(57)【要約】【課題】様々なタイプのＤｏＳ攻撃を検出する方法、及び、ＣＡにＤｏＳ攻撃のパケットが侵入するのを防ぎ、且つ、ＣＡでメモリ・リークを起こさない規制方法を提供する。【解決手段】ＣＡ１０内に、単独攻撃元からのＤｏＳ攻撃を検出するＤｏＳカウンタと複数攻撃元からのＤｏＳ攻撃を検出するＤＤｏＳカウンタ及びフォーマットやパラメータが異常な不正信号によるＤｏＳ攻撃を検出する不正信号カウンタの３つを設置し、様々なタイプのＤｏＳ攻撃に対応可能とする。また、ＤｏＳ攻撃を検出したなら、ＣＡ１０でロックアウト処理し、さらに攻撃元のＩＰアドレスの情報を攻撃元を収容する加入者ルータ３１、３２、３３に通知し、加入者ルータでフィルタリング規制する。【選択図】        図４
2004320636.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、セッションを制御するセッション制御装置（以下、ＣＡ）に対し、ある攻撃元から機械的に連続送信してＣＡを高負荷にさせ、攻撃元以外の端末のセッション制御処理を不能にさせるＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃におけるＤｏＳ攻撃元検出方法であって、
前記ＣＡに対するＩＰアドレス毎の所定監視期間の端末登録信号または／およびセッション確立要求信号数を第１カウンタによりカウントするステップと、
前記ＣＡに対する端末登録信号または／およびセッション確立要求信号数を第２カウンタによりカウントし、所定監視期間中に予め定めた閾値を超えた場合に第３カウンタを起動するステップと、
前記ＣＡに対するＩＰアドレス毎の、前記第１カウンタの監視期間よりも長い所定監視期間の端末登録信号または／およびセッション確立要求信号数を前記第３カウンタによりカウントするステップと、
前記第１カウンタおよび第３カウンタのいずれかで閾値以上（但し、第１カウンタの閾値＞第３カウンタの閾値）になったＩＰアドレス元をＤｏＳ攻撃元と判断するステップと、
を有することを特徴とするＤｏＳ攻撃元検出方法。
【請求項２】
請求項１に記載のＤｏＳ攻撃元検出方法において、
前記第３カウンタを起動してからＤｏＳ攻撃元を検出するまでの間、セッション確立要求信号の総数を制限するステップを更に有することを特徴とするＤｏＳ攻撃元検出方法。
【請求項３】
ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、ＣＡに対し、ある攻撃元から機械的に連続送信してＣＡを高負荷にさせ、攻撃元以外の端末のセッション制御処理を不能にさせるＤｏＳ攻撃におけるＤｏＳ攻撃元検出方法であって、
前記ＣＡに対するＩＰアドレス毎の所定監視期間の端末登録信号または／およびセッション確立要求信号数を第１カウンタによりカウントするステップと、
前記ＣＡに対するＩＰアドレス毎のある監視期間のフォーマットやパラメータチェックが不正な信号数を第４カウンタによりカウントするステップと、
前記の第１カウンタおよび第４カウンタのいずれかのカウンタで閾値以上になったＩＰアドレス元をＤｏＳ攻撃元と判断するステップと、
を有することを特徴とするＤｏＳ攻撃元検出方法。
【請求項４】
請求項１もしくは２に記載のＤｏＳ攻撃元検出方法において、
前記ＣＡに対するＩＰアドレス毎の所定監視期間のフォーマットやパラメータチェックが不正な信号数を第４カウンタによりカウントするステップを更に有し、
