(57)【要約】【課題】ＤｏＳ／ＤＤｏＳ攻撃などの不正アクセス攻撃の発生を精度よく検出する。【解決手段】通信システムは、送信元の装置から送信されたパケットを１以上の通信装置により転送する。攻撃検知装置２０の転送部２１は、パケットを転送する。トラフィック情報管理部２２は、転送部２１において転送されるパケットのトラフィックを、通信装置がパケットの転送時に付与した当該通信装置の識別子又は通信システムの上位の通信装置がパケットに付与した転送先の通信装置の識別子に基づいて、サブトラフィックに分類する。攻撃検知手続実行部２３は、トラフィック情報管理部２２が分類したサブトラフィックに基づいて攻撃の有無を検出する。【選択図】図４
2019092039.tif 000002
【特許請求の範囲】
【請求項１】
１以上の通信装置によりパケットを転送する通信システムにおける攻撃検知方法であって、
前記パケットを転送する転送ステップと、
前記転送ステップにおいて転送した前記パケットのトラフィックを、前記通信装置が前記パケットの転送時に付与した当該通信装置の識別子又は前記通信システムの上位の通信装置が前記パケットに付与した転送先の前記通信装置の識別子に基づいて、サブトラフィックに分類するトラフィック情報管理ステップと、
前記トラフィック情報管理ステップにおいて分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知ステップと、
を有する攻撃検知方法。
【請求項２】
前記トラフィック情報管理ステップにおいては、前記パケットに付与された前記通信装置の識別子と対応付けて前記パケットに関する情報を管理し、
前記攻撃検知ステップにおいては、前記サブトラフィックごとに前記パケットに関する情報に基づいて攻撃の有無を検知する、
請求項１に記載の攻撃検知方法。
【請求項３】
前記通信装置が、転送する前記パケットに付与された前記識別子を変換する変換ステップをさらに有し、
前記トラフィック情報管理ステップにおいては、前記変換ステップにおいて変換された前記識別子に基づいて前記トラフィックをサブトラフィックに分類する、
請求項１又は請求項２に記載の攻撃検知方法。
【請求項４】
前記通信システムにおけるエッジ領域の前記通信装置が、前記パケットに当該通信装置の識別子を付与して転送する転送元識別子付与ステップをさらに有する、
請求項３に記載の攻撃検知方法。
【請求項５】
前記転送元識別子付与ステップを行う前記通信装置は、加入者線終端装置であり、
前記変換ステップを行う前記通信装置は、加入者線端局装置である、
請求項４に記載の攻撃検知方法。
【請求項６】
１以上の通信装置によりパケットを転送する通信システムにおける攻撃を検出する攻撃検知装置であって、
前記パケットを転送する転送部と、
前記転送部において転送される前記パケットのトラフィックを、前記通信装置がパケットの転送時に付与した当該通信装置の識別子又は前記通信システムの上位の通信装置が前記パケットに付与した転送先の前記通信装置の識別子に基づいて、サブトラフィックに分類するトラフィック情報管理部と、
前記トラフィック情報管理部により分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知手続実行部と、
を備える攻撃検知装置。
【請求項７】
１以上の通信装置によりパケットを転送する通信システムであって、
前記パケットを転送する転送部と、
前記転送部において転送される前記パケットのトラフィックを、前記通信装置がパケットの転送時に付与した当該通信装置の識別子又は前記通信システムの上位の通信装置が前記パケットに付与した転送先の前記通信装置の識別子に基づいて、サブトラフィックに分類するトラフィック情報管理部と、
前記トラフィック情報管理部により分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知手続実行部と、
