(57)【要約】      （修正有）【課題】自律システム(AS)間リンク帯域の輻輳回避と各AS防御機能のリソース使用率平準化を同時に実現可能なDDoS攻撃連携対処技術を提供する。【解決手段】複数ASを有する通信システムであって、各ASはDDoS連携対処装置及１００びmitigation装置を有する。標的ASにおいて検出されたDDoS攻撃に連携対処するため、標的ASのDDoS連携対処装置から送信された対処要求に対し、最低対処量、標的AS宛通信量の合計値、対処中の標的AS宛攻撃量及びmitigation装置の利用可能リソース量を含む再調整要求が、攻撃元ASに最も近いASから下流のASに送信される。再調整要求を受信したASのDDoS攻撃連携対処装置は、再調整要求及び自ASの情報に基づき、連携対処に使用する各ASのリソースを平準化させる最適化問題を解くことによってリソース使用率を決定する。【選択図】図３
2018133750.tif 000002
【特許請求の範囲】
【請求項１】
複数の自律システム（AS）を有する通信システムであって、
各自律システムは、DDoS連携対処装置及びmitigation装置を有し、
標的ASにおいて検出されたDDoS攻撃に連携対処するため、前記標的ASのDDoS連携対処装置から送信された対処要求に対して、最低対処量、自ASを流れる標的AS宛通信量の合計値、対処中の標的AS宛攻撃量及びmitigation装置の利用可能リソース量を含む再調整要求が攻撃元ASに最も近いASから下流のASに送信され、
前記再調整要求を受信したASのDDoS攻撃連携対処装置は、前記再調整要求及び自ASの情報に基づき、前記連携対処に使用する各ASのリソースを平準化させるための最適化問題を解くことによって、リソース使用率を決定する通信システム。
【請求項２】
各ASの最低対処量は、隣接AS間のリンクの利用可能帯域量に基づき決定され、
前記連携対処に使用されるリソースのリソース使用率は、前記決定された最低対処量を制約条件として含む最適化問題を解くことによって決定される、請求項１記載の通信システム。
【請求項３】
前記DDoS連携対処装置は、標的IPアドレスを示す攻撃通知メッセージを受信すると、前記標的IPアドレスの属するAS毎の標的IPアドレスの一覧に前記標的IPアドレスを記憶し、前記標的IPアドレスの一覧に含まれるIPアドレス宛の通信量の合計通信量を決定し、前記決定した通信量に基づき前記ASに備えられたmitigation装置により対処するか、又は前記DDoS攻撃の送信元の連携ASに対処要求を送信するか判断する、請求項１又は２記載の通信システム。
【請求項４】
前記平準化されるリソース使用率は、各ASにおける前記連携対処のためのリソース量に対する各ASにおいて対処する前記DDoS攻撃の通信量の比の最大値と最小値との差分が最小となるように決定される、請求項１乃至３何れか一項記載の通信システム。
【請求項５】
前記最低対処量は、隣接AS間のリンクの利用可能帯域量のうち前記DDoS攻撃に対する対処に利用する対処利用量を決定し、前記DDoS攻撃の標的IPアドレスの属するAS毎の標的IPアドレスの一覧に含まれるIPアドレスへの流入通信量の合計値と前記対処利用量との差分以上となるよう決定される、請求項１乃至４何れか一項記載の通信システム。
【請求項６】
複数の自律システム（AS）を有する通信システムにおけるDDoS連携対処方法であって、
各自律システムは、DDoS連携対処装置及びmitigation装置を有し、
当該方法は、
DDoS攻撃を検出するステップと、
前記DDoS攻撃に連携対処するため、標的ASのDDoS連携対処装置から対処要求を送信するステップと、
最低対処量、自ASを流れる標的AS宛通信量の合計値、対処中の標的AS宛攻撃量及びmitigation装置の利用可能リソース量を含む再調整要求を攻撃元ASに最も近いASから下流のASに送信するステップと、
前記再調整要求を受信したASのDDoS攻撃連携対処装置が、前記再調整要求及び自ASの情報に基づき、前記連携対処に使用する各ASのリソースを平準化させるための最適化問題を解くことによって、リソース使用率を決定するステップと、
を有する方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数組織間でのDDoS（Distributed Denial of Service attack）攻撃情報の共有及び連携対処を実現するネットワーク技術に関する。
【背景技術】
【０００２】
近年、DDoS攻撃が大規模化しており、上流ISP（Internet Service Provider）のネットワーク帯域の枯渇や防御機能（例えば、非特許文献１に示すmitigation装置）のリソース限界により、標的となった組織単独での対処が困難な場合が存在する。このようなDDoS攻撃に対して、インターネット全体で複数AS（Autonomous System）の防御機能のリソースをシェアし、特定の防御機能にリソース負荷が集中しないように負荷分散しながら、各ASを標的とする攻撃に分担して対処することで、インターネット全体で対処可能な攻撃量を向上させる技術が提案されている（非特許文献２）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Arbor Networks,"DDOS PROTECTION BY ARBOR NETWORKS APS,"http://www.arbornetworks.com/ddos-protection-products/arbor-aps
【非特許文献２】前田浩明他, "大規模DDoS攻撃対処を想定したAS間連携対処方式の一検討," 信学技報, vol. 116, no. 251, IN2016-58, pp. 55-60, 2016年10月.
【非特許文献３】水口孝則他，"トラフィック解析システムSAMURAIとサービス展開，" NTT技術ジャーナル，2008.7, http://www.ntt.co.jp/journal/0807/files/jn200807016.pdf
【発明の概要】
【発明が解決しようとする課題】
【０００４】
既存技術（非特許文献２）では、上流側のASで対処されなかった分の標的宛攻撃が下流側のASに流入するが、AS間のネットワーク帯域（AS間リンク帯域）の残り容量を考慮せずに、各ASで対処する攻撃量を各ASの防御機能の使用率が平準化するように算出するため、残り容量を超える攻撃量が下流ASに流入することでAS間リンク帯域が輻輳し、このリンクを利用する他の通信サービスにも影響を与える（品質低下やサービス利用不能）恐れがある。
【０００５】
上述した問題を鑑み、本発明の課題は、AS間リンク帯域の輻輳の回避と各ASの防御機能のリソース使用率の平準化を同時に実現可能な複数AS間でのDDoS攻撃連携対処技術を提供することである。
【課題を解決するための手段】
【０００６】
上記課題を解決するため、本発明の一態様は、複数の自律システム（AS）を有する通信システムであって、各自律システムは、DDoS連携対処装置及びmitigation装置を有し、標的ASにおいて検出されたDDoS攻撃に連携対処するため、前記標的ASのDDoS連携対処装置から送信された対処要求に対して、最低対処量、自ASを流れる標的AS宛通信量の合計値、対処中の標的AS宛攻撃量及びmitigation装置の利用可能リソース量を含む再調整要求が攻撃元ASに最も近いASから下流のASに送信され、前記再調整要求を受信したASのDDoS攻撃連携対処装置は、前記再調整要求及び自ASの情報に基づき、前記連携対処に使用する各ASのリソースを平準化させるための最適化問題を解くことによって、リソース使用率を決定する通信システムに関する。
【発明の効果】
【０００７】
本発明によると、AS間リンク帯域の輻輳の回避と各ASの防御機能のリソース使用率の平準化を同時に実現可能な複数AS間でのDDoS攻撃連携対処技術を提供することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、本発明の一実施形態におけるネットワークの構成図である。
【図２】図２は、本発明の一実施形態におけるDDoS連携対処装置を保有するASの構成図である。
【図３】図３は、本発明の一実施形態におけるDDoS連携対処装置の構成を示すブロック図である。
【図４】図４は、本発明の一実施形態における各ASのDDoS連携対処装置の簡易処理フローチャートである。
【図５】図５は、本発明の一実施形態における標的IPアドレス情報テーブルの一例を示す図である。
【図６】図６は、本発明の一実施形態における攻撃情報テーブルの一例を示す図である。
【図７】図７は、本発明の一実施形態における隣接AS情報テーブルの一例を示す図である。
【図８】図８は、本発明の一実施形態におけるmitigation装置情報テーブルの一例を示す図である。
【図９】図９は、本発明の一実施形態におけるAS間リンク情報テーブルの一例を示す図である。
【図１０】図１０は、本発明の一実施形態におけるmitigation装置を利用した連携対処手順例を示すシーケンス図である。
【図１１】図１１は、本発明の一実施形態におけるmitigation装置を利用した連携対処手順例を示すシーケンス図である。
【図１２】図１２は、本発明の一実施形態におけるmitigation装置を利用した連携対処手順例を示すシーケンス図である。
【発明を実施するための形態】
【０００９】
以下、図面に基づいて本発明の実施の形態を説明する。
【００１０】
以下の実施例では、自律システム（以降、AS：Autonomous System）間でのDDoS攻撃情報の共有及び各ASを標的とする攻撃に対して、各ASの防御機能のリソースをどれだけ割り当てるかを調整する役割を担うDDoS連携対処装置を開示する。また、DDoS連携対処装置間のアーキテクチャとして、例えば、非特許文献２のアーキテクチャなど、近隣ASのDDoS連携対処装置とのみ直接通信を行う分散型のアーキテクチャを適用することでスケーラビリティを向上させ、局所的な調整を繰り返すことで、インターネット全体で統一的なリソース割り当てを実現する。
