(57)【要約】【課題】加入者情報を一括して管理する通信システムにおいて、より効率的に攻撃に対処する。【解決手段】呼接続装置２Ａ〜２Ｃは攻撃を受けると攻撃者の情報を含む攻撃発生の通知を加入者情報管理装置１へ送信し、加入者情報管理装置１は攻撃発生の通知を受けると攻撃者の情報とロックアウト指示を含む信号を他の呼接続装置２Ａ〜２Ｃへ送信し、指示を受けた呼接続装置２Ａ〜２Ｃは攻撃者のロックアウトを実行する。これにより、いずれかの呼接続装置２Ａ〜２Ｃが攻撃を受けた場合、同じ攻撃者による他の呼接続装置２Ａ〜２Ｃへの攻撃に対して一斉に対処するので、より効率のよい対処が可能となる。【選択図】図１
2015219684.tif 000002
【特許請求の範囲】
【請求項１】
複数の呼接続装置と加入者情報管理装置とを備え、前記呼接続装置は前記加入者情報管理装置から加入者の情報を取得して加入者を収容する通信システムであって、
前記呼接続装置は、
当該呼接続装置自身に対する攻撃を判定する判定手段と、
前記判定手段が攻撃されていると判定したときに、攻撃者の情報を含む通知を前記加入者情報管理装置へ送信する通知手段と、
前記判定手段が攻撃されていると判定したとき又は前記加入者情報管理装置から攻撃者の情報とロックアウトの指示を含む信号を受信したときに、攻撃者をロックアウトする対処手段と、を有し、
前記加入者情報管理装置は、
前記呼接続装置から攻撃者の情報を含む通知を受信したときに、当該攻撃者の情報とロックアウトの指示を含む信号を他の呼接続装置へ送信する指示手段を有すること
を特徴とする通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムに対する攻撃に対処する技術に関する。
【背景技術】
【０００２】
従来、ＳＩＰを利用した通信では、ＳＩＰサーバと加入者は１対１対応であり、ＳＩＰサーバそれぞれに収容する加入者の情報が格納されていた。
【０００３】
また、加入者（悪意攻撃者）がＳＩＰサーバに対してＤｏＳ攻撃を仕掛けた場合、ＳＩＰサーバが個々に攻撃の判定／攻撃のブロック／加入者のロックアウトを行うことで攻撃に対処していた。
【０００４】
一方、Ｕｓｅｒ  Ｐｒｏｆｉｌｅ  Ｓｅｒｖｅｒ  Ｆｕｎｃｔｉｏｎ（ＵＰＳＦ）を導入して加入者情報を一括して管理し、ＳＩＰサーバがＵＰＳＦに加入者情報を逐次問い合わせる形態では、ＳＩＰサーバと加入者はＮ対１対応となり、加入者はどのＳＩＰサーバにも収容可能となる。
【０００５】
そのため、ＤｏＳ攻撃を行う攻撃者は収容されるＳＩＰサーバを次々と変えて連続してＳＩＰサーバを攻撃することも可能となる。この場合でも、各ＳＩＰサーバが個々に攻撃の判定／攻撃のブロック／加入者のロックアウトを行うことで攻撃に対処が可能である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−０６０３７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、攻撃者がＳＩＰサーバを連続して攻撃する場合、各ＳＩＰサーバは攻撃の判定／攻撃のブロック／加入者のロックアウトの一連の攻撃対策を独立して実施しており非効率であった。
【０００８】
本発明は、上記に鑑みてなされたものであり、加入者情報を一括して管理する通信システムにおいて、より効率的に攻撃に対処することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係る通信システムは、複数の呼接続装置と加入者情報管理装置とを備え、前記呼接続装置は前記加入者情報管理装置から加入者の情報を取得して加入者を収容する通信システムであって、前記呼接続装置は、当該呼接続装置自身に対する攻撃を判定する判定手段と、前記判定手段が攻撃されていると判定したときに、攻撃者の情報を含む通知を前記加入者情報管理装置へ送信する通知手段と、前記判定手段が攻撃されていると判定したとき又は前記加入者情報管理装置から攻撃者の情報とロックアウトの指示を含む信号を受信したときに、攻撃者をロックアウトする対処手段と、を有し、前記加入者情報管理装置は、前記呼接続装置から攻撃者の情報を含む通知を受信したときに、当該攻撃者の情報とロックアウトの指示を含む信号を他の呼接続装置へ送信する指示手段を有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、加入者情報を一括して管理する通信システムにおいて、より効率的に攻撃に対処することができる。
【図面の簡単な説明】
【００１１】
【図１】本実施の形態における通信システムの構成とＤｏＳ攻撃対策の処理の流れを示す図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について図面を用いて説明する。
【００１３】