を備える通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、攻撃検知方法、攻撃検知装置及び通信システムに関する。
【背景技術】
【０００２】
ＩｏＴ（Internet of Things）サービス等の隆盛に伴い、今後多くのセンサ・デバイスがキャリアネットワークに接続されることが予想される。その一方で、それらのデバイスを乗っ取り、踏み台としたＤＤｏＳ攻撃（Distributed Denial of Service）の発生件数も今後さらに増大すると予想される。
【０００３】
ＤｏＳ（Denial of Service）／ＤＤｏＳ攻撃の防止には、その検知が重要となる。これまで多くの手法が検討されてきたが、検知精度が課題であった。大量のトラフィックの中から、特に低レートの攻撃パケットを検知するのは困難である。本明細書では、ＤｏＳ又はＤＤｏＳ攻撃において、攻撃元ホストから攻撃対象に対して送信されるパケットを「攻撃パケット」と呼称する。
【０００４】
従来手法では、パケットの送信者・受信者アドレスにハッシュ関数を適用し、トラフィックをサブトラフィックに分割した上で、サブトラフィックごとに検知技術を適用、もしくはサブトラフィック間で比較を行う（例えば、非特許文献１参照）。これにより、以下の二点の効果により検知精度が向上を狙う。
【０００５】
１点目の効果は、データ数の削減である。分割により、検知対象のデータ数を削減し、埋もれている特性の検知が容易となる。
【０００６】
２点目の効果は、サブトラフィックごとの特性顕在化である。ＤｏＳ／ＤＤｏＳの攻撃パケットは、特定のホスト（もしくはネットワーク）から送信され、特定の攻撃対象ホスト（もしくはネットワーク）を持つことも多い。この特性を利用し、送信者・受信者アドレス（もしくはネットワークマスク）にハッシュ関数を適用すれば、各ホスト（もしくはネットワーク）のトラフィック特性を顕在化でき、検知が容易となる。
また、サブトラフィック間の比較も可能になるため、検知精度の向上が期待できる。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】福田  健介，「インターネットバックボーントラフィックにおける異常検出」，コンピュータソフトウェア，Vol.30(2)，p.23-32，2013年
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、攻撃パケットの多くは送信元アドレスを偽装している。そのため、前述の２点目の効果で述べたようなサブトラフィックごとに明確な特性が出ることは少なく、検知精度の向上が見込めない可能性がある。
【０００９】
上記事情に鑑み、本発明は、ＤｏＳ／ＤＤｏＳ攻撃などの不正アクセス攻撃の発生を精度よく検出することができる攻撃検知方法、攻撃検知装置及び通信システムを提供することを目的としている。
【課題を解決するための手段】
【００１０】
本発明の一態様は、１以上の通信装置によりパケットを転送する通信システムにおける攻撃検知方法であって、前記パケットを転送する転送ステップと、前記転送ステップにおいて転送した前記パケットのトラフィックを、前記通信装置が前記パケットの転送時に付与した当該通信装置の識別子又は前記通信システムの上位の通信装置が前記パケットに付与した転送先の前記通信装置の識別子に基づいて、サブトラフィックに分類するトラフィック情報管理ステップと、前記トラフィック情報管理ステップにおいて分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知ステップと、を有する。
【００１１】
本発明の一態様は、上述の攻撃検知方法であって、前記トラフィック情報管理ステップにおいては、前記パケットに付与された前記通信装置の識別子と対応付けて前記パケットに関する情報を管理し、前記攻撃検知ステップにおいては、前記サブトラフィックごとに前記パケットに関する情報に基づいて攻撃の有無を検知する。
