(57)【要約】【課題】加入者情報を一括して管理する通信システムにおいて、より効率的に攻撃に対処する。【解決手段】呼接続装置２Ａ〜２Ｃは攻撃を受けると攻撃者の情報を含む攻撃発生の通知を加入者情報管理装置１へ送信し、加入者情報管理装置１の攻撃者情報管理部１２は攻撃発生の通知を受けると攻撃した加入者を攻撃者として管理し、加入者情報返信部１１が呼接続装置２Ａ〜２Ｃから加入者情報の問い合わせを受けると、問い合わせ対象の加入者が攻撃者の場合は加入者情報を回答しない。これにより、呼接続装置２Ａ〜２Ｃのいずれかを攻撃した加入者は攻撃者として通信システム全体で情報が共有され、攻撃者の加入者端末は呼接続装置２Ａ〜２Ｃに収容されないので、攻撃者は連続して呼接続装置２Ａ〜２Ｃを攻撃することができず、より効率のよい対処が可能となる。【選択図】図１
2015219685.tif 000002
【特許請求の範囲】
【請求項１】
複数の呼接続装置と加入者情報管理装置とを備え、前記呼接続装置は前記加入者情報管理装置から加入者の情報を取得して加入者を収容する通信システムであって、
前記呼接続装置は、
加入者端末から登録要求を受信したときに前記加入者情報管理装置へ加入者の情報を問い合わせて前記加入者端末を収容する登録手段と、
当該呼接続装置自身に対する攻撃を判定する判定手段と、
前記判定手段が攻撃されていると判定したときに、攻撃者の情報を含む通知を前記加入者情報管理装置へ送信する通知手段と、を有し、
前記加入者情報管理装置は、
前記呼接続装置から攻撃者の情報を含む通知を受信して攻撃者の情報を管理する攻撃者情報管理手段と、
前記呼接続装置から加入者の情報の問い合わせがあったときに、当該加入者が前記攻撃者情報管理手段において攻撃者として管理されていない場合は当該加入者の情報を前記呼接続装置へ返信し、当該加入者が攻撃者として管理されている場合は当該加入者の情報を返信しない加入者情報返信手段と、を有すること
を特徴とする通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムに対する攻撃に対処する技術に関する。
【背景技術】
【０００２】
従来、ＳＩＰを利用した通信では、ＳＩＰサーバと加入者は１対１対応であり、ＳＩＰサーバそれぞれに収容する加入者の情報が格納されていた。
【０００３】
また、加入者（悪意攻撃者）がＳＩＰサーバに対してＤｏＳ攻撃を仕掛けた場合、ＳＩＰサーバが個々に攻撃の判定／攻撃のブロック／加入者のロックアウトを行うことで攻撃に対処していた。
【０００４】
一方、Ｕｓｅｒ  Ｐｒｏｆｉｌｅ  Ｓｅｒｖｅｒ  Ｆｕｎｃｔｉｏｎ（ＵＰＳＦ）を導入して加入者情報を一括して管理し、ＳＩＰサーバがＵＰＳＦに加入者情報を逐次問い合わせる形態では、ＳＩＰサーバと加入者はＮ対１対応となり、加入者はどのＳＩＰサーバにも収容可能となる。
【０００５】
そのため、ＤｏＳ攻撃を行う攻撃者は収容されるＳＩＰサーバを次々と変えて連続してＳＩＰサーバを攻撃することも可能となる。この場合でも、各ＳＩＰサーバが個々に攻撃の判定／攻撃のブロック／加入者のロックアウトを行うことで攻撃に対処が可能である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−０６０３７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、攻撃者がＳＩＰサーバを連続して攻撃する場合、各ＳＩＰサーバは攻撃の判定／攻撃のブロック／加入者のロックアウトの一連の攻撃対策を独立して実施しており非効率であった。
【０００８】
