(57)【要約】【課題】DDoS攻撃への対処に伴う標的宛通信の遅延の増加を防ぎつつ、拠点間のリソース負荷分散を実現する。【解決手段】複数の軽減拠点を備える自律システムで、隣接自律システムから流入するDDoS攻撃の標的宛通信に対する対処を実施するDDoS対処装置において、少なくとも１つの攻撃が検知された場合に、標的宛通信が流入するゲートウェイ装置に対応する軽減拠点における利用可能リソース量と、当該標的宛通信の通信量とに基づいて、負荷分散処理を実行するか否かを判断する負荷分散判断部と、前記負荷分散判断部により、負荷分散処理を行うと判断された場合において、攻撃毎に、軽減拠点におけるリソース不足が解消されるように、標的宛通信の対処に利用する軽減拠点を複数の軽減拠点から決定する負荷分散処理部と、攻撃毎に、攻撃に係る標的宛通信が、前記負荷分散処理部により決定された軽減拠点を経由するように経路制御を実行する攻撃対処設定部とを備える。【選択図】図４
2019140574.tif 000002
【特許請求の範囲】
【請求項１】
DDoS攻撃に対する複数の軽減拠点を備える自律システムにおいて、少なくとも１つの隣接自律システムから流入するDDoS攻撃の標的宛通信に対する対処を実施するDDoS対処装置であって、
前記自律システムには、隣接自律システムとの複数の接続点となる複数のゲートウェイ装置が備えられ、ゲートウェイ装置毎に、流入した標的宛通信に係る攻撃の軽減を行う軽減拠点が予め定められており、
少なくとも１つの攻撃が検知された場合に、標的宛通信が流入するゲートウェイ装置に対応する軽減拠点における利用可能リソース量と、当該標的宛通信の通信量とに基づいて、負荷分散処理を実行するか否かを判断する負荷分散判断部と、
前記負荷分散判断部により、負荷分散処理を行うと判断された場合において、攻撃毎に、軽減拠点におけるリソース不足が解消されるように、標的宛通信の対処に利用する軽減拠点を複数の軽減拠点から決定する負荷分散処理部と、
攻撃毎に、攻撃に係る標的宛通信が、前記負荷分散処理部により決定された軽減拠点を経由するように経路制御を実行する攻撃対処設定部と
を備えることを特徴とするDDoS対処装置。
【請求項２】
前記負荷分散処理部は、軽減拠点におけるリソース不足の解消に加えて、各軽減拠点のリソース使用率が最も平準化されるように攻撃毎の経路を決定する
ことを特徴とする請求項１に記載のDDoS対処装置。
【請求項３】
前記負荷分散処理部は、軽減拠点におけるリソース不足の解消に加えて、現在の経路から経路変更の必要な標的宛通信の数を最小限にするように攻撃毎の経路を決定する
ことを特徴とする請求項１に記載のDDoS対処装置。
【請求項４】
前記対処に利用する軽減拠点は、標的宛通信を同等の遅延で転送可能な1つ以上の経路上に存在する複数の軽減拠点を含む
ことを特徴とする請求項１ないし３のうちいずれか１項に記載のDDoS対処装置。
【請求項５】
前記複数の軽減拠点は、標的宛通信が流入するゲートウェイ装置に対応する第一の拠点、及び、標的宛通信が流出するゲートウェイ装置に対応する第二の拠点を含む
ことを特徴とする請求項１ないし４のうちいずれか１項に記載のDDoS対処装置。
【請求項６】
前記負荷分散処理部は、
攻撃毎に、攻撃に係る標的宛通信が前記第一の拠点を経由する場合の各ゲートウェイ装置における標的宛通信量を記録した第一の拠点情報テーブル、及び、攻撃毎に、攻撃に係る標的宛通信が前記第二の拠点を経由する場合の標的地域のゲートウェイ装置における標的宛通信量を記録した第二の拠点情報テーブルを作成し、
前記第一の拠点情報テーブルの情報、及び前記第二の拠点情報テーブルの情報に基づいて、攻撃毎の対処に利用する軽減拠点を決定する
ことを特徴とする請求項５に記載のDDoS対処装置。
【請求項７】
DDoS攻撃に対する複数の軽減拠点を備える自律システムにおいて、少なくとも１つの隣接自律システムから流入するDDoS攻撃の標的宛通信に対する対処を実施するDDoS対処装置が実行するDDoS対処方法であって、
前記自律システムには、隣接自律システムとの複数の接続点となる複数のゲートウェイ装置が備えられ、ゲートウェイ装置毎に、流入した標的宛通信に係る攻撃の軽減を行う軽減拠点が予め定められており、
少なくとも１つの攻撃が検知された場合に、標的宛通信が流入するゲートウェイ装置に対応する軽減拠点における利用可能リソース量と、当該標的宛通信の通信量とに基づいて、負荷分散処理を実行するか否かを判断する負荷分散判断ステップと、
前記負荷分散判断ステップにより、負荷分散処理を行うと判断された場合において、攻撃毎に、軽減拠点におけるリソース不足が解消されるように、標的宛通信の対処に利用する軽減拠点を複数の軽減拠点から決定する負荷分散処理ステップと、
攻撃毎に、攻撃に係る標的宛通信が、前記負荷分散処理ステップにより決定された軽減拠点を経由するように経路制御を実行する攻撃対処設定ステップと
を備えることを特徴とするDDoS対処方法。
【請求項８】
コンピュータを、請求項１ないし６のうちいずれか１項に記載のDDoS対処装置における各部として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、DDoS（Distributed Denial of Service attack）攻撃に対する対処を実現するネットワーク技術に関する。
【背景技術】
【０００２】
現在、Tier1 ISP（Internet Service Provider）等の世界規模のネットワークを運営するグローバルAS（Autonomous System）において、自身の顧客（トランジット契約を結ぶISPや企業等）向けのDDoS対策サービスが提供されている。本サービスでは、複数のmitigation 拠点（各拠点内には非特許文献１等に記載の１つ以上のmitigation 装置が設置）をグローバルに分散配備し、遅延・消費帯域の観点から、IP anycast等の技術を利用することで、攻撃元に近い拠点リソースを利用した対処（攻撃元毎に最も近い拠点に標的宛通信を引き込んで対処）を実施している（非特許文献２〜４）。
【０００３】
なお、拠点に引き込まれる標的宛通信は、正常ユーザから発せられた通信（正常通信）とボット等の攻撃端末から発せられた通信（攻撃）が両方含まれており、mitigation装置による詳細検査によって、攻撃通信のみを遮断し、正常通信は元の宛先に転送することで、サービス不能を防ぐ。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Arbor Networks,"DDOS PROTECTION BY ARBOR NETWORKS APS,"http://www.arbornetworks.com/ddos-protection-products/arbor-aps
【非特許文献２】NTT America, "DDoS Mitigation Services," [Online].Available: http://www.us.ntt.com/content/dam/nttcom/us/pdf/brochure/ddos-mitigation-services.pdf
【非特許文献３】TATA Communications,"Intenet with MDDoS for Carriers,"[Online]. Available: https://www.tatacommunications.com/wp-content/uploads/2017/06/THE-POWER-TO-KEEP-CYBER-ATTACKS-ON-THE-BACK-FOOT-1.pdf
【非特許文献４】Level 3 Communications,"LEVEL 3 DDoS MITIGATION,"[Online]. Available: http://www.level3.com/~/media/files/brochures/en_secur_br_ddos_mitigation.pdf
【非特許文献５】水口孝則他，"トラフィック解析システムSAMURAIとサービス展開，" NTT技術ジャーナル，2008.7, http://www.ntt.co.jp/journal/0807/files/jn200807016.pdf
【発明の概要】
【発明が解決しようとする課題】
【０００５】
背景技術において説明した従来技術では、攻撃元が特定地域に集中している場合、その地域のmitigation拠点に負荷が集中することで、その拠点内のmitigation装置のリソース不足（スループット等のmitigation装置の処理性能限界）に陥り、他の地域の拠点リソース（拠点内のmitigation装置リソース）が余っている状況でも対処不能になる。この問題に対処するため、IP anycastを利用した攻撃元に近い拠点での対処ではなく、拠点毎に異なるIPアドレスを設定し、攻撃の宛先（標的）毎に利用する拠点を振り分ける等で、拠点間でリソース負荷分散することも想定されるが、本来の通信経路とは異なる遠くの地域の拠点に振り分けられた場合（例：送信元も宛先も北米の通信の対処にアジアの拠点を使う等）、その地域まで標的宛通信が迂回されることになり、遅延が増加する問題がある。なお、現在のISP間では、BGPによる/24以上の単位での経路変更しかできないため、単一のIPアドレス（/32）が標的となっている場合でも、そのIPアドレスを含む/24単位の通信がmitigation拠点まで迂回されることになり、普段の経路外の拠点が選択された場合、正常通信も巻き添えを受けることになる。
