(57)【要約】【課題】攻撃者が標的となったサーバーと同一のサブネット内に存在する場合であっても、攻撃者から標的サーバーを保護し攻撃者以外に対するサービスの継続も可能するとともに攻撃によるサービス停止を防止する。【解決手段】利用者にサービスを提供するサービス提供手段の保護を、データリンク層とネットワーク層のアドレスが変更可能な接続手段と、情報伝送経路の変更可能な情報伝送手段と、攻撃検知手段と、防御手段と、おとり手段と、経路変更指令発信手段と防御制御手段によりサービスの保護を行う。サービス提供手段が属するサブネットの外からの攻撃は、経路変更により防御手段に集約し、サブネットの内からの攻撃はおとり手段に集約し、攻撃信号を除去した後にサービス提供手段に供する事により、攻撃下であってもサービスの継続を可能とする。【選択図】図１
2011055299.tif 000002
【特許請求の範囲】
【請求項１】
転送先変更手段を備えた第１ネットワークと、該転送先変更手段に接続されたルーターと、該ルーターを介して第１ネットワークに接続された第２ネットワークとを備えるネットワークにおいて、
第１ネットワークは、上記転送先変更手段に接続された防御手段を備え、
第２ネットワークは、上記ルーターのルーティング情報を変更する接続手段と、第１ネットワークあるいは第２ネットワークに接続された利用者に情報提供サービスを行い上記接続手段に接続されたサービス提供手段と、第１ネットワークあるいは第２ネットワークに接続され分散型サービス不能攻撃を検出する攻撃検知手段と、上記攻撃検知手段の出力を受けて防御体制を制御する防御制御手段と、を備え、
上記サービス提供手段が分散型サービス不能攻撃を受けた際に、上記防御制御手段からの制御に従って、上記転送先変更手段は攻撃信号を上記防御手段に集約し、
上記防御手段は、攻撃信号を削除しそれ以外の信号をサービス提供手段に供するものである、
ことを特徴とするサービス保護方式。
【請求項２】
上記ルーターは、上記接続手段に接続されたデータリンク層スイッチング手段と、上記データリンク層スイッチング手段と上記転送先変更手段とに接続されたネットワーク層スイッチング手段とを備え、
上記サービス提供手段に接続された、上記接続手段のデータリンク層とネットワーク層のアドレスは変更可能であり、
上記転送先変更手段は、上記ネットワーク層スイッチング手段に接続され情報伝送経路の変更可能な情報伝送手段と、前記情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段とを備え、
該情報伝送手段は、攻撃者と利用者からの上記サービス提供手段への信号を、上記経路変更指令発信手段からの指令に従って上記防御手段に集約し、
上記防御手段は、上記情報伝送手段に接続されて、攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するものであって、該防御手段にて攻撃信号を削除し、それ以外の信号を上記接続手段のアドレス変更に従って上記サービス提供手段に供することができるものであり、
上記データリンク層スイッチング手段または上記ネットワーク層スイッチング手段に接続された攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するおとり手段を備え、
上記防御制御手段は、前記攻撃検知信号を受けて、前記防御手段の動作を開始させる信号、並びに前記おとり手段の動作を開始させる信号、並びに前記データリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの変更動作を開始させる信号、並びに前記サービス提供手段への信号が前記防御手段に集約するように前記情報伝送経路の変更可能な情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段の動作を開始させる信号を、発信するものである、
ことを特徴とする請求項１に記載のサービス保護方式。
【請求項３】
上記ルーターは、上記接続手段に接続されたデータリンク層スイッチング手段と、上記データリンク層スイッチング手段と上記転送先変更手段とに接続されたネットワーク層スイッチング手段と、を備え、
上記接続手段は、上記サービス提供手段に接続され、
上記転送先変更手段は、上記ネットワーク層スイッチング手段に接続され情報伝送経路の変更可能な情報伝送手段と、前記情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段と、を備え、
上記情報伝送手段は、攻撃者と利用者からの上記サービス提供手段への信号を、上記経路変更指令発信手段からの指令に従って上記防御手段に集約し、
上記データリンク層スイッチング手段は、上記接続手段に接続する接続先ポートを仮想ＬＡＮにより動的に変更可能なものであり、
上記ネットワーク層スイッチング手段は、上記データリンク層スイッチング手段からの信号をカプセル化する機能と、カプセル化されて入力された前記データリンク層スイッチング手段への信号のカプセル化を解消して、前記データリンク層スイッチング手段に仮想ＬＡＮにより提供する機能と、を有し、
上記防御手段は、上記情報伝送手段に接続され攻撃者と利用者からの上記サービス提供手段への信号を上記サービス提供手段の代理となって送受信するものであり、上記の攻撃信号以外の信号を前記サービス提供手段に上記ネットワーク層スイッチング手段におけるネットワーク層アドレスを宛先としてカプセル化して送信し、前記ネットワーク層スイッチング手段から受けたカプセル化された信号については、カプセル化を解消して上記情報伝送手段に送出する事で上記攻撃者または上記利用者に送信するものであり、
上記防御制御手段は、上記攻撃検知信号を受けて、上記防御手段の動作を開始させる信号、並びに上記サービス提供手段が上記ネットワーク層スイッチング手段を経て前記防御手段との間で行う相互の通信への該通信外の信号の混入を防止すべく前記データリンク層スイッチング手段の接続先ポートを変更する信号、並びに前記サービス提供手段への信号が前記防御手段に集約すべく前記情報伝送経路の変更可能な情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段の動作を開始させる信号、を発信するものである、
ことを特徴とする請求項１に記載のサービス保護方式。
【請求項４】
上記ルーターは、上記接続手段に接続されたデータリンク層スイッチング手段と、上記データリンク層スイッチング手段と上記転送先変更手段とに接続されたネットワーク層スイッチング手段とを備え、
上記接続手段は、上記サービス提供手段に接続され、上記ルーターのデータリンク層とネットワーク層のアドレスの変更可能な接続手段であり、
上記転送先変更手段は、上記ネットワーク層スイッチング手段に接続された情報伝送手段と、ネットワーク層アドレスを統一資源位置指定子で検索可能なドメイン名システムと、前記接続手段のネットワーク層のアドレスであるＩＰアドレスを上記防御手段のＩＰアドレスに書き換える登録アドレス変更手段と、を備え、
該情報伝送手段は、攻撃者と利用者からの上記サービス提供手段への信号を、上記接続手段と防御手段のＩＰアドレス変更に従って、上記防御手段に供することができるものであり、
上記防御手段は、上記情報伝送手段に接続され、攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するものであり、
上記データリンク層スイッチング手段または上記ネットワーク層スイッチング手段に接続された攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するおとり手段を備え、
上記防御制御手段は、前記攻撃検知信号を受けて、前記防御手段の動作を開始させる信号、並びに前記おとり手段の動作を開始させる信号、並びに前記データリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの変更動作を開始させる信号、並びに前記登録アドレス変更手段の動作を開始させる信号を、発信するものである、
ことを特徴とする請求項１に記載のサービス保護方式。
【請求項５】
上記の情報伝送経路の変更可能な情報伝送手段に接続された回復制御手段を備え、
攻撃対象となったサービス提供手段の正常なサービス提供動作が可能となる所定の閾値以下に攻撃が低下したことを攻撃検知手段の情報を集約した回復制御手段が検知したとき、情報伝送経路の変更可能な情報伝送手段の状態、並びに防御手段の状態、並びにデータリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの状態、並びにおとり手段の状態を、攻撃検知手段が攻撃を検知する以前の状態に戻す攻撃終了信号を、上記回復制御手段が発信することを特徴とする請求項２に記載のサービス保護方式。
【請求項６】
上記の情報伝送経路の変更可能な情報伝送手段に接続された回復制御手段を備え、
