(57)【要約】【課題】分散サービス不能攻撃（ＤＤｏＳ  ａｔｔａｃｋ）の検知に好適な不正アクセス検知システムを提供する。【解決手段】バックボーンネットワーク１１と、少なくとも１つの端末装置１２１，１２２，１２３を収容して前記バックボーンネットワーク１１に接続されたＬＡＮ１２とを含み、ＬＡＮ１２に収容された端末装置１２１等への不正アクセスを監視する不正アクセス監視システムにおいて、外部ネットワークからバックボーンネットワーク１１への流入経路のそれぞれに設けられ、各流入経路からバックボーンネットワーク１１へ流入するパケットを解析して不正アクセス候補を抽出する複数の解析端末１３と、各解析端末１３から解析結果を収集し、その集計結果に基づいて不正アクセスを検知する管理端末１４とを設けた。【選択図】        図１
2004164107.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークに接続されたバックボーンネットワークと、少なくとも１つの端末装置を収容して前記バックボーンネットワークに接続されたローカルエリアネットワーク（ＬＡＮ）とを含み、前記ＬＡＮに収容された端末装置への不正アクセスを監視する不正アクセス監視システムにおいて、
外部ネットワークからバックボーンネットワークへの流入経路のそれぞれに設けられ、各流入経路からバックボーンネットワークへ流入するパケットを解析して不正アクセス候補を抽出する複数の解析端末と、
前記各解析端末から解析結果を収集し、その集計結果に基づいて不正アクセスを検知する管理端末とを含むことを特徴とする不正アクセス監視システム。
【請求項２】
前記解析端末は、ＴＣＰにおけるＳＹＮ用ＩＰパケットおよびその応答を監視し、応答手順を正常に終了できなかったアクセスを不正アクセス候補として抽出し、
前記管理端末は、前記各解析端末から前記不正アクセス候補を収集し、宛先アドレスが前記ＬＡＮに収容された一の端末装置のアドレスであって、かつ送信元アドレスが同一であるＳＹＮ用ＩＰパケットが所定時間内に所定の閾値以上検知されたか否かに基づいて不正アクセスを検知することを特徴とする請求項１に記載の不正アクセス監視システム。
【請求項３】
前記解析端末は、
ＴＣＰにおけるＳＹＮ用ＩＰパケットを検知する手段と、
前記ＳＹＮ用ＩＰパケットに応答したＳＹＮ／ＡＣＫ用ＩＰパケットに応答したＡＣＫ用ＩＰパケットを検知する手段と、
前記ＡＣＫ用ＩＰパケットを検知できないときに、前記ＳＹＮ用ＩＰパケットによるアクセスを不正アクセス候補として抽出する手段とを含むことを特徴とする請求項２に記載の不正アクセス監視システム。
【請求項４】
前記解析端末は、
ＴＣＰにおけるＳＹＮ用ＩＰパケットを検知する手段と、
前記ＳＹＮ用ＩＰパケットに応答したＳＹＮ／ＡＣＫ用ＩＰパケットを検知する手段と、
前記ＳＹＮ／ＡＣＫ用ＩＰパケットに応答したＡＣＫ用ＩＰパケットを検知する手段と、
前記ＳＹＮ／ＡＣＫ用ＩＰパケットが検知されているにもかかわらず前記ＡＣＫ用ＩＰパケットを検知できないときに、前記ＳＹＮ用ＩＰパケットによるアクセスを不正アクセス候補として抽出する手段とを含むことを特徴とする請求項２に記載の不正アクセス監視システム。
【請求項５】
前記不正アクセス候補を抽出する手段は、前記ＳＹＮ用ＩＰパケットに応答したＳＹＮ／ＡＣＫ用ＩＰパケットを検知できないと、当該ＳＹＮ用ＩＰパケットによるアクセスを不正アクセス候補として抽出しないことを特徴とする請求項４に記載の不正アクセス監視システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、キャンパスネットワーク、学術ネットワーク、あるいはＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）のような管理対象のＩＰネットワーク内に収容されたサーバへの不正アクセスを検知するシステムに係り、特に、分散サービス不能攻撃（ＤＤｏＳ  ａｔｔａｃｋ．  ＤＤｏＳ：Ｄｉｓｔｒｉｂｕｔｅｄ  −  ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）の検知に好適な不正アクセス検知システムに関する。