【００１１】
標的となったAS（標的AS）で攻撃を検知した場合、まず、標的ASから他のASとの連携対処を開始し、DDoS連携対処装置を介して、上流AS方向に標的IPアドレスを含む対処要求を伝搬し、要求を受信したASにおいて、随時、標的宛通信への対処とさらに上流ASへの対処要求の伝搬を繰り返していくことで、防御機能のリソースの許す限り、攻撃元に近いASでの攻撃対処を実現する。次に、各ASの防御機能のリソース使用率を平準化するために、最上流のASから下流AS方向に再調整要求を伝搬していき、再調整要求を受信したASとその隣接AS間で防御機能のリソース使用率を平準化するための最適化問題を解くことにより、各ASで対処する標的宛通信量を調整する。この時、AS間リンクの利用可能帯域量と自AS内へ流入する標的宛通信量に基づき、AS間リンク輻輳を回避するために自ASで最低限対処しなければならない標的宛通信量（対処量の最低値）を算出し、上述した最適化問題の制約条件として使用することで、AS間リンク帯域の輻輳の回避と各ASの防御装置のリソース使用率の平準化を同時に実現する。分散型のアーキテクチャにより、局所的なリソース割り当て量の調整を下流AS方向および上流AS方向に繰り返し行うことで、インターネット全体でAS間リンクの輻輳を回避しつつ、防御機能のリソース使用率が平準化された統一的なリソース割り当てを実現する。
【００１２】
まず、図１を参照して、本発明の一実施形態によるネットワーク（インターネット）を説明する。図１は、本発明の一実施形態によるネットワークの構成図を示す。ネットワーク（インターネットに相当）を構成する複数の組織ネットワーク（AS）が本発明のDDoS連携対処装置を保有する状況を想定している。また、一例として、AS1（ISP網等）内のシステムが、他のAS内に存在する攻撃者の端末からのDDoS攻撃の標的（標的システム）となった場合を想定し、他のASとの間で、DDoS攻撃情報の共有と連携対処時のパラメータ調整（パラメータは、ある標的への攻撃に対して、各ASの防御機能のリソースをどれだけ割り当てて対処するかの量）等に必要な情報とを共有し、それらの情報を用いて、他ASとの間で対処パラメータを調整する方法を説明する。
【００１３】
図１に示されるように、任意数のAS（AS1~AS5など）がネットワークに含まれ、これらのASが相互接続されることによって、インターネットを模したネットワークのネットワークトポロジが構成される。
【００１４】
DDoS連携対処装置１００は、後述されるように、各AS間でDDoS攻撃情報等をやり取りし、やり取りした情報に基づき、DDoS攻撃に対処するためのパラメータを調整すると共に、他のASに対してDDoS攻撃の対処を要求する。また、DDoS攻撃に対処するためのパラメータとは、例えば、AS1, AS2及びAS3で分担してある標的宛の攻撃に対処する場合、各ASで標的宛通信量を何Gbpsずつmitigation装置５０に引き込んで対処するかを示す量、フィルタリングする場合に各ASで何Gbpsまで標的宛通信を減らすかを示す量（フィルタリングの閾値）などである。これらの対処パラメータは、各ASを流れる標的宛通信量や各ASが保有するmitigation装置５０の容量（リソース量）、AS間リンクの利用可能帯域量などの情報に基づき計算することによって調整される。ここで、mitigation装置５０に引き込んで対処する通信量を調整する際の情報の取得の流れや計算式を含むより詳細な説明を以下でより詳細に説明する。
【００１５】
AS1内の任意のシステムがDDoS攻撃の被害に遭っている場合、AS1は、隣接AS（AS2とAS3）のDDoS連携対処装置１００に対して、自AS番号や標的システムのIPアドレス（標的システムが複数存在する場合は、IPアドレスのリスト）等の情報を含むDDoS攻撃情報と攻撃への対処要求等を送信する。また、隣接ASのDDoS連携対処装置１００は、AS1のDDoS連携対処装置１００から受信した情報に基づき、標的宛通信が自網内からメッセージの送信元AS（AS1）に流れているかの情報の取得、標的宛通信への対処等を実施し、メッセージの送信元AS（AS1）に対して、取得した情報や対処状況等を応答する。さらに、自網内からメッセージの送信元ASに標的宛通信が流れている場合は、メッセージの送信元（AS1）を除く、他の隣接AS（AS2の場合は、AS4）に、DDoS攻撃情報と攻撃への対処要求を送信する。これを上流側AS方向に繰り返していくことで、攻撃元近くのASまでDDoS攻撃情報と対処要求が伝搬される。ここで、各ASは、隣接ASのDDoS連携対処装置１００との通信に必要な隣接ASのDDoS連携対処装置１００のIPアドレス等の情報を予め保有していることを想定している。なお、標的ASから連携対処を開始する（標的ASから他のASに攻撃情報や対処要求等を送信する）タイミングは任意である。例えば、自AS内のシステムを標的とする攻撃を検知した際に連携対処を開始する他、攻撃を検知した場合には、まず自AS内の防御機能のみで対処を行い、自AS内の防御機能のリソースやネットワーク帯域が逼迫した際に連携対処を開始することや、攻撃を検知してから一定時間毎等に連携対処を実施することも想定される。
【００１６】
mitigation装置５０は、例えば、非特許文献１に記載される装置であってもよく、受信したDDoS攻撃情報等に基づき標的宛通信に対する対処を実施する。なお、DDoS攻撃に対処する技術としては、mitigation装置５０のほかに、ルータ等の転送装置によるACL（Access Control List）等を利用した攻撃通信のフィルタリング、攻撃の標的宛通信の帯域制限（レートリミット等）等も想定され、本発明は、これらの対処技術との組み合わせも可能である。後述の本実施形態における動作手順では、mitigation装置５０を利用して連携対処する場合の具体的な動作手順を説明する。
【００１７】
次に、図２を参照して、本発明の一実施形態によるDDoS連携対処装置を有するASの構成を説明する。以下において、AS1に着目して本実施形態を説明するが、本実施形態が他のASに適用可能であることは当業者に容易に理解されるであろう。
【００１８】
図２に示されるように、当該ASは、mitigation装置５０、DDoS連携対処装置１００、トラヒック情報収集・DDoS攻撃検知装置２００、ネットワーク制御装置３００及びパケット転送装置４００を有する。
【００１９】
トラヒック情報収集・DDoS攻撃検知装置２００は、ルータ等のパケット転送装置４００から定期的にフロー情報（送受信IPアドレス・送受信ポート番号・プロトコル番号等の組からなるフロー毎の通信量等）を収集し、収集したフロー情報を分析することで特定の宛先へのDDoS攻撃の発生を検知する。また、攻撃検知時等の任意のタイミングで、自ASのDDoS連携対処装置１００に対して、標的システムのIPアドレスを含む攻撃検知メッセージを送信する。攻撃検知メッセージに含まれる標的IPアドレスは、標的のシステムが複数存在する場合や標的システムが複数のIPアドレスを保有する場合には、複数個通知される可能性もある。なお、トラヒック情報収集・DDoS攻撃検知装置２００は、例えば、非特許文献３に記載されるSAMURAI等によって実現されてもよい。さらに、トラヒック情報収集・DDoS攻撃検知装置２００は、DDoS攻撃が発生した際、又は任意のタイミングで、標的のIPアドレス宛通信量、mitigation装置５０の最大リソース量、mitigation装置５０の利用可能なリソース量、隣接ASとの間のリンク（AS間リンク）の利用可能帯域量等を測定し、任意のテーブルに格納すると共に、自ASのDDoS連携対処装置１００に通知する機能を有する。
【００２０】
mitigation装置５０は、非特許文献１に説明される装置のように、DDoS攻撃対処に特化した装置であり、ある宛先に対する通信の中から、攻撃通信と正常通信とを区別して、攻撃通信のみを遮断するといった対処を行うことができる。前述の通り、DDoS攻撃対処の手段はこの他にも想定できるが、本実施形態では、DDoS攻撃対処のための手段の一例として、ASがmitigation装置５０を保有する場合について記載している。
【００２１】
ネットワーク制御装置３００は、ルータ等のパケット転送装置４００を制御する機能を有する。ネットワーク制御装置３００は、例えば、SDN（Software-Defined Networking）コントローラであってもよい。また、ネットワーク制御装置３００は、DDoS連携対処装置１００と通信し、DDoS連携対処装置１００から通知された情報（標的のIPアドレスの一覧、対処方式、対処のためのパラメータ等）に基づき、パケット転送装置４００を制御することで、mitigation装置５０に標的宛の通信を迂回させたり、各パケット転送装置４００にフィルタリングを設定したりといった制御や適用中のトラヒック制御等を終了するための制御を行う。mitigation装置５０を利用して対処する場合の具体例を説明すると、ネットワーク制御装置３００は、BGP（Border Gateway Protocol）又はOpenFlow等を利用し、各パケット転送装置４００の保有する標的宛パケットの転送に関わるルーティング情報を一時的に書き換える（転送先をmitigation装置５０のIPアドレスに変更する）ことで、標的宛パケットのみをmitigation装置５０に迂回させて検査・対処することができる。
【００２２】
