(57)【要約】【課題】パケットの送信元情報に基づいて、出力先を切り替えることにより、例えば、ＤｏＳ攻撃またはＤＤｏＳ攻撃のパケットをしかるべき方向に回避させる。【解決手段】パケットの送信元に関する情報をパケットのスイッチングの条件に加えることにより、特定のパケット送信元から送信されたパケットについては、これを特定の送信先に転送する。例えば、ＤｏＳ攻撃対象になっている送信先に対して正常なパケットとＤｏＳ攻撃パケットとが転送されている場合に、ＤｏＳ攻撃パケットのみをしかるべき送信先に転送することにより、ＤｏＳ攻撃対象となっている送信先に対するＤｏＳ攻撃を回避させる。【選択図】  図３
2004363785.tif 000002
【特許請求の範囲】
【請求項１】
パケット網間に設置され、到着するパケットの送信先情報に対応する出力先情報を含むスイッチングに関する所定条件が書き込まれたリストと、自己を通過するパケットヘッダを参照して前記所定条件を満たすパケットを所定の出力先にスイッチングする手段とを備えたネットワーク間接続装置において、
前記所定条件として、パケットの送信元情報を含み、
前記スイッチングする手段は、前記リストを参照して到着するパケットの送信先および送信元の組み合わせに対応する出力先または当該パケットの送信元に対応する出力先に当該パケットを出力する手段を備えた
ことを特徴とするネットワーク間接続装置。
【請求項２】
入出力のパスは、識別子によりパスが決まるように論理的に多重されており、
前記所定条件は、前記送信元情報として、入力パスの識別子と、パケットヘッダ内の静的に情報搭載位置が決まる部分を対象としたパケットの送信元を示す情報と、これらの送信元情報とパケットの送信先情報との組み合わせで定まる当該パケットの出力先情報またはこれらの送信元情報で定まる当該パケットの出力先情報とを含み、
前記パケットの出力先情報は、論理パスの識別子であり、
前記出力する手段は、入力されたパケットのうち、前記所定条件を満たすパケットに対し、出力先の論理パスの識別子を指定された出力先の論理パスの識別子に書き換える手段を備えた
請求項１記載のネットワーク間接続装置。
【請求項３】
前記パケット網はＥｔｈｅｒｎｅｔ（登録商標）上のＶＬＡＮまたはＡＴＭ上のＶＣまたはＶＰで論理多重された網の上に構成されたＩＰ網であり、前記パケットはＩＰパケットであり、前記入出力のパスはＥｔｈｅｒｎｅｔ上のＶＬＡＮまたはＡＴＭ上のＶＣであり、前記パケットヘッダ内の静的に情報搭載位置が決まる部分は、ＩＰアドレスおよびＩＰヘッダがオプションを持たない場合のＵＤＰまたはＴＣＰにおけるポート番号を指す請求項２記載のネットワーク間接続装置。
【請求項４】
情報処理装置にインストールすることにより、その情報処理装置に、パケット網間に設置され、到着するパケットの送信先情報に対応する出力先情報を含むスイッチングに関する所定条件が書き込まれたリストに相応する機能と、自己を通過するパケットヘッダを参照して前記所定条件を満たすパケットを所定の出力先にスイッチングする機能とを備えたネットワーク間接続装置に相応する機能を実現させるプログラムであって、
前記所定条件として、パケットの送信元情報を含み、
前記スイッチングする機能として、前記リストを参照して到着するパケットの送信先および送信元の組み合わせに対応する出力先または当該パケットの送信元に対応する出力先に当該パケットを出力する機能を実現させる
ことを特徴とするプログラム。
【請求項５】
請求項４記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、パケット網間を接続したネットワーク間接続装置に利用し、特に、パケットのヘッダ情報を利用して出力先を変更する技術に関する。
【０００２】
【従来の技術】
例えば、ＡＴＭまたはＶＬＡＮ上におけるＩＰパケットのスイッチングを行うネットワーク間接続装置を介して、パケット網でのスイッチング接続を行うには、ＩＰヘッダの送信先ＩＰアドレスまたは、送信先ＩＰアドレスおよび送信先のＴＣＰヘッダ情報の組または、送信先ＩＰアドレスおよび送信先のＵＤＰヘッダ情報の組を用いている（例えば、特許文献１参照）。
【０００３】
【特許文献１】
特開２００１−１１９４１２号公報
【０００４】
【発明が解決しようとする課題】