攻撃対象となったサービス提供手段の正常なサービス提供動作が可能となる所定の閾値以下に攻撃が低下したことを攻撃検知手段の情報を集約した回復制御手段が検知したとき、情報伝送経路の変更可能な情報伝送手段の状態、並びに防御手段の状態、並びに接続先ポートを仮想ＬＡＮにより動的に変更可能なデータリンク層スイッチング手段の状態、並びに入力信号をカプセル化して出力する機能を有するネットワーク層スイッチング手段の状態を、攻撃検知手段が攻撃を検知する以前の状態に戻す攻撃終了信号を上記回復制御手段が発信することを特徴とする請求項３に記載のサービス保護方式。
【請求項７】
上記の情報伝送手段に接続された回復制御手段を備え、
攻撃対象となったサービス提供手段の正常なサービス提供動作が可能となる所定の閾値以下に攻撃が低下したことを攻撃検知手段の情報を集約した回復制御手段が検知したとき、登録アドレス変更手段が変更するドメイン名システムに登録されデータリンク層とネットワーク層のアドレスの変更可能な接続手段のネットワーク層アドレスの状態、並びに防御手段の状態、並びにデータリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの状態、並びにおとり手段の状態を、攻撃検知手段が攻撃を検知する以前の状態に戻す攻撃終了信号を上記回復制御手段が発信することを特徴とする請求項４に記載のサービス保護方式。
【請求項８】
単数または複数の攻撃検知手段または防御手段またはデータリンク層とネットワーク層のアドレスの変更可能な接続手段が攻撃検知信号を受信したとき、
単数または複数の攻撃検知手段または防御手段またはデータリンク層とネットワーク層のアドレスの変更可能な接続手段が、サービス提供手段宛に信号を送信しつつある攻撃者と利用者のネットワーク層アドレスを割り出しておとり手段に通知し、該おとり手段がインターネットプロトコルにおけるインターネットコントロールメッセージプロトコルのリダイレクト信号を攻撃者と利用者に対して送出して、前記攻撃者と利用者が用いるルーティングテーブルを書き換えることで、前記攻撃者と利用者からの信号が前記サービス提供手段に直接到達しないようにすることを該おとり手段が攻撃終了信号を受信するまで行うことを、特徴とする請求項２、４、５、あるいは７のいずれか１つに記載のサービス保護方式。
【請求項９】
サービス提供手段に接続されたデータリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスを上記おとり手段が攻撃検知信号を受信する以前に上記おとり手段があらかじめ記憶しておき、前記おとり手段が攻撃検知信号を受信したとき、前記記憶した両アドレスを送信元アドレスとして用いて信号を送出することで、前期攻撃者と利用者からの信号が前記サービス提供手段に直接到達しないようにすることを該おとり手段が攻撃終了信号を受信するまで行うことを、特徴とする請求項２、４、５あるいは７のいずれか１つに記載のサービス保護方式。
【請求項１０】
上記攻撃者と利用者が有するルーティングテーブルを書き換えることで上記攻撃者と利用者からの信号をそれぞれ単数または複数のおとり手段または防御手段のいずれかに集約し、この集約した信号を前記それぞれ単数または複数のおとり手段または防御手段のいずれかにて無害化し前記サービス提供手段に供することを前記おとり手段が攻撃終了信号を受信するまで行うことを、特徴とする請求項２、３、４、５あるいは７から９のいずれか１つに記載のサービス保護方式。
【請求項１１】
アドレス解決信号または逆アドレス解決信号を送出することにより、上記攻撃者と利用者からの信号をそれぞれ単数または複数のおとり手段または防御手段のいずれかに集約し、前記集約した信号を前記それぞれ単数または複数のおとり手段または防御手段のいずれかにて無害化し前記サービス提供手段に供することを前記おとり手段が攻撃終了信号を受信するまで行うことを、特徴とする請求項２、４、５あるいは７から９のいずれか１つに記載のサービス保護方式。
【請求項１２】
データリンク層とネットワーク層のアドレスの変更可能な接続手段の変更予定アドレスを、予めそれぞれ単数または複数の防御手段とおとり手段に記憶させておくことを特徴とする請求項２、４、５あるいは７から１１のいずれか１つに記載のサービス保護方式。
【請求項１３】
データリンク層とネットワーク層のアドレスの変更可能な接続手段の変更アドレスを、データリンク層とネットワーク層のアドレスの変更可能な接続手段が攻撃検知信号を受信した後に、予め定めた手順でそれぞれ単数または複数の防御手段とおとり手段に通知することを特徴とする請求項２、４、５、あるいは７から１１のいずれか１つに記載のサービス保護方式。
【請求項１４】
単数または複数の攻撃検知手段にて異なる複数のサービス提供手段への攻撃を検知したとき、前記異なる複数のサービス提供手段の夫々について、統一資源位置指定子からネットワーク層アドレスを検索可能な上記ドメイン名システムに登録された上記データリンク層とネットワーク層のアドレスの変更可能な接続手段のネットワーク層アドレスと上記防御手段のネットワーク層アドレスとを、夫々隣接したアドレスにすることを特徴とする請求項４あるいは７から１３のいずれか１つに記載のサービス保護方式。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク上でサービスを提供しているサーバーに対するネットワーク上の攻撃者による攻撃信号からサービスを保護し、攻撃下においてもサービスの継続を可能とするサービス保護方式に関するものである。
【背景技術】
【０００２】
インターネット上でサービスを提供しているサーバーに対しインターネットを経由した攻撃が頻繁に発生している。攻撃者の攻撃意図は様々であり、また攻撃者が用いる攻撃ツールと呼ばれるソフトウエアも様々である。そのなかでも、コンピュータウイルス等のマルウエアに感染した複数のクライアントコンピュータが、特定のサーバーに対して短時間に大量のアクセス行う分散型サービス不能攻撃（Distributed Denial of Service attack、以下ＤＤｏＳ攻撃と略記）がある。標的となったサーバー（以降では、標的サーバー）に対する攻撃者からのＤＤｏＳ攻撃により、攻撃者以外の利用者への当該サーバーからの正常なサービスを実施できなくなる。
【０００３】
例えば、ウェブ（Ｗｅｂ）サーバーに対する攻撃としては、（１）ＴＣＰ接続の呼を意味するｓｙｎパケットを攻撃先に大量に送付することで、攻撃先のサーバーにＴＣＰ接続の準備処理を大量に促すシンフラッド（syn flood）攻撃、（２）大量のＴＣＰ接続のみを行い、実際には何も通信を行わないことで、攻撃先のサーバーにそのＴＣＰ接続を維持するだけで資源の浪費をさせるＴＣＰコネクションフラッド（TCP Connection flood）攻撃、（３）さらに、実際のＨＴＴＰ  ＧＥＴコマンドを送付することで、Ｗｅｂサーバーにコンテンツを返答させる処理を大量に実行させることで、サーバー自身への負荷に加えて、サーバーが接続されている回線のインターネット側に向かう方向の帯域を無駄に消費させるＨＴＴＰゲットフラッド（HTTP GET flood）攻撃などが知られている。また、実際の通信とは無関係な、不要なＩＰパケットを大量に作成し、特定の攻撃先に大量のＩＰパケットを到達させることで攻撃先のインターネット接続回線を埋めてしまうＵＤＰフラッド（UDP flood）攻撃、またはＩＣＭＰフラッド（ICMP flood）攻撃なども知られている。
【０００４】
また、ボットと呼ばれるマルウエアではボットが仕込まれたクライアントコンピュータを攻撃者が遠隔から制御することが可能となる。このため、攻撃者が攻撃対象サーバーを直接攻撃する必要はなく、攻撃者の配下となったボットは仕込まれた複数のクライアントコンピュータに対して攻撃指令を出すだけでよい。複数のボットに対して特定の時刻に特定のサーバーに一斉に攻撃するように指令する事が可能なため、例えば、ある時刻にある組織のサーバーを攻撃し、その１分後に前記とは別の組織に属する別のサーバーを攻撃するように指令することも可能である。
【０００５】
一般に情報通信では、国際標準化機構（ＩＳＯ）により制定された、異機種間のデータ通信を実現するためのネットワーク構造の設計方針（以下ＯＳＩと略記）に基づき、通信機器の持つべき機能を階層構造に分割したモデルに準拠して機能を実現している場合が多い。ＯＳＩでは通信機能を下層から順に、物理層（Ｌ１）、データリンク層（Ｌ２）、ネットワーク層（Ｌ３）、トランスポート層（Ｌ４）、セッション層（Ｌ５）、プレゼンテーション層（Ｌ６）、アプリケーション層（Ｌ７）の７階層に分け、インターネットではこのうち下位から２層目のデータリンク層にはイーサネット（登録商標）が、３層目のネットワーク層はインターネットプロトコル（以下ＩＰと略記）がインターネットで用いられる場合が多い。インターネットでは送信元から受信先まで信号を中継するためのスイッチング手段としてデータリンク層ではＭＡＣ(Media Access Control address)アドレスと呼ばれるアドレスを参照してスイッチングを行っているのに対して、ネットワーク層ではＩＰアドレスを参照してスイッチングを行っている。すなわちスイッチング手段では到来したパケット信号の先頭部であるヘッダに含まれる宛先アドレスを、到来したパケット毎に読み取り、予め定められた経路表を参照して当該パケット信号の転送先を決定している。ネットワーク層のスイッチング手段はルーターと呼ばれ、前記の経路表はルーティングテーブルとも呼ばれている。ルーターではこの転送操作を到来する全てのパケットに対して実施しているため、例えば攻撃者からのＤＤｏＳ攻撃のように一度に大量のアクセスがスイッチング手段に到来すると上記の処理が間に合わなくなり、攻撃者以外の利用者からの信号が欠落することもありうる。
