(57)【要約】システムおよび方法は、サービス妨害攻撃から保護する。１つ以上のネットワーク送信先にアドレス指定された遠隔起点ネットワークトラフィックが、１つ以上の位置を通じて回送される。それらの位置のうちの１つ以上は、サービス妨害攻撃のソースに地理的に近位にあってよい。１つ以上のサービス妨害攻撃緩和戦略は、それらの１つ以上の位置で受信されたネットワークトラフィックの一部分に適用される。１つ以上のサービス妨害攻撃緩和戦略に従って遮断されていないネットワークトラフィックは、その意図した受信者に発信される。遮断されていないネットワークトラフィックをその意図した受信者に発信することは、１つ以上のプライベートチャネルおよび／または１つ以上の追加のサービス妨害攻撃緩和戦略の使用を含み得る。
2014504111.tif 000002
【特許請求の範囲】
【請求項１】
サービス拒否状態の影響を軽減するためのコンピュータにより実現される方法であって、
実行可能命令を備えて構成される１つまたは複数のコンピュータシステムの制御下で、
少なくとも１つの遠隔ネットワークサービスプロバイダに、特定の位置を通じて、１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックの少なくとも一部分をルーティングさせる１つまたは複数のアクションを行うことであって、特定の位置を通じた前記１つまたは複数の宛先ネットワークは、前記特定の位置から地理的に遠隔にある１つまたは複数のサービスに対応する、ことと、
前記１つまたは複数の宛先ネットワークに向かってフィルタ処理されたネットワークトラフィックを発信する前に、少なくとも、前記１つまたは複数の宛先ネットワークに対するサービス拒否攻撃を示すネットワーク状態の間、前記特定の位置にある１つまたは複数のコンピューティングデバイスに、前記１つまたは複数の宛先ネットワークに指定されたネットワークトラフィックをフィルタ処理させることであって、前記フィルタ処理されたネットワークトラフィックは、非合法と決定された前記１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックを除く、ことと、
を含む、方法。
【請求項２】
前記１つまたは複数のアクションを行うことは、前記サービス拒否攻撃に応答することである、請求項１に記載の方法。
【請求項３】
前記１つまたは複数のコンピューティングデバイスにネットワークトラフィックをフィルタ処理させることは、前記１つまたは複数のコンピューティングデバイスに、前記１つまたは複数のコンピュータシステムと関連付けられたプライベートチャネル上で前記フィルタ処理されたネットワークトラフィックをルーティングさせることを含む、請求項１に記載の方法。
【請求項４】
前記フィルタ処理されたネットワークトラフィックを受信することと、
前記フィルタ処理されたネットワークトラフィックをさらにフィルタ処理するように、前記フィルタ処理されたネットワークトラフィックに対して１つまたは複数のサービス拒否のサービス低減戦略を適用することと、
さらなるフィルタ処理されたネットワークトラフィックを前記１つまたは複数の宛先ネットワークに発信することと、
をさらに含む、請求項１に記載の方法。
【請求項５】
前記１つまたは複数の宛先ネットワークと関連付けられた１つまたは複数の新しいネットワークアドレスを検出することと、
前記１つまたは複数の宛先ネットワークの前記１つまたは複数の新しいアドレスにアドレス指定されたネットワークトラフィックに、前記特定の位置を通じてルーティングさせる、１つまたは複数の更新アクションを行うことと、
をさらに含む、請求項１に記載の方法。
【請求項６】
前記１つまたは複数の新しいネットワークアドレスが、コンピューティングサービスプロバイダの顧客の代わりに、前記１つ以上のコンピュータシステムによりプロビジョニングされ、前記１つ以上のコンピュータシステムおよび前記特定の位置の１つ以上のデバイスが、いずれも前記コンピューティングサービスプロバイダにより操作される、請求項５に記載の方法。
【請求項７】
前記１つまたは複数のコンピュータシステムは制御環境を含み、前記１つまたは複数の新しいネットワークアドレスは、前記制御環境を使用してプロビジョニングされ、前記１つまたは複数の新しいネットワークアドレスを検出することは、前記制御環境内で行われる、請求項５に記載の方法。
【請求項８】
前記１つまたは複数のコンピュータシステムは第１の国にあり、前記特定の位置は、前記第１の国とは異なる第２の国にある、請求項１に記載の方法。
【請求項９】
前記１つまたは複数の宛先は、１つまたは複数の宛先ネットワークアドレスに対応し、前記１つまたは複数のアクションは、前記１つまたは複数の宛先ネットワークアドレスを変更することを除く、請求項１に記載の方法。
【請求項１０】
サービス拒否攻撃に対して保護するためのコンピュータシステムであって、
１つまたは複数のプロセッサと、
前記１つまたは複数のプロセッサによって実行されるとき、前記コンピュータシステムに、
少なくとも１つの遠隔ネットワークサービスプロバイダに、特定の位置を通じて、１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックの少なくとも一部分をルーティングさせる１つまたは複数のアクションを行うことであって、前記１つまたは複数の宛先ネットワークは、前記特定の位置から地理的に遠隔にある１つまたは複数のサーバに対応する、ことと、
前記１つまたは複数の宛先ネットワークに向かってフィルタ処理されたネットワークトラフィックを発信する前に、少なくとも、前記１つまたは複数の宛先ネットワークに対するサービス拒否攻撃を示すネットワーク状態の間、前記特定の位置にある１つまたは複数のコンピューティングデバイスに、前記１つまたは複数の宛先ネットワークに指定されたネットワークトラフィックをフィルタ処理させることであって、前記フィルタ処理されたネットワークトラフィックは、非合法と決定された前記１つまたは複数の宛先ネットワークにアドレス指定されたネットワークトラフィックを除く、ことと、
を少なくとも行わせる実行可能命令を含むメモリと、
を含むコンピュータシステム。
【請求項１１】
前記１つまたは複数のアクションを行うことは、前記サービス拒否攻撃に応答するものである、請求項１０に記載のコンピュータシステム。
【請求項１２】
前記１つまたは複数のコンピューティングデバイスに、ネットワークトラフィックをフィルタ処理させることは、前記１つまたは複数のコンピューティングデバイスに、前記１つまたは複数のコンピュータシステムと関連付けられたプライベートチャネル上で前記フィルタ処理されたネットワークトラフィックをルーティングさせることを含む、請求項１０に記載のコンピュータシステム。
【請求項１３】
前記実行可能命令はさらに、前記コンピュータシステムに、
前記フィルタ処理されたネットワークトラフィックを受信させ、
前記フィルタ処理されたネットワークトラフィックをさらにフィルタ処理するために、１つ以上のサービス拒否の軽減戦略を前記フィルタ処理されたネットワークトラフィックに適用させ、
さらなるフィルタ処理されたネットワークトラフィックを前記１つまたは複数のネットワーク送信先に発信させる、請求項１０に記載のコンピュータシステム。
【請求項１４】
前記実行可能命令はさらに、前記コンピュータシステムに、
前記１つまたは複数の宛先ネットワークと関連付けられた１つまたは複数の新しいネットワークアドレスを検出させ、
前記１つまたは複数の宛先ネットワークの前記１つまたは複数の新しいアドレスにアドレス指定されたネットワークトラフィックを、前記特定の位置を通じてルーティングさせる、１つまたは複数の更新アクションを行わせる、請求項１０に記載のコンピュータシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
様々なコンピューティングデバイスは、インターネット等の公衆通信ネットワーク上でアクセス可能である。そのようなアクセスは、そのようなネットワークを利用する組織に多くの機会を提供する一方で、重大なリスクも提示する。例えば、分散サービス拒否（ＤＤｏＳ）攻撃は、多くの場合、未承認の制御下で、分散コンピューティングリソースを利用する一般的な方法となっており、組織のシステム容量に過負荷を掛ける。ＤＤｏＳ攻撃は、例えば、様々な地理的位置に配置され得る、コンピュータの集合群を含んでよく、サーバ（複数可）容量を利用するために、複数の要求をウェブまたは他のサーバ（もしくはサーバの集合）に送信し、それによってサーバ（複数可）が、合法的な要求（仮にあった場合）に適時に応答するのを妨げる。インターネットを利用して顧客と相互作用および／または顧客にサービスを行う組織等の多くの組織の場合、サーバが合法的な要求に応答するのを妨げることは、費用、歳入、顧客の信用、および他の形で著しい害をもたらし得る。ＤＤｏＳの被害者は、顧客にサービスするのを阻まれるだけでなく、ＤＤｏＳ攻撃に起因して増大したネットワークトラフィックに対して、インターネットサービスプロバイダ（ＩＳＰ）にかかる費用を負担する場合もある。
【０００２】
加えて、ＤＤｏＳ攻撃の被害者の観点から、ＤＤｏＳ攻撃は、１つ以上の地理的位置を起点とする場合が多い。ＤＤｏＳ攻撃の分散性質に起因して、ＤＤｏＳ攻撃は、意図した被害者以外のエンティティに影響を及ぼす場合が多い。ＤＤｏＳ攻撃の一部として行われる通信は、複数のＩＳＰ、電話通信キャリア、および他のエンティティを横断し得る。ＤＤｏＳ攻撃の大部分が起点とする領域のＩＳＰは、例えば、他のＩＳＰおよび／またはキャリアのネットワーク上を通過するために、ＤＤｏＳ攻撃に起因する過剰なトラフィックの代金を支払う必要があり得る。加えて、ＤＤｏｓ攻撃は、そのようなネットワークリソースに負担を掛け、それにより様々なユーザがネットワークリソースを利用する能力を妨げるか、または中止させることさえある。影響を受けるユーザは、ＤＤｏＳ被害者のリソースのユーザのみならず、ネットワークリソースを利用し得る他のユーザも含み得る。
【図面の簡単な説明】
【０００３】
【図１】少なくとも一実施形態に従って、態様を実装するための例示の環境を表す概略図である。
【図２】少なくとも一実施形態に従って、例示の仮想ファシリティプロビジョニングアーキテクチャの態様を表す概略図である。
【図３】少なくとも一実施形態に従って、例示のデータセンターのさらなる態様を表す概略図である。
【図４】少なくとも一実施形態に従って、ＤＤｏＳ攻撃の影響を緩和するためのプロセスの事例を示すフローチャートである。
【図５】ＤＤｏＳ攻撃を示す概略図である。
【図６】ＤＤｏＳ攻撃の影響を緩和するために様々な実施形態を用いる効果を示す概略図である。
【図７】少なくとも一実施形態に従って、ＤＤｏＳ緩和技術をサービスとして提供するためのプロセスの事例を示すフローチャートである。
【図８】少なくとも一実施形態に従って、ＤＤｏＳ攻撃の影響を緩和するためのプロセスの事例を示すフローチャートである。
【図９】少なくとも一実施形態に従って、ＤＤｏＳ攻撃の被害者を保護するためのプロセスの事例を示すフローチャートである。
【図１０】少なくとも一実施形態に従って、ＤＤｏＳ攻撃の影響をさらに緩和するためのプロセスの事例を示すフローチャートである。
【発明を実施するための形態】
【０００４】
以下の記載では、様々な実施形態が説明される。説明の目的で、実施形態の完全な理解を提供するために、特定の構成および詳細が記載される。しかしながら、それらの実施形態は、特定の詳細なしに実施されてよいことも当業者には明らかとなるであろう。さらに、説明されている実施形態を不明瞭にしないように、よく知られている特徴は省略されるか、または簡素化される場合がある。