【０００２】
【従来の技術】
近年、複数のコンピュータから攻撃対象のコンピュータへパケットを一斉に送信するＤＤｏＳ攻撃が問題となっている。ＤＤｏＳ攻撃では、侵入者のコンピュータから第３者のコンピュータに対してエージェントと呼ばれるソフトウエアが通信網を介してインストールされ、このエージェントをリモート操作することにより攻撃対象のコンピュータに大量のパケットを短時間で送信する。この結果、攻撃対象のコンピュータではシステムリソースが費やされてしまい、ＴＣＰの通信処理やＴＣＰ上のサービス処理を行うことができなくなってダウンする。
【０００３】
このようなＤＤｏＳ攻撃からコンピュータを保護すべく、ＤＤｏＳトレースバック機能や各種の侵入検出装置（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）をルータへ組み込む手法が研究されている。従来のＩＤＳは、たとえばルータが流入経路上のパケットを取得し、当該パケットのヘッダに記述されている宛先アドレスおよび送信元アドレスを抽出する。そして、１つの送信元から１つの宛先へ大量のパケットが短時間のうちに送信されていれば、これを不正アクセスとして認識する。
【０００４】
しかしながら、ルータにＩＤＳを組み込んだとしても、１回線にギガオーダのトラヒックが集中する現状下では、パケットの取りこぼしなどが発生してしまい、うまく機能しないことが指摘されている。なお、ＩＤＳの高速化に関しては、高速サーバの導入やファームウエア、ソフトウエアの改良が進められているが、いずれもパケットの取りこぼし問題を完全に解決することはできない。また、多数のルータへトレースバック機能を短期間で組み込むことも困難であるため、トレースバック機能による監視機能を近い将来に実現することは難しい。
【０００５】
このような問題点を解決するために、特開２００２−２５２６５４号公報では、内部ネットワークと外部ネットワークとの間でパケットを中継するルータに侵入検知機能を付加し、外部ネットワークから流入するパケットを監視する。そして、正規のアクセスであれば、被呼側のコンピュータに対して発呼側のコンピュータから同一のセション識別子を有する複数のパケットが送信されるのに対して、不正アクセス時には、複数の異なるセション識別子をそれぞれ有する複数のパケットが被呼側のコンピュータに送信されることに着目し、このような不正アクセス数が所定の閾値を超えた時に、これを不正攻撃と判別している。
【０００６】
【発明が解決しようとする課題】
上記した従来の侵入検知システムでは、パケットの監視が、外部ネットワークから内部ネットワークへの流入経路上で行われる。このために、ＤＤｏＳ攻撃を検知できたとしても、そのときには既に流入経路がＤＤｏＳパケットで占有されてしまっており、正規アクセスが遮断された状態となってしまう。
【０００７】
一方、このような技術課題を解決するためには、多数の侵入検知システムをネットワーク上に分散配置する構成も考えられる。しかしながら、ＤＤｏＳ攻撃のように複数の経路から一つのコンピュータを狙ってアクセスする攻撃手法では、経路単位で見るとアクセス量が閾値を超えない場合がある。このために、侵入検知システムを分散配置してしまうと不正アクセスが見逃されてしまう可能性を否定できない。
【０００８】
本発明の目的は、上記した従来技術の課題を解決し、ＤＤｏＳ攻撃を素早く、かつ確実に検知できる不正アクセス監視システムを提供することにある。
【０００９】
【課題を解決するための手段】