【０００６】
一般に、攻撃の標的となったサーバー側では攻撃の形態に応じた防御方法の提案がなされている。しかし、ＤＤｏＳ攻撃では攻撃に向けられるトラヒック発生能力が大きく、そのためサーバーが接続した回線の帯域幅よりも大きな攻撃トラヒックが発生する場合もしばしば発生する。その場合、インターネットから該サーバーへの信号の多くはパケットの衝突により欠落するため、攻撃者以外の利用者からの信号は当該サーバーへはほとんど到達しなくなる。すなわち、大量の攻撃トラヒックは、攻撃元から標的サーバーまでの通信回線で輻輳を引き起こし、攻撃者以外の利用者による円滑な通信の実現を妨げるために使われる。ＤＤｏＳ攻撃の対抗手段として、トラヒック分析装置や分析方法（例えば、特許文献１参照）などの対策があるが、当該装置や分析方法をＤＤｏＳ攻撃対抗手段として用いる場合には、回線の帯域幅が当該ＤＤｏＳ攻撃により発生するトラヒックの帯域幅よりも広い地点に設置・適用する必要がある。このようにＤＤｏＳ攻撃に対する防御は、標的サーバー単独では、または、サーバーの直近に設置した対抗手段のみでは、実現が困難である。
【０００７】
このような攻撃に対して、インターネットサービスを提供しているインターネットサービスプロバイダ（以下ＩＳＰと略記）などでは、インターネットの信号伝送経路を変更することで対処することがある。ＩＳＰが保有・運用・管理する自律したネットワークであるＡＳ（Autonomous System：自律システム）では、他のＩＳＰが保有・運用・管理するＡＳとの間で、ＢＧＰ（Border Gateway Protocol）信号等を隣接するＡＳと相互に送信し、経路の設定と変更情報の交換を行っている（例えば、非特許文献１参照）。これらＢＧＰ信号等を用いて伝送経路の変更を全ＩＳＰに周知することにより、インターネット全体に、ルーティングする経路情報を行き渡らせることができる。ＡＳでは隣接したＡＳから入力されたパケット信号のうち、自身の加入者宛以外の信号は、それまで受信した伝送経路情報を用いてあらかじめ作成したルーティングテーブルに従って、別の隣接するＡＳに対して転送している。そこで攻撃を検知した場合に、標的サーバーのＩＰアドレスについて、ＢＧＰルーターの次の転送先であるＮｅｘｔｈｏｐが廃棄を示すＮｕｌｌに向けた経路をＢＧＰで広報することにより、この広報を受信しているＢＧＰルーターに到達し攻撃対象となった標的サーバー向けのパケット信号を、全て廃棄させることができる。このため、攻撃に伴う膨大なトラヒックがインターネット全体に流れることを防ぎ、標的サーバーに攻撃信号が到達する事を減らすことが出来る。この方法を、ここでは、ＲＴＢＨ（Remotely triggered black hole filtering）と呼ぶ。
【０００８】
ＲＴＢＨによってインターネットの輻輳は免れるが、標的サーバーに向かう正常な利用者からのパケットも廃棄されるので、サーバーによるサービスを継続することができない。そこで、攻撃者と標的サーバーとの間に、標的サーバーの代理となるサーバーを挿入することにより、標的サーバーの正常なサービスの継続を可能とする方法が考えられる。具体的には、攻撃トラヒックや過大トラヒックのような不正なトラヒックを推定し（例えば、特許文献１参照）、攻撃信号のみを削除し攻撃信号以外の信号を通過させる防御装置（例えば、特許文献２および特許文献３参照）を標的サーバーの代理サーバーとしてインターネット内に配置し、標的サーバー宛のパケットを防御装置に導くとともに防御装置の出力を標的サーバーに導くことにより、耐攻撃性とサービスの継続性の両立を図ることが考えられる。防御装置では、Syn Flood攻撃に対してはシンクッキー（Syn Cookie）やシンキャッシュ（Syn Cache）（例えば、非特許文献２参照）を用いたり、リロード攻撃やConnection Flood攻撃に対してはＩＰアドレス毎に成立するＴＣＰ（Transmission Control Protocol）の接続（Connection）数に上限を設け、上限以上のＴＣＰ接続要求を受け付けなくしたりすることで対処可能である。なお、防御装置の構成は通常のサーバー装置の構成とは異なり、防御のための専用のハードウエア構成を有しているため攻撃信号を処理しきれなくなることはほとんどない。標的サーバー宛であったパケット信号を防御装置に導くことは、標的サーバー向けに設定されていたそれまでの経路を防御装置向けの経路に変更する経路情報を、ＢＧＰにより広報することで実現できる。
【０００９】
一方、防御装置の出力信号を標的サーバーに導くためには、標的サーバーのＩＰアドレスを用いることはできない。標的サーバーのＩＰアドレスを用いると、ＢＧＰの設定により防御装置からの出力は再び防御装置に集められる事となるためである。そこで、防御装置から標的サーバーの直近のルーター（標的サーバーのデフォルトゲートウェイルーター）まで、標的サーバー宛の信号をカプセル化して伝送する。カプセルの外側は防御装置から直近のルーター宛の信号となるため、標的サーバーまでの経路がＢＧＰにより防御装置の向けに設定されたことによる影響を受けない。一方、標的サーバーのデフォルトゲートウェイルーターと標的サーバーとの間ではルーティングを行う必要が無いため、ＢＧＰの影響を受けない。そこでカプセル化された標的サーバー宛の信号を、標的サーバーのデフォルトゲートウェイルーターでカプセルを解除して標的サーバーに供給する事ができる。これにより攻撃者と標的サーバーの間に標的サーバーの代理サーバーとして防御装置を挿入する事が、防御装置側の設定を一切変更することなく可能となる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００８−１３６０１２号公報
【特許文献２】特開２００８−２５２２２１号公報
【特許文献３】特開２００６−３４５０１４号公報
【非特許文献】
【００１１】
【非特許文献１】「インターネットルーティング入門」友部、池尻、小早川著、２００１年９月１８日初版発行、翔泳社
【非特許文献２】「分散Ｓｙｎ  Ｆｌｏｏｄ攻撃防御のための構築可能なオーバーレイネットワーク」、２００４年電子情報通信学会技術研究報告、Ｖｏｌ．１０４，Ｎｏ．５１３（２００４１２０９）ｐｐ．１３−１８
【発明の概要】
【発明が解決しようとする課題】
【００１２】
上記の様に、攻撃者と標的サーバーとの間に標的サーバーの代理サーバーとして防御装置を挿入することにより標的サーバーのサービスを継続できるようにすることができる。
【００１３】
しかし、攻撃者の直近のルーター（攻撃者のデフォルトゲートウェイルーター）が標的サーバーのデフォルトゲートウェイルーターと同一の場合、すなわち攻撃者が標的サーバーと同一のサブネット内に存在する場合、上記のように防御装置をサブネット外に設置した防御方法は有効ではない。それは、攻撃者がデフォルトゲートウェイルーターを経ることなく直接標的サーバーを攻撃することができるためである。
【００１４】
攻撃者は、自身のＩＰアドレスと標的サーバーのＩＰアドレスとが近い場合、標的サーバーが同一のサブネット内に存在すると推定できる。この場合、攻撃を受けた標的サーバーが、攻撃を回避する目的で単にＩＰアドレスを変更しただけでは、攻撃者は標的となったサーバーのＭＡＣアドレスから標的サーバーの変更先ＩＰアドレスを調べられるので攻撃を回避することは困難である。サーバーの能力に対する、攻撃者が有するクライアントＰＣ（パーソナルコンピュータ）またはボットとなったＰＣの能力の差は小さいため、わずか数台のＰＣからのＤＤｏＳ攻撃で、サーバーのサービスを完全に停止することが可能である。このため、防御は完全でなければならない。このように、攻撃者が標的サーバーと同一のサブネット内に存在する場合は、上記の方法で解決できない問題である。
【００１５】
この発明は上記に鑑み提案されたもので、攻撃者が標的サーバーと同一のサブネット内に存在する場合であっても、攻撃者から標的サーバーを保護し攻撃者以外に対するサービスの継続も可能するとともに、攻撃によるサービス停止を防止ことができるサービス保護方式を提供することを目的とする。
【課題を解決するための手段】
【００１６】
上記目的を達成するために、本発明のサービス保護方式の第１の要件は、転送先変更手段を備えた第１ネットワークと、該転送先変更手段に接続されたルーターと、該ルーターを介して第１ネットワークに接続された第２ネットワークとを備えるネットワークにおいて、
第１ネットワークは、上記転送先変更手段に接続された防御手段を備え、
第２ネットワークは、上記ルーターのルーティング情報を変更する接続手段と、第１ネットワークあるいは第２ネットワークに接続された利用者に情報提供サービスを行い上記接続手段に接続されたサービス提供手段と、第１ネットワークあるいは第２ネットワークに接続され分散型サービス不能攻撃を検出する攻撃検知手段と、上記攻撃検知手段の出力を受けて防御体制を制御する防御制御手段と、を備え、