【００１２】
本発明の一態様は、上述の攻撃検知方法であって、前記通信装置が、転送する前記パケットに付与された前記識別子を変換する変換ステップをさらに有し、前記トラフィック情報管理ステップにおいては、前記変換ステップにおいて変換された前記識別子に基づいて前記トラフィックをサブトラフィックに分類する。
【００１３】
本発明の一態様は、上述の攻撃検知方法であって、前記通信システムにおけるエッジ領域の前記通信装置が、前記パケットに当該通信装置の識別子を付与して転送する転送元識別子付与ステップをさらに有する。
【００１４】
本発明の一態様は、上述の攻撃検知方法であって、前記転送元識別子付与ステップを行う前記通信装置は、加入者線終端装置であり、前記変換ステップを行う前記通信装置は、加入者線端局装置である。
【００１５】
本発明の一態様は、１以上の通信装置によりパケットを転送する通信システムにおける攻撃を検出する攻撃検知装置であって、前記パケットを転送する転送部と、前記転送部において転送される前記パケットのトラフィックを、前記通信装置がパケットの転送時に付与した当該通信装置の識別子又は前記通信システムの上位の通信装置が前記パケットに付与した転送先の前記通信装置の識別子に基づいて、サブトラフィックに分類するトラフィック情報管理部と、前記トラフィック情報管理部により分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知手続実行部と、を備える。
【００１６】
本発明の一態様は、１以上の通信装置によりパケットを転送する通信システムであって、前記パケットを転送する転送部と、前記転送部において転送される前記パケットのトラフィックを、前記通信装置がパケットの転送時に付与した当該通信装置の識別子又は前記通信システムの上位の通信装置が前記パケットに付与した転送先の前記通信装置の識別子に基づいて、サブトラフィックに分類するトラフィック情報管理部と、前記トラフィック情報管理部により分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知手続実行部と、を備える。
【発明の効果】
【００１７】
本発明により、ＤｏＳ／ＤＤｏＳ攻撃などの不正アクセス攻撃の発生を精度よく検出することが可能となる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施形態の概要を説明するための図である。
【図２】第１の実施形態による通信システムの構成を示す図である。
【図３】同実施形態によるサブトラフィック分類を示す図である。
【図４】同実施形態による攻撃検知装置の構成を示す機能ブロック図である。
【図５】同実施形態によるトラフィック情報の一例を示す図である。
【図６】同実施形態による攻撃検知方法を示すフロー図である。
【図７】第２の実施形態によるサブトラフィック分類を示す図である。
【図８】第３の実施形態による通信システムの構成を示す図である。
【図９】同実施形態による攻撃検知部の一例を示す図である。
【図１０】同実施形態によるトラフィック情報の一例を示す図である。
【発明を実施するための形態】
【００１９】
以下、図面を参照しながら本発明の実施形態を詳細に説明する。
ＤｏＳ／ＤＤｏＳ攻撃パケットの送信元、およびその送信先（すなわちＤＤｏＳ攻撃対象）は、地理的な局所性を持つと予想される。すなわち、特定の地域から攻撃トラフィックが大量に送信されるか、もしくは、特定の地域に対して大量の攻撃パケットが送信される。例えば、２０１６年に、マルウェアＭｉｒａｉに感染したデバイスを踏み台としたＤＤｏＳ攻撃が発生したが、感染したデバイスの数は国ごとに偏りがあることが報告されている。
【００２０】