例えば、ＤｏＳ（ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃やＤＤｏＳ（ｄｉｓｔｒｉｂｕｔｅｄ  ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃といった大量パケット攻撃を受けた場合に、大量パケットの廃棄処理負荷あるいはネットワークの負荷を軽減させるため、しかるべき対策が施された他のネットワークまたは他の装置へこの大量パケットを回避させることによりＤｏＳ攻撃やＤＤｏＳ攻撃に対処する方法が考えられる。これには、ＩＰパケットの送信先ＩＰアドレスに関する情報だけでなく、送信元情報も加えたＩＰパケットのヘッダ部を条件に用い、攻撃パケットの特定およびスイッチングによる回避が必要になる。
【０００５】
しかしながら、従来のネットワーク間接続装置では、パケットの送信先情報に基づく出力先決定しか行われておらず、パケットの送信元情報に基づく出力先決定機能を持っていないため、ＤｏＳ攻撃やＤＤｏＳ攻撃といった大量パケット攻撃を回避することができなかった。
【０００６】
本発明は、このような課題を解決するためのものであり、パケットの送信元情報に基づいて、出力先を切り替えることにより、例えば、ＤｏＳ攻撃またはＤＤｏＳ攻撃のパケットをしかるべき方向に回避させることができるネットワーク間接続装置を提供することを目的とする。
【０００７】
【課題を解決するための手段】
上述した課題を解決するために、本発明のネットワーク間接続装置は、パケット網間を接続し、パケット送信元情報を含む所定条件のリストを持ち、当該装置を通過するパケットのうち前記所定条件を満たすパケットを、所定条件に従った出力先に出力するものである。
【０００８】
すなわち、本発明の第一の観点は、パケット網間に設置され、到着するパケットの送信先情報に対応する出力先情報を含むスイッチングに関する所定条件が書き込まれたリストと、自己を通過するパケットヘッダを参照して前記所定条件を満たすパケットを所定の出力先にスイッチングする手段とを備えたネットワーク間接続装置である。
【０００９】
ここで、本発明の特徴とするところは、前記所定条件として、パケットの送信元情報を含み、前記スイッチングする手段は、前記リストを参照して到着するパケットの送信先および送信元の組み合わせに対応する出力先または当該パケットの送信元に対応する出力先に当該パケットを出力する手段を備えたところにある（請求項１）。
【００１０】
このように、パケットの送信元に関する情報をパケットのスイッチングの条件に加えることにより、特定のパケット送信元から送信されたパケットについては、これを特定の送信先に転送することができる。例えば、ＤｏＳ攻撃対象になっている送信先に対して正常なパケットとＤｏＳ攻撃パケットとが転送されている場合に、ＤｏＳ攻撃パケットのみをしかるべき送信先に転送することにより、ＤｏＳ攻撃対象となっている送信先に対するＤｏＳ攻撃を回避させることができる。
【００１１】
入出力のパスは、識別子によりパスが決まるように論理的に多重されており、前記所定条件は、前記送信元情報として、入力パスの識別子と、パケットヘッダ内の静的に情報搭載位置が決まる部分を対象としたパケットの送信元を示す情報と、これらの送信元情報とパケットの送信先情報との組み合わせで定まる当該パケットの出力先情報またはこれらの送信元情報で定まる当該パケットの出力先情報とを含み、前記パケットの出力先情報は、論理パスの識別子であり、前記出力する手段は、入力されたパケットのうち、前記所定条件を満たすパケットに対し、出力先の論理パスの識別子を指定された出力先の論理パスの識別子に書き換える手段を備えることができる（請求項２）。
【００１２】
これにより、例えば、特定の送信先に対してＤｏＳ攻撃が行われている状況が検出された場合には、前記リストの所定条件の内、出力先の論理パスの識別子を書き換えることにより、ＤｏＳ攻撃パケットをしかるべき送信先に振り分けることができる。ここで、しかるべき送信先をＤｏＳ攻撃対策ホストとしておけば、ＤｏＳ攻撃パケットを無効とすることができる。
【００１３】
さらに具体的には、例えば、前記パケット網はＥｔｈｅｒｎｅｔ上のＶＬＡＮまたはＡＴＭ上のＶＣまたはＶＰで論理多重された網の上に構成されたＩＰ網であり、前記パケットはＩＰパケットであり、前記入出力のパスはＥｔｈｅｒｎｅｔ上のＶＬＡＮまたはＡＴＭ上のＶＣであり、前記パケットヘッダ内の静的に情報搭載位置が決まる部分は、ＩＰアドレスおよびＩＰヘッダがオプションを持たない場合のＵＤＰまたはＴＣＰにおけるポート番号を指す（請求項３）。
【００１４】