上記サービス提供手段が分散型サービス不能攻撃を受けた際に、上記防御制御手段からの制御に従って、上記転送先変更手段は攻撃信号を上記防御手段に集約し、上記防御手段は、攻撃信号を削除しそれ以外の信号をサービス提供手段に供することである。
【００１７】
また、第２の要件は、第１の要件に加えて、上記ルーターは、上記接続手段に接続されたデータリンク層スイッチング手段と、上記データリンク層スイッチング手段と上記転送先変更手段とに接続されたネットワーク層スイッチング手段とを備え、
上記サービス提供手段に接続された、上記接続手段のデータリンク層とネットワーク層のアドレスは変更可能であり、
上記転送先変更手段は、上記ネットワーク層スイッチング手段に接続され情報伝送経路の変更可能な情報伝送手段と、前記情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段とを備え、
該情報伝送手段は、攻撃者と利用者からの上記サービス提供手段への信号を、上記経路変更指令発信手段からの指令に従って上記防御手段に集約し、
上記防御手段は、上記情報伝送手段に接続されて、攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するものであって、該防御手段にて攻撃信号を削除し、それ以外の信号を上記接続手段のアドレス変更に従って上記サービス提供手段に供することができるものであり、
上記データリンク層スイッチング手段または上記ネットワーク層スイッチング手段に接続された攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するおとり手段を備え、
上記防御制御手段は、前記攻撃検知信号を受けて、前記防御手段の動作を開始させる信号、並びに前記おとり手段の動作を開始させる信号、並びに前記データリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの変更動作を開始させる信号、並びに前記サービス提供手段への信号が前記防御手段に集約するように前記情報伝送経路の変更可能な情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段の動作を開始させる信号を、発信することである。
【００１８】
また、第３の要件は、第１の要件に加えて、上記ルーターは、上記接続手段に接続されたデータリンク層スイッチング手段と、上記データリンク層スイッチング手段と上記転送先変更手段とに接続されたネットワーク層スイッチング手段と、を備え、
上記接続手段は、上記サービス提供手段に接続され、
上記転送先変更手段は、上記ネットワーク層スイッチング手段に接続され情報伝送経路の変更可能な情報伝送手段と、前記情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段と、を備え、
上記情報伝送手段は、攻撃者と利用者からの上記サービス提供手段への信号を、上記経路変更指令発信手段からの指令に従って上記防御手段に集約し、
上記データリンク層スイッチング手段は、上記接続手段に接続する接続先ポートを仮想ＬＡＮにより動的に変更可能なものであり、
上記ネットワーク層スイッチング手段は、上記データリンク層スイッチング手段からの信号をカプセル化する機能と、カプセル化されて入力された前記データリンク層スイッチング手段への信号のカプセル化を解消して、前記データリンク層スイッチング手段に仮想ＬＡＮにより提供する機能と、を有し、
上記防御手段は、上記情報伝送手段に接続され攻撃者と利用者からの上記サービス提供手段への信号を上記サービス提供手段の代理となって送受信するものであり、上記の攻撃信号以外の信号を前記サービス提供手段に上記ネットワーク層スイッチング手段におけるネットワーク層アドレスを宛先としてカプセル化して送信し、前記ネットワーク層スイッチング手段から受けたカプセル化された信号については、カプセル化を解消して上記情報伝送手段に送出する事で上記攻撃者または上記利用者に送信するものであり、
上記防御制御手段は、上記攻撃検知信号を受けて、上記防御手段の動作を開始させる信号、並びに上記サービス提供手段が上記ネットワーク層スイッチング手段を経て前記防御手段との間で行う相互の通信への該通信外の信号の混入を防止すべく前記データリンク層スイッチング手段の接続先ポートを変更する信号、並びに前記サービス提供手段への信号が前記防御手段に集約すべく前記情報伝送経路の変更可能な情報伝送手段の情報伝送経路の変更指令を発信する経路変更指令発信手段の動作を開始させる信号、を発信するものであることが第３の要件である。
【００１９】
また、第４の要件は、第１の要件に加えて、上記ルーターは、上記接続手段に接続されたデータリンク層スイッチング手段と、上記データリンク層スイッチング手段と上記転送先変更手段とに接続されたネットワーク層スイッチング手段とを備え、
上記接続手段は、上記サービス提供手段に接続され、上記ルーターのデータリンク層とネットワーク層のアドレスの変更可能な接続手段であり、
上記転送先変更手段は、上記ネットワーク層スイッチング手段に接続された情報伝送手段と、ネットワーク層アドレスを統一資源位置指定子で検索可能なドメイン名システムと、前記接続手段のネットワーク層のアドレスであるＩＰアドレスを上記防御手段のＩＰアドレスに書き換える登録アドレス変更手段と、を備え、
該情報伝送手段は、攻撃者と利用者からの上記サービス提供手段への信号を、上記接続手段と防御手段のＩＰアドレス変更に従って、上記防御手段に供することができるものであり、
上記防御手段は、上記情報伝送手段に接続され、攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するものであり、
上記データリンク層スイッチング手段または上記ネットワーク層スイッチング手段に接続された攻撃者と利用者からの上記サービス提供手段への信号を、上記サービス提供手段の代理となって送受信するおとり手段を備え、
上記防御制御手段は、前記攻撃検知信号を受けて、前記防御手段の動作を開始させる信号、並びに前記おとり手段の動作を開始させる信号、並びに前記データリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの変更動作を開始させる信号、並びに前記登録アドレス変更手段の動作を開始させる信号を、発信するものであることが第４の要件である。
【００２０】
また、第５の要件は、第２の要件に加えて、上記の情報伝送経路の変更可能な情報伝送手段に接続された回復制御手段を備え、攻撃対象となったサービス提供手段の正常なサービス提供動作が可能となる所定の閾値以下に攻撃が低下したことを攻撃検知手段の情報を集約した回復制御手段が検知したとき、情報伝送経路の変更可能な情報伝送手段の状態、並びに防御手段の状態、並びにデータリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの状態、並びにおとり手段の状態を、攻撃検知手段が攻撃を検知する以前の状態に戻す攻撃終了信号を、上記回復制御手段が発信するものである。
【００２１】
また、第６の要件は、第３の要件に加えて、上記の情報伝送経路の変更可能な情報伝送手段に接続された回復制御手段を備え、攻撃対象となったサービス提供手段の正常なサービス提供動作が可能となる所定の閾値以下に攻撃が低下したことを攻撃検知手段の情報を集約した回復制御手段が検知したとき、情報伝送経路の変更可能な情報伝送手段の状態、並びに防御手段の状態、並びに接続先ポートを仮想ＬＡＮにより動的に変更可能なデータリンク層スイッチング手段の状態、並びに入力信号をカプセル化して出力する機能を有するネットワーク層スイッチング手段の状態を、攻撃検知手段が攻撃を検知する以前の状態に戻す攻撃終了信号を上記回復制御手段が発信するものである。
【００２２】
また、第７の要件は、第４の要件に加えて、上記の情報伝送手段に接続された回復制御手段を備え、攻撃対象となったサービス提供手段の正常なサービス提供動作が可能となる所定の閾値以下に攻撃が低下したことを攻撃検知手段の情報を集約した回復制御手段が検知したとき、登録アドレス変更手段が変更するドメイン名システムに登録されデータリンク層とネットワーク層のアドレスの変更可能な接続手段のネットワーク層アドレスの状態、並びに防御手段の状態、並びにデータリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスの状態、並びにおとり手段の状態を、攻撃検知手段が攻撃を検知する以前の状態に戻す攻撃終了信号を上記回復制御手段が発信するものである。
【００２３】
また、第８の要件は第２、第４、第５、あるいは第７の要件に加えて、単数または複数の攻撃検知手段または防御手段またはデータリンク層とネットワーク層のアドレスの変更可能な接続手段が攻撃検知信号を受信したとき、
単数または複数の攻撃検知手段または防御手段またはデータリンク層とネットワーク層のアドレスの変更可能な接続手段が、サービス提供手段宛に信号を送信しつつある攻撃者と利用者のネットワーク層アドレスを割り出しておとり手段に通知し、該おとり手段がインターネットプロトコルにおけるインターネットコントロールメッセージプロトコルのリダイレクト信号を攻撃者と利用者に対して送出して、前記攻撃者と利用者が用いるルーティングテーブルを書き換えることで、前記攻撃者と利用者からの信号が前記サービス提供手段に直接到達しないようにすることを、該おとり手段が攻撃終了信号を受信するまで行うことである。
