(57)【要約】【課題】容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制する。【解決手段】局側装置１のトラフィック管理部１１０は、トラフィック監視・抽出部１１１により抽出されたトラフィック情報に基づき、ＬＬＩＤ毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎の不正トラフィックに対して加入者側装置２でフィルタリング処理を実施するためのフィルタリング設定情報を出力し、加入者側装置２のＬＬＩＤフィルタリング設定部２１１は局側装置１からのフィルタリング設定情報に基づき不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定する。【選択図】図１
2008211637.tif 000002
【特許請求の範囲】
【請求項１】
加入者側装置と該加入者側装置を収容する局側装置との間で通信するＰＯＮ（Passive Optical Network)通信システムにおいて、
上記局側装置が、
上記加入者側装置からの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部と、
抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ(Logical Link Identifier)毎又は送信元アドレス毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対して上記加入者側装置でフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部と、
出力されたフィルタリング設定情報を、拡張ＯＡＭ（Operation, Administration and Maintenance）を用いて上記加入者側装置への下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部とを備え、
上記加入者側装置が、
上記局側装置からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部と、
抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスに対してフィルタリング処理を設定するフィルタリング設定部と、
設定されたフィルタリング処理に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部とを備えたことを特徴とするＰＯＮ通信システム。
【請求項２】
トラフィック監視・抽出部は、トラフィック情報として、ＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数を抽出し、
トラフィック管理部は、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの平均トラフィック量、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの受信パケット数、又は予め指定された不正パケットパターンのマッチングに基づき、ＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックを検出し、フィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報と、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスと、不正トラフィックを廃棄させるための廃棄モード情報又は正常トラフィックのみを転送させる転送モード情報を出力することを特徴とする請求項１記載のＰＯＮ通信システム。
【請求項３】
トラフィック管理部は、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの数に基づき、フィルタリング設定情報として、廃棄モード情報又は転送モード情報を出力することを特徴とする請求項２記載のＰＯＮ通信システム。
【請求項４】
トラフィック管理部は、抽出されたトラフィック情報と共にＬＬＩＤ毎又は送信元アドレス毎の不正アクセス検出回数を監視情報データベースに格納し、フィルタリング設定情報として廃棄モード情報を出力する際に、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの上記監視情報データベースに格納されている不正アクセス検出回数に基づき、フィルタリング設定情報として、トラフィックの遮断又は制限を示すフィルタ種別情報を出力することを特徴とする請求項１記載のＰＯＮ通信システム。
【請求項５】
トラフィック管理部は、トラフィック監視・抽出部により抽出されたトラフィック情報に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックの停止を検出した場合に、加入者側装置で設定されているフィルタリング処理を解除させるためのフィルタリング解除情報を出力し、
拡張ＯＡＭ挿入部は出力されたフィルタリング解除情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入し、
拡張ＯＡＭ抽出部は下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング解除情報を抽出し、
フィルタリング設定部は、抽出されたフィルタリング解除情報に基づき、設定しているフィルタリング処理を解除することを特徴とする請求項１記載のＰＯＮ通信システム。
【請求項６】
フィルタリング実施部は、フィルタリング処理を実施する際に、ＬＬＩＤ又は送信元アドレスの上り方向のトラフィックのパケット廃棄数をカウントし、カウントしたパケット廃棄数をＬＬＩＤ又は送信元アドレスの上り方向のトラフィックに挿入し、
トラフィック管理部は、トラフィック監視・抽出部により抽出されたパケット廃棄数に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックの停止を検出することを特徴とする請求項５記載のＰＯＮ通信システム。
【請求項７】
加入者側装置を収容するＰＯＮ通信システムの局側装置において、
上記加入者側装置からの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部と、
抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ毎又は送信元アドレス毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対して上記加入者側装置でフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部と、
出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部とを備えたことを特徴とする局側装置。
