(57)【要約】【課題】サーバの負荷を増大させるサイバー攻撃によるサーバの可用性の低下を抑制する通信管理装置、中継装置、通信システム、通信方法及びコンピュータプログラムを提供すること。【解決手段】送信先に対して送信元が送信するデータの単位時間のデータ量を示すトラフィック情報と、前記送信元を示す送信元情報と、前記送信先を示す送信先情報と、前記データを受信するデータ受信部が前記データを受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部、を備える通信管理装置。【選択図】図１
2019216349.tif 000002
【特許請求の範囲】
【請求項１】
送信先に対して送信元が送信するデータの単位時間のデータ量を示すトラフィック情報と、前記送信元を示す送信元情報と、前記送信先を示す送信先情報と、前記データを受信するデータ受信部が前記データを受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部、
を備える通信管理装置。
【請求項２】
前記所定の条件は、前記データ受信部が受信するデータの送信先が、所定の数の送信元との通信における送信元ごとの前記データの単位時間のデータ量が、第１の時間の間、第１の量以上であるような送信先であるという条件である、
請求項１に記載の通信管理装置。
【請求項３】
前記攻撃開始判定部によって攻撃が開始されたと判定された制限通信における送信先に対して送信されるデータと、前記データの送信元と前記データの送信先とを示す情報とを前記データ受信部が受信した場合に、前記データ受信部が受信する前記データの単位時間のデータ量と、前記データ受信部が前記データを受信する時刻とに基づいて、前記データの送信元と前記データの送信先とを制限通信であると判定する追加攻撃判定部、
をさらに備える請求項１又は２に記載の通信管理装置。
【請求項４】
送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信部と、
前記データ受信部が受信する前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成部と、
前記データ受信部が受信したデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データを前記データ受信部が受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部によって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信するデータ送信部と、
を備える中継装置。
【請求項５】
送信元が送信するデータを受信して送信先へ送信する中継装置と、前記中継装置による前記データの送信を管理する通信管理装置とを備える通信システムであって、
前記中継装置は、
送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信部と、
前記データ受信部が受信する前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成部と、
前記データ受信部が受信したデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データを前記データ受信部が受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部によって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信するデータ送信部と、を備え、
前記通信管理装置は、
前記攻撃開始判定部、を備える、
通信システム。
【請求項６】
送信元が送信するデータを受信して送信先へ送信する中継装置と、前記中継装置による前記データの送信を管理する通信管理装置とを備える通信システムにおいて行われる通信方法であって、
送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信ステップと、
前記データ受信ステップにおいて受信される前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成ステップと、
前記データ受信ステップにおいて受信されたデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データが前記データ受信ステップにおいて受信された時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定ステップによって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信するデータ送信ステップと、
前記攻撃開始判定ステップと、
を有する通信方法。
【請求項７】
請求項１〜３のいずれか一項に記載の通信管理装置としてコンピュータを機能させるためのコンピュータプログラム。
【請求項８】
請求項４に記載の中継装置としてコンピュータを機能させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信管理装置、中継装置、通信システム、通信方法及びコンピュータプログラムに関する。
【背景技術】
【０００２】
