(57)【要約】【課題】既存のネットワーク機器に変更を施すことなく、正規の利用者へのサービスを確保しながら、攻撃に対処する。【解決手段】ＤｏＳ攻撃防御装置は、通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視する。このＤｏＳ攻撃防御装置は、前記パケットを受信するパケット受信手段と、受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段とを備える。これにより、ＤｏＳ攻撃防御装置は、正規ＳＩＰ端末の行う登録要求における処理パケットの監視によって正規ＳＩＰ端末のアドレスを把握しているので、送信元アドレスをパケットごとに変更するような攻撃が行われても、正規のパケットとそれ以外のパケットとを識別することができる。【選択図】図２
2008252221.tif 000002
【特許請求の範囲】
【請求項１】
通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置であって、
前記パケットを受信するパケット受信手段と、
受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段と、
を備えることを特徴とするＤｏＳ攻撃防御装置。
【請求項２】
前記パケット送信手段は、
受信した前記パケットが防御対象であるサーバから送信され、
当該パケットが当該サーバへの登録要求に対する認証応答であって成功である場合には、当該パケットの宛先アドレスを記憶すると共に、当該パケットを前記宛先アドレスへ送信し、
受信した前記パケットが防御対象である前記サーバから送信され、
当該パケットが当該サーバへの登録要求に対する認証応答であって成功でない場合には、当該パケットを前記宛先アドレスへ送信する
ことを特徴とする請求項１に記載のＤｏＳ攻撃防御装置。
【請求項３】
前記パケット送信手段は、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、送信元のアドレスが記憶されている場合には、当該パケットを送信し、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、レート閾値を超えていないか検査して、当該レート閾値を超えていない場合には、当該パケットを送信し、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、前記レート閾値を超えていないか検査して、当該レート閾値を超えている場合には、当該パケットを破棄する
ことを特徴とする請求項２に記載のＤｏＳ攻撃防御装置。
【請求項４】
前記パケット送信手段は、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されており、前記アドレス毎の前記レート閾値を超えている場合には、当該パケットを破棄し、
また、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されておらず、当該サーバへの登録要求ではない場合には、当該パケットを破棄する
ことを特徴とする請求項３に記載のＤｏＳ攻撃防御装置。
【請求項５】
通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法であって、
前記パケットを受信するパケット受信ステップと、
受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信ステップと、
を備えることを特徴とするＤｏＳ攻撃防御方法。
【請求項６】
前記パケット送信ステップは、
受信した前記パケットが防御対象であるサーバから送信され、
当該パケットが当該サーバへの登録要求に対する認証応答であって成功である場合には、当該パケットの宛先アドレスを記憶すると共に、前記パケットを当該宛先アドレスへ送信し、
受信した前記パケットが防御対象であるサーバから送信され、
当該パケットが当該サーバへの登録要求に対する認証応答であって成功でない場合には、当該パケットを前記宛先アドレスへ送信する
ことを特徴とする請求項５に記載のＤｏＳ攻撃防御方法。
【請求項７】
前記パケット送信ステップは、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、送信元のアドレスが記憶されている場合には、当該パケットを送信し、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、レート閾値を超えていないか検査して、当該レート閾値を超えていない場合には、当該パケットを送信し、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、前記レート閾値を超えていないか検査して、当該レート閾値を超えている場合には、当該パケットを破棄する
ことを特徴とする請求項６に記載のＤｏＳ攻撃防御方法。
【請求項８】
前記パケット送信ステップは、
受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されており、前記アドレス毎の前記レート閾値を超えている場合には、当該パケットを破棄し、
また、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されておらず、当該サーバへの登録要求ではない場合には、当該パケットを破棄する
ことを特徴とする請求項７に記載のＤｏＳ攻撃防御方法。
【請求項９】
コンピュータを、請求項１から４の何れか１項に記載されたＤｏＳ攻撃防御装置として機能させることを特徴とするＤｏＳ攻撃防御プログラム。
【請求項１０】
請求項１から４の何れか１項に記載されたＤｏＳ攻撃防御装置を備える
ことを特徴とするＤｏＳ攻撃防御システム。
【請求項１１】
請求項５から８の何れか１項に記載されたＤｏＳ攻撃防御方法を備える
ことを特徴とするＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムに関するものであって、特に、ＳＩＰサーバに対するＤｏＳ攻撃への対策において、既存のネットワーク機器へ変更を施すことなく、正規の利用者へのサービスを確保しながら、ＤｏＳ攻撃に対処することを可能にするＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムに関する。
【背景技術】
【０００２】