図１は、本発明の実施形態の概要を説明するための図である。ユーザの端末１１、センサ・デバイス１２（以下、「センサ１２」と記載）、及び、ホームゲートウェイ１３等は、キャリアネットワーク１９と接続する際に、キャリアネットワーク１９のエッジ通信装置１４のうち、自身から近い位置のエッジ通信装置１４と接続することが一般的である。エッジ通信装置１４は、キャリアネットワーク１９のエッジ領域にある通信装置（例えば、モバイル基地局）である。ＤｏＳ／ＤＤｏＳ攻撃が発生した場合、エッジ通信装置１４を流れるトラフィックには、前述した地理的な局所性が強く反映されると予想される。
【００２１】
よって、トラフィックに対して付与された、転送先、もしくは転送元のエッジ通信装置１４を示す識別子と紐づけてサブトラフィック分類を行えば、サブトラフィックごとに明確な特性が現れ、検知精度が向上すると考えられる。さらに前述の識別子は、キャリアネットワーク１９において付与されるため、従来技術で用いられたような送信元ＩＰアドレス等とは異なり、悪意ある攻撃者が書き換えることが困難であると考えられる。
【００２２】
以下では、キャリアネットワーク１９のエッジ領域として、光アクセスネットワークを例として用いた場合の実施形態を示す。また、本実施形態では、複数の攻撃元が存在し、より検知が困難であるＤＤｏＳ攻撃のみを想定したが、攻撃元が単数であるＤｏＳ攻撃にも適用可能である。
【００２３】
［第１の実施形態］
本実施形態は、キャリアネットワーク１９のエッジ領域に、加入者線端局装置であるＯＬＴ（Optical Line Terminal；局内光終端装置）と、加入者線終端装置であるＯＮＵ（Optical Line Terminal：光終端装置）とからなるＰＯＮ（Passive Optical Network；受動光ネットワーク）を用いた例を示す。ＰＯＮは、光アクセスネットワークの一例である。前述のエッジ通信装置１４として、ＯＮＵが用いられる。本実施形態では、サブトラフィックの分類に、ＯＮＵの識別子であるＬＬＩＤ（Logical Link ID）又はＶＩＤ（Virtual Local Area Network ID）を利用する。
【００２４】
図２は、第１の実施形態の通信システム１００の構成を示す図である。通信局舎には、スイッチ１１１と接続される１台以上のＯＬＴ１１２が存在する。以下では、Ｎ台（Ｎは１以上の整数）のＯＬＴ１１２を、ＯＬＴ＃１〜ＯＬＴ＃Ｎと記載する。同図では、Ｎ＝２の場合を例に示している。スイッチ１１１は上位装置と接続される。
【００２５】
ユーザ宅内や、企業内には、ＯＮＵ１１３やホームゲートウェイが位置する。ＯＬＴ１１２には、１台以上のＯＮＵ１１３が接続される。同図では一例として、単一ＯＬＴ１１２と複数ＯＮＵ１１３とが接続されるＰＯＮを示しているが、ＯＬＴ１１２とＯＮＵ１１３とが一対一で接続するＳＳ（Single Star）構成をとっても良い。以下では、ＯＬＴ＃ｎ（ｎは１以上Ｎ以下の整数）と接続されるＫｎ台（Ｋｎは１以上の整数）のＯＮＵ１１３を、ＯＮＵ＃ｎ−１〜ＯＮＵ＃ｎ−Ｋｎと記載する。スイッチ１１１、ＯＬＴ１１２及びＯＮＵ１１３は、キャリアネットワークを構成する。
【００２６】
ユーザ宅内や、企業内には、宅内ＬＡＮ（Local Area Network）や企業内ＬＡＮであるＬＡＮ１１５が敷設されている。ＬＡＮ１１５により、ＯＮＵ１１３やホームゲートウェイは、端末１１７及びセンサ・デバイス１１８（以下、「センサ１１８」と記載する。）と接続される。
【００２７】
図３は、ＯＮＵ１１３と紐付けられたサブトラフィック分類を示す図である。マルウェアによる感染は、ユーザ宅内や企業内のＬＡＮ１１５内で発生する。しばしば、ＬＡＮ１１５における端末１１７やセンサ１１８が複数、マルウェアに感染し、ＤＤｏＳの踏み台となる。この感染により、ＬＡＮ１１５における複数の端末１１７及びセンサ１１８がＤＤｏＳ攻撃パケットを上り方向（ＯＮＵ１１３からキャリアネットワーク方向）へ同時に送信したとする。この場合、端末１１及びセンサ１１８一台あたりの攻撃パケットの送出が低レートであったとしても、ＬＡＮ１１５のゲートウェイと接続されるＯＮＵ＃ｎ−ｋから送信されるトラフィックは、正常時のトラフィックと比較して、もしくは、他のＯＮＵ＃ｎ−ｊ（ｋ≠ｊ、ｊは１以上Ｋｎ以下の整数）から送信されるトラフィックと比較して、顕著な特性が現れると予想される。