【０００５】
本明細書に記載および提案される技術は、例えば、サービス妨害（ＤｏＳ）攻撃および／または分散サービス妨害（ＤＤｏＳ）攻撃を通じて、コンピュータシステムに悪影響を及ぼそうとする影響を緩和するためのシステムおよび方法を含む。特に、本開示の実施形態は、ネットワークトラフィックが起点とする地理的領域に地理的に近位にある１つ以上の位置で、ＤｏＳ攻撃に起因するネットワークトラフィックを遮断することにより、ＤｏＳ攻撃の影響を緩和する。１つ以上の位置は、例えば、リモート展開されたネットワークポイントオブプレゼンス（ＰＯＰ）に対応し得る。一実施形態では、１つ以上のネットワーク送信先に向けられた少なくとも一部のネットワークトラフィックは、１つ以上の位置を通じて回送される。１つ以上の位置のそれぞれは、例えば、１つ以上のネットワーク送信先が位置する１つ以上のプロバイダネットワークとは異なるプロバイダネットワーク内のネットワーク位置に対応し得る。１つ以上のネットワーク位置は、例えば、１つ以上のネットワーク送信先の１つ以上の国とは異なる１つ以上の国にあってよい。ネットワーク送信先は、リモートコンピューティングサービスプロバイダ、または他の物理的もしくは仮想コンピューティングデバイスの顧客の代わりに操作される仮想マシンインスタンスに対応し得る。
【０００６】
ネットワークトラフィックの回送は、連続的であり得るか、または他の時点で行われてよい。一実施形態では、ネットワークトラフィックは、ネットワーク送信先へのＤｏＳ攻撃が検出されるまで、従来の回送技術に従って決定されるような方法で流れる。ＤｏＳ攻撃の検出に応答して、ネットワーク送信先にアドレス指定されたネットワークトラフィックの少なくとも一部分は、１つ以上の遠隔位置を通じて回送され得る。ネットワークトラフィックは、相当量のトラフィックが起点とする地理的領域に近位にあると決定された１つ以上の遠隔位置を通じて回送され得るか、または様々な地理的領域内の複数の遠隔位置を通じてであってもよく、そのような回送には複数の遠隔位置が利用可能である。ネットワークトラフィックの回送は、様々な方法で行われてよい。一実施形態では、ネットワークトラフィックは、ボーダーゲートウェイプロトコル（ＢＧＰ）経路が１つ以上の遠隔位置を含むように、ネットワーク送信先へのＢＧＰ経路を通知することにより行われる。しかしながら、ネットワークトラフィックの少なくとも一部分に１つ以上の意図したネットワーク送信先を通過させるための任意の適した方法が使用されてもよい。例えば、ＩＳＰに対する１つ以上の通信は、ＩＳＰが１つ以上の遠隔位置を通じて１つ以上のネットワーク送信先にトラフィックを回送することを要求するように行われてよい。ＩＳＰとのピアリングまたは他の同意は、そのような回送を促進するように適所で行われ得る。
【０００７】
以下でさらに論じられるように、１つ以上のＤｏＳ緩和戦略は、非合法のネットワークトラフィックを遮断するように１つ以上の遠隔位置で適用され得る一方で、非合法であると決定されなかったトラフィックが、その送信先に向かって進行するのを可能にする。非合法であると識別されなかったトラフィックは、任意の好適な方法で、その意図した送信先に向かって発信されてよい。一実施形態では、１つ以上の遠隔位置で非合法であると決定されなかったネットワークトラフィックは、仮想プライベートネットワーク（ＶＰＮ）、一般ルーティングのカプセル化（ＧＲＥ）トンネル、プライベートバックボーン、ＩＰセキュリティ（ＩＰｓｅｃ）トンネル、および／またはダークファイバーネットワーク等のプライベートチャネルを使用して、その送信先に向かって発信される。一実施形態では、プライベートチャネルは、プライベートチャネルを通過したネットワークトラフィックについて、そのネットワークトラフィックの起点が決定可能であるように、またトラフィックがリモート展開されたＰＯＰのうちの１つ以上を通じて回送されたと識別され得るように構成された任意の好適なプライベートチャネルである。例えば、パケットが、コンピューティングデバイスによりプライベートチャネル上で受信される場合、一実施形態では、コンピューティングデバイスは、パケットの送信元のＩＰアドレスと、そのパケットがリモート展開されたＰＯＰを通過したか否かの両方を決定することができる。プライベートチャネルでは、非合法であると決定されたネットワークトラフィックをさらに遮断するように、追加のＤｏＳ緩和戦略がトラフィックに適用され得る一方で、非合法であると決定されなかったネットワークトラフィックをその送信先に向かって通過するのを可能にする。
【０００８】
本明細書に記載および提案される技術は、多様な文脈において適用され得る。上述のように、一実施形態では、１つ以上のネットワーク送信先は、リモートコンピューティングサービスプロバイダにより操作される１つ以上の仮想マシンインスタンスに対応する。仮想マシンインスタンスは、１つ以上のデータセンターの内部で操作され得る。したがって、一実施形態では、１つ以上のＤｏＳ緩和戦略が適用されたネットワークトラフィックは、１つ以上のデータセンターで受信され、処理のために１つ以上の仮想マシンに渡される。１つ以上のデータセンターは、上述のように、トラフィックをその意図した受信者に渡す前に、追加のＤｏＳ緩和戦略を受信されたトラフィックに適用し得る。しかしながら、本開示の実施形態は、他の文脈にも適用する。例えば、本開示の実施形態は、ＤｏＳ攻撃の任意の潜在的被害者に関連して利用されてよい。データセンターは、例えば、本明細書に記載および提案される様々な技術に従って緩和されたネットワークトラフィックを受信し、その緩和されたトラフィックをデータセンターから別の位置に発信し得る。
【０００９】
他の変型および強化も、本開示の範囲内であると見なされる。例えば、ＤｏＳ攻撃の被害者は、多くの場合、ＤｏＳ攻撃に応答してそれらのリソースを再構成する。被害者は、例えば、操作を維持するために十分なリソースの利用可能性を保証するために、使用するサーバの数を増加してもよい。追加または代替として、被害者は、攻撃が新しいアドレスに適合する場合、攻撃を受けるネットワークアドレスを、場合によっては繰り返し変更してもよい。被害者は、例えば、ＤｏＳ攻撃が少なくとも一時的に古いインターネットプロトコル（ＩＰ）アドレスに焦点を合わせるように、新しいＩＰアドレスをそのサーバに割り当てしてもよい。攻撃が新しいアドレスに焦点を合わせるため、再割り当てを繰り返し行う必要があり得る。ＤｏＳ攻撃に対する保護を維持するために、本開示の様々な実施形態は、そのような再構成に動的に適合する。一実施形態では、そのような再構成が検出され、それに応じて、変更された１つ以上のネットワークアドレス群に向けられたトラフィックが、１つ以上の遠隔位置を通じて回送されるのを保証するように、更新が行われる。ＢＧＰ経路は、例えば、インターネットサービスプロバイダ（ＩＳＰ）が、１つ以上の遠隔位置を通じて、新しいアドレスへのトラフィックの少なくとも一部分を回送するのを保証するように更新されてよい。他の実施例および変型例は、以下で論じられる。
【００１０】
様々なアプローチは、様々なアプリケーションのための様々な環境で実装され得る。例えば、図１は、様々な実施形態に従って態様を実装するための例示の環境１００の態様を示す。理解されるように、ウェブベースの環境は、説明の目的で利用され得るが、必要に応じて、異なる環境を利用して様々な実施形態を実装してもよい。示される環境１００は、試験または開発部分（もしくはサイド）および生産部分の両方を含む。生産部分は、電子クライアントデバイス１０２を含み、要求、メッセージ、または情報を適切なネットワーク１０４上で送受信し、情報をデバイス１０２のユーザに戻すように動作可能な任意の適切なデバイスを含み得る。そのようなクライアントデバイスの例には、パーソナルコンピュータ、携帯電話、携帯メッセージングデバイス、ラップトップコンピュータ、タブレットコンピュータ、セットトップボックス、パーソナルデータアシスタント、電子書籍リーダー等が挙げられる。
【００１１】
ネットワーク１０４は、イントラネット、インターネット、セルラーネットワーク、ローカルエリアネットワーク、広域ネットワーク、ワイヤレスデータネットワーク、または任意の他のそのようなネットワークもしくはそれらの組み合わせを含む、任意の適切なネットワークが挙げられ得る。そのようなシステムに利用されるコンポーネントは、少なくともある程度は、選択されるネットワークおよび／または環境のタイプに依存し得る。そのようなネットワークを介して通信するためのプロトコルおよびコンポーネントは、よく知られているため、本明細書では詳細に論じない。ネットワーク上の通信は、有線または無線接続、およびそれらの組み合わせにより可能になり得る。この例では、環境が、要求を受信し、それに応答してコンテンツを配信するためのウェブサーバ１０６を含むため、ネットワーク１０４はインターネットを含むが、他のネットワークの場合、当業者には明らかなように、同様の目的を果たす代替のデバイスを利用することができる。
【００１２】
例示の環境１００は、少なくとも１つのアプリケーションサーバ１０８と、データストア１１０と、を含む。連鎖され得るか、ないしは他の方法で構成され得る、いくつかのアプリケーションサーバ、層、または他の要素、プロセス、またはコンポーネントが存在し、適切なデータストアからデータを取得する等のタスクを行うように相互作用し得ることを理解されたい。本明細書で使用するところの用語「データストア」は、データを保存、アクセス、および／または抽出することができる任意のデバイス、またはデバイスの組み合わせを指し、任意の組み合わせおよび数のデータサーバ、データベース、データストレージ装置、およびデータストレージ媒体を任意の標準、分散、または集合環境に含み得る。
【００１３】
アプリケーションサーバ１０８は、クライアントデバイス１０２の１つ以上のアプリケーションの態様を実行するように、必要に応じてデータストアと統合するための任意の適切なハードウェアおよびソフトウェアを含んでよく、アプリケーションのデータアクセスおよびビジネス論理の大部分を処理する場合もある。アプリケーションサーバ１０８は、データストア１１０と協働してアクセス制御サービスを提供し、ユーザに転送されるテキスト、グラフィック、オーディオ、および／またはビデオ等のコンテンツを生成することができ、ウェブサーバ１０６により、この例ではＨＴＭＬ、ＸＭＬ、または別の適切な構造化言語の形態でユーザに配信され得る。
【００１４】
すべての要求および応答の処理、ならびにクライアントデバイス１０２とアプリケーションサーバ１０８との間のコンテンツの送達は、ウェブサーバ１０６により処理されてよい。本明細書で論じられる構造化コードは、本明細書の他の場所で論じられるように、任意の適切なデバイスまたはホストマシン上で実行され得るため、ウェブサーバ１０６およびアプリケーションサーバ１０８は必要なく、単に例示のコンポーネントであることを理解されたい。さらに、環境１００は、テスト自動化フレームワークが、ユーザまたはアプリケーションが加入し得るサービスとして提供され得るような方法で設計されてよい。テスト自動化フレームワークは、本明細書で論じられる様々な試験パターンのいずれかの実装として提供され得るが、本明細書で論じられるか、または提案されるように、様々な他の実装も同様に利用されてよい。
【００１５】