【００２４】
また、第９の要件は、第２、第４、第５あるいは第７の要件に加えて、サービス提供手段に接続されたデータリンク層とネットワーク層のアドレスの変更可能な接続手段の両アドレスを上記おとり手段が攻撃検知信号を受信する以前に上記おとり手段があらかじめ記憶しておき、前記おとり手段が攻撃検知信号を受信したとき、前記記憶した両アドレスを送信元アドレスとして用いて信号を送出することで、前期攻撃者と利用者からの信号が前記サービス提供手段に直接到達しないようにすることを該おとり手段が攻撃終了信号を受信するまで行うことである。
【００２５】
また、第１０の要件は、第２、第３、第４、第５あるいは第７から第９のいずれかの要件に加えて、上記攻撃者と利用者が有するルーティングテーブルを書き換えることで上記攻撃者と利用者からの信号をそれぞれ単数または複数のおとり手段または防御手段のいずれかに集約し、この集約した信号を前記それぞれ単数または複数のおとり手段または防御手段のいずれかにて無害化し前記サービス提供手段に供することを、前記おとり手段が攻撃終了信号を受信するまで行うことである。
【００２６】
また、第１１の要件は、第２、第４、第５あるいは第７から第９のいずれかの要件に加えて、アドレス解決信号または逆アドレス解決信号を送出することにより、上記攻撃者と利用者からの信号をそれぞれ単数または複数のおとり手段または防御手段のいずれかに集約し、前記集約した信号を前記それぞれ単数または複数のおとり手段または防御手段のいずれかにて無害化し前記サービス提供手段に供することを、前記おとり手段が攻撃終了信号を受信するまで行うことである。
【００２７】
また、第１２の要件は、データリンク層とネットワーク層のアドレスの変更可能な接続手段の変更予定アドレスを、予めそれぞれ単数または複数の防御手段とおとり手段に記憶させておくことを特徴とし、上記第２、第４、第５あるいは第７から第１１のいずれか１つの要件によりサービスの保護を行うことである。
【００２８】
また、第１３の要件は、データリンク層とネットワーク層のアドレスの変更可能な接続手段の変更アドレスを、データリンク層とネットワーク層のアドレスの変更可能な接続手段が攻撃検知信号を受信した後に、予め定めた手順でそれぞれ単数または複数の防御手段とおとり手段に通知することを特徴とし、上記第２、第４、第５、あるいは第７から第１１のいずれか１つの要件によりサービスの保護を行うことである。
【００２９】
また、第１４の要件は、単数または複数の攻撃検知手段にて異なる複数のサービス提供手段への攻撃を検知したとき、前記異なる複数のサービス提供手段の夫々について、統一資源位置指定子からネットワーク層アドレスを検索可能な上記ドメイン名システムに登録された上記データリンク層とネットワーク層のアドレスの変更可能な接続手段のネットワーク層アドレスと上記防御手段のネットワーク層アドレスとを、夫々隣接したアドレスにすることを特徴とし、本発明の第４あるいは第７から第１３のいずれか１つの要件によりサービスの保護を行うことである。
【発明の効果】
【００３０】
従来までは標的となったサーバーと同一のサブネット内に存在する攻撃者からＤＤｏＳ攻撃を受けた場合の防御を標的となったサーバーのサービスを停止せずに行う事が不可能であったものが本発明により可能となった。また本発明における防御能力は、専ら防御手段及びおとり手段の能力と、攻撃者から防御手段までのネットワーク帯域幅で決定される。このため当該部分を想定される攻撃の程度に応じて強化することにより、事実上ＤＤｏＳ攻撃に対する防御能力に上限は存在しない。
【図面の簡単な説明】
【００３１】
【図１】本発明の基本形態を示すブロック図である。
【図２】本発明の第１の実施形態を示すブロック図である。
【図３】本発明の第２の実施形態を示すブロック図である。
【図４】本発明の第３の実施形態を示すブロック図である。
【図５】本発明の第４の実施形態を示すブロック図である。
【図６】本発明の第５の実施形態を示すブロック図である。
【図７】本発明の第６の実施形態を示すブロック図である。
【発明を実施するための最良の形態】
【００３２】
以下に、この発明の実施の形態を図面に基づいて詳細に説明する。以下の説明においては、同じ機能あるいは類似の機能をもった装置に、特別な理由がない場合には、同じ符号を用いるものとする。
【実施例１】
【００３３】
先ず本発明の基本形態を図１に示す。これは、転送先変更手段５０を備えた第１ネットワークと、該転送先変更手段５０に接続されたルーター６０と、該ルーター６０を介して第１ネットワークに接続された第２ネットワークとを備えるネットワークに関するものである。第１ネットワークは、上記転送先変更手段５０に接続された防御手段１０を備える。また、第２ネットワークは、分散型サービス不能攻撃を検出する攻撃検知手段８と、上記攻撃検知手段８の出力を受けて、防御体制を制御する防御制御手段９と、上記ルーター６０のルーティング情報を変更する接続手段２０と、上記接続手段２０に接続され、第１ネットワークあるいは第２ネットワークに接続された利用者に情報提供サービスを行うサービス提供手段１と、を備える。上記サービス提供手段１が分散型サービス不能攻撃を受けた際に、上記防御制御手段９からの制御に従って、上記接続手段２０は攻撃信号を上記防御手段１０に集約し、上記防御手段１０は、攻撃信号を削除しそれ以外の信号をサービス提供手段１に供するものである、
【実施例２】
【００３４】
先ず第１の実施形態を、図２を用いて説明する。これは、インターネットに本発明を適用したもので、攻撃者が標的サーバーと同一のサブネット内に存在する場合であっても、攻撃者から標的サーバーを保護するとともに攻撃者以外に対するサービスの継続も可能することができるサービス保護方式の構成を示すブロック図である。サービス提供手段１は保護すべき対象である。単数または複数の攻撃者Ａ２は、情報伝送経路の変更可能な情報伝送手段４を経由して、サービス提供手段１に攻撃を仕掛けるものである。利用者Ｂ３は、情報伝送経路の変更可能な情報伝送手段４を経由してサービス提供手段１のサービスを受けるものである。情報伝送経路の変更可能な情報伝送手段４は、攻撃者Ａ２および利用者Ｂ３からの、サービス提供手段１宛の信号とその逆向きの伝送経路の信号を、中継して伝送するものである。
【００３５】
ネットワーク層スイッチング手段５は、当該手段のいずれかの通信ポートに到達した信号を他のいずれかのポートに中継する操作を、当該手段が有するルーティングテーブルにしたがって実施するものである。このネットワーク層スイッチング手段５は、サービス提供手段１に対してネットワーク上で最も近いルーターであるデフォルトゲートウェイルーターとなっている。データリンク層スイッチング手段６は、ポート毎に受信した信号のＭＡＣアドレスを逐次記憶しておくことにより、次に受信した信号の送り先のポートを決定する能力を有する。７はデータリンク層とネットワーク層のアドレスの変更可能な接続手段である。攻撃検知手段８は、攻撃者からのSyn flood攻撃やConnection flood攻撃などを検知できるものである。なお、図２の例では、攻撃検知手段８は、データリンク層とネットワーク層のアドレスの変更可能な接続手段７（以降は接続手段７と略記）に接続されているが、攻撃検知手段８の設置位置は、これに限らず攻撃検知が可能な任意の位置に単数または複数で設置可能である。また、防御制御手段９、防御手段１０、および経路変更指令発信手段１１を備える。攻撃者Ｃ１２と利用者Ｄ１３は、サービス提供手段１と同一サブネット内に存在するものとする。また、おとり手段１４も上記と同一サブネット内に存在する。
【００３６】
次に、動作について説明する。攻撃者Ａ２または攻撃者Ｃ１２からサービス提供手段１への攻撃が始まった場合、その攻撃に特有の信号は、単数又は複数の攻撃検知手段８にて検知される。
【００３７】
防御制御手段９は、攻撃検知手段８からの信号を受け、サービス提供手段１にとって防御が必要なある閾値よりも攻撃が激しいと判断したとき、
１）防御手段１０の動作を開始させる信号と、
２）おとり手段１４の動作を開始させる信号と、
３）データリンク層とネットワーク層のアドレスの変更可能な接続手段７の両アドレスの変更動作を開始させる信号と、
４）サービス提供手段１への信号が防御手段１０に集約するように、情報伝送経路の変更可能な情報伝送手段４の情報伝送経路の変更指令を発信する経路変更指令発信手段１１の動作を開始させる信号と、を発信する。
【００３８】
経路変更指令発信手段１１では、防御制御手段９から動作開始信号を受けたときには、ＢＧＰ信号などを用いて、情報伝送経路の変更可能な情報伝送手段４の経路を変更し、サービス提供手段１宛の信号が、防御手段１０に集約するようにする。
【００３９】
データリンク層とネットワーク層のアドレスの変更可能な接続手段７では、防御制御手段９から両アドレスの変更動作開始信号を受け、両アドレスを変更する。前記の変更したネットワーク層のアドレスは、防御手段１０との間で予め定めておくか、若しくは、そのアドレスが変更された後に防御手段１０に通知される。アドレス変更後に、防御手段１０とサービス提供手段１との間の通信を確立させる。