【０００６】
本発明は上記の点に鑑みてなされたものであり、DDoS攻撃への対処に伴う標的宛通信の遅延の増加を防ぎつつ（現状の対処と同等の遅延に抑えつつ）、拠点間のリソース負荷分散を実現可能なDDoS攻撃対処技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
開示の技術によれば、DDoS攻撃に対する複数の軽減拠点を備える自律システムにおいて、少なくとも１つの隣接自律システムから流入するDDoS攻撃の標的宛通信に対する対処を実施するDDoS対処装置であって、
前記自律システムには、隣接自律システムとの複数の接続点となる複数のゲートウェイ装置が備えられ、ゲートウェイ装置毎に、流入した標的宛通信に係る攻撃の軽減を行う軽減拠点が予め定められており、
少なくとも１つの攻撃が検知された場合に、標的宛通信が流入するゲートウェイ装置に対応する軽減拠点における利用可能リソース量と、当該標的宛通信の通信量とに基づいて、負荷分散処理を実行するか否かを判断する負荷分散判断部と、
前記負荷分散判断部により、負荷分散処理を行うと判断された場合において、攻撃毎に、軽減拠点におけるリソース不足が解消されるように、標的宛通信の対処に利用する軽減拠点を複数の軽減拠点から決定する負荷分散処理部と、
攻撃毎に、攻撃に係る標的宛通信が、前記負荷分散処理部により決定された軽減拠点を経由するように経路制御を実行する攻撃対処設定部と
を備えることを特徴とするDDoS対処装置が提供される。
【発明の効果】
【０００８】
開示の技術によれば、DDoS攻撃への対処に伴う標的宛通信の遅延の増加を防ぎつつ（現状の対処と同等の遅延に抑えつつ）、拠点間のリソース負荷分散を実現可能なDDoS攻撃対処技術を提供することが可能となる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施の形態におけるネットワーク（インターネット）の構成図である。
【図２】本発明の実施の形態におけるDDoS対処装置を保有するASの構成図（AS1の一例）である。
【図３】本発明の実施の形態におけるDDoS対処装置のハードウェア構成図である。
【図４】本発明の実施の形態におけるDDoS対処装置の機能構成図である。
【図５】拠点間のリソース負荷分散のためのトラヒック制御を隣接AS内で実施する場合の第一の拠点利用時の経路と第二の拠点利用時の経路の関係図である。
【図６】拠点間のリソース負荷分散のためのトラヒック制御を自AS内で実施する場合の第一の拠点利用時の経路と第二の拠点利用時の経路の関係図である。
【図７】フロー情報テーブルの一例（各GW分存在）を示す図である。
【図８】mitigation拠点情報テーブルの一例を示す図である。
【図９】各GWと拠点の対応情報テーブルの一例を示す図である。
【図１０】標的IPアドレス情報テーブルの一例を示す図である。
【図１１】攻撃情報テーブルを示す図である。
【図１２】攻撃毎の第一の拠点情報テーブルを示す図である。
【図１３】攻撃毎の第二の拠点情報テーブルを示す図である。
【図１４】第一の拠点時の観測量情報テーブルを示す図である。
【図１５】DDoS攻撃対処手順例を示す図である。
【発明を実施するための形態】
【００１０】
（実施の形態の概要）
まず、本発明の実施の形態の概要を説明する。以下、前提と、処理手段について説明する。
【００１１】
＜前提＞
本実施の形態では、適用先のASが複数のmitigation拠点を保有し、標的宛通信の流入するGW（他のASとの境界ルータ）毎に異なるmitigation拠点の使い分け（流入元に近い拠点で対処等）をしている。また、本発明に係る技術におけるトラヒック制御は、自AS内の経路を変更することで実施する場合と隣接AS内の経路を変更することで実施する場合の両方を想定している、特に、隣接AS内の経路を変更することで実施する場合は、拠点の異なる2つ以上のGWに接続点を持つ隣接ASが1つ以上存在することを前提とする。すなわち、当該隣接AS経由で標的宛通信が流入する場合に隣接AS内での迂回経路が存在するようなASが1つ以上存在する。
【００１２】
トラヒック制御を隣接AS内で実施する場合には、さらに、隣接する前記ASでは、BGPのMED等を利用することで、本発明に係る技術の適用先のASから、特定の宛先への通信を下記（１）hot-potatoルーティングと（２）cold-potatoルーティングのどちらでルーティングするか切り替え可能である。
【００１３】
（１）hot-potatoルーティングは、ISP同士が複数の接続点でピアリングしている場合に、ISP間の通信が送信元に近い接続点を通るルーティング方式である。例えば、隣接ASから適用先のASに転送する通信であり、隣接AS内にアジアから流入した通信は、最も流入元に近いアジアの接続点から適用先のASに渡す。
【００１４】
（２）cold-potatoルーティングは、送信元に近いネットワークができるかぎり長くトラヒックを保持するルーティング方式である。例えば、隣接ASから適用先のASに転送する通信であり、隣接AS内にアジアから流入した通信について、宛先が欧州の場合、隣接AS内を欧州まで運び、欧州の接続点から適用先のASに渡す。
【００１５】
＜処理手段＞
各隣接ASから流入する各標的宛通信について、同等の遅延で転送可能な1つ以上の経路上に存在する複数の拠点を算出し、各「流入元隣接AS＋標的宛」通信をどの経路で転送すれば、拠点間でのmitigation装置リソースが負荷分散されるかの最適な組み合わせを計算するDDoS対処装置を導入する。ここで、制御する通信の単位は、前述の「流入元隣接AS＋標的宛」通信単位に限らず、例えば、標的宛通信単位で制御しても良い。また、標的の宛先は、/32単位、/24単位等の任意のIPアドレス空間単位での制御が想定される。以降の記述では、「流入元隣接AS＋標的宛（/24）」通信単位での制御の場合を記載する。
【００１６】
DDoS攻撃を検知した際に、特定地域の拠点リソースが不足する場合、DDoS対処装置は、「流入元の隣接AS＋宛先(/24)」毎に、初期状態（第一の拠点を利用する場合）のトラヒックの流れ方（各GWのフロー情報）を見て出口のGWを判別し、その出口のGWに対応する拠点（第二の拠点）を抽出する。また、各入口と出口のGW（各地域単位でマージ）から流入/流出する「流入元の隣接AS＋宛先」毎の通信量を推定する。ここで、トラヒック制御を隣接AS内で実施する場合には、初期状態のトラヒックの流れ方を見て出口の地域を判別後、その出口の地域と同じ地域を入口とする、初期状態の経路と同等の遅延で転送可能かつ対処に利用する拠点を変更可能な経路（第二の拠点を利用するための経路）を算出し、各経路で転送する際に、各GW（各地域単位でマージ）から流入する「流入元の隣接AS＋宛先」毎の通信量を推定する。
【００１７】
ここでは、各GWにおいて、任意の宛先に対する通信量と通信の向き（流入か流出か）を（フロー情報等を利用して）取得することで、どのGWから自AS内にその宛先の通信が流入し（このGWを入口GWと表記）、どのGWから他のASに流出するか（このGWを出口GWと表記）というトラヒックの流れ方を動的に把握する。また、各GWの設置された地域情報を予め保持され、各GWから流入した通信をどの拠点で対処するかの対応情報を予め保持されている。これらにより、上記リソースが不足するかどうかの判定や、通信量の推定を可能としている。
【００１８】
DDoS対処装置は、各「流入元の隣接AS＋宛先」を第一の拠点と第二の拠点のどちらかの拠点で対処する組み合わせの中から、各拠点のリソース不足を解消可能（負荷分散可能）な最適な組み合わせを探索する。
【００１９】
本実施の形態におけるリソース負荷分散の方針（最適化の目的関数）は、以下の2通り（目的関数１，目的関数２）である。
【００２０】
目的関数１：リソース不足の解消に加えて、より収容効率を高めるために、各拠点のリソース使用率が最も平準化されるようにする。
【００２１】
目的関数２：リソース不足の解消に加えて、経路変更に伴う通信への影響を考慮し、現在の経路から経路変更の必要な標的宛通信の数を最小限にする。
【００２２】
DDoS対処装置は、入口に対応する拠点情報と入口（隣接AS内でトラヒック制御する場合は複数存在する経路毎の入口）および出口を流れる隣接AS毎の標的宛通信量を用いて、各攻撃を第一の拠点と第二の拠点で対処するときに各拠点のリソースがどれだけ使われるかを算出し、全探索又は最適化問題を構築して解を求めることで、目的関数を満たす各「流入元の隣接AS＋宛先」の経路の組み合わせを探索する。
【００２３】
また、DDoS対処装置は、現在の拠点とは異なる拠点での対処に切り替えが必要な（現在の経路から変更が必要な）「流入元の隣接AS＋宛先」の通信の経路を所望の拠点を経由する経路に変更する。このトラヒック制御を隣接AS内で実施してもらう場合は、当該通信に関する経路情報（BGP経路）を隣接ASに広告することで所望の経路に変更してもらい、その後、自AS内のGW等を制御（BGP経路広告＋anycastルーティング等を利用）することで、「流入元の隣接AS＋宛先」の通信を入口のGWに対応する拠点に引き込んで対処する。トラヒック制御を自AS内で実施する場合は、任意の「流入元の隣接AS＋宛先」の通信を第一の拠点で対処する際は、BGPとanycastルーティング等を利用することで、入口のGWに対応する拠点に引き込んで対処し、第二の拠点で対処する際は、任意の拠点固有のIPアドレスを当該通信の宛先に変更することで、出口のGWに対応する拠点への引き込みを実施する。