環境１００は、開発者、データ管理者、または試験者等のユーザがシステムにアクセスするのを可能にするユーザデバイス１１８を含む、開発および／または試験サイドを含んでもよい。ユーザデバイス１１８は、クライアントデバイス１０２に関して上述されるような任意の適切なデバイスまたはマシンであり得る。環境１００は、アプリケーションサーバ１０８と同様に機能するが、例えば、コードが生産サイドで展開および実行され、外部ユーザにアクセス可能になる前に、通常、開発および試験の間にコードを実行する、開発サーバ１２０を含んでもよい。いくつかの実施形態では、アプリケーションサーバは、開発サーバとして機能し、個別の生産および試験ストレージが利用されない場合がある。
【００１６】
データストア１１０は、特定の態様に関するデータを保存するためのいくつかの個別のデータテーブル、データベース、または他のデータストレージ機序および媒体を含んでよい。例えば、例示のデータストア１１０は、生産サイドのコンテンツを配信するために利用され得る、生産データ１１２およびユーザ情報１１６を保存するための機序を含む。データストア１１０は、試験サイドのユーザ情報とともに利用され得る、試験データ１１４を保存するための機序を含むようにも示される。ページイメージ情報およびアクセス権情報等のデータストア１１０に保存される多くの他の態様が存在し、必要に応じて上で列挙された機序のうちのいずれか、またはデータストア１１０内の追加の機序に保存され得ることを理解されたい。
【００１７】
データストア１１０は、それと関連付けられた論理を通じて、アプリケーションサーバ１０８または開発サーバ１２０からの命令を受信し、それに応答してデータを取得、更新、ないしは別の方法で処理するように動作可能である。一実施例では、ユーザは、所定のタイプのアイテムについて、検索要求を提出する場合がある。この場合、データストア１１０は、ユーザ情報１１６にアクセスして、ユーザのＩＤを認証し、カタログ詳細情報にアクセスして、そのタイプのアイテムに関する情報を取得し得る。次いでその情報を、ユーザがユーザデバイス１０２上のブラウザを介して見ることができる、ウェブページ上の結果一覧等でユーザに戻すことができる。対象とする特定アイテムに関する情報は、ブラウザの専用ページまたはウィンドウ内で見られてもよい。
【００１８】
各サーバは、通常、サーバの一般的な管理および操作について、実行可能なプログラム命令を提供する、オペレーティングシステムを含み、通常、サーバのプロセッサにより実行されると、サーバがその意図した機能を行うことを可能にする命令を保存する、コンピュータ可読媒体を含む。サーバのオペレーティングシステムおよび一般的な機能に好適な実装は既知であるか、または市販されており、特に本明細書の開示を考慮して、当業者により容易に実装される。
【００１９】
一実施形態では、環境１００は、１つ以上のコンピュータネットワークまたは直接接続を使用して、通信リンクを介して相互接続された、いくつかのコンピュータシステムおよびコンポーネントを利用する、分散コンピューティング環境である。しかしながら、そのようなシステムが、図１に示される数よりも少ない、または多いコンポーネントを有するシステムにおいて、等しく良好に動作し得ることは、当業者に理解されるであろう。したがって、図１のシステム１００の図は、事実上、例証であって、開示の範囲を限定するものではないと見なされるべきである。
【００２０】
少なくとも一実施形態では、環境１００の１つ以上の態様は、仮想ファシリティプロビジョニングアーキテクチャを組み込む、および／または組み込まれ得る。図２は、少なくとも１つの実施形態に従う、例示の仮想ファシリティプロビジョニングアーキテクチャ２００の態様を表す。例示の仮想ファシリティプロビジョニングアーキテクチャ２００は、ネットワーク２０８を介して仮想ファシリティプロバイダ２０６に通信接続された複数のクライアント２０２〜２０４を含む。例えば、クライアント２０２〜２０４は、図１のコンピューティングデバイス１０２等のコンピューティングデバイス、および／またはそのようなコンピューティングデバイスに組み込まれたクライアントプログラムに対応し得る。クライアント２０２とクライアント２０４との間の省略は、仮想ファシリティプロビジョニングアーキテクチャ２００が、任意の好適な数のクライアント（例えば、数千、数百万、およびそれ以上）を含んでよいことを説明するが、明確にするために、図２では２つのみが示される。
【００２１】
クライアント２０２〜２０４のうちの１つ以上は、仮想ファシリティプロバイダ２０６の制御プレーン２１０と相互作用し、それによって１つ以上の仮想ファシリティ２１２をプロビジョニングするように、仮想ファシリティプロバイダ２０６の１人以上の顧客により利用され得る。代替または追加として、クライアント２０２〜２０４のうちの１つ以上は、プロビジョニングされた仮想ファシリティ２１２と相互作用するように利用され得る（必ずしも仮想ファシリティプロバイダ２０６の顧客によるとは限らない）。プロビジョニングされた仮想ファシリティ２１２は、任意の好適な仮想ファシリティを含んでよい。好適な仮想ファシリティ２１２の例には、仮想コンピュータシステム２１４、仮想ネットワーク接続２１６、および仮想データストア２１８、ならびに図２に示されない仮想ファシリティ、例えば、特殊データ処理エージェント、メディアストリーミングエージェント（オーディオおよびビデオストリーミングエージェントを含む）、メッセージキュー、出版−購読トピックに出版されたイベントに一致する購読を有する購読者に通知するように構成された出版−購読トピック、モニタリングエージェント、負荷バランシングエージェント、およびそれらの好適な組み合わせが挙げられる。
【００２２】
仮想ファシリティプロバイダ２０６は、任意の好適な実装リソース２２０を含んでよい。仮想ファシリティ２１２のそれぞれは、実装リソース２２０の群により実装されてよい。少なくとも一実施形態では、実装リソース２２０の様々な実装リソースは、仮想ファシリティ２１２の複数の仮想ファシリティを少なくとも部分的に実装することに関与するように構成され得る。好適な実装リソース２２０の例には、仮想コンピュータシステム（ＶＣＳ）サーバ２２２、ネットワークハードウェア２２４、およびデータストアサーバ２２６、ならびに図２に示されていない実装リソース、および／または図３を参照して以下でさらに詳述されるものが挙げられる。制御プレーン２１０は、仮想ファシリティプロビジョニング要求を処理し、仮想ファシリティ２１２の実相リソース２２０への割り当てを管理し、および／または実装リソース２２０の仮想ファシリティ２１２への割り当てを管理するとともに、関連する費用計算サービスを提供し得る。
【００２３】
実装リソース２２０の特定の実装リソースが、仮想ファシリティ２１２の複数の仮想ファシリティの実装に関与するとき、実装リソースは競合される場合があり、例えば、実装リソースは、サービス時間の増加を要求する、複数の仮想ファシリティから十分なサービス要求を受信し得る。競合される実装リソースは、例えば、少なくとも部分的にサービス時間の要求の変化に基づいて、仮想ファシリティ間の意図しない情報および／または承認されていない情報の転送のソースであり得る。少なくとも一実施形態では、顧客は、少なくとも部分的に、顧客の仮想ファシリティが専用の実装リソースを用いてプロビジョニングされるよう要求することにより、仮想ファシリティプロバイダ２０６の他の顧客へのそのような情報の転送に対する障壁を確立し得る。そのような障壁は、仮想ファシリティの他の顧客のうちの１人以上が、顧客の仮想ファシリティに関する未公開の情報へのアクセスを入手する可能性を低下させ得る。実装リソース専用ユニットを定義する、実装リソース専用境界は、物理的境界および／または物理的分離に起因する境界を含む、物理コンポーネントとハードウェアコンポーネントとの間の境界、ならびにハード（例えば、ハードウェア強化された）スケジューリングおよび／またはタイミング境界、およびそれらの好適な組み合わせに対応し得る。
【００２４】
図３は、少なくとも一実施形態に従って、データセンターのさらなる態様を表す。データセンター３０２は、複数のサーバラック３０４〜３０６を含んでよい。データセンター３０２は、図４のデータセンター４０２、４０４の例である。サーバラック３０４とサーバラック３０６との間の省略は、データセンター３０２が、任意の好適な数のサーバラックを含んでよいことを説明するが、明確にするために、図３では２つのみが示される。各サーバラック３０４〜３０６は、複数のサーバコンピュータ３０８〜３１４および３１６〜３２２への電力およびデータ通信等のサービスの維持に関与し得る。ここでも省略は、サーバラック３０４〜３０６が、任意の好適な数のサーバコンピュータを含んでよいことを説明する。例えば、サーバコンピュータ３０８〜３２２は、１つ以上のＶＣＳサーバ２２２（図２）および／または１つ以上のデータストアサーバ２２６を含み得る。各サーバ３０８〜３２２は、実装リソース専用ユニットに対応し得る。
【００２５】
図３では、各サーバラック３０４〜３０６は、ラックスイッチ３２４〜３２６を含むものとして表される。ラックスイッチ３２４および３２６は、サーバコンピュータ３０８〜３１４および３１６〜３２２のそれぞれの群を往復するデジタルデータのパケットの切り替えに関与し得る。各ラックスイッチ３２４〜３２６は、実装リソース専用ユニットに対応し得る。しかしながら、サーバラック３０４〜３０６が１つのラックスイッチ３２４〜３２６を含む場合（図３に表される）、ラックスイッチ３２４〜３２６を仮想ファシリティプロバイダ２０６（図２）の特定の顧客専用にすることは、それぞれのサーバラック３０４〜３０６の専用化をもたらす。これは、少なくとも一実施形態に従って、含有専用ユニット（「含有ユニット専用」）の専用化を生じる実装リソース専用ユニットのコンポーネント（実装リソース専用サブユニット）の専用化の例である。実装リソース専用ユニットは、それらのサブユニットのうちの（存在する場合）どれが含有ユニット専用化をもたらすかを示し得る。
【００２６】
ラックスイッチ３２４〜３２６は、データセンタースイッチング構造３２８に対して、次いでインターネットを含む１つ以上の他のコンピュータネットワークにデータセンター３０２を接続する、エッジルータ３３０の群に対して通信リンクされ得る。エッジルータ３３０は、入ってくるネットワークトラフィックの一部またはすべてを１つ以上のＤＤｏＳ緩和デバイス３３１に回送するように構成され得る。例えば、１つ以上のインターネットプロトコル（ＩＰ）アドレスが、現在のＤＤｏＳ攻撃の標的である場合、エッジルータ３３０は、それらのＩＰアドレスに向けられたトラフィックをＤＤｏＳ緩和デバイス３３１に回送するように構成され得る。ＤＤｏＳ緩和デバイスは、ネットワークトラフィックおよび／またはそれと関連付けられた情報を分析するように動作可能な任意のデバイスであって、少なくとも一部はその分析に基づいて、潜在的に有害なトラフィック、例えば、ＤＤｏＳ攻撃の一部として生成されたトラフィックを遮断するか、ないしは他の方法で緩和することにより、ネットワークトラフィックを緩和し得る。そのようなＤＤｏＳ緩和デバイスの例は、Ａｒｂｏｒ  Ｎｅｔｗｏｒｋｓ（６  Ｏｍｎｉ  Ｗａｙ，Ｃｈｅｌｍｓｆｏｒｄ，Ｍａｓｓａｃｈｕｓｅｔｔｓ  ０１８２４）から入手可能であり、例えば、Ａｒｂｏｒ  Ｐｅａｋｆｌｏｗ  ＳＰ、Ａｒｂｏｒ  Ｐｅａｋｆｌｏｗ  ＴＭＳ、Ａｒｂｏｒ  Ｐｅａｋｆｌｏｗ  Ｘ、および／またはＡｒｂｏｒ  Ｎｅｔｗｏｒｋｓから入手可能な他のデバイスが挙げられる。一般に、ＤＤｏＳ緩和デバイスは、ＤＤｏＳまたは他の潜在的に有害なトラフィックを緩和するように動作可能な任意のデバイスまたはデバイスの組み合わせであってよい。さらに、エッジルータ３３０とスイッチング構造との間にあるものとして図示されるが、ＤＤｏＳ緩和デバイスは、他の場所、例えば、データセンターの外部ネットワークと潜在的にＤＤｏＳおよび／または他の攻撃の対象であり得るコンピューティングデバイスとの間の任意の好適な位置に配置されてもよい。さらに、データセンター内の他のデバイスは、個別のデバイスとして示されるが、ＤＤｏＳ緩和デバイスの機能は、他のデバイスにより行われてよい。例えば、エッジルータとして機能する１つ以上のデバイスは、ＤＤｏＳ緩和機能を行い得る。同様に、データセンター内の複数のデバイスは、例示されるＤＤｏＳ緩和デバイスの１つ以上の機能を集合的に行い得る。