従来、電話サービスをＩＰ（Internet Protocol）ネットワーク上で実現するＶｏＩＰ（Voice over Internet Protocol）システムが、コスト削減の可能性などの理由から、普及しつつある。
【０００３】
このＶｏＩＰシステムに使用されるプロトコルとして代表的なものが、ＳＩＰ（（Session Initiation Protocol）（ＲＦＣ３２６１））である。
【０００４】
しかしながら、ＩＰネットワーク上のＷｅｂ（world wide web）システムやメールシステムと同じように、ＶｏＩＰシステムもネットワークを介した攻撃にさらされる恐れがある。
【０００５】
ネットワークを介した攻撃の代表的なものとしては、ＤｏＳ（Denial of service）攻撃があげられる。
【０００６】
このＤｏＳ攻撃とは、例えば、サーバに対してその処理能力を超える量のリクエストを送ることにより、サービス妨害やサーバダウン(自動復旧不可能なサービス停止状態)を引き起こすものである。
【０００７】
そこで、ネットワークを介してサービスを提供するシステムをＤｏＳ攻撃から防御するために、トラフィックの監視などによって、ＤｏＳ攻撃を受けていることを検出する方法などが提案されている。
【０００８】
そして、攻撃パケット追跡方法や、アクセス管理方法などに関するものが、特許文献１及び２に記載されている。
【特許文献１】特開２００３−３３３０９２号公報
【特許文献２】特開２００６−０２５３５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
ところが、ＤｏＳ攻撃は、攻撃パケットを特定されブロックされることを避けるために、しばしば送信元アドレスをランダムに詐称したパケットによって行われる。
【００１０】
この場合、攻撃パケットの識別は困難であり、以下のような問題が起きる。
【００１１】
第１の問題点として、攻撃を受けていることを検出できたとしても、正規のパケットと攻撃パケットとを識別できなければ、サーバの処理負荷を低減するためにサーバへ向かうパケットの間引や遮断などの処置を正規のパケットも含めて行わなくてはならなくなり、サーバダウンを避けることはできても、サービス妨害は避けられない。
【００１２】
また、攻撃が送信元アドレスをランダムに詐称したパケットによって行われるような場合には、正規のパケットと攻撃パケットとを識別して遮断する従来の方法として、次のようなものがある。
【００１３】
まず、第１の方法としては、事前に正規の端末を防御システムに登録しておくことにより、正規のパケットと攻撃パケットを判別する。
【００１４】
また、第２の方法としては、攻撃パケットの経路上に存在する装置（ルータ等）との協働により、この装置を用いて攻撃パケットを追跡し対処する。
【００１５】
第１の方法に該当する例としては、守るべきサーバの前段にファイアウォールを設置し、既知の正規端末のアドレスを送信元とするパケットのみの通過を許可するように設定しておくことが考えられる。
【００１６】
しかしながら、このような方法には、次の問題がある。
【００１７】
第２の問題点として、端末のアドレスの変更や新しい端末の導入の都度、登録が必要である。
【００１８】
例えば、ＤＨＣＰ（dynamic host configuration protocol）などにより、端末が動的にＩＰアドレスを取得するような場合には、端末を登録することが困難となる。
【００１９】
また、第２の方法に該当する例として、先行技術の特許文献１（特開２００３−３３３０９２号公報）には、以下のような攻撃パケット追跡方法に関するものが記載されている。
【００２０】
特許文献１に記載の攻撃パケット追跡方法に関するものには、ＤｏＳ攻撃の攻撃対象となるホストのアクセス回線を収容したエッジルータがＤｏＳ攻撃を検出すると、次に当該エッジルータが近隣ルータに対して攻撃対象ホスト宛パケットの監視要請を行い、ＤｏＳ攻撃を検出した近隣ルータが、更に近隣ルータに対して攻撃対象ホスト宛パケットの監視要請を行い、その後、ＤｏＳ攻撃を検出したルータが、次々と近隣ルータに対して攻撃対象ホスト宛パケットの監視要請を行うことによって攻撃元を追跡する、という方法が提案されている。
【００２１】
しかしながら、このような方法には、次の問題がある。
【００２２】
第３の問題点として、攻撃元から攻撃対象へ至る経路上に、攻撃対策のための特殊な機能を持つ装置を導入し、配置する必要がある。
【００２３】
この場合、攻撃元から攻撃対象までの経路上のネットワークが複数の事業者によって運営されている場合には、複数の事業者の協調が必要となり、現実的でない。
【００２４】
また、特許文献２に記載されたアクセス管理サーバには、ユーザ認証を行うことによってパケットをフィルタリングするものが記載されている。
【００２５】
従って、特許文献２に記載されたアクセス管理サーバは、ユーザ認証によってパケットを許可するか破棄するかを判断しているに過ぎず、ＤｏＳ攻撃の対象になった場合には、ユーザ認証による判断だけでは、ＤｏＳ攻撃に対処することができない。
【００２６】
本発明は、上記問題点に鑑みてなされたものであり、既存のネットワーク機器に変更を施すことなく、正規の利用者へのサービスを確保しながら、攻撃に対処するＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムを実現することを目的とする。
【課題を解決するための手段】
【００２７】
本発明に係るＤｏＳ攻撃防御装置は、通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置であって、前記パケットを受信するパケット受信手段と、受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段と、を備えることを特徴とする。
【００２８】
また本発明に係るＤｏＳ攻撃防御装置は、前記パケット送信手段が、受信した前記パケットが防御対象であるサーバから送信され、当該パケットが当該サーバへの登録要求に対する認証応答であって成功である場合には、当該パケットの宛先アドレスを記憶すると共に、当該パケットを前記宛先アドレスへ送信し、受信した前記パケットが防御対象である前記サーバから送信され、当該パケットが当該サーバへの登録要求に対する認証応答であって成功でない場合には、当該パケットを前記宛先アドレスへ送信するようにしても良い。
【００２９】