【００２８】
ここまで、ＯＮＵ１１３に接続されたＬＡＮ１１５がＤＤｏＳ攻撃の送信元となる例を説明したが、攻撃の対象となった場合も同様である。ＤＤｏＳ攻撃は、セキュリティ対策が薄い特定のユーザ、および企業を対象として発生することが多い。ＤＤｏＳ攻撃の発生時には、攻撃の対象となったユーザや企業のＬＡＮ１１５が接続されるＯＮＵ１１３に対して送信されるトラフィックには、他のＯＮＵ１１３を宛先とした送信トラフィックと比較して、顕著な特性が現れると予想される。
【００２９】
上記の特性を利用して、ＯＮＵ１１３に紐づいたサブトラフィック分類を行えば、ＤＤｏＳ攻撃の検知精度の向上が期待できる。たとえば、ＯＬＴ１１２とＯＮＵ１１３とがＥＰＯＮ（Ethernet（登録商標） PON）を構成しているとする。ＥＰＯＮにおいて、ＯＮＵ１１３は、端末１１７やセンサ１１８などの下位の装置から受信した上り方向のパケットに、自装置のＬＬＩＤ（Logical Link ID）を付与してＯＬＴ１１２に送信する。ＬＬＩＤは、ＯＮＵの識別子である。上位通信装置におけるユーザ（ＯＮＵ）識別の方法はいくつか考えられるが、たとえば、特開２００７−２０８９４４号公報に記載の技術によれば、ＯＬＴ１１２は、上りパケットに付与されたＬＬＩＤを一対一変換によりＶＩＤ（VLAN ID）に変換したのち、上位通信装置に転送する。一方、ＯＬＴ１１２の上位の通信装置である上位装置は、下り方向（キャリアネットワークからＯＮＵ１１３の方向）のパケットに、ＯＮＵ１１３の識別子としてＶＩＤを付与し、パケットを送信する。ＯＬＴ１１２は、下り方向のパケットに付与されたＶＩＤを一対一変換によりＬＬＩＤに変換したのち、ＯＮＵ１１３に転送する。これらの識別子を利用すれば、ＯＮＵ１１３ごとのサブトラフィック分類が実現できる。さらに前述のＬＬＩＤやＶＩＤなどの識別子は、キャリアネットワークの通信装置によって付与されるものであるため、悪意ある攻撃者による書き換えに対して頑強である。また、本実施形態の適用によって通信帯域を新たに圧迫することもない。
【００３０】
図４は、本実施形態による攻撃検知装置２０の構成を示す機能ブロック図であり、本実施形態と関係する機能ブロックのみを抽出して示してある。攻撃検知装置２０は、転送部２１、トラフィック情報管理部２２及び攻撃検知手続実行部２３を備える。転送部２１は、パケットの転送を行うと同時に、転送したパケットに付与されたＬＬＩＤ又はＶＩＤであるサブトラフィック識別子と、パケットに関する情報の一部、もしくはすべてをトラフィック情報管理部２２に出力する。パケットに関する情報は、宛先ポート番号（宛先のアプリケーション特定を行うためにＴＣＰ／ＵＤＰヘッダに含まれる番号）やプロトコル番号等、パケットに付与される情報だけでなく、到着頻度等のパケットの挙動を示す情報やパケットの転送方向、パケットの入出力ポート等でもよい。トラフィック情報管理部２２は、記憶部２２１を備えている。トラフィック情報管理部２２は、記憶部２２１により転送部２１から受信したサブトラフィック識別子と、パケットに関する情報とを紐づけて記憶し、管理する。なお、記憶部２２１は、トラフィック情報管理部２２の外部に備えられてもよい。
【００３１】
