提供する。【解決手段】方法は、ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る工程と、前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置に送信する工程と、前記迂回装置により前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信する工程と、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す工程と、を含む。【選択図】図１
2018110388.tif 000002
【特許請求の範囲】
【請求項１】
反射型ＤＤＯＳトラフィックの分散方法であって、
ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る工程と、
前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置に送信する工程と、
前記迂回装置により前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信する工程と、
前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す工程と、を含み、
前記攻撃元ＳＩＰは、ハッカーが使用する基幹サーバーのＩＰであることを特徴とする反射型ＤＤＯＳトラフィックの分散方法。
【請求項２】
前記ネットワークノードＡは、前記ネットワークノードＢよりも帯域が狭いことを特徴とする請求項１に記載の反射型ＤＤＯＳトラフィックの分散方法。
【請求項３】
光スプリッタ又はミラーリングによって前記基幹サーバーのデータストリームを取得するとともに、アルゴリズム分析及びポリシー整合によって前記データストリームを検出し、前記攻撃元ＳＩＰ及び攻撃種別集合Ｔを得ることを特徴とする請求項１に記載の反射型ＤＤＯＳトラフィックの分散方法。
【請求項４】
請求項１乃至３のいずれか一項に記載の反射型ＤＤＯＳトラフィックの分散方法を用いる反射型ＤＤＯＳトラフィックの分散システムであって、
ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得て迂回装置に送信するための検出装置と、
前記攻撃元ＳＩＰに前記攻撃種別集合Ｔのすべてのリクエストを送信するための迂回装置と、
前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻すためのクリーニング装置と、を含むことを特徴とする反射型ＤＤＯＳトラフィックの分散システム。
【請求項５】
前記ネットワークノードＡは、前記ネットワークノードＢよりも帯域が狭いことを特徴とする請求項４に記載の反射型ＤＤＯＳトラフィックの分散システム。
【請求項６】
前記検出装置は、前記ネットワークノードＡに配置され、
前記迂回装置及びクリーニング装置は、前記ネットワークノードＢに配置されることを特徴とする請求項５に記載の反射型ＤＤＯＳトラフィックの分散システム。
【請求項７】
前記検出装置は、光スプリッタ又はミラーリングによって前記基幹サーバーのデータストリームを取得し、アルゴリズム分析及びポリシー整合によって前記データストリームを検出し、前記攻撃元ＳＩＰ及び攻撃種別集合Ｔを得ることを特徴とする請求項４に記載の反射型ＤＤＯＳトラフィックの分散システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク技術に関し、特に反射型ＤＤＯＳトラフィックの分散方法及びそのシステムに関する。
【背景技術】
【０００２】
現在、普通のＤＤＯＳ攻撃に対応する場合でも反射型ＤＤＯＳ攻撃に対応する場合でも、被保護端末の手前にクリーニング装置を配置し、能動的な検出や受動的な誘導・クリーニングといった方法を用いる。このような方法には、トラフィックが一旦生成されて被保護端末の伝送経路に入ると、クリーニングの一部の役割しか果たせないという不具合があった。具体的には、このようなクリーニング方法は、トラフィックが輻輳の発生に不十分な場合（伝送が混雑していない場合）にはクリーニングがまだ効果的であるが、一方、トラフィックが輻輳の発生に十分になった場合（伝送が混雑する場合）にはクリーニングを図ることには限界がある。また、通常、反射型ＤＤＯＳ攻撃のトラフィック量が数十Ｇｂｐｓ以上に達するため、一般的なデータセンターや小規模事業者では、このような膨大なトラフィックを伝送するのに必ずしも十分な帯域があると限らない。
【０００３】
さらに、各伝送元端末から送られた攻撃トラフィックをクリーニングするためのクリーニング装置を各ネットワークの伝送元端末に配置するという新たなクリーニング方法もある。伝送元端末でクリーニングを行う方法では、攻撃トラフィックの発生源でトラフィックをクリーニングし、大規模な攻撃トラフィックの発生を防ぐのに効果が非常に大きい。しかしながら、このようなクリーニング方法には、配置コストが非常に高くて、ネットワークの構築も非常に複雑であるという欠点があった。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、利用される基幹サーバーにリクエストを能動的に送信することで、基幹サーバーのトラフィックを迂回させて吸収し、攻撃者から基幹サーバーへ送信される攻撃リクエストの処理すべき数量を減らし、基幹サーバーから攻撃の標的へ送信されるトラフィックをさらに間接的に減少させ、反射型トラフィックの分散効果を達成可能な反射型ＤＤＯＳトラフィックの分散方法及びそのシステムを提供することである。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明に係る反射型ＤＤＯＳトラフィックの分散方法は、ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る工程と、前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置に送信する工程と、前記迂回装置により前記攻撃元ＳＩＰに前記攻撃種別集合Ｔのすべてのリクエストを送信する工程と、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す工程と、を含む。前記攻撃元ＳＩＰは、ハッカーが使用する基幹サーバーのＩＰである。