ＩｏＴデバイスの増加に伴い、ＩｏＴデバイスに接続されたサーバが、ＤＤｏＳ(Distributed Denial of Service attack)攻撃等のサーバへの負荷を増加させるサイバー攻撃を受ける可能性が増している。従来、このようなサイバー攻撃に対しては、以下の２つの対策が取られてきた。１つ目は、攻撃対象となったサーバ自身が、ＤＤｏＳを検知したのちサーバの電源を落として防御する方法である（非特許文献１参照）。２つ目は、ＩｏＴデバイスとサーバとの間に中継装置を設けて、攻撃元のＩｏＴデバイスに接続された中継装置とサーバとの間の通信を遮断する、という方法である（非特許文献２参照）。前者の方法は、ネットワーク負荷を軽減することができないという問題がある。後者の方法は、攻撃元ではないＩｏＴデバイスとサーバとの間の通信まで遮断してしまう、という問題がある。
このように、従来のサイバー攻撃に対する対策は、サーバの可用性を低下させる場合があった。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】“ニュースリリース“、［online］、NTT SmartConnect、［平成３０年５月２５日検索］、インターネット＜ＵＲＬ：https://www.nttsmc.com/news/2017/20170327.html＞
【非特許文献２】“ＦｏｒｔｉＧａｔｅアプライアンス”、［online］、FortiGate、［平成３０年５月１６日検索］、インターネット＜ＵＲＬ：https://www.fortinet.co.jp/products/fortigate/＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上記事情に鑑み、本発明は、サーバの負荷を増大させるサイバー攻撃によるサーバの可用性の低下を抑制する通信管理装置、中継装置、通信システム、通信方法及びコンピュータプログラムを提供することを目的としている。
【課題を解決するための手段】
【０００５】
本発明の一態様は、送信先に対して送信元が送信するデータの単位時間のデータ量を示すトラフィック情報と、前記送信元を示す送信元情報と、前記送信先を示す送信先情報と、前記データを受信するデータ受信部が前記データを受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部、を備える通信管理装置である。
【０００６】
本発明の一態様は、上記の通信管理装置であって、前記所定の条件は、前記データ受信部が受信するデータの送信先が、所定の数の送信元との通信における送信元ごとの前記データの単位時間のデータ量が、第１の時間の間、第１の量以上であるような送信先であるという条件である。
【０００７】
本発明の一態様は、上記の通信管理装置であって、前記攻撃開始判定部によって攻撃が開始されたと判定された制限通信における送信先に対して送信されるデータと、前記データの送信元と前記データの送信先とを示す情報とを前記データ受信部が受信した場合に、前記データ受信部が受信する前記データの単位時間のデータ量と、前記データ受信部が前記データを受信する時刻とに基づいて、前記データの送信元と前記データの送信先とを制限通信であると判定する追加攻撃判定部、をさらに備える。
【０００８】
本発明の一態様は、送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信部と、前記データ受信部が受信する前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成部と、前記データ受信部が受信したデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データを前記データ受信部が受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部によって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信するデータ送信部と、を備える中継装置である。
【０００９】
本発明の一態様は、送信元が送信するデータを受信して送信先へ送信する中継装置と、前記中継装置による前記データの送信を管理する通信管理装置とを備える通信システムであって、前記中継装置は、送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信部と、前記データ受信部が受信する前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成部と、前記データ受信部が受信したデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データを前記データ受信部が受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部によって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信するデータ送信部と、を備え、前記通信管理装置は、前記攻撃開始判定部、を備える、通信システムである。
【００１０】