DDoS連携対処装置１００は、ネットワーク制御装置３００と通信し、標的のIPアドレスのリストを含むDDoS攻撃情報、DDoS攻撃の対処方式（例えば、mitigation装置５０を利用）、対処する通信量（mitigation装置５０に引き込む標的宛通信量）等を通知する。また、DDoS連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００と通信し、標的のIPアドレス宛の通信量、mitigation装置５０の最大リソース量や利用可能なリソース量、AS間リンクの利用可能帯域量等を取得する。また、攻撃検知メッセージを受信した場合、DDoS連携対処装置１００は、攻撃検知メッセージに含まれる標的IPアドレスを後述される標的IPアドレステーブルに格納する。さらに、DDoS連携対処装置１００は、他のASのDDoS連携対処装置１００と通信し、DDoS攻撃情報（標的ASを識別可能な番号（例えばAS番号）、標的IPアドレスの一覧等）や連携対処に必要な情報（各ASを流れる標的IPアドレス宛通信量を宛先AS単位で合算した値、利用可能なmitigation装置５０のリソース量、各ASのmitigation装置５０で対処する標的宛通信量、AS間リンク輻輳を回避するためにそのASで最低限対処しなければならない標的宛通信量（対処量の最低値）といった対処パラメータ等）をやり取りする。ここで、DDoS攻撃情報は、上述した情報のみに限定されず、連携して対処する際のやり方に応じて、攻撃タイプ、攻撃元のIPアドレス情報、mitigation装置５０で検査後のパケットを元のASまで転送するためのトンネル情報等を含むものであってもよい。
【００２３】
DDoS連携対処装置１００は、典型的には、サーバにより実現されてもよく、例えば、バスを介し相互接続されるドライブ装置、補助記憶装置、メモリ装置、プロセッサ、インタフェース装置及び通信装置から構成される。DDoS連携対処装置１００における後述される各種機能及び処理を実現するプログラムを含む各種コンピュータプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｋ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、フラッシュメモリなどの記録媒体によって提供されてもよい。プログラムを記憶した記録媒体がドライブ装置にセットされると、プログラムが記録媒体からドライブ装置を介して補助記憶装置にインストールされる。但し、プログラムのインストールは必ずしも記録媒体により行う必要はなく、ネットワークなどを介し何れかの外部装置からダウンロードするようにしてもよい。補助記憶装置は、インストールされたプログラムを格納すると共に、必要なファイルやデータなどを格納する。メモリ装置は、プログラムの起動指示があった場合に、補助記憶装置からプログラムやデータを読み出して格納する。プロセッサは、メモリ装置に格納されたプログラムやプログラムを実行するのに必要なパラメータなどの各種データに従って、後述されるようなDDoS連携対処装置の各種機能及び処理を実行する。インタフェース装置は、ネットワーク又は外部装置に接続するための通信インタフェースとして用いられる。通信装置は、インターネットなどのネットワークと通信するための各種通信処理を実行する。
【００２４】
しかしながら、DDoS連携対処装置１００は、上述したハードウェア構成に限定されるものでなく、他の何れか適切なハードウェア構成により実現されてもよい。なお、本実施例で示す構成は一例であり、例えば、トラヒック情報収集・DDoS攻撃検知装置２００やネットワーク制御装置３００は、DDoS連携対処装置１００に組み込まれてもよい。
【００２５】
次に、図３を参照して、本発明の一実施形態におけるDDoS連携対処装置を詳細に説明する。図３は、本発明の一実施形態におけるDDoS連携対処装置の構成を示すブロック図である。
【００２６】
図３に示されるように、DDoS連携対処装置１００は、処理部１１０、記憶部１２０及び通信部１３０を有する。
【００２７】
処理部１１０は、以下で詳細に説明されるように、DDoS攻撃の標的IPアドレスを検出し、DDoS攻撃に連携対処するための対処要求を標的IPアドレス宛の通信の送信元のASに送信する。当該対処要求は更に、送信元のASからDDoS攻撃の攻撃元のASまで繰り返し伝搬される。また、各ASの最低対処量は、隣接AS間のリンクの利用可能帯域量に基づき決定され、連携対処に使用されるリソースのリソース使用率は、決定された利用可能帯域量を制約条件として含む最適化問題を解くことによって、当該ASから攻撃元のASまでの各ASにおいて平準化される。
【００２８】
具体的には、処理部１１０は、以下で詳細に説明されるメッセージ受付部１１１、攻撃検知メッセージ処理部１１２、対処要求メッセージ処理部１１３、対処応答メッセージ処理部１１４、再調整要求メッセージ処理部１１５、対処終了要求メッセージ処理部１１６、パラメータ調整部１１７、攻撃対処設定部１１８及び対処終了判断部１１９を有する。
【００２９】
記憶部１２０は、自AS及び連携ASのDDoS攻撃に関する情報を記憶し、具体的には、標的IPアドレス情報テーブル、攻撃情報テーブル、連携先AS情報テーブル、mitigation装置情報テーブル及びAS間リンク情報テーブルを有する。
【００３０】
通信部１３０は、他のASのDDoS連携対処装置１００、自ASのトラヒック情報収集・DDoS攻撃検知装置２００及び自ASのネットワーク制御装置３００と通信する。また、パケット転送装置４００やmitigation装置５０から直接情報を取得したり、制御したりする場合には、通信部１３０はこれらの装置とも通信する。
【００３１】
メッセージ受付部１１１は、トラヒック情報収集・DDoS攻撃検知装置２００や他のDDoS連携対処装置１００からの各種メッセージを待ち受け、受信したメッセージの種類に応じて対応するメッセージ処理部に振り分ける機能を有する。図４に示されるように、ステップＳ１０１において、メッセージ受付部１１１は、受信したメッセージをキューに格納し、例えば、ＦＩＦＯ方式で対応するメッセージ処理部に転送する。メッセージは、攻撃検知メッセージ、対処要求メッセージ、対処応答メッセージ、再調整要求メッセージ及び対処終了要求メッセージの５種類存在する。各メッセージの内容等の詳細は後述する。
【００３２】
攻撃検知メッセージ処理部１１２は、トラヒック情報収集・DDoS攻撃検知装置２００からの攻撃検知メッセージに対する処理を行う。攻撃検知メッセージを受信した場合（Ｓ１１０）、攻撃検知メッセージ処理部１１２は、図５に示されるような自ASの標的IPアドレス情報テーブルに、攻撃検知メッセージに含まれる標的IPアドレスを追加する（Ｓ１１１）。ここで、標的IPアドレス情報テーブルは、自ASで標的となっているシステムのIPアドレスを管理するためのテーブルであり、図５に示されるようなテーブル形式を有してもよい。図５に示される例では、標的IPアドレス情報テーブルは、攻撃の被害に遭っているASを一意に識別可能な情報（「標的AS番号」）及び標的IPアドレスで構成される。本テーブルの標的IPアドレスの情報は、新規のIPアドレス宛攻撃の検知の都度、または、一定時間毎等の任意のタイミングで、トラヒック情報収集・DDoS攻撃検知装置２００から通知され、蓄積される。
【００３３】
また、攻撃検知メッセージ処理部１１２は、図６に示されるような攻撃情報テーブルに自ASを標的とする攻撃のレコードが存在しない場合は、当該レコードを新規作成する。さらに、攻撃検知メッセージ処理部１１２は、トラヒック情報収集・DDoS攻撃検知装置２００を介して標的IPアドレス情報テーブルに含まれる各IPアドレス宛の通信量を取得し、図６に示されるような攻撃情報テーブルに当該IPアドレス宛通信量の和（「標的AS単位の攻撃通信量の合計値」）を格納する。ここで、攻撃情報テーブルは、各ASで対処中の攻撃を管理するためのテーブルであり、図６に示されるようなテーブル形式を有してもよい。図６に示される例では、攻撃情報テーブルは、攻撃の被害に遭っているASを一意に識別可能な情報（「標的AS番号」）、後述される対処要求メッセージの直接の送信元ASのID（「要求元（下流）AS番号」）、「標的IPアドレス」、当該攻撃に対する自AS（AS3）及び連携先AS（本実施例のAS1宛攻撃対処におけるAS3の場合はAS4,AS5）の対処ステータス情報等から構成される。攻撃情報テーブルでは、「標的AS番号」を主キーとしてレコードが用意され、他ASに関する情報は連携先ASの個数分存在する。また、対処ステータス情報は、対処を実施しているASのID（「AS番号」）、実施している対処方式（「対処方式」）、「標的AS単位の攻撃通信量の合計値」、対処をしている通信量（「対処中の通信量」）、AS間リンク輻輳を回避するために当該ASで対処しなければならない標的AS宛通信量の最低値（「対処量の最低値」）、対処に関する状態（「状態」）、標的AS宛通信対処の最上流ASかどうかを表すフラグ（「最上流ASフラグ」）等の情報から構成される。特に、対処ステータスの情報は、例えば、対処方式がレートリミット等の場合には、どのくらいの量まで制限をかけるかの閾値等が登録されてもよく、前述の情報には限定されない。また、同じ標的AS宛への攻撃であっても、例えば、攻撃に利用されるプロトコル等によって細かく制御を分けたい場合は、「標的AS＋攻撃プロトコル等」を主キーとしてレコードを用意することも想定され、ある攻撃を管理するための情報も、図示された情報に限定されない。
【００３４】
本処理及び以降の同様の処理においては、個々の宛先IPアドレス単位で指定して通信量を取得する場合、トラヒック情報収集・DDoS攻撃検知装置２００の負荷が大きくなったり、取得に時間がかかったりする可能性がある。このため、例えば、ISPで平常時から取得していることが想定されるレベルのフローの情報（通信量の多い上位いくつかのフローの情報のみが保存）を参照し、その中に受信した標的IPアドレスの一覧に含まれるIPアドレス宛の通信量情報があれば、その情報のみを利用することも想定される。攻撃検知メッセージ処理部１１２は、次の２つの処理を実施する。
【００３５】
第１に、攻撃検知メッセージ処理部１１２は、攻撃対処設定部１１８を介して、標的IPアドレスの一覧に含まれるアドレス宛通信を自AS内のmitigation装置５０に引き込んで対処するように設定する（Ｓ１１２）。
【００３６】