また本発明に係るＤｏＳ攻撃防御装置は、前記パケット送信手段が、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、送信元のアドレスが記憶されている場合には、当該パケットを送信し、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、レート閾値を超えていないか検査して、当該レート閾値を超えていない場合には、当該パケットを送信し、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、前記レート閾値を超えていないか検査して、当該レート閾値を超えている場合には、当該パケットを破棄するようにしても良い。
【００３０】
また本発明に係るＤｏＳ攻撃防御装置は、前記パケット送信手段が、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されており、前記アドレス毎の前記レート閾値を超えている場合には、当該パケットを破棄し、また、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されておらず、当該サーバへの登録要求ではない場合には、当該パケットを破棄するようにしても良い。
【発明の効果】
【００３１】
本発明によれば、ＤｏＳ攻撃防御装置が、通信端末と送受信されるパケットを監視することにより、通信端末のアドレスを把握しているので、送信元アドレスをパケットごとに変更するような攻撃が行われても、正規のパケットとそれ以外のパケットとを識別することができる。
【００３２】
これにより、通信端末やサーバを含む既存のネットワーク上の装置に変更する必要がないので、かくして、既存のネットワーク機器に変更を施すことなく、正規の利用者へのサービスを確保しながら、攻撃に対処するＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおける攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムを実現できる。
【発明を実施するための最良の形態】
【００３３】
次に、本発明の実施の形態の構成について図面を参照して詳細に説明する。
（第１の実施の形態）
（１）第１の実施の形態によるＤｏＳ攻撃防御装置を備えたＤｏＳ攻撃防御システム
（１−１）ＤｏＳ攻撃防御システムの構成
図１を参照すると、第１の実施の形態によるＤｏＳ攻撃防御システムは、正規ＳＩＰ端末（本発明に係る通信端末に該当する。）１と、攻撃ＳＩＰ端末２と、防御装置（本発明に係るＤｏＳ攻撃防御装置に該当する。）３と、防御対象ＳＩＰサーバ４と、外部ＳＩＰサーバ５と、外部ＳＩＰ端末６と、ネットワーク７から９とを備えている。
【００３４】
また、正規ＳＩＰ端末１と、攻撃ＳＩＰ端末２と、外部ＳＩＰサーバ５と、防御装置３は、ネットワーク８に接続される。
【００３５】
外部ＳＩＰ端末６と、外部ＳＩＰサーバ５は、ネットワーク７に接続される。
【００３６】
防御対象ＳＩＰサーバ４と、防御装置３は、ネットワーク９に接続される。
【００３７】
正規ＳＩＰ端末１は、正規の利用者の使用する、例えば、電話機である。なお、本実施の形態では、正規ＳＩＰ端末１の１台により代表して説明しているが、通常は複数台存在する。
【００３８】
攻撃ＳＩＰ端末２は、攻撃者の操作する、具体的には、計算機である。攻撃ＳＩＰ端末２は、防御対象ＳＩＰサーバ４に対し、ＤｏＳ攻撃を行う。
【００３９】
防御装置３は、攻撃ＳＩＰ端末２の攻撃から、防御対象ＳＩＰサーバ４を守る。
【００４０】
また、正規ＳＩＰ端末１の行う全てのＳＩＰ通信は、防御対象ＳＩＰサーバ４でのプロキシ処理を経由して行われる。
【００４１】
また、外部ＳＩＰ端末６の行う全てのＳＩＰ通信は、外部ＳＩＰサーバ５でのプロキシ処理を経由して行われる。
【００４２】
ここで言うプロキシ処理とは、ＳＩＰサーバが、受信したＳＩＰメッセージに情報を追加し、新たなパケットを生成して、ＳＩＰメッセージを転送する処理である。
【００４３】
なお、本実施の形態では、外部ＳＩＰサーバ５を、既知のアドレスを持つ信用すべきノードを代表するものとして構成に含めている。
【００４４】
なお、防御装置３は、ファイアウォールやＩＤＳ（Intrusion Detection System）のように、ルータやブリッジとして実現される。
【００４５】
従って、正規ＳＩＰ端末１や防御対象ＳＩＰサーバ４の上でＳＩＰの処理を行うプログラムからは、防御装置３は見えない。
【００４６】
但し、本実施の形態のように、防御装置３と防御対象ＳＩＰサーバ４とを別個の装置とすることが望ましい実施の形態であるが、本実施の形態の防御装置３により実施される処理を行う防御プログラム（本発明に係るＤｏＳ攻撃防御プログラムに該当する。）を、防御対象ＳＩＰサーバ４上に搭載してもよい。その場合、防御プログラムはＯＳのカーネル内で実行されることが望ましい。
（１−２）ＤｏＳ攻撃防御システムにおける防御装置の構成
次に、防御装置３の構成を図２に示す。
【００４７】
図２に示す防御装置３は、パケット入力部３１と、レスポンス解析部３２と、アドレス記憶部３３と、アドレス検査部３４と、パケット出力部３５と、レート制限部３６と、ネットワークインタフェース３０１及び３０２と、アドレス登録部３０３と、閾値登録部３０４とを備えている。
【００４８】
ネットワークインタフェース３０１及び３０２は、受信したパケットをパケット入力部３１へ渡し、また、パケット出力部３５より渡されたパケットをネットワーク８又は９へ送出する。
【００４９】
ネットワークインタフェース３０２は、ネットワーク９に接続され、防御対象ＳＩＰサーバ４との間でパケットを送受信する。
【００５０】
ネットワークインタフェース３０１は、ネットワーク８に接続され、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、外部ＳＩＰサーバ５との間でパケットを送受信する。
【００５１】
なお、本実施の形態では、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、外部ＳＩＰサーバ５が同じネットワーク８に接続され、それらとパケットの送受信を行う防御装置３上のネットワークインタフェースも３０１の１つのみとしているが、本実施の形態はこれに限定されるものではなく、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、外部ＳＩＰサーバ５のそれぞれが、別個のネットワークに接続され、防御装置３上の別個のネットワークインタフェースと接続されてもよい。
