(57)【要約】【課題】送信元アドレスが偽造されないＤｏＳ攻撃を回避し、攻撃パケットによる影響を攻撃元に近い局所に限定し、ネットワーク全体への悪影響を抑制する。【解決手段】ネットワークを複数のゾーンに分割し、各ゾーンには、ゾーンマネージャを配置し、このゾーンマネージャは、自ゾーン内の複数のルータ一括管理する。さらに、これらのゾーンマネージャを連携させるためコーディネータを設置する。ゾーンがＤｏＳ攻撃を受けると、同ゾーンのゾーンマネージャが攻撃パケットの発信源アドレスと宛先アドレスとを抽出し、コーディネータ経由で攻撃者を収容するゾーンマネージャに、攻撃パケットフィルタリングの依頼を行い、攻撃パケットに対する上流でのフィルタリングを実現させる。【選択図】  図１
2004363915.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークが複数のゾーンに分割され、この複数のゾーンにはそれぞれ、
自ゾーン内におけるＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃の発生を監視する手段と、
この監視する手段の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出する手段と、
この抽出する手段により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出する手段と、
フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定する手段と
を備えたゾーンマネージャを設け、
前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索する手段と、
この検索する手段により検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示する手段と
を備えたコーディネータを設けた
ことを特徴とするＤｏＳ攻撃対策システム。
【請求項２】
前記抽出する手段は、前記攻撃パケットからその宛先アドレスの情報も併せて抽出する手段を備え、
前記フィルタリング依頼を送出する手段は、この抽出する手段により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する手段を備え、
前記コーディネータは、
前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定する手段と、
この判定する手段の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する手段と
を備えた請求項１記載のＤｏＳ攻撃対策システム。
【請求項３】
ネットワークが複数のゾーンに分割され、この複数のゾーンにそれぞれ設けられ、
自ゾーン内におけるＤｏＳ攻撃の発生を監視する手段と、
この監視する手段の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出する手段と、
この抽出する手段により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出する手段と、
フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定する手段と
を備えたことを特徴とするゾーンマネージャ。
【請求項４】
前記抽出する手段は、前記攻撃パケットからその宛先アドレスの情報も併せて抽出する手段を備え、
前記フィルタリング依頼を送出する手段は、この抽出する手段により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する手段を備えた
請求項３記載のゾーンマネージャ。
【請求項５】
ゾーン単位にＤｏＳ攻撃を検出し、ＤｏＳ攻撃が検出されたときには、攻撃パケットのフィルタリング依頼を送出するゾーンマネージャからの前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索する手段と、
この検索する手段により検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示する手段と
を備えたことを特徴とするコーディネータ。
【請求項６】
前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定する手段と、
この判定する手段の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する手段と
を備えた請求項５記載のコーディネータ。
【請求項７】
情報処理装置にインストールすることにより、その情報処理装置に、ネットワークが複数のゾーンに分割され、この複数のゾーンにそれぞれ設けられたゾーンマネージャに相応する機能を実現させるプログラムであって、
自ゾーン内におけるＤｏＳ攻撃の発生を監視する機能と、
この監視する機能の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出する機能と、
この抽出する機能により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出する機能と、
フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定する機能と