前記第１カウンタ、第３カウンタ、第４カウンタのいずれかのカウンタで閾値以上になったＩＰアドレス元をＤｏＳ攻撃元と判断することを特徴とするＤｏＳ攻撃元検出方法。
【請求項５】
請求項１ないし４のいずれか１項に記載のＤｏＳ攻撃元検出方法を実現する機能を備えることを特徴とするセッション制御装置。
【請求項６】
請求項５に記載のセッション制御装置の機能をコンピュータで実行するためのプログラム。
【請求項７】
請求項５に記載のセッション制御装置の機能をコンピュータで実行するためのプログラムを記録した記録媒体。
【請求項８】
請求項１乃至４のいずれか１項に記載のＤｏＳ攻撃元検出方法においてＤｏＳ攻撃を検出した際に、
ＣＡがセッション制御中のサービスはそのまま処理を継続し、新規のセッション接続要求または端末登録要求はパケット廃棄により拒否するロックアウト処理を行うとともに、ＤｏＳ攻撃元のＩＰアドレス情報をルータ制御装置（以下、ルータＯｐＳ）へ通知するステップと、
前記ルータＯｐＳがＩＰアドレス情報からＤｏＳ攻撃元を収容している加入者ルータを選択し、該加入者ルータに該ＤｏＳ攻撃元からのパケットを廃棄するフィルタリング規制コマンドを配布するステップと、
前記加入者ルータがフィルタリング規制コマンドに従い、ＤｏＳ攻撃元からのパケットを廃棄するステップと、
を有することを特徴とするＤｏＳ攻撃阻止方法。
【請求項９】
請求項８記載のＤｏＳ攻撃阻止方法を実現する機能を備えることを特徴とするルータ制御装置。
【請求項１０】
請求項９に記載のルータ制御装置の機能をコンピュータで実行するためのプログラム。
【請求項１１】
請求項９に記載のルータ制御装置の機能をコンピュータで実行するためのプログラムを記録した記録媒体。
【請求項１２】
請求項１ないし４のいずれか１項に記載のＤｏＳ攻撃元検出方法においてＤｏＳ攻撃を検出した際、
ＣＡが、セッション制御中のサービスはそのまま処理を継続し、新規のセッション接続要求または端末登録要求はパケット廃棄により拒否するロックアウト処理を行うとともに、ＤｏＳ攻撃元のＩＰアドレス情報からＤｏＳ攻撃元を収容している加入者ルータを選択し、該加入者ルータにＤｏＳ攻撃元からのパケットを廃棄するフィルタリング規制コマンドを配布するステップと、
前記加入者ルータがフィルタリング規制コマンドに従いＤｏＳ攻撃元からのパケットを廃棄するステップと、
を有することを特徴とするＤｏＳ攻撃阻止方法。
【請求項１３】
請求項１２に記載のＤｏＳ攻撃阻止方法を実現する機能を備えることを特徴とするセッション制御装置。
【請求項１４】
請求項１３に記載のセッション制御装置の機能をコンピュータで実現するためのプログラム。
【請求項１５】
請求項１３に記載のセッション制御装置の機能をコンピュータで実現するためのプログラムを記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、端末などのある攻撃元からセッション制御を司どるセッション制御装置（ＣＡ：Ｃｏｎｔｒｏｌ  Ａｇｅｎｔ）に機械的に連続してサービス等を要求などすることによりＣＡを高負荷にさせ、攻撃元以外の端末のサービスを不能にさせるいわゆるＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃への対策技術、サイバーテロ防止対策技術に関する。
【０００２】
【従来の技術】
