(57)【要約】本発明は、合法的な使用を損なわない、幾つかのネットワークプロトコルの不正使用の検出並びに防止方法に関するものである。本発明に従って、新しい流れはそれぞれ、カウンターＣＰＴ（２７）を割り当てられる。データ・パケットを受信するごとに、合法的な使用の流れを妨げることなく、不正使用の流れを減少させる遅延関数（２５）を適用する。遅延関数は、カウンターＣＰＴによって、とりわけ監視下の流れについての流量に応じて増加する。【特許請求の範囲】
【請求項１】
合法的な使用を損なわない、幾つかのネットワークプロトコルの不正使用の検出並びに防止方法であって、入力データ・パケットの流れについて、それぞれのパケットに遅延関数ｆ（）を適用することを特徴とする、該遅延関数は、合法的な使用を妨げるには不十分だが、不正使用を妨げるには十分な遅れを生じさせるものであることを特徴とする、検出並びに防止方法。
【請求項２】
特に標識プロトコルにおいて、私的なデータの搬送を名目としたプロトコルの不法使用が標準的な流量を越えた場合、他の流れは妨げることなく、不正使用されている経路を事実上切断するように遅延が際限なく増大するようになされ、監視下の流れの流量とともに増大する遅延関数を選択することから成ることを特徴とする、請求項１に記載の方法。
【請求項３】
データ・パケットの着信を検出（２１）し、それが監視下の流れに所属するものかどうか判定（２２）し、判定結果が否定的である場合には、それにカウンター（ＣＰＴ）を割り当てることから成ることを特徴とする、請求項１または２のいずれかに記載の方法。
【請求項４】
データ・パケットの着信を検出（２１）後に、監視下の流れに関連づけられたカウンター（ＣＰＴN）の所定のステップを一つ増分し（２５）、そのデータ・パケットを出力の流れに放つ前に、遅延関数の引数としてカウンターの進行中の値を適用することを特徴とする、請求項３に記載の方法。
【請求項５】
正の二次導関数をもつ遅延関数の選択から成ること特徴とする、請求項４に記載の方法。
【請求項６】
遅延関数は、α≧０とした、関係式ｆ（ＣＰＴN）＝ｅｘｐ（α＊ＣＰＴN＋β）に従って、監視下の流れに関連づけられたカウンターに応じた指数関数であることを特徴とする、請求項５に記載の方法。
【請求項７】
監視下の流れについて受け入れ可能な最大値ＣＰＴＭＡＸNを判定し、つぎに、送信待機中のパケット数が値ＣＰＴＭＡＸNを越えているかを判定し、応答次第で、待機中のパケットを破棄することから成ることを特徴とする、請求項３から６のいずれか一つに記載の方法。
【請求項８】
ＤＮＳシステムについて、以下の場合に、自動的に適応することから成ることを特徴とする、請求項１から７のいずれか一つに記載の方法：
・正常動作：ユーザーに悪意はなく、システムを想定された通りに使用しており、関連づけられたカウンターＣＰＴは０に近い値を維持する；
・異常動作：ユーザーに悪意があり、どうやらシステムを攻撃している最中であり、ＤＮＳパケットに適用される遅延は増大しており、関連づけられたカウンターＣＰＴも増大している；
・準正常動作：ユーザーに悪意はないが、想定された限度をやや越えて時間どおりにシステムを働かせており、カウンターＣＰＴはほどほどのレベルに留まっている。
【請求項９】
ＥＡＰ−ＳＩＭ認証メカニズムのデータに含まれる検査メカニズムに用いられる欄を決定し、つぎに、認証の搬送についての振る舞いの分析によって認証リクエスト数を制限するために検査メカニズムを実行することから成り、保護対象のＧＳＭネットワークにおいてローカルなＰｒｏｘｙ−ＲＡＤＩＵＳサーバでインプリメンテーションされることを特徴とする、請求項１から７のいずれか一つに記載の方法。
【請求項１０】
不正使用に特徴的な監視下の流れに関連する流量の推移を検出し、そして、そのような不正使用の警報を発する手順も有することを特徴とする、請求項３から９のいずれか一つに記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、合法的な使用を損なわない、幾つかのネットワークプロトコルの不正使用の検出並びに防止方法に関するものである。
【０００２】
本発明は、特にＩＰネットワークのセキュリティーに用いられるものである。本発明は、改竄されたプロトコルの流量の突然の増大に特徴づけられる様々なタイプの攻撃、サービスを否認し、特に経路を隠して行う攻撃に対して、効果的な防御を提供するものである。本発明は、特にアクセスが有料の公衆無線ネットワーク（ホットスポット）で用いるのが有効である。
【０００３】
本発明は、特に二つの要素から成り立っている。関連するプロトコルの流量は、検出の基準となるものであり、攻撃の抜本的な解消方法である。第二の要素というのは、本発明は、システムが受信したすべてのパケットを、時間をおいて再送信するという遅延機能を用いることを基礎としているということである。これは、攻撃のない時には無視できるものであるが、攻撃が検出されると、その攻撃を行っている者にネットワークが使えないようにするという点で、重要となるものである。
【０００４】
本発明の方法は、ＩＰネットワークの基礎となっている技術：Ｅｔｈｅｒｎｅｔ（登録商標）、ＩＥＥＥ  ８０２．１１、ＧＰＲＳ等とは無関係である。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明の方法は、特に、ファイアーウォールに穴をあける方法（ｆｉｒｅｗａｌｌ ｐｉｅｒｃｉｎｇ）（あるいは経路隠蔽）の名称で知られる不正行為に有効な解決をもたらすものである。
【０００６】