【００５２】
パケット入力部３１は、ネットワークインタフェース３０１または３０２により、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、防御対象ＳＩＰサーバ４、外部ＳＩＰサーバ５から送られてきたパケットが渡され、防御対象ＳＩＰサーバ４から送られてきたパケットをレスポンス解析部３２へ転送し、防御対象ＳＩＰサーバ４へ向けて送られたパケットをアドレス検査部３４へ渡す。
【００５３】
なお、パケットの方向は、例えば、パケット入力部３１にパケットを渡したネットワークインタフェースが３０１であるのか、或いは、ネットワークインタフェース３０２であるのかに基づいて知ることができる。
【００５４】
レスポンス解析部３２は、受け取ったパケットのペイロードに記載されたＳＩＰメッセージを解析し、それが登録要求に対する認証応答であって成功であれば、登録要求を発行したＳＩＰ端末のアドレスをアドレス記憶部３３へ登録する。
【００５５】
ここで、登録要求に対する認証応答の成功について、具体例を図３に示す。
【００５６】
図３を参照すると、レスポンスが登録要求に対するものであることは、ＣＳｅｑヘッダを参照することにより判断できる。具体的には、「ＲＥＧＩＳＴＥＲ」により、登録要求に対するものであることを表しており、また、先頭行の「２００ ＯＫ」により、認証応答が取れ、成功を示すものである。
【００５７】
また、レスポンス解析部３２がアドレス記憶部３３へ登録するアドレスとしては、認証応答のＣｏｎｔａｃｔヘッダに記載された値を使用するか、認証応答パケットの宛先アドレスを使用する。
【００５８】
なお、アドレス記憶部３３での記憶に有効期限を設けなければ、ＳＩＰ端末の減少やアドレス変更によって無効となった記憶も残ってしまう。
【００５９】
そこで、例えば、レスポンス解析部３２は、認証応答のＣｏｎｔａｃｔヘッダに設定されたｅｘｐｉｒｅタグから取得した、登録要求の処理自体の有効期間を、アドレス記憶部３３における記憶の有効期間として、アドレスとともにアドレス記憶部３３へ渡す。
【００６０】
つまり、レスポンス解析部３２は、図３のような認証応答の成功を受け取ると、Ｃｏｎｔａｃｔヘッダに設定されたアドレス１92.１68.１.１00、及び、有効期間3600秒、という情報をアドレス記憶部３３へ渡す。
【００６１】
そして、アドレス記憶部３３は、レスポンス解析部３２から渡されたアドレスを、アドレスと共に渡された有効期間の間だけ記憶する。
【００６２】
また、アドレス記憶部３３に対して、防御装置３の管理者１０が、アドレス登録部３０３を介して、予め静的にアドレスを登録しておくこともでき、本実施の形態では外部ＳＩＰサーバ５のアドレスが登録される。その場合、記憶の有効期間は無期限とする。
【００６３】
次に、アドレス検査部３４では、受け取ったパケットの送信元アドレスがアドレス記憶部３３に記憶されているかどうかの検査を行い、その送信元アドレスが記憶されていればパケットをパケット出力部３５へ渡し、一方、その送信元アドレスが記憶されていない未知のアドレスであればパケットをレート制限部３６へ渡す。
【００６４】
パケット出力部３５は、受け取ったパケットを、パケットが防御対象ＳＩＰサーバ４から送られたものであるか、或いは防御対象ＳＩＰサーバ４へ向けて送られたものであるかに応じて、ネットワークインタフェース３０１または３０２へ渡す。
【００６５】
レート制限部３６は、受け取るパケットのレート、すなわち、時間あたりのパケットの数を計測しており、防御装置３の管理者１０が閾値登録部３０４を介して予め設定した閾値を超えた場合にパケットを破棄し、設定した閾値を超えない場合に、パケットをパケット出力部３５へ渡す。
（１−３）ＤｏＳ攻撃防御システムの全体動作
次に、図４のシーケンスを参照して、第１の実施の形態によるＤｏＳ攻撃防御システムの全体動作について、詳細に説明する。
【００６６】
ここで、本実施の形態の動作について、次のシナリオを具体例として用いて説明する。
【００６７】
本実施の形態の動作は、次の３つのステップのシナリオによって動作する。
（１）正規ＳＩＰ端末１が、登録要求処理パケットによる処理を行う。
（２）攻撃ＳＩＰ端末２が、防御対象ＳＩＰサーバ４に対し、インバイトフラッド攻撃（大量の接続要求送信による攻撃）を開始する。
（３）外部ＳＩＰ端末６が、正規ＳＩＰ端末１へ電話をかける。
【００６８】
上記のシナリオにおいて、図１に示したノードの間でやり取りされるＳＩＰメッセージ（要求（リクエスト）、又は応答（レスポンス））のシーケンスを、図４に示す。但し、図４のシーケンスでは、防御装置３は除いている。防御装置３を含めた動作については、後で詳細に記述する。
【００６９】
図４に示すシーケンスにおいて、矢印はノード間でやり取りされるＳＩＰメッセージを示し、矢印の上に、リクエストのメソッド名、または、レスポンスのステータスコード（例えば、２００など）と理由フレーズ（成功など）を示す。
【００７０】
図４において、メッセージ送信の箇所に付したステップ番号については、ステップＡ１からＡ４が上記シナリオの（１）に相当し、ステップＡ５が上記シナリオの（２）に相当し、ステップＡ６からＡ１０が上記シナリオの（３）に相当する。
【００７１】
次に、図４のシーケンスを説明する。
【００７２】
まず、正規ＳＩＰ端末１が、登録要求を送る（ステップＡ１）。
【００７３】
それを受け、防御対象ＳＩＰサーバ４が、認証がまだ済んでいないことを示す応答として、４０１認証未済を返す（ステップＡ２）。その中には、認証のためのデータ（チャレンジ）が含まれる。
【００７４】
それを受け、正規ＳＩＰ端末１が、登録要求を再送する（ステップＡ３）。その中には、認証のためのデータ（前記チャレンジに対するレスポンス）が含まれる。
【００７５】
それを受け、防御対象ＳＩＰサーバ４が認証を行い、認証が成功すると２００成功を返す（ステップＡ４）。
【００７６】
攻撃ＳＩＰ端末２が、防御対象ＳＩＰサーバ４に対し、大量の接続要求の送信（シナリオ（２）のインバイトフラッド攻撃に相当する。）を開始する（ステップＡ５）。
【００７７】
ステップＡ５以降、後述するステップＡ９に至るまで、及びそれ以降もインバイトフラッド攻撃は続くが、図４では省略している。
【００７８】