【００２４】
以上により、標的宛通信の遅延の増加を防ぎつつ、拠点間のリソース負荷分散を実現している。
【００２５】
以下、図面を参照して本発明の実施の形態（本実施の形態）をより具体的に説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。
【００２６】
以下の実施の形態では、各隣接Autonomous System（以降、AS）から流入する各標的宛通信について、同等の遅延で転送可能な1つ以上の転送経路上に存在する拠点を算出し、各標的宛通信をどの拠点で対処すれば、拠点間でのmitigation装置リソースが負荷分散されるかの最適な組み合わせを計算するDDoS対処装置１００を開示する。
【００２７】
（ネットワーク構成）
図1に、本発明の実施の形態におけるネットワーク（インターネット）の構成例を示す。図1に示されるように、任意数のAS（AS1~AS6など）がネットワークに含まれ、これらのASが相互接続されることによって、インターネットを模したネットワークのネットワークトポロジが構成される。
【００２８】
本実施の形態では、AS1, AS5, AS6がTier1 ISP等のグローバル規模のASを表し、AS2, AS3, AS4はAS1とトランジット契約を結ぶTier2、Tier3 ISPや企業の属するASを表す。
【００２９】
また、GW1, GW4, GW7, GW10, GW13, GW16, GW19, mitigation拠点1は、北米地域に存在する設備、GW2, GW5, GW8, GW11, GW14, GW17, GW20, mitigation拠点2は、欧州地域に存在する設備、GW3, GW6, GW9, GW12, GW15, GW18, GW21, mitigation拠点3は、アジア地域に存在する設備を表す。また、本実施の形態では、AS内・AS間の経路制御をBGPで実施している想定で記載しており、GW4とGW10、GW4とGW16、GW5とGW11、GW5とGW17、GW6とGW12、GW6とGW18、GW1とGW7、GW2とGW8、GW3とGW9は、それぞれeBGPピアを構成し、各AS内のGW同士はiBGPピアを構成している。
【００３０】
本実施の形態では、AS1が自身の顧客であるAS2, AS3, AS4向けに、背景技術で説明したようなDDoS対策サービスを提供しており、更に、本発明に係るDDoS対処装置１００を保有する状況を想定している。また、一例として、AS2とAS4内のシステム1〜3が、DDoS攻撃の標的となった場合を想定し、デフォルトの経路として、各標的宛トラヒックが、図１の実線と点線の経路でAS1を通過している場合について説明する。
【００３１】
前記デフォルト経路は、上流側のAS5, AS6において、hot-potatoルーティングを実施している想定で記載している。hot-potatoルーティングは、AS（ISP等）同士が複数の接続点で相互接続している場合に、AS間の通信が送信元に近い接続点を通るルーティングの形態である。例えば、AS5において、AS5の欧州地域を送信元とするAS4宛の通信をAS1に転送する場合、送信元に最も近い欧州地域の接続点（GW11→GW5）から転送する。なお、送信元がアジア地域の場合は、アジア地域の接続点からAS1に転送する（つまり、送信元毎に通過する接続点が分散される）。ここで、デフォルトの経路はhot-potatoルーティングに限定されず、例えば、cold-potatoルーティング等であっても良い。cold-potatoルーティングは、AS間の通信が宛先に近い接続点を通るようなルーティング形態であり、前述と同様の例では、AS5内を送信元の欧州地域から宛先のアジア地域まで転送してからアジア地域の接続点（GW12→GW6）からAS1に転送する（送信元がアジア地域の場合もアジア地域の接続点から転送され、常にアジア地域の接続点からのみ転送される）。
【００３２】
更に、本実施の形態において、トラヒック制御を隣接AS内で実施する場合には、AS1から他のASに対して、任意の宛先の通信をhot-potatoルーティング又はcold-potatoルーティングのどちらで転送するかを制御（切り替え）可能なことを前提とする。この場合のトラヒック制御方法は限定しないが、例えば、BGPのMEDやcommunityを利用したLocal Preference値の変更の仕組みが利用できる。具体的には、特定の宛先IPアドレスについて、AS1の全地域のGWから等しいMED値に設定した経路をAS5に広告することで、AS5におけるhot-potatoルーティングを実現できる。また、AS1のアジア地域のGWから広告する経路情報について、他の地域のGWから広告する経路情報よりも小さいMED値に設定してAS5に広告することで、AS5を通る当該宛先IPアドレス通信を、アジア地域のGWからのみ転送するcold-potatoルーティングを実現できる。
【００３３】
（DDoS対処装置を有するASの構成）
次に、図２を参照して、本発明の実施の形態によるDDoS対処装置１００を有するASの構成例を説明する。なお、図２は、AS１の一例を示す。
【００３４】
図２に示されるように、当該ASは、mitigation装置３００が1つ以上設置された複数のmitigation拠点、DDoS対処装置１００、トラヒック情報収集・DDoS攻撃検知装置２００、パケット転送装置４００及びGW（ゲートウェイ）を有する。
【００３５】
mitigation装置３００は、非特許文献１に説明される装置のように、DDoS攻撃対処に特化した装置であり、ある宛先に対する通信の中から、攻撃通信と正常通信とを区別して、攻撃通信のみを遮断するといった対処が可能である。DDoS攻撃対処の手段は、この他にもルータ等のフィルタリング機能での対処や人手での対処等が想定される。
【００３６】
パケット転送装置４００は、パケットのルーティングを担うルータやレイヤ2スイッチ等のネットワーク装置である。
【００３７】
GWは、パケット転送装置４００と同じく、ルータ等のパケットのルーティングを担うネットワーク装置であるが、特に他ASや顧客ネットワーク等との境界に位置するものとして区別して記載している。
【００３８】
トラヒック情報収集・DDoS攻撃検知装置２００は、各GWの各インタフェースから定期的にフロー情報（送受信IPアドレス・送受信ポート番号・プロトコル番号等の組からなるフロー毎の通信量やフローの向き（in/out）等）を収集し、収集したフロー情報を分析することで特定の宛先へのDDoS攻撃の発生を検知する。また、攻撃検知時等の任意のタイミングで、自ASのDDoS対処装置１００に対して、標的のIPアドレスを含む攻撃検知メッセージを送信する。攻撃検知メッセージに含まれる標的IPアドレスは、標的のシステムが複数存在する場合や標的システムが複数のIPアドレスを保有する場合には、複数個通知される可能性もある。
【００３９】
更に、トラヒック情報収集・DDoS攻撃検知装置２００は、DDoS攻撃が発生した際、又は任意のタイミング（一定時間毎等）で、各隣接ASから各GWに流入（又は各GWから隣接ASに流出）する標的IPアドレス宛の通信量、各拠点のmitigation装置３００の最大リソース量、各拠点のmitigation装置の利用可能なリソース量等を測定し、フロー情報テーブル（例：図７）とmitigation拠点情報テーブル（例：図８）に格納すると共に、それらの情報をDDoS対処装置１００に通知する機能を有する。
【００４０】
フロー情報テーブル（例：図７）は、例えば、各GW単位で存在し、GWを一意に識別する番号、そのGWの設置された地域（本実施の形態ではGWの設置された地域とそのGWから流入する標的宛通信の対処に利用する拠点の地域が同じ想定で記載。異なる場合は各GWと拠点の対応情報テーブルのようなものを予め作成し、紐づけを行う）、標的IPアドレス、標的宛通信の流入元の隣接AS番号（流出の場合は値なし）、標的宛通信の流出先の隣接AS番号（流入の場合は値なし）、各流入元ASからのそのGWを流れる（又はそのGWから流出先ASに流れる）標的IPアドレス宛の通信量が含まれる。GW番号、地域は例えば機器の設置時に運用者等によって登録されても良く、標的IPアドレス、流入元（先）AS番号、標的宛通信量は、定期的又はDDoS対処装置１００からの要求に伴うフロー情報の収集時に適宜更新される。
【００４１】
また、mitigation拠点情報テーブル（例：図８）は、拠点を一意に識別可能な番号、その拠点内のmitigation装置３００の最大リソース量、利用可能リソース量（最大リソース量から現在対処に使っているリソース量を減算した値）の情報が含まれる。拠点番号と最大リソース量は、例えば拠点の設置時に運用者等によって登録されても良い。
【００４２】
なお、トラヒック情報収集・DDoS攻撃検知装置２００は、例えば、非特許文献５に記載されるSAMURAI等によって実現されてもよい。
【００４３】
DDoS対処装置１００は、対処に伴う標的宛通信の遅延の増加を防ぎつつ、拠点間のリソース負荷分散を実現する装置である。トラヒック情報収集・DDoS攻撃検知装置２００との通信機能を有し、標的IPアドレス、各隣接ASから各GWに流入（又は各GWから隣接ASに流出）する標的IPアドレス宛の通信量、各拠点のmitigation装置３００の最大リソース量、利用可能な（残存）リソース量等の情報や攻撃検知メッセージを受信する。
【００４４】