【請求項８】
トラフィック監視・抽出部は、トラフィック情報として、ＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数を抽出し、
トラフィック管理部は、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの平均トラフィック量、ＬＬＩＤ毎若しくは送信元アドレス毎の単位時間当たりの受信パケット数、又は予め指定された不正パケットパターンのマッチングに基づき、ＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックを検出し、フィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報と、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスと、不正トラフィックを廃棄させるための廃棄モード情報又は正常トラフィックのみを転送させる転送モード情報を出力することを特徴とする請求項７記載の局側装置。
【請求項９】
トラフィック管理部は、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの数に基づき、フィルタリング設定情報として、廃棄モード情報又は転送モード情報を出力することを特徴とする請求項８記載の局側装置。
【請求項１０】
トラフィック管理部は、抽出されたトラフィック情報と共にＬＬＩＤ毎又は送信元アドレス毎の不正アクセス検出回数を監視情報データベースに格納し、フィルタリング設定情報として廃棄モード情報を出力する際に、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスの上記監視情報データベースに格納されている不正アクセス検出回数に基づき、フィルタリング設定情報として、トラフィックの遮断又は制限を示すフィルタ種別情報を出力することを特徴とする請求項７記載の局側装置。
【請求項１１】
トラフィック管理部は、トラフィック監視・抽出部により抽出されたトラフィック情報に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックの停止を検出した場合に、加入者側装置で設定されているフィルタリング処理を解除させるためのフィルタリング解除情報を出力し、
拡張ＯＡＭ挿入部は出力されたフィルタリング解除情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入することを特徴とする請求項７記載の局側装置。
【請求項１２】
ＰＯＮ通信システムの局側装置により収容される加入者側装置において、
上記局側装置からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入された、論理リンク識別子であるＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対するフィルタリング処理を実施するためのフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部と、
抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスに対してフィルタリング処理を設定するフィルタリング設定部と、
設定されたフィルタリング処理に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部とを備えたことを特徴とする加入者側装置。
【請求項１３】
フィルタリング実施部は、フィルタリング処理を実施する際に、ＬＬＩＤ又は送信元アドレスの上り方向のトラフィックのパケット廃棄数をカウントし、カウントしたパケット廃棄数をＬＬＩＤ又は送信元アドレスの上り方向のトラフィックに挿入し、
拡張ＯＡＭ抽出部は下り方向のトラフィックからパケット廃棄数に基づき出力されたフィルタリング解除情報を抽出し、
フィルタリング設定部は、抽出されたフィルタリング解除情報に基づき、設定しているフィルタリング処理を解除することを特徴とする請求項１２記載の加入者側装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ＤｏＳ（Denial of Service：サービス拒否、サービス妨害、サービス不能）攻撃等の不正トラフィックを抑制するＰＯＮ（Passive Optical Network)通信システム、局側装置及び加入者側装置に関するものである。
【背景技術】
【０００２】
インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等のネットワークを利用した通信システムでは、クラッカによる不正アクセスやサーバーシステムの停止又は破壊を目的とするＤｏｓ攻撃等の危険に常時さらされている。そのため、ネットワークに接続された機器において、このような不正トラフィックに対する対策が必須である。
【０００３】
ＤｏＳ攻撃で使用される不正なパケットの種類に関して、大きく以下の２つに分類することができる。
（１）アドレス固定型ＤｏＳ攻撃：一見正常なパケット及び通信内容であるにもかかわらず、パケット数がターゲットとなったサーバに到底処理できないほど大量であり、かつ送信元ＩＰアドレスがある程度の範囲内に限定されるもの
（２）アドレス不定型ＤｏＳ攻撃：一見正常なパケット及び通信内容であるにもかかわらず、パケット数がターゲットとなったサーバに到底処理できないほど大量であり、かつ送信元ＩＰアドレスがある程度の範囲内に限定されないもの
【０００４】
上記（１）〜（２）に示すＤｏＳ攻撃等の不正トラフィックを抑制する装置として、例えば特許文献１に記載の有害トラフィック制御装置は、収容される各ユーザ端末からの上りトラフィックから有害トラフィックを検出する有害トラフィック検出手段と、有害トラフィックの検出に応じて、当該有害トラフィックを送信するユーザ端末に割り当てられる上り送信帯域をＬＬＩＤ（Logical Link Identifier）毎に削減する帯域管理手段とを備えたものである。
【０００５】
【特許文献１】特開２００６−８０５８２号公報（請求項４、請求項６）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来の不正トラフィックの抑制する装置は以上のように構成されているので、局側装置において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置の上り送信帯域を制御しなければならず、特に大量の不正トラフィックが発生した場合に、局側装置における加入者側装置の上り送信帯域の制御負荷が増大するという課題があった。
【０００７】
この発明は上記のよう課題を解決するためになされたもので、局側装置において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置の上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるＰＯＮ通信システム、局側装置及び加入者側装置を得ることを目的とする。