本発明の一態様は、送信元が送信するデータを受信して送信先へ送信する中継装置と、前記中継装置による前記データの送信を管理する通信管理装置とを備える通信システムにおいて行われる通信方法であって、送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信ステップと、前記データ受信ステップにおいて受信される前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成ステップと、前記データ受信ステップにおいて受信されたデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データが前記データ受信ステップにおいて受信された時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定ステップによって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信するデータ送信ステップと、前記攻撃開始判定ステップと、を有する通信方法である。
【００１１】
本発明の一態様は、上記の通信管理装置としてコンピュータを機能させるためのコンピュータプログラムである。
【００１２】
本発明の一態様は、上記の中継装置としてコンピュータを機能させるためのコンピュータプログラムである。
【発明の効果】
【００１３】
本発明により、サーバの負荷を増大させるサイバー攻撃によるサーバの可用性の低下を抑制することが可能となる。
【図面の簡単な説明】
【００１４】
【図１】実施形態の通信システム１００の具体的なシステム構成を示す図。
【図２】実施形態における中継装置３の機能構成の具体例を示す図。
【図３】実施形態における受信データ関連情報の具体例を示す図。
【図４】実施形態における制限通信情報の具体例を示す図。
【図５】実施形態における通信管理装置４の機能構成の具体例を示す図。
【図６】実施形態における中継装置３における具体的な処理の流れを示すフローチャート。
【図７】実施形態における通信管理装置４が防御設定情報を送信する具体的な処理の流れを示すフローチャート。
【発明を実施するための形態】
【００１５】
図１は、実施形態の通信システム１００の具体的なシステム構成を示す図である。通信システム１００は、ＩｏＴ（Internet of things）デバイス１、宛先サーバ２、中継装置３−１〜３−Ｎ（Ｎは１以上の整数）及び通信管理装置４を備える。以下、中継装置３−１〜３−Ｎをそれぞれ区別しない場合、中継装置３という。
【００１６】
ＩｏＴデバイス１は、所定のデータ（以下「デバイス取得データ」という。）を取得し、取得したデバイス取得データを、中継装置３及びネットワーク５を介して所定の宛先サーバ２に送信する。所定の宛先サーバ２は、ＩｏＴデバイス１ごとに、デバイス取得データの送信先として予め定められたサーバである。ＩｏＴデバイス１は、デバイス送信情報を中継装置３に送信する。デバイス送信情報は、デバイス取得データと、送受信先情報とを含む。送受信先情報は、デバイス取得データの送信先の宛先サーバ２とデバイス取得データの送信元のＩｏＴデバイス１とを示す。以下、送受信先情報が示すデバイス取得データの送信先である宛先サーバ２を示す情報を、送信先情報という。以下、送受信先情報が示すデバイス取得データの送信元であるＩｏＴデバイス１を示す情報を、送信元情報という。
【００１７】
送信元情報は、各ＩｏＴデバイス１をそれぞれ識別可能に示す情報であればどのような情報であってもよい。送信元情報は、例えば、ＩｏＴデバイス１に割り当てられたＩＰ（Internet protocol）アドレスであってもよい。送信元情報は、例えば、ＩｏＴデバイス１の製造メーカの名前と型番であってもよい。送信元情報は、例えば、ｓｒｃＩＰ（source IP address）であってもよい。
送信先情報は、各宛先サーバ２をそれぞれ識別可能に示す情報であればどのような情報であってもよい。送信先情報は、例えば、宛先サーバ２に割り当てられたＩＰアドレスであってもよい。送信先情報は、例えば、ｄｓｔＩＰ（destination IP address）であってもよい。
【００１８】
ＩｏＴデバイス１は、デバイス取得データを取得し、取得したデバイス取得データを所定の宛先サーバ２に送信可能であれば、どのような装置であってもよい。ＩｏＴデバイス１は、例えば、加速度センサであってもよいし、光センサであってもよい。ＩｏＴデバイス１は、例えば、冷蔵温度を測定する冷蔵庫であってもよい。
ネットワーク５は、例えば、インターネットである。
【００１９】
中継装置３−１〜３−Ｎは、それぞれ１つ又は複数のＩｏＴデバイス１と接続され、接続先のＩｏＴデバイス１が送信するデバイス送信情報を取得する。中継装置３は、取得したデバイス送信情報が含むデバイス取得データを、デバイス送信情報が含む送受信先情報が示す宛先サーバ２に、ネットワーク５を介して送信する。
【００２０】
通信管理装置４は、中継装置３から宛先サーバ２へのデバイス取得データの送信を管理する。通信管理装置４は、ＩｏＴデバイス１と宛先サーバ２との間の通信における通信量に基づいて、中継装置３から宛先サーバ２へのデバイス送信情報の送信を管理する。
【００２１】
通信管理装置４は、具体的には、ＩｏＴデバイス１と宛先サーバ２との間の通信における通信量が所定の量を超えた場合に、通信量が所定の量を超えた通信の送信元であるＩｏＴデバイス１に接続された中継装置３に対して、防御設定情報を送信する。以下、宛先サーバ２との間の通信の通信量が所定の値を超えるＩｏＴデバイス１を攻撃元デバイスという。以下、攻撃元デバイスとの通信の通信量が所定の値を超える宛先サーバ２を攻撃先サーバという。以下、攻撃元デバイスから取得したデバイス送信情報を、攻撃先サーバへ送信する中継装置３を攻撃中継装置という。
【００２２】