上記した目的を達成するために、本発明は、バックボーンネットワークと、少なくとも１つの端末装置を収容し、前記バックボーンネットワークに接続されたＬＡＮとを含み、前記ＬＡＮに収容された端末装置への不正アクセスを監視する不正アクセス監視システムにおいて、外部ネットワークからバックボーンネットワークへの流入経路のそれぞれに設けられ、各流入経路を流れるパケットを監視して不正アクセス候補を解析する解析端末と、前記各解析端末から解析結果を収集して集計し、不正パケットを検知する管理端末とを含むことを特徴とする。
【００１０】
ＤＤｏＳ攻撃のように、分散された多数のコンピュータに攻撃プログラムを仕掛けて踏み台にし、その踏み台とした多数のコンピュータから標的のコンピュータへ大量のパケットを同時に送信する攻撃では、不正アクセスが複数の経路を経て標的のコンピュータに到達する。このため、単に各経路に監視システムを設けただけでは、アクセス数が不正アクセスと判断する閾値を超えないために不正アクセスが見逃されやすい。これに対して、上記した構成によれば、各経路で収集された結果が管理端末で集計されるので、不正アクセスを漏らさずに検知できるようになる。
【００１１】
【発明の実施の形態】
以下、図面を参照して本発明の好ましい実施の形態について詳細に説明する。図１は、本発明の一実施形態である不正アクセス監視システムが導入されたコンピュータネットワークの全体構成を概念的に示した図である。
【００１２】
図１において、バックボーンネットワーク１１およびローカルエリアネットワーク（ＬＡＮ）１２は、同一のＩＳＰを管理主体とする広帯域ネットワーク１に所属し、ＬＡＮ１２にはＤＤｏＳ攻撃から保護すべきコンピュータ１２１〜１２３が収容されている。前記コンピュータ１２１〜１２３は、例えばパーソナルコンピュータ、メールサーバ、ウェブサーバあるいはＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｃｏｌ）サーバなどである。
【００１３】
前記バックボーンネットワーク１１には、エッジルータＲ１〜Ｒ３を介して、管理主体の異なる他のバックボーンネットワークやインターネットなどの外部ネットワークＮ１〜Ｎ４が接続されている。また、エッジルータＲ４を介して前記内部ネットワークとしてのＬＡＮ１２が接続されている。前記バックボーンネットワーク１１およびＬＡＮ１２に接続される各コンピュータは、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｃｏｌ  ／  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｃｏｌ）を通信プロトコルとしてＩＰパケットを送受信する機能を有している。
【００１４】
前記各エッジルータＲ１〜Ｒ３への流入経路には、当該流入経路を経由してバックボーンネットワーク１１内に流入するパケットを解析し、不正アクセスの可能性のあるパケットを不正アクセス候補として抽出する解析端末１３（１３１〜１３３）が設置されている。各解析端末１３により抽出された不正アクセス候補は、管理端末１４により定期的に収集され、ここで集計される。なお、本実施形態では、ＤＤｏＳ攻撃のためのエージェントをインストールされた多数のコンピュータ（ＤＤｏＳアタッカー）１５が各外部ネットワークＮ１〜Ｎ４に接続されているものとする。
【００１５】
前記各解析端末１３および管理端末１４は、トランスポート層の通信プロトコルであるＴＣＰに従ってセションを確立する際に、発呼側および被呼側のコンピュータ間で実行される３ウェイハンドシェイクが正常に終了するか否かに基づいて、そのアクセスが不正アクセスであるか否かを判断する。さらに具体的に言えば、発呼側のコンピュータから送信されたＳＹＮ用ＩＰパケットを受信した被呼側コンピュータは、これに応答してＳＹＮ／ＡＣＫ用ＩＰパケットを返信する。このＳＹＮ／ＡＣＫ用ＩＰパケットを受信した発呼側コンピュータは、セッションを確立すべく通信許可パケットとしてのＡＣＫ用ＩＰパケットを被呼側のコンピュータに対して返信する。
【００１６】