【課題を解決するための手段】
【０００８】
この発明に係るＰＯＮ通信システムは、加入者側装置と該加入者側装置を収容する局側装置との間で通信するＰＯＮ通信システムにおいて、上記局側装置が、上記加入者側装置からの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部と、抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ毎又は送信元アドレス毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎又は送信元アドレス毎の不正トラフィックに対して上記加入者側装置でフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部と、出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて上記加入者側装置への下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部とを備え、上記加入者側装置が、上記局側装置からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部と、抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤ又は送信元アドレスに対してフィルタリング処理を設定するフィルタリング設定部と、設定されたフィルタリング処理に基づき、ＬＬＩＤ又は送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部とを備えたものである。
【発明の効果】
【０００９】
この発明により、局側装置において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置の上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるという効果が得られる。
【発明を実施するための最良の形態】
【００１０】
以下、この発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。
実施の形態１．
図１はこの発明の実施の形態１によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。図１において、局側装置１は光ファイバ１０、スターカプラ１１及び光ファイバ１２−１〜１２−ｎを介して複数の加入者側装置２−１〜２−ｎと接続され、加入者側装置２−１〜２−ｎはコンピュータ３−１〜３−ｎと接続されている。加入者側装置２−１〜２−ｎ及びコンピュータ３−１〜３−ｎは一般にユーザ宅に設置される。また、局側装置１はＬＡＮケーブル１３を介してＯＳＳ（Operation Support System）４と接続されている。ＰＯＮ通信システムでは、加入者側装置２と該加入者側装置２を収容する局側装置１との間で通信を行う。
【００１１】
局側装置１は、トラフィック管理部１１０、トラフィック監視・抽出部１１１、監視情報データベース１１２、ＬＬＩＤフィルタリングテーブル１１３、拡張ＯＡＭ（Operation, Administration and Maintenance）挿入部１１４、ＳＮＩ（Service Node Interface）１２０、ＰＯＮインタフェース（ＰＯＮ  Ｉ／Ｆ）１２１及びＯＳＳインタフェース（ＯＳＳ  Ｉ／Ｆ）１２２を備え、ＰＯＮインタフェース１２１は、ＷＤＭ（Wavelength Division Multiplexing）カプラ１００、Ｏ／Ｅ変換部１０１及びＥ／Ｏ変換部１０２を備えている。
【００１２】
ＳＮＩ１２０はコアネットワークに接続されるインタフェースで、ＰＯＮインタフェース１２１は加入者装置２−１〜２−ｎ側のインタフェースであり、ＯＳＳインタフェース１２２は装置の状態及びＰＯＮ区間の通信を監視制御するＯＳＳ４とのインタフェースである。
【００１３】
ＰＯＮインタフェース１２１において、ＷＤＭカプラ１００は上り方向の光信号を分割すると共に下り方向の光信号を多重する。Ｏ／Ｅ変換部１０１はＷＤＭカプラ１００から入力される上り方向の光信号を電気信号に変換してトラフィック監視・抽出部１１１に出力する。Ｅ／Ｏ変換部１０２は下り方向のトラフィックを電気信号から光信号に変換してＷＤＭカプラ１００に出力する。ＰＯＮ通信システムにおいては、上下方向に異なる波長の光信号を使用しており（下り方向：１４９０ｎｍ、上り方向１３１０ｎｍ）、ＷＤＭカプラ１００で波長多重を行うことにより、上下方向のトラフィックの送受信を１本の光ファイバ１０で実現可能となる。
【００１４】
ＯＳＳ４は、ＬＡＮケーブル１３を介して局側装置１のＯＳＳインタフェース１２２に接続され、トラフィック管理部１１０にアクセス可能であり、トラフィック管理部１１０に対して、不正アクセス検出に関する種々の設定を行うことが可能である。不正アクセスの検出方法としては、単位時間当たりの平均トラフィック量の急激な増加、単位時間当たりの受信パケット数の急激な増加、予め設定されている不正パケットとのパターンマッチング等が挙げられ、ＯＳＳ４は、トラフィック管理部１１０に対して、単位時間当たりの平均トラフィック量閾値Ｔ、単位時間当たりの受信パケット数閾値Ｆ、不正パケットパターン等の不正アクセス検出に関する設定を行う。
【００１５】
加入者側装置２−１〜２−ｎは、拡張ＯＡＭ抽出部２１０、ＬＬＩＤフィルタリング設定部（フィルタリング設定部）２１１、ＬＬＩＤフィルタリング処理部２１２、パケット転送・廃棄部２１３、ＵＮＩ（User Node Interface）２２０及びＰＯＮインタフェース（ＰＯＮ  Ｉ／Ｆ）２２１を備え、ＰＯＮインタフェース２２１は、ＷＤＭカプラ２００、Ｏ／Ｅ変換部２０１及びＥ／Ｏ変換部２０２を備えている。ここで、ＬＬＩＤフィルタリング処理部２１２及びパケット転送・廃棄部２１３によりフィルタリング実施部２１４を構成している。
【００１６】
ＵＮＩ２２０はコンピュータ３−１〜３−ｎのユーザ側のインタフェースで、ＰＯＮインタフェース２２１は局側装置１側のインタフェースである。
【００１７】
ＰＯＮインタフェース２２１において、ＷＤＭカプラ２００は上り方向の光信号を多重すると共に下り方向の光信号を分割する。Ｏ／Ｅ変換部２０１はＷＤＭカプラ２００から入力される下り方向の光信号を電気信号に変換して拡張ＯＡＭ抽出部２１０に出力する。Ｅ／Ｏ変換部２０２は上り方向の電気信号を光信号に変換してＷＤＭカプラ２００に出力する。
【００１８】
局側装置１において、トラフィック監視・抽出部１１１は、Ｏ／Ｅ変換部１０１からＳＮＩ１２０に出力される上り方向のトラフィックを常時監視し、監視したＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数等のトラフィック情報を、単位時間毎にトラフィック管理部１１０へ出力する。