このような不正行為の技法は、通常は禁止されている情報の流れを、許可を受けている束に封入することによって、フィルタリング装置を通過させることを許可する。本発明は、これまでは解決が見いだせなかった難しい事例で、このような問題を解決することを可能にするものである。
【発明の効果】
【０００７】
本発明の方法は、ネットワークの合法的な使用に顕著なマイナスの影響を与えることなく、不正行為の防止を行うという利点を呈する。
【０００８】
更に一般的な方法では、通常は改竄されたプロトコルによって完遂される流量の顕著な増大を仕組むことができれば、ローカルネットワークの外部との通常とは異なるデータの交換に基づくあらゆる攻撃は、本発明によって容易に処理することが可能である。
【０００９】
このように、幾つかのサービスの否認による攻撃（単純な妨害を意図とする、他のユーザーのサービスの使用を不可能にする攻撃）も処理することができる。これは、特に「ホットスポット」と呼ばれるネットワークにとりわけ適用されるものであり、ホットスポットは、適切に備え付けられた端末を接続し、インターネットへのアクセスを確立することができる無線周波数の対象区域であり、その支払いは、ある一定の金額を前払いすることにより、または、顧客のＧＳＭネットワークのようなアクセスプロバイダの加入者への請求書で徴収することによって行われる。このことは、ＧＳＭ認証を用いるのに、ホットスポットがモバイルネットワーク事業者と連結している場合に当てはまる。
【００１０】
このような場合においては、ホットスポットからユーザーの認証を管理する機械に他の攻撃が可能であれば、それこそがＧＳＭネットワークのサーバであるため、危機的なことになる。モバイルネットワーク事業者が、そのようなサービスの権利を否認する攻撃をひどく恐れるのは、それがＧＳＭネットワークの認証サーバの機能を危険な状態に陥れるからであり、ひいてはその周縁の作用でＧＳＭネットワークそのものを窮地に陥らせるからである。
【００１１】
本発明は、リクエスト数の異常な増大を自動的に検出し、それらに制限を加えることを可能にする。
【００１２】
禁止されたプロトコルを搬送するための「ファイアーウォールに穴をあける方法」の技術も存在しており、それらは、しばしば企業のネットワークで使用される。本発明は、特に（そこに認証方法を搬送する）ＤＮＳ、ＩＣＭＰまたはＥＡＰのような「標識」プロトコル、つまりは、インターネットの他のプロトコルを働かせるのに役立つプロトコルに優先的に適用されるものであるが、それらはユーザーに属する有益なデータを直接、搬送するわけではない。ところが、これらの「標識」プロトコルは、既知の通常は低い流量に作用する点において、データ搬送プロトコルと大きく異なるものである。仮に、これらの標識プロトコルが、不正侵入に際し、搬送プロトコルとして使用された場合、これらは、リクエストならびに応答の件数の異常な増大となって現れることになる。
【００１３】
しかしながら、注目すべきは、本発明が搬送プロトコルにも適用されるということである。本発明は、特に、流量の低い搬送プロトコルの保護に全面的または部分的に適用される。
【００１４】
本発明は、とりわけ、（いわゆる標識プロトコルの）ＤＮＳのようなプロトコルの処理を可能にするものである。事実、例えば、公衆ホットスポットでは、デフォルトで、ユーザーが接続を開始するのに不可欠な標識プロトコル（認証データの搬送、ネットワーク構成についての情報収集、氏名の導出）を除いた、全ての情報の流れを禁ずることが頻繁にある。したがって、無料でホットスポットを使用したい不正行為者が、経路を隠すには、標識プロトコルを用いるしかないということになる。逆に、ｈｔｔｐやｔｅｌｎｅｔのような「有益な」プロトコルは、ユーザーの接続が禁じられている限りは、ファイアーウォールによって禁止されているため、不正行為のために経路を隠すのに使用することはできない。
【００１５】
本発明には、もう一つ様相があり、それにより、「ｈｔｔｐ」や「ｆｔｐ」のようなプロトコルを処理する。事実、現行の用法では、「ｈｔｔｐ」プロトコルは、非常に高い非対称性を呈するプロトコルである：端末から、リクエストに対応するサーバに向けての流量は低いが、応答に用いられるｈｔｍｌページに対応する別の方法への流量は高い。経路を隠蔽することによって行われるｈｔｔｐについての不正行為が、ｈｔｔｐ接続の流量の特徴を解消するような、つまりは、上りの流量が突然、異常に高まるようなことがあれば、その際には、本発明はこの流通を差し止めることになる。
【課題を解決するための手段】
【００１６】
この目的を達成するため、本発明が関わるネットワークプロトコル保護方法は、プロトコルの合法的な使用には悪影響を与えず、要するに、入力データのパケットの束については、各パケットにつき、合法的な使用を妨げるには不十分だが、不法な使用を妨げるには十分、遅延関数を適用するというものである。
【００１７】
特に、標識プロトコルにおいて本発明は、監視下の束の流量と共に増大する遅延関数を適用するものであり、それは、私的なデータの搬送を名目としたプロトコルの不法使用が標準的な流量を越えた場合、他の流れは妨げることなく、不正使用されている経路を事実上切断するように遅延が際限なく増大するようになされる。
【００１８】
本発明の他の特徴と利点は、以下の説明と添付図面により、より理解されることになる：
・図１は、保護すべきプロトコルに従ったシーケンスを示したものである。
・図２は、保護すべき他のプロトコルによって監視される流れの流量を、攻撃を防げなかった場合と、本発明の方法により攻撃を防いだ場合とを、タイムグラフを示したものである。
・図３は、本発明において監視される流れを処理する装備のブロック図である。
・図４は、本発明による方法の具体的な実施態様のフローチャートである。