を実現させることを特徴とするプログラム。
【請求項８】
前記抽出する機能として、前記攻撃パケットからその宛先アドレスの情報も併せて抽出する機能を実現させ、
前記フィルタリング依頼を送出する機能として、この抽出する機能により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する機能を実現させる
請求項７記載のプログラム。
【請求項９】
情報処理装置にインストールすることにより、その情報処理装置に、コーディネータに相応する機能を実現させるプログラムであって、
ゾーン単位にＤｏＳ攻撃を検出し、ＤｏＳ攻撃が検出されたときには、攻撃パケットのフィルタリング依頼を送出するゾーンマネージャからの前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索する機能と、
この検索する機能により検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示する機能と
を実現させることを特徴とするプログラム。
【請求項１０】
前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定する機能と、
この判定する機能の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する機能と
を実現させる請求項９記載のプログラム。
【請求項１１】
請求項７ないし１０のいずれがに記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。
【請求項１２】
ネットワークを複数のゾーンに分割し、この複数のゾーンにそれぞれ設けられたゾーンマネージャにより、
自ゾーン内におけるＤｏＳ攻撃の発生を監視するステップと、
この監視するステップの監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出するステップと、
この抽出するステップにより抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出するステップと、
フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定するステップと
を実行し、
前記複数のゾーンマネージャを一括管理するコーディネータにより、
前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索するステップと、
この検索するステップにより検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示するステップと
を実行する
ことを特徴とするＤｏＳ攻撃対策方法。
【請求項１３】
前記抽出するステップとして、前記攻撃パケットからその宛先アドレスの情報も併せて抽出するステップを実行し、
前記フィルタリング依頼を送出するステップとして、この抽出するステップにより抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出するステップを実行し、
前記コーディネータにより、
前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定するステップと、
この判定するステップの判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否するステップと
を実行する請求項１２記載のＤｏＳ攻撃対策方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、帯域消費型ＤｏＳ攻撃の防御に有効な方法に関するものである。帯域消費型ＤｏＳ攻撃（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  攻撃：サービス拒否攻撃）とは、インターネット等で不特定多数のユーザ（送信元）に公開されたサーバ（送信先）に対して、不正な通信パケットを大量に送ることにより、送信先の通信帯域を消費する等の悪影響を与え、その送信先への他の送信元からのアクセスを困難にする、あるいは、その送信先の機能を停止させる攻撃である。
【０００２】
【従来の技術】
従来、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）などのネットワークプロトコルは、オープンとなっており、互いに信用されるグループで使われるように設計されている。このため、コンピュータのオペレーティングシステムでは、複数の端末から大量の通信トラヒック（データ等）をサーバに送信することによって、ネットワークの帯域を消費して正当な利用者の利用を妨げようとする帯域消費型ＤｏＳ（サービス不能）攻撃（以下、「ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃と記す」を防ぐことは考慮されていない。
【０００３】
このＤｏＳ攻撃に対する防御の方法としては、シスコ社が提案したＩｎｇｒｅｓｓ  Ｆｉｌｔｅｒ（例えば、非特許文献１参照）がある。これはＤｏＳ攻撃の際に良く使われる送信元アドレスの詐称をチェックする機構であり、ローカルエリアネットワークがインターネットに接続されている境界であるルータにインストールされ、ローカルエリアネットワークからインターネットに向かって送信されるパケットの送信元アドレスの正統性をチェックし、ローカルエリアネットワークに割り当てられたアドレスと整合していない場合には、そのパケットをインターネットに送信せずに破棄する。