【００１９】
トラフィック管理部１１０はＬＬＩＤ毎のトラフィック情報を監視情報データベース１１２へ格納する。ここで、トラフィック管理部１１０は、監視情報データベース１１２に常時アクセス可能であり、監視情報データベース１１２に格納されている情報を、即座に書き込み・読み出すことができる。
【００２０】
ＯＳＳ４も監視情報データベース１１２に格納されている情報を常時閲覧可能である。このとき、ＯＳＳ４は、ＯＳＳインタフェース１２２を介して、トラフィック管理部１１０に監視情報データベース１１２の情報を閲覧して更新する旨を通知し、通知を受けたトラフィック管理部１１０は、所望の情報を監視情報データベース１１２より読み出して、ＯＳＳインタフェース１２２を介してＯＳＳ４に送信する。
【００２１】
また、ＯＳＳ４は閲覧情報の更新を自動的に行うことも可能である。この場合、ＯＳＳ４はトラフィック管理部１１０に対して予め更新周期タイマを設定し、トラフィック管理部１１０は、ＯＳＳ４からのアクセス有無に依らず設定された更新周期タイマを参照し、監視情報データベース１１２に自動アクセスを実行して、読み出した情報をＯＳＳ４に送信する。
【００２２】
まずアドレス固定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
トラフィック監視・抽出部１１１は、ユーザから送信されたＤｏＳ攻撃等の不正トラフィックを監視し、監視したＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数等のトラフィック情報を、単位時間毎にトラフィック管理部１１０へ出力する。
【００２３】
なお、この実施の形態１では、加入者側装置２−１〜２−ｎに割り当てられている論理識別子であるＬＬＩＤ毎に不正トラフィックを検出するが、一つの加入者側装置２−１〜２−ｎ以下に複数のユーザ（コンピュータ３）が存在する場合には、ユーザ毎にＬＬＩＤが割り当てられているものとする。
【００２４】
トラフィック管理部１１０は、ある特定のＬＬＩＤにおいて単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断し、ＬＬＩＤフィルタリングテーブル１１３にフィルタリング処理すべき当該ＬＬＩＤを設定する。
【００２５】
ここで、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定のＬＬＩＤにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。
【００２６】
また、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定のＬＬＩＤにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。
【００２７】
トラフィック管理部１１０は、ある特定のＬＬＩＤにおいて不正トラフィックを検出した場合に、当該ＬＬＩＤの情報として、不正アクセス検出回数を監視情報データベース１１２に格納し、その後も当該ＬＬＩＤからの不正トラフィックを検出した場合には、監視情報データベース１１２に格納されている当該ＬＬＩＤの過去の不正アクセス検出回数を一つインクリメントする。
【００２８】
そして、トラフィック管理部１１０は、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しているので、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、不正トラフィックを廃棄させるための廃棄モード情報、監視情報データベース１１２に格納されている当該ＬＬＩＤの過去の不正アクセス検出回数に基づく当該ＬＬＩＤのトラフィックの遮断又は制限の指示を示すフィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知する。
【００２９】
このフィルタ種別情報は、廃棄モード情報と共に拡張ＯＡＭ挿入部１１４に通知されるものであり、ＬＬＩＤ毎の不正アクセス検出回数により重み付けを実施し、例えば、不正アクセスとして検出されたＬＬＩＤの過去の不正アクセス検出回数が０回だった場合にはトラフィックを所定の割合だけ制限するのみとし、不正アクセス検出回数が１回以上の場合にはトラフィックを遮断するといった処理を指示するものである。なお、フィルタ種別情報として、不正アクセス検出回数に関係なく完全に遮断の処理を指示しても良い。
【００３０】
拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。
【００３１】
当該ＬＬＩＤの加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報をＬＬＩＤフィルタリング設定部２１１に通知する。
【００３２】
ＬＬＩＤフィルタリング設定部２１１は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定する。設定する内容としては、不正トラフィックを送信しているＬＬＩＤに対する廃棄モード設定で、フィルタ種別情報よりデコードされたトラフィックの遮断又は制限設定となる。
【００３３】
フィルタリング実施部２１４は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理に基づき、不正トラフィックを送信しているＬＬＩＤの上り方向のトラフィックに対してフィルタリング処理を実施する。
【００３４】
ここで、具体的なフィルタリング処理に関して説明する。
ＬＬＩＤフィルタリング処理部２１２は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理を実施する際に、廃棄モードでトラフィックの遮断又は制限が設定されているので、当該ＬＬＩＤの上り方向の不正トラフィックに対して廃棄遮断識別子又は廃棄制限識別子を付与する。
【００３５】
廃棄遮断識別子が付与されている場合には、パケット転送・廃棄部２１３は、ＬＬＩＤフィルタリング処理部２１２により出力される上り方向のトラフィックの中から、廃棄遮断識別子が付与されたパケットを検出して廃棄し、廃棄遮断識別子が付与されていないパケットを転送する。一方、廃棄制限別子が付与されている場合には、パケット転送・廃棄部２１３は、ＬＬＩＤフィルタリング処理部２１２により出力される上り方向のトラフィックの中から、廃棄制限識別子が付与されたパケットを検出して、所定の割合のパケットを、廃棄制限識別子を削除して転送し、その他を廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有するＬＬＩＤ毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該ＬＬＩＤとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。