防御設定情報は、攻撃元デバイスを示す情報（以下「攻撃元デバイス情報」という。）と、攻撃先サーバを示す情報（以下「攻撃先情報」という。）と、攻撃中継装置を示す情報（以下「攻撃中継装置情報」という。）とを含む。防御設定情報は、攻撃元デバイスと攻撃先サーバとの間の通信制限の実行の指示を示す情報である。
【００２３】
通信管理装置４は、攻撃元デバイスに接続された中継装置３に防御設定情報を送信することで、攻撃元デバイスと攻撃先サーバとの間の通信を制限する。
通信を制限するとは、攻撃元デバイスから攻撃先サーバへのデバイス取得データの送信を遮断することを意味する。以下、通信を制限することを通信制限という。
【００２４】
攻撃元デバイスを示す情報は、各攻撃元デバイスをそれぞれ識別可能に示す情報であればどのような情報であってもよい。攻撃元デバイスを示す情報は、例えば、攻撃元デバイスに割り当てられたＩＰアドレスであってもよい。
攻撃先サーバを示す情報は、各攻撃先サーバをそれぞれ識別可能に示す情報であればどのような情報であってもよい。攻撃先サーバを示す情報は、例えば、攻撃先サーバに割り当てられたＩＰアドレスであってもよい。
【００２５】
図２は、実施形態における中継装置３の機能構成の具体例を示す図である。中継装置３は、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置３６などを備え、プログラムを実行する。中継装置３は、プログラムの実行によってデータ受信部３０、受信データ記録部３１、データ判定部３２、トラフィック情報生成部３３、通信部３４及び防御設定情報記録部３５を備える装置として機能する。
【００２６】
データ受信部３０は、中継装置３をＩｏＴデバイス１に接続するための通信インタフェースを含んで構成される。データ受信部３０は、通信インタフェースを介して、ＩｏＴデバイス１と通信する。データ受信部３０は、ＩｏＴデバイス１からデバイス送信情報を受信する。
【００２７】
受信データ記録部３１は、受信データ関連情報を補助記憶装置３６に記録する。受信データ関連情報は、データ受信部３０がデバイス送信情報のデータ量と、データ受信部３０がデバイス送信情報を受信した時刻と、デバイス送信情報が含む送受信先情報が示す送信元のＩｏＴデバイス１と送信先の宛先サーバ２と、中継装置３の識別子とを示す。以下、データ受信部３０がデバイス送信情報を受信した時刻を示す情報を受信時刻情報という。
【００２８】
データ判定部３２は、データ受信部３０が受信したデバイス送信情報に含まれる送受信先情報に基づいて、受信したデバイス送信情報が含むデバイス取得データを、送信先情報が示す宛先サーバ２に送信するか否かを判定する。
【００２９】
トラフィック情報生成部３３は、受信データ関連情報に基づいて、トラフィック量を示すトラフィック情報を送受信先情報ごとに、生成する。トラフィック量は、同一送受信先デバイス送信情報のデータ量の単位時間内の総量である。同一送受信先デバイス送信情報は、送信先情報が示す宛先サーバ２が同じであり、かつ、送信元情報が示すＩｏＴデバイス１が同じであるデバイス送信情報である。
【００３０】
通信部３４は、中継装置３を宛先サーバ２及び通信管理装置４に接続するための通信インタフェースを含んで構成される。通信部３４は、通信インタフェースを介して、宛先サーバ２及び通信管理装置４と通信する。
通信部３４は、トラフィック情報送信部３４１、データ送信部３４２及び防御設定情報受信部３４３を備える。
【００３１】
トラフィック情報送信部３４１は、トラフィック情報生成部３３が生成したトラフィック情報と、トラフィック情報生成部３３が生成したトラフィック情報に対応する送受信先情報と、中継装置３の識別子を示す中継装置識別情報と、トラフィック情報が示すトラフィック量による通信の開始時刻を示す情報（以下「受信時刻情報」という。）とを、通信管理装置４に送信する。中継装置識別情報は、図示しない記憶部に予め記憶されていてもよいし、補助記憶装置３６に予め記憶されていてもよい。
以下、トラフィック情報送信部３４１が送信する送受信先情報を、トラフィック送受信先情報という。
【００３２】
中継装置識別情報は、各中継装置３をそれぞれ識別可能に示す情報であればどのような情報であってもよい。中継装置識別情報は、例えば、中継装置３に割り当てられたＩＰアドレスであってもよい。
【００３３】
データ送信部３４２は、送受信先情報が示す宛先サーバ２にデバイス取得データを送信する。
防御設定情報受信部３４３は、通信管理装置４から防御設定情報を受信する。
【００３４】
防御設定情報記録部３５は、通信管理装置４によって通信制限の指示がなされた通信（以下「制限通信」という。）を示す情報（以下「制限通信情報」という。）を補助記憶装置３６に記録する。制限通信情報が示す制限通信に対する通信制限の実行の指示を示す情報が防御設定情報である。
【００３５】
補助記憶装置３６は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。補助記憶装置３６は受信データ関連情報及び制限通信情報を記憶する。
【００３６】
図３は、実施形態における受信データ関連情報の具体例を示す図である。