【００２７】
スイッチング構造は、任意の好適なネットワークコンポーネント群を含んでよく、１つ以上のスイッチング層に配設された１つ以上のスイッチタイプの複数の相互接続されたスイッチ３３２〜３３８（明確にするために、４つのみが図３に示される）、ならびにルータ、ゲートウェイ、ブリッジ、ハブ、リピータ、ファイヤーウォール、コンピュータ、およびそれらの好適な組み合わせを含む。少なくとも一実施形態では、ラックスイッチ３２４〜３２６およびエッジルータ３３０は、スイッチング構造３２８の一部として考慮される。ラックスイッチ３２４〜３２６、エッジルータ３３０、およびスイッチング構造３２８のコンポーネントは、図２のネットワークハードウェア２２４の例である。
【００２８】
スイッチング構造３２８の一部分、スイッチング構造３２８ネットワーキングコンポーネントの群、例えば、スイッチ３３２〜３３８の群、および／またはエッジルータ３３０は、実装リソース専用ユニットに対応し得る。代替または追加として、仮想ファシリティプロバイダ２０６（図２）の特定の顧客は、顧客の仮想ファシリティが、スイッチング構造３２８および／またはエッジルータ３３０を通じて、専用データパスおよび／またはチャネル（集合的に「データパス」）の群を用いてプロビジョニングされることを指定し得る。専用データパスに関して、実装リソース専用ユニットは、ワイヤおよび／またはケーブルの群等の物理的データパスに対応し得る。代替または追加として、実装リソース専用ユニットは、同期通信スキーム内のハードスケジュール通信タイムスロットに対応し得る。
【００２９】
図４は、一実施形態に従って、ＤＤｏＳ攻撃に応答するためのプロセス４００の事例を示す。プロセス４００の一部（ないしは本明細書に記載される任意の他のプロセス、またはその変型および／もしくは組み合わせ）は、実行可能な命令を備えて構成された１つ以上のコンピュータシステムの制御下で行われてよく、１つ以上のプロセッサ、またはそれらの組み合わせ上でハードウェアにより集合的に実行する、コード（例えば、実行可能な命令、１つ以上のコンピュータプログラム、または１つ以上のアプリケーション）として実装され得る。コードは、例えば、１つ以上のプロセッサにより実行可能な複数の命令を含む、コンピュータプログラムの形態で、コンピュータ可読ストレージ媒体上に保存されてよい。一実施形態では、プロセス４００は、複数の地理的位置において、ネットワークポイントオブプレゼンス（ＰＯＰ）を展開すること４０２を含む。ＰＯＰは、例えば、様々なインターネットサービスプロバイダ（ＩＳＰ）により支配される複数の地理的位置に配置されてもよい。ＰＯＰは、例えば、様々なＩＳＰのデータセンターとともに配列され得る。一例として、ＰＯＰは、現在ＤＤｏＳ攻撃が起点とする任意の地理的位置に展開され得る。本開示は、例示の目的で、複数のＰＯＰの展開について論じるが、本開示の様々な実施形態は、単一の展開されたＰＯＰを利用し得る。一実施形態では、各ＰＯＰは、所定の送信先への少なくとも一部のネットワークトラフィックを、ＰＯＰを通じて回送させるために、インターネット上にボーダーゲートウェイプロトコル（ＢＧＰ）経路を通知するように動作可能である。本開示は、ＰＯＰの展開に関して実施形態を論じるが、他の変型も可能である。例えば、ＰＯＰは、既にＩＳＰまたは他のエンティティにより展開されてもよい。本開示の様々な実施形態は、そのようなエンティティと協働して、そのようなＰＯＰのリソースを利用することを含んでよい。
【００３０】
一実施形態では、ＤＤｏＳ攻撃が検出される４０４。ＤＤｏＳ攻撃の検出は、任意の好適な方法で、例えば、適切なネットワーク分析を使用し、および／またはＤＤｏＳ攻撃を示す情報を受信して行われてよい。例えば、リモートコンピューティングサービスプロバイダの顧客は、顧客の代わりにリモートコンピューティングサービスプロバイダにより支配される１つ以上のＩＰアドレスが、現在ＤＤｏＳ攻撃下にあることをリモートコンピューティングサービスプロバイダに通知し得る。一実施形態では、ＤＤｏＳ攻撃が検出されると、ＤＤｏＳ攻撃の１つ以上の地理的起点が識別される４０６。ＤＤｏＳ攻撃起点の識別は、任意の好適な方法で、例えば、ＩＰパケット内で識別されたソースＩＰアドレスを分析することにより、または以下でさらに詳述される他の方法で行われ得る。
【００３１】
ＤＤｏＳ攻撃の１つ以上の起点が識別されると、識別された起点の１つ以上の展開されたＰＯＰが識別される４０８。１つ以上のＰＯＰは、例えば、ＤＤｏＳ攻撃の起点として識別された地理的領域に地理的に最も近位にあるＰＯＰであってよい。例えば、ＤＤｏＳ攻撃の起点が特定の国にあるものとして識別される場合、ＰＯＰは、その国にあるか、またはその国の地理的に近位にあるＰＯＰに少なくとも部分的に基づくものとして識別され得る。国が複数のＩＳＰ、複数のＰＯＰにより支配される場合、各ＩＳＰに１つのＰＯＰが識別され得る。１つ以上のＰＯＰは、少なくとも部分的に、他の方法で測定される近位性、例えば、ネットワークトポロジーおよび／または他のネットワーク状態に少なくとも部分的に基づく近位性に基づいて識別されてもよい。例えば、１つ以上のＰＯＰは、これらに限定されないが、観察された待ち時間、ホップカウント（ネットワークトポロジー距離）、使用可能な帯幅、地理的距離、および行政区を含む、１つ以上のネットワーク状態の機能として識別され得る。ネットワーク状態は、検出されたＤＤｏＳ攻撃の被害者に向けられたネットワークトラフィックの全部または一部に適切な値を測定することによるか、または任意の好適な方法で決定されてよい。いくつかの実施形態では、ＰＯＰは、複数のキャリアが使用可能な場合に交換して配置されてもよい。また複数のＩＳＰにより対応される地理的位置は、インストール時に単一のＰＯＰを有してよく、低い待ち時間、比較的安価な帯幅、および／または他の利点は、複数のＩＳＰのうちの１つ以上から得られる。地理的位置（例えば、国）が複数のＩＳＰにより対応される場合、ＰＯＰは、ＩＳＰの１つ、一部、または全部について識別されてよい。
【００３２】
特定の例として、一部の行政区の場合、同一の行政区内のＰＯＰを受信されるネットワークトラフィックの少なくとも一部分の起点として識別することが望ましい場合がある。別の例として、ネットワークトラフィックを、ＰＯＰを通じて回送させるとき、ネットワークトラフィックの最低待ち時間をもたらす、１つ以上のＰＯＰを識別することが望ましい場合がある。この後者の例では、行政的考慮が別段の指示をしない場合、対応するネットワークトラフィックの待ち時間が最低であるＰＯＰが識別され得る。識別されたＰＯＰは、検出されたＤＤｏＳ攻撃の地理的起点に地理的に最も近いＰＯＰであっても、そうでなくてもよい。一般に、１つ以上のＰＯＰの識別は、ＤＤｏＳ攻撃のトラフィックを識別されたＰＯＰを通じて向け直す能力に少なくとも部分的に基づいて、ＰＯＰを選択するように行われてよい。１つ以上の識別された起点の１つ以上のＰＯＰが識別されると、一実施形態では、１つ以上のボーダーゲートウェイプロトコル（ＢＧＰ）経路は、識別された１つ以上のＰＯＰで通知（宣伝）される４１０。経路の通知は、ＰＯＰのＢＧＰスピーカにより行われてよい。ＢＧＰスピーカは、１つ以上のＰＯＰを通じてトラフィックを回送させるように、１つ以上の適切なＩＳＰに示す任意の様式で経路を宣伝し得る。このように、ＰＯＰと接続されたＩＳＰは、識別されたＰＯＰを通るネットワークトラフィックの好適な経路を反映するように、ルーティングテーブルを更新するか、ないしは別の方法で、ＤＤｏＳ攻撃に潜在的に関連するネットワークトラフィックの少なくとも一部分が、１つ以上の識別されたＰＯＰを通じて回送されるように、１つ以上のシステムを再構成してもよい。
【００３３】
１つ以上のＢＧＰ経路が通知されると、その通知されたＢＧＰ経路の１つ以上の位置でのネットワークトラフィックが受信され得る４１２。ネットワークトラフィックは、例えば、ＰＯＰで受信されてよい。しかしながら、ネットワークトラフィックは、他の位置、例えば、通知されたＢＧＰ経路の一部である別の位置で受信されてもよい。ネットワークトラフィックを受信することにより、１つ以上の緩和技術が受信されたトラフィックに適用され得る４１４。例えば、受信されたトラフィックのパケットが分析されてよく、分析によりパケットがＤＤｏＳ攻撃の一部であると識別された場合、パケットは遮断され得る。様々な技術には、これらに限定されないが、ＳＹＮプロキシの使用、ソースレート制限、アクセス制御リストを使用する動的フィルタリング、合法であると決定されたＩＰアドレスをキャッシングしながらＳＹＮプロキシを使用するアクティブ認証、異常認識、例えば、伝送制御プロトコル（ＴＣＰ）状態異常認識、粒度制限、ホワイトリスト、ブラックリスト、ダークＩＰアドレスからのトラフィックの遮断、他の技術、および技術の組み合わせが挙げられる。一般に、ＤｏＳを起点とするネットワークトラフィックの少なくとも一部分を識別するための任意の技術が使用されてよい。１つ以上の緩和技術に従って遮断されなかったトラフィックは、トラフィックの意図した送信先に向かって発信され得る４１６。
【００３４】
図５および６は、それぞれＤＤｏＳ攻撃の事例、および図４に関連して上述される、プロセス４００を行った結果を提供する。特に、図５は、アメリカ、ロシア、ウクライナ、およびオーストラリアの表示を含む、マップ５００を示す。図示されるように、マップ５００は、アメリカ国内のデータセンター５０２、および様々な地理的位置にわたって、例えば、ロシア、ウクライナ、およびオーストラリアの様々な位置に分散された複数のコンピューティングデバイス５０４を起点とするトラフィックを含む。この特定例では、１つ以上のコンピューティングデバイス５０４は、データセンター２０２により支配されるＩＰアドレス（またはＩＰアドレスの集合）にトラフィックを送信している場合がある。このトラフィックの一部は、合法的なトラフィックであり得るが、このトラフィックの他の部分は、ＤＤｏＳ攻撃の一部であり得る。この特定例では、データセンター５０２は、アメリカ国内に配置され、コンピューティングデバイス５０４は、オーストラリア、ロシア、およびウクライナにわたって配置される。当然のことながら、表される特定の国は、単なる事例であり、ＤＤｏＳ攻撃は、ＤＤｏＳ攻撃の被害者と同一の国を含む、他の場所を起点とし得る。さらに、図５は、例示の目的で、様々な国に関して開示の様々な態様を示すが、ＤＤｏＳ攻撃の一部分が起点とする地理的領域は、必ずしも政治的境界に対応するとは限らず、および／または市の境界、州の境界、国の境界、大陸の境界等の他のタイプの政治的境界に対応し得るか、またはほぼ対応し得る。
【００３５】