・図５は、本発明の第一の実施例において想定されうる様々なことを説明する図である。
・図６は、本発明の第二の実施例において想定されうることを説明するタイムグラフである。
【００１９】
これから実際に用いられている二つの攻撃技術を説明する。第一の攻撃技術は、ＩＰ型のネットワークにおいて使用可能なものである。これらのようなネットワークは、企業のネットワーク、インターネット、「ホットスポット」などがありうる。逆に、第二の攻撃技術は、「ホットスポット」ネットワークに特化したものであり、特に「ホットスポット」ネットワークと相互連結されたＧＳＭ認証サーバを対象とするものである。
【００２０】
一般的に、企業や、電気通信事業者や、インターネットアクセスプロバイダを用いたＩＰネットワークに接続された端末は、いかなるタイプの接続も自由に行えるというわけではない。それには主に三つの理由がある。
【００２１】
第一の理由は、ネットワークが生産用のネットワークであり、また、ユーザーが流用したり、個人的に利得を得たり、他者を妨害するような目的で流用して欲しくはないためである。
【００２２】
第二の理由は、ネットワークは有料で使用できるものであり、料金を支払ったユーザーのみ、流れを許可することが望ましいためである。
【００２３】
第三の理由は、ネットワークを所有する組織が有効に機能するのに必要な分を超えた接続を許可することは、不正使用の機会を与えることにしかなりかねないためである。
【００２４】
ネットワークを出入りする流れのフィルタリング作業は、フィルタリングルーターまたは防火装置（“ｆｉｒｅｗａｌｌｓ”）のようなネットワークの境界にある装置においても再使用される（以後、この種の装置は、「防火装置」または「ファイアーウォール」という名称で総称することとする）。更に、許可されたプロトコルの有効な機能のために、これらの装置は、ＩＣＭＰ（ＲＦＣ７９２）プロトコルまたはＤＮＳ（ＲＦＣ１０３４）プロトコルのような不可欠な他のプロトコルを制限せずに通過させるものでなくてはならない。
【００２５】
なお、禁止されたプロトコルを通過させるための、防火装置の許可を得たプロトコルを使用することを可能にするソフトウエア手段が存在する。これらの技術は、「経路隠蔽」とか「ファイアーウォールに穴をあける方法」という名称で知られており、それらはすべて同一の図式で構成されているが、それは図５を参照しつつ説明していくことになるが、該図は、ＤＮＳプロトコルがファイアーウォールを通してデータの搬入をするのに用いられている場合の、このタイプの攻撃を示している：
ａ）ハッカーは、インターネットの何処か、その端末が接続されているネットワークの外で、サーバの自由なアクセスができるようにする。このサーバには二つの機能がある：
ｉ．ハッカーのパソコンからのパケットをカプセル化／カプセル開放する。
ｉｉ．抽出されたパケットを、最終的な送り先に再送信し、受信したパケットをハッカーに送り返すために、この同じ送り先からパケットを受信する（中継機能）。
ｂ）ハッカーの端末は、許可されたプロトコルのパケットの空いた区域に、禁止されたプロトコルのデータのパケットをコピーし、それを処理する自分のサーバに送信する。
【００２６】
このようにして、ハッカーは、通常は禁止されているデータの交換を、許可されたプロトコルのパケットに封入することによって、出入りさせることをやり遂げることになる。この不正行為は、二つの理由から危険なものである：
・実際には、プロトコルはすべての封入を可能にするものである。
・防火装置は、必然的に、ＤＮＳやＩＣＭＰのような、このような封入容量を有することが知られている幾つかのプロトコルを通過させなければならない。このようなプロトコルの単なる純粋な阻止は、そのネットワークが良好に機能し、相互運用性を発揮するための推奨事項に適合しないことになってしまう一方で、合法なユーザーのために正常に機能することも妨げることになってしまう。
【００２７】
ＳＩＭカードによる認証方法を用いているホットスポット型のネットワークは、公開された規格に定義されている「ＥＡＰ−ＳＩＭ」と呼ばれる通信プロトコルに基づくものである。このプロトコルは、ホットスポット・サービスの顧客と、ＧＳＭ携帯電話の事業者との間でＧＳＭ認証を行うことを可能にする。ＧＳＭ認証は、幾つかの手段を必要とする（課金システム）。認証リクエストが多数になれば、従来のＧＳＭサービスの顧客にとっても、Ｗｉ−Ｆｉネットワークのサービスの顧客にとっても、サービスの質が損なわれることになりかねない。
【００２８】
図１は、ＥＡＰ−ＳＩＭ方式による認証の図式を示したものである。通信ネットワーク上の申請者１が、プロトコル８０２．１１に従って、認証手段３に向けて認証リクエスト２を送信する。
【００２９】
認証手段は、認証作業を実行し、プロトコルＡＡＡに従って、認証サーバ５に向けて認証の回答４を作成する。認証サーバ５は、回答として認証メッセージ６を作成し、該メッセージは、プロトコルＳＳ７に従って、認証センタ７に向けて送信される。
【００３０】
攻撃された場合のＥＡＰ−ＳＩＭ方式を適用すると、作業の態様は以下のようになる：
攻撃者がアクセス・ポイントに、自分は認証を受ける用意があることを知らせる（ＥＡＰＯＬ＿Ｓｔａｒｔ）；
そこでアクセス・ポイントは、攻撃者に身元の証明を求める（ＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ）；
それゆえ攻撃者は、身元証明として、（Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｉｄｅｎｔｉｆｉｅｒ（ＲＥＣ  ２４８６）または、ＥＡＰ−Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙが有するＮＡＩで応える；