【０００４】
【非特許文献１】
ＩＥＴＦ  ＲＦＣ２２６７
【０００５】
【発明が解決しようとする課題】
上述した非特許文献１に記載されているＩｎｇｒｅｓｓ  Ｆｉｌｔｅｒは、送信元アドレスを詐称してＤｏＳ攻撃をすることを禁止するための技術であり、攻撃を受ける側が防御するために使う技術ではない。また、正しいＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスが送信元になっているＩＰパケットによる攻撃にはまったく対処できない。
【０００６】
本発明は、このような背景に行われたものであって、送信元アドレスが偽造されないＤｏＳ攻撃を回避することができ、また、攻撃パケットによる影響を攻撃元に近い局所に限定し、ネットワーク全体への悪影響を抑制することができ、また、依頼元と関係のないトラヒックをフィルタするなどの不正行為を防ぐことができるＤｏＳ攻撃対策システムおよび方法を提供することを目的とする。
【０００７】
【課題を解決するための手段】
本発明は、ネットワークを複数のゾーンに分割し、各ゾーンには、ゾーンマネージャを配置し、このゾーンマネージャは、自ゾーン内の複数のルータ一括管理する。さらに、これらのゾーンマネージャを連携させるためコーディネータを設置する。
【０００８】
ゾーンがＤｏＳ攻撃を受けると、同ゾーンのゾーンマネージャが攻撃パケットの発信源アドレスを抽出し、コーディネータ経由で攻撃者を収容するゾーンマネージャに、攻撃パケットフィルタリングの依頼を行い、攻撃パケットに対する上流でのフィルタリングを実現させる。
【０００９】
なお、ゾーンマネージャは、攻撃パケットの宛先アドレスも併せて抽出し、これをフィルタリング依頼に含ませることにより、コーディネータは、ゾーンマネージャからのパケットフィルタリングの依頼を処理する際、フィルタ対象パケットの宛先は、依頼元のゾーンであるか否か判断することができる。これにより、例えば、不正なフィルタリング依頼が行われた場合には、これを見破ることができ、不正なフィルタリングが行われることを回避できる。
【００１０】
すなわち、本発明の第一の観点は、ＤｏＳ攻撃対策システムであって、本発明の特徴とするところは、ネットワークが複数のゾーンに分割され、この複数のゾーンにはそれぞれ、自ゾーン内におけるＤｏＳ攻撃の発生を監視する手段と、この監視する手段の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出する手段と、この抽出する手段により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出する手段と、フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定する手段とを備えたゾーンマネージャを設け、前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索する手段と、この検索する手段により検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示する手段とを備えたコーディネータを設けたところにある（請求項１）。
【００１１】
また、前記抽出する手段は、前記攻撃パケットからその宛先アドレスの情報も併せて抽出する手段を備え、前記フィルタリング依頼を送出する手段は、この抽出する手段により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する手段を備え、前記コーディネータは、前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定する手段と、この判定する手段の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する手段とを備えることができる（請求項２）。
【００１２】
本発明の第二の観点は、ゾーンマネージャであって、本発明の特徴とするところは、ネットワークが複数のゾーンに分割され、この複数のゾーンにそれぞれ設けられ、自ゾーン内におけるＤｏＳ攻撃の発生を監視する手段と、この監視する手段の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出する手段と、この抽出する手段により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出する手段と、フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定する手段とを備えたところにある（請求項３）。
【００１３】
また、前記抽出する手段は、前記攻撃パケットからその宛先アドレスの情報も併せて抽出する手段を備え、前記フィルタリング依頼を送出する手段は、この抽出する手段により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する手段を備えることができる（請求項４）。
【００１４】