図５に示されるように、データセンター５０２に送信されるトラフィックは、様々な経路を介してデータセンターに到達し得る。これらの経路は、複数のプロバイダネットワークを横断し得る。例えば、ロシアを起点とするネットワークトラフィックは、別のＩＳＰのチャネルまたは他の電話通信キャリアに入るまで、最初にロシアのＩＳＰの通信チャネル（例えば、光ファイバーケーブル）を通過し得る。ネットワークトラフィックは、その送信先に到達する前に、多数の領域および／または国のＩＳＰ、ならびに他の電話通信キャリアを通過し得る。例えば、ロシアを起点とする少なくとも一部のトラフィックは、少なくとも１社のロシア企業、少なくとも１社の欧州企業、少なくとも１社の大陸間キャリア、および少なくとも１社のアメリカ国内企業により操作される装置を通過し得る。１つの国を起点とする様々なパケットは、同一の送信先への様々な経路を取ってよい。
【００３６】
加えて、図５に示されるように、マップ５００は、複数のリモート展開されたＰＯＰ５０６も含む。特に、この事例では、１つのＰＯＰがロシア、ウクライナ、およびオーストラリアのそれぞれに配置される。ＰＯＰ５０６のうちの１つ以上は、物理的位置であってよく、これらに限定されないが、１つ以上のサーバ、ルータ、非同期伝送モード（ＡＴＭ）スイッチ、および／またはデジタル／アナログコール集積器を含み得る。物理的位置のそれぞれは、データセンター５０２と関連付けられたエンティティがレンタル、リース、ないしは別の方法で使用する電話通信プロバイダのファシリティの一部であり得るが、物理的位置は分離していてもよい。ＰＯＰのうちの１つ以上は、インターネット交換ポイントまたはコロケーションセンターに配置されてもよい。図に示されるように、データセンター５０２へのトラフィックの一部は、正常な回送の一部として、ＰＯＰのうちの１つ以上を通過し得るが、トラフィックは、正常な回送の一部として、ＰＯＰのうちのいずれかを通過する必要はない。
【００３７】
上述のように、図６は、マップ６００を示し、この例では、上述のマップ５００である。例えば、図５と同様に、図６のマップ６００は、アメリカ国内に配置されたデータセンター６０２と、情報をデータセンター６０２に送信する複数のコンピューティングデバイス６０４と、を含む。図示されるように、コンピューティングデバイスは、オーストラリア、ロシア、およびウクライナにわたって配置される。加えて、マップ６００は、複数のＰＯＰ６０６も含み、この例では、ロシア、ウクライナ、およびオーストラリアのそれぞれに１つのＰＯＰを含む。一実施形態では、ＤＤｏＳ攻撃が検出されると、図に示されるＰＯＰのそれぞれは、ＰＯＰを通る１つ以上のＢＧＰ経路を宣伝し、それによって関連付けられたＩＳＰに、ＰＯＰを通してデータセンター６０２にトラフィックを回送させてよい。次いでＰＯＰ６０６は、コンピューティングデバイス６０４からトラフィックの大部分を受信し、上述のようにそのトラフィックをフィルタ処理して、フィルタ処理されていないトラフィックをデータセンター６０２に渡す。フィルタ処理されていないトラフィックは、プライベートＶＰＮまたはダークファイバーネットワーク上で送信され得るが、トラフィックは、他のチャネル、例えば、１つ以上の他のＶＰＮまたはダークファイバーネットワーク上で送信されてもよい。この方法で、ＤＤｏＳ攻撃に関与するトラフィックの大部分は、攻撃のソース（複数可）の近位にある位置で遮断される。
【００３８】
上述のように、図５および６は、ＤＤｏＳ攻撃およびそのＤＤｏＳ攻撃の影響を緩和するための実施形態を集合的に示す。しかしながら、上述のプロセスの変型は、本開示の範囲内であると見なされる。例えば、ＰＯＰは、ＤＤｏＳ攻撃の検出前に、１つ以上のＩＰアドレス（恐らく、データセンターの数名の顧客）のＢＧＰ経路を通知し得る。この方法で、ロシア、ウクライナ、および／またはオーストラリアを起点とするデータセンターへの相当量のトラフィックは、ほとんどの場合ＰＯＰを通過し得る。ＰＯＰを通して流れるネットワークトラフィックは、ＤｏＳ攻撃が検出されると、コンピューティングリソースを保護するために、常にフィルタ処理され得る。以下で論じられるものを含む他の変型も本開示の範囲内である。
【００３９】
上述のように、本開示の様々な実施形態を使用して、１人以上の顧客に対するサービスとして、ＤＤｏＳ緩和サービスを提供してよい。例えば、図５および６を参照して、顧客は、データセンターを操作するリモートコンピューティングサービスプロバイダのユーザであり得る。しかしながら、顧客は、他のデータセンターおよび／またはそれら独自のデータセンターを利用するエンティティ等の他の顧客であってもよい。顧客は、ＩＳＰ、電話通信キャリア、または様々なネットワーク上のネットワークトラフィックの通過を容易にする他のエンティティであってもよい。したがって、図７は、一実施形態に従って、そのような顧客にＤＤｏＳ緩和サービスを提供するための例示のプロセス７００を示す。プロセス７００は、この例において、ＤＤｏＳ攻撃の通知を受信すること７０２を含む。例えば、ＤＤｏＳ攻撃下にあることがわかった組織（コンピューティングサービスプロバイダの顧客）は、ＤＤｏＳ緩和サービスを注文し、通知は、その注文プロセスの一部として受信され得る。別の例として、通知は、ＤＤｏＳ攻撃を検出する、第三者システムであり得るシステムから受信されてよい。一般に、ＤＤｏＳ攻撃について通知される任意の方法が使用されてもよい。
【００４０】
一実施形態では、通知を受信すると（ないしは別の方法でＤＤｏＳ攻撃の存在に関する知識を得ると）、１つ以上のＢＧＰ経路が、攻撃の送信先（被害者）に通知される７０４。１つ以上のＢＧＰ経路の通知は、例えば、上記の記載に従って行われてよい。ＢＧＰ経路は、例えば、送信先に対応する１つ以上のＩＰアドレスについて通知され得る。ＢＧＰ経路は、攻撃の送信先である１つ以上のＩＰアドレスの群を含む、最小ＩＰアドレス空間であり得る、ＩＰアドレス空間について通知されてもよい。上述のように、１つ以上のＢＧＰ経路の通知は、ネットワークトラフィックが、通知された１つ以上のＢＧＰ経路の１つ以上の位置で受信される７０６ようにし得る。ネットワークトラフィックは、例えば、上述される１つ以上のリモート展開されたＰＯＰで受信されてよい。１つ以上の緩和技術（戦略）は、例えば、上述の方法で、受信されたネットワークトラフィックに適用され得る７０８。
【００４１】
緩和技術の適用と同時に、または別の好適な時点で、１つ以上の攻撃に関連する測定が取られてよい７１０。攻撃に関連する測定は、影響を受けるエンティティに提供されるＤＤｏＳ緩和サービスの任意の態様に関する測定であり得る。例えば、測定値は、受信されたＤＤｏＳ被害者に向けられたトラフィックの量の測定値であってもよい。代替または追加として、測定は、その意図した送信先から遮断されるトラフィックの量に関して行われてもよい。使用され得る他の可能な測定には、これらに限定されないが、任意のＤＤｏＳ緩和戦略が適用される時間の量、ＤＤｏＳ攻撃の対象であるＩＰアドレスの数、および／または一般にＤＤｏＳ緩和サービスの任意の態様が挙げられる。一般に、被害者の代わりにＤＤｏＳ緩和サービスの性能を示すものが測定されてよい。
【００４２】
一実施形態では、受信されたが遮断されていないトラフィックは、その意図した送信先に向かって、例えば、上述の方法で発信される７１２。加えて、取られた測定値に少なくとも部分的に基づいて、１つ以上のレポートが生成され得る７１４。本説明に従って生成されるレポートは、例えば、顧客の代わりに行われたＤＤｏＳ緩和アクションを要約するインボイスであってよい。したがって、生成されたレポートは、一実施形態では、影響を受けたエンティティに提供される７１６、影響を受けたエンティティからの値は、少なくとも部分的にそのレポートに基づいて受信されてよい７１８。例えば、レポートは、送金される額を提示し、その値は、その金額または別の額であり得る。
【００４３】
上述のように、本開示の様々な実施形態は、異なる方法で動作する。例えば、図４に関連して上述されるプロセス４００は、ＤＤｏＳ攻撃を検出することと、攻撃の１つ以上のソース領域に地理的に近位にあると識別されたＰＯＰのＢＧＰ経路を通知することと、を含む。図８は、このプロセスの変型に関する事例のフローチャートを示す。特に、図８は、一実施形態に従って、ＤＤｏＳ緩和に使用され得るプロセス８００の事例を示す。プロセス８００の態様は、図４に関連して上述されるプロセス４００に関連して上述されるものに類似し得る。例えば、一実施形態では、ネットワークＰＯＰは、複数の地理的位置において、例えば、上述の方法で展開される８０２。同様に、ＤＤｏＳ攻撃が検出されてもよい８０４。加えて、１つ以上のＢＧＰ経路は、一実施形態に従って、ＰＯＰにより通知される。一実施形態では、ＢＧＰ経路は、すべての展開されたＰＯＰについて通知されるが、ＢＧＰ経路は、一部の展開されたＰＯＰに通知され得る。ＢＧＰ経路の通知は、ＤＤｏＳ攻撃の任意の地理的起点の任意の決定から独立して行われてよい。
【００４４】
上述のように、ＰＯＰでのＢＧＰ経路の通知は、ＤＤｏＳ攻撃に関連するトラフィックの少なくとも一部を、通知されたＢＧＰ経路の１つ以上の位置を通して、例えば、ＰＯＰ自体で回送されるようにし得る。したがって、１つ以上の緩和技術は、ＰＯＰで受信されたトラフィックに適用されてよい８０８。例えば、緩和技術は、上記の記載に従うそれらの技術であり得る。一実施形態では、各ＰＯＰで遮断されたトラフィックの量は、ＰＯＰのそれぞれについて測定される８１０。例えば、ＤＤｏＳ緩和技術の適用の結果として遮断されたＩＰパケットの数がカウントされ得る。一般に、ＤＤｏＳ攻撃を緩和するために費やされるコンピューティングリソースを測定するか、またはそのようなリソース支出を示すものを測定するための任意の好適な方法が使用されてよい。
【００４５】
一実施形態では、測定された遮断の低い１つ以上のＰＯＰが識別される８１２、識別されたＰＯＰの緩和に費やされたリソースは、実施形態に従って減少される８１４。例えば、受信されたＩＰパケットは、分析および潜在的に遮断されることなく、それらの送信先に送られることが可能になり得る。代替または追加として、通知されたＢＧＰ経路は、リモート展開されたＰＯＰにより受信され、そのＰＯＰによりフィルタ処理されるＤＤｏＳ被害者へのネットワークトラフィックの量を減少する、場合によっては完全に減少させるように更新されてよい。代替として、ＰＯＰは、ＩＳＰにＰＯＰを除外するようにそのルーティングテーブルを更新させるために、少なくともＤＤｏＳ被害者に向けられたトラフィックのＩＳＰとの通信を中断し得る。さらに別の代替として、より完全かつリソース集中型技術の代わりに、速いがあまり有効でないＤＤｏＳ緩和技術が使用されてもよい。一般に、ＤＤｏＳ緩和に費やされたリソースを減少させる任意の好適な方法が使用され得る。
【００４６】
図示されるように、各ＰＯＰで遮断されるトラフィックの量（または他の好適なインジケータ）が繰り返し測定されてよく、それを使用して、相当量のトラフィックを遮断していないＰＯＰを識別し、したがってＤＤｏＳ緩和技術に費やされるリソースを減少させてもよい。この方法で、ＤＤｏＳ緩和に費やされるコンピューティングリソースは、連続的にモニタリングされ、したがってリソース支出が調整される。加えて、ＤＤｏＳ攻撃が中断した場合、被害者のＤＤｏＳ緩和に費やされるリソースが中断し得ると同時に、遮断されるトラフィックの量が減少し、したがってＤＤｏＳ緩和に費やされるリソースの量が減少する。
【００４７】