【００３６】
次にアドレス不定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
単一の加入者側装置２−１〜２−ｎからアドレス不定型ＤｏＳ攻撃等、複数の不正トラフィックが送信されている場合において、不正トラフィックを検出して廃棄している間にも、次々と異なるＬＬＩＤの不正トラフィックが送信される場合が考えられる。この場合、不正トラフィックの廃棄よりも、正常トラフィックのみを転送し、それ以外は無条件に廃棄した方が効率的である。
【００３７】
単一の加入者側装置２−１〜２−ｎにおいて、不正トラフィックのＬＬＩＤ数が正常トラフィックのＬＬＩＤ数を上回る等、予め設定しておいた不正トラフィックのＬＬＩＤ数の所定の閾値Ｎ以上の場合に、トラフィック管理部１１０は、アドレス不定型ＤｏＳ攻撃の不正トラフィックであると判断して、フィルタリング設定情報として、廃棄モード情報の代わりに正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知することにより、廃棄モードから転送モードに動作移行することが可能である。
【００３８】
すなわち、トラフィック管理部１１０は、単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、又はある特定のＬＬＩＤにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、又はある特定のＬＬＩＤにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックのＬＬＩＤ数が所定の閾値Ｎ以上の場合に、アドレス不定型ＤｏＳ攻撃であると判断し、ＬＬＩＤフィルタリングテーブル１１３にフィルタリングすべき当該ＬＬＩＤを設定する。
【００３９】
そして、トラフィック管理部１１０は、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知する。ここで、トラフィック管理部１１０は、転送モード情報の場合には、フィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知しない。
【００４０】
拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、正常トラフィックのみを転送させる転送モード情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。
【００４１】
当該ＬＬＩＤの加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信しているＬＬＩＤ、正常トラフィックのみを転送させる転送モード情報をＬＬＩＤフィルタリング設定部２１１に通知する。
【００４２】
ＬＬＩＤフィルタリング設定部２１１は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定する。設定する内容としては、正常トラフィックを送信しているＬＬＩＤに対する転送モード設定となる。
【００４３】
フィルタリング実施部２１４は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理に基づき、不正トラフィックを送信しているＬＬＩＤの上り方向のトラフィックに対してフィルタリング処理を実施する。
【００４４】
ここで、具体的なフィルタリング処理に関して説明する。
ＬＬＩＤリングフィルタ処理部２１２は、ＬＬＩＤフィルタリング設定部２１１により設定されたフィルタリング処理を実施する際に、転送モードが設定されているので、不正トラフィックを送信しているＬＬＩＤ以外のＬＬＩＤの上り方向の正常トラフィックに対して転送識別子を付与する。
【００４５】
パケット転送・廃棄部２１３は、ＬＬＩＤフィルタリング処理部２１２により出力される上り方向のトラフィックの中から、転送識別子が付与されたパケットを、転送識別子を削除して転送し、転送識別子が付与されていないパケットを廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有するＬＬＩＤ毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該ＬＬＩＤとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。
【００４６】
アドレス固定型ＤｏＳ攻撃の不正トラフィックの廃棄後、又はアドレス不定型ＤｏＳ攻撃の不正トラフィックの廃棄後において、局側装置１のトラフィック監視・抽出部１１１は、加入者側装置２−１〜２−ｎのパケット転送・廃棄部２１３により挿入された当該ＬＬＩＤ及びパケット廃棄数をまとめた廃棄情報を抽出してトラフィック管理部１１０に出力する。トラフィック管理部１１０はパケット廃棄数を参照して、不正トラフィックの送信が停止しているか否かを判断する。
【００４７】
局側装置１のトラフィック管理部１１０が不正アクセスを検出し、加入者側装置２−１〜２−ｎのフィルタリング実施部２１４が当該ＬＬＩＤの上り方向のトラフィックのフィルタリング実施後、局側装置１のトラフィック管理部１１０は、不正トラフィックの送信停止を検出して不正アクセスが終了したと判断した場合に、ＬＬＩＤフィルタリングテーブル１１３に設定されている当該ＬＬＩＤを解除すると共に、フィルタリング解除情報として、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該ＬＬＩＤを拡張ＯＡＭ挿入部１１４に通知する。
【００４８】
拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知されたフィルタリング解除情報、すなわち、フィルタリング処理解除指示情報と解除する当該ＬＬＩＤを、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。
【００４９】
当該ＬＬＩＤの加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング解除情報を抽出し、抽出したフィルタリング解除情報、すなわち、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該ＬＬＩＤをＬＬＩＤフィルタリング設定部２１１に通知する。
【００５０】
ＬＬＩＤフィルタリング設定部２１１は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング解除情報に基づき、当該ＬＬＩＤに対して設定していたフィルタリング処理を解除する。フィルタリング実施部２１４は、ＬＬＩＤフィルタリング設定部２１１によりフィルタリング処理が解除された当該ＬＬＩＤの上り方向のトラフィックを通過させる。
【００５１】