第２に、攻撃検知メッセージ処理部１１２は、図７に示されるような自身の隣接AS情報テーブルを参照し、各隣接ASのDDoS連携対処装置１００に対して、標的AS番号（自身のAS番号）、標的IPアドレスリスト（図５の内容全て、またはデータサイズを削減するために過去に送信済みの場合は追加分のみ）、要求元AS番号（自身のAS番号）、フラグ（Flag=1）を含む対処要求メッセージを送信する（Ｓ１１３）。ここで、フラグは、受信側での処理を分岐させるために使用する値であるが、受信側での処理を分岐させるための方法はこれだけに限定されず、受信側で過去に当該標的AS宛の攻撃対処を実施していない場合（攻撃情報テーブルに未登録の場合）や過去に当該標的AS宛の攻撃対処を実施後一定時間経過している場合は、受信側でFlag=1の処理を実施する等の方法も考えられる。なお、以降で説明する他のメッセージ処理分岐の実現方法も同様に、前述の方法（フラグによる処理分岐）に限定されない。
【００３７】
また、上述した第２の処理の前に、攻撃検知メッセージ処理部１１２は、標的宛攻撃量の合計値と事前設定された閾値を比較し、閾値未満の場合は、第２の処理を実施せずに自ASのみで攻撃に対処することも想定される。ここで、隣接AS情報テーブルは、各ASにおいて、直接の通信先となる隣接ASの情報を管理するためのテーブルであり、図７に示されるようなテーブル形式を有してもよい。図７に示される例では、「隣接AS番号」と「DDoS連携対処装置のIPアドレス」、「mitigation装置の利用可能リソース量」で構成しているが、隣接ASのDDoS連携対処装置１００との通信形態によって、DDoS連携対処装置１００のMACアドレスやポート番号等の他の情報の登録も想定される。「DDoS連携対処装置のIPアドレス」の取得方法は任意だが、例えば、本システムを各ASに導入する際に、システムの運用者間で共有し、本テーブルに格納すること等が想定される。また、「mitigation装置の利用可能リソース量」は、攻撃への連携対処の手順において、他ASのDDoS連携対処装置１００から通知された情報に基づき更新される。
【００３８】
対処要求メッセージ処理部１１３は、他のDDoS連携対処装置１００からの対処要求メッセージに対する処理を行う（Ｓ１２０）。まず、対処要求メッセージを受信し、かつメッセージにFlag=1が含まれる場合の処理について説明する。メッセージにFlag=1が含まれる場合、対処要求メッセージ処理部１１３は、トラヒック情報収集・DDoS攻撃検知装置２００を介して、受信した標的IPアドレスリストに含まれるIPアドレス宛通信量を取得する。また、対処要求メッセージ処理部１１３は、BGPの経路情報等を用いることで、自ASから対処要求メッセージの送信元ASまで標的宛通信が流れているかの判断を行う（Ｓ１２１）。判断の結果、標的宛通信が流れている場合は、対処要求メッセージ処理部１１３は、対処要求メッセージに含まれる標的AS番号、標的IPアドレスリスト、メッセージの送信元のAS番号（このASを下流ASとする）、取得したリストのIPアドレス宛通信量を標的AS単位で合算した値（標的AS単位の攻撃通信量の合計値）を自身の攻撃情報テーブルに登録する（Ｓ１２２）。また、前記判断の結果、流れていない場合は、対処要求メッセージ処理部１１３は、標的宛通信量を0として登録し、要求元ASに標的AS番号、自身のAS番号、フラグ（Flag=1）、対処状況（Status=対処不可）を含む対処応答メッセージを送信する）Ｓ１２６）。前記判断の結果、標的宛通信が流れている場合は、対処要求メッセージ処理部１１３は、さらに、次の３つの処理を実施する。
【００３９】
第１に、対処要求メッセージ処理部１１３は、攻撃対処設定部１１８を介して、標的IPアドレスの一覧に含まれるアドレス宛通信を自AS内のmitigation装置５０のリソース上限まで引き込んで対処するように設定する（標的宛通信量がmitigation装置５０の利用可能リソース量より大きい場合は、利用可能リソース量まで引き込むように対処量を設定し、小さい場合は、対処量を指定せずに引き込みを設定する）（Ｓ１２３）。ここで、mitigation装置５０のリソース上限値は、トラヒック情報収集・DDoS攻撃検知装置２００が定期的に収集し、図８に示されるようなmitigation装置情報テーブルに登録した値を参照するほか、トラヒック情報収集・DDoS攻撃検知装置２００に情報の取得を指示して、最新の情報を取得することが想定される。ここで、mitigation装置情報テーブルは、各ASにおいて、mitigation装置５０の情報を管理するためのテーブルであり、図８に示されるようなテーブル形式を有してもよい。図８に示される実施例では、mitigation装置情報テーブルは、「最大リソース量」、最大リソース量から攻撃対処に利用中のリソース量を減算した値である「利用可能リソース量」等の情報から構成される。これらの情報は、トラヒック情報収集・DDoS攻撃検知装置２００を介して、mitigation装置５０等から定期的または任意のタイミングで収集され、更新される。また、最大リソース量は、mitigation装置５０を導入する際に運用者等によって登録されてもよい。ここでは、mitigation装置５０が1つのAS内に複数存在する場合は、その合計値を登録することを想定しているが、mitigation装置単位で管理してもよい。
【００４０】
第２に、対処要求メッセージ処理部１１３は、対処要求メッセージの要求元ASに対して、標的AS番号、自身のAS番号、フラグ（Flag=1）、対処状況（Status=対処中）を含む対処応答メッセージを送信する（Ｓ１２４）。
【００４１】
第３に、対処要求メッセージ処理部１１３は、自ASの隣接AS情報テーブルに含まれる隣接AS（要求元ASを除く）のDDoS連携対処装置１００に対して、受信したメッセージに含まれる標的AS番号、標的IPアドレスの一覧、及び自身のAS番号、フラグ（Flag=1）、を含む対処要求メッセージを送信する（Ｓ１２５）。なお、第３の処理は、標的AS単位の攻撃通信量の合計値を算出した際に、その値が事前に設定された閾値以上の量かを判定し、閾値未満の場合には、さらに上流での対処は不要として実施しないことも想定される。
【００４２】
次に対処要求メッセージを受信し、かつメッセージにFlag=0が含まれる場合の処理について説明する。対処要求メッセージ処理部１１３は、メッセージにFlag=0が含まれる場合、標的AS宛通信に対する対処量の差分値（メッセージの送信元ASによる最新の調整で算出された標的AS宛通信に対してメッセージの受信ASで対処する通信量からメッセージの送信元ASが調整に用いたメッセージの受信ASで対処中の標的AS宛通信量を減算した値。つまり、以前の調整から追加で対処を要求された量）を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する（Ｓ１２７）。また、対処要求メッセージ処理部１１３は、自身がその標的AS宛対処の最上流ASでない場合（攻撃情報テーブルの自ASに関する情報の最上流ASフラグがFalseの場合）、連携先ASとの間で後述のパラメータ調整部１１７によるパラメータ調整処理を実施する（Ｓ１２８）。さらに、対処要求メッセージ処理部１１３は、パラメータ調整処理の結果得られた「その標的AS宛通信に対して各ASで対処する通信量」を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新し、その標的AS宛通信に関する対処量の最低値を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新する（Ｓ１２９）。また、対処要求メッセージ（Flag=0）の送信元AS（下流AS）のDDoS連携対処装置１００に対して、対処要求メッセージ処理部１１３は、標的AS番号（受信メッセージに含まれるものと同じ値を設定）、自身のAS番号、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、その標的AS宛通信に関する対処量の最低値、フラグ（Flag=0）を含む、再調整要求メッセージを送信する（Ｓ１３０）。さらに、対処要求メッセージ処理部１１３は、連携先ASのDDoS連携対処装置１００に対して、標的AS番号（受信メッセージの標的AS番号と同じ値を設定）、自身のAS番号、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られた値）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られた値）から調整に用いたメッセージの宛先ASで対処中の標的AS宛通信量を減算した値（標的AS宛通信に対する対処量の差分値）、フラグ（Flag=0）を含む、対処要求メッセージを送信する（Ｓ１３１）。なお、標的AS宛通信に対する対処量の差分値は、異なるASを標的とする複数の攻撃に並列的に対処する際の情報のズレを補正するために利用する。
【００４３】
対処応答メッセージ処理部１１４は、他のDDoS連携対処装置１００からの対処応答メッセージに対する処理を行う（Ｓ１４０）。対処応答メッセージ処理部１１４は、対処応答メッセージを受信し、Flag=1かつStatus=対処中の場合、そのメッセージに含まれる標的AS番号を見て、攻撃情報テーブル内の対応する行の連携先ASとして、対処応答メッセージの送信元AS番号を登録する（Ｓ１４１）。また、対処応答メッセージ処理部１１４は、全隣接ASから対処要求メッセージ（Flag=1）に対する応答を得たかを判定し、全隣接ASからの対処応答がStatus=対処不可の場合は、次の処理を実施する（Ｓ１４２）。
【００４４】
第１に、対処応答メッセージ処理部１１４は、攻撃情報テーブルの自ASに関する情報の最上流ASフラグをTrueに設定する。また、対処応答メッセージ処理部１１４は、対処終了判断部１１９に当該攻撃の標的AS番号を通知し、当該攻撃に対する終了を監視するように設定する。
【００４５】