また、DDoS対処装置１００は、各GW、パケット転送装置４００との通信機能を有し、後述の攻撃対処設定部１１４による処理の中で生成した任意の宛先に関するBGP経路情報を任意のGWを介して他のASに広告することで他のASにおける任意の宛先への通信の経路を所望の経路に変更する機能を有する。なお、本実施の形態では、AS間のトラヒック制御を現在のISP間の制御で主流のBGPで実施する場合について記載しているが、各隣接ASにおいて、任意の宛先へのトラヒックを特定の地域のGWから転送するように変更してもらう制御及び送信元の地域に近い地域のGWから転送するように（hot-potatoルーティングに）変更してもらう制御が実現できれば、利用技術はBGPに限定されない。
【００４５】
また、DDoS対処装置は、BGPおよびanycastルーティング等を利用することで、任意の宛先に対する通信の経路を変更し、当該通信の流入するGW（入口のGW）に対応する拠点（複数の入口から流入する場合は、複数の拠点に分散される可能性あり）に引き込む機能および、anycastルーティングを利用せずに当該通信を任意の1つの拠点に引き込む機能を有する。
【００４６】
（DDoS対処装置１００のハードウェア構成例）
上述したDDoS対処装置１００は、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。
【００４７】
すなわち、DDoS対処装置１００は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、DDoS対処装置１００で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。
【００４８】
図３は、本実施の形態における上記コンピュータのハードウェア構成例を示す図である。図３のコンピュータは、それぞれバスＢで相互に接続されているドライブ装置１５０、補助記憶装置１５２、メモリ装置１５３、ＣＰＵ１５４、インタフェース装置１５５、表示装置１５６、及び入力装置１５７等を有する。
【００４９】
当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｋ−Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、フラッシュメモリ等の記録媒体１５１によって提供される。プログラムを記憶した記録媒体１５１がドライブ装置１５０にセットされると、プログラムが記録媒体１５１からドライブ装置１５０を介して補助記憶装置１５２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１５１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１５２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００５０】
メモリ装置１５３は、プログラムの起動指示があった場合に、補助記憶装置１５２からプログラムを読み出して格納する。ＣＰＵ１５４は、メモリ装置１５３に格納されたプログラムやプログラムを実行するのに必要なパラメータなどの各種データに従って、後述されるようなDDoS対処装置１００の各種機能及び処理を実行する。インタフェース装置１５５は、ネットワークに接続するためのインタフェースとして用いられ、インターネットなどのネットワークと通信するための各種通信処理を実行する。表示装置１５６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１５７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。なお、表示装置１５６や入力装置１５７を備えないこととしてもよい。
【００５１】
DDoS対処装置１００は、上述したハードウェア構成に限定されるものでなく、他の何れか適切なハードウェア構成により実現されてもよい。なお、本実施の形態で示す構成は一例であり、例えば、トラヒック情報収集・DDoS攻撃検知装置２００は、DDoS対処装置１００に組み込まれてもよい。
【００５２】
（DDoS対処装置１００の詳細）
次に、図４を参照して、本発明の実施の形態によるDDoS対処装置１００を詳細に説明する。図４は、本発明の実施の形態によるDDoS対処装置１００の機能構成を示すブロック図である。図４に示されるように、DDoS対処装置１００は、処理部１１０、記憶部１２０、及び通信部１３０を有する。
【００５３】
図４に示すとおり、処理部１１０は、攻撃検知メッセージ処理部１１１、負荷分散判断部１１２、負荷分散処理部１１３、攻撃対処設定部１１４、再調整・対処終了判断部１１５を有する。これらの機能部の詳細処理内容については後述する。
【００５４】
記憶部１２０は、フロー情報テーブル１２１、mitigation拠点情報テーブル１２２、各GWと拠点の対応情報テーブル１２３、標的IPアドレス情報テーブル１２４、攻撃情報テーブル１２５、攻撃毎の第一の拠点情報テーブル１２６、攻撃毎の第二の拠点情報テーブル１２７、第一の拠点の経路時の観測量情報テーブル１２８を格納する。図７にフロー情報テーブル１２１の一例を示し、図８にmitigation拠点情報テーブル１２２の一例を示し、図９に各GWと拠点の対応情報テーブル１２３の一例を示し、図１０に標的IPアドレス情報テーブル１２４の一例を示し、図１１に攻撃情報テーブル１２５の一例を示し、図１２に攻撃毎の第一の拠点情報テーブル１２６の一例を示し、図１３に攻撃毎の第二の拠点情報テーブル１２７の一例を示し、図１４に第一の経路時の観測量情報テーブル１２８の一例を示す。
【００５５】
通信部１００は、トラヒック情報収集・DDoS攻撃検知装置２００、各GW、及びパケット転送装置４００と通信を行う機能を有する。
【００５６】
以下、処理部１１０における各機能部の動作を詳細に説明する。
【００５７】
＜攻撃検知メッセージ処理部１１１＞
攻撃検知メッセージ処理部１１１は、トラヒック情報収集・DDoS攻撃検知装置２００からの攻撃検知メッセージ受信時の処理に関わり、当該メッセージに含まれる標的IPアドレスを標的IPアドレス情報テーブル１２４（例：図１０）に格納する。更に、各GWのフロー情報テーブル１２１（例：図７）と受信した標的IPアドレスから、各標的IPアドレス宛通信がどの地域のGWから自AS内にどれだけの量流入し、どの地域のGWから他ASに流出しているかを判断し、流入元の隣接AS番号、標的IPアドレス（/24単位でマージしたもの）、現在の経路番号（初期値はNULL）、入口の地域（標的宛通信の流入しているGWの設置された地域であり、この地域単位でmitigation拠点が設置されている想定）、入口から入ってくる標的宛通信量（その地域の入口GWが複数ある場合や複数の標的IPアドレスが含まれる場合はその合計量）、出口の地域（標的宛通信の流出しているGWの設置された地域）の情報を攻撃情報テーブル１２５（例：図１１）に登録する。
【００５８】
その後、攻撃検知メッセージ処理部１１１は、負荷分散判断部１１２による負荷分散の必要可否判断を開始する。なお、/24単位でのマージを行っている理由としては、現在ISP間の経路制御の主流となっているBGPでは、ほとんどのISPにおいて、他のASからの/24単位よりも小さいアドレス単位での経路制御を受け付けていないためであり、将来的に、ISP間で/24単位よりも小さい経路制御が可能となった場合は、その最小単位でマージすることを想定している。後述のリソース負荷分散処理でも、/24単位での制御を行っているが、これも同様である。なお、本発明に係る技術は、AS間での経路制御を実施せずに、自AS内の経路制御だけの場合にも適用可能であり、この場合は、/32単位等任意のアドレス単位での制御が想定される。
【００５９】
＜負荷分散判断部１１２＞
負荷分散判断部１１２は、他の隣接ASから流入する標的宛通信の対処をデフォルトの経路（隣接AS内はhot-potatoルーティング＋自AS内はanycastルーティング）のままで実施した際に、各拠点に十分なリソースがあるかを判断し、十分な場合には、デフォルトの経路のままでの対処を実施し、不十分な場合には負荷分散処理を開始する処理部である。
【００６０】
負荷分散判断部１１２は、攻撃情報テーブル１２５（例：図１１）、各GWと拠点の対応情報テーブル１２３（例：図９）、mitigation拠点情報テーブル１２２（例：図８）に基づき、現在、各入口（地域）から流入する標的宛通信量をその入口に対応する拠点（本実施の形態では、入口の地域の拠点）に引き込んだ場合に、十分なリソースがあるかを判断する。例えば、北米にある拠点1の利用可能リソース量と北米の各GWから流入する標的宛通信量の和を比較し、利用可能リソース量の方が多い場合は十分なリソースがあると判断する。全ての拠点について、十分なリソースがある場合は、攻撃情報テーブル１２５（例：図１１）の当該標的IPアドレスの経路番号を1に設定し、隣接AS番号と標的IPアドレスを通知することで、攻撃対処設定部１１４を介して、標的宛通信の宛先を拠点に向けたBGP経路を広告し、デフォルトのトラヒック経路（ここでは隣接ASがhot-potatoルーティングを実施し、自AS内ではanycastルーティングによって標的宛通信を入口に対応する拠点に引き込んでいる想定）のままで、標的宛通信を各拠点に引き込んで対処する。
【００６１】