アクセス・ポイントは、攻撃者の回答をＰｒｏｘｙ−ＲＡＤＩＵＳに中継する；
ｐｒｏｘｙ−ＲＡＤＩＵＳは、ＮＡＩ身元証明のコンテンツを分析し、その回答を、（＠記号の後の）ＮＡＩのコンテンツを用いて、事業者のＲＡＤＩＵＳサーバに中継する；
事業者のＲＡＤＩＵＳサーバは、ＮＡＩ身元証明を有するリクエスト（特にＩＭＳＩコード）を分析する；
事業者のＲＡＤＩＵＳサーバは、攻撃者に、訪れているホットスポットのｐｒｏｘｙ−ＲＡＤＩＵＳを介し、ＧＳＭ認証（ＥＡＰ−Ｒｅｑｕｅｓｔ／ＳＩＭ／Ｓｔａｒｔ）で認証を受けるように求める；
それゆえ攻撃者は、ＥＡＰ−Ｒｅｓｐｏｎｓｅ／ＳＩＭ／Ｓｔａｒｔ（Ｎｏｎｃｅ）で応える；
そこでｐｒｏｘｙ−ＲＡＤＩＵＳは、その回答を事業者のＲＡＤＩＵＳサーバに中継する；
そこで事業者のＲＡＤＩＵＳサーバは、ＧＳＭのトリプレットをｎ個回収する（但しｎ＝２または３）ために、ＧＳＭ認証ベースに問い合わせる。
【００３１】
金のかかる段階は、これが最後になる。というのは、それにより攻撃者は、ｎ個のＧＳＭトリプレットを計算させることができるからである。
【００３２】
それゆえ、攻撃は要するに、認証段階を開始させるタイプのパケット（パケットＥＡＰＯＬ＿Ｓｔａｒｔ）を送信することによって、前の動作態様を最大限に再利用するというものである。よって、認証センタ７の位置で手段を飽和させることによる、サービスの権利を否認することによって攻撃を行うことが可能になり、これにより、ホットスポット・ネットワークと同時に、特にＧＳＭネットワークを窮地に陥らせる。
【００３３】
通信プロトコル攻撃に関連する問題を解決するために、現行技術は三つの手段を提供している
・防火装置と呼ばれる、「ファイアーウォール」、
・流量検査システム、そして
・侵入の検出及び防止システム。
【００３４】
ファイアウォールは、通常は、ネットワーク上の流れを検査するために用いられるシステムである。該ファイアウォールは、二つの下位のネットワークの間の切れ目に設置されるのが一般的であり、それらを横切るパケットを分析する。ファイアウォールは、異なる位置でフィルタリングを行うことができる：
・ＩＰ／ＩＣＭＰ：レター・ヘッダ欄のコンテンツ（ＩＰの出所／宛先、タイプ及びＩＣＭＰコード）をシステムが分析する。
・ＩＰ／ＴＣＰ  ＵＤＰ：レター・ヘッド欄のコンテンツ（ＩＰの出所／宛先、ＴＣＰ  ＵＤＰポート）をシステムが分析する。
・セッション：特定のプロトコルにおいて通信を確立するためのセッションの開始の完全な分析を行い、それにより、入ってくるパケットが実際、確実に出て行くパケットと対応するようにする。
・適用できるプロトコルで交換されるデータのコンテンツを分析し、それにより、（例えはポルノサイトのＵＲＬのような）幾つかのコンテンツを禁止する。
【００３５】
しかしながら、ファイアウォールは、流れが有効と判定された場合には、「すべてか無か」のフィルタリングが作用するため、経路隠蔽攻撃から出る流れを阻止することはできない。この場合、完全に通過するか、あるいは、流れが無効と判定された場合、一切のパケットが通過しない。なお、経路隠蔽による攻撃は、許可を受けた（さらに、ＤＮＳのような不可欠の）流れを用いるため、さらに捉えにくい。それゆえ、このような攻撃を識別することが可能な唯一の要素は、異常に高まった流量であり、該流量は、経路隠蔽による攻撃に用いられる場合にはそれらの合法的なプロトコルを機能させる。いかなるファイアウォールも、このようなフィルタリング基準を許可してはいない。
【００３６】
また、本発明の方法が提供するのは、不審なやりとりを「自動適応式」でフィルタリングすることであり、以下のことが可能にする：
・不審な流れを素早く阻止し；
・状況が正常な状態に復帰し次第、自動的にその阻止を緩め；
・阻止の早さ、流量の制限、関数ｆ（）について後述するような阻止の緩和の早さの点で、各種の攻撃に適応した応答を提供する。
・合法ではあるが余りにも量が多い流れを、「準正常」動作態様について後述するように、然るべき減速のみを行うことにより、完全に阻止してしまうことは避ける。
【００３７】
それゆえ、サービスの質が若干落ちても、トラフィックは通過し続けることになる。従来のファイアウォールは、それを完全に阻止してしまうものであった。
【００３８】
流量検査システムは、特に混雑状態を生じさせないために、ある種の流れに、通過周波帯全体の使える部分を割り当てることを可能にする。それらは、サービスの品質管理システムの一部である。ある程度まで、これらのシステムは、ネットワークにおける通過周波帯の不正使用の阻止を可能にする。例えば、それらはＤＮＳリクエストの流量全体を制限し、それにより、ＤＮＳにおける経路隠蔽による攻撃範囲を小さくすることを可能にする。オープンソースＩＰフィルター・ソフトウエアのようなソフトウエアは、その「制限」モジュールにより、このような流量制限の機能性を提供する。
【００３９】
しかしながら、システムによって許可を得た最大限の流量でデータを常に送信することが可能であるため、これによって攻撃者を完全に黙らせることができるものではない。
【００４０】
図２は、ＤＮＳ上の経路隠蔽による攻撃への対応を期日で示している。
【００４１】
図２で同一のタイムグラフで示したのは、
・不意の攻撃を受けた場合に本発明の方法によって保護される、プロトコルを特徴とする流量１２；
・同じ攻撃を受けた場合に流量検査システムによって保護される、プロトコルを特徴とする流量８；
・流量８と１２について予想されたものと同一の攻撃を受けた場合に一切の保護も行わないプロトコルを特徴とする流量９。