また、本発明の第二の観点は、情報処理装置にインストールすることにより、その情報処理装置に、パケット網間に設置され、到着するパケットの送信先情報に対応する出力先情報を含むスイッチングに関する所定条件が書き込まれたリストに相応する機能と、自己を通過するパケットヘッダを参照して前記所定条件を満たすパケットを所定の出力先にスイッチングする機能とを備えたネットワーク間接続装置に相応する機能を実現させるプログラムであって、前記所定条件として、パケットの送信元情報を含み、前記スイッチングする機能として、前記リストを参照して到着するパケットの送信先および送信元の組み合わせに対応する出力先または当該パケットの送信元に対応する出力先に当該パケットを出力する機能を実現させることを特徴とする（請求項４）。
本発明の第三の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項５）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００１５】
これにより、汎用の情報処理装置を用いて、パケットの送信元情報に基づいて、出力先を切り替えることにより、例えば、ＤｏＳ攻撃またはＤＤｏＳ攻撃のパケットをしかるべき方向に回避させることができるネットワーク間接続装置を実現することができる。
【００１６】
【発明の実施の形態】
本発明の実施の形態について、図面を参照して説明する。図１は本発明実施形態のネットワーク間接続装置を備えたネットワーク構成を示す図である。図２は本実施形態のネットワーク間接続装置を用いたＤｏＳ攻撃パケット回避動作を説明するための図である。図３は本実施形態のネットワーク間接続装置の構成図である。図４は本実施形態のネットワーク間接続装置における振り分けリストの構成例を示す図である。図５は本実施形態のネットワーク間接続装置のスイッチング動作を説明するための図である。
【００１７】
以下、パケット網については、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮまたはＡＴＭ上のＶＣにて形成されたＩＰ網を指すものであり、ＶＬＡＮ−ＩＤは、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮにおけるＶＬＡＮ−ＩＤを、ＶＣはＡＴＭのＶＰＩ、ＶＣＩの対を指すものとする（請求項３）。
【００１８】
図１に示すように、ネットワーク間接続装置１３１は、端末１０１〜１０Ｎが接続されたパケット網と、端末１１１〜１１Ｎが接続されたパケット網と、端末１２１〜１２Ｎが接続されたパケット網との３つ以上のパケット網間に位置し、この複数のパケット網を接続している。端末１０１〜１０Ｎ、端末１１１〜１１Ｎ、端末１２１〜１２Ｎは、パケットをやりとりする前に、信号手順に従って接続を確立する。
【００１９】
ここでは、端末１０１、１０２、１０３がそれぞれ端末１１１にＩＰパケットを送信するものとする。ネットワーク間接続装置１３１にＩＰパケットの特定のヘッダ情報に基づいたＶＬＡＮまたはＡＴＭのスイッチング機能を有するため、図２に示すように、特定の送信元からのパケットの出力先を変更することができる。なお、パケット網はＩＰ網の場合とする。スイッチング機能は、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮにおけるＶＬＡＮ−ＩＤの書き換えでもよいし、ＡＴＭにおけるＶＰＩ値、ＶＣＩ値の書き換えでもよいし、ＥｔｈｅｒｎｅｔまたはＡＴＭの出力先の物理線を変更する機能でもよい（請求項３）。
【００２０】
ネットワーク間接続装置１３１における処理の流れを図３に示す。振り分けリスト３４３は、図４に示すように、ＩＰパケットのヘッダ情報を利用した振り分け対象リストと、ＶＣまたはＶＬＡＮからなる出力先情報の２つを一情報とした検索用リストである。すなわち、図４の例では、ＩＰパケットのヘッダ情報を利用した振り分け対象リストとして、「入力パス、送信元、送信先」からなるリストが挙げられる。また、ＶＣまたはＶＬＡＮからなる出力先情報として、「出力パス」からなるリストが挙げられる（請求項２）。
【００２１】
ネットワーク間接続装置１３１では、端末１０１または１０３から端末１１１に向けたＩＰパケットを受信部３４１にて受け取る。受信部３４１は、このパケットをメイン処理部３４２に送る。メイン処理部３４２において、このパケット内のＩＰパケットのヘッダ情報と、ネットワーク間接続装置１３１が持っている振り分けリスト３４３とを検索し、出力先ＶＬＡＮまたはＶＣを特定し、このパケットのＶＬＡＮ−ＩＤまたはＶＰＩ、ＶＣＩ値に従ったＶＬＡＮパケットまたはＡＴＭセルに分割し、送信部３４４に渡す。送信部３４４において、このパケットまたはこのセルを、この出力先のＶＬＡＮまたはＡＴＭのＶＣに向けて出力する（請求項１）。