本明細書に記載されるすべてのプロセスに関して、変型は、本開示の範囲内であると見なされる。例えば、図８に表されるプロセス８００は、経時的なＤＤｏＳ攻撃の起点の変化に従って、ＢＧＰ経路を通知するか否かを決定するようにモニタリングすることも含み得る。加えて、上述のように、ＢＧＰ経路は、ＤＤｏＳ攻撃の存在の検出、ないしは別の方法でそれに関する知識を得る前に通知されてよい。この例では、ＤＤｏＳ緩和に費やされるリソースの量は、必要に応じて調整され得るが、ネットワークトラフィックの大部分は、依然としてリモート展開されたＰＯＰを通して流れる。
【００４８】
上述のように、本開示の実施形態は、ＤＤｏＳ攻撃および同様のネットワーク状態の影響を緩和するための従来技術を超える多くの利点を提供する。例えば、ＤＤｏＳ攻撃に反応する１つの方法は、ＤＤｏＳに関連するトラフィックが、古いＩＰアドレスに送信される一方で、新しいＩＰアドレスが合法的な目的で使用され得るように、攻撃下にあるネットワーク送信先のＩＰアドレス（または複数の位置の集合の複数アドレス）を変更することを伴う。しかしながら、ＤＤｏＳ攻撃を回避するようにＩＰアドレスを更新することは、合法的なトラフィックが更新されたＩＰアドレスに回送され得るように、ドメイン名システム（ＤＮＳ）構成を更新することを含んでよい。しかしながら、ＤＮＳ構成が更新されると、ＤＤｏＳ攻撃は、新しいＩＰアドレスを攻撃するように再構成され得る。他の従来技術は、合法的なトラフィックが、第三者を通じて回送され、その第三者を起点としない元のＩＰアドレスを送信先とするトラフィックが、元のＩＰアドレスに到達するのを許可しないように、ＩＰアドレスを更新し、ネットワーク装置を再構成することを含み得る。そのような技術は、ＤＮＳ構成を再構築する（およびそのような構成の変更が伝播するのを待つ）必要があり得るため、被害者にとって押し付けがましい場合がある。しかしながら、本開示の様々な実施形態では、ＤＤｏＳ攻撃に起因するネットワークトラフィックが実質的に減少され、場合によっては排除されるため、ＤＤｏＳ攻撃の被害者がＩＰアドレスを更新する必要がない。したがって、ＤＤｏＳ攻撃の被害者（例えば、本明細書に記載される１つ以上の技術を用いるコンピューティングサービスプロバイダの顧客）は、崩壊が少なく、あまり不便性を感じることなく保護を得ることができる。
【００４９】
上述のように、様々な実施形態において必須ではないが、ＤＤｏＳ攻撃の被害者は、追加の戦略として、それらが動作する１つ以上のＩＰアドレスを変更することにより、ＤＤｏＳ攻撃の有害な影響を回避しようとする。例えば、組織が、１つ以上のＩＰアドレスの群に対するＤＤｏＳ攻撃の被害者である場合、その組織は、１つ以上の異なるＩＰアドレスを使用して動作するように、そのサーバを再構成し得る。再構成するとき、新しいＩＰアドレスは、新しいアドレスをユーザに通知するために、１つ以上のドメイン名システム（ＤＮＳ）サーバにおいて更新されてよい。しかしながら、ＤＤｏＳ攻撃は、ＤＮＳ情報がリフレッシュされるか、または新しいネットワーク位置が別の方法で見出されるため、新しく通知されたＩＰアドレスを攻撃するためにも適合する。したがって、図９は、そのような攻撃回避技術を利用する被害者に対するＤＤｏＳ攻撃の影響を緩和するためのプロセス９００を示す。
【００５０】
本明細書で示されるように、プロセス９００は、顧客、例えば、リモートコンピューティングサービスプロバイダの顧客において検出された９０２ＤＤｏＳ攻撃に関連して示される。しかしながら、プロセス９００の変型が、ＤＤｏＳ攻撃の任意の被害者に従って利用されてもよい。一実施形態では、ＤＤｏＳ攻撃が検出されると、例えば、上述される方法で、攻撃対象の１つ以上のＢＧＰ経路が通知される９０４。上述されるように、攻撃対象のＢＧＰ経路が通知されると、ネットワークトラフィックは、通知されたＢＧＰ経路内の位置で受信されてよい９０６。ネットワークトラフィックは、例えば、本明細書に記載される様々な実施形態に従って展開されたＰＯＰで受信され得る。加えて、１つ以上の緩和技術は、受信されたトラフィックに適用されてよく９１２、遮断されていないトラフィックは、その意図した送信先に発信されてよい９１４。
【００５１】
一実施形態では、顧客の１つ以上の新しいＩＰアドレスおよび／または終了したＩＰアドレスが検出される９１６。例えば、図２に関連して上述されるシステム等のシステムを用いる実施形態に従って、仮想リソースプロバイダ２０６は、その制御プレーン２１０を通して、１人以上のクライアント２０４が新しいＩＰアドレスを注文し、および／または既存のＩＰアドレスを終了することに対応するイベントを検出し得る。一実施形態では、新しいおよび／または終了したＩＰアドレスを検出すると、１つ以上のＤＤｏＳ緩和技術が、例えば上述の方法でそのトラフィックに適用され得るように、ＤＤｏＳ攻撃のネットワークトラフィックを回送させるために、１つ以上のＢＧＰ経路が更新される９１８。この方法で、顧客または他の組織はＩＰアドレスを更新するため、したがってＢＧＰ経路は、ＤＤｏＳ攻撃の影響がほぼ常に緩和されるように更新され得る。重要なことには、ＤｏＳ攻撃からの保護は、攻撃者（複数可）が被害者の新しいＩＰアドレスを発見する前に導入される。
【００５２】
上述のように、トラフィックが最終的に到達するデータセンターまたは他の位置は、図３に関連して上述されるような１つ以上のＤＤｏＳ緩和デバイスを利用し得る。しかしながら、ＤＤｏＳ緩和デバイスは、高価である場合が多く、したがって、最大の価値を得るために、ＤＤｏＳ緩和デバイスを通してトラフィックを選択的に回送させることにより、ＤＤｏＳ緩和デバイスを選択的に使用することが望ましい場合がある。したがって、図１０は、ＤｏＳ緩和リソースを選択的に利用するためのプロセス１０００を示す。一実施形態では、プロセス１０００の動作は、ＤＤｏＳ攻撃の対象であるシステムの１つ以上のＩＰアドレスと関連付けられた１つ以上のデバイスをホストするデータセンターで行われる。一実施形態では、インバウンドパケットが受信される１００２。図１０の事例は、パケットに関して開示の実施形態について論じるが、プロセス１０００は、非パケットベースのトラフィックを含む、他のタイプのトラフィックとともに使用するために適合されてよい。例えば、プロセス１０００は、フロー等のネットワーク上を移行する情報の他のユニットを受信および分析するように適合されてよく、フローは、一連の関連パケットである。図１０に示される特定の実施形態では、インバウンドパケットが受信されると１００２、パケットの起点に関する決定が行われる１００４。一実施形態では、起点が展開された緩和デバイス（例えば、上記の説明に従ってリモート展開されたＰＯＰ内のデバイス）または別の起点か否かに関する決定が行われる。展開された緩和デバイスは、例えば、上述のＡｒｂｏｒ製品等のデータセンターでの別の緩和デバイスよりも粗いレベルのネットワークフィルタ処理を提供するデバイスであってよい。一実施形態では、パケットの起点が展開された緩和デバイスであることが決定された場合、パケットは、図３に関連して上述されるＤＤｏＳ緩和等の二次緩和デバイスに回送される。二次緩和デバイスは、例えば、Ａｒｂｏｒまたは他の製品であってよく、展開された緩和デバイスよりも微細にネットワークトラフィックをフィルタ処理し得る。
【００５３】
１つ以上の二次緩和技術は、一実施形態に従って、受信されたパケットに適用されてよく１００８、例えば、１つ以上の技術は、上述されるＡｒｂｏｒ  Ｎｅｔｗｏｒｋｓにより提供されるソリューションにより利用される。任意の緩和技術を受信されたパケットに適用するとき、パケットが、適用される二次緩和技術によりフィルタ処理されない場合、フィルタ処理されなかったパケットは、インバウンドパケットを受信したデータセンター内でホストされるデバイスのＩＰアドレス等のその意図した送信先に回送される１０１０。このように、ＤＤｏＳ攻撃に関連する検出の容易なネットワークトラフィックは、ソース付近で停止するが、より検出の困難なＤＤｏＳトラフィックは、より中心位置で遮断され得る。したがって、より安価な装置は、多数の遠隔位置にリモート展開され得るが、より高価な装置は、より中心位置に展開されてよく、それによって、リモート緩和デバイスが展開および使用されなかった場合よりも多くのネットワーク送信先を保護するように、より高価な装置が使用され得るのを可能にする。パケットが受信されると１００２、プロセス１００は、ＤＤｏＳ攻撃の一部である可能性が高いトラフィックが分析され、必要に応じてフィルタ処理されるが、ＤＤｏＳ攻撃の一部である可能性が低いトラフィックは、その意図した送信先に直接回送されることを保証するために繰り返されてよい。
【００５４】
上述のように、上記説明の変型は、本開示の範囲内であると見なされる。例えば、上記事例は、ＤＤｏＳ攻撃に関連する様々な実施形態を説明するが、本明細書に記載および提案される多くの技術は、他のタイプの攻撃に同様に適用可能である。例えば、上記技術のうちの多くは、ＤＤｏＳ攻撃だけでなく、他のタイプのＤｏＳ攻撃に適用可能である。他の変型も当業者に理解されるであろう。
【００５５】
付記：
付記１．  分散サービス妨害攻撃の影響を緩和するためのコンピュータにより実装される方法であって、
実行可能命令を備えて構成される１つ以上のコンピュータシステムの制御下で、
被害者に対する分散サービス妨害攻撃を示す情報を受信することと、
１つ以上のリモート展開されたネットワークポイントオブプレゼンスのそれぞれに、前記被害者にアドレス指定されたネットワークトラフィックの少なくとも一部分を受信させる１つ以上のアクションを行うことと、
前記１つ以上のリモート展開されたネットワークポイントオブプレゼンスにそれぞれ、
前記被害者にアドレス指定された前記受信されたネットワークトラフィックの少なくとも一部分を分析させ、
前記被害者にアドレス指定された前記受信されたネットワークトラフィックの前記部分の分析に少なくとも部分的に基づいて、前記分散サービス妨害攻撃に起因する前記受信されたネットワークトラフィックの少なくとも一部分を遮断させて、
前記被害者に、前記被害者にアドレス指定された前記受信されたネットワークトラフィックの遮断されていない部分を発信する命令を、１つ以上のリモート展開されたネットワークポイントオブプレゼンスに送信することと、
を含む、方法。
付記２．  前記受信されたネットワークトラフィックの前記発信された遮断されていない部分を受信することと、
１つ以上の分散サービス妨害攻撃緩和技術を、前記ネットワークトラフィックの前記受信された発信済みの遮断されていない部分に適用することと、
をさらに含む、付記１に記載のコンピュータにより実装される方法。
付記３．  前記１つ以上のアクションが、前記１つ以上のリモート展開されたネットワークポイントオブプレゼンスのそれぞれについて、前記被害者の１つ以上のインターネットプロトコルアドレスに対応する好適なボーダーゲートウェイプロトコル経路の通知を行わせることを含む、付記１に記載のコンピュータにより実装される方法。
付記４．  前記分散サービス妨害攻撃に関連する１つ以上のネットワーク状態を識別することと、
前記識別された１つ以上のネットワーク状態に少なくとも部分的に基づいて、リモート展開されたネットワークポイントオブプレゼンスの群から、前記１つ以上のリモート展開されたネットワークポイントオブプレゼンスを選択することと、
をさらに含む、付記１に記載のコンピュータにより実装される方法。
付記５．  前記１つ以上のネットワーク状態を識別することが、待ち時間、ホップカウント、使用可能な帯幅、地理的距離、および行政区からなる群の１つ以上の構成要素について、１つ以上の値を決定することを含む、付記４に記載のコンピュータにより実装される方法。