第２に、対処応答メッセージ処理部１１４は、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、要求元ASとの間のリンクの利用可能帯域量を取得し、標的AS宛攻撃に関する対処量の最低値を算出する（Ｓ１４３）。さらに、各テーブルの情報が最新でない場合は、対処応答メッセージ処理部１１４は、それらの情報を攻撃情報テーブル、mitigation装置情報テーブル、図９に示されるようなAS間リンク情報テーブルに登録する。ここで、AS間リンク情報テーブルは、各ASにおいて、隣接ASとの間のリンク情報を管理するためのテーブルであり、図９に示されるようなテーブル形式を有してもよい。図９に示される実施例では、AS間リンク情報テーブルは、どの隣接ASとの間のリンクかを識別するための「隣接AS番号」、「最大帯域量」、最大帯域量から各種通信サービスで利用中の通信帯域量を減算した値である「利用可能帯域量」等の情報から構成される。これらの情報は、トラヒック情報収集・DDoS攻撃検知装置２００を介して、パケット転送装置４００から定期的または任意のタイミングで収集され、更新される。また、最大帯域量は、通信回線敷設のタイミング等で運用者等によって登録されてもよい。ここでは、任意の隣接ASとの間のリンクが1つのAS内に複数存在する場合は、隣接AS単位でその合計値を登録することを想定しているが、リンク単位で管理してもよい。
【００４６】
第３に、対処応答メッセージ処理部１１４は、対処要求元（下流）ASに、標的AS番号（受信メッセージに含まれるものと同じ値を設定）、自身のAS番号、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、その標的AS宛通信に関する対処量の最低値、フラグ（Flag=1）を含む再調整要求メッセージを送信する（Ｓ１４４）。
【００４７】
再調整要求メッセージ処理部１１５は、他のDDoS連携対処装置１００からの再調整メッセージに対する処理を行う（Ｓ１５０）。再調整メッセージを受信した場合（Flag=0とFlag=1共通）、再調整要求メッセージ処理部１１５は、受信メッセージに含まれる標的AS番号を見て、攻撃情報テーブル内の対応する行の他ASに関する情報（メッセージ送信元AS番号に対応する部分）を、受信した情報で更新する（Ｓ１５１）。具体的には、再調整要求メッセージ処理部１１５は、標的AS単位の攻撃通信量の合計値、対処中の標的AS宛通信量、対処量の最低値を更新する。また、連携先AS情報テーブル（表3）のmitigation装置５０の利用可能リソース量（メッセージの送信元ASの値）を更新する。
【００４８】
受信した再調整要求メッセージのFlag=1かつ全連携先ASから再調整要求メッセージを受信済みの場合、再調整要求メッセージ処理部１１５は、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量を取得し、各テーブルの情報が最新でない場合は、それらの情報を攻撃情報テーブル、mitigation装置情報テーブルに登録する。その後、再調整要求メッセージ処理部１１５は、取得した自ASの情報と、受信済みの連携先ASの情報を用いて、連携先ASとの間で後述のパラメータ調整部１１７によるパラメータ調整処理を実施する。パラメータ調整後の処理は、前述の対処要求（Flag=0）受信時の調整後の処理とほぼ同様であるが、下流ASに再調整要求を送信する際のフラグのみ、Flag=1となる。
【００４９】
受信した再調整要求メッセージのFlag=0かつ過去に1回以上再調整メッセージ受信に伴う再調整処理を実施している場合は、再調整要求メッセージ処理部１１５は、連携先ASとの間で後述のパラメータ調整部によるパラメータ調整処理を実施する。パラメータ調整後の処理は、前述の対処要求（Flag=0）受信時の調整後の処理と同様であり、下流ASに再調整要求を送信する際のフラグはFlag=0となる。
【００５０】
対処終了要求メッセージ処理部１１６は、対処終了判断部１１９及び他のDDoS連携対処装置１００からの対処終了要求メッセージに対する処理を行う（Ｓ１７０）。対処終了要求メッセージ処理部１１６は、対処終了要求メッセージに含まれる標的AS番号に基づき、トラヒック情報収集・DDoS攻撃検知装置２００によって定期的に更新される攻撃情報テーブルの自ASに関する情報の当該AS宛攻撃の通信量の合計値と事前設定された閾値を比較する（Ｓ１７１）。その結果、閾値を下回っていた場合、対処終了要求メッセージ処理部１１６は、攻撃対処設定部１１８を介して、自AS内での当該標的AS宛攻撃対処を終了する。また、対処終了要求メッセージ処理部１１６は、対処終了判断部１１９に標的AS番号を通知し、当該攻撃への監視を終了する（Ｓ１７２）。さらに、対処終了要求メッセージ処理部１１６は、下流ASに標的AS番号を含む対処終了要求メッセージを送信する（Ｓ１７３）。
【００５１】
パラメータ調整部１１７は、他の処理部によって呼び出され、攻撃情報テーブル、連携先AS情報テーブル、mitigation装置情報テーブル及び／又はAS間リンク情報テーブルに格納された情報（自ASおよび連携先ASの標的AS単位の攻撃通信量の合計値、対処中の通信量、対処量の最低値、mitigation装置５０の利用可能リソース量、AS間リンクの利用可能帯域量）に基づき、任意のAS宛の攻撃に対して、自ASと連携先AS間で対処する通信量を算出する機能を有する。ここでは、標的AS単位で攻撃をまとめて、各ASで対処する通信量を調整することで、標的IPアドレス単位で1つずつ調整する場合と比較して、必要な調整回数を削減できる。なお、後述の実施例では、各ASがmitigation装置５０を利用して対処する際に、AS間リンクが輻輳しない範囲内で、といった制約条件のもと、各ASのmitigation装置５０の使用率ができるだけ均一になるように、各ASで対処する通信量を調整する方法について説明する。しかし、AS間リンク輻輳の回避と各ASのmitigation装置５０のリソース負荷分散を同時に実現する最適化問題の表現方法については、後述のものに限定されない。
【００５２】
攻撃対処設定部１１８は、他の処理部によって呼び出され、標的IPアドレス情報テーブル及び／又は攻撃情報テーブルを参照することで、標的IPアドレスの一覧、対処方式、自ASで対処する標的AS宛通信量を取得し、これらの情報をネットワーク制御装置３００に通知する機能を有する。前述のとおり、ネットワーク制御装置３００は、受信した前記情報に基づき、標的AS宛通信（の内、標的IPアドレスの一覧に含まれるIPアドレス宛通信）を、通知された通信量分mitigation装置５０に引き込んで対処する（または適用中の制御を解除する）。なお、他の処理部による攻撃対処設定部１１８の呼び出しのタイミングは任意であり、例えば、各種メッセージを受信したタイミング、メッセージ処理部によるパラメータ調整処理が終了したタイミングで呼び出されることが想定される。本実施例では、主に、攻撃検知メッセージ、対処要求メッセージ、再調整要求メッセージの受信時とメッセージ処理部によるパラメータ調整処理の終了時に、攻撃対処設定部１１８を呼び出して最新の情報での対処を適用する場合を記載しているが、システムへの負荷を軽減するために、ある程度、各ASで対処する通信量が収束したタイミング（例えば、当該攻撃に関する最後のメッセージを受信してから一定時間経過後）で、最新の情報を対処に反映する等も想定される。
【００５３】
対処終了判断部１１９は、他の処理部によって呼び出され、トラヒック情報収集・DDoS攻撃検知装置２００によって定期的に更新される攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値と事前設定された閾値を定期的に比較し、その値が閾値を下回った場合に、自ASのDDoS連携対処装置１００のメッセージ受付部１１１に対して、標的AS番号を含む対処終了要求メッセージを送信する。ここで、対処終了判断の方法としては、上記閾値を用いた定期的な比較のほか、対処要求メッセージ等にその対処の有効期限を示すライフタイムを付与して送信し、そのライフタイムが0になった場合に、対処終了判断部１１９は、自身のメッセージ受付部１１１に対処終了要求メッセージを送信して、対処終了処理を行う等の方法も想定される。特に、ライフタイムで対処終了を管理する場合、AS間での対処終了メッセージの送受信は発生せず、各AS内で完結して特定のAS宛攻撃への対処終了を実施することも想定される。
【００５４】
次に、図１０〜１２を参照して、本発明の一実施形態によるDDoS連携対処装置の間の動作手順及び各ASがmitigation装置を保有している場合に、複数AS間で連携対処を行う際の対処ロジックの一例を説明する。図１０〜１２は、本発明の一実施形態によるDDoS攻撃情報共有装置間の動作手順を示すシーケンス図である。本対処ロジックでは、複数箇所が同時に攻撃される場合にも対処不能にならないように、可能な限り各ASのmitigation装置５０の使用率が均一になるように、かつ、AS間リンクの輻輳を回避するように、各mitigation装置５０で処理する通信量を調整しながら対処を実施する。
【００５５】
ここでは、下流ASが、上流ASのmitigation装置５０で検査済みのパケットと未検査のパケットとを区別可能であることを前提とし、各ASでは、標的宛かつ未検査のパケットのみを対象に、指定された通信量分をmitigation装置５０に引き込んで対処する。なお、検査済みのパケットと未検査のパケットとを区別可能にする方法としては、例えば、OpenFlow等を利用して、上流ASにおいて、mitigation装置５０で検査済みの標的宛パケットの宛先IPアドレスを、被害AS内の平常時は使用していない任意のIPアドレスに書き換え、被害ASに到達後に、元のIPアドレスに戻すといった方法や、GRE（Generic Routing Encapsulation）等のトンネリング技術を利用して、被害ASの任意のルータ等までカプセル化して転送するといった方法が考えられるが、これらの方法に限定するものではない（どちらの方法でも、上流ASのmitigation装置５０で検査済みの場合は、途中のASでは、標的とは異なる宛先IPアドレスのパケットに見えるため、mitigation装置５０への二重引き込みを回避できる）。この場合、被害ASのDDoS連携対処装置１００と対処を実施するASのDDoS連携対処装置１００との間で、書き換えに利用するIPアドレス情報、トンネルの始点及び終点となるノードのIPアドレスを追加で共有する必要があり、例えば、対処要求メッセージや再調整要求メッセージに含めて共有することが考えられる。