【００４２】
攻撃を受けた際に、流量は、上り坂１０を辿って比較的急速に増大し、ついでトラフィックは、ゆるぎのない正常な一定の流量の値の周辺で、乱雑な振動は伴いつつも、ほぼ不変のままである。
【００４３】
流量の検査、現行技術の流量検査システムを適用すると、攻撃者の流量は、前述した例よりも緩やかに増大し、ついで、流量にとって多くの条件を必要とする標識プロトコルの流量８に少なくとも対応する閾値で阻止され、一定に留まる。
【００４４】
本発明の方法を適用すると、攻撃者の流量は、最大値１３を通過し、後に、後述するように早さに程度の差こそあれ、相殺されるまで減少する。
【００４５】
図２を見ればわかるように、流量検査システムは、攻撃に使用可能な通過周波帯を制限する以上のことはできない。逆に、本発明の方法は、パラメーター化可能な収束速度で流量をゼロに近づけさせることができる。この観点からすれば、本発明は、流れを検査するシステムよりもより効率的に、経路隠蔽による攻撃を防止することができる。
【００４６】
不正侵入検出システム（ＩＤＳ）は、センサを用いて送電線を循環する流れを分析することによって作動する。これは、収集されたデータを、それらを解釈し、何か疑わしいものが生じたときに場合によっては警報を発動させる、「人工知能」を備えたシステムに再び戻す。このようなシステムでも、場合によっては、ファイアウォールに、トラフィックを切るように命ずることができる。
【００４７】
そこで、能動的ＩＤＳシステムについて説明する。このシステムの他の進化が、「ＩＰＳ」の「防止システム」という名称で知られている。
【００４８】
この場合、ＩＤＳシステムは、直接ファイアウォールと結合されおり、分析を受けた流れはこの装置を横切っている。よって、このことは、能動的ＩＤＳシステムと類似のトラフィックの切断が起きる可能性が生まれるが、反応時間は更に高性能なものである。検出の原理は同じままであり、分析の基礎となる関連性のあるデータは、一般的に（攻撃の署名と呼ばれる）既知のメッセージ送信のシーケンスである。
【００４９】
ＩＤＳシステムには、重大な不都合があることが知られている：
・大量のトラフィックを分析する能力がなくてはならないセンサの技術を用いるため、非常に高額である；
・大概の自動的認識システムというものがそうであるように、正当性のない警報を発する積極的誤り（ｆａｌｓｅ  ｐｏｓｉｔｉｖｅ）と、逆に攻撃を通過させてしまう消極的誤り（ｆａｌｓｅ  ｎｅｇａｔｉｖｅ）を送信するため、信頼性に欠ける；
・既に知られている攻撃のみを捉えようとする。
【００５０】
攻撃に対して供給する応答は十分なものではない。ＩＤＳシステムの場合、警報は人間のオペレーターに送信されるため、したがってその人間が反応しなければならない。小さなネットワークでのオペレーターの常駐は考えられることではない。ＩＰＳシステムの場合は、応答はファイアウォールに優るものではなく、また、分析については上記を参照されたい。
【００５１】
本発明の方法は、特定の装置に、ルータ、ファイアーウォールやＤＮＳサーバのような既存の流れの処理装置に補足的な機能のように、インプリメンテーションすることができる。いずれの場合においても、検査対象の全てのトラフィックをこの装置に通すことが不可欠である。このような図３に概略的に示されている流れの処理装置は、入力インターフェース１５と出力インターフェース１７を備えており、入力インターフェースに到着するトラフィックは、本発明の方法に従って規定されるソフトウエアによって、出力インターフェースに再送信される。
【００５２】
それは、流れを処理する装置のプロセッサ１６において実行される次の原理に基づいており、流れＦｉｅは、流れＦｊｓのように出力インターフェースに再送信するが、それは少なからず長い期間であるが、「正直な」ユーザーが察知できないというほどでも、よこしまなユーザーが許可されていないデータを循環させることができないというほど短いわけでもない。
【００５３】
物理的な観点から、二つのインターフェースは、同一のネットワーク・カードにおいて実行することができる。
【００５４】
入力と出力の区別は、一つの方向に進むトラフィックについては、有効である。本発明が反対方向のトラフィックも処理する場合は、両方のインターフェースの役割の順序が逆となる。
【００５５】
本発明の方法においては、まず、監視下の流れの分類の指定を実行する。
【００５６】
監視下の流れの分類の指定は、ＩＰｓｅｃリンクの構成（ＲＦＣ  ２４０１）やファイアウォールについて行われるのと同じように、ＩＰパケットの幾つかの欄の値に基づいてもよい。
【００５７】
例えば、流れの分類の指定は、次のような値を組み合わせることで維持することができる：発信元のアドレスまたはＩＰアドレス帯域、送信先のアドレスまたはＩＰアドレス帯域、上位のプロトコル（ＵＤＰ、ＴＣＰ、ＩＣＭＰ．．．）、ポート番号、上位のプロトコル部分の一つの欄の値。
【００５８】
一般的には、装置で読み出し、そして翻訳可能な全てのプロトコル欄は、プロトコルのレイヤーのレベルにかかわらず、選択基準として維持可能である。
【００５９】
具体的には、本発明が特定のサービスに付加的なものとしてのみ動作する場合は、完全な流れの分類指定システムを実施する必要は必ずしもない。例えば、ＤＮＳプロトコル上の隠蔽された経路を妨げようとする目的で本発明の方法をＤＮＳ名称分解サーバに付加した場合、後述するように、ＤＮＳの流れの分類のみが監視下となる。それゆえ、流れの他の分類を指定する可能性を残しておく必要はない。
【００６０】
本発明の一つの実施態様においては、監視下の流れを拘束するメカニズムの割り込み許可を実行する。
【００６１】