近年、ＩＰ網をコア網としたベアラ・制御分離型のネットワークが提唱されている。これはＩＰ網をコア網とし、制御網はセッション制御・端末制御を行うＣＡで構成し、端末間の制御信号の送受信は必ずＣＡを介して行い、ベアラ網は端末を収容する加入者ルータ及び端末間の音声または画像等のベアラ信号を中継する中継ルータから構成し、セッション確立後の端末間のベアラ信号の送受信はＣＡを介さずにベアラ網で中継する形で行う方式である。ここではＶｏＩＰ（Ｖｏｉｃｅ  Ｏｖｅｒ  ＩＰ）の場合を例にするが。ＣＡのセッション制御により端末間で画像通信を行う場合もＶｏＩＰと同様である。
【０００３】
ベアラ・制御（ＶｏＩＰでは呼制御）分離型のネットワークにおいて、ある特定の端末などの攻撃元からＣＡに機械的に大量のパケットを送信し続けることによりＣＡで攻撃元以外の端末の呼処理制御能力を不能に陥らせる行為（ＤｏＳ攻撃）の対策には、ＤｏＳ攻撃元を検出する方法とＤｏＳ攻撃元を規制する方法に大別される。
【０００４】
ＤｏＳ攻撃元を検出する方法については、従来、ＣＡ内で１端末あたりの単位時間あたりの発呼信号数または端末登録信号数をカウントする１種類のカウンタを用い、閾値以上のものを攻撃元とする方法が提案されている（例えば非特許文献１参照）。この方法の場合、単独攻撃元からのＤｏＳ攻撃（ｓｉｎｇｌｅ  ＤｏＳ攻撃）は検出できるが、複数の攻撃元からＤｏＳ攻撃するＤＤｏＳ攻撃（ＤｉｓｔｒｉｂｕｔｅｄＤｏＳ攻撃）の場合、１つの攻撃元あたりの送出頻度が閾値以下の場合は、攻撃元全体での送出頻度が閾値以上であっても検出できない。また、ＤＤｏＳ攻撃はイベントによるアクセス集中（例：人気イベントのチケット予約）するケースとＤＤｏＳ攻撃と区別がつきづらいため、イベントのためにアクセスをしている全ユーザをＤＤｏＳ攻撃元と見なしてしまう恐れがある。
【０００５】
さらに従来では信号のフォーマットやパラメータに異常のある信号によるＤＳ攻撃を検出するカウンタはないため、このような攻撃を検出することはできなかった。
【０００６】
一方、ＤｏＳ攻撃元を規制する方法については、従来、ＣＡにパケットが入ってくる前にファイヤウォールでＤｏＳ攻撃を検出しパケット廃棄を行う方法が提案されている（例えば非特許文献２参照）。しかし、ファイヤウォールは信号の中身は見ずに廃棄するので、呼接続途中の信号を廃棄した場合は、ＣＡで接続処理が完全に終了せずメモリ・リークを起す恐れがある。
【０００７】
【非特許文献１】
寺山尚宏  外１名、「ＩＰテレフォニー提供時の輻輳制御方式」、
電子情報通信学会ネットワークシステム研究会技術研究報告、
ＮＳ２００１−１４２、Ｐ．７−１２、２００１年１１月１４日発行
【非特許文献２】
ＮＴＴコミュニケーションズＮｅｗｓ  Ｒｅｌｅａｓｅ、ＯＣＮ  ＡＤＳＬサービス（Ａ）における「パーソナルファイアウォールサービス」の提供について、２００２年７月２４日掲載、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｎｔｔ．ｃｏｍ／ｒｅｌｅａｓｅ／２００２ＮＥＷＳ／０００７    ／０７２４．ｈｔｍｌ＞
【０００８】
【発明が解決しようとする課題】
本発明の目的は、ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、ＣＡにてイベントによるアクセス集中とＤＤｏＳ攻撃を区別し、ＤＤｏＳ攻撃だけを検出する方法及びフォーマットやパラメータが異常な不正信号によるＤｏＳ攻撃元を検出する方法、そのＣＡ並びにプログラム、記録媒体を提供することにある。