これに対して、不正アクセス時には、発呼側コンピュータにインストールされているエージェントは、セションを確立しようとすることなく一方的にＳＹＮ用ＩＰパケットを被呼側コンピュータに対して送信し続ける。そこで、本実施形態では、ＳＹＮ用ＩＰパケットを検知した際、これに対応したＡＣＫ用ＩＰパケットが発呼側コンピュータから返信されていれば正規のアクセスと認定し、ＡＣＫ用ＩＰパケットが返信されなければ、これを不正アクセスと認定するようにしている。
【００１７】
図２は、前記各解析端末１３の構成を示した機能ブロック図である。ＳＹＮ用ＩＰパケット抽出部１６１は、流入経路上でＳＹＮ用ＩＰパケットをフィルタリングして抽出する。ＡＣＫ用ＩＰパケット抽出部１６２は、流入経路上でＡＣＫ用ＩＰパケットをフィルタリングして抽出する。エントリ管理部１６３は、ＳＹＮ用ＩＰパケットが検知されると、そのヘッダ情報を抽出してデータテーブル１６５にエントリとして登録する一方、ＡＣＫ用ＩＰパケットが検知されると、これに対応したエントリを前記データテーブル１６５が抹消する。不正アクセス候補抽出部１６４は、ＳＹＮ用ＩＰパケットの到着時刻から所定時間が経過してもデータテーブル１６５に残っているエントリを不正アクセス候補として抽出する。
【００１８】
上記した解析端末１３の各機能は、予め解析端末１３に収容されているハードウエアまたはソフトウエアにより実現されるものであっても良いし、あるいは管理端末１４からダウンロードされるプログラムにより実現されるものであっても良い。本実施形態では、管理端末１４からダウンロードされる解析プログラムにより実現されるものとして説明を続ける。
【００１９】
図３は、前記管理端末１４の構成を示した機能ブロック図である。プログラム導入部１７４は、パケットのヘッダ情報に基づいて当該パケットが不正アクセスによるものであるか否かを解析する解析プログラムを各解析端末１３へダウンロードする。データ収集部１７１は、各解析端末１３をポーリングして不正アクセス候補のエントリを定期的に収集する。データ集計部１７２は、各解析端末１３から収集した不正アクセス候補のエントリを集計する。不正アクセス検知部１７３は、宛先アドレスおよび送信元アドレスのいずれもが一致するエントリの総数Ｎを前記宛先アドレスと送信元アドレスとの組み合わせ毎にカウントし、総数Ｎが不正アクセス判定閾値Ｎｒｅｆを超えた組み合わせのエントリを検知して不正アクセスと認定する。
【００２０】
次いで、フローチャートを参照して本実施形態の動作を詳細に説明する。図４は、前記管理端末１４の動作を示したフローチャートであり、ステップＳ１では、前記プログラム導入部１７４によって前記解析プログラムが各エッジルータＲ１〜Ｒ３へダウンロード［図１の▲１▼］される。ステップＳ２では、ポーリングタイミングであるか否かが判定される。本実施形態ではポーリングタイミングが１０分に設定されており、前回のポーリングタイミングから１０分が経過するまでは待機状態となる。
【００２１】
図５は、前記解析プログラムをダウンロードされた各エッジルータＲ１〜Ｒ３が、当該解析プログラムに基づいて実行するパケット解析処理の手順を示したフローチャートである。
【００２２】
ステップＳ２１では、前記ＳＹＮ用ＩＰパケット抽出部１６１により流入経路上でＳＹＮ用ＩＰパケットがフィルタリングされる。ＳＹＮ用ＩＰパケットが検知されると、ステップＳ２２において、そのヘッダに登録されている送信元アドレス、宛先アドレス、シーケンス番号などのヘッダ情報が、その到着時刻と共に、前記エントリ管理部１６３によりデータテーブル１６５へエントリとして登録される。
【００２３】
ステップＳ２５では、このＳＹＮ用ＩＰパケットに応答して被呼側のコンピュータから返信されるであろうＳＹＮ／ＡＣＫ用ＩＰパケットに対して発呼側のコンピュータから返信されるべきＡＣＫ用ＩＰパケットが、前記ＡＣＫ用ＩＰパケット抽出部１６２により流入経路上でフィルタリングされる。このフィルタリングは、ステップＳ２６においてタイマがタイムアウトするまでの所定時間ｔ１（本実施形態では、１秒ないし１分程度）だけ行われ、この所定時間ｔ１内にＡＣＫ用ＩＰパケットが検知されれば、ステップＳ２７において、前記エントリ管理部１６３により当該エントリが前記データテーブル１６５から抹消される。