リソースが不足する場合は、負荷分散処理部１１３による負荷分散処理を開始する。また、負荷分散判断部１１２は、初回の攻撃検知メッセージからの呼び出し後に、再調整・対処終了判断部１１５を定期的に呼び出すタイマーを設定する。
【００６２】
＜負荷分散処理部１１３＞
負荷分散処理部１１３は、「流入元の隣接AS＋標的IPアドレス（/24単位）」単位で、デフォルトのトラヒック経路（hot-potatoルーティング+入口GWに対応する拠点）で対処する場合の拠点（第一の拠点）とデフォルトのトラヒック経路における出口のGWに対応する拠点（第二の拠点）を抽出し、拠点間のリソース不足を解消（負荷分散）するために、各「流入元の隣接AS＋標的IPアドレス（/24単位）」をどちらの拠点を利用して対処すべきかを算出する。ここで、トラヒック制御を隣接AS内で実施する場合は、「流入元の隣接AS＋標的IPアドレス（/24単位）」単位で、デフォルトのトラヒック経路と同等の遅延で転送可能かつ前記経路とは別拠点のリソースで対処可能な別経路を算出する。
【００６３】
まず、負荷分散処理部１１３による経路生成について説明する。負荷分散処理部１１３は、「流入元の隣接AS＋標的IPアドレス（/24単位）」毎に、隣接ASがデフォルトの経路（hot-potatoルーティング）で標的宛通信を転送する場合に、各地域から流入する標的宛通信量を推定し、攻撃毎の第一の拠点情報テーブル１２６（例：図１２）に格納する。
【００６４】
図１２に示すように、第一の拠点情報テーブル１２６は、流入元の隣接AS番号、標的IPアドレス（/24単位）、経路番号（常に1）、入口の地域、標的宛通信量、対応する拠点番号で構成される。「流入元の隣接AS＋標的IPアドレス」の内、現在の経路が第一の拠点利用時のものについては、攻撃情報テーブル１２５（例：図１１）の値をそのまま複製することで、各々の値を登録する。攻撃情報テーブル１２５において、現在の経路が第二の拠点利用時の「流入元の隣接AS＋標的IPアドレス」かつトラヒック制御を隣接AS内で実施する場合については、第一の拠点の経路時の観測量情報テーブル１２８（例：図１４）（「流入元の隣接AS＋標的IPアドレス」毎に、第一の拠点利用時の経路の状態で各地域から流入していた通信量の内、最新の値を保持しておくためのテーブル）を参照し、各地域から流入していた通信量と同じ比率で、現在特定の地域からのみから流入している通信量（攻撃情報テーブルから取得可能）が各地域に分散されると仮定し、その場合の値を第一の拠点情報テーブル１２６（例：図１２）の各入口の通信量の値として登録する。
【００６５】
例えば、「流入元の隣接AS＝5かつ標的IPアドレス＝198.51.100.0/24」が、現在、アジアからのみ50Gbpsの通信が流入している（トラヒック制御を隣接AS内で実施する場合で第二の拠点利用時の）状態であり、本実施の形態の攻撃毎の第一の拠点の経路時の観測量情報テーブル１２８（例：図１４）のような値が登録されている場合、第一の拠点利用時の経路に変更した場合には、北米：欧州：アジアから、0:4:1で通信が流入すると仮定し、第一の拠点情報テーブル１２６（例：図１２）の北米の通信量=0Gbps、欧州の通信量=50*40/50=40Gbps、アジアの通信量=50*10/50=10Gbpsを登録する。なお、トラヒック制御を隣接AS内で実施する場合において、第二の拠点の経路から第一の拠点の経路に戻す標的宛通信が存在する場合、実際には、当該標的宛通信が各GWを推定通りの通信量で流れない可能性もある。このため、負荷分散実施後に各GWのフロー情報や各拠点の利用可能リソース量を確認し、まだリソース不足が解消されていない場合には、再度負荷分散処理を実行する。
【００６６】
負荷分散処理部１１３は、更に、「流入元の隣接AS＋標的IPアドレス（/24単位）」毎に、攻撃情報テーブル１２５（例：図１１）の出口の地域と各GWと拠点の対応情報テーブルの当該地域の拠点番号を参照し、流入元の隣接AS番号、標的IPアドレス（/24単位）、経路番号（常に2）、入口の地域（トラヒック制御を隣接AS内で実施する場合のみ）、出口の地域、拠点番号、標的宛通信量で構成される、攻撃毎の第二の拠点情報テーブル１２７（例：図１３）に登録する。
【００６７】
トラヒック制御を隣接AS内で実施する場合は、さらに、「流入元の隣接AS＋標的IPアドレス」毎に、攻撃情報テーブル１２５（例：図１１）の出口の地域を参照し、同じ地域を入口の地域の値として登録する。各「流入元の隣接AS＋標的IPアドレス」の標的宛通信量は、現在の経路が第二の拠点利用時の経路（経路番号が2）の「流入元の隣接AS＋標的IPアドレス」については、攻撃情報テーブル１２５（例：図１１）の値をそのまま複製する。また、現在の経路が第一の拠点利用時のもの（経路番号が1）については、攻撃情報テーブル１２５（例：図１１）を参照し、各地域から流入している当該「流入元の隣接AS＋標的IPアドレス」宛通信量の合計値を登録する。
【００６８】
ここで、トラヒック制御を隣接AS内で実施する場合の第一の拠点利用時の経路と第二の拠点利用時の経路の関係は図５の通りであり、隣接AS内で各標的宛通信を当該標的宛通信の出口の地域まで運んでもらえる場合（第二の拠点利用時の経路の場合）、第一の拠点利用時の場合の経路と同等の遅延を実現できることを図示している。なお、出口以外の地域（例えば欧州）のGWからのみ標的宛通信を流入してもらうように制御することも可能だが、例えば、図５のAS5内のアジア地域を送信元とする通信は、一度AS5内を欧州まで迂回することになり、遅延が増加する可能性がある。このため、トラヒック制御を隣接AS内で実施する場合かつ送信元がどの地域の場合でも遅延の増加を防ぐためには、本実施の形態の通り、出口と同じ地域の入口（GW）まで運んでから自ASに渡してもらう場合の経路を第二の拠点利用時の経路として抽出する必要がある。また、トラヒック制御を自AS内で実施する場合の第一の拠点利用時の経路と第二の拠点利用時の経路の関係は図６の通りであり、こちらも出口側の拠点を第二の拠点とすることで、第一の拠点利用時と同等の遅延を実現できる。図６において、左側は第一の拠点利用の場合であり、anycast等を利用することで、標的宛通信を入口毎に最も近い拠点に引き込んで対処している。また、右側は第二の拠点利用の場合であり、標的宛通信を出口に近い拠点のIPアドレス宛に引き込むように経路変更している。
【００６９】
次に、拠点間のリソース不足を解消（負荷分散）するために、各「流入元の隣接AS＋標的IPアドレス（/24単位）」を第一の拠点と第二の拠点のどちらを利用して対処すべきかを算出する処理について説明する。なお、前述の通り、各「流入元の隣接AS＋標的IPアドレス（/24単位）」について、第一の拠点利用時の経路と第二の拠点利用時の経路は、どちらも同等の遅延で転送可能である。  ここでは、最適化の目的関数として、次の2つの場合について説明する。
【００７０】
・目的関数1：リソース不足の解消に加えて、より収容効率を高めるために、各拠点のリソース使用率が最も平準化されるようにする；
・目的関数2：リソース不足の解消に加えて、経路変更に伴う通信への影響を考慮し、現在の経路から経路変更の必要な標的宛通信の数を最小限にする。
【００７１】
更に、ここでは、全探索によって最適解を求める場合と最適化問題を構築して最適解を求める場合のそれぞれについて説明する。
【００７２】
目的関数1かつ全探索の場合、負荷分散処理部１１３は、第一の拠点情報テーブル１２６（例：図１２）、第二の拠点情報テーブル１２７（例：図１３）、各GWと拠点の対応情報テーブル１２３（例：図９）に基づき、まず、全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、1つが第二の拠点、その他が第一の拠点の場合における、各拠点のリソース使用率（＝対処量/最大リソース量×100）を算出し、その最大値（例えば、拠点1＝80％、拠点2＝60％、拠点3＝40％の場合は80％が最大値）を保持する。これを全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、2つが第二の拠点、その他が第一の拠点の場合、3つが第二の拠点、その他が第一の拠点の場合、・・・と全通りで算出し、最大値が最小となる各「流入元の隣接AS＋標的IPアドレス（/24単位）」の経路の組み合わせを抽出することで、目的関数1に最適な組み合わせを決定することができる。
【００７３】
目的関数1かつ最適化問題を構築して解を求める場合、例えば、以下のように混合整数計画問題として定式化し、分枝限定法や切除平面法等を用いて解を求めることができる。
【００７４】
●目的関数：各拠点のリソース使用率の最大値（F）と最小値（G）の差（F-G）を最小化するように、各隣接ASから流入する各攻撃の転送パターンの組み合わせを決定する。
【００７５】
●制約条件：
i番目の隣接ASのj番目の標的毎に、以下の式を構築する。
【００７６】
☆入口の地域kから流入する通信量をx_ijkと表記（［式0］x_ijk≧0）
―――以下、一例として、{x_ij1, x_ij2, x_ij3}={0, 10, 10} or {0, 0, 20} の2パターン（第一の経路と第二の経路）を取る場合を記載する―――
☆［式1］各地域から流入する攻撃量の和 = i番目の隣接ASから流入するj番目の標的宛通信の総量
○  x_ij2+x_ij3 = 20
☆第一の拠点と第二の拠点について、各拠点で対処するかの0、1の状態を表す変数y_ijlを導入  (1ならそのパターンを取る。l=1が拠点1、l=2が拠点2を表す)する。