ＬＬＩＤフィルタリングテーブル１１３は、上述のように受信トラフィックによるＤｙｎａｍｉｃ設定が可能であるが、その他にＯＳＳ４からも常時アクセスでき、ＯＳＳ４が、装置管理者の指示により、所望のＬＬＩＤをＬＬＩＤフィルタリングテーブル１１３にＳｔａｔｉｃ設定し、拡張ＯＡＭによりフィルタ設定することで、当該ＬＬＩＤが付与されたトラフィックを遮断又は制限することが可能となる。
【００５２】
ＯＳＳ４が、装置管理者の指示により、ＬＬＩＤフィルタリングテーブル１１３にＳｔａｔｉｃ設定した場合は、ＬＬＩＤフィルタリングテーブル１１３にＤｙｎａｍｉｃ設定された情報とは独立して管理される。また、フィルタリング処理するＬＬＩＤが重複した場合には、Ｄｙｎａｍｉｃ設定及びＳｔａｔｉｃ設定のどちらの設定が優先されるかどうかに関しては、ＯＳＳ４が装置管理者の指示により選択することが可能である。
【００５３】
ＯＳＳ４が装置管理者の指示によりＬＬＩＤフィルタリングテーブル１１３にＳｔａｔｉｃ設定した場合は、そのフィルタリング解除方法として、動的フィルタリング解除は行われず、ＯＳＳ４が装置管理者の指示によりＬＬＩＤフィルタリングテーブル１１３にアクセスし、当該ＬＬＩＤのフィルタリング設定解除を行う必要がある。このように、フィルタリング設定解除を実施しない限り、フィルタリング制御を実行し続けることが可能となる。
【００５４】
上述のようにＬＬＩＤフィルタリングは、Ｄｙｎａｍｉｃ設定及びＳｔａｔｉｃ設定の両者が可能であり、装置管理者の意図に沿った不正トラフィックの検出・防御が可能となる。
【００５５】
以上のように、この実施の形態１によれば、局側装置１が、加入者側装置２−１〜２−ｎからの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部１１１と、抽出されたトラフィック情報に基づき、論理リンク識別子であるＬＬＩＤ毎に上り方向の不正トラフィックを検出し、検出したＬＬＩＤ毎の不正トラフィックに対して加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部１１０と、出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて加入者側装置２−１〜２−ｎへの下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部１１４とを備え、加入者側装置２−１〜２−ｎが、局側装置１からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部２１０と、抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信しているＬＬＩＤに対してフィルタリング処理を設定するＬＬＩＤフィルタリング設定部２１１と、設定されたフィルタリング処理に基づき、ＬＬＩＤの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部２１４とを備えたことにより、局側装置１において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置２−１〜２−ｎの上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるという効果が得られる。
【００５６】
実施の形態２．
上記実施の形態１では、ＬＬＩＤ毎にＤｏＳ攻撃を検出し抑制しているが、この実施の形態２は、ＬＬＩＤ毎ではなく、ＭＡＣアドレス、ＩＰアドレス等の送信元アドレス毎にＤｏＳ攻撃を検出し抑制するものである。
【００５７】
図２はこの発明の実施の形態２によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。図２に示す構成は、上記実施の形態１の図１に示す構成のうち、局側装置１におけるＬＬＩＤフィルタリングテーブル１１３をアドレスフィルタリングテーブル１１５に置き換え、加入者側装置２−１〜２−ｎにおけるＬＬＩＤフィルタリング設定部２１１及びＬＬＩＤフィルタリング処理部２１２を、それぞれアドレスフィルタリング設定部（フィルタリング設定部）２１５及びアドレスフィルタリング処理部２１６に置き換えたものであり、各部の不正アクセスの検出及び抑制に係る処理は、ＬＬＩＤを送信元アドレスに置き換えたものである。なお、アドレスフィルタリング処理部２１６とパケット転送・廃棄部２１３によりフィルタリング実施部２１４を構成している。
【００５８】
まずアドレス固定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
トラフィック監視・抽出部１１１は、ユーザから送信されたＤｏＳ攻撃等の不正トラフィックを監視し、監視したＬＬＩＤ、送信元アドレスを含む送信元ユーザ情報、上り送信帯域、受信パケット数等のトラフィック情報を、単位時間毎にトラフィック管理部１１０へ出力する。トラフィック管理部１１０は、送信元アドレス毎のトラフィック情報を監視情報データベース１１２へ格納する。
【００５９】
トラフィック管理部１１０は、ある特定の送信元アドレスにおいて単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断し、アドレスフィルタリングテーブル１１５にフィルタリング処理すべき当該送信元アドレスを設定する。
【００６０】
ここで、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定の送信元アドレスにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。
【００６１】
また、トラフィック管理部１１０は、上記不正トラフィックの検出方法に加えて、ある特定の送信元アドレスにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ未満の場合に、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しても良い。
【００６２】
トラフィック管理部１１０は、ある特定の送信元アドレスにおいて不正トラフィックを検出した場合に、当該送信元アドレスの情報として、不正アクセス検出回数を監視情報データベース１１２に格納し、その後も当該送信元アドレスからの不正トラフィックを検出した場合には、監視情報データベース１１２に格納されている当該送信元アドレスの過去の不正アクセス検出回数を一つインクリメントする。
【００６３】
そして、トラフィック管理部１１０は、アドレス固定型ＤｏＳ攻撃の不正トラフィックであると判断しているので、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、不正トラフィックを廃棄させるための廃棄モード情報、監視情報データベース１１２に格納されている当該送信元アドレスの過去の不正アクセス検出回数に基づく当該送信元アドレスのトラフィックの遮断又は制限の指示を示すフィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知する。
【００６４】