本発明の第三の観点は、コーディネータであって、本発明の特徴とするところは、ゾーン単位にＤｏＳ攻撃を検出し、ＤｏＳ攻撃が検出されたときには、攻撃パケットのフィルタリング依頼を送出するゾーンマネージャからの前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索する手段と、この検索する手段により検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示する手段とを備えたところにある（請求項５）。
【００１５】
また、前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定する手段と、この判定する手段の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する手段とを備えることができる（請求項６）。
【００１６】
本発明の第四の観点は、情報処理装置にインストールすることにより、その情報処理装置に、ネットワークが複数のゾーンに分割され、この複数のゾーンにそれぞれ設けられたゾーンマネージャに相応する機能を実現させるプログラムであって、本発明の特徴とするところは、自ゾーン内におけるＤｏＳ攻撃の発生を監視する機能と、この監視する機能の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出する機能と、この抽出する機能により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出する機能と、フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定する機能とを実現させるところにある（請求項７）。
【００１７】
また、前記抽出する機能として、前記攻撃パケットからその宛先アドレスの情報も併せて抽出する機能を実現させ、前記フィルタリング依頼を送出する機能として、この抽出する機能により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する機能を実現させることができる（請求項８）。
【００１８】
あるいは、本発明のプログラムは、情報処理装置にインストールすることにより、その情報処理装置に、コーディネータに相応する機能を実現させるプログラムであって、ゾーン単位にＤｏＳ攻撃を検出し、ＤｏＳ攻撃が検出されたときには、攻撃パケットのフィルタリング依頼を送出するゾーンマネージャからの前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索する機能と、この検索する機能により検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示する機能とを実現させることを特徴とする（請求項９）。
【００１９】
また、前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定する機能と、この判定する機能の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する機能とを実現させることができる（請求項１０）。
【００２０】
本発明の第五の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項１１）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００２１】
これにより、情報処理装置を用いて、送信元アドレスが偽造されないＤｏＳ攻撃を回避することができ、また、攻撃パケットによる影響を攻撃元に近い局所に限定し、ネットワーク全体への悪影響を抑制することができ、また、依頼元と関係のないトラヒックをフィルタするなどの不正行為を防ぐことができるＤｏＳ攻撃への対策システムを実現することができる。
【００２２】
本発明の第六の観点は、ＤｏＳ攻撃対策方法であって、本発明の特徴とするところは、ネットワークを複数のゾーンに分割し、この複数のゾーンにそれぞれ設けられたゾーンマネージャにより、自ゾーン内におけるＤｏＳ攻撃の発生を監視するステップと、この監視するステップの監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出するステップと、この抽出するステップにより抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出するステップと、フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定するステップとを実行し、前記複数のゾーンマネージャを一括管理するコーディネータにより、前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャを検索するステップと、この検索するステップにより検索された前記ゾーンマネージャに対して前記攻撃パケットのフィルタリングを指示するステップとを実行するところにある（請求項１２）。
【００２３】
また、前記抽出するステップとして、前記攻撃パケットからその宛先アドレスの情報も併せて抽出するステップを実行し、前記フィルタリング依頼を送出するステップとして、この抽出するステップにより抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出するステップを実行し、前記コーディネータにより、前記フィルタリング依頼を受信してフィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否か判定するステップと、この判定するステップの判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否するステップとを実行することができる（請求項１３）。