【００４０】
イーサネット（登録商標）をデータリンク層に用いた場合、データリンク層アドレスとしてＭＡＣアドレスが用いられる。データリンク層スイッチング手段（以下単に「スイッチ」と略記）６は、そのスイッチング機能を実現するため、その入出力端子であるポートに届いた信号の送信元ＭＡＣのアドレスをポート毎に表（スイッチングテーブル）として記憶しているか、または何等かの記憶手段を有している。すなわちスイッチは、そのポートに繋がっているホストのＭＡＣアドレスを、信号を受信しながら学習している。そして、スイッチが受信した信号の宛先のＭＡＣアドレスが、この表に記載されている場合には、その表のあるポートに信号を転送することにより、必要なポートにのみ信号を転送する仕組みとなっている。
【００４１】
データリンク層スイッチング手段６は、接続手段７のＭＡＣアドレスを記憶している。このため、たとえ接続手段７の両アドレスを変更したとしても、その接続手段７に接続されたデータリンク層スイッチング手段６のポートには、依然として変更前の両アドレスで攻撃者Ｃ１２からの攻撃信号が到来し、データリンク層スイッチング手段６と接続手段７との間の接続回線には輻輳を生じる。そこで、攻撃検知手段８が攻撃検知信号を発信する前に、接続手段７が利用していた両アドレスを用いて、おとり手段１４がデータリンク層スイッチング手段６に信号を発信することによりデータリンク層スイッチング手段６の記憶を更新し、攻撃者Ｃ１２の信号をおとり手段１４に向かわせることにより、サービス提供手段１に至る回線の輻輳を回避する。
【００４２】
防御手段１０は、サービス提供手段１の代理サーバーとなって攻撃者Ａ２および利用者Ｂ３の信号を受け、攻撃信号を削除しそれ以外の信号をサービス提供手段１に供することによりサービスの継続を可能とするものである。
【００４３】
なお一般には、ＭＡＣアドレスを変更する必要がないため、ＭＡＣアドレスはＲＯＭなど書き換えできないデバイスに記載されている場合が多い。しかし、書き換え可能なデバイスに記録すればＭＡＣアドレスの変更は容易に可能である。
【００４４】
また、接続手段７とデータリンク層スイッチング手段６との間の接続に、ＰＰＰｏＥ（Point-to-point protocol over Ethernet（登録商標））を用い、インターネットサービスプロバイダを経由してインターネット接続した場合等では、ＭＡＣアドレスの変更に際して、ネットワークサービスプロバイダからユーザー認証を求められる場合も想定される。この場合は、認証を完了すればデータリンク層スイッチング手段６への接続が可能である。
【実施例３】
【００４５】
第２の実施形態を図３を参照して説明する。この実施例は、インターネットに本発明を適用したものである。第１の実施例に比較して、防御手段１０に信号のカプセル化機能、ネットワーク層スイッチング手段５にカプセル解消機能と仮想ＬＡＮ（Local Area Network）機能を有し、データリンク層スイッチング手段６に仮想ＬＡＮ機能を新たに有するものを用いる。また、接続手段２０にはデータリンク層とネットワーク層のアドレスの変更を要しない。またおとり手段１４を要しない。
【００４６】
次に第２の実施形態の動作について説明する。第１の実施例では、サービス提供手段１と同一サブネットに存在する攻撃者Ｃ１２からの攻撃を防ぐため、接続手段２０にはデータリンク層とネットワーク層のアドレスの変更可能な機能とおとり手段１４を要した。しかし、第２の実施形態ではこれに代えて、（１）データリンク層スイッチング手段６の仮想ＬＡＮ機能と、（２）ネットワーク層スイッチング手段５のカプセル解消機能と仮想ＬＡＮ機能と、（３）防御手段１０の信号のカプセル化機能により攻撃者Ｃ１２からの攻撃を防ぐ。
【００４７】
攻撃者Ａ１からの攻撃を防御手段１０に集約するまでは第１の実施形態の動作と同じである。防御手段１０では、防御手段１０に入力された攻撃信号以外の信号をサービス提供手段１に送るため、一旦、接続手段２０宛の信号を作成し、作成した信号をさらにネットワーク層スイッチング手段５宛の信号としてカプセル化する。ネットワーク層スイッチング手段５に届いた防御手段１０からのカプセル化された信号は、ネットワーク層スイッチング手段５によりカプセル化を解消されるとともに、カプセル化を解消された信号がその他の信号と混ざらないように、仮想ＬＡＮにてデータリンク層スイッチング手段６に伝送される。データリンク層スイッチング手段６から接続手段２０までは、ポート仮想ＬＡＮにて伝送することにより、サービス提供手段１には、防御手段１０を経由しない信号は到達しないようにすることができる。このため、攻撃者Ｃ１２の攻撃信号はサービス提供手段１には到達せず、サービスの継続が可能となる。また、このような理由により、第１の実施形態で必要であったおとり手段１４は第２の実施形態では不要である。
【００４８】
なお、前述のようにＲＴＢＨでは、ＢＧＰルーターの次の転送先であるＮｅｘｔｈｏｐをＮｕｌｌに向けるような経路情報をＢＧＰで広報していたが、転送先をＮｕｌｌではなく、情報伝送経路の変更可能な情報伝送手段に接続されて設置された防御手段宛に向けるような経路情報をＢＧＰで広報ことにより、サービス提供手段宛の信号を防御手段に集約する事ができる。インターネット上にはＢＧＰルーターは一般に複数存在するので、その各々のＢＧＰルーターに夫々防御手段を直結してサービス提供手段宛の信号から攻撃信号のみを削除するか、若しくは複数のＢＧＰルーターからのサービス提供手段宛の信号を適宜１個の防御手段に集約して攻撃信号のみを削除することも可能である。
【００４９】
以上では経路情報の広報についてＢＧＰを使って説明したが、それはＡＳ間に亙って経路情報を広報することが可能であるためであって、もしＡＳ間に亙ってＢＧＰとは異なる別の広報手段を用いることができればＢＧＰ以外の手段により経路の広報と広報された経路によるルーティングを行う事ができる。サービス提供手段１が属するＡＳにおいて、自ＡＳ外の攻撃者からの信号到達を許し、自ＡＳ内に存在する防御手段１０のみにより防御を行うのであれば、ＢＧＰを用いることなく、自ＡＳ内におけるスタティックルーティングを変更するかＡＳ内のルーティングプロトコルであるＩＧＰのルーティングテーブルを書き換えて経路を変更し、標的サーバー宛の信号を防御手段に導くことも出来る。
【実施例４】
【００５０】
第３の実施形態を図４を参照して説明する。この実施例では、インターネットに本発明を適用したもので、ドメイン名システム３０、登録アドレス変更手段３１、情報伝送手段３２を備えるものである。この実施例では、ＢＧＰなどを利用してインターネットの経路情報を操作することなく、サービス提供手段１の保護が実現できる点に特長がある。すなわちＢＧＰ経路情報を広報することが出来ない者であっても第３の実施形態を利用することができる。
【００５１】
次にこの実施例の動作について説明する。この実施例では、ドメイン名システム（以下「ＤＮＳ」と略記）３０に登録した接続手段７のＩＰアドレスを変更する事で、サービス提供手段１への攻撃信号を防御手段１０に向ける。その原理を以下に示す。
【００５２】
インターネットでは、インターネット上での資源の「位置」を統一的方法で識別する書式として、統一資源位置指定子であるＵＲＬ（Uniform Resource Locator）がある。ＵＲＬでは、スキームとよばれる文字列（mailto:やhttp:等）の後、スキームごとに定義された書式で識別方法を、例えばウェブ-サイトの位置の場合では http://www.nict.go.jpのように記している。このＵＲＬで記述されたインターネット上のホスト名とＩＰアドレスを対応させるシステムとして、ＤＮＳ３０が使われる。そこである特定のＵＲＬを有するホストにアクセスする場合には、まずＤＮＳ３０に当該ホストのＵＲＬからＩＰアドレスを問い合せ、アクセス先のＩＰアドレスを取得した後、取得したＩＰアドレスを用いて目的とするホストにアクセスすることができる。
【００５３】
そこで、本実施例では、攻撃者Ａ２と攻撃者Ｃ１２等からの攻撃信号を攻撃検知手段８にて検知し、攻撃検知手段８が発する攻撃検知信号を防御制御手段９が受け、防御制御手段９が登録アドレス変更手段３１の動作を開始するものとする。登録アドレス変更手段３１は、ＤＮＳ３０に記載された、接続手段７のネットワーク層のアドレスであるＩＰアドレスを、防御手段１０のＩＰアドレスに書き換える。これ以降、サービス提供手段１にアクセスしようとして、接続手段７のＵＲＬを、攻撃者Ａ２、利用者Ｂ３、攻撃者Ｃ１２、利用者Ｄ１３がＤＮＳ３０に問い合せた時、防御手段１０のＩＰアドレスが返ってくる。それ以降は、防御手段１０を経由して、サービス提供手段１のサービスを受けることとなる。ここで、夫々異なるＩＰアドレスを有する防御手段１０が複数ある場合には、ＤＮＳ３０に登録されるＩＰアドレスを、時間とともにそれらのＩＰアドレスに順次切り替える操作を行うことにより、つまり所謂ＤＮＳラウンドロビン動作とすることにより、防御手段１０に係る攻撃による負荷は、複数の防御手段１０に分散することができる。このような操作により、防御手段１０までは攻撃信号が含まれるためそのトラヒック量は大きいが、防御手段１０は攻撃信号のみを削除しそれ以外の信号を通過させるため、防御手段１０からサービス提供手段１へ向かうトラヒックは減少し、サービス提供手段１ではサービス提供を継続して実施できる。