また、攻撃ＳＩＰ端末２の接続要求（ステップＡ５）に対し、サーバからエラーを示すレスポンスが返される可能性が高いが、図４では省略している。
【００７９】
そして、外部ＳＩＰ端末６が、正規ＳＩＰ端末１を呼び出すための接続要求（シナリオ（３）に相当する。）を送信する（ステップＡ６）。
【００８０】
ステップＡ６の接続要求は、外部ＳＩＰサーバ５及び防御対象ＳＩＰサーバ４において、順にプロキシ処理され、正規ＳＩＰ端末１へ届けられる。
【００８１】
それを受け、正規ＳＩＰ端末１が、ベルを鳴らすなどによりユーザを呼び出すとともに、呼び出し中であることを外部ＳＩＰ端末６へ通知するための１８０呼出中応答を送信する（ステップＡ７）。
【００８２】
また、１８０呼出中応答は、防御対象ＳＩＰサーバ４および外部ＳＩＰサーバ５において、順にプロキシ処理され、外部ＳＩＰ端末６へ届けられる。
【００８３】
正規ＳＩＰ端末１は、ユーザが電話を受けると、そのことを外部ＳＩＰ端末６へ通知するための２００成功を送信する（ステップＡ８）。
【００８４】
２００成功は、防御対象ＳＩＰサーバ４及び外部ＳＩＰサーバ５において、順にプロキシ処理され、外部ＳＩＰ端末６へ届けられる。
【００８５】
それを受け、外部ＳＩＰ端末６は、確認を送信する（ステップＡ９）。
【００８６】
確認は、外部ＳＩＰサーバ５及び防御対象ＳＩＰサーバ４において、順にプロキシ処理され、正規ＳＩＰ端末１へ届けられる。ここで、セッションが確立する。
（１−４）ＤｏＳ攻撃防御システムにおける防御装置の内部動作
次に、上記のシーケンスについて、図５のフローチャートを参照しながら、ＤｏＳ攻撃防御システムにおける防御装置３の内部動作について、詳細に説明する。
【００８７】
なお、本実施の形態では、防御装置３のレート制限部３６で実施されるレート制限の閾値として、「秒あたり１０００パケット」が設定されており、また、アドレス記憶部３３には、あらかじめ外部ＳＩＰサーバ５のアドレスが記憶されているものとする。
【００８８】
また、防御装置３は、正規ＳＩＰ端末１から送信されるパケットを待ち受けている時点を、フローチャート開始のＲＴ１とする。
【００８９】
ステップＡ１の登録要求における防御装置３の動作処理は、以下の通りである。
【００９０】
まず、正規ＳＩＰ端末１が、防御対象ＳＩＰサーバ４を宛先アドレスとしたパケットを送信する。すると、防御装置３のネットワークインタフェース３０１が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。
【００９１】
パケット入力部３１は、受信したパケットの送信元が防御対象ＳＩＰサーバ４から送られてきたか判定を行う（ステップＢ１）。
【００９２】
ここで、パケット入力部３１は、パケットの送信元が防御対象ＳＩＰサーバ４ではなく、防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５に進み、パケットをアドレス検査部３４へ渡す。
【００９３】
アドレス検査部３４は、パケットの送信元アドレス（正規ＳＩＰ端末１）にてアドレス記憶部３３を検索し（ステップＢ５）、正規ＳＩＰ端末１のアドレスは記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。
【００９４】
レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えないため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【００９５】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２がパケットをネットワークへ送出する。
【００９６】
そして、防御対象ＳＩＰサーバ４が、それを受信する。
【００９７】
次に、ステップＡ２の４０１認証未済における防御装置３の動作処理は、以下の通りである。
【００９８】
防御対象ＳＩＰサーバ４が、正規ＳＩＰ端末１を宛先アドレスとしたパケットを送信する。
【００９９】
防御装置３のネットワークインタフェース３０２が、それを受信（ステップＢ０）し、パケット入力部３１へ渡す。
【０１００】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ステップＢ２へ進み、パケットをレスポンス解析部３２へ渡す。
【０１０１】
レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功であるか否かの判定を行い（ステップＢ２）、まだ認証応答が成功していないため（すなわち認証未済である。）、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１０２】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ネットワークインタフェース３０１へパケットを渡し、ネットワークインタフェース３０１がパケットをネットワークへ送出する。
【０１０３】
そして、正規ＳＩＰ端末１が、それを受信する。
【０１０４】
次に、ステップＡ３の登録要求における防御装置３の動作処理は、以下の通りである。
【０１０５】
まず、正規ＳＩＰ端末１が、防御対象ＳＩＰサーバ４を宛先アドレスとしたパケットを送信する。
【０１０６】
防御装置３のネットワークインタフェース３０１が、それを受信して（ステップＢ０）、パケット入力部３１へ渡す。
【０１０７】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。
【０１０８】
アドレス検査部３４は、パケットの送信元アドレス（正規ＳＩＰ端末１）にてアドレス記憶部３３を検索し、未だ記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。
【０１０９】
レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えないため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１１０】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２がパケットをネットワークへ送出する。
【０１１１】
そして、防御対象ＳＩＰサーバ４が、それを受信する。
【０１１２】
次に、ステップＡ４の２００成功における防御装置３の動作処理は、以下の通りである。
【０１１３】