【００２４】
【発明の実施の形態】
本発明実施形態のＤｏＳ攻撃対策システムを図１ないし図６を参照して説明する。図１は本実施形態を説明するためのネットワーク例を示す図である。図２は本実施形態のゾーンマネージャからコーディネータへのフィルタリングの依頼手順を示すフローチャートである。図３は本実施形態のコーディネータにおけるゾーンマネージャからのフィルタリング依頼の処理手順を示すフローチャートである。図４は本実施形態のコーディネータの構成図である。図５は本実施形態のゾーンマネージャに対するコーディネータのフィルタリング指示の処理手順を示すフローチャートである。図６は本実施形態のゾーンマネージャの構成図である。
【００２５】
本発明実施形態のＤｏＳ攻撃対策システムは、図１に示すように、ネットワークが複数のゾーン１０１〜１０４（Ａ〜Ｄ）に分割され、この複数のゾーン１０１〜１０４にはそれぞれ、図６に示すように、自ゾーン内におけるＤｏＳ攻撃の発生を監視するＤｏＳ攻撃監視部６０１と、このＤｏＳ攻撃監視部６０１の監視により自ゾーン内におけるＤｏＳ攻撃が検出されたときには、攻撃パケットからその発信源アドレスを含む情報を抽出するパケット情報抽出部６０２と、このパケット情報抽出部６０２により抽出された前記攻撃パケットの発信源アドレスの情報を含む前記攻撃パケットのフィルタリング依頼を送出するフィルタリング依頼送出部６０３と、フィルタリング指示を受けると自ゾーン内のルータに対して前記攻撃パケットのフィルタリングを設定するフィルタリング設定部６０４とを備えたゾーンマネージャ１０５〜１０８を設け、図４に示すように、前記フィルタリング依頼を受信して前記攻撃パケットの発信源アドレスが属するゾーンの前記ゾーンマネージャ１０５〜１０８を検索するゾーン情報部４０４と、このゾーン情報部４０４により検索されたゾーンマネージャ１０５〜１０８に対して前記攻撃パケットのフィルタリングを指示する指示部４０２とを備えたコーディネータ１２２を設けたことを特徴とする（請求項１〜６）。
【００２６】
また、パケット情報抽出部６０２は、前記攻撃パケットからその宛先アドレスの情報も併せて抽出し、フィルタリング依頼送出部６０３は、このパケット情報抽出部６０２により抽出された前記攻撃パケットの宛先アドレスの情報も併せて前記フィルタリング依頼を送出する。
【００２７】
これに対し、コーディネータ１２２は、フィルタリング対象の攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであるか否かを依頼確認部４０３により判定し、受付部４０１は、この依頼確認部４０３の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンでなければ前記依頼を拒否する。また、受付部４０１は、この依頼確認部４０３の判定結果により前記攻撃パケットの宛先アドレスが当該フィルタリング依頼の依頼元のゾーンであれば前記依頼を受け付ける。
【００２８】
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明のＤｏＳ攻撃対策システムにおけるゾーンマネージャ１０５〜１０８およびコーディネータ１２２に相応する機能を実現させるプログラムとして実現することができる（請求項７〜１０）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項１１）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、受付部４０１、指示部４０２、依頼確認部４０３、ゾーン情報部４０４、ＤｏＳ攻撃監視部６０１、パケット情報抽出部６０２、フィルタリング依頼送出部６０３、フィルタリング設定部６０４にそれぞれ相応する機能を実現させることができる。
【００２９】
次に、本発明実施形態について図面を参照して説明する。図１は本実施形態を説明するためのネットワーク例である。ネットワーク１００はバックボーンネットワークである。１０１のゾーンＡ、１０２のゾーンＢ、１０３のゾーンＣ、１０４のゾーンＤは、４つの異なるネットワークサービス提供者によって所有されているネットワークを示している。１０５、１０６、１０７、１０８のゾーンマネージャは、それぞれのゾーンに存在するルータにフィルタリングルールの設定を行う役割を果たす。１０９、１１０のルータはゾーンＡの中に存在し、１１１、１１２、１１３のルータはゾーンＢの中に存在し、１１４、１１５、１１６のルータはゾーンＣの中に存在し、１１７、１１８、１１９のルータはゾーンＤの中に存在する。コーディネータ１２２は各ゾーンマネージャと暗号化されたチャネルで通信を行う。攻撃者によって操作された複数のホスト１２０は、攻撃パケットを標的サーバ１２１に向かって送信している。
【００３０】