受信データ関連情報は、例えば、図３に示す受信データ関連情報テーブル９００として、補助記憶装置３６に記憶される。受信データ関連情報テーブル９００は、“受信時刻”ごとにごとにレコードをもつ。各レコードは、“受信時刻”、“中継装置ＩＤ”、“送信元ＩＤ”、“送信先ＩＤ”及び“データ量”の各値をもつ。“受信時刻”は、データ受信部３０がデバイス送信情報を受信した時刻を表す。“中継装置ＩＤ”は、中継装置３の識別子を表す。中継装置ＩＤ”は、中継装置識別情報の具体例である。“送信元ＩＤ”は、デバイス送信情報が示す送信元のＩｏＴデバイス１の識別子を表す。“送信元ＩＤ”は、送信元情報の具体例である。“送信先ＩＤ”は、デバイス送信情報が示す送信先の宛先サーバ２の識別子を表す。“送信先ＩＤ”は送信先情報の具体例である。“データ量”は、データ受信部３０がデバイス送信情報のデータ量を表す。
例えば、レコード９０１は、識別子が“ＳＳ２”であるＩｏＴデバイス１を送信元とし、識別子が“ＤＳ１”である宛先サーバ２を送信先とするデバイス送信情報を、識別子が“ＧＷ１”の中継装置３のデータ受信部３０が取得した時刻が、２０１８年３月２７日の１０時００分３０秒であることを表す。また、レコード９０１は、２０１８年３月２７日の１０時００分３０秒にデータ受信部３０が受信したデバイス送信情報のデータ量が５０Ｍであることを示す。
【００３７】
図４は、実施形態における制限通信情報の具体例を示す図である。
制限通信情報は、例えば、図４に示す制限通信情報テーブル９１０として、補助記憶装置３６に記憶される。制限通信情報テーブル９１０は、“送信元ＩＤ”ごとにごとにレコードをもつ。各レコードは、“送信元ＩＤ”、“送信先ＩＤ”及び“中継装置ＩＤ”、の各値をもつ。“送信元ＩＤ”は、攻撃元デバイスの識別子を表す。“送信先ＩＤ”は、攻撃先デバイスの識別子を表す。“中継装置ＩＤ”は、攻撃中継装置の識別子を表す。“送信元ＩＤ”は、攻撃元デバイス情報の具体例である。“送信先ＩＤ”は攻撃先情報の具体例である。“中継装置ＩＤ”は、攻撃中継装置情報の具体例である。
各レコードは、制限通信情報が示す制限通信の具体例である。
例えば、レコード９１１は、識別子が“ＧＷ１”の中継装置３を介した通信であって、識別子が“ＳＳ１”である攻撃元デバイスと識別子が“ＤＳ１”である宛先サーバ２との間の通信が制限通信であることを示す。
【００３８】
図５は、実施形態における通信管理装置４の機能構成の具体例を示す図である。
通信管理装置４は、バスで接続されたＣＰＵやメモリや補助記憶装置４２などを備え、プログラムを実行する。通信管理装置４は、プログラムの実行によって通信部４１、種類判定部４３、攻撃開始判定部４４、追加攻撃判定部４５、防御設定情報生成部４６及び防御設定情報更新部４７を備える装置として機能する。
【００３９】
通信部４１は、通信管理装置４を中継装置３に接続するための通信インタフェースを含んで構成される。通信部４１は、通信インタフェースを介して、中継装置３と通信する。
【００４０】
通信部４１は、トラフィック情報受信部４１１及び防御設定情報送信部４１２を備える。
【００４１】
トラフィック情報受信部４１１は、中継装置３が送信したトラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報を受信する。トラフィック情報受信部４１１が受信した各種情報は、補助記憶装置４２に記録される。防御設定情報送信部４１２は、防御設定情報を中継装置３に送信する。
【００４２】
補助記憶装置４２は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。補助記憶装置４２は、トラフィック情報、トラフィック送受信先情報、中継装置識別情報、受信時刻情報及び制限通信情報を記憶する。
【００４３】
種類判定部４３は、トラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報と、補助記憶装置４２に記憶された制限通信情報とに基づいて、トラフィック送受信先情報が示す送信元と送信先との通信の種類を判定する。通信の種類を判定するとは、具体的には、トラフィック送受信先情報が示す送信元と送信先との間の通信が、攻撃開始判定部４４の判定対象となる通信であるか、追加攻撃判定部４５の判定対象となる通信であるかを判定することを意味する。以下、攻撃開始判定部４４の判定対象となる通信を、攻撃開始判定対象通信という。以下、追加攻撃判定部４５の判定対象となる通信を、追加攻撃判定対象通信という。
【００４４】
具体的には、種類判定部４３は、トラフィック送受信先情報が示す送信元と送信先との間の通信が、制限通信情報が示す通信である場合に、トラフィック送受信先情報が示す送信元と送信先との間の通信を、追加攻撃判定対象通信であると判定する。種類判定部４３は、トラフィック送受信先情報が示す送信元と送信先との間の通信が、制限通信情報が示す通信ではない場合に、トラフィック送受信先情報が示す送信元と送信先との間の通信を、攻撃開始判定対象通信であると判定する。
【００４５】
攻撃開始判定部４４は、トラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報に基づいて、送信元情報が示すＩｏＴデバイス１による、送信先情報が示す宛先サーバ２に対する攻撃が開始されたか否かを判定する。
宛先サーバ２に対する攻撃とは、具体的には、ＩｏＴデバイス１から宛先サーバ２に、所定の閾値を超える量のデータが単位時間中に送信されることである。
具体的には、攻撃開始判定部４４は、攻撃開始判定第１条件が満たされた場合に、攻撃判定開始判定対象通信を制限通信であると判定する。
【００４６】