図１は、本実施の形態における通信システムの構成とＤｏＳ攻撃対策の処理の流れを示す図である。同図に示す通信システムは、加入者情報管理装置１と複数の呼接続装置２Ａ〜２Ｃを備える。呼接続装置２Ａ〜２Ｃは加入者情報を加入者情報管理装置１に問い合わせて取得する。各呼接続装置２Ａ〜２Ｃには加入者端末が接続される。呼接続装置２Ａ〜２Ｃと加入者端末はＮ対１対応であり、加入者端末はいずれの呼接続装置２Ａ〜２Ｃにも収容可能である。図１では、加入者Ａ，Ｂ，Ｃを示し、加入者Ｃが悪意攻撃者で、複数の電話番号を契約しているものとする。以下、各装置について説明する。
【００１４】
加入者情報管理装置１はＩＰ網内に設置され、加入者情報蓄積部１２を備えて加入者端末の情報を格納し、呼接続装置２Ａ〜２Ｃが通信を確立する際に必要な情報を呼接続装置２Ａ〜２Ｃに提供する。
【００１５】
また、加入者情報管理装置１は指示部１１を備えて、呼接続装置２Ａ〜２Ｃのいずれかが攻撃されると他の呼接続装置２Ａ〜２ＣにＤｏＳ攻撃対策を指示する。具体的には、指示部１１は、いずれかの呼接続装置２Ａ〜２Ｃから攻撃者の情報を含む攻撃発生の通知を受信すると、攻撃者の情報とロックアウトの指示を含む信号を他の呼接続装置２Ａ〜２Ｃに送信する。
【００１６】
呼接続装置２Ａ〜２ＣはＩＰ網内に設置され、加入者端末から呼接続要求信号を受信すると、呼接続要求信号内に含まれる着信番号に対応するアドレス情報へ呼接続要求信号を送信し、通信を確立する。
【００１７】
呼接続装置２Ａ〜２Ｃは判定部２１、対処部２２、および通知部２３を備えて、攻撃を受けた場合は攻撃に対処するとともに、加入者情報管理装置１に攻撃を受けた旨を通知する。また、加入者情報管理装置１から攻撃者のロックアウト指示を受けた場合は攻撃者をロックアウトする。以下、各部について説明する。
【００１８】
判定部２１は、攻撃を受けているか否か判定する。例えば、短時間に大量の信号を送信する加入者端末の加入者を攻撃者として判定する。従来の呼接続装置が個々に行っている判定方法と同様でよい。
【００１９】
対処部２２は、判定部２１が攻撃を受けていると判定したときに、攻撃に対するブロックや攻撃者のロックアウトを実行する。また、加入者情報管理装置１からロックアウト指示を受けたときに攻撃者のロックアウトを実行する。ブロックは、毎秒あたりの同一信号許容数が閾値を超えた場合にそれ以上の信号は処理せずに破棄する処理である。ロックアウトは、一定の期間、攻撃者である加入者からの信号を一切受け付けない処理である。なお、ロックアウト解除契機は、従来の呼接続装置と同様でよい。
【００２０】
通知部２３は、判定部２１が攻撃を受けていると判定したときに、攻撃者の情報を含む攻撃発生の通知を加入者情報管理装置１へ送信し、攻撃者の情報を通信システム全体で共有する。
【００２１】
次に、本実施の形態における通信システムの動作について説明する。
【００２２】
悪意攻撃者である加入者Ｃが呼接続装置２Ａに対してＤｏＳ攻撃を行うと（ステップＳ１１）、判定部２１は加入者Ｃから攻撃を受けていると判定し（ステップＳ１２）、対処部２２は加入者Ｃに対してブロック／ロックアウトを実行し（ステップＳ１３）、通知部２３は加入者Ｃによる攻撃発生の通知を加入者情報管理装置１へ送信する（ステップＳ１４）。
【００２３】
加入者情報管理装置１は呼接続装置２Ａから加入者Ｃによる攻撃発生の通知を受信すると、指示部１１は呼接続装置２Ｂ，２Ｃに対して、加入者Ｃのロックアウト指示を含む信号を送信する（ステップＳ１５）。
【００２４】
ここで、加入者Ｃは呼接続装置２Ａへの攻撃後に呼接続装置２Ｂへ移動して呼接続装置２Ｂに対してＤｏＳ攻撃を試みる（ステップＳ１６，Ｓ１７）。
【００２５】
呼接続装置２Ｂは、加入者情報管理装置１から加入者Ｃのロックアウト指示を受けているので、加入者Ｃはロックアウトされる（ステップＳ１８）。
【００２６】
加入者Ｃはさらに別の呼接続装置２Ｃへ移動してＤｏＳ攻撃を試みるが（ステップＳ１９，Ｓ２０）、呼接続装置２Ｃも加入者Ｃのロックアウト指示を受けているので、加入者Ｃはロックアウトされる（ステップＳ２１）。
【００２７】
以上説明したように、本実施の形態によれば、呼接続装置２Ａ〜２Ｃは攻撃を受けると攻撃者の情報を含む攻撃発生の通知を加入者情報管理装置１へ送信し、加入者情報管理装置１は攻撃発生の通知を受けると攻撃者の情報とロックアウト指示を含む信号を他の呼接続装置２Ａ〜２Ｃへ送信し、指示を受けた呼接続装置２Ａ〜２Ｃは攻撃者のロックアウトを実行することにより、いずれかの呼接続装置２Ａ〜２Ｃが攻撃を受けた場合、同じ攻撃者による他の呼接続装置２Ａ〜２Ｃへの攻撃に対して一斉に対処するので、より効率のよい対処が可能となる。
【符号の説明】
【００２８】
１…加入者情報管理装置
１１…指示部
１２…加入者情報蓄積部
２Ａ〜２Ｃ…呼接続装置
２１…判定部
２２…対処部
２３…通知部
【図１】
2015219684.tif 000003