【００７７】
○  ［式2］ y_ij1, y_ij2 ∈ {0, 1}
○  ［式3］ 拠点1の状態を取るかの変数＋拠点2の状態を取るかの変数 = 1（これは同時に1つの経路しか有効にならないようにするための制約である）
○  y_ij1+y_ij2 = 1
☆［式4］ 入口の地域kを流れる通信量 = （拠点1利用時の経路の時の地域kから流入する通信量×y_ij1）＋（拠点2利用時の経路のときの地域kから流入する通信量×y_ij2）
○  x_ij2 = (10×y_ij1) + (0×y_ij2)
○  x_ij3 = (10×y_ij1) + (20×y_ij2)
標的宛通信量観点での制約を下記の式５，６として設定する。
【００７８】
☆［式5］ 全標的に対する通信量の和 = 各地域から流入する各標的宛通信量の和
☆［式6］ 隣接ASiからの全標的に対する通信量の和 = 各地域から流入する隣接ASiからの各標的宛通信量の和
拠点リソース観点での制約を下記の式７〜１１として設定する。
【００７９】
☆［式7］ 拠点iで対処する標的宛通信量(z_iと表記) = その拠点に対応する地域から流入する標的宛通信量の和
☆［式8］ z_i ≦ 拠点iの利用可能リソース量
☆［式9］ 各拠点のリソース使用率 ≦ F
☆［式10］ 各拠点のリソース使用率 ≧ G
☆［式11］ z_i≧0
目的関数2かつ全探索の場合、負荷分散処理部１１３は、第一の拠点情報テーブル１２６（例：図１２）、第二の拠点情報テーブル１２７（例：図１３）、各GWと拠点の対応情報テーブル１２３（例：図９）に基づき、まず、全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、1つが第二の拠点、その他が第一の拠点の場合における、各拠点のリソース使用率を算出し、全拠点のリソース使用率が100％以下（又は、攻撃量の変動に対処するため、閾値等を設定して、その閾値以下）になる組み合わせを抽出し、現在の拠点から変更の必要な「流入元の隣接AS＋標的IPアドレス（/24単位）」の数が最も少ないものを抽出する。これを全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、2つが第二の拠点、その他が第一の拠点の場合、3つが第二の拠点、その他が第一の拠点の場合、・・・と全通りで行い、最も拠点の切り替えに伴う経路変更数の少ない組み合わせを抽出することで、目的関数2に最適な組み合わせを決定することができる。なお、経路変更数は最小で1のため、経路変更数1でリソース使用率の条件（全拠点とも100％以下又は閾値以下）を満たすものが見つかった場合、その時点で探索を終了することで計算時間を短縮することができる。
【００８０】
目的関数2かつ最適化問題を構築して解を求める場合、例えば、以下のように混合整数計画問題として定式化し、分枝限定法や切除平面法等を用いて解を求めることができる。
【００８１】
○  目的関数：下記のように現在の経路からの変更数をカウントする変数（H）を導入し、Hを最小化する。
【００８２】
i番目の隣接ASのj番目の標的について、第一の拠点と第二の拠点について、各拠点で対処するかの0、1の状態を表す変数y_ijlを導入  (1ならそのパターンを取る。l=1が拠点1、l=2が拠点2を表す)。
【００８３】
「各隣接AS＋標的」毎に現在の拠点の状態（経路番号）を表す（基準となる）yを用いて、以下のようにHを表現する。
【００８４】
☆  H=(1-y_ij1)＋(1-y_(i(j+1)1))＋・・・＋
○  制約条件：
目的関数1の制約条件の内、［式9］と［式10］をそれぞれ以下の式に置き換えて、それ以外は同じである。
【００８５】
☆  各拠点のリソース使用率 ≦ 100
☆  右辺は閾値を設定する場合はその閾値の値に変更。例えば、リソース使用率が80%以下を条件にするなら、「各拠点のリソース使用率 ≦ 80」にする。
【００８６】
負荷分散処理部１１３は、最適な組み合わせの決定後、攻撃情報テーブル１２５（例：
図１１）の各「流入元の隣接AS＋標的IPアドレス（/24単位）」の経路番号と入口情報を計算結果に基づき更新する。このとき、トラヒック制御を隣接AS内で実施する場合かつ現在の経路を第一の拠点利用時の経路（経路番号=1）から第二の拠点利用時の経路（経路番号＝2）に変更する「流入元の隣接AS＋標的IPアドレス（/24単位）」については、第一の拠点の経路時の観測量情報テーブル１２８（例：図１４）に、攻撃情報テーブル１２５の現在（第一の拠点利用時の経路）の入口情報（地域と標的宛通信量）を複製して格納する。
【００８７】
また、負荷分散処理部１１３は、対処に利用する拠点切り替えに伴う経路変更又は新規対処（mitigation拠点への新規引き込み）の発生する「流入元の隣接AS＋標的IPアドレス（/24単位）」の情報（流入元の隣接AS番号と標的IPアドレスと変更後の経路番号）を攻撃対処設定部１１４に通知すると共に呼び出しを行う。
【００８８】
＜攻撃対処設定部１１４＞
攻撃対処設定部１１４は、負荷分散処理部１１３から通知された、流入元の隣接AS番号、標的IPアドレス、変更後の経路番号に基づき、トラヒック制御を隣接AS内で実施する場合は、流入元の隣接ASに対して、標的IPアドレス宛通信を変更後の経路で転送するためのBGP経路を広告する。例えば、第一の拠点利用時の経路に切り替える場合は、全ての地域の入口GWから指定の隣接ASの対向のGW（eBGPピア）に対して、当該標的IPアドレス宛通信（/24）の経路情報におけるMED値を同じ値に設定したBGP経路を広告する。第二の拠点利用時の経路に切り替える場合は、例えば、アジア地域の入口からのみ流入させてもらいたいなら、アジア地域の入口のGWからは、指定の隣接ASの対向GW（eBGPピア）に対して、当該標的IPアドレス宛通信（/24）の経路情報におけるMED値を、他の地域の入口のGWからの経路情報におけるMED値よりも小さい値に設定して、BGP経路を広告する。また、自AS内ではanycastルーティングを適用し、自ASの各GW・パケット転送装置（iBGPピア）に対して、標的IPアドレス宛通信をmitigation拠点まで転送するためのBGP経路広告を行う。なお、前述のトラヒック制御の手順・方法は一例であり、本実施の形態で想定する経路制御を実現可能であれば、上記だけに限定されない。また、トラヒック制御を自AS内で実施する場合について、第一の拠点利用時の経路に切り替える場合は、例えば、自AS内でanycastルーティングを適用した上で、自ASの各GW・パケット転送装置（iBGPピア）に対して、標的IPアドレス宛通信をmitigation拠点まで転送するためのBGP経路広告を行う。第二の拠点利用時の経路に切り替える場合は、例えば、自AS内でanycastルーティングを適用せずに、自ASの各GW・パケット転送装置（iBGPピア）に対して、標的IPアドレス宛通信を出口側のmitigation拠点まで転送するためのBGP経路広告を行う。
【００８９】
＜再調整・対処終了判断部１１５＞
再調整・対処終了判断部１１５は、タイマーによって定期的に呼び出され、標的宛通信量の増減に伴う再調整（再度リソース負荷分散を実施）・対処の終了の機能を担う。
【００９０】
再調整・対処終了判断部１１５は、mitigation拠点情報テーブル１２２（例：図８）の利用可能リソース量を確認し、例えば、事前設定された閾値を下回っていた場合に負荷分散処理部１１３を呼び出す処理を行う。これは、現在発生中の攻撃量の増加によるリソース不足に対応するための仕組みである。
【００９１】
また、再調整・対処終了判断部１１５は、各GWのフロー情報テーブル１２１（例：図７）に基づき、攻撃情報テーブル１２５（例：図１１）の現在発生中の標的に関する情報を更新する。更新の内容としては、任意の標的IPアドレスについて、流入元ASの増減や入口の地域の増減、標的宛通信量の値の増減が想定される。その後、標的宛通信量（複数地域が入口の場合は各地域の通信量の合計値）が例えば事前設定の閾値を下回っている場合は、当該攻撃への対処を終了する。具体的には、標的IPアドレス情報テーブル１２４（例：図８）から対処を終了する標的IPアドレスを削除し、攻撃対処設定部１１４を介して、対処を終了する標的宛通信の宛先を平常時の宛先にした（また、MED値の変更を行っている場合は元に戻した）BGP経路を広告することで任意のmitigation拠点への引き込みを停止する。
【００９２】
（DDoS攻撃対処手順の例）
次に、図１５を参照して、本発明の実施の形態によるDDoS攻撃対処手順の一例を説明する。図１５は、本発明の実施の形態によるDDoS攻撃対処手順を示すシーケンス図である。ここでは、AS1がAS2, AS3, AS4を標的とするDDoS攻撃の検知・対処サービスを各ASに対して提供している想定である。また、最初に、AS2内の標的システム1宛にAS5の北米及びAS6の欧州を送信元とするDDoS攻撃（通信量は各送信元から10Gbpsずつ）が発生し、対処を実施後、更に、AS4の標的システム2、3宛にAS5の欧州とアジア、AS6の欧州を送信元とするDDoS攻撃（通信量はAS5の欧州が20Gbps、AS5のアジアが10Gbps、AS6の欧州が20Gbps）が発生し、対処を実施する状況を想定している。また、AS1には3地域にmitigation拠点が存在し、各拠点のmitigation装置の最大リソース量は60Gbpsである。また、この例での拠点間のリソース負荷分散のためのトラヒック制御は、隣接AS内の経路を変更することで実施する場合について記載する。