付記６．  前記被害者にアドレス指定された前記受信されたネットワークトラフィックの前記遮断されていない部分を発信することが、前記１つ以上のコンピュータシステムと関連付けられたプライベートチャネル上で前記被害者に向かって、前記受信されたネットワークの前記遮断されていない部分を送信することを含む、付記１に記載のコンピュータにより実装される方法。
付記７．  前記１つ以上のアクションが、前記被害者の送信先ネットワークアドレスを変更することを除く、付記１に記載のコンピュータにより実装される方法。
付記８．  前記被害者に対する前記分散サービス妨害攻撃を示す前記情報を受信することが、前記分散サービス妨害攻撃から保護するために、前記被害者から要求を受信することを含む、付記１に記載のコンピュータにより実装される方法。
付記９．  サービス妨害状態の影響を緩和するためのコンピュータにより実装される方法であって、
実行可能命令を備えて構成される１つ以上のコンピュータシステムの制御下で、
少なくとも１つの遠隔ネットワークサービスプロバイダに、特定の位置を通じて、前記特定の位置から地理的に遠隔にある１つ以上のサーバに対応する、１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックの少なくとも一部分を回送させる、１つ以上のアクションを行うことと、
少なくとも前記１つ以上のネットワーク送信先に対するサービス妨害攻撃を示すネットワーク状態の間に、前記特定の位置にある１つ以上のコンピューティングデバイスに、前記１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックをフィルタ処理させ、その後、前記１つ以上のネットワーク送信先に向かって、非合法であると決定された前記１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックを除く、前記フィルタ処理されたネットワークトラフィックを発信することと、
を含む、方法。
付記１０．  前記１つ以上のアクションを行うことが、前記サービス妨害攻撃に応答するものである、付記９に記載のコンピュータにより実装される方法。
付記１１．  前記１つ以上のコンピューティングデバイスに、ネットワークトラフィックをフィルタ処理させることが、前記１つ以上のコンピューティングデバイスに、前記１つ以上のコンピュータシステムと関連付けられたプライベートチャネル上で前記フィルタ処理されたネットワークトラフィックを回送させることを含む、付記９に記載のコンピュータにより実装される方法。
付記１２．  前記フィルタ処理されたネットワークトラフィックを受信することと、
前記フィルタ処理されたネットワークトラフィックをさらにフィルタ処理するように、前記フィルタ処理されたネットワークトラフィックに対して１つ以上のサービス妨害緩和戦略を適用することと、
前記さらにフィルタ処理されたネットワークトラフィックを前記１つ以上のネットワーク送信先に発信することと、
をさらに含む、付記９に記載のコンピュータにより実装される方法。
付記１３．  前記１つ以上のネットワーク送信先と関連付けられた１つ以上の新しいネットワークアドレスを検出することと、
前記１つ以上のネットワーク送信先の前記１つ以上の新しいアドレスにアドレス指定されたネットワークトラフィックに、前記特定の位置を通じて回送させる、１つ以上の更新アクションを行うことと、
をさらに含む、付記９に記載のコンピュータにより実装される方法。
付記１４．  前記１つ以上の新しいネットワークアドレスが、コンピューティングサービスプロバイダの顧客の代わりに、前記１つ以上のコンピュータシステムによりプロビジョニングされ、前記１つ以上のコンピュータシステムおよび前記特定の位置の１つ以上のデバイスが、いずれも前記コンピューティングサービスプロバイダにより操作される、付記１３に記載のコンピュータにより実装される方法。
付記１５．  前記１つ以上のコンピュータシステムが、制御環境を含み、前記１つ以上の新しいネットワークアドレスが、前記制御環境を使用してプロビジョニングされ、前記１つ以上の新しいネットワークアドレスを検出することが、前記制御環境内で行われる、付記１３に記載のコンピュータにより実装される方法。
付記１６．  前記１つ以上のコンピュータシステムが、第１の国にあり、前記特定の位置が、前記第１の国とは異なる第２の国にある、付記９に記載のコンピュータにより実装される方法。
付記１７．  前記１つ以上の送信先が、１つ以上の送信先ネットワークアドレスに対応し、前記１つ以上のアクションが、前記１つ以上の送信先ネットワークアドレスを変更することを除く、付記９に記載のコンピュータにより実装される方法。
付記１８．  サービス妨害攻撃の影響を緩和するためのコンピュータにより実装される方法であって、
実行可能命令を備えて構成される１つ以上のコンピュータシステムの制御下で、１つ以上のネットワーク送信先について、１つ以上のプロバイダネットワーク内にある、前記１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックに、それぞれが１つ以上のサービス妨害緩和戦略を前記ネットワークトラフィックに適用するように動作可能である、それぞれが前記１つ以上のプロバイダネットワークとは異なる対応するプロバイダネットワーク内にある、１つ以上の地理的遠隔ネットワーク位置を通じて回送させることと、
プライベートチャネルを介して、前記ネットワークトラフィックを受信することと、
前記受信されたネットワークトラフィックの少なくとも一部を前記１つ以上のネットワーク送信先に提供することと、
を含む、方法。
付記１９．  前記ネットワークトラフィックを前記１つ以上のネットワーク送信先にアドレス指定することが、前記１つ以上のネットワーク送信先に対するサービス妨害攻撃に応答して行われる、付記１８に記載のコンピュータにより実装される方法。
付記２０．  １つ以上の二次サービス妨害緩和技術を、前記受信されたネットワークトラフィックに適用することをさらに含む、付記１８に記載のコンピュータにより実装される方法。
付記２１．  前記１つ以上のネットワーク送信先が、それぞれ仮想マシンインスタンスに対応する、付記１８に記載のコンピュータにより実装される方法。
付記２２．  前記１つ以上のネットワーク送信先に対する１つ以上のネットワークアドレスの群の変更を検出することをさらに含み、
前記ネットワークトラフィックを前記１つ以上のネットワーク送信先にアドレス指定することが、前記検出された変更に従って１つ以上のＢＧＰ経路を更新することを含む、付記１８に記載のコンピュータにより実装される方法。
付記２３．  前記１つ以上のネットワーク送信先および前記１つ以上の地理的遠隔位置のそれぞれが、前記１つ以上のコンピュータシステムと関連付けられたエンティティの共通制御下にある１つ以上のデバイスを含む、付記１８に記載のコンピュータにより実装される方法。
付記２４．  サービス妨害攻撃から保護するためのコンピュータシステムであって、
１つ以上のプロセッサと、
前記１つ以上のプロセッサにより実行されるとき、少なくとも前記コンピュータシステムに、
少なくとも１つの遠隔ネットワークサービスプロバイダに、特定の位置を通じて、前記特定の位置から地理的に遠隔にある１つ以上のサーバに対応する、１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックの少なくとも一部分を回送させる、１つ以上のアクションを行わせ、
少なくとも前記１つ以上のネットワーク送信先へのサービス妨害攻撃を示すネットワーク状態の間に、前記特定の位置にある１つ以上のコンピューティングデバイスに、前記１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックをフィルタ処理させ、その後前記１つ以上のネットワーク送信先に向かって、非合法であると決定された前記１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックを除く、前記フィルタ処理されたネットワークトラフィックを発信する、実行可能命令を含むメモリと、
を備える、システム。
付記２５．  前記１つ以上のアクションを行うことが、前記サービス妨害攻撃に応答するものである、付記２４に記載のコンピュータシステム。
付記２６．  前記１つ以上のコンピューティングデバイスに、ネットワークトラフィックをフィルタ処理させることは、前記１つ以上のコンピューティングデバイスに、前記１つ以上のコンピュータシステムと関連付けられたプライベートチャネル上で前記フィルタ処理されたネットワークトラフィックを回送させることを含む、付記２４に記載のコンピュータシステム。
付記２７．  前記実行可能命令が、さらに前記コンピュータシステムに、
前記フィルタ処理されたネットワークトラフィックを受信させ、
前記フィルタ処理されたネットワークトラフィックをさらにフィルタ処理するために、１つ以上のサービス妨害緩和戦略を前記フィルタ処理されたネットワークトラフィックに適用させ、
前記さらにフィルタ処理されたネットワークトラフィックを前記１つ以上のネットワーク送信先に発信させる、付記２４に記載のコンピュータシステム。
付記２８．  前記実行可能命令が、さらに前記コンピュータシステムに、
前記１つ以上のネットワーク送信先と関連付けられた１つ以上の新しいネットワークアドレスを検出させ、
前記１つ以上のネットワーク送信先の前記１つ以上の新しいアドレスにアドレス指定されたネットワークトラフィックを、前記特定の位置を通じて回送させる、１つ以上の更新アクションを行わせる、付記２４に記載のコンピュータシステム。
付記２９．  コンピュータシステムの１つ以上のプロセッサにより実行可能な命令が保存された１つ以上のコンピュータ可読ストレージ媒体であって、前記命令は、前記１つ以上のプロセッサにより実行されると、前記コンピュータシステムに、少なくとも
１つ以上のネットワーク送信先について、１つ以上のプロバイダネットワーク内にある、前記１つ以上のネットワーク送信先にアドレス指定されたネットワークトラフィックに、それぞれが１つ以上のサービス妨害緩和戦略を前記ネットワークトラフィックに適用するように動作可能であって、前記１つ以上のプロバイダネットワークとは異なる、対応するプロバイダネットワーク内にある、１つ以上の地理的遠隔ネットワーク位置を通じて回送させ、
プライベートチャネルを介して、前記ネットワークトラフィックを受信させて、
前記受信されたネットワークトラフィックの少なくとも一部を前記１つ以上のネットワーク送信先に提供させる、１つ以上のコンピュータ可読ストレージ媒体。
付記３０．  前記ネットワークトラフィックを前記１つ以上のネットワーク送信先にアドレス指定させることが、前記１つ以上のネットワーク送信先に対するサービス妨害攻撃に応答して行われる、付記２９に記載の１つ以上のコンピュータ可読ストレージ媒体。
付記３１．  前記実行可能命令が、前記コンピュータシステムに、１つ以上の二次サービス妨害緩和技術を前記受信されたネットワークトラフィックに適用させる命令をさらに含む、付記２９に記載の１つ以上のコンピュータ可読ストレージ媒体。
付記３２．  前記１つ以上のネットワーク送信先が、それぞれ仮想マシンインスタンスに対応する、付記２９に記載の１つ以上のコンピュータ可読ストレージ媒体。
付記３３．  前記実行可能命令が、前記コンピュータシステムに、少なくとも
前記１つ以上のネットワーク送信先に対する１つ以上のネットワークアドレスの群における変更を検出させる命令をさらに含み、