本発明は、上記に鑑みてなされたものであり、加入者情報を一括して管理する通信システムにおいて、より効率的に攻撃に対処することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る通信システムは、複数の呼接続装置と加入者情報管理装置とを備え、前記呼接続装置は前記加入者情報管理装置から加入者の情報を取得して加入者を収容する通信システムであって、前記呼接続装置は、加入者端末から登録要求を受信したときに前記加入者情報管理装置へ加入者の情報を問い合わせて前記加入者端末を収容する登録手段と、当該呼接続装置自身に対する攻撃を判定する判定手段と、前記判定手段が攻撃されていると判定したときに、攻撃者の情報を含む通知を前記加入者情報管理装置へ送信する通知手段と、を有し、前記加入者情報管理装置は、前記呼接続装置から攻撃者の情報を含む通知を受信して攻撃者の情報を管理する攻撃者情報管理手段と、前記呼接続装置から加入者の情報の問い合わせがあったときに、当該加入者が前記攻撃者情報管理手段において攻撃者として管理されていない場合は当該加入者の情報を前記呼接続装置へ返信し、当該加入者が攻撃者として管理されている場合は当該加入者の情報を返信しない加入者情報返信手段と、を有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、加入者情報を一括して管理する通信システムにおいて、より効率的に攻撃に対処することができる。
【図面の簡単な説明】
【００１１】
【図１】本実施の形態における通信システムの構成とＤｏＳ攻撃対策の処理の流れを示す図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について図面を用いて説明する。
【００１３】
図１は、本実施の形態における通信システムの構成とＤｏＳ攻撃対策の処理の流れを示す図である。同図に示す通信システムは、加入者情報管理装置１と複数の呼接続装置２Ａ〜２Ｃを備える。呼接続装置２Ａ〜２Ｃは加入者情報を加入者情報管理装置１に問い合わせて取得する。各呼接続装置２Ａ〜２Ｃには加入者端末が接続される。呼接続装置２Ａ〜２Ｃと加入者端末はＮ対１対応であり、加入者端末はいずれの呼接続装置２Ａ〜２Ｃにも収容可能である。図１では、加入者Ａ，Ｂ，Ｃを示し、加入者Ｃが悪意攻撃者で、複数の電話番号を契約しているものとする。以下、各装置について説明する。
【００１４】
加入者情報管理装置１はＩＰ網内に設置され、加入者情報蓄積部１３を備えて加入者情報を格納し、加入者情報返信部１１は呼接続装置２Ａ〜２Ｃからの問い合わせに応じて、加入者情報を呼接続装置２Ａ〜２Ｃに提供する。加入者情報蓄積部１３は、加入者を一意に特定する情報にその他の情報（例えば契約電話番号等）を紐付けて格納する。
【００１５】
また、加入者情報管理装置１は攻撃者情報管理部１２を備えて、呼接続装置２Ａ〜２Ｃのいずれかから攻撃者の情報を含む攻撃発生の通知を受信すると、攻撃者情報管理部１２は攻撃者の情報を管理しておく。加入者情報返信部１１は、呼接続装置２Ａ〜２Ｃから加入者情報の問い合わせがあったときに、問い合わせ対象の加入者が攻撃者情報管理部１２で攻撃者として管理されている場合、呼接続装置２Ａ〜２Ｃに加入者情報を回答しない。
【００１６】
呼接続装置２Ａ〜２ＣはＩＰ網内に設置され、登録部２３は加入者端末から位置情報登録要求（Register）を受信すると、位置情報登録要求に含まれる加入者の加入者情報を加入者情報管理装置１に問い合わせて加入者端末を収容する。加入者情報管理装置１から問い合わせに対する回答が得られない場合は加入者端末を収容しない。また、呼接続装置２Ａ〜２Ｃは、収容した加入者端末から呼接続要求信号を受信すると、呼接続要求信号内に含まれる着信番号に対応するアドレス情報へ呼接続要求信号を送信し、通信を確立する。
【００１７】