【００５６】
以降では、AS1のDDoS攻撃検知装置１００による標的システム１及び標的システム２への攻撃の検知をトリガとして、自動的にAS間での連携対処が行われる際の動作手順を説明する。ここでは、各ASのDDoS連携対処機能は、トラヒック情報収集・DDoS攻撃検知装置２００や他のASのDDoS連携対処機能からのメッセージを常に待ち受け、メッセージを受信した際には、そのメッセージに対する処理を実施する。また、あるメッセージの処理中に他のメッセージを受信した場合は、受信したメッセージをキューに貯めていき、最も古いメッセージから１つずつ処理を実施する場合を記載している。また、以下の実施例では、１つのAS（AS1）が標的となっている場合について記載しているが、複数のASが同時に攻撃される場合にも、それぞれの攻撃に並列で対処することができる。さらに、DDoS連携対処機能は、他のDDoS連携対処機能にメッセージを送信する際に、非同期で動作する（すなわち、送信したメッセージに対する応答を待たずに他の処理を実行する）。
【００５７】
図１０に示されるように、ステップＳ２０１において、AS1のトラヒック情報収集・DDoS攻撃検知装置２００は、攻撃の発生を検知し、AS1のDDoS連携対処装置１００に、標的システム１と標的システム２のIPアドレスを含む攻撃検知メッセージを送信する。
［攻撃検知メッセージ処理（AS1）］
ステップＳ２０２において、AS1のDDoS連携対処装置１００は、自ASの標的IPアドレス情報テーブルに、攻撃検知メッセージに含まれる標的IPアドレスを追加し、攻撃情報テーブルに当該攻撃のレコードを登録する。
【００５８】
ステップＳ２０３において、AS1のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、自AS内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信を全てmitigation装置５０に引き込んで対処するように設定）。
【００５９】
ステップＳ２０４において、AS1のDDoS連携対処装置１００は、隣接AS情報テーブルを参照し、隣接AS（AS2、AS3）のDDoS連携対処装置１００に対して、標的AS番号（AS1）、標的IPアドレスリスト（図５の内容）、自身のAS番号（AS1）、Flag=1を含む対処要求メッセージを送信する。
［対処要求メッセージ処理（AS2）］
ステップＳ２０５において、AS2のDDoS連携対処装置１００は、AS1からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS1方向に流れているかを判定する。
【００６０】
ステップＳ２０６において、AS2からAS1方向に当該通信が流れているため、AS2のDDoS連携対処装置１００は、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS1）を自身の攻撃情報テーブルに登録する。この際、対処要求の送信元ASを下流ASとして登録する。
【００６１】
ステップＳ２０７において、AS2のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS2内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。
【００６２】
ステップＳ２０８において、AS2のDDoS連携対処装置１００は、AS1に標的AS番号（AS1）、自身のAS番号（AS2）、Flag=1、Status=対処中を含む対処応答メッセージを送信する。
【００６３】
ステップＳ２０９において、AS2のDDoS連携対処装置１００は、対処要求の送信元AS（AS1）を除く、隣接AS（AS4）に、標的AS番号（AS1）、受信した標的IPアドレスリスト、自AS番号（AS2）、Flag=1を含む対処要求メッセージを送信する。
［対処応答メッセージ処理（AS1）］
ステップＳ２１０において、AS1のDDoS連携対処装置１００は、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS2の情報を登録する。
［対処要求メッセージ処理（AS4）］
ステップＳ２１１において、AS4のDDoS連携対処装置１００は、AS2からの対処要求に含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS2方向に流れているかを判定する。
【００６４】
流れていないため、ステップＳ２１２において、AS4のDDoS連携対処装置１００は、AS2に標的AS番号（AS1）、自AS番号（AS44）、Flag=1、Status=対処不可を含む対処応答メッセージを送信する。
［対処応答メッセージ処理（AS2）］
ステップＳ２１３において、AS2のDDoS連携対処装置１００は、対処要求（Flag=1）を送信した全隣接ASから、対処応答を受信済みであり、全てStatus=対処不可のため、攻撃情報テーブルの標的ASがAS1の行の最上流ASフラグをTrueに設定する。
【００６５】
ステップＳ２１４において、AS2のDDoS連携対処装置１００は、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量及び／又はAS間リンク(AS2-AS1間のリンク)の利用可能帯域量を各テーブルから取得し、自ASで対処する標的宛通信量の最低値を算出する。各テーブルの情報が最新でない場合は、AS2のDDoS連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブル及び／又はAS間リンク情報テーブルの値を更新する。なお、自ASで対処する標的宛通信量の最低値は、例えば以下の式を用いて算出してもよい。
【００６６】
【数１】
2018133750.tif 000003
ステップＳ２１５において、AS2のDDoS連携対処装置１００は、AS1に標的AS番号（AS1）、自身のAS番号（AS2）、自AS（AS2）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、自AS（AS2）で対処する標的宛通信量の最低値、Flag=1を含む再調整要求メッセージを送信する。
［再調整要求メッセージ処理（AS1）］
ステップＳ２１６において、AS1のDDoS連携対処装置１００は、AS2から受信した情報を攻撃情報テーブル及び／又は隣接AS情報テーブルに格納する。
［対処要求メッセージ処理（AS3）］
ステップＳ２１７において、AS3のDDoS連携対処装置１００は、AS1からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS1方向に流れているかを判定する。
【００６７】
ステップＳ２１８において、AS3からAS1方向に当該通信が流れているため、AS3のDDoS連携対処装置１００は、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS1）を自身の攻撃情報テーブルに登録する。この際、対処要求の送信元ASを下流ASとして登録する。
【００６８】
ステップＳ２１９において、AS3のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS3内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。
【００６９】
ステップＳ２２０において、AS3のDDoS連携対処装置１００は、AS1に標的AS番号（AS1）、自身のAS番号（AS3）、Flag=1、Status=対処中を含む対処応答メッセージを送信する。
【００７０】
ステップＳ２２１において、AS3のDDoS連携対処装置１００は、対処要求の送信元AS（AS1）を除く、隣接AS（AS4、AS5）に、標的AS番号（AS1）、受信した標的IPアドレスリスト、自AS番号（AS3）、Flag=1を含む対処要求メッセージを送信する。
［対処要求メッセージ処理（AS4）］
ステップＳ２２２において、AS4のDDoS連携対処装置１００は、AS3からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS3方向に流れているかを判定する。
【００７１】
ステップＳ２２３において、AS4からAS3方向に当該通信が流れているため、AS4のDDoS連携対処装置１００は、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS3）を自身の攻撃情報テーブルに登録する。この際、AS4のDDoS連携対処装置１００は、対処要求の送信元ASを下流ASとして登録する。
【００７２】
ステップＳ２２４において、AS4のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS4内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。
【００７３】
ステップＳ２２５において、AS4のDDoS連携対処装置１００は、AS3に標的AS番号（AS1）、自身のAS番号（AS4）、Flag=1、Status=対処中を含む対処応答メッセージを送信する。
【００７４】
ステップＳ２２６において、AS4のDDoS連携対処装置１００は、対処要求の送信元AS（AS3）を除く、隣接AS（AS2、AS5）に、標的AS番号（AS1）、受信した標的IPアドレスリスト、自AS番号（AS4）、Flag=1を含む対処要求メッセージを送信する。
【００７５】
