(57)【要約】【課題】ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能なゲートウェイを提供する。【解決手段】ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを拒否するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備える。【選択図】        図１
2004343580.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行うＳＩＰメッセージ送受信手段と、
ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行うアドレス変換手段と、
ＳＩＰメッセージ内に記述されたＲＴＰ用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行うＦｉｒｅｗａｌｌ制御手段とを備えるゲートウェイであって、
ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、
前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備えることを特徴とするゲートウェイ。
【請求項２】
ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でＳＩＰメッセージの送受信を行うノード装置であって、
前記ノード装置は、請求項１に記載のゲートウェイを備えることを特徴とするノード装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ゲートウェイに係り、特に、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信の提供を可能にするＳＩＰアプリケーションレベルゲートウェイに関する。
【０００２】
【従来の技術】
インターネット上での攻撃で代表的なものとして、ＤｏＳ（Ｄｅｎｉａｌ  Ｏｆ  Ｓｅｒｖｉｃｅ：サービス拒否）攻撃がある。
このＤｏＳ攻撃は、インターネット上の各種サーバに対して大量の（無意味な）サービス接続要求を送り付け、サーバの負荷を高めて、サーバを過負荷でダウンさせたり、ほかの正当なユーザーへのサービスを妨げたりする攻撃である。
このＤｏＳ攻撃は、ファイアウォールを設置し、通過が許可されていないパケットを破棄することで防ぐことが可能である（例えば、非特許文献参照）。
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【特許文献１】
特開２００２−１５８６９９号公報
「ＤｏＳ攻撃防止方法および装置およびシステムおよび記憶媒体」
【０００４】
【発明が解決しようとする課題】
前述したように、ＤｏＳ攻撃は、ファイアウォールにより、通過が許可されていないパケットを破棄することで防ぐことが可能である。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号である５０６０［ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ），ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ），ＳＣＴＰ（Ｓｔｒｅａｍ  Ｃｏｎｔｒｏｌ  Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｐｒｏｔｏｃｏｌ）］や５０６１［ＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）］であれば通過を許容する場合、悪意を持ったユーザがＳＩＰメッセージを大量に送信することで、ＳＩＰメッセージを処理するシステムを過負荷によりサービスが停止してしまうことになる。
本発明は、このような課題を解決するものであって、本発明の目的は、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能なゲートウェイを提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【０００５】
【課題を解決するための手段】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
即ち、本発明は、複数の端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行うＳＩＰメッセージ送受信手段と、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行うアドレス変換手段と、ＳＩＰメッセージ内に記述されたＲＴＰ用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行うＦｉｒｅｗａｌｌ制御手段とを備えるゲートウェイであって、ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、  前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備えることを特徴とする。
また、本発明は、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でＳＩＰメッセージの送受信を行うノード装置であって、前記ノード装置が、前述のゲートウェイを備えることを特徴とする。
【０００６】
本発明によれば、ゲートウェイの稼動状況を収集し、ゲートウェイの稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を破棄するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付けるようにしたので、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ゲートウェイのシステムダウンを発生させずに、ゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することが可能となる。
【０００７】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
なお、実施の形態を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
同図に示すように、本実施の形態のＳＩＰアプリケーションレベルゲートウェイは、ＳＩＰメッセージ送受信機能１０と、受信信号選択機能１１と、システム稼動状況収集機能１２と、アドレス変換機能１３と、Ｆｉｒｅｗａｌｌ制御機能１４とを備える。
ＳＩＰメッセージ送受信機能１０は、複数のＩＰ端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行う。