呼接続装置２Ａ〜２Ｃは判定部２１と通知部２２を備えて、攻撃を受けた場合は攻撃に対処するとともに、加入者情報管理装置１に攻撃を受けた旨を通知する。
【００１８】
判定部２１は、攻撃を受けているか否か判定する。例えば、短時間に大量の信号を送信する加入者端末の加入者を攻撃者として判定する。従来の呼接続装置が個々に行っている判定方法と同様でよい。攻撃を受けた場合は、攻撃に対するブロックや攻撃者のロックアウトを実行する。ブロックは、毎秒あたりの同一信号許容数が閾値を超えた場合にそれ以上の信号は処理せずに破棄する処理である。ロックアウトは、一定の期間、攻撃者である加入者からの信号を一切受け付けない処理である。なお、ロックアウト解除契機は、従来の呼接続装置と同様でよい。
【００１９】
通知部２２は、判定部２１が攻撃を受けていると判定したときに、攻撃者の情報を含む攻撃発生の通知を加入者情報管理装置１へ送信し、攻撃者の情報を通信システム全体で共有する。
【００２０】
次に、本実施の形態における通信システムの動作について説明する。
【００２１】
悪意攻撃者である加入者Ｃが呼接続装置２Ａに対してＤｏＳ攻撃を行うと（ステップＳ１１）、判定部２１は加入者Ｃから攻撃を受けていると判定し（ステップＳ１２）、通知部２２は加入者Ｃによる攻撃発生の通知を加入者情報管理装置１へ送信する（ステップＳ１３）。
【００２２】
加入者情報管理装置１は呼接続装置２Ａから加入者Ｃによる攻撃発生の通知を受信すると、攻撃者情報管理部１２は加入者Ｃを攻撃者として管理する（ステップＳ１４）。
【００２３】
加入者Ｃは呼接続装置２Ａへの攻撃後に呼接続装置２Ｂへ移動して呼接続装置２Ｂに位置情報登録要求を送信して位置情報の登録を試みる（ステップＳ１５，Ｓ１６）。
【００２４】
呼接続装置２Ｂの登録部２３は、加入者Ｃの加入者端末からの位置情報登録要求に応じて加入者Ｃの加入者情報を加入者情報管理装置１に問い合せる（ステップＳ１７）。
【００２５】
加入者情報返信部１１は、呼接続装置２Ｂから加入者Ｃの加入者情報の問い合わせを受けるが、加入者Ｃは攻撃者として管理されているので回答しない（ステップＳ１８）。
【００２６】
呼接続装置２Ｂの登録部２３は、加入者情報管理装置１から加入者Ｃの加入者情報が得られないので加入者Ｃの加入者端末を収容しない（ステップＳ１９）。加入者Ｃの加入者端末は呼接続装置２Ｂに収容されないので呼接続装置２Ｂへの攻撃が実行できない。
【００２７】
加入者Ｃはさらに別の呼接続装置２Ｃへ移動して呼接続装置２Ｃに位置情報登録要求を送信して位置情報の登録を試みるが（ステップＳ２０，Ｓ２１）、加入者情報管理装置１が加入者Ｃの加入者情報を回答しないので加入者Ｃの加入者端末は呼接続装置２Ｃに収容されず（ステップＳ２２〜Ｓ２４）、呼接続装置２Ｃへの攻撃を実行できない。
【００２８】
以上説明したように、本実施の形態によれば、呼接続装置２Ａ〜２Ｃは攻撃を受けると攻撃者の情報を含む攻撃発生の通知を加入者情報管理装置１へ送信し、加入者情報管理装置１の攻撃者情報管理部１２は攻撃発生の通知を受けると攻撃した加入者を攻撃者として管理し、加入者情報返信部１１が呼接続装置２Ａ〜２Ｃから加入者情報の問い合わせを受けると、問い合わせ対象の加入者が攻撃者の場合は加入者情報を回答しないことにより、呼接続装置２Ａ〜２Ｃのいずれかを攻撃した加入者は攻撃者として通信システム全体で情報が共有され、攻撃者の加入者端末は呼接続装置２Ａ〜２Ｃに収容されないので、攻撃者は連続して呼接続装置２Ａ〜２Ｃを攻撃することができず、より効率のよい対処が可能となる。
【符号の説明】
【００２９】
１…加入者情報管理装置
１１…加入者情報返信部
１２…攻撃者情報管理部
１３…加入者情報蓄積部
２Ａ〜２Ｃ…呼接続装置
２１…判定部
２２…通知部
２３…登録部
【図１】
2015219685.tif 000003