図２はゾーンマネージャからコーディネータへフィルタリングの依頼をする手順である（請求項１２、１３）。まず、ステップ２０１において、市販ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ：侵入検知システム）を用いて受信トラヒックを監視する。ステップ２０２でＤｏＳ攻撃は発生しているか否か判断する。この判断の結果として、発生していない場合にはステップ２０２からステップ２０１へ戻る。つまり、ＤｏＳ攻撃発生の判断を繰り返す。つまり、ＤｏＳ攻撃発生の判断を繰り返す。ＤｏＳ攻撃が発生する場合、ステップ２０３に進み、発信源アドレスと、宛先アドレスと、プロトコル種類を含めた攻撃パケット情報を抽出する。ステップ２０４では、この攻撃パケットの情報を含めたフィルタリング依頼をコーディネータ１２２へ送信する。ステップ２０５でコーディネータ１２２からの返事を受けるとこの依頼手順を終了する。
【００３１】
図３は本発明の技術を適用したコーディネータ１２２に対するゾーンマネージャ１０５〜１０８からのフィルタリング依頼の処理手順である（請求項１２、１３）。まず、ステップ３０１において、ゾーンマネージャからの依頼を受け付ける。ステップ３０２では、フィルタ対象のパケットは宛先アドレスが依頼元のゾーンマネージャの所管するものか否か確認する。ステップ３０３で依頼元の所管アドレスか否か判断する。この判断の結果として、依頼元の所管アドレスではない場合、ステップ３０８に進み、依頼元のゾーンマネージャへの返事として依頼を拒否し、依頼処理を終了する。ステップ３０３で、依頼元の所管アドレスの場合、ステップ３０４でフィルタ対処のパケットの発信源アドレスを収容するゾーンマネージャについて検索する。ステップ３０５では、攻撃パケットの情報をフィルタ対処のパケットの発信源アドレスを収容するゾーンマネージャに送信し、フィルタリングの指示をする。ステップ３０６では、フィルタ対処のパケットの発信源アドレスを収容するゾーンマネージャからの返事を受ける。ステップ３０７では、依頼元のゾーンマネージャへ結果を返事し、依頼処理を終了する。
【００３２】
図４は本実施形態のコーディネータの構成図である。図示するように、コーディネータは、受付部４０１と、指示部４０２と、依頼確認部４０３と、ゾーン情報部４０４の各機能部を備え、図３の処理手順を行う。受付部４０１は、ステップ３０１と、ステップ３０８と、ステップ３０７とを実行し、依頼確認部４０３は、ステップ３０２と、ステップ３０３と、ステップ３０４とを実行する。ゾーン情報部４０４は、ステップ３０２と、ステップ３０４とで、依頼確認部４０３に情報を提供する。指示部４０２は、ステップ３０５を実行する。
【００３３】
図５は、ゾーンマネージャに対するコーディネータからのフィルタリング指示の処理手順である（請求項１２、１３）。まず、ステップ５０１において、コーディネータからフィルタリング指示を受ける。ステップ５０２では、同ゾーンに収容されるルータへフィルタリングルールを設定する。ステップ５０３では、コーディネータへ結果を返事し、本処理手順を終了する。
【００３４】
図６は本実施形態のゾーンマネージャの構成図である。図示するように、ゾーンマネージャは、ＤｏＳ攻撃監視部６０１と、パケット情報抽出部６０２と、フィルタリング依頼送出部６０３と、フィルタリング設定部６０４の各機能部を備え、図２および図５の処理手順を行う。ＤｏＳ攻撃監視部６０１は、ステップ２０１、２０２とを実行し、パケット情報抽出部６０２は、ステップ２０３を実行し、フィルタリング依頼送出部６０３は、ステップ２０４と、ステップ２０５とを実行し、フィルタリング設定部６０４は、ステップ５０１〜５０３を実行する。
【００３５】
【発明の効果】
以上説明したように、本発明によれば、送信元アドレスが偽造されないＤｏＳ攻撃を回避することができ、また、攻撃パケットによる影響を攻撃元に近い局所に限定し、ネットワーク全体への悪影響を抑制することができ、また、依頼元と関係のないトラヒックをフィルタするなどの不正行為を防ぐことができる。
【図面の簡単な説明】
【図１】本実施形態を説明するためのネットワーク例を示す図。
【図２】本実施形態のゾーンマネージャからコーディネータへのフィルタリングの依頼手順を示すフローチャート。
【図３】本実施形態のコーディネータにおけるゾーンマネージャからのフィルタリング依頼の処理手順を示すフローチャート。
【図４】本実施形態のコーディネータの構成図。
【図５】本実施形態のゾーンマネージャに対するコーディネータのフィルタリング指示の処理手順を示すフローチャート。
【図６】本実施形態のゾーンマネージャの構成図。
【符号の説明】
１００  ネットワーク
１０１  ゾーンＡ
１０２  ゾーンＢ
１０３  ゾーンＣ
１０４  ゾーンＤ
１０５  ゾーンマネージャＡ
１０６  ゾーンマネージャＢ
１０７  ゾーンマネージャＣ
１０８  ゾーンマネージャＤ
１０９〜１１９  ルータ
１２０  ホスト（攻撃者）
１２１  標的サーバ
１２２  コーディネータ
２０１〜２０５、３０１〜３０８、５０１〜５０３  ステップ
４０１  受付部
４０２  指示部
４０３  依頼確認部
４０４  ゾーン情報部
６０１  ＤｏＳ攻撃監視部
６０２  パケット情報抽出部
６０３  フィルタリング依頼送出部
６０４  フィルタリング設定部
【図１】
2004363915.tif 000003
【図２】
2004363915.tif 000004
【図３】
2004363915.tif 000005
【図４】
2004363915.tif 000006
【図５】
2004363915.tif 000007
【図６】
2004363915.tif 000008