図５は、記憶部２２１に記憶されるトラフィック情報の一例を示す図である。なお、図５記載のトラフィック情報は、転送方向ごとに用意されるが、ここでは簡単のため、ＯＮＵからＯＬＴ方向の上り方向のＤＤｏＳ攻撃が発生したと仮定し、上り方向のトラフィック情報のみを示す。トラフィック情報管理部２２は、サブトラフィック識別子により特定されるＯＮＵ１１３別に、宛先ポート番号ごとのパケットの数をカウントし、カウント結果を記憶部２２１に書き込む。トラフィック情報管理部２２は、宛先ポート番号をパケットに関する情報として、サブトラフィック識別子とともに転送部２１から受信する。同図に示すトラフィック情報では、ＬＬＩＤ又はＶＩＤにより特定される各ＯＮＵ１１３について、宛先ポート番号別のパケット数をカウンタに保持している。
【００３２】
攻撃検知手続実行部２３は、定期的にトラフィック情報管理部２２に問い合わせと、トラフィック情報管理部２２が記憶部２２１に保持しているトラフィック情報の取得を行う。攻撃検知手続実行部２３は、各ＯＮＵ１１３と紐づけて設定されているトラフィック情報をサブトラフィックの情報として用い、ＤＤｏＳ攻撃検知を行う。例えば、攻撃検知手続実行部２３は、宛先ポート番号別のパケット数など、サブトラフィック毎のパケットに関する情報に基づいて、ＤＤｏＳ攻撃検知を行う。本実施形態では任意のＤＤｏＳ攻撃の検知手法を用いることができるが、一例としては、アノマリー検知があげられる。アノマリー検知では、正常時の通信パターンを定義しておき、そこから逸脱した通信を異常、すなわちＤＤｏＳ攻撃として判断する。
【００３３】
図６は、攻撃検知手続実行部２３における攻撃検知方法を示すフロー図である。攻撃検知手続実行部２３は、トラフィック情報管理部２２からトラフィック情報を取得する（ステップＳ１０）。続いて、攻撃検知手続実行部２３は、ＯＮＵ１１３ごとのトラフィック情報を対象サブトラフィックとして、以下のステップＳ２０〜ステップＳ４０の処理を行う。
【００３４】
まず、攻撃検知手続実行部２３は、異常検知の判断基準となる正常通信パターンを取得する（ステップＳ２０）。取得する正常な通信パターンとしては、対象サブトラフィックの過去の通信パターンや、他のサブトラフィック等が考えられる。攻撃検知手続実行部２３は、クラスタ分析等の処理によって異常状態の判定処理を行う（ステップＳ３０）。攻撃検知手続実行部２３は、サブトラフィック中に異常トラフィックを発見した場合は（ステップＳ３０：ＹＥＳ）、その異常トラフィックを識別するための情報（例えば、宛先ポート番号）を抽出する。この情報を、異常トラフィック識別情報と記載する。さらに、攻撃検知手続実行部２３は、異常トラフィック識別情報を、異常トラフィック識別情報リストに追加する（ステップＳ４０）。異常トラフィック識別情報リストは、サブトラフィック識別子と異常トラフィック識別情報の組み合わせを一要素としたリストである。
【００３５】
ＤＤｏＳ検知後、攻撃検知手続実行部２３は、異常トラフィックの遮断処理等の対処を行い、ＤＤｏＳ攻撃の被害を抑制することができる。図４の場合、一例として、攻撃検知手続実行部２３は、転送部２１に異常トラフィック識別情報リストを送付する。転送部２１は、送付された情報をもとに、たとえばサブトラフィック識別子によって特定、識別されるＯＮＵを送信元とし、かつ異常トラフィック識別情報（例えば宛先ポート番号）を持つ上り方向のトラフィックを異常トラフィックと認識し、遮断する。なお、本実施例では上り方向のトラフィックに対する検知の例を示したが、ＯＬＴからＯＮＵへ転送される下り方向のトラフィックに対する検知も同様の方法で行うことができる。
【００３６】
なお、図４に示す機能ブロック図では、簡単のため攻撃検知装置２０の同一筐体内に、転送部２１、トラフィック情報管理部２２、及び、攻撃検知手続実行部２３を備えるように記載しているが、攻撃検知装置２０の一部機能が別の筐体に存在してもよい。例えば、転送部２１と、遮断処理を行う転送部２１が別筐体にあってもよい。また、攻撃検知装置２０は、ＯＬＴ１１２と統合された装置であってもよい。また、転送部２１、トラフィック情報管理部２２及び攻撃検知手続実行部２３の一部がＯＬＴ１１２に備えられ、異なる筐体に他の機能部が備えられてもよい。