攻撃開始判定第１条件は、送信先情報が示す宛先サーバ２が、所定の数以上のＩｏＴデバイス１のデバイス取得データの送信先であり、各ＩｏＴデバイス１との間の通信が以下の攻撃開始判定第２条件を満たすという条件である。攻撃開始判定第２条件は、送信先情報が示す宛先サーバ２と各ＩｏＴデバイス１との間の通信において、トラフィック量が所定の第１の量以上である通信が所定の第１の時間以上行われたという条件である。
【００４７】
具体的には、攻撃開始判定部４４は、トラフィック送受信先情報が示す送信先のうち、送信先に対応する送信元であって攻撃開始判定第２条件を満たす送信元の数が所定の数以上である送信先を、攻撃先サーバであると判定する。なお、送信先に対応する送信元とは、送信先が示す宛先サーバ２を送信先として示す送信先トラフィック送受信先情報が示す送信元のＩｏＴデバイス１を意味する。
【００４８】
追加攻撃判定部４５は、トラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報に基づいて、追加攻撃されているか否かを判定する。追加攻撃されるとは、具体的には、追加攻撃判定対象通信における宛先サーバ２が、追加攻撃判定対象通信におけるＩｏＴデバイス１によって攻撃されることを意味する。宛先サーバ２が攻撃されるとは、具体的には、宛先サーバ２が、所定の閾値を超える量のデータを単位時間中に受信することである。具体的には、追加攻撃判定部４５は、追加攻撃判定条件が満たされた場合に、追加攻撃判定対象通信を制限通信であると判定する。
【００４９】
追加攻撃判定条件は、送信先情報が示す宛先サーバ２が、対応する送信元が示すＩｏＴデバイス１と、トラフィック量が所定の第２の量以上である通信を所定の第２の時間以上の時間行うという条件である。
【００５０】
防御設定情報生成部４６は、攻撃開始判定部４４の判定結果が、攻撃が開始されたという判定結果だった場合に、以下の防御設定情報生成処理を実行する。防御設定情報生成処理において、防御設定情報生成部４６は、送信元情報が示すＩｏＴデバイス１と送信先情報が示す宛先サーバ２との間の通信であって、中継装置識別情報が示す中継装置３を介した通信についての防御設定情報を生成する。具体的には、防御設定情報生成処理において、防御設定情報生成部４６は、攻撃中継装置情報は中継装置識別情報が示す中継装置３を示し、攻撃元デバイス情報は送信元情報が示すＩｏＴデバイス１を示し、攻撃先情報は送信先情報が示す宛先サーバ２を示す防御設定情報を生成する。
【００５１】
防御設定情報生成部４６は、生成した防御設定情報の通信制限の対象である通信（すなわち制限通信）を補助記憶装置４２に記録する。通信を補助記憶装置４２に記録するとは、具体的には、通信の送信元であるＩｏＴデバイス１の識別子と、通信の宛先サーバ２の識別子と、通信を介する中継装置３の識別子とを補助記憶装置４２に記録することである。
【００５２】
防御設定情報更新部４７は、追加攻撃判定部４５の判定結果に基づいて、防御設定情報を更新する。具体的には、防御設定情報更新部４７は、追加攻撃判定部４５によって制限通信であると判定された追加攻撃判定対象通信を、新たな制限通信として、制限通信情報に記憶する。
【００５３】
図６は、実施形態における中継装置３がデバイス取得データの宛先サーバ２への送信と、トラフィック情報の通信管理装置４への送信とを管理する具体的な処理の流れを示すフローチャートである。
【００５４】
データ受信部３０がデバイス送信情報を受信する（ステップＳ１０１）。データ判定部３２が、送受信先情報が示すＩｏＴデバイス１と宛先サーバ２との間の通信が、補助記憶装置３６の制限通信情報に制限通信として記憶されているか否かを判定する（ステップＳ１０２）。ステップＳ１０２において、制限通信として記憶されていると判定された場合（ステップＳ１０２：ＹＥＳ）、デバイス取得データを宛先サーバ２に送信しない。ステップＳ１０２において、制限通信として記憶されていると判定された場合（ステップＳ１０２：ＹＥＳ）、トラフィック情報生成部３３が受信データ関連情報に基づいてトラフィック情報を生成する（ステップＳ１０３）。トラフィック情報生成部３３が、トラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報を通信管理装置４に送信する（ステップＳ１０４）。
【００５５】
一方、ステップＳ１０２において、制限通信として記憶されていないと判定された場合（ステップＳ１０２：ＮＯ）、中継装置３は、データ送信部３４２によって、送受信先情報が示す宛先サーバ２にデバイス取得データを送信する（ステップＳ１０５）。ステップＳ１０５の次に、ステップＳ１０３の処理に戻る。なお、ステップＳ１０５の処理とステップＳ１０３及びステップＳ１０４の処理とは、必ずしもステップＳ１０５の処理の次に、ステップＳ１０３及びステップＳ１０４の処理が実行される必要はない。例えば、ステップＳ１０５の処理と、ステップＳ１０３及びステップＳ１０４の処理とは並行して実行されてもよい。例えば、ステップＳ１０５の処理は、ステップＳ１０３及びステップＳ１０４の処理の次に実行されてもよい。
【００５６】
図７は、実施形態における通信管理装置４が防御設定情報を送信する具体的な処理の流れを示すフローチャートである。