【００２４】
これに対して、前記所定時間ｔ１内にＡＣＫ用ＩＰパケットが検知されなければ、当該エントリは前記データテーブル１６５に残ったままとなる。ステップＳ２８では、前記管理端末１４からのポーリングの有無が判定され、ポーリングが検知されるまでは、上記したステップＳ２１〜Ｓ２７の各処理が繰り返される。
【００２５】
図４へ戻り、前記管理端末１４では、ステップＳ２においてポーリングタイミングと判定されると、ステップＳ３では、前記データ収集部１７１が各解析端末１３１〜１３３をポーリングして、それぞれのデータテーブル１６５に格納されているエントリを収集する。
【００２６】
図５へ戻り、各解析端末１３１〜１３３は、ステップＳ２８において前記管理端末１４からのポーリングを検知すると、ステップＳ２９では、データテーブル１６５に残っているエントリの中から、ＳＹＮ用ＩＰパケットの到着時刻と現在時刻との差分の小さいエントリ、すなわちＳＹＮ用ＩＰパケットの到着時刻からの経過時間が短く、今後、ＡＣＫ用ＩＰパケットを検知できる可能性のあるアクセスに関するエントリを除き、他のエントリが不正アクセス候補として、前記不正アクセス候補抽出部１６４により抽出される。ステップＳ３０では、前記不正アクセス候補のエントリが管理端末１４へ転送［図１の▲２▼］される。ステップＳ３１では、前記転送された不正アクセス候補のエントリが、前記エントリ管理部１６３によってデータテーブル１６５から抹消される。
【００２７】
図４へ戻り、前記管理端末１４は、ステップＳ３において各解析端末１３１〜１３３から不正アクセス候補のエントリを収集すると、ステップＳ４では、前記データ集計部１７２がこれを集計し、送信元アドレスおよび宛先アドレスのいずれもが一致するアクセスのエントリ数Ｎを、送信元アドレスと宛先アドレスとの組み合わせ毎にカウントする。
【００２８】
ステップＳ５では、各組み合わせ毎のエントリ数Ｎが前記不正アクセス検知部１７３により不正アクセス判定閾値Ｎｒｅｆと比較され、Ｎ≧Ｎｒｅｆを満足するエントリが、ステップＳ６において不正アクセスと認定される。
【００２９】
このように、本実施形態ではＴＣＰに基づくセション確立手順を正常に終了できなかったアクセスが各エッジルータにおいて不正アクセス候補として抽出されると共に、これを各エッジルータから収集して送信元アドレスと宛先アドレスとの組み合わせごとに集計し、総数Ｎが多いアクセスを最終的に不正アクセスと認定するので、エッジルータ単位ではアクセス数が少ないものの複数エッジルータを介して流入するために総数としては大量となるＤＤｏＳ攻撃を確実に検知できるようになる。
【００３０】
ところで、上記した第１実施形態では、ＳＹＮ用ＩＰパケットを受信した被呼側のコンピュータがＳＹＮ／ＡＣＫ用ＩＰパケットを返信することを前提にして、このＳＹＮ／ＡＣＫ用ＩＰパケットに対して発呼側から返信されるべきＡＣＫ用ＩＰパケットの有無に基づいて、このアクセスが不正であるか否かを判定している。
【００３１】
しかしながら、被呼側のコンピュータが何らかの理由でＳＹＮ用ＩＰパケットに対してＳＹＮ／ＡＣＫ用ＩＰパケットを返信できなかった場合には、発呼側のコンピュータが正規のアクセスを望んでいてもＡＣＫ用ＩＰパケットを返信できないために、不正アクセスとの区別が付かなくなる。
【００３２】
そこで、次に説明する本発明の第２実施形態では、ＳＹＮ用ＩＰパケットに対する被呼側コンピュータからのＳＹＮ／ＡＣＫ用ＩＰパケットの返信の有無も検知し、ＡＣＫ用ＩＰパケットを検知できなかった場合でも、これが不正アクセスに起因したものなのか、あるいは被呼側コンピュータの応答不能に起因したものなのかを区別できるようにしている。
【００３３】