【００３７】
さらに、本実施形態では、ＯＮＵ１１３の識別子によってのみサブトラフィック分類を行ったが、さらに他の情報（例えば、パケットのＩＰアドレス）等と組み合わせて分類を行ってもよい。
【００３８】
［第２の実施形態］
第１の実施形態ではＯＮＵに紐づいたＬＬＩＤ又はＶＩＤを識別子としてサブトラフィック分類を行う例を示した。本実施形態では、ＯＬＴの識別子を利用してサブトラフィックへの分類を行う。
【００３９】
図７は、本実施形態によるサブトラフィック分類を示す図である。本実施形態の通信システムの構成は、図２に示す通信システム１００と同様である。同図では、ＶＩＤを識別子として、ＯＬＴ１１２ごとにサブトラフィック分類を行う。攻撃検知装置２０の機能ブロック及び処理フローは第１の実施形態と同様である。つまり、転送部２１は、パケットからＯＬＴ１１２の識別子をサブトラフィック識別子として取得する。転送部２１は、サブトラフィック識別子と、パケットに関する情報の一部、もしくはすべてをトラフィック情報管理部２２に出力する。パケットに関する情報には、第１の実施形態と同様の情報を用いることができる。トラフィック情報管理部２２は、記憶部２２１に転送部２１から受信したサブトラフィック識別子と、パケットに関する情報とを紐づけて記憶し、管理する。トラフィック情報管理部２２は、サブトラフィック識別子で示されるＯＬＴ１１２別の、又は、ＯＬＴ１１２とパケットに関する情報の組合せ別のトラフィックをカウントする。攻撃検知手続実行部２３は、ＯＬＴ１１２別の、又は、ＯＬＴ１１２とパケットに関する情報の組合せ別のトラフィック情報をサブトラフィックの情報として用い、サブトラフィック毎にＤＤｏＳ攻撃検知を行う。
【００４０】
ＯＮＵ１１３を流れるトラフィック量が不安定であることに起因して、検知精度が低い場合は、ある程度統計多重化され、トラフィック量が安定したＯＬＴ１１２に紐づけてサブトラフィック分類を行うことで、検知精度向上の効果が見込める。
【００４１】
［第３の実施形態］
本実施形態では、転送部と、トラフィック情報管理部及び攻撃検知手続実行部とを、分離及び集約する。図４に示す第１の実施形態の攻撃検知装置２０の機能ブロック図では、転送部２１、トラフィック情報管理部２２及び攻撃検知手続実行部２３が同一筐体内に存在するように記載している。しかし、転送部２１、トラフィック情報管理部２２及び攻撃検知手続実行部２３のうち一部の機能部は別の位置に存在してもよい。
【００４２】
図７に示す第２の実施形態の通信システム１００は、ＯＬＴ１１２を転送部２１としてサブトラフィック分類を行う例を示しているが、ＯＮＵ１１３の識別子が付随している通信区間に設置された通信装置を、転送部２１としてみなすことができる。また、トラフィック情報管理部２２や攻撃検知手続実行部２３を、通信装置とは別の場所に配置することもできる。
【００４３】
図８は、本実施形態の通信システム１００ａの構成を示す図である。同図では一例として、トラフィック情報管理部２２及び攻撃検知手続実行部２３を、ＳＤＮ（Software-Defined Network）コントローラ１８０に配置した場合を示す。ＳＤＮコントローラは、局舎内の通信装置をソフトウェア制御管理する。本実施形態では、トラフィック情報管理部２２と攻撃検知手続実行部２３を、ＳＤＮコントローラ１８０のアプリとして実行し、ＯｐｅｎＦｌｏｗ等のプロトコルを用いて転送部２１としての通信装置の情報を取得する。
【００４４】
図９は、本実施形態の通信システム１００ａが備える攻撃検知部２０ａの構成を示す図である。本実施形態の攻撃検知部２０ａは、同図示すように、複数の転送部２１を、単一もしくは少数のトラフィック情報管理部２２及び攻撃検知手続実行部２３で管理する。そのため、集約効果によって、トラフィック情報管理部２２と攻撃検知手続実行部２３の計算資源容量削減効果が見込まれる。また遮断処理の際も、同時に複数の転送部２１に遮断指令を出すことが可能となる。ただし、トラフィック情報管理部２２は、第１及び第２の実施形態と同様の管理に加え、情報を取得した転送部２１ごとに情報を管理する必要が生じる。