【０００６】
さらに、前記ネットワークノードＡは、前記ネットワークノードＢよりも帯域が狭い。
【０００７】
さらに、光スプリッタ又はミラーリングによって前記基幹サーバーのデータストリームを取得するとともに、アルゴリズム分析及びポリシー整合によって前記データストリームを検出し、前記攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る。
【０００８】
また、本発明に係る反射型ＤＤＯＳトラフィックの分散システムは、検出装置、迂回装置及びクリーニング装置を含む。前記検出装置は、ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得て迂回装置１２に送信する。前記迂回装置は、前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信する。前記クリーニング装置は、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す。
【０００９】
さらに、前記ネットワークノードＡは、前記ネットワークノードＢよりも帯域が狭い。
【００１０】
さらに、前記検出装置は、前記ネットワークノードＡに配置される。前記迂回装置及びクリーニング装置は、前記ネットワークノードＢに配置される。
【００１１】
さらに、前記検出装置は、光スプリッタ又はミラーリングによって前記基幹サーバーのデータストリームを取得し、アルゴリズム分析及びポリシー整合によって前記データストリームを検出し、前記攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る。
【００１２】
前記攻撃元ＳＩＰは、ハッカーが使用する基幹サーバーのＩＰである。前記ネットワークノードＡのデータストリームを取得、検出することで、攻撃元ＳＩＰ及び攻撃種別集合Ｔを直接得る。次に、前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置１２に送信する。本実施形態では、前記迂回装置１２が複数の通常のサーバーからなり、簡易かつ迅速に取り扱い可能であり、ネットワークアーキテクチャや配置に特に制限がないため、配置を容易にすることができるほか、コストを非常に効果的にコントロールすることができる。
【００１３】
前記迂回装置１２により前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信し、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す。
【００１４】
利用される前記基幹サーバーに前記攻撃種別集合Ｔのすべてのリクエストを能動的に送信することで、前記基幹サーバーのトラフィックを迂回させて吸収するようになる。通常、前記基幹サーバーから送信されるトラフィックの総和は一定であり、前記基幹サーバーの性能も限られるため、前記基幹サーバーにリクエストを送信することで、攻撃者から前記基幹サーバーへ送信される攻撃リクエストの処理すべき数量を減らし、前記基幹サーバーから被攻撃者へ送信される攻撃トラフィックをさらに間接的に減少させ、反射型ＤＤＯＳトラフィックの分散効果を達成し、攻撃の標的のあるネットワークノードＡでの輻輳の発生を防ぐことができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係る反射型ＤＤＯＳトラフィックの分散方法を示すフローチャートである。
【図２】本発明の一実施形態に係る反射型ＤＤＯＳトラフィックの分散システムを示す図である。
【発明を実施するための形態】
【００１６】
以下、本発明の技術内容について、図面及び具体的な実施形態を参照しつつ説明する。
【００１７】
本発明に係る反射型ＤＤＯＳトラフィックの分散方法は、以下のステップを含む。
ステップＳ１では、ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る。
ステップＳ２では、前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置１２に送信する。
ステップＳ３では、前記迂回装置１２により前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信する。
ステップＳ４では、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す。
【００１８】
本実施形態では、前記攻撃種別集合Ｔは、多く見られるＮＴＰ、ＳＳＤＰ及びＤＮＳを含む。当然ながら、他の実施形態では、前記攻撃種別集合Ｔは、他の攻撃種別であってもよい。
【００１９】
本実施形態では、前記攻撃元ＳＩＰは、ハッカーが使用する基幹サーバーのＩＰである。前記ネットワークノードＡのデータストリームを取得、検出することで、攻撃元ＳＩＰ及び攻撃種別集合Ｔを直接得る。次に、前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置１２に送信する。本実施形態では、前記迂回装置１２が複数の通常のサーバーからなり、簡易かつ迅速に取り扱い可能であり、ネットワークアーキテクチャや配置に特に制限がないため、配置を容易にすることができるほか、コストを非常に効果的にコントロールすることができる。