まず、防御対象ＳＩＰサーバ４が、正規ＳＩＰ端末１を宛先アドレスとしたパケットを送信する。
【０１１４】
防御装置３のネットワークインタフェース３０２が、そのパケットを受信して（ステップＢ０）、パケット入力部３１へ渡す。
【０１１５】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ステップＢ２へ進み、パケットをレスポンス解析部３２へ渡す。
【０１１６】
レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功であるか否かの判定を行い、認証応答が成功であるため、ステップＢ３へ進み、アドレス記憶部３３にパケットの宛先アドレス（正規ＳＩＰ端末１のアドレス）と記憶の有効期間を渡す。
【０１１７】
アドレス記憶部３３では、渡されたアドレスを記憶する（ステップＢ３）。
【０１１８】
レスポンス解析部３２は、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１１９】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ネットワークインタフェース３０１へパケットを渡し、ネットワークインタフェース３０１がパケットをネットワークへ送出する。
【０１２０】
そして、正規ＳＩＰ端末１が、それを受信する。
【０１２１】
次に、ステップＡ５のインバイトフラッド攻撃パケットにおける防御装置３の動作処理は、以下の通りである。
【０１２２】
攻撃ＳＩＰ端末２が、１〜１０００個目のパケットを、防御対象ＳＩＰサーバ４を宛先アドレスとして送信する。
【０１２３】
防御装置３のネットワークインタフェース３０１が、それを受信して（ステップＢ０）、パケット入力部３１へ渡す。
【０１２４】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。
【０１２５】
アドレス検査部３４は、パケットの送信元アドレス（ランダムに詐称されたアドレス）にてアドレス記憶部３３を検索し（ステップＢ５）、記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。
【０１２６】
レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えないため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１２７】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２がパケットをネットワークへ送出する。
【０１２８】
そして、防御対象ＳＩＰサーバ４が、それを受信する。
【０１２９】
これに対し、防御ＳＩＰサーバ４は、エラーを示すレスポンスパケットを送信する可能性が高いが、本質的でないため省略する。
【０１３０】
次に、攻撃ＳＩＰ端末２が、１００１個目のパケットを、防御対象ＳＩＰサーバ４を宛先アドレスとして送信する。
【０１３１】
まず、防御装置３のネットワークインタフェース３０１が、それを受信して（ステップＢ０）、パケット入力部３１へ渡す。
【０１３２】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。
【０１３３】
アドレス検査部３４が、パケットの送信元アドレス（ランダムに詐称されたアドレス）にてアドレス記憶部３３を検索し（ステップＢ５）、記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。
【０１３４】
レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えるため、ステップＢ７へ進み、パケットを破棄する。
【０１３５】
このようにして、防御対象ＳＩＰサーバ４へ到達する攻撃パケットはレートが制限されるため、防御対象のＳＩＰサーバ４は、攻撃の影響を受けない。
【０１３６】
次に、ステップＡ６の接続要求における防御装置３の動作処理は、以下の通りである。
【０１３７】
まず、外部ＳＩＰ端末６が、外部ＳＩＰサーバ５を宛先アドレスとしたパケットを送信する。
【０１３８】
外部ＳＩＰサーバ５が、それを受信し、情報を追加した新たなパケットを生成し、防御対象ＳＩＰサーバ４を宛先アドレスとして送信する。
【０１３９】
防御装置３のネットワークインタフェース３０１が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。
【０１４０】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５に進み、パケットをアドレス検査部３４へ渡す。
【０１４１】
アドレス検査部３４は、パケットの送信元アドレス（外部ＳＩＰサーバ５のアドレス）にてアドレス記憶部３３を検索し（ステップＢ５）、送信元アドレスが記憶されているため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１４２】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２が、パケットをネットワークへ送出する。
【０１４３】
そして、防御対象ＳＩＰサーバ４が、それを受信し、情報を追加した新たなパケットを生成し、正規ＳＩＰ端末１を宛先アドレスとして送信する。
【０１４４】
ここで、また、防御装置３のネットワークインタフェース３０２が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。
【０１４５】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ステップＢ２へ進み、パケットをレスポンス解析部３２へ渡す。
【０１４６】
レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功であるか否かを検査し（ステップＢ２）、認証応答が成功でないため（すなわち認証未済である。）、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１４７】
パケット出力部３５は、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、パケットをネットワークインタフェース３０１に渡し、ネットワークインタフェース３０１が、パケットをネットワークへ送出する。