【００４５】
図１０は、記憶部２２１に記憶されるトラフィック情報の例を示す図である。同図では、転送部２１としてのＯＬＴ１１２毎に、図５に示す第１の実施形態のトラフィック情報を管理している。
【００４６】
以上説明した実施形態によれば、通信システムは、１以上の通信装置によりパケットを転送する。通信装置は、例えば、スイッチ１１１、ＯＬＴ１１２及びＯＮＵ１１３である。通信システムは、パケットを転送する転送ステップと、転送ステップにおいて転送したパケットのトラフィックを、通信装置がパケットの転送時に付与した当該通信装置の識別子又は通信システムの上位の通信装置がパケットに付与した転送先の通信装置の識別子に基づいてサブトラフィックに分類するトラフィック情報管理ステップと、分類されたサブトラフィックに基づいて攻撃の有無を検出する攻撃検知ステップと、を行う。
なお、トラフィック情報管理ステップにおいては、パケットに付与された通信装置の識別子と対応付けてパケットに関する情報を管理し、攻撃検知ステップにおいては、サブトラフィックごとにパケットに関する情報に基づいて攻撃の有無を検知してもよい。
また、通信装置が、転送するパケットに付与された識別子を変換し、トラフィック情報管理ステップにおいては、変換された識別子に基づいてトラフィックをサブトラフィックに分類してもよい。通信装置の識別子であるという点で、変換を行ったとしても、変換前後の識別子は同等の情報として用いることができる。
【００４７】
上述した攻撃検知装置２０及び攻撃検知部２０ａの各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。また、攻撃検知装置２０及び攻撃検知部２０ａは、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置などを備え、攻撃検知プログラムを実行することによって転送部２１、トラフィック情報管理部２２及び攻撃検知手続実行部２３の全て又は一部の機能を実現してもよい。なお、攻撃検知装置２０及び攻撃検知部２０ａの攻撃検知プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。攻撃検知プログラムは、電気通信回線を介して送信されても良い。
【００４８】
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【産業上の利用可能性】
【００４９】
装置間で送受するパケットを転送するネットワークに適用可能である。
【符号の説明】
【００５０】
１１…端末，  １２…センサ，  １３…ホームゲートウェイ，  １４…エッジ通信装置，  １９…キャリアネットワーク，  ２０…攻撃検知装置，  ２０ａ…攻撃検知部，  ２１…転送部，  ２２…トラフィック情報管理部，  ２３…攻撃検知手続実行部，  １００…通信システム，  １００ａ…通信システム，  １１１…スイッチ，  １１２…ＯＬＴ，  １１３…ＯＮＵ，  １１５…ＬＡＮ，  １１７…端末，  １１８…センサ
【図１】
2019092039.tif 000003
【図２】
2019092039.tif 000004
【図３】
2019092039.tif 000005
【図４】
2019092039.tif 000006
【図５】
2019092039.tif 000007
【図６】
2019092039.tif 000008
【図７】
2019092039.tif 000009
【図８】
2019092039.tif 000010
【図９】
2019092039.tif 000011
【図１０】
2019092039.tif 000012