流れの処理装置の入力インターフェース１５において、特定の機械から発信され、監視下の流れの分類に属する、流れＦｉｅが検出されると、この流れに関連づけられたカウンターを動的に生成する。指標を付けた流れＮについては、関連づけられたカウンターにＣＰＴNという目印を付ける。
【００６２】
本発明の一つの実施態様においては、流れを処理するプロセッサ１６は、許可されていない流れのブリッジのメカニズムを活用する。
【００６３】
手順２１の際に、データのパケットが一つ、入力インターフェース１５に到着するごとに；
【００６４】
手順２２の際に、監視下に置くテストを実行するが、それが監視下の流れに所属していない場合は、手順２３で、出力インターフェース１７に直ちに再送信する。
【００６５】
テスト２４の際に、到着したパケットが監視下の流れに属するものかを検証する。
【００６６】
監視下の流れに属するものなら、つまり、カウンターＣＰＴNがそれに既に関連づけられている場合には、手順２５の際に、カウンターＣＰＴNが１の単位としてステップを一つ増分され、そして、期間ＤN＝ｆ（ＣＰＴN）経過後のカウンターＣＰＴNが進行中の値に応じて予め決定された関数ｆ（）に応じて、パケットを手順２３の際に出力インターファイス１７に再送信される。
【００６７】
関数ｆ（）は、遅延関数と呼ばれる。
【００６８】
一つの実施態様においては、出力インターフェース１７にパケットが再送信されるごとに、手順２６の際に、カウンターＣＰＴNはステップを一つ、単位を１として、減分される。
【００６９】
一つの実施態様においては、本発明の方法は、次に、流れの監視を緩和するメカニズムを有する。
【００７０】
カウンターＣＰＴNが一旦十分に低い値に達すると、それはもはや、不正なトラフィックを送信しようとする企てがないということになる。その時、カウンターＣＰＴNは破棄されてもよく、トラフィックも監視下でなくなる。しかしながら、この優先順位は不可欠なものではなく、トラフィックを無制限に監視下においたままでもよい。
【００７１】
テスト２４の結果、パケットが監視下の流れの分類に属しているものとして識別されない場合は、その流れに新しいカウンターＣＰＴNを割り当て、そして手順２５を実行する。
【００７２】
遅延関数ｆは、すべての流れの分類に一つとは限らない。したがって、流れＤＮＳを関数ｆ１で、そして流れＩＣＭＰを関数ｆ２で遅延させることもできる。
【００７３】
遅延関数ｆは、攻撃者がトラフィックを送信する程そのトラフィックが遅延するように、最小限、増加するものでなくてはならない。
【００７４】
正の二次導関数をもつ遅延関数ｆは、攻撃者の流れを非常に素早く阻止することになる。例えば、ｆ（ＣＰＴN）＝ｅｘｐ（α＊ＣＰＴN＋β）、この場合α≧０である。
【００７５】
検査装置の飽和を狙う企ての場合は、カウンターＣＰＴＭＡＸNも使用することが可能であり、送信待ちのパケット数が管理者によってパラメーター化されたＣＰＴＭＡＸNの値を超過している場合は、待機中のパケットは、選択されたアルゴリズムに従って破棄されることになる。この機能性は、本発明の手段の飽和を回避するためのものである。
【００７６】
ここで示す本発明の方法の実施態様は、保護されるネットワークのローカルＤＮＳサーバにおいてインプリメンテーションされるものである。
【００７７】
これから説明する攻撃は、本発明の方法を用いることなく、展開していくものである。
【００７８】
流れの検査を行われたローカル・ネットワーク３０は、図５の図式に示されるプランに従って構築されることが多い。ローカル・ネットワークは、３４で例示されている端末と、ローカルＤＮＳ３１という名称のＤＮＳサーバと、ローカル・ネットワーク３０とインターネット・ネットワークのような他のネットワーク３３との相互接続を確保するルータ／ファイアウォール３２とを含まれる。
【００７９】
ルータ／ファイアウォール３２は、例えば「ｆｔｐ」の流れのような、幾つかの流れを禁止するために構成される。禁止３６を迂回するために、端末３４は、流れ「ｆｔｐ」を流れＤＮＳの経路３７においてパケットＤＮＳを搬送するパケット「ｉｐ」に、例えば、パケットの特定の欄の情報をコード化することによって、封入する。また、ＤＮＳリクエストは、リクエスト・ドメインの名称を適切に選択することによって、ローカル・ネットワークの外部のハッカーの監視下にあるハッカーＤＮＳサーバ３８によってしか処理されないことを保障する。ハッカーＤＮＳパソコン３８はその時、パケットを、端末が求める「ｆｔｐ」サーバ３９に転送することができるようになる。反対方向のトラフィックは、まさに正反対の経路をとる。
【００８０】
本発明をローカルＤＮＳサーバにおいてインプリメンテーションすると、ＤＮＳへの経路隠蔽攻撃は完全に阻止されることになる。
１）図５で説明されたこの例において、流れの分類と、監視下にある流れとの管理を行う必要はない。実際、流れＤＮＳのみがこの機械を通過する。
２）また、監視下の流れを関連づけることで、つまり、それぞれの端末にカウンターＣＰTを生成し、それを決して削除しないことで、流れＤＮＳのすべてを監視することができる。ＣＰTの最大値をＣＰＴＭＡＸ、ＣＰＴＭＡＸ＝２０００として固定する。
３）ｈｔｔｐサービスのような、ローカル・ネットワークにおいて許可されたサービスについて、例えば、毎秒、端末一つ当たり３０というような、ＤＮＳリクエストの最大数で表される流量の閾値が受入れ可能であることを自由に決めておく。
４）端末による経路を隠蔽した攻撃は、毎秒１００程度のＤＮＳリクエスト数の急激な増大を引き起こすことを予測する。
５）（ミリセコンドで表示される）遅延関数として、ｆ（ＣＰＴ）＝ｅｘｐ（ＣＰＴ／１５）を選択する。