【００５４】
一方、攻撃者Ａ１および攻撃者Ｃ１２等は、ＤＮＳ３０への問い合せにより攻撃対象であるサービス提供手段１のＵＲＬに対応するＩＰアドレスが変更されたことを知り、変更後のＩＰアドレスが防御手段１０のＩＰアドレスである可能性があることを知る。そのため攻撃者Ａ２および攻撃者Ｃ１２等は、接続手段７のアドレスに向かって攻撃を行う可能性がある。攻撃者Ｃ１２は、接続手段７と同一のサブネットに存在するため、単に接続手段７のネットワーク層アドレスすなわちＩＰアドレスを変更しても、データリンク層アドレスすなわちＭＡＣアドレスを変更しなければ回避できない。
【００５５】
そこで、本実施形態では、攻撃者Ａ２と攻撃者Ｃ１２等からの攻撃信号を攻撃検知手段８にて検知し、攻撃検知手段８が発する攻撃検知信号を防御制御手段９が受け、防御制御手段９が接続手段７の両アドレスの変更を開始させる。しかし、データリンク層スイッチング手段６は接続手段７のＭＡＣアドレスを記憶している。このため、たとえ接続手段７の両アドレスを変更したとしても、接続手段７に接続されたデータリンク層スイッチング手段６のポートには依然として変更前の両アドレスで攻撃者Ｃ１２からの攻撃信号が到来し、接続手段７との間の接続回線には輻輳を生じる。
【００５６】
そこで、攻撃検知手段が攻撃検知信号を発信する前に接続手段７が利用していた両アドレスをおとり手段１４が用いて、データリンク層スイッチング手段６に信号を発信することにより、データリンク層スイッチング手段６の記憶を更新し、攻撃者Ｃ１２の信号をおとり手段１４に向かわせることにより、サービス提供手段１に至る回線の輻輳を回避する。
【００５７】
または、おとり手段１４あるいは防御制御手段９等がデータリンク層スイッチング手段６を直接制御し、攻撃検知手段８が攻撃検知信号を発信する前に、接続手段７が利用していた両アドレスを、おとり手段１４が接続されたデータリンク層スイッチング手段６のポート若しくは、データリンク層スイッチング手段７の信号廃棄用のポートにすることにより、攻撃者Ｃ１２からの攻撃信号がサービス提供手段１に到達しないようにすることもできる。これらにより、サービス提供手段１への攻撃者Ａ２、攻撃者Ｃ１２等からの攻撃を防ぎつつサービス提供を継続する事ができる。
【実施例５】
【００５８】
第４の実施形態を図５を参照して説明する。これは、インターネットに本発明を適用したものである。この実施例における動作は、実施例１の場合とほぼ同様であって、実施例１では、攻撃の検知から防御動作開始までがその所掌範囲であるのに対して、本実施例では、攻撃終了時の動作を規定している。
【００５９】
前述したようにボットと呼ばれるマルウエアでは、攻撃対象を任意に変更が可能であり、例えばある時刻にある組織のサーバーを攻撃し、その１分後に前記とは別の組織の別のサーバーを攻撃するように指令することも可能である。このため、たとえ上記の実施例１、２あるいは３の方法で攻撃を防ぎ、サービス提供手段１の業務の保護を確立したとしても、攻撃者はこれまで攻撃していたサービス提供手段１とは異なる別のサービス提供手段に対するサーバーへの攻撃を開始することがありうる。この場合、防御手段１０を、既に攻撃が中止されたサービス提供手段１の防御に当たらせておくのは資源の無駄となる。
【００６０】
このため、攻撃者Ａ２および攻撃者Ｃ１２等の攻撃対象サーバーの変化に迅速に対応して防御体制を解除し、資源の有効活用を図ることが望ましい。
【００６１】
図５の構成で、攻撃が所定の閾値以下に低下すると、攻撃対象となったサービス提供手段１は正常なサービス提供動作が可能になる。このように、所定の閾値以下に攻撃が低下したことを回復制御手段４０が攻撃検知手段８の情報を集約することで検知したとき、情報伝送経路の変更可能な情報伝送手段４の状態、防御手段１０の状態、データリンク層とネットワーク層のアドレスの変更可能な接続手段７の両アドレスの状態、並びにおとり手段１４の状態を、攻撃検知手段８が攻撃を検知する以前の状態にする攻撃終了信号を発信することにより、防御動作を解除するものである。なお、上記の様に、攻撃がある閾値以下に低下したことを、回復制御手段４０が検知するが、その閾値は、制御の安定性の観点から、第１の発明で、防御制御手段が攻撃検知手段８から攻撃検知信号を受けて動作を開始する攻撃量の閾値よりも低い事が望ましい。
【実施例６】
【００６２】
第５の実施形態を図６を参照して説明する。本例は、インターネットに本発明を適用したものである。実施例５における動作は、実施例２とほぼ同様であって、実施例２では、攻撃の検知から防御動作開始までがその所掌範囲であるのに対して、実施例５では、攻撃終了時の動作を規定している。
【００６３】
図６において、攻撃対象となったサービス提供手段１の正常なサービス提供動作が可能なある閾値以下に攻撃が低下したことを攻撃検知手段８の情報を集約した回復制御手段４０が検知したとき、情報伝送経路の変更可能な情報伝送手段４の状態、防御手段１０の状態、接続先ポートを仮想ＬＡＮにより動的に変更可能なデータリンク層スイッチング手段６の状態、並びに入力信号をカプセル化して出力する機能を有するネットワーク層スイッチング手段５の状態を、攻撃検知手段８が攻撃を検知する以前の状態に戻す攻撃終了信号を発信することにより、防御動作を解除するものである。
【実施例７】
【００６４】
第６の実施形態を図７を参照して説明する。本実施例は、インターネットに本発明を適用したものである。この動作は、実施例３とほぼ同様であるが、実施例３では、攻撃の検知から防御動作開始までがその所掌範囲であるのに対して、実施例６では、攻撃終了時の動作を規定している。
【００６５】
図７において、攻撃対象となったサービス提供手段１の正常なサービス提供動作が可能なある閾値以下に攻撃が低下したことを攻撃検知手段８の情報を集約した回復制御手段４０が検知したとき、登録アドレス変更手段３１が変更するドメイン名システム３０に登録された接続手段７のネットワーク層アドレスの状態、防御手段１０の状態、接続手段７の両アドレスの状態、並びにおとり手段１４の状態を、攻撃検知手段８が攻撃を検知する以前の状態に戻す攻撃終了信号を発信することにより、防御動作を解除するものである。
【実施例８】
【００６６】
次に、第７の実施形態を説明する。本実施例は、上記実施例１、３、４あるいは４のいずれか１つと同様に、インターネットに本発明を適用したものである。サービス提供手段１と同一のサブネット内に存在する攻撃者Ｃ１２等からの攻撃信号が、サービス提供手段１に到達しないように、おとり手段１４がインターネットプロトコルにおけるインターネットコントロールメッセージプロトコル（以下「ＩＣＭＰ」と略記）のリダイレクト信号を、攻撃者Ｃ１２等と利用者Ｄ１３等のサービス提供手段１に信号を伝送しようとしているホストに対して送出して、攻撃者Ｃ１２等と利用者Ｄ１３等が有するルーティングテーブルを書き換え、これらからの信号がサービス提供手段１に直接到達しないようにする。前記ルーティングテーブルは、その有効期間が過ぎるとルーティング効果がなくなる。
【００６７】
そこで、本実施形態の特徴として、有効期間が過ぎる前に再度ＩＣＭＰリダイレクト信号を送出する操作をおとり手段１４が攻撃終了信号を受信するまで繰り返し行う。なお、サービス提供手段１に信号を伝送しようとしているホストが、おとり手段１４がＩＣＭＰリダイレクト信号を送るべき相手であるが、そのアドレスは、単数または複数の攻撃検知手段８、防御手段１０または接続手段７が、サービス提供手段１宛に信号を送信している攻撃者Ａ２と、利用者のネットワーク層アドレスを割り出して、おとり手段１４に通知するものとする。たとえば攻撃検知手段８は、攻撃検知手段８を通過する信号をミラーポートによりモニタリングし、サービス提供手段１宛の信号であればその送信元アドレスを、おとり手段１４に通知する。また接続手段７では、そこの到達した信号が防御手段１０からの信号でなければ、到達した信号の送信元アドレスをおとり手段１４に通知する。
【実施例９】
【００６８】
次に第８の実施形態の動作について説明する。この実施例では、上記実施例１、３、４あるいは４のいずれか１つと同様に動作するが、おとり手段１４が攻撃検知信号を受信する前に、サービス提供手段１に接続された接続手段７の両アドレスをあらかじめ記憶しておく点に特徴がある。さらに、おとり手段１４が攻撃検知信号を受信したとき、前記記憶していた両アドレスを送信元アドレスとして用いて信号を送出する。これにより、データリンク層スイッチング手段６に対して、データリンク層スイッチング手段６のおとり手段１４に繋がったポートに接続手段７のアドレスを有する機器が繋がったと認識させ、データリンク層スイッチング手段６のスイッチングテーブルを書き換えさせる。これにより前期攻撃者Ｃ１２と前記利用者Ｄ１３からの信号が前記サービス提供手段１に直接到達しないようにすることができる。この操作をおとり手段１４が攻撃終了信号を受信するまで行うものである。
【００６９】