アドレス変換機能１３は、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行う。
Ｆｉｒｅｗａｌｌ制御機能１４は、ＳＩＰメッセージ内に記述されたＲＴＰ（Ｒｅａｌ−ｔｉｍｅ  Ｔｒａｎｓｐｏｒｔ  Ｐｒｏｔｏｃｏｌ）用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行う。
【０００８】
受信信号選択機能１１と、システム稼動状況収集機能１２とは、本発明の特徴とする機能であり、システム稼動状況収集機能１２は、ゲートウェイの稼動状況を収集する。
また、受信信号選択機能１１は、ゲートウェイの稼動状況がある一定レベルを超える状態にある場合には、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）は拒否するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付ける。
また、ゲートウェイの稼動状況がある一定レベル以下の場合には、全ての新規のＳＩＰメッセージを受け付ける。
【０００９】
図２は、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
同図において、ＳＩＰ−ＡＬＧは、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するノード装置であり、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でのＳＩＰメッセージの送受信を行う。
図２において、ノード装置（ＳＩＰ−ＡＬＧ）に収容されるＩＰ端末（Ｔ１）とＩＰ端末（Ｔ２）とはＩＰ網（Ｎ１）に、ＩＰ端末（Ｔ３）とＩＰ端末（Ｔ４）とはＩＰ網（Ｎ２）に属している。
また、ＩＰ網（Ｎ１）と、ＩＰ網（Ｎ２）とは、それぞれ異なったＩＰアドレス体系のＩＰ網である。
従来技術では、例えば、ＩＰ端末（Ｔ３）のユーザが悪意を持ったユーザであって、ノード装置（ＳＩＰ−ＡＬＧ）にＳＩＰメッセージを大量に送付し、ノード装置（ＳＩＰ−ＡＬＧ）の処理能力を圧迫させるＤｏＳ攻撃を防ぐために、ノード装置（ＳＩＰ−ＡＬＧ）の前後にファイアウォールを設置する。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号（ＵＤＰ，ＴＣＰ，ＳＣＴＰなら５０６０、ＴＬＳなら５０６１）であれば通過を許可する場合には、ＳＩＰメッセージによるＤｏＳ攻撃を防ぐことができない。
【００１０】
本実施の形態は、このような状況を解決するもので、図３を用いて詳細に説明する。
図３は、図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
始めに、ノード装置（ＳＩＰ−ＡＬＧ）は、ＩＰ端末（Ｔ１）からのＳＩＰメッセージを受信すると、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況（ＣＰＵ使用率やロードアベレージ等）を照会する（ステップ３０１）。
次に、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えているかを判定し（ステップ３０２）、ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていないと判定された場合には、ステップ３０５ヘ進む。
ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていると判定された場合には、受信したＳＩＰメッセージの種類を識別する（ステップ３０３）。
【００１１】
ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）以外の、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）であれば、ステップ３０５に進む。
また、ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）であれば、一定の比率（例えば、５回に１回など）で、受信した新規のＳＩＰメッセージを受け付ける（ステップ３０４）。
ステップ３０４において、受け付けを拒否した場合には、ＩＰ端末（Ｔ１）に、“４０３等のエラーメッセージ”を通知する。
ステップ３０３において、受信した新規のＳＩＰメッセージを受け付けた場合にはステップ３０５に進む。
ステップ３０５では、アドレス変換機能によりＳＩＰメッセージ内のＩＰアドレスを送信先のＩＰ端末（Ｔ３）のＩＰアドレス体系へ変換する（ステップ３０５）。
次に、ＳＩＰメッセージ内のＩＰアドレス情報でＦｉｒｅｗａｌｌ制御機能１４により、ファイアウォールを開閉し（ステップ３０６）、ＳＩＰメッセージをＩＰ端末（Ｔ３）に送信する（ステップ３０７）。
【００１２】
なお、前述の説明では、ＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）へのＳＩＰメッセージ送信時について述べたが、ＩＰ端末（Ｔ３）からＩＰ端末（Ｔ１）への逆方向の通信や他のＩＰ端末（Ｔ２，Ｔ４）とのＳＩＰメッセージ送受信についても同様である。
以上説明したように、本実施の形態では、ＳＩＰアプリケーションレベルゲートウェイの稼動状況がある一定レベルを超える状態にあるときに、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を破棄するとともに、セッション継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）を受け付ける。
これにより、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ＳＩＰアプリケーションレベルゲートウェイのシステムダウンを発生させずに、ＳＩＰアプリケーションレベルゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することができる。
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００１３】
【発明の効果】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
【図２】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
【図３】図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
【符号の説明】
１０…ＳＩＰメッセージ送受信機能、１１…受信信号選択機能、１２…システム稼動状況収集機能、１３…アドレス変換機能、１４…Ｆｉｒｅｗａｌｌ制御機能、ＳＩＰ−ＡＬＧ…ノード装置、Ｔ１〜Ｔ４…ＩＰ端末、Ｎ１，Ｎ２…ＩＰ網。
【図１】
2004343580.tif 000003
【図２】
2004343580.tif 000004
【図３】
2004343580.tif 000005