【００８１】
ＤＮＳシステムの動作は、三つの態様に区別することができる：
・正常動作：ユーザーに悪意はなく、システムを想定された通りに使用している。
・異常動作：ユーザーに悪意があり、どうやらシステムを攻撃している最中である。
・準正常動作：ユーザーに悪意はないが、想定された限度をやや越えて時間どおりにシステムを働かせている。
【００８２】
以下に続く分析によって、システムが、このような三つの場合に自動的に適応し、それにより、ユーザーにＤＮＳサービスを、「正常」な場合と「準正常」な場合に、正確に使用することを可能にさせるが、しかしながら、「準正常」な場合にはサービスの質は落ち、そして、「異常」な場合にはトラフィックを阻止することができるということが明らかになる。以下に続く分析は厳密なものではないが、それにより、デジタル数値で、時間に応じた毎秒のリクエスト数の推移を示す図６の時間グラフで辿ることができる、本発明の方法のインプリメンテーションを描くこと可能になる。
【００８３】
図６には、時間に応じた毎秒のＤＮＳリクエスト数の推移を示した。ＤＮＳサーバの構造から、監視された流れに割り当てられたカウンターは直線４１に従って増加する。曲線４２は、攻撃の間リクエストの着信を示し、曲線４０は、ＤＮＳサーバで受入れ可能なリクエスト数を示す。最後に曲線４３は、本発明の保護方法が適用された、流れＤＮＳ処理装置の出力インターフェースに再送信されたリクエスト数の推移を示す。
【００８４】
１）「正常」な場合
システムが攻撃されていない時には、レベル４０に従って毎秒３０程度の頻度で処理されることになるＤＮＳリクエストを受信する（図６）。それぞれのパケットに適用される遅延は、その場合、ｅｘｐ（３０／１５）＝７．３９ｍｓである。この数値は、パケットの遅れが最大で７．３９ｍｓであることを示している。これはつまり、実際には、一秒間に着信するパケットの全てが、その同じ一秒間に再送信されることを意味する。事実、最大で７．３９ｍｓで阻止される３０個のパケットは合計で２２１．７ｍｓとなり、これは、一秒を大きく下回る。それゆえ、カウンターＣＰＴは０に近い値を維持する。
【００８５】
２）「異常」な場合
システムがＤＮＳサーバにおいて攻撃されている時には、本発明の方法は、曲線４１に従って推移することになるカウンターＣＰＴを、攻撃者の流れに割り当てる。例えば、平均して毎秒１００件のリクエストが、一秒で送信される。パケットは、ｅｘｐ（１００／１５）＝７８５．７７ｍｓだけ減速される。したがって、この期間においては、ＣＰＴは、それまでに再送信されることになるパケットがほとんどないため、大体５０と１００の間、δＣＰＴの値だけ増大する。つぎに、後の一秒間に着信するパケットに適用される遅延は、ｅｘｐ（（１００＋δＣＰＴ）／１５）＝ｅｘｐ（δＣＰＴ）＊７８５．７７ｍｓ＞＞２０ｓである。
【００８６】
それゆえ、適用された期間が早く完全な阻止を行えるだけのもの（２０ｓ）になるということ、そして、ＣＰＴの最大値で固定される限度に達するまで増加し続けるということが理解される。
【００８７】
３）「準正常」な場合
システムが攻撃されていない時には、単に、リクエスト数の急激かつ正確な増大をこうむるに過ぎない。それはまさに、ユーザーが、数多くの、例えば４０個ものＵＲＬを有するｈｔｍｌページを表示するような場合である。その場合、ＣＰＴは、「作動状態良好」の区域から、一時的に外れることになる。最大で、ｅｘｐ（４０／１５）＝１４．３９ｍｓの遅延が適用されることになるが、それは、ブラウザでｈｔｍｌページを表示しているユーザーには感じられないことである。更には、このような値では、４０個のパケットの着信では、たとえ１４．３９ｍｓの遅れはあっても、着信したときの同じ一秒の間に再出発することができるため、ＣＰＴが並外れた増加をすることはできない。「すべてか無か」のシステムは、トラフィックを完全に阻止してしまうことになるが、それは、作動状態良好の区域（ＣＰＴ＜３０）から外れてしまっているためである。逆に、本発明がもたらすサービスの質の低下は僅かなもの（１４．３９ｍｓの遅れ）でしかなく、そのようなものは、システムが「正常」な動作態様に復帰するにつれて、弱まるものである。
【００８８】
第二の実施例として、本発明が保護対象のネットワークでのローカルＰｒｏｘｙ−ＲＡＤＩＵＳサーバにおいてどのようにインプリメンテーションされるかを示す。
【００８９】
全体的には、動作は、ＤＮＳサービスにおけるインプリメンテーションで既に説明したものと似通っている。実際、ＧＳＭ認証における攻撃の影響を制限する場合の考え方は、ＧＳＭ認証の搬送の切れ目で本発明を用いるというものである。それゆえ、説明は更に簡潔になり、ＧＳＭ認証でも特定な箇所についてのみ、遅れることになるだけのことである。
【００９０】
検査システムを最も単純に配置したのがｐｒｏｘｙ−ＲＡＤＩＵＳであることには幾つもの理由がある。
【００９１】
目指すＧＳＭ事業者にかかわらず（ｒｏａｍｉｎｇ）、認証はｐｒｏｘｙ−ＲＡＤＩＵＳを通過する。
【００９２】
事業者のＧＳＭネットワークに修正は非常に重いものであり、ＧＳＭの顧客に強い影響を与えかねない。
【００９３】
検査メカニズムに用いられる欄は、ＥＡＰ−ＳＩＭ認証メカニズムのデータに含まれることになる。実際、どの事業者にＥＡＰ−ＳＩＭ認証が申請されているかを知ることは（ユーザー＠事業者ＧＳＭの形で）知ることは可能である。それゆえ、ホットスポットの位置に本発明を設置し、サービスの権利を否認するこの種の攻撃から全てのＧＳＭ事業者を保護することが可能である。
【００９４】
つぎに、検査メカニズムは、認証の搬送についての振る舞いの分析によって認証申請数を制限することができるおかげで、本発明の正常な枠内で実施される（図３参照）。