この後、AS4のDDoS連携対処装置１００は、AS2、AS5からStatus=対処不可を含む応答を受信し、ステップＳ２３４に移行する。
［対処応答メッセージ処理（AS3）］
ステップＳ２２７において、AS3のDDoS連携対処装置１００は、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS4の情報を登録する。
［対処要求メッセージ処理（AS5）］
ステップＳ２２８において、AS5のDDoS連携対処装置１００は、AS3からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS3方向に流れているかを判定する。
【００７６】
ステップＳ２２９において、AS5からAS3方向に当該通信が流れているため、AS5のDDoS連携対処装置１００は、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS3）を自身の攻撃情報テーブルに登録する。この際、対処要求の送信元ASを下流ASとして登録する。
【００７７】
ステップＳ２３０において、AS5のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS5内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。
【００７８】
ステップＳ２３１において、AS5のDDoS連携対処装置１００は、AS3に標的AS番号（AS1）、自身のAS番号（AS5）、Flag=1、Status=対処中を含む対処応答メッセージを送信する。
【００７９】
ステップＳ２３２において、AS5のDDoS連携対処装置１００は、対処要求の送信元AS（AS3）を除く、隣接AS（AS4）に、標的AS番号（AS1）、受信した標的IPアドレスリスト、自AS番号（AS5）、Flag=1を含む対処要求メッセージを送信する。
【００８０】
この後、AS5のDDoS連携対処装置１００は、AS4からStatus=対処不可を含む応答を受信し、ステップＳ２３８に移行する。
［対処応答メッセージ処理（AS3）］
ステップＳ２３３において、AS3のDDoS連携対処装置１００は、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS5の情報を登録する。
【００８１】
ここまでの手順で、攻撃元に最も近いASのmitigation装置５０のリソースを最大限用いた対処（インターネット全体での攻撃通信による消費帯域が最小になるような対処）が完了する。以降の手順では、さらに各ASのmitigation装置５０のリソース使用率をAS間リンクが輻輳しない範囲で平準化するための調整について説明する。
［対処応答メッセージ処理（AS4）］
ステップＳ２３４において、AS4のDDoS連携対処装置１００は、対処要求（Flag=1）を送信した全隣接ASから、対処応答を受信済みであり、全てStatus=対処不可のため、攻撃情報テーブルの標的ASがAS1の行の最上流ASフラグをTrueに設定する。
【００８２】
ステップＳ２３５において、AS4のDDoS連携対処装置１００は、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンク(AS4-AS3間のリンク)の利用可能帯域量を各テーブルから取得し、自ASで対処する標的宛通信量の最低値を算出する。各テーブルの情報が最新でない場合は、AS4のDDoS連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブル及び／又はAS間リンク情報テーブルの値を更新する。なお、自ASで対処する標的宛通信量の最低値は、例えば、上述した対処する標的宛通信量の最低値の算出式を用いて算出してもよい。
【００８３】
ステップＳ２３６において、AS4のDDoS連携対処装置１００は、AS3に標的AS番号（AS1）、自身のAS番号（AS4）、自AS（AS4）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、自AS（AS4）で対処する標的宛通信量の最低値、Flag=1を含む再調整要求メッセージを送信する。
［再調整要求メッセージ処理（AS3）］
ステップＳ２３７において、AS3のDDoS連携対処装置１００は、AS4から受信した情報を攻撃情報テーブル及び／又は隣接AS情報テーブルに格納する。
［対処応答メッセージ処理（AS5）］
ステップＳ２３８において、AS5のDDoS連携対処装置１００は、対処要求（Flag=1）を送信した全隣接ASから、対処応答を受信済みであり、全てStatus=対処不可のため、攻撃情報テーブルの標的ASがAS1の行の最上流ASフラグをTrueに設定する。
【００８４】
ステップＳ２３９において、AS5のDDoS連携対処装置１００は、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンク(AS5-AS3間のリンク)の利用可能帯域量を各テーブルから取得し、自ASで対処する標的宛通信量の最低値を算出する。各テーブルの情報が最新でない場合は、AS5のDDoS連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブル及び／又はAS間リンク情報テーブルの値を更新する。なお、自ASで対処する標的宛通信量の最低値は、例えば、上述した対処する標的宛通信量の最低値の算出式を用いて算出してもよい。
【００８５】
ステップＳ２４０において、AS5のDDoS連携対処装置１００は、AS3に標的AS番号（AS1）、自身のAS番号（AS5）、自AS（AS5）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、自AS（AS5）で対処する標的宛通信量の最低値、Flag=1を含む再調整要求メッセージを送信する。
［再調整要求メッセージ処理（AS3）］
ステップＳ２４１において、AS3のDDoS連携対処装置１００は、AS5から受信した情報を攻撃情報テーブル及び／又は隣接AS情報テーブルに格納する。
【００８６】
ステップＳ２４２において、AS3のDDoS連携対処装置１００は、全連携先ASから再調整要求（Flag=1）を受信したため、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量を各テーブルから取得する。各テーブルの情報が最新でない場合は、AS3のDDoS連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル及び／又はmitigation装置情報テーブルの値を更新する。
【００８７】
ステップＳ２４３において、AS3のDDoS連携対処装置１００は、下記の最適化問題を解くことで、各AS（AS3、AS4、AS5）のmitigation装置５０のリソース使用率が平準化するような対処量の値の組み合わせを算出する。一般化した表現では、当該最適化問題は、以下とすることができる。
【００８８】
【数２】
2018133750.tif 000004
AS3、AS4、AS5で調整する場合には、以下の最適化問題を解くことになる。
【００８９】
【数３】
2018133750.tif 000005
ステップＳ２４４において、AS3のDDoS連携対処装置１００は、パラメータ調整の結果得られた、「その標的AS宛通信に対して各ASで対処する通信量（xAS）を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新する。また、AS3のDDoS連携対処装置１００は、自ASで対処する標的宛通信量の最低値を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新する。
【００９０】
この際、AS3のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレス、自ASで対処する標的AS宛通信量（xAS1）を通知して最新の情報での攻撃対処を適用する。ネットワーク制御装置３００は、攻撃情報テーブルに記載の標的IPアドレス宛通信をxAS3分、mitigation装置５０に引き込んで対処する。
【００９１】
ステップＳ２４５において、AS3のDDoS連携対処装置１００は、連携先AS（AS4、AS5）のDDoS連携対処装置１００に対して、標的AS番号（AS1）、自身のAS番号（AS3）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られたxAS）、標的AS宛通信に対する対処量の差分値（xAS-XAS）、Flag=0が含まれる対処要求メッセージを送信する。
【００９２】
ステップＳ２４６において、AS3のDDoS連携対処装置１００は、下流AS（AS1）に、標的AS番号（AS1）、自身のAS番号（AS3）、自AS（AS3）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、自AS（AS3）で対処する標的宛通信量の最低値、Flag=1を含む再調整要求メッセージを送信する。
［対処要求メッセージ処理（AS4）］
ステップＳ２４７において、AS4のDDoS連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。
【００９３】
ステップＳ２４８において、AS4のDDoS連携対処装置１００は、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。
［対処要求メッセージ処理（AS5）］
ステップＳ２４９において、AS5のDDoS連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。
【００９４】
ステップＳ２５０において、AS5のDDoS連携対処装置１００は、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。
［再調整要求メッセージ処理（AS1）］