トラフィック情報受信部４１１がトラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報を受信する（ステップＳ２０１）。種類判定部４３が、トラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報に基づいて、トラフィック送受信先情報が示す送信元と送信先との間の通信が、攻撃開始判定対象通信と追加攻撃判定対象通信とのいずれの通信であるかを判定する（ステップＳ２０２）。
【００５７】
トラフィック送受信先情報が示す送信元と送信先との間の通信が、攻撃開始判定対象通信である場合（ステップＳ２０２：ＮＯ）、攻撃開始判定部４４が、トラフィック情報、トラフィック送受信先情報、中継装置識別情報及び受信時刻情報に基づいて、送信元情報が示すＩｏＴデバイス１による、送信先情報が示す宛先サーバ２に対する攻撃が開始されたか否かを判定する（ステップＳ２０３）。具体的には、攻撃開始判定部４４が、攻撃開始判定第１条件が満たされたか否かを判定することで、送信元情報が示すＩｏＴデバイス１による、送信先情報が示す宛先サーバ２に対する攻撃が開始されたか否かを判定する。
【００５８】
攻撃が開始されたと判定された場合（ステップＳ２０３：ＹＥＳ）、防御設定情報生成部４６が、ステップＳ２０１において取得されたトラフィック送受信先情報が示す送信元と送信先との間の通信制限を指示する防御設定情報を生成する（ステップＳ２０４）。防御設定情報送信部４１２が、防御設定情報を送信する（ステップＳ２０５）。
【００５９】
一方、ステップＳ２０３において攻撃が開始されたと判定されなかった場合（ステップＳ２０３：ＮＯ）、処理が終了する。
【００６０】
一方、ステップＳ２０２において、トラフィック送受信先情報が示す送信元と送信先との間の通信が追加攻撃判定対象通信である場合（ステップＳ２０２：ＹＥＳ）、追加攻撃判定部４５が、追加攻撃されているか否かを判定する（ステップＳ２０６）。具体的には、追加攻撃判定部４５は、追加攻撃判定条件が満たされるか否かを判定することで、追加攻撃されたか否かを判定する。
【００６１】
ステップＳ２０６において、追加攻撃判定条件が見される場合（ステップＳ２０６：ＹＥＳ）、ステップＳ２０４の処理が実行される。具体的には、防御設定情報更新部４７によって、ステップＳ２０６における追加攻撃判定対象通信が新たな制限通信として、制限通信情報に記憶されることで、防御設定情報が更新される（ステップＳ２０７）。ステップＳ２０７の処理の次に、防御設定情報が送信される（ステップＳ２０５）。
【００６２】
このように構成された第１の実施形態の通信システム１００は、ＩｏＴデバイス１と宛先サーバ２との間の通信を、トラフィック量に基づいて、ＩｏＴデバイス１と宛先サーバ２との間の通信ごとに制限する。そのため、不必要に通信を制限することがなく、宛先サーバ２の可用性の低下を抑制することができる。
【００６３】
なお、中継装置３及び通信管理装置４の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されてもよい。プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。プログラムは、電気通信回線を介して送信されてもよい。
【００６４】
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００６５】
１…ＩｏＴデバイス、  ２…宛先サーバ、  ３…中継装置、  ４…通信管理装置、  ３０…データ受信部、  ３１…受信データ記録部、  ３２…データ判定部、  ３３…トラフィック情報生成部、  ３４…通信部、  ３５…防御設定情報記録部、  ３６…補助記憶装置、  ３４１…トラフィック情報送信部、  ３４２…データ送信部、  ３４３…防御設定情報受信部、  ４１…通信部、  ４２…補助記憶装置、  ４３…種類判定部、  ４４…攻撃開始判定部、  ４５…追加攻撃判定部、  ４６…防御設定情報生成部、  ４７…防御設定情報更新部、  ４１１…トラフィック情報受信部、  ４１２…防御設定情報送信部、  １００…通信システム
【図１】
2019216349.tif 000003
【図２】
2019216349.tif 000004
【図３】
2019216349.tif 000005
【図４】
2019216349.tif 000006
【図５】
2019216349.tif 000007
【図６】
2019216349.tif 000008
【図７】
2019216349.tif 000009
【手続補正書】
【提出日】令和1年8月7日(2019.8.7)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
送信先に対して送信元が送信するデータの単位時間のデータ量を示すトラフィック情報と、前記送信元を示す送信元情報と、前記送信先を示す送信先情報と、前記データを受信するデータ受信部が前記データを受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部と、
前記攻撃開始判定部によって攻撃が開始されたと判定された制限通信における送信先に対して送信されるデータと、前記データの送信元と前記データの送信先とを示す情報とを前記データ受信部が受信した場合に、前記データ受信部が受信する前記データの単位時間のデータ量と、前記データ受信部が前記データを受信する時刻とに基づいて、前記データの送信元と前記データの送信先とを制限通信であると判定する追加攻撃判定部と、
を備える通信管理装置。
【請求項２】