【００２０】
前記迂回装置１２により前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信し、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す。
【００２１】
利用される前記基幹サーバーに前記攻撃種別集合Ｔのすべてのリクエストを能動的に送信することで、前記基幹サーバーのトラフィックを迂回させて吸収するようになる。通常、前記基幹サーバーから送信されるトラフィックの総和は一定であり、前記基幹サーバーの性能も限られるため、前記基幹サーバーにリクエストを送信することで、攻撃者から前記基幹サーバーへ送信される攻撃リクエストの処理すべき数量を減らし、前記基幹サーバーから被攻撃者へ送信される攻撃トラフィックをさらに間接的に減少させ、反射型ＤＤＯＳトラフィックの分散効果を達成し、攻撃の標的のあるネットワークノードＡでの輻輳の発生を防ぐことができる。
【００２２】
また、前記ネットワークノードＡは、前記ネットワークノードＢよりも帯域が狭い。
【００２３】
このように、帯域資源の多い前記ネットワークノードＢにより帯域資源の少ない前記ネットワークノードＡを保護することができ、その結果、前記ネットワークノードＡでの輻輳の発生の可能性を低減することができる。
【００２４】
さらに、ステップＳ１では、光スプリッタ又はミラーリングによって前記ネットワークノードＡのデータストリームを取得するとともに、アルゴリズム分析及びポリシー整合によって前記データストリームを検出し、前記攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る。
【００２５】
反射型ＤＤＯＳトラフィックの分散システムは、検出装置１１、迂回装置１２及びクリーニング装置１３を含む。検出装置１１は、ネットワークノードＡのデータストリームを取得、検出し、攻撃元ＳＩＰ及び攻撃種別集合Ｔを得て迂回装置１２に送信する。迂回装置１２は、前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信する。クリーニング装置１３は、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す。
【００２６】
本実施形態では、前記攻撃元ＳＩＰは、ハッカーが使用する基幹サーバーのＩＰである。前記ネットワークノードＡのデータストリームを取得、検出することで、攻撃元ＳＩＰ及び攻撃種別集合Ｔを直接得る。次に、前記攻撃元ＳＩＰ及び攻撃種別Ｔを迂回装置１２に送信する。本実施形態では、前記迂回装置１２が複数の通常のサーバーからなり、簡易かつ迅速に取り扱い可能であり、ネットワークアーキテクチャや配置に特に制限がないため、配置を容易にすることができるほか、コストを非常に効果的にコントロールすることができる。
【００２７】
前記迂回装置１２により前記攻撃種別集合Ｔのすべてのリクエストを前記攻撃元ＳＩＰに送信し、前記攻撃元ＳＩＰから送信される攻撃トラフィックをネットワークノードＢへ迂回させ、前記攻撃種別集合Ｔにより生成されるＴ種別の攻撃トラフィックをクリーニングし、正規のトラフィックを戻す。
【００２８】
利用される前記基幹サーバーに前記攻撃種別集合Ｔのすべてのリクエストを能動的に送信することで、前記基幹サーバーのトラフィックを迂回させて吸収するようになる。通常、前記基幹サーバーから送信されるトラフィックの総和は一定であり、前記基幹サーバーの性能も限られるため、前記基幹サーバーにリクエストを送信することで、攻撃者から前記基幹サーバーへ送信される攻撃リクエストの処理すべき数量を減らし、前記基幹サーバーから被攻撃者へ送信される攻撃トラフィックをさらに間接的に減少させ、反射型ＤＤＯＳトラフィックの分散効果を達成し、攻撃の標的のあるネットワークノードＡでの輻輳の発生を防ぐことができる。
【００２９】
また、前記ネットワークノードＡは、前記ネットワークノードＢよりも帯域が狭い。
【００３０】
このように、帯域資源の多い前記ネットワークノードＢにより帯域資源の少ない前記ネットワークノードＡを保護することができ、その結果、前記ネットワークノードＡでの輻輳の発生の可能性を低減することができる。
【００３１】
また、前記検出装置１１は前記ネットワークノードＡに配置され、前記迂回装置１２及びクリーニング装置１３は前記ネットワークノードＢに配置される。
前記ネットワークノードＡの帯域資源が少ないため、前記検出装置１１を前記ネットワークノードＡに配置することで、帯域資源の多い前記ネットワークノードＢにより帯域資源の少ない前記ネットワークノードＡを保護することに有利である。
【００３２】
さらに、前記検出装置１１は、光スプリッタ又はミラーリングによって前記ネットワークノードＡのデータストリームを取得するとともに、アルゴリズム分析及びポリシー整合によって前記データストリームを検出し、前記攻撃元ＳＩＰ及び攻撃種別集合Ｔを得る。
【００３３】
以上は具体的な実施例を用いて本発明の技術原理について説明した。これらは本発明の原理を解釈するための記述であり、いかなる方式も本発明の保護範囲を制限するものではない。この解釈に基づいて、当業者は創造的労働を果たさずに本発明の他の具体的な実施形態を想像した場合、このような形態は本発明の保護範囲内に属すべきである。
【符号の説明】
【００３４】
１１  検出装置
１２  迂回装置
１３  クリーニング装置
【図１】
2018110388.tif 000003
【図２】
2018110388.tif 000004