【０１４８】
そして、正規ＳＩＰ端末１が、それを受信する。
【０１４９】
次に、ステップＡ７の１８０呼出中応答における防御装置３の動作処理は、以下の通りである。
【０１５０】
まず、正規ＳＩＰ端末１が、防御対象ＳＩＰサーバ４を宛先アドレスとしたパケットを送信する。
【０１５１】
防御装置３のネットワークインタフェース３０１が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。
【０１５２】
パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものではないため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。
【０１５３】
アドレス検査部３４が、パケットの送信元アドレス（正規ＳＩＰ端末１のアドレス）においてアドレス記憶部３３を検索し（ステップＢ５）、記憶されているため、パケットをパケット出力部３５へ渡す。
【０１５４】
パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られるものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２が、パケットをネットワークへ送出する。
【０１５５】
そして、防御対象ＳＩＰサーバ４が、それを受信し、情報を追加した新たなパケットを生成し、外部ＳＩＰサーバ５を宛先アドレスとして送信する。
【０１５６】
外部ＳＩＰサーバ５が、それを受信し、情報を追加した新たなパケットを生成し、外部ＳＩＰ端末６を宛先アドレスとして送信する。
【０１５７】
外部ＳＩＰ端末６が、それを受信する。
【０１５８】
次に、ステップＡ８の２００成功における防御装置３の動作処理は、ステップＡ７の処理と同様に行われる。
【０１５９】
また、ステップＢ９の確認応答における防御装置３の動作処理は、ステップＡ６の処理と同様に行われる。
【０１６０】
以上のように、ＤｏＳ攻撃が実行されている最中であっても、ＳＩＰ端末が登録要求処理パケットによる処理を済ませていれば、ＤｏＳ攻撃の影響を受けることなく、ＳＩＰ通信を行うことができる。
（１−５）ＤｏＳ攻撃防御システムの動作及び効果
本実施の形態によれば、防御装置が、正規ＳＩＰ端末と送受信されるパケットを監視することにより、正規ＳＩＰ端末のアドレスを把握しているので、送信元アドレスをパケットごとに変更するような攻撃が行われても、正規のパケットとそれ以外のパケットとを識別することができる。
【０１６１】
また、本実施の形態によれば、防御装置が、正規ＳＩＰ端末と送受信されるパケットを監視することによって動的に正規ＳＩＰ端末のアドレスを知ることができるので、正規ＳＩＰ端末のアドレスを予め防御装置に登録しておく必要がなくなる。
【０１６２】
また、本実施の形態によれば、防御装置は、防御対象のＳＩＰサーバへ送られる、又はＳＩＰサーバから送られたパケットが監視できれば良いので、ファイアウォールのようにルータもしくはブリッジとして実現することができる。
【０１６３】
また、防御装置の行う処理を実装した防御プログラムをＳＩＰサーバ上に搭載することも可能だが、その場合も、防御プログラムをカーネル内の処理として実装すれば、既存のＳＩＰサーバプログラムに変更の必要がない。
【０１６４】
これにより、本実施の形態によれば、ＳＩＰ端末やＳＩＰサーバを含む既存のネットワーク上の装置に変更の必要がない。
【０１６５】
更に、このＤｏＳ攻撃防御システムでは、アドレスの検索処理に関し、検索されるアドレスが固定長の整数情報であるため、高速な検索処理の実装が可能である。
【０１６６】
また、記憶されるアドレスは、わずか防御対象のＳＩＰサーバの配下に存在する正規ＳＩＰ端末の数程度であるので、容易に記憶することができる。
【０１６７】
更に、アドレスを記憶する処理、及び有効期間を過ぎた記憶を削除する処理は、頻度が低いので（なお、ＳＩＰプロトコルにて定義されている登録要求処理パケットによる処理のデフォルトの有効期間は３６００秒である。）、処理負荷が少ない。
【０１６８】
また、ペイロードの解析に関しても、文字列検索程度の単純な処理であり、ＳＩＰサーバから送られたパケットについてのみ行えばよく、攻撃パケットは含まれない。
【０１６９】
これにより、本実施の形態によれば、ＤｏＳ攻撃防御システムは、処理が高速に行えるためＤｏＳ攻撃の対策に適している。
（第２の実施の形態）
（２）第２の実施の形態によるＤｏＳ攻撃防御システム
（２−１）ＤｏＳ攻撃防御システムの構成
次に、第２の実施の形態によるＤｏＳ攻撃防御システムについて説明する。
【０１７０】
図６を参照すると、第２の実施の形態によるＤｏＳ攻撃防御システムでは、第１の実施の形態の構成に、以下の３つの拡張を加えたものである。
【０１７１】
まず、第１の実施の形態では、もしも攻撃ＳＩＰ端末２を操作する攻撃者が、正規ＳＩＰ端末１のアドレスを知り、正規ＳＩＰ端末１のアドレスを詐称したパケットにてＤｏＳ攻撃を行った場合には、攻撃パケットがレート制限を受けずに通過してしまう恐れがある。
【０１７２】
また、正規ＳＩＰ端末１が、ウィルスやボット（ボットとは、コンピュータウイルスの一種で、コンピュータに感染し、そのコンピュータを、ネットワーク(インターネット)を通じて外部から操ることを目的として作成されたプログラムのことをいう。）に感染するなどにより、ユーザの意図しない間に攻撃を行ってしまう可能性もあり、この場合も攻撃パケットがレート制限を受けずに通過してしまう恐れがある。
【０１７３】
従って、これらの事態を避けるため、第１の拡張として、登録要求処理パケットによる処理の成功したＳＩＰ端末のアドレスを送信元アドレスとして持つパケットであっても、送信元アドレス毎にレート制限を実施することが考えられる。
【０１７４】
この場合、攻撃者にアドレスを使われてしまった正規ＳＩＰ端末１へのサービスは阻害される可能性があるが、その他の正規ＳＩＰ端末へのサービス妨害や防御対象ＳＩＰサーバ４のサーバダウンを避けることができる。
【０１７５】
また、第１の実施の形態では、攻撃ＳＩＰ端末２は、インバイトフラッド攻撃を行うこととしたが、第２の拡張として、正規ＳＩＰ端末が全てのリクエストに先立って、必ず登録要求処理パケットによる処理を行うようにすれば、未知のアドレスから防御対象ＳＩＰサーバへ宛てて発信されるパケットのうち、登録要求以外を破棄することにより、レート制限するまでもなく対処が可能である。