【０００９】
また、本発明のもう一つの目的は、ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、ＣＡにＤｏＳ攻撃のパケットが侵入することを防ぎ、且つ、ＣＡでメモリ・リークを起さない規制方法、そのルータＯｐＳ及びＣＡ並びにプログラム、記録媒体を提供することにある。
【００１０】
【課題を解決するための手段】
本発明は、ＣＡ内において、単独攻撃元からのＤｏＳ攻撃を検出するカウンタ（Ｓｉｎｇｌｅ  ＤｏＳカウンタ）と複数攻撃元からのＤｏＳ攻撃を検出するカウンタ（ＤＤｏＳカウンタ）及びフォーマットやパラメータが異常な不正信号によるＤｏＳ攻撃を検出する不正信号カウンタの３つを設置し、ＤＤｏＳカウンタは、ＳｉｎｇｌｅＤｏＳカウンタより、監視周期を長くとり且つ、閾値をＳｉｎｇｌｅ  ＤｏＳカウンタより低くすることを主要な特徴とする。この特徴により、様々なタイプのＤｏＳ攻撃に対応可能となる。
【００１１】
なお、検出機能は一部縮退するが、場合によっては不正信号カウンタは省略してもよく、あるいは不正信号カウンタとＳｉｎｇｌｅ  ＤｏＳカウンタの組み合わせとすることも可能である。
【００１２】
また、本発明は、ＤＤｏＳカウンタでＤＤｏＳ攻撃を検出するまでの期間は、呼量規制（単位時間あたりのＣＡに入ってくる総呼数を制限する規制）を掛けることによりＣＡを保護し、さらに対象とする信号はＣＡ（サーバ）が提供するサービスにおけるサービスへの登録信号および／もしくはサービスの開始要求信号に限定することを特徴とする。この特徴により、ＣＡの保護が可能となると共に、サービスの途中でのパケット廃棄を避けることができるようになる。
【００１３】
また、本発明は、Ｓｉｎｇｌｅ  ＤｏＳカウンタ、ＤＤｏＳカウンタおよび不正信号カウンタでＤｏＳ攻撃を検出した後は、ＣＡでのロックアウト処理をするだけではなく、さらに攻撃元のＩＰアドレスの情報を攻撃元を収容する加入者ルータに通知し、加入者ルータでＩＰアドレスフィルタリング（該当ＩＰアドレスからのパケットを廃棄する規制）を行うことを特徴とする。この特徴により、ＣＡにＤｏＳ攻撃のパケットが進入することを未然に防止できる。
【００１４】
【発明の実施の形態】
以下、本発明の一実施の形態について図面を用いて説明する。以下では音声サービス（ＶｏＩＰ）の場合を例に説明するが、ＣＡのセッション制御により端末間で画像通信を行う場合も同様である。
【００１５】
＜ネットワーク構成＞
図１は本発明で前提とするＩＰ網をコア網としたベアラ・制御分離型のネットワークの概念図である。先に述べたように、ＩＰ網をコア網としたベアラ・制御（ＶｏＩＰでは呼制御）分離型のネットワークでは、制御網１は、セッション制御・端末制御を行うセッション制御装置（ＣＡ：Ｃｏｎｔｒｏｌ  Ａｇｅｎｔ）１０で構成され、端末１１、１２間の制御信号の送受信は、必ずＣＡ１０を介して行われる。一方、ベアラ網２は、端末１１、１２を収容する加入者ルータ１３、１４及びベアラ信号（ＶｏＩＰでは音声信号）を中継する中継ルータ１５、１６から構成され、セッション確立後の端末１１、１２間のベアラ信号の送受信は、ＣＡ１０を介さずに、ベアラ網２で中継する形で行われる。
【００１６】
このようなＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、セッションを制御するＣＡ１０に対し、単一あるいは複数の端末などの攻撃元から機械的に連続してサービス等を要求などした場合、ＣＡ１０は高負荷となり、攻撃元以外の例えば端末１１、１２のサービス制御（セッション制御処理）が不能になる。
【００１７】
以下に、本発明によるＤｏＳ攻撃元検出方法及びＤｏＳ攻撃阻止方法の具体的な実施例について詳述する。
【００１８】
＜ＤｏＳ攻撃元検出＞
図２は、本発明によるセッション制御装置（ＣＡ）の一実施例の構成図であり、特にＤｏＳ攻撃検出に関係する部分のみを示す。図２において、不正信号カウンタ１０１はフォーマットやパラメータが異常な不正信号によるＤｏＳ攻撃を検出するための第４のカウンタ、ＤｏＳカウンタ１０２は単独攻撃元からのＤｏＳ攻撃を検出するための第１のカウンタ（Ｓｉｎｇｌｅ  ＤｏＳカウンタ）、呼量カウンタ１０３はＣＡ１０に入ってくる単位時間あたりの総呼数をカウントする第２のカウンタ、ＤＤｏＳカウンタ１０４は複数攻撃元からのＤｏＳ攻撃を検出するための第３のカウンタ（Ｄｉｓｔｒｉｂｕｔｅｄ  ＤｏＳカウンタ）である。ここで、不正信号カウンタ１０１、ＤｏＳカウンタ１０２及びＤＤｏＳカウンタ１０４はＩＰアドレス毎に用意する。また、ＤｏＳカウンタ１０２の監視期間をｔ１、閾値をｖ１、ＤＤｏＳカウンタ１０４の監視期間をｔ２、閾値をｖ２とした場合、ｔ１＜ｔ２、ｖ１＞ｖ２としておく。
【００１９】
信号フォーマット・パラメータチェック部１０５は、ＣＡ１０に入ってきた信号のフォーマット及びパラメータのチェックを行う処理部である。パケット廃棄部１０６は、不正信号カウンタ１０１が所定閾値以下のＩＰアドレスに、該当する不正パケットの廃棄を行う処理部である。呼量規制処理部１０７は、呼量カウンタ１０３が所定閾値以上の場合、呼量規制（セッション確立要求信号等の総数を制限）を行う処理部である。ロックアウト処理部１０８は、不正信号カウンタ１０１、ＤｏＳカウンタ１０２及びＤＤｏＳカウンタ１０４のいずれか一つでも、それが所定閾値以上のＩＰアドレスについて、該当ＩＰアドレスに対しロックアウトを行う処理部であり、ＩＰアドレス通知部１０９は、該当ＩＰアドレスを後述のルータ制御装置（ルータＯｐＳ）に通知する処理部である。呼処理部１１０は、正規の呼について所定の処理を実行する処理部である。
【００２０】
上記各カウンタ１０１〜１０４及び各処理部１０５〜１１０の動作は、制御部１００により制御される。
【００２１】
図３は、ＣＡにおけるＤｏＳ攻撃検出の処理フローチャートである。以下、図３に基づき図２の構成例のＣＡおける動作を説明する。
【００２２】
ＣＡ１０に入ってきた正規呼及びＤｏＳ攻撃呼を含んだ全ての信号は、まず、信号フォーマット・パラメータチェック部１０５で信号のフォーマット及びパラメータのチェックを受ける（Ｓ１１、Ｓ１２）。ＮＧの場合は、不正信号カウンタ１０１において、ＩＰアドレスごとに単位時間あたりの不正信号数をカウントする（Ｓ１８）。ここで、ある閾値以上であれば、不正信号によるＤｏＳ攻撃と見なし、ロックアウト処理部１０８にて該当ＩＰアドレスに対するロックアウト処理を行うとともに、ＩＰアドレス通知部１０９にて該当ＩＰアドレスを外部装置（例えば、後述のルータＯｐＳ）に通知する（Ｓ１９、Ｓ２０）。また、閾値以下であれば、該当パケットの廃棄だけを行う（Ｓ１９、Ｓ２１）。
【００２３】