このフィルタ種別情報は、廃棄モード情報と共に拡張ＯＡＭ挿入部１１４に通知されるものであり、送信元アドレス毎の不正アクセス検出回数により重み付けを実施し、例えば、不正アクセスが検出された送信元アドレスの過去の不正アクセス検出回数が０回だった場合にはトラフィックを所定の割合だけ制限するのみとし、不正アクセス検出回数が１回以上の場合にはトラフィックを遮断するといった処理を指示するものである。なお、フィルタ種別情報として、不正アクセス検出回数に関係なく完全に遮断の処理を指示しても良い。
【００６５】
拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。
【００６６】
当該送信元アドレスのユーザを収容する加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、不正トラフィックを廃棄させるための廃棄モード情報、トラフィックの遮断又は制限を示すフィルタ種別情報をアドレスフィルタリング設定部２１５に通知する。
【００６７】
アドレスフィルタリング設定部２１５は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信している送信元アドレスに対してフィルタリング処理を設定する。設定する内容としては、不正トラフィックを送信している送信元アドレスに対する廃棄モード設定で、フィルタ種別情報よりデコードされたトラフィックの遮断又は制限設定となる。
【００６８】
フィルタリング実施部２１４は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理に基づき、不正トラフィックを送信している送信元アドレスの上り方向のトラフィックに対してフィルタリング処理を実施する。
【００６９】
ここで、具体的なフィルタリング処理に関して説明する。
アドレスフィルタリング処理部２１６は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理を実施する際に、廃棄モードでトラフィックの遮断又は制限が設定されているので、当該送信元アドレスの上り方向の不正トラフィックに対して廃棄遮断識別子又は廃棄制限識別子を付与する。
【００７０】
廃棄遮断識別子が付与されている場合には、パケット転送・廃棄部２１３は、アドレスフィルタリング処理部２１６により出力される上り方向のトラフィックの中から、廃棄遮断識別子が付与されたパケットを検出して廃棄し、廃棄遮断識別子が付与されていないパケットを転送する。一方、棄遮制限別子が付与されている場合には、パケット転送・廃棄部２１３は、アドレスフィルタリング処理部２１６により出力される上り方向のトラフィックの中から、廃棄制限識別子が付与されたパケットを検出して、所定の割合のパケットを、廃棄制限識別子を削除して転送し、その他を廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有する送信元アドレス毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該送信元アドレスとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。
【００７１】
次にアドレス不定型ＤｏＳ攻撃の不正トラフィックの抑制について説明する。
単一の加入者側装置２−１〜２−ｎからアドレス不定型ＤｏＳ攻撃等、複数の不正トラフィックが送信されている場合において、不正トラフィックを検出して廃棄している間にも、次々と異なる送信元アドレスの不正トラフィックが送信される場合が考えられる。この場合、不正トラフィックの廃棄よりも、正常トラフィックのみを転送し、それ以外は無条件に廃棄した方が効率的である。
【００７２】
単一の加入者側装置２−１〜２−ｎにおいて、不正トラフィックの送信元アドレス数が正常トラフィックの送信元アドレス数を上回る等、予め設定しておいた不正トラフィックの送信元アドレス数の所定の閾値Ｎ以上の場合に、トラフィック管理部１１０は、アドレス不定型ＤｏＳ攻撃の不正トラフィックであると判断して、フィルタリング設定情報として、廃棄モード情報の代わりに正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知することにより、廃棄モードから転送モードに動作移行することが可能である。
【００７３】
すなわち、トラフィック管理部１１０は、単位時間当たりの平均トラフィック量が短時間で急激に増大して予め設定されている所定の閾値Ｔ以上で、又はある特定の送信元アドレスにおいて単位時間当たりの受信パケット数が短時間で急激に増大して予め設定されている閾値Ｆ以上で、又はある特定の送信元アドレスにおいて予めＯＳＳ４から設定されている不正パケットパターンとのマッチングにより不正パケットパターンであることを検出し、かつ、不正トラフィックの送信元アドレス数が所定の閾値Ｎ以上の場合に、アドレス不定型ＤｏＳ攻撃であると判断し、アドレスフィルタリングテーブル１１５にフィルタリングすべき当該送信元アドレスを設定する。
【００７４】
そして、トラフィック管理部１１０は、加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報として、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、正常トラフィックのみを転送させる転送モード情報を拡張ＯＡＭ挿入部１１４に通知する。ここで、トラフィック管理部１１０は、転送モード情報の場合には、フィルタ種別情報を拡張ＯＡＭ挿入部１１４に通知しない。
【００７５】
拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知された加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、正常トラフィックのみを転送させる転送モード情報を、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。
【００７６】
当該送信元アドレスのユーザを収容する加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出し、抽出したフィルタリング設定情報、すなわち、フィルタリング処理を指示するフィルタリング処理指示情報、不正トラフィックを送信している送信元アドレス、正常トラフィックのみを転送させる転送モード情報をアドレスフィルタリング設定部２１５に通知する。
【００７７】
アドレスフィルタリング設定部２１５は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング設定情報に基づき、不正トラフィックを送信している送信元アドレスに対してフィルタリング処理を設定する。設定する内容としては、正常トラフィックを送信している送信元アドレスに対する転送モード設定となる。
【００７８】