【００９５】
注目すべきは、本発明がまた、不正使用の検出に用いることができるということである。事実、本発明の一つの実施態様におけるプロトコルには、不正使用に特徴的な監視下の流れに関連する流量の推移を検出するための手順を有している。それは特に、監視下の流れに関連するカウンターが最大値を通過し、つぎに、流量ゼロに向かって急速に減少していく場合にあてはまる。そのような場合には、本発明の方法により、そのような不正使用の警報を発することができる。このような警報信号は、全ての措置を講じることができ、特に、その出来事の履歴を考慮して、そのような不正使用を行っているものの身元を求め、そして、そのような不正使用者のアクセスを減らすための事後措置をすべて発動するネットワークの管理者に伝達される。
【００９６】
略語
ＤＮＳ：Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｅｒｖｉｃｅ
ＥＡＰ：Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ
ＥＡＰ−ＳＩＭ：ＥＡＰ−Ｓｕｂｓｃｒｉｂｅｒ  Ｉｄｅｎｔｉｔｙ  Ｍｏｄｕｌｅ
ＧＳＭ：Ｇｌｏｂａｌ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｍｏｂｉｌ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ
ＩＣＭＰ：Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ
ＩＰ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ
ＮＡＩ：Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｉｄｅｎｔｉｆｉｅｒ（ネットワーク・アクセス識別器）
ＲＡＤＩＵＳ：Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ（リモート認証ダイヤルイン  ユーザー・サービス）
ＴＣＰ：Ｔｒａｎｓｐｏｒｔ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ（搬送制御プロトコル）
ＵＤＰ：Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ（データグラムを使用するプロトコル）
ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ（不正侵入検出システム）
ＩＰＳ＝Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ（不正侵入防止システム）
ＲＦＣ：Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ
ＨＴＴＰ：Ｈｙｐｅｒ  Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ（ハイパーテキスト・ファイル転送プロトコル）
ＦＴＰ：Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ（ファイル転送プロトコル）
ＨＴＭＬ：Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋ−ｕｐ  Ｌａｎｇｕａｇｅ（ハイパーテキストマークアップ言語）
【図面の簡単な説明】
【００９７】
【図１】保護すべきプロトコルに従ったシーケンスを示したものである。
【図２】保護すべき他のプロトコルによって監視される流れの流量を、攻撃を防げなかった場合と、本発明の方法により攻撃を防いだ場合とを、タイムグラフを示したものである。
【図３】本発明において監視される流れを処理する装備のブロック図。
【図４】本発明による方法の具体的な実施態様のフローチャート。
【図５】本発明の第一の実施例において想定されうる様々なことを説明する図。
【図６】本発明の第二の実施例において想定されうることを説明するタイムグラフ。
【符号の説明】
【００９８】
１  申請者
２  リクエスト
３  認証手段
４  回答
５  認証サーバ
６  認証メッセージ
７  認証センタ
８  流量
９  流量
１０  上り坂
１２  流量
１３  最大値
１５  入力インターフェース
１７  出力インターフェース
１６  プロセッサ
２１  手順
２２  手順
２３  手順
２４  テスト
２５  手順
３０  ローカル・ネットワーク
３２  ルータ／ファイアウォール
３３  他ネットワーク
３４  端末
３６  禁止
３７  経路
３８  ハッカーＤＮＳ
３９  ｆｔｐサーバ
４０  レベル
４１  直線
４２  曲線
４３  曲線
【図１】
2007512745.tif 000002
【図２】
2007512745.tif 000003
【図３】
2007512745.tif 000004
【図４】
2007512745.tif 000005
【図５】
2007512745.tif 000006
【図６】
2007512745.tif 000007
【国際調査報告】
2007512745.tif 000008
2007512745.tif 000009
2007512745.tif 000010
2007512745.tif 000011
2007512745.tif 000012
2007512745.tif 000013
2007512745.tif 000014
2007512745.tif 000015