【００９３】
［標的システム1宛に攻撃発生］
Ｓ１）トラヒック情報収集・DDoS攻撃検知装置２００は、定期的に各GWからフロー情報を収集し、フロー情報テーブル（例：図７）に「宛先IPアドレス＋流入元（流出先）隣接AS」毎の通信量を格納する。また、定期的に各拠点のmitigation装置３００から利用可能リソース量を収集し、mitigation拠点情報テーブル（例：図８）に格納する。更に、フロー情報の分析（例えば、特定宛先の通信量が事前設定の閾値以上になった場合に攻撃と検知）により、AS2の標的システム1に対する攻撃を検知し、DDoS対処装置１００に標的システム1のIPアドレスを含む攻撃検知メッセージを送信する。
【００９４】
Ｓ２）DDoS対処装置１００は、受信メッセージに含まれる標的IPアドレスを標的IPアドレス情報テーブル１２４（例：図１０）に格納する。また、各GWのフロー情報テーブル１２１（例：図７）と受信した標的IPアドレスから、標的IPアドレス宛通信がどの地域のGWから自AS内にどれだけの量流入し、どの地域のGWから他ASに流出しているかを判断し、流入元の隣接AS番号、標的IPアドレス（/24単位でマージしたもの）、現在の経路番号、入口の地域、入口から入ってくる標的宛通信量（その地域の入口GWが複数ある場合や複数の標的IPアドレスが含まれる場合はその合計量）、出口の地域の情報を攻撃情報テーブル１２５（例：図１１）に登録する。更に、攻撃情報テーブル１２５（例：図１１）、各GWと拠点の対応情報テーブル１２３（例：図９）、mitigation拠点情報テーブル１２２（例：図８）に基づき、現在、各入口（地域）から流入する標的宛通信量をその入口に対応する拠点に引き込んだ場合に、十分なリソースがあるかを判断し、不足する場合は負荷分散処理を開始する。ここでは、北米から流入する標的宛通信量(=10Gbps) < 拠点1の利用可能リソース量(=60Gbps)かつ欧州から流入する標的宛通信量(=10Gbps) < 拠点2の利用可能リソース量(=60Gbps)かつアジアからの流入なしであり、現在の経路のまま対処を実施した場合でも各拠点に十分なリソースがあるため、負荷分散は実施しない。
【００９５】
Ｓ３）DDoS対処装置１００は、攻撃情報テーブル１２５（例：図１１）の経路番号を1に設定し、GWやパケット転送装置４００に対して、標的宛通信をmitigation装置３００に引き込んで対処するためのBGP経路広告を実施する。
【００９６】
Ｓ４）現在対処中の攻撃が存在しない（初回の対処）のため、再調整・対処終了部１１５を定期的に呼び出すタイマーを設定する。
【００９７】
Ｓ５）GW、パケット転送装置４００は受信したBGP経路情報に従い、各mitigation拠点への標的宛通信の引き込みを開始する。
【００９８】
［標的システム2、3宛に攻撃が発生］
Ｓ６）トラヒック情報収集・DDoS攻撃検知装置２００は、手順1）（Ｓ１）と同様に、AS4の標的システム2、3に対する攻撃の発生を検知し、DDoS対処装置１００に対して、これらのIPアドレスを含む攻撃検知メッセージを送信する。
【００９９】
Ｓ７）DDoS対処装置１００は、手順2（Ｓ２）と同様に、受信した標的宛IPアドレス（2つ）を標的IPアドレス情報テーブル１２４（例：図１０）に格納し、攻撃情報テーブル１２５（例：図１１）にこれらの標的IPアドレスに関するレコードを追加すると共に、各GWのフロー情報テーブル１２１（例：図７）に基づき、既に対処中の標的システム1宛攻撃に関する現在の入口情報（地域と標的宛通信量）の値を最新化する。また、現在、各入口（地域）から流入する標的宛通信量をその入口に対応する拠点に引き込んだ場合に、十分なリソースがあるかを判断し、不足する場合は負荷分散処理を開始する。ここでは、欧州から流入する標的宛通信量（＝60Gbps）> mitigation拠点2の利用可能リソース量（＝50Gbps：最大リソース量から標的システム1の対処で利用している分減算）となり、拠点2のリソースが不足するため、負荷分散処理を開始する。
【０１００】
Ｓ８）DDoS対処装置１００は、「流入元の隣接AS＋標的IPアドレス（/24単位）」単位で第一の拠点利用時の経路と、第一の拠点利用時の経路と同等の遅延で転送可能かつ別の入口から通信が流入する第二の拠点利用時の経路を生成し、各経路において、各地域から流入する「流入元の隣接AS＋標的IPアドレス（/24単位）」毎の通信量を推定して、攻撃毎の第一の拠点情報テーブル１２６（例：図１２）、攻撃毎の第二の拠点情報テーブル１２７（例：図１３）に登録する。ここで、第一の拠点利用時の経路は、初期状態（現在）の経路を表しており、攻撃情報テーブル１２５（例：図１１）の値をそのまま複製することで、第一の拠点情報テーブル１２６（例：図１２）のレコードを登録できる。なお、図１２の示す例では、値が0の入口の情報についても記載しているが、図１１のように、値が0の入口の情報は省略し、値が0以上になった際に適宜追加しても良い。
【０１０１】
また、第二の拠点利用時の経路は、各「流入元の隣接AS番号＋標的IPアドレス」について、自AS内の出口の地域を各GWのフロー情報テーブル１２１（例：図７）の流出先の情報と各GWの地域情報から判別し、その地域の入口からのみ標的宛通信が流入する場合の経路として生成する。例えば、「隣接AS番号=5かつ標的IPアドレス＝198.51.100.0/24」について、攻撃情報テーブル１２５（例：図１１）から、出口の地域はアジアのため、第二の拠点情報テーブル１２７（例：図１３）の入口の地域をアジアに設定する（なお、トラヒック制御を自AS内で実施する場合は、第二の拠点情報テーブルにおける入口の地域の登録は省略可）。また、攻撃情報テーブル１２５（例：図１１）の「隣接AS番号=5かつ標的IPアドレス＝198.51.100.0/24」のレコードを参照して、各地域から流入する標的宛通信量の合計値（＝欧州から40Gbps＋アジアから10Gbps=50Gbps）を算出し、第二の拠点情報テーブル１２７（例：図１３）の「隣接AS番号=5かつ標的IPアドレス＝198.51.100.0/24」における標的宛通信量の値として設定する。他の「流入元の隣接AS番号＋標的IPアドレス」についても同様に、第二の拠点情報テーブル１２７（例：図１３）にレコードを登録する。
【０１０２】
Ｓ９）DDoS対処装置１００は、各「流入元の隣接AS＋標的IPアドレス（/24単位）」を第一の拠点と第二の拠点のどちらかを利用して対処する組み合わせの中から、各拠点のリソース不足を解消可能な最適な組み合わせを探索する。ここでは、各拠点のリソース不足の解消に加えて、より収容効率を高めるために、各拠点のリソース使用率が最も平準化されるようにするという目的関数1と、リソース不足の解消に加えて、経路変更に伴う通信への影響を考慮し、現在の経路から経路変更の必要な標的宛通信の数を最小限にするという目的関数2のそれぞれの場合について、最適な組み合わせの決定方法を説明する。
【０１０３】
＜目的関数1の場合＞
目的関数1の場合、第一の拠点情報テーブル１２６（例：図１２）、第二の拠点情報テーブル１２７（例：図１３）、各GWと拠点の対応情報テーブル１２３（例：図９）に基づき、まず、全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、1つが第二の拠点、その他が第一の拠点の場合における、各拠点のリソース使用率（＝対処量/最大リソース量×100）を算出し、その最大値を保持する。例えば、「流入元の隣接AS=5かつ標的IPアドレス=198.51.100.0/24」のみ第二の拠点の場合は、北米拠点（拠点1）で対処する量は10Gbps、欧州拠点（拠点2）で対処する量は30Gbps、アジア拠点（拠点3）で対処する量は50Gbpsとなり、リソース使用率の最大値は拠点3の50/60*100=83.3%となる。この使用率の最大値を他の「流入元の隣接AS＋標的IPアドレス（/24単位）」のみが第二の拠点の場合についても同様に計算する。更に、全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、2つが第二の拠点、その他が第一の拠点の場合、3つが第二の拠点、その他が第一の拠点の場合、・・・と全通りで算出し、リソース使用率の最大値が最小となる各「流入元の隣接AS＋標的IPアドレス（/24単位）」の経路の組み合わせを抽出することで、目的関数1に最適な組み合わせ（「流入元の隣接AS=6かつ標的IPアドレス=198.51.100.0/24」のみ第一の拠点で、それ以外は第二の拠点。この時のリソース使用率の最大値=40/60*100=66.7%）を決定することができる。
【０１０４】
＜目的関数2の場合＞