【０１７６】
また、第１の実施の形態では、アドレス記憶部３３にて記憶するのはアドレスのみであったが、正規ＳＩＰ端末１と攻撃ＳＩＰ端末２とが、同じＮＡＴ（network address translation）装置に存在する場合などに同じアドレスを共有する可能性があり、その場合、攻撃ＳＩＰ端末２からのパケットが制限を受けずに通過してしまう恐れがある。
【０１７７】
これを避けるためには、第３の拡張として、送信元アドレスのみに基づいて正規のパケットを識別するのではなく、送信元ポート番号を併用することが考えられる。
【０１７８】
そこで、図６に示す第２の実施の形態による防御装置３内部の構成では、第１の実施の形態を示した図２の構成と比較して、送信元毎レート制限部３７と、リクエスト解析部３８と、を追加している。
（２−２）ＤｏＳ攻撃防御システムの全体動作
次に、図７のフローチャートを参照して、第２の実施の形態によるＤｏＳ攻撃防御システムの全体動作について、図５のフローチャートと異なる点を詳細に説明する。
【０１７９】
なお、図７に示す本実施の形態における防御装置３内部の動作のフローチャートでは、図５のフローチャートに比較し、ステップＢ８と、ステップＢ９とを追加している。
【０１８０】
以下に、本実施の形態における動作と、第１の実施の形態における動作との違いについて、図７のフローチャートを参照しながら説明する。
【０１８１】
レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功したことを検出すると、登録要求を発行したＳＩＰ端末１のアドレスに加えて、ポート番号をアドレス記憶部３３へ登録する。
【０１８２】
レスポンス解析部３２がアドレス記憶部３３へ登録するアドレスとポート番号としては、認証応答パケットの宛先アドレスと宛先ポート番号とを使用するか、認証応答のＣｏｎｔａｃｔヘッダに記載された値を使用する。
【０１８３】
例えば、図３の例では、アドレス１９２.１６８.１.１００、ポート番号５０６０である。
【０１８４】
アドレス検査部３４は、パケットの送信元アドレスとポート番号の組がアドレス記憶部３３に記憶されているものであるかどうかを検査し（ステップＢ５）、アドレス記憶部３３に記憶されている場合には、ステップＢ８へ進み、パケットを送信元毎レート制限部３７に渡し、一方、アドレス記憶部３３に記憶されていない場合には、ステップＢ９へ進み、パケットをリクエスト解析部３８に渡す。
【０１８５】
送信元毎レート制限部３７は、アドレスとポート番号の組で特定される送信元毎に、時間当たりのパケット数を計測し、レート制限を行う。
【０１８６】
送信元毎レート制限部３７は、送信元毎のパケットレートが閾値を超える場合には、ステップＢ７へ進み、パケットを破棄し、一方、送信元毎のパケットレートが閾値を超えない場合には、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。
【０１８７】
送信元毎レート制限部３７で使用される閾値は、レート制限部３６で使用される閾値とは別のものであり、防御装置３の管理者１０が、閾値登録部３０４を介して予め設定しておく。
【０１８８】
リクエスト解析部３８は、パケットが登録要求であるか否かを検査し、登録要求である場合には、ステップＢ６へ進み、パケットをレート制限部３６へ渡し、登録要求でない場合には、ステップＢ７へ進み、パケットを破棄する。
【０１８９】
なお、リクエスト名の判定は、パケットペイロードの冒頭数バイトを検査すればよい。
（２−３）ＤｏＳ攻撃防御システムの効果
第２の実施の形態によるＤｏＳ攻撃防御システムでは、アドレスの検索処理に関し、第１の実施の形態で検索されるアドレスと同様に、ポート番号も固定長の整数情報であるため高速な検索処理の実装が可能である。
【０１９０】
また、第２の実施の形態では、第１の実施の形態で記憶されるアドレスと同様に、ポート番号も、わずか防御対象のＳＩＰサーバの配下に存在する正規ＳＩＰ端末の数程度であるので、容易に記憶することができる。
【０１９１】
更に、アドレスを記憶する処理、及び有効期間を過ぎた記憶を削除する処理は、頻度が低いので（なお、ＳＩＰプロトコルにて定義されている登録要求処理パケットによる処理のデフォルトの有効期間は３６００秒である。）、処理負荷も少ない。
【０１９２】
また、ペイロードの解析に関し、第２の実施の形態では、ＳＩＰサーバへ送られるパケットについても行われるが、その場合も冒頭数バイトを処理すればよい。
【０１９３】
これにより、本実施の形態によれば、更に処理が高速に行えるため、ＤｏＳ攻撃の対策に適している。
【図面の簡単な説明】
【０１９４】
【図１】本発明における第１の実施の形態によるＤｏＳ攻撃防御システムの構成を示す構成図である。
【図２】本発明における第１の実施の形態による防御装置のブロック図である。
【図３】本発明における第１の実施の形態による登録要求に対する認証応答の成功について、具体例を示したものである。
【図４】本発明における第１の実施の形態によるＤｏＳ攻撃防御システムの全体動作を示すシーケンスである。
【図５】本発明における第１の実施の形態による防御装置の内部動作を示すフローチャートである。
【図６】本発明における第２の実施の形態によるＤｏＳ攻撃防御システムの構成を示す構成図である。
【図７】本発明における第２の実施の形態による防御装置の内部動作を示すフローチャートである。
【符号の説明】
【０１９５】
１  正規ＳＩＰ端末
２  攻撃ＳＩＰ端末
３  防御装置（本発明に係るＤｏＳ攻撃防御装置である。）
４  防御対象ＳＩＰサーバ
５  外部ＳＩＰサーバ
６  外部ＳＩＰ端末
７、８、９  ネットワーク
１０  管理者
３１  パケット入力部
３２  レスポンス解析部
３３  アドレス記憶部
３４  アドレス検査部
３５  パケット出力部
３６  レート制限部
３７  送信元毎レート制限部
３８  リクエスト解析部
３０１、３０２  ネットワークインタフェース
３０３  アドレス登録部
３０４  閾値登録部
【図１】
2008252221.tif 000003
【図２】
2008252221.tif 000004
【図３】
2008252221.tif 000005
【図４】
2008252221.tif 000006
【図５】
2008252221.tif 000007
【図６】
2008252221.tif 000008
【図７】
2008252221.tif 000009