前記所定の条件は、前記データ受信部が受信するデータの送信先が、所定の数の送信元との通信における送信元ごとの前記データの単位時間のデータ量が、第１の時間の間、第１の量以上であるような送信先であるという条件である、
請求項１に記載の通信管理装置。
【請求項３】
送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信部と、
前記データ受信部が受信する前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成部と、
前記データ受信部が受信したデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データを前記データ受信部が受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部によって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信し、前記攻撃開始判定部によって攻撃が開始されたと判定された制限通信における送信先に対して送信されるデータと、前記データの送信元と前記データの送信先とを示す情報とを前記データ受信部が受信した場合に、前記データ受信部が受信する前記データの単位時間のデータ量と、前記データ受信部が前記データを受信する時刻とに基づいて、前記データの送信元と前記データの送信先とを制限通信であると判定する追加攻撃判定部、によって前記送信元及び送信先の間の通信が前記制限通信であると判定された場合に、前記データを前記送信先に送信しないデータ送信部と、
を備える中継装置。
【請求項４】
送信元が送信するデータを受信して送信先へ送信する中継装置と、前記中継装置による前記データの送信を管理する通信管理装置とを備える通信システムであって、
前記中継装置は、
送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信部と、
前記データ受信部が受信する前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成部と、
前記データ受信部が受信したデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データを前記データ受信部が受信した時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定部によって前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信し、前記攻撃開始判定部によって攻撃が開始されたと判定された制限通信における送信先に対して送信されるデータと、前記データの送信元と前記データの送信先とを示す情報とを前記データ受信部が受信した場合に、前記データ受信部が受信する前記データの単位時間のデータ量と、前記データ受信部が前記データを受信する時刻とに基づいて、前記データの送信元と前記データの送信先とを制限通信であると判定する追加攻撃判定部、によって前記送信元及び送信先の間の通信が前記制限通信であると判定された場合に、前記データを前記送信先に送信しないデータ送信部と、を備え、
前記通信管理装置は、
前記攻撃開始判定部と、
前記追加攻撃判定部と、
を備える、
通信システム。
【請求項５】
送信元が送信するデータを受信して送信先へ送信する中継装置と、前記中継装置による前記データの送信を管理する通信管理装置とを備える通信システムにおいて行われる通信方法であって、
送信元が送信先に対して、前記送信元を示す送信元情報と、前記送信先を示す送信先情報とともに送信するデータを受信するデータ受信ステップと、
前記データ受信ステップにおいて受信される前記データの単位時間のデータ量を示すトラフィック情報を生成するトラフィック情報生成ステップと、
前記データ受信ステップにおいて受信されたデータの送信元及び送信先が、前記トラフィック情報と、前記送信元情報と、前記送信先情報と、前記データが前記データ受信ステップにおいて受信された時刻とに基づいて、前記トラフィック情報が示す前記単位時間のデータ量に関する所定の条件が満たされる場合に、前記送信元を攻撃元とし、前記送信先を攻撃先とし、前記攻撃元と前記攻撃先との間の通信を制限通信とし、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定する攻撃開始判定ステップによって、前記制限通信による前記攻撃元から前記攻撃先への攻撃が開始されたと判定された前記攻撃元及び攻撃先ではない場合に、前記データを前記送信先に送信し、前記攻撃開始判定ステップにおいて攻撃が開始されたと判定された制限通信における送信先に対して送信されるデータと、前記データの送信元と前記データの送信先とを示す情報とを前記データ受信部が受信した場合に、前記データ受信部が受信する前記データの単位時間のデータ量と、前記データ受信部が前記データを受信する時刻とに基づいて、前記データの送信元と前記データの送信先とを制限通信であると判定する追加攻撃判定ステップ、によって前記送信元及び送信先の間の通信が前記制限通信であると判定された場合に、前記データを前記送信先に送信しないデータ送信ステップと、
前記攻撃開始判定ステップと、
を有する通信方法。
【請求項６】
請求項１又は２に記載の通信管理装置としてコンピュータを機能させるためのコンピュータプログラム。
【請求項７】
請求項３に記載の中継装置としてコンピュータを機能させるためのコンピュータプログラム。