一方、信号フォーマット・パラメータチェック部１０５でＯＫの場合は、ＤｏＳカウンタ１０２において、ＩＰアドレスごとに単位時間あたりの発呼信号（ＳＩＰの場合、ＩＮＶＩＴＥ信号）または端末登録信号（ＳＩＰの場合、ＲＥＧＩＳＴＥＲ信号）の信号数をカウントする（Ｓ１３）。ここで、閾値以上のＩＰアドレスの場合は、単独攻撃元からのＤｏＳ攻撃と見なし、ロックアウト処理部１０８にて該当ＩＰアドレスに対するロックアウと処理を行うとともに、ＩＰアドレス通知部１０９にて該当ＩＰアドレスを外部装置に通知する（Ｓ１４、Ｓ２０）。
【００２４】
ＤｏＳカウンタ１０２のカウント値が各ＩＰアドレスについて閾値以下の場合、呼量カウンタ１０３ではＣＡ１０に入ってくる単位時間あたりの総呼数（ＳＩＰの場合、ＩＮＶＩＴＥ数またはＲＥＧＩＳＴＥＲ数）をカウントする（Ｓ１５）。ここで、閾値以下であれば、呼処理部１１０において所定の呼処理を実行する（Ｓ１６、Ｓ１７）。
【００２５】
一方、呼量カウンタ１０３が閾値以上の場合は、ＤＤｏＳカウンタ１０４と呼量規制処理部１０７が同時に起動する。呼量規制処理部１０７では、ＣＡ１０の呼量の規制を開始し、輻輳を防止する（Ｓ２２）。ＤＤｏＳカウンタ１０４では、ＤｏＳカウンタ１０２よりも長期の監視期間で且つ低い閾値（通話及び端末登録するのが目的でないほど短い送出間隔で連続的な送信を行った場合の値）で、ＩＰアドレスごとに単位時間あたりの発呼信号または端末登録信号の信号数をカウントする（Ｓ２３）。例えば、ＤｏＳカウンタ１０２の閾値が５０ＩＮＶＩＴＥ／ｓならば、ＤＤｏＳカウンタ１０４の閾値は３０ＩＮＶＩＴＥ／３０ｓとする。
【００２６】
ここで、ＤＤｏＳカウンタ１０４が閾値以下の場合は、呼量規則処理部１０７での呼量規則をそのまま続行する（Ｓ２４、Ｓ２２）。一方、ＤＤｏＳカウンタ１０４が閾値以上のＩＰアドレスがあれば、複数攻撃元からのＤｏＳ攻撃と見なし、呼量規則を解除し（Ｓ２４、Ｓ２５）、ステップＳ２０に進む。先に述べたように、ステップＳ２０では、ロックアウト処理部１０８にて該当ＩＰアドレスに対するロックアウト処理を行うとともに、ＩＰアドレス通知部１０９にて該当アドレスを外部装置（例えば、後述のルータＯｐＳ）に通知する。
【００２７】
＜ＤｏＳ攻撃阻止＞
図４は、本発明によるＤｏＳ攻撃阻止方法の一実施例の概念図、図５は動作シーケンス図である。以下、図４及び図５をもとに本発明によるＤｏＳ攻撃阻止方法の一実施例の動作を説明する。なお、図４、図５では中継ルータは省略してある。
【００２８】
認証サーバ２０では、ユーザ端末が加入者ルータにアクセスし認証する際に、ユーザ端末のＩＰアドレスの情報と加入者ルータのＩＰアドレスの情報を収集している。ルータ制御装置（ルータＯｐＳ）３０は、一般に加入者ルータや中継ルータの保守制御を司るが、ここでは、セッション制御装置（ＣＡ）１０から、該ＣＡ１０で検出したＤｏＳ攻撃端末（図４では３１、３２、３３）のＩＰアドレス情報の通知を受けると、認証サーバ２０にアクセスし、ＤｏＳ攻撃端末のＩＰアドレス情報からそれを収容している加入者ルータ（図４では３４、３５、３６）のＩＰアドレスを検索し、該当の加入者ルータ３４、３５、３６に対して、ＤｏＳ攻撃端末（厳密にはＤｏＳ攻撃端末のＩＰアドレス）からのパケットを規制するＩＰアドレスフィルタリングのコマンドを配布するようにする。加入者ルータ３４、３５、３６は、ルータＯｐＳ３０から規政コマンドを受信すると、該当ＤｏＳ攻撃端末３４、３５、３６からのパケットを規制するＩＰフィルタリング規制を実施する。
【００２９】