前記ネットワークトラフィックを前記１つ以上のネットワーク送信先にアドレス指定させることが、前記検出された変更に従って、１つ以上のＢＧＰ経路を更新することを含む、
付記２９に記載の１つ以上のコンピュータ可読ストレージ媒体。
【００５６】
様々な実施形態は、さらに多様な動作環境で実装することができ、場合によっては、多数のアプリケーションのうちのいずれかを操作するように使用され得る、１つ以上のユーザコンピュータ、コンピューティングデバイス、または処理デバイスを含む。ユーザまたはクライアントデバイスは、多数の汎用パーソナルコンピュータのいずれか、例えば、標準オペレーティングシステムを実行するデスクトップまたはラップトップコンピュータ、ならびにモバイルソフトウェアを実行し、多数のネットワーキングプロトコルおよびメッセージングプロトコルをサポートすることができるセルラー、ワイヤレス、および携帯型デバイスを含み得る。そのようなシステムは、多様な市販のオペレーティングシステムおよび開発およびデータベース管理等の目的の他の既知のアプリケーションのうちのいずれかを実行する、多数のワークステーションを含むこともできる。これらのデバイスは、他の電子デバイス、例えば、ダミーターミナル、シン−クライアント、ゲーミングシステム、およびネットワークを介して通信することができる他のデバイスを含むこともできる。
【００５７】
大部分の実施形態は、ＴＣＰ／ＩＰ、ＯＳＩ、ＦＴＰ、ＵＰｎＰ、ＮＦＳ、ＣＩＦＳ、およびＡｐｐｌｅＴａｌｋ等の多様な市販のプロトコルのうちのいずれかを使用して、通信をサポートするために、当業者によく知られる少なくとも１つのネットワークを利用する。ネットワークは、例えば、ローカルエリアネットワーク、広域ネットワーク、仮想プライベートネットワーク、インターネット、イントラネット、エクストラネット、公衆交換電話網、赤外線ネットワーク、無線ネットワーク、および任意のそれらの組み合わせであり得る。
【００５８】
ウェブサーバを利用する実施形態では、ウェブサーバは、ＨＴＴＰサーバ、ＦＴＰサーバ、ＣＧＩサーバ、データサーバ、Ｊａｖａサーバ、およびビジネスアプリケーションサーバを含む、多様なサーバまたは中間階層アプリケーションのうちのいずれかを実行することができる。サーバ（複数可）は、例えば、Ｊａｖａ（登録商標）、Ｃ、Ｃ＃もしくはＣ＋＋の任意のプログラミング言語、またはＰｅｒｌ、Ｐｙｔｈｏｎ、もしくはＴＣＬ等の任意のスクリプト言語等、ならびにそれらの組み合わせで書き込まれた１つ以上のスクリプトもしくはプログラムとして実装され得る、１つ以上のウェブアプリケーションを実行することにより、ユーザデバイスからの応答要求において、プログラムもしくはスクリプトを実行することも可能であり得る。サーバ（複数可）は、データベースサーバを含んでもよく、Ｏｒａｃｌｅ（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標）、Ｓｙｂａｓｅ（登録商標）、およびＩＢＭ（登録商標）から市販されるものを含むが、これらに限定されない。
【００５９】
環境は、上述の多様なデータストアおよび他のメモリ／ストレージ媒体を含むことができる。これらは、様々な位置、例えば、コンピュータのうちの１つ以上にローカルであるか（および／またはその中に常駐する）、またはネットワーク上のコンピュータのうちのいずれかもしくはすべてから離れているストレージ媒体上に常駐することができる。特定の実施形態群では、情報は、当業者によく知られたストレージエリアネットワーク（「ＳＡＮ」）内に常駐してよい。同様に、コンピュータ、サーバ、または他のネットワークデバイスに属する機能を行うための任意の必須ファイルは、必要に応じて、ローカルおよび／またはリモート保存されてよい。システムがコンピュータ化されたデバイスを含み、そのようなデバイスがそれぞれバスを介して電子的に連結され得るハードウェア要素を含むことができる場合、その要素は、例えば、少なくとも１つの中央処理ユニット（ＣＰＵ）、少なくとも１つの入力デバイス（例えば、マウス、キーボード、コントローラ、タッチスクリーン、またはキーパッド）、および少なくとも１つの出力デバイス（例えば、表示デバイス、プリンタ、またはスピーカ）を含む。そのようなシステムは、ディスクドライブ、光学ストレージデバイス、およびランダムアクセスメモリ（「ＲＡＭ」）または読み取り専用メモリ（「ＲＯＭ」）等のソリッドステートストレージデバイス、ならびにリムーバブルメディアデバイス、メモリカード、フラッシュカード等の１つ以上のストレージデバイスを含んでもよい。
【００６０】
そのようなデバイスは、コンピュータ可読ストレージ媒体リーダー、通信デバイス（例えば、モデム、ネットワークカード（無線または有線）、赤外線通信デバイス等）、および上述のようなワーキングメモリを含むこともできる。コンピュータ可読ストレージ媒体リーダーは、コンピュータ可読ストレージ媒体と接続され得るか、またはそれを受信するように構成され得、リモート、ローカル、固定、および／またはリムーバブルストレージデバイスならびにコンピュータ可読情報を一時的および／またはより永久的に含有する、保存する、転送する、および抽出するためのストレージ媒体を表す。システムおよび様々なデバイスは、通常、多数のソフトウェアアプリケーション、モジュール、サービス、または少なくとも１つのワーキングメモリデバイス内に位置する他の要素を含む（オペレーティングシステムおよびアプリケーションプログラム、例えば、クライアントアプリケーション、またはウェブブラウザを含む）。代替実施形態は、上述されるものからの多数の変型を有してよいことが理解される。例えば、カスタマイズされたハードウェアが使用されてもよく、および／または特定の要素は、ハードウェア、ソフトウェア（アプレット等のポータブルソフトウェアを含む）、または両方において実装されてよい。さらに、ネットワーク入出力デバイス等の他のコンピューティングデバイスへの接続が用いられてもよい。
【００６１】
コードまたはコードの一部を含有するためのストレージ媒体およびコンピュータ可読媒体は、当該技術分野において知られているか、または使用される任意の適切な媒体を含むことができ、ストレージ媒体および通信媒体、例えば、これらに限定されないが、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータ等の情報を保存および／または転送するために任意の方法または技術で実装される揮発性および不揮発性、リムーバブルおよび非リムーバブル媒体（ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリもしくは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）もしくは他の光学ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージもしくは他の磁気ストレージデバイスを含む）、または所望の情報を保存するように使用することができ、システムデバイスによりアクセスされ得る任意の他の媒体を含む。本明細書に提供される開示および教示に基づいて、当業者は、様々な実施形態を実装する他の経路および／または方法を理解するであろう。
【００６２】
明細書および図面は、したがって、制限的意味ではなく、例示的であると見なされるものとする。しかしながら、請求項に記載される本発明の広い趣旨および範囲から逸脱することなく、そこに様々な修正および変更を行ってよいことは明らかである。
【００６３】
他の変型は、本開示の趣旨に含まれる。したがって、開示される技術は、様々な修正および代替構成の影響を受けやすいが、その所定の例示される実施形態は、図面に示され、詳細に上述されている。しかしながら、本発明を開示される特定の形態（複数可）に限定する意図はなく、反対に添付の請求項において定義されるように、本発明の趣旨および範囲内に含まれるすべての修正、代替構成、および相当物を網羅することを意図することが理解されるべきである。
【００６４】
開示される実施形態を説明する文脈において（特に、以下の請求項の文脈において）、用語「ａ」、「ａｎ」、「ｔｈｅ」および類似する指示対象の使用は、本明細書において別段の指示がない限り、または文脈により明らかに否定しない限り、単数および複数の両方を網羅すると見なされる。用語「備える（ｃｏｍｐｒｉｓｉｎｇ）」、「有する（ｈａｖｉｎｇ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、および「含有する（ｃｏｎｔａｉｎｉｎｇ）」は、特に断りのない限り、非制限用語として見なされる（すなわち、「〜を含むが、これらに限定されない」を意味する）。用語「接続される（ｃｏｎｎｅｃｔｅｄ）」は、何らかの介入がある場合であっても、部分的または全体的に内部に含まれる、取り付けられる、または一緒に接合されるものと見なされる。本明細書における値の範囲の列挙は、本明細書において別段の指示がない限り、単にその範囲内に含まれるそれぞれ別個の値を個別に言及する省略方法となることが意図され、それぞれ別個の値は、本明細書において個別に列挙されるかのように、明細書に組み込まれる。本明細書に記載されるすべての方法は、本明細書において別段の指示がない限り、ないしは別の方法で文脈により明らかに否定しない限り、任意の好適な順序で行われ得る。本明細書において提供される任意の実施例およびすべての例、または例示的言語（例えば、「例えば（ｓｕｃｈ  ａｓ）」）の使用は、単に本発明の実施形態をよりよく解明することが意図され、別段の請求がない限り、本発明の範囲を制限しない。明細書のどの言語も、任意の非請求要素が、本発明の実施に対して必須であるとして示すものと見なされてはならない。
【００６５】
本開示の好適な実施形態は、本明細書に記載され、本発明を実行するための発明者に知られている最良の形態を含む。それらの好適な実施形態の変型は、前述の説明を読むことにより当業者に明らかとなり得る。発明者は、熟練者が必要に応じてそのような変型を用いることを期待し、本発明が本明細書に特異的に記載されるものとは別の方法で実施されることを意図する。したがって、本発明は、適用可能な法律により許可されるように、本明細書に添付される請求項に列挙される対称事項に関するすべての修正および相当物を含む。さらに、そのすべての可能な変型における上述の要素の任意の組み合わせは、本明細書において別段の指示がない限り、ないしは別の方法で文脈により明らかな否定がない限り、本発明により包含される。
【００６６】
出版物、特許出願、および特許を含む、本明細書において引用されるすべての参考文献は、各参照が、参照することにより個別に、かつ特異的に組み込まれるように示され、その全体が本明細書に記載されるかのように、同程度に参照することにより本明細書に組み込まれる。
【図１】
2014504111.tif 000003
【図２】
2014504111.tif 000004
【図３】
2014504111.tif 000005
【図４】
2014504111.tif 000006
【図５】
2014504111.tif 000007
【図６】
2014504111.tif 000008
【図７】
2014504111.tif 000009
【図８】
2014504111.tif 000010
【図９】
2014504111.tif 000011
【図１０】
2014504111.tif 000012
【国際調査報告】
2014504111.tif 000013