フィルタリング実施部２１４は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理に基づき、不正トラフィックを送信している送信元アドレスの上り方向のトラフィックに対してフィルタリング処理を実施する。
【００７９】
ここで、具体的なフィルタリング処理に関して説明する。
アドレスリングフィルタ処理部２１６は、アドレスフィルタリング設定部２１５により設定されたフィルタリング処理を実施する際に、転送モードが設定されているので、不正トラフィックを送信している送信元アドレス以外の送信元アドレスの上り方向の正常トラフィックに対して転送識別子を付与する。
【００８０】
パケット転送・廃棄部２１３は、アドレスフィルタリング処理部２１６により出力される上り方向のトラフィックの中から、転送識別子が付与されたパケットを、転送識別子を削除して転送し、転送識別子が付与されていないパケットを廃棄する。また、パケット転送・廃棄部２１３は、同時に内部に保有する送信元アドレス毎の廃棄カウンタにより、上り方向のトラフィックのパケット廃棄数をカウントし、当該送信元アドレスとパケット廃棄数を一括で定期的に上り方向のトラフィックに挿入する。
【００８１】
アドレス固定型ＤｏＳ攻撃の不正トラフィックの廃棄後、又はアドレス不定型ＤｏＳ攻撃の不正トラフィックの廃棄後において、局側装置１のトラフィック監視・抽出部１１１は、加入者側装置２−１〜２−ｎのパケット転送・廃棄部２１３により挿入された当該送信元アドレス及びパケット廃棄数をまとめた廃棄情報を抽出してトラフィック管理部１１０に出力する。トラフィック管理部１１０はパケット廃棄数を参照して、不正トラフィックの送信が停止しているか否かを判断する。
【００８２】
局側装置１のトラフィック管理部１１０が不正アクセスを検出し、加入者側装置２−１〜２−ｎのフィルタリング実施部２１４が当該送信元アドレスの上り方向のトラフィックのフィルタリング実施後、局側装置１のトラフィック管理部１１０は、不正トラフィックの送信停止を検出して不正アクセスが終了したと判断した場合に、アドレスフィルタリングテーブル１１５に設定されている当該送信元アドレスを解除すると共に、フィルタリング解除情報として、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該送信元アドレスを拡張ＯＡＭ挿入部１１４に通知する。
【００８３】
拡張ＯＡＭ挿入部１１４は、トラフィック管理部１１０より通知されたフィルタリング解除情報、すなわち、フィルタリング処理解除指示情報と解除する当該送信元アドレスを、加入者側装置２−１〜２−ｎへの下り方向のトラフィックに拡張ＯＡＭを用いて挿入する。
【００８４】
当該送信元アドレスのユーザを収容する加入者側装置２−１〜２−ｎの拡張ＯＡＭ抽出部２１０は、局側装置１からの下り方向のトラフィックの中から、拡張ＯＡＭを用いて挿入されたフィルタリング解除情報を抽出し、抽出したフィルタリング解除情報、すなわち、フィルタリング処理を解除させるためのフィルタリング処理解除指示情報と解除する当該送信元アドレスをアドレスフィルタリング設定部２１５に通知する。
【００８５】
アドレスフィルタリング設定部２１５は、拡張ＯＡＭ抽出部２１０より通知されたフィルタリング解除情報に基づき、当該送信元アドレスに対して設定していたフィルタリング処理を解除する。フィルタリング実施部２１４は、アドレスフィルタリング設定部２１５によりフィルタリング処理が解除された当該送信元アドレスの上り方向のトラフィックを通過させる。
【００８６】
この実施の形態２でも、上記実施の形態１と同様に、アドレスフィルタリングはＳｔａｔｉｃ設定も可能であり、上述のＤｙｎａｍｉｃ設定と合わせて装置管理者の意図に沿った不正トラフィック検出・防御が可能となる。また、この実施の形態２では、実施の形態１とは異なり、ユーザ毎にＬＬＩＤを割り当てる必要はない。
【００８７】
以上のように、この実施の形態２によれば、局側装置１が、加入者側装置２−１〜２−ｎからの上り方向のトラフィックを監視してトラフィック情報を抽出するトラフィック監視・抽出部１１１と、抽出されたトラフィック情報に基づき、送信元アドレス毎に上り方向の不正トラフィックを検出し、検出した送信元アドレス毎の不正トラフィックに対して加入者側装置２−１〜２−ｎでフィルタリング処理を実施するためのフィルタリング設定情報を出力するトラフィック管理部１１０と、出力されたフィルタリング設定情報を、拡張ＯＡＭを用いて加入者側装置２−１〜２−ｎへの下り方向のトラフィックに挿入する拡張ＯＡＭ挿入部１１４とを備え、加入者側装置２−１〜２−ｎが、局側装置１からの下り方向のトラフィックから拡張ＯＡＭを用いて挿入されたフィルタリング設定情報を抽出する拡張ＯＡＭ抽出部２１０と、抽出されたフィルタリング設定情報に基づき、不正トラフィックを送信している送信元アドレスに対してフィルタリング処理を設定するアドレスフィルタリング設定部２１５と、設定されたフィルタリング処理に基づき、送信元アドレスの上り方向の不正トラフィックに対してフィルタリング処理を実施するフィルタリング実施部２１４とを備えたことにより、局側装置１において、ＤｏＳ攻撃等の不正トラフィックに対応して加入者側装置２−１〜２−ｎの上り送信帯域の制御を不要とし、容易かつ有効にＤｏＳ攻撃等の不正トラフィックを抑制することができるという効果が得られる。
【００８８】
なお、図面を参照してこの発明の実施の形態について詳述してきたが、この発明は上記実施の形態１及び上記実施の形態２に限定されるものではなく、この発明の要旨を逸脱しない範囲における設計等も技術的範囲に含まれるものとする。
【図面の簡単な説明】
【００８９】
【図１】この発明の実施の形態１によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。
【図２】この発明の実施の形態２によるＰＯＮ通信システム、局側装置及び加入者側装置の構成を示すブロック図である。
【符号の説明】
【００９０】
１  局側装置、２−１〜２−ｎ  加入者側装置、３−１〜３−ｎ  コンピュータ、４  ＯＳＳ、１０，１２−１〜１２−ｎ  光ファイバ、１１  スターカプラ、１３  ＬＡＮケーブル、１００，２００  ＷＤＭカプラ、１０１，２０１  Ｏ／Ｅ変換部、１０２，２０２  Ｅ／Ｏ変換部、１１０  トラフィック管理部、１１１  トラフィック監視・抽出部、１１２  監視情報データベース、１１３  ＬＬＩＤフィルタリングテーブル、１１４  拡張ＯＡＭ挿入部、１１５  アドレスフィルタリングテーブル、１２０  ＳＮＩ、１２１，２２１  ＰＯＮインタフェース、１２２  ＯＳＳインタフェース、２１０  拡張ＯＡＭ抽出部、２１１  ＬＬＩＤフィルタリング設定部、２１２  ＬＬＩＤフィルタリング処理部、２１３  パケット転送・廃棄部、２１４  フィルタリング実施部、２１５  アドレスフィルタリング設定部、２１６  アドレスフィルタリング処理部、２２０  ＵＮＩ。
【図１】
2008211637.tif 000003
【図２】
2008211637.tif 000004