一般に、イーサネット（登録商標）をデータリンク層に用いた場合、データリンク層アドレスとしてＭＡＣアドレスが用いられる。データリンク層スイッチング手段６はそのスイッチング機能を実現するため、その入出力端子であるポートに届いた信号の送信元ＭＡＣのアドレスをポート毎に表として記憶しているか、または何某かの記憶手段を有している。すなわちスイッチは、そのポートに繋がっているホストのＭＡＣアドレスを、信号を受信しながら学習している。そして、スイッチが受信した信号の宛先のＭＡＣアドレスが、この表に記載されている場合には、その表のあるポートに信号を転送することにより、必要なポートにのみ信号を転送する仕組みとなっている。これにより、攻撃開始前に接続手段７が用いていたＭＡＣアドレスを、おとり手段１４が送信元アドレスとして用いて、信号をスイッチ６に対して送出することにより、スイッチ６のポート毎に表を書き換え、攻撃者Ｃ１２等および利用者Ｄ１３等からの信号が、サービス提供手段１へ到達することを防ぐことができる。
【実施例１０】
【００７０】
次に第９の実施形態の動作について説明する。上記実施例１、３、４あるいは６のいずれか１つに示すサービス保護方式では、サービス提供手段１と同一サブネット内に存在する利用者Ｄ１３に対するサービス提供が、防御制御手段の動作開始に伴い停止するという欠点がある。そこで、攻撃者Ｃ１２と利用者Ｄ１３が有するルーティングテーブルの書き換えにより、攻撃者Ｃ１２と利用者Ｄ１３からの信号を、単数または複数のおとり手段１４または防御手段１０のいずれかに集約する。前記集約した信号を前記おとり手段１４または前記防御手段１０のいずれかにて無害化した後、前記サービス提供手段１に供する。この操作を、おとり手段１４が、攻撃終了信号を受信するまで行う。この処理は、上記実施例１、３、４、６あるいは８のいずれかに記載のサービス保護方式に適用することができる。
【実施例１１】
【００７１】
次に第１０の実施形態の動作について説明する。本実施例は、サービス提供手段１と、同一サブネット内に存在する利用者Ｄ１３とに対するサービス提供が、防御制御手段の動作開始に伴い停止するという欠点を防ぐためのものである。
本実施例では、まず、おとり手段１４が攻撃検知信号を受信するよりも以前にサービス提供手段１に接続された接続手段７の両アドレスをおとり手段１４があらかじめ記憶しておく。おとり手段１４が攻撃検知信号を受信したとき、前記記憶していた両アドレスを送信元アドレスとして用いて信号を送出する。これにより攻撃者１２と利用者１３等の、サービス提供手段１と同一サブネットに存在するホストからのサービス提供手段１宛の信号を、おとり手段１４に集約する。この操作をおとり手段１４が攻撃終了信号を受信するまで行う。
【００７２】
これにより、攻撃者Ｃ１２と利用者Ｄ１３からのサービス提供手段１宛の信号は、おとり手段１４に集約される。この集約した信号を、おとり手段１４または防御手段１０のいずれかにて無害化して、サービス提供手段１に供する。この処理は、上記実施例１、３、４、６あるいは８のいずれかに記載のサービス保護方式に適用することができる。
【実施例１２】
【００７３】
次に、第１１の実施形態の動作について説明する。本実施例では、接続手段７の変更予定アドレスを、予め複数または単数の防御手段１０とおとり手段１４に記憶させておく。このように攻撃が開始される前に予め記憶させておいた場合、攻撃により万が一トラヒックが輻輳しても、確実に保護動作を開始することができる利点がある。また、この処理は、上記実施例１、３、４、６、７、８、９あるいは１０のいずれかに記載のサービス保護方式に適用することができる。
【実施例１３】
【００７４】
次に第１２の実施形態の動作について説明する。この実施例では、接続手段７の変更アドレスを、その接続手段７が攻撃検知信号を受信した後に、予め定めた手順で、複数または単数の防御手段１０とおとり手段１４に通知することを特徴とする。また、この処理も、上記実施例１、３、４、６、７、８、９あるいは１０のいずれかに記載のサービス保護方式に適用することができる。
【００７５】
一般に、複数または単数の防御手段１０とおとり手段１４は、専用の装置を用いて実現しているため、高価で経済性に劣る。このためなるべく少ない数防御手段１０とおとり手段１４で、より多くの数のサービス提供手段１を保護できることが望ましい。この場合、実施例１１では、多数のサービス提供手段１に対応した接続手段７のアドレスを防御手段１０またはおとり手段１４に記憶しておく必要がある。しかし、本実施例では、それが不要である。
【実施例１４】
【００７６】
次に第１３の実施形態の動作について説明する。本実施例では、単数または複数の攻撃検知手段８にて、相互に異なる複数のサービス提供手段１への攻撃を検知したとき、前記異なる複数のサービス提供手段１の夫々についてＵＲＬからＩＰアドレスを検索可能なＤＮＳに登録された接続手段７におけるＩＰアドレスと防御手段１０のＩＰアドレスを、夫々隣接したアドレスとして設定することを特徴とする。この処理は、上記実施例３、または６から１２のいずれかに記載のサービス保護方式に適用することができる。
【００７７】
一般に、ルーターでは、到来した信号を、ルーター自身が有するルーティングテーブルにしたがって、転送している。例えば、ルーターが有する入出力端子が甲と乙と丙の３端子であったとする。甲から到来した信号は、乙または丙のいずれかに転送するが、ルーターでは、受信した信号の宛先ＩＰアドレスとルーティングテーブルを比較して乙と丙のどちらに転送するかを判断している。すなわちルーティングテーブルを用いる事により全てのＩＰアドレスに対して甲と乙と丙のいずれに転送すべきかを判断できる。ここで、ＩＰアドレスと信号を中継するＡＳとの関係に規則性がないと、個々のＩＰアドレス毎にルーティング先を検索する必要があるため、通過するパケットの数が多いときにはルーターでの処理が間に合わなくなるおそれがある。一般に、ＩＰアドレスはＡＳに対して乱雑に割り当てられてはおらず、たとえばＩＰアドレスの１番から６番が第１のＡＳに割り当てられ、７番から１０番が第２のＡＳに、１１番から１６番までが第３のＡＳに割り当てられるように、連続的に割り当てられている。そこでこの場合ルーティングテーブルでは例えば、アドレスの１番から６番が甲、７番から１０番が乙、１１番から１６番までが丙とのように記載されている。
【００７８】
そこで入力した信号の宛先アドレスを、例えば、６番に記載されたアドレスと比較し、６番に記載されたアドレスと等しいか小さい場合は甲に転送する。次に１０番に記載されたアドレスと比較し１０番に記載されたアドレスと等しいか小さい場合は乙に転送し、それ以外の場合は丙に転送する。これにより少ない比較回数でルーティングを実現している。すなわち、本来ならば１番から順に１６番まで、合計１６回比較しなければならないものを、この場合は最高で２回の比較でルーティング先のポートを決定できる。
【００７９】
そこで、特定のＩＰアドレスに対して大量に信号を送信する形式の攻撃をルーターで受けた場合、受信信号の転送先のポートとなる頻度の多いポートからルーティングテーブルを検索することにより、より早く転送先のポートを発見できる可能性が増加する。たとえば上記の甲、乙、丙のポートを有するルーターの例では、攻撃が１５番と１６番のアドレスに集中した場合を考える。この場合それまでに攻撃が１５番と１６番のアドレスに集中しているので、１０番に記載されたアドレス以降に対応したポートである丙に信号を転送する可能性が高いことがわかる。そこでそれまで、６番のアドレス、１０番のアドレスの順に大小を比較していたが、１０番のアドレス、６番のアドレスのように比較の順序を変更する。このように多くの信号が通過する可能性の高いポートから先に比較することにより、ルーターにおける比較回数を平均的に減少することが可能で、これにより攻撃信号によるルーターの処理負荷を軽減できる。そこで、接続手段７におけるＩＰアドレスと防御手段１０のＩＰアドレスを、夫々隣接若しくは近接したアドレスとして設定し、攻撃信号を中継するルーターの負荷の低減を図るものである。
【産業上の利用可能性】
【００８０】
上記の説明においては、ＤＤｏＳ攻撃を例に説明したが、これよりも原始的なＤｏＳ攻撃、たとえばリロードを手動で繰り返すＦ５アタックなどにも、本発明を適用することができる。
【符号の説明】
【００８１】
１  サービス提供手段
２  攻撃者Ａ
３  利用者Ｂ
４  情報伝送経路の変更可能な情報伝送手段
５  ネットワーク層スイッチング手段
６  データリンク層スイッチング手段
７  データリンク層とネットワーク層のアドレスの変更可能な接続手段
８  攻撃検知手段
９  防御制御手段
１０  防御手段
１１  経路変更指令発信手段
１２  攻撃者Ｃ
１３  利用者Ｄ
１４  おとり手段
２０  接続手段
３０  ドメイン名システム
３１  登録アドレス変更手段
３２  情報伝送手段
４０  回復制御手段
５０  転送先変更手段
６０  ルーター
【図１】
2011055299.tif 000003
【図２】
2011055299.tif 000004
【図３】
2011055299.tif 000005
【図４】
2011055299.tif 000006
【図５】
2011055299.tif 000007
【図６】
2011055299.tif 000008
【図７】
2011055299.tif 000009