ステップＳ２５１において、AS1のDDoS連携対処装置１００は、AS3から受信した情報を攻撃情報テーブル及び／又は隣接AS情報テーブルに格納する。
【００９５】
ステップＳ２５２において、AS1のDDoS連携対処装置１００は、全連携先AS(AS2、AS3)から再調整要求（Flag=1）を受信したため、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量を各テーブルから取得する。各テーブルの情報が最新でない場合は、AS1のDDoS連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル及び／又はmitigation装置情報テーブルの値を更新する。
【００９６】
ステップＳ２５３において、AS1のDDoS連携対処装置１００は、上述した最適化問題を解くことで、各AS（AS1、AS2、AS3）のmitigation装置５０のリソース使用率が平準化するような対処量の値の組み合わせを算出する。
【００９７】
ステップＳ２５４において、AS1のDDoS連携対処装置１００は、パラメータ調整の結果得られた、「その標的AS宛通信に対して各ASで対処する通信量（xAS）を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新する。また、自ASで対処する標的宛通信量の最低値を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新する。
【００９８】
ステップＳ２５５において、AS1のDDoS連携対処装置１００は、連携先AS（AS2、AS3）のDDoS連携対処装置１００に対して、標的AS番号（AS1）、自身のAS番号（AS1）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られたxAS）、標的AS宛通信に対する対処量の差分値（xAS-XAS）、Flag=0が含まれる対処要求メッセージを送信する。
［対処要求メッセージ処理（AS2）］
ステップＳ２５６において、AS2のDDoS連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。
【００９９】
ステップＳ２５７において、AS2のDDoS連携対処装置１００は、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。
［対処要求メッセージ処理（AS3）］
ステップＳ２５８において、AS3のDDoS連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。
【０１００】
ステップＳ２５９において、AS3のDDoS連携対処装置１００は、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。
【０１０１】
ステップＳ２６０において、AS3のDDoS連携対処装置１００は、更新された情報を用いて、上述した最適化問題を解くことで、各AS（AS3、AS4、AS5）のmitigation装置５０のリソース使用率が平準化するような対処量の値の組み合わせを算出する。
【０１０２】
ステップＳ２６１において、AS3のDDoS連携対処装置１００は、パラメータ調整の結果得られた、「その標的AS宛通信に対して各ASで対処する通信量（xAS）」を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新する。また、AS3のDDoS連携対処装置１００は、自ASで対処する標的宛通信量の最低値を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新する。
【０１０３】
この際、AS3のDDoS連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレス、自ASで対処する標的AS宛通信量（xAS1）を通知して最新の情報での攻撃対処を適用してもよい。ネットワーク制御装置３００は、攻撃情報テーブルに記載の標的IPアドレス宛通信をxAS3分、mitigation装置５０に引き込んで対処する。
【０１０４】
ステップＳ２６２において、AS3のDDoS連携対処装置１００は、連携先AS（AS4、AS5）のDDoS連携対処装置１００に対して、標的AS番号（AS1）、自身のAS番号（AS3）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られたxAS）、標的AS宛通信に対する対処量の差分値（xAS-XAS）、Flag=0が含まれる対処要求メッセージを送信する。
【０１０５】
ステップＳ２６３において、AS3のDDoS連携対処装置１００は、下流AS（AS1）に、標的AS番号（AS1）、自身のAS番号（AS3）、自AS（AS3）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、自AS（AS3）で対処する標的宛通信量の最低値、Flag=0を含む再調整要求メッセージを送信する。
［対処要求メッセージ処理（AS4）］
ステップＳ２６４において、AS4のDDoS連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。
【０１０６】
ステップＳ２６５において、AS4のDDoS連携対処装置１００は、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。
［対処要求メッセージ処理（AS5）］
ステップＳ２６６において、AS5のDDoS連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。
【０１０７】
ステップＳ２６７において、AS5のDDoS連携対処装置１００は、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。
［再調整要求メッセージ処理（AS1）］
ステップＳ２６８において、AS1のDDoS連携対処装置１００は、再調整要求メッセージ（Flag=0）処理を実施する。以降、後述の収束条件を満たすまで、各ASにおいてメッセージの受信に伴う処理と他ASへのメッセージ送信を繰り返し行うことで、インターネット全体として、AS間リンク輻輳を防ぎつつ、各ASのmitigation装置５０のリソース使用率が平準化するように、標的AS宛攻撃に分担して対処することができる。
【０１０８】
なお、無限にパラメータ調整が実施されるのを防ぐための収束条件としては、例えば、各ASにおいて、ある標的宛通信に対する調整実施時の入力値で計算したFの値とGの値の差（preF - preG）と調整の結果得られたFの値とGの値の差（F - G）を比較して、事前設定した閾値以上改善していない場合は、そのパラメータ調整を実施せずにそのメッセージ処理を終了することが想定される。なお、収束条件については任意であり、この方法に限定されない。
【０１０９】
また、攻撃量の変化等に追従するために、標的ASのDDoS連携対処装置１００は、攻撃検知メッセージの受信や１回目の対処要求メッセージ(Flag=1)の送信等を契機とし、例えば一定時間経過毎に連携先ASに対して対処要求(Flag=1)を再送信することで、その時点で最新の通信量情報等を用いて、現在対処中の標的AS宛攻撃に対する連携対処内容を更新することも想定される。
【０１１０】
上述した実施例では、DDoS攻撃情報の共有と各攻撃に対して各ASの防御機能のリソースをどれだけ割り当てるかを調整する役割を担うDDoS連携対処装置１００が導入される。DDoS連携対処装置１００間のアーキテクチャとして、各ASが直接通信するASを近隣のみに限定する分散型のアーキテクチャが適用されている。当該アーキテクチャにおいて、標的ASから連携対処を開始して、まず、攻撃元に近いASで優先的に対処する方式（帯域を優先して対処）が適用される。次に、リソース使用率を平準化するために、最上流ASから再調整が実施されると共に、下流ASとの間のリンク帯域情報から、輻輳を回避するために自ASで最低限対処しなければならない量が算出され、最適化問題の制約として使用される。これにより、インターネット全体でDDoS攻撃に連携して対処する場合に、AS間リンク帯域の輻輳の回避と各ASの防御装置のリソース使用率の平準化を同時に実現することができる。上述した実施例によると、インターネット全体に適用する場合にも、高いスケーラビリティでのDDoS攻撃情報の共有・対処の連携が可能となる。また、インターネット全体で防御装置のリソースを共用してDDoS攻撃に連携対処する場合に、AS間リンク帯域の輻輳を回避することで、他の通信サービスへの影響を抑えつつ、各ASの防御装置のリソース使用率を平準化することで、インターネット全体としてより多くのDDoS攻撃に対処可能となる。
【０１１１】
以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【０１１２】
１０  ネットワーク
５０  mitigation装置
１００  DDoS連携対処装置
１１０  処理部
１２０  記憶部
１３０  通信部
２００  トラヒック情報収集・DDoS攻撃検知装置
３００  ネットワーク制御装置
４００  パケット転送装置
【図１】
2018133750.tif 000006
【図２】
2018133750.tif 000007
【図３】
2018133750.tif 000008
【図４】
2018133750.tif 000009
【図５】
2018133750.tif 000010
【図６】
2018133750.tif 000011
【図７】
2018133750.tif 000012
【図８】
2018133750.tif 000013
【図９】
2018133750.tif 000014
【図１０】
2018133750.tif 000015
【図１１】
2018133750.tif 000016
【図１２】
2018133750.tif 000017