【００２２】
端末１０１または１０３からのＩＰパケットが端末１１１に向けたＤｏＳ攻撃である場合、ネットワーク間接続装置１３１内の振り分けリスト３４３に、発信元ＩＰアドレスを振り分け対象リストとして、端末１２１の所属するネットワークを出力先ＶＬＡＮまたは出力先ＶＣとして登録してもよい。なお、入力パスの識別子はスイッチング部３４５がスイッチングを行うときに出力パスの識別子と共に利用する。
【００２３】
すなわち、図４の例では、送信元ＩＰアドレスとして「１０１」および「１０３」を登録し、端末１２１の所属するネットワークの出力先ＶＬＡＮまたは出力先ＶＣとして「＃１５」を登録する。したがって、図４の構成から送信先ＩＰアドレスの項目は省略できる。このとき、当初は、入力パス「＃０１」、送信元「１０１」に対する出力パスは「＃１１」であったものをメイン処理部３４２がＤｏＳ攻撃が行われている状況を検出した時点で出力パス「＃１５」に書き換えている。また、当初は、入力パス「＃０４」、送信元「１０３」に対する出力パスは「＃１１」であったものをメイン処理部３４２がＤｏＳ攻撃が行われている状況を検出した時点で出力パス「＃１５」に書き換えている。これにより、図５に示すように、ＤｏＳ攻撃パケットは、ＤｏＳ攻撃対策ホストである端末１２１に転送され、ＤｏＳ攻撃対象である端末１１１へのＤｏＳ攻撃は回避される。ＤｏＳ攻撃対策ホストの一例を挙げると、大量に送られるＤｏＳ攻撃パケットを廃棄処理する専用の機能を有する装置である。
【００２４】
あるいは、発信元ＩＰアドレスおよび送信先ＩＰアドレスの組を振り分け対象リストとし、端末１２１の所属するネットワークを出力先ＶＬＡＮまたは出力先ＶＣとして登録してもよい。すなわち、図４の例では、発信元ＩＰアドレスとして「１０１」および「１０３」を登録し、送信先ＩＰアドレスとして「１１１」を登録し、端末１２１の所属するネットワークの出力先ＶＬＡＮまたは出力先ＶＣとして「＃１５」を登録してもよい。このように、送信先ＩＰアドレスを併せて登録しておくことにより、ＤｏＳ攻撃対象となる端末の種類に応じてＤｏＳ攻撃対策が異なる場合には、ＤｏＳ攻撃パケットの振り分け先を変更するといった処置も可能となる。
【００２５】
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明のネットワーク間接続装置に相応する機能を実現させるプログラムとして実現することができる（請求項４）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項５）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、受信部３４１、メイン処理部３４２、振り分けリスト３４３、送信部３４４にそれぞれ相応する機能を実現させることができる。
【００２６】
【発明の効果】
以上説明したように、本発明によれば、パケットの送信元情報に基づいて、出力先を切り替えることにより、例えば、ＤｏＳ攻撃またはＤＤｏＳ攻撃のパケットをしかるべき方向に回避させることができる。
【図面の簡単な説明】
【図１】本発明実施形態のネットワーク間接続装置を備えたネットワーク構成を示す図。
【図２】本実施形態のネットワーク間接続装置を用いたＤｏＳ攻撃パケット回避動作を説明するための図。
【図３】本実施形態のネットワーク間接続装置の構成図。
【図４】本実施形態のネットワーク間接続装置における振り分けリストの構成例を示す図。
【図５】本実施形態のネットワーク間接続装置のスイッチング動作を説明するための図。
【符号の説明】
１０１〜１０Ｎ、１２１〜１２Ｎ、１１１〜１１Ｎ  端末
１３１  ネットワーク間接続装置
２４１  正常パケット経路
２４２  ＤｏＳ攻撃パケット経路
３４１  受信部
３４２  メイン処理部
３４３  振り分けリスト
３４４  送信部
３４５  スイッチング部
【図１】
2004363785.tif 000003
【図２】
2004363785.tif 000004
【図３】
2004363785.tif 000005
【図４】
2004363785.tif 000006
【図５】
2004363785.tif 000007