目的関数2の場合、第一の拠点情報テーブル１２６（例：図１２）、第二の拠点情報テーブル１２７（例：図１３）、各GWと拠点の対応情報テーブル１２３（例：図９）に基づき、まず、全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、1つが第二の拠点、その他が第一の拠点の場合における、各拠点のリソース使用率を算出し、全拠点のリソース使用率が100％以下（又は、攻撃量の変動に対処するため、閾値等を設定して、その閾値以下。ここでは100％以下を条件として探索する場合を記載）になる組み合わせを抽出し、現在の経路から変更の必要な（利用する拠点の切り替えが必要な）「流入元の隣接AS＋標的IPアドレス（/24単位）」の数が最も少ないものを抽出する。これを全「流入元の隣接AS＋標的IPアドレス（/24単位）」の内、2つが第二の拠点、その他が第一の拠点の場合、3つが第二の拠点、その他が第一の拠点の場合、・・・と全通りで行い、最も経路変更数の少ない組み合わせを抽出することで、目的関数2に最適な組み合わせを決定することができる。例えば、「流入元の隣接AS=5かつ標的IPアドレス=198.51.100.0/24」のみ第二の拠点の場合は、北米拠点（拠点1）で対処する量は10Gbps、欧州拠点（拠点2）で対処する量は30Gbps、アジア拠点（拠点3）で対処する量は50Gbpsとなり、全て拠点の最大リソース量（＝60Gbps）以下でリソース使用率の条件を満たし、経路変更数は最小値の1になるため、これを最適な組み合わせとして抽出する。目的関数2の場合、全探索の途中で、リソース使用率の条件を満たしつつ、経路変更数が最小値の1の組み合わせを見つけた場合、探索を終了することで計算時間を短縮することもできる。
【０１０５】
なお、目的関数1と目的関数2の計算において、最適な組み合わせを全探索で見つける場合を記載しているが、前述したとおり、混合整数計画問題として定式化することも可能であり、その場合、分枝限定法や切除平面法等を用いて、全探索よりも効率的に解を求めることもできる。
【０１０６】
DDoS対処装置１００は、最適な組み合わせの探索完了後、攻撃情報テーブル１２５（例：図１１）の各「流入元の隣接AS＋標的IPアドレス（/24単位）」の経路番号と入口情報を探索結果に基づき更新する。このとき、現在の経路を第一の拠点利用時の経路（経路番号=1）から第二の拠点利用時の経路（経路番号＝2）に変更する「流入元の隣接AS＋標的IPアドレス（/24単位）」については、第一の拠点の経路時の観測量情報テーブル１２８（例：図１４）に、攻撃情報テーブル１２５（例：図１１）の現在（第一の拠点利用時の経路）の入口情報（地域と標的宛通信量）を複製して格納する。
【０１０７】
Ｓ１０）DDoS対処装置１００は、GWやパケット転送装置４００に対して、各「流入元の隣接AS＋標的IPアドレス（/24単位）」を所望の経路でmitigation装置３００に引き込んで対処するためのBGP経路広告を実施する。
【０１０８】
一例として、現在mitigation装置３００への引き込みを実施中の「流入元の隣接AS＋標的IPアドレス（/24単位）」について、第一の拠点利用時の経路から第二の拠点利用時の経路（例：アジアから流入）に切り替えを行う場合は、アジア地域の入口のGWからは、指定の隣接ASの対向GW（eBGPピア）に対して、当該標的IPアドレス宛通信（/24）の経路情報におけるMED値を、他の地域の入口のGWからの経路情報におけるMED値よりも小さい値に設定して、BGP経路を広告する。また、第二の拠点利用時の経路から第一の拠点利用時の経路への切り替えを行う場合は、全ての地域の入口GWから指定の隣接ASの対向のGW（eBGPピア）に対して、当該標的IPアドレス宛通信（/24）の経路情報におけるMED値を同じ値に設定したBGP経路を広告する。
【０１０９】
上記の隣接AS内の経路変更に加え、mitigation装置３００への引き込みを新規に実施する「流入元の隣接AS＋標的IPアドレス（/24単位）」については、例えば、自AS内でanycastルーティングを適用すると共に、自ASの各GW・パケット転送装置（iBGPピア）に対して、標的IPアドレス宛通信をmitigation拠点まで転送するためのBGP経路広告を行うことで、流入する入口に対応する拠点への引き込みを実施する。
【０１１０】
なお、トラヒック制御を自AS内で実施することで、任意の標的宛通信の対処に利用する拠点を切り替える場合は、Ｓ１０）の処理において、第一の拠点利用時の経路に切り替える場合は、例えば、自AS内でanycastルーティングを適用した上で、自ASの各GW・パケット転送装置（iBGPピア）に対して、標的IPアドレス宛通信をmitigation拠点まで転送するためのBGP経路広告を行う。第二の拠点利用時の経路に切り替える場合は、例えば、自AS内でanycastルーティングを適用せずに、自ASの各GW・パケット転送装置（iBGPピア）に対して、標的IPアドレス宛通信を出口側のmitigation拠点まで転送するためのBGP経路広告を行う。
【０１１１】
Ｓ１１）GW装置、パケット転送装置４００は、各「隣接AS＋標的IPアドレス」について、隣接ASへの経路情報の伝搬による経路変更及びmitigation拠点への引き込みを実施する。
【０１１２】
Ｓ１２）DDoS対処装置１００は、以降、タイマー又は攻撃検知メッセージの受信契機で、再度、負荷分散の必要可否判断を実施する。また、タイマー契機で、対処終了判断を実施する。
【０１１３】
（実施の形態のまとめ）
上述したように、本実施の形態により、DDoS攻撃に対する複数の軽減拠点を備える自律システムにおいて、少なくとも１つの隣接自律システムから流入するDDoS攻撃の標的宛通信に対する対処を実施するDDoS対処装置であって、前記自律システムには、隣接自律システムとの複数の接続点となる複数のゲートウェイ装置が備えられ、ゲートウェイ装置毎に、流入した標的宛通信に係る攻撃の軽減を行う軽減拠点が予め定められており、少なくとも１つの攻撃が検知された場合に、標的宛通信が流入するゲートウェイ装置に対応する軽減拠点における利用可能リソース量と、当該標的宛通信の通信量とに基づいて、負荷分散処理を実行するか否かを判断する負荷分散判断部と、前記負荷分散判断部により、負荷分散処理を行うと判断された場合において、攻撃毎に、軽減拠点におけるリソース不足が解消されるように、標的宛通信の対処に利用する軽減拠点を複数の軽減拠点から決定する負荷分散処理部と、攻撃毎に、攻撃に係る標的宛通信が、前記負荷分散処理部により決定された軽減拠点を経由するように経路制御を実行する攻撃対処設定部とを備えることを特徴とするDDoS対処装置が提供される。
【０１１４】
前記負荷分散処理部は、例えば、軽減拠点におけるリソース不足の解消に加えて、各軽減拠点のリソース使用率が最も平準化されるように攻撃毎の経路を決定する。
【０１１５】
前記負荷分散処理部は、軽減拠点におけるリソース不足の解消に加えて、現在の経路から経路変更の必要な標的宛通信の数を最小限にするように攻撃毎の経路を決定することとしてもよい。
【０１１６】
前記対処に利用する軽減拠点は、例えば、標的宛通信を同等の遅延で転送可能な1つ以上の経路上に存在する複数の軽減拠点を含む。また、前記複数の軽減拠点は、標的宛通信が流入するゲートウェイ装置に対応する第一の拠点、及び、標的宛通信が流出するゲートウェイ装置に対応する第二の拠点を含むこととしてもよい。
【０１１７】
前記負荷分散処理部は、攻撃毎に、攻撃に係る標的宛通信が前記第一の拠点を経由する場合の各ゲートウェイ装置における標的宛通信量を記録した第一の拠点情報テーブル、及び、攻撃毎に、攻撃に係る標的宛通信が前記第二の拠点を経由する場合の標的地域のゲートウェイ装置における標的宛通信量を記録した第二の拠点情報テーブルを作成し、前記第一の拠点情報テーブルの情報、及び前記第二の拠点情報テーブルの情報に基づいて、攻撃毎の対処に利用する軽減拠点を決定することとしてもよい。
【０１１８】
本実施の形態に係る技術により、対処に伴う標的宛通信の遅延の増加を防ぎつつ、拠点間のリソース負荷分散を行うことで、より多くのDDoS攻撃に対処可能になる。
【０１１９】
以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【０１２０】
１００  DDoS対処装置
１１０  処理部
１１１  攻撃検知メッセージ処理部
１１２  負荷分散判断部
１１３  負荷分散処理部
１１４  攻撃対処設定部
１１５  再調整・対処終了判断部
１２０  記憶部
１２１  フロー情報テーブル
１２２  mitigation拠点情報テーブル
１２３  各GWと拠点の対応情報テーブル
１２４  標的IPアドレス情報テーブル
１２５  攻撃情報テーブル
１２６  攻撃毎の第一の拠点情報テーブル
１２７  攻撃毎の第二の拠点情報テーブル
１２８  第一の拠点の経路時の観測量情報テーブル
１３０  通信部
１５０  ドライブ装置
１５１  記録媒体
１５２  補助記憶装置
１５３  メモリ装置
１５４  ＣＰＵ
１５５  インタフェース装置
１５６  表示装置
１５７  入力装置
２００  トラヒック情報収集・DDoS攻撃検知装置
３００  mitigation装置
４００  パケット転送装置
【図１】
2019140574.tif 000003
【図２】
2019140574.tif 000004
【図３】
2019140574.tif 000005
【図４】
2019140574.tif 000006
【図５】
2019140574.tif 000007
【図６】
2019140574.tif 000008
【図７】
2019140574.tif 000009
【図８】
2019140574.tif 000010
【図９】
2019140574.tif 000011
【図１０】
2019140574.tif 000012
【図１１】
2019140574.tif 000013
【図１２】
2019140574.tif 000014
【図１３】
2019140574.tif 000015
【図１４】
2019140574.tif 000016
【図１５】
2019140574.tif 000017