図６は、本発明の第２実施形態における解析端末１３の機能ブロック図であり、前記と同一の符号は同一または同等部分を表している。
【００３４】
本実施形態では、前記ＳＹＮ用ＩＰパケット抽出部１６１で抽出されたＳＹＮ用ＩＰパケットに応答して被呼側のコンピュータから返信されるＳＹＮ／ＡＣＫ用ＩＰパケットを抽出するＳＹＮ／ＡＣＫ用ＩＰパケット抽出部１６６を更に設けた点に特徴がある。
【００３５】
図７は、本実施形態における解析端末１３の動作を示したフローチャートであり、前記と同一の処理には同一のステップ番号を付している。
【００３６】
ステップＳ２１においてＳＹＮ用ＩＰパケットが検知され、ステップＳ２２において、そのエントリがデータテーブルへ登録されると、ステップＳ２３では、被呼側のコンピュータから発呼側のコンピュータへ返信されるべきＳＹＮ／ＡＣＫ用ＩＰパケットが、流出経路上で前記ＳＹＮ／ＡＣＫ用ＩＰパケット抽出部１６６によりフィルタリングされる。
【００３７】
このフィルタリングも、ステップＳ２４においてタイマがタイムアウトするまでの所定時間ｔ２だけ行われ、この所定時間ｔ２内にＳＹＮ／ＡＣＫ用ＩＰパケットが検知されれば、ステップＳ２５へ進んで前記第１実施形態と同様の処理が引き続き実行される。これに対して、前記所定時間ｔ２内にＳＹＮ／ＡＣＫ用ＩＰパケットが検知されなければステップＳ２７へ進み、当該エントリが前記データテーブル１６５から抹消される。
【００３８】
このように、本発明の第２実施形態によれば、被呼側のコンピュータがＳＹＮ用ＩＰパケットに対して、何らかの理由でＳＹＮ／ＡＣＫ用ＩＰパケットを返信できなかった場合にも、当該エントリがデータテーブル１６５から抹消されるので、被呼側コンピュータが応答不能のときに送出されたＳＹＮ用ＩＰパケットが不正アクセスと誤認定されることを防止できる。
【００３９】
【発明の効果】
本発明によれば、以下のような効果が達成される。
（１）ＴＣＰに基づくセション確立手順を正常に終了できなかったアクセスを各エッジルータにおいて不正アクセス候補として抽出すると共に、これを各エッジルータから収集して送信元アドレスと宛先アドレスとの組み合わせごとに集計し、総数Ｎが多いアクセスを最終的に不正アクセスと認定するので、エッジルータ単位ではアクセス数が少ないものの複数のエッジルータを介して流入するために総数としては大量となるＤＤｏＳ攻撃を確実に検知できるようになる。
（２）被呼側のコンピュータが何らかの理由でＳＹＮ用ＩＰパケットに対してＳＹＮ／ＡＣＫ用ＩＰパケットを返信できなかった場合にも、当該エントリがデータテーブルから抹消されるので、被呼側コンピュータが応答不能のときに送出されたＳＹＮ用ＩＰパケットが不正アクセスと誤認定されることを防止できる。
【図面の簡単な説明】
【図１】本発明の一実施形態である不正アクセス監視システムが導入されたコンピュータネットワークの全体構成を概念的に示した図である。
【図２】図１に示した解析端末の機能ブロック図である。
【図３】図１に示した管理端末の機能ブロック図である。
【図４】管理端末の動作を示したフローチャートである。
【図５】解析端末の動作を示したフローチャートである。
【図６】解析端末の第２実施形態の機能ブロック図である。
【図７】本発明の第２実施形態における解析端末の動作を示したフローチャートである。
【符号の説明】１１…バックボーンネットワーク，１２…ローカルエリアネットワーク，１３…解析端末，１４…管理端末，１２１〜１２３…コンピュータ，Ｒ１〜Ｒ４…エッジルータ，Ｎ１〜Ｎ３…外部ネットワーク
【図１】
2004164107.tif 000003
【図２】
2004164107.tif 000004
【図３】
2004164107.tif 000005
【図４】
2004164107.tif 000006
【図５】
2004164107.tif 000007
【図６】
2004164107.tif 000008
【図７】
2004164107.tif 000009