先に述べたように、ＣＡ１０でＤｏＳ攻撃を検出した場合、まず、ＣＡ１０では攻撃元に対するロックアウト処理を行う。これにより、ＣＡ１０にＤｏＳ攻撃元から発呼信号または端末登録信号が入ってきても処理されないため、ＣＡ１０の負荷は軽減される。ただし、この時点ではＤｏＳ攻撃元からのパケットの廃棄処理の負荷は残ったままである。
【００３０】
次に、ＣＡ１０は、攻撃元のＩＰアドレス情報をルータＯｐＳ３０に通知する。ルータＯｐＳ３０では攻撃元のＩＰアドレス情報から認証サーバ２０を使って攻撃元を収容する加入者ルータのＩＰアドレスを検索する。そしてルータＯｐＳ３０該当は加入者ルータに対して攻撃元からのパケットを規制するＩＰフィルタリング規制コマンドを配布し、加入者ルータがＤｏＳ攻撃元のＩＰフィルタリング規制を実行する。これにより、ＣＡにＤｏＳ攻撃のパケットが侵入することが未然に防げる。
【００３１】
図６は本発明によるルータ制御装置（ルータＯｐＳ）３０の一実施例の構成図である。本ルータＯｐＳ３０は、ＣＡからＤｏＳ攻撃端末などのＤｏＳ攻撃元のＩＰアドレスを受信するＣＡ通知受信部３０１、認証サーバ２０を使って、ＤｏＳ攻撃元を収容する加入者ルータのＩＰアドレスを検索する認証サーバ検索部３０２、検索結果の加入者ルータに対して規制コマンドを配布する規制コマンド配信部３０３、及び、これら各部３０１、３０２、３０３の動作を制御する制御部３００から構成される。なお、ルータＯｐＳ３０は、ルータ保守等のための本来の処理手段も備えているが、ここでは省略してある。
【００３２】
図７は、本ルータＯｐＳ３０の処理フローチャートである。ＣＡ通知受信部３０１が、ＣＡ１０からＤｏＳ攻撃端末などのＤｏＳ攻撃元のＩＰアドレスを受信すると（Ｓ３１）、認証サーバ検索部３０２を起動する。認証サーバ検索部３０２は、認証サーバ２０に対しＤｏＳ攻撃元のＩＰアドレスを送信して、当該ＤｏＳ攻撃元の端末等を収容している加入者ルータのＩＰアドレスの検索要求を行い、その応答として認証サーバ２０から、ＤｏＳ攻撃元のＩＰアドレスと該当加入者ルータのＩＰアドレスとの対応を取得する（Ｓ３２）。規制コマンド配信部３０３は、認証サーバ検索部３０２による検索結果の加入者ルータＩＰアドレスをもとに、該当加入者ルータに対して、ＤｏＳ攻撃元の端末等からのパケットを規制するＩＰフィルタリング規制コマンドを配布する（Ｓ３３）。
【００３３】
上述の実施例は、ルータＯｐＳ３０がＣＡ１０からＤｏＳ攻撃元端末等のＩＰアドレス情報の通知を受けて、該ルータＯｐＳ３０から該当の加入者ルータに対してＤｏＳ攻撃端末等からのパケットを規制するコマンドを配布する方式であったが、ＣＡ１０に上記ルータＯｐＳ３０と同様の機能を実装することにより、直接ＣＡ１０が認証サーバ２０を使って、ＤｏＳ攻撃端末等を収容する加入者ルータに対して規制コマンドを配布することが可能である。図８に本実施例の動作シーケンス図を示す。
【００３４】
図８の場合、ＣＡ１０は、ＤｏＳ攻撃を検出すると、攻撃元に対するロックアウト処理を行うとともに、該ＣＡ１０みずから、攻撃元のＩＰアドレス情報から認証サーバ２０を使って攻撃元を収容する加入者ルータのＩＰアドレスを検索する。そして、該ＣＡ１０みずから、該当加入者ルータに対して攻撃元からのパケットを規制するＩＰフィルタリング規制コマンドを配布する。本実施例によれば、ルータＯｐＳ３０が介在しないため、該当加入者ルータにおいて、より迅速に攻撃元からのパケットを規制することが可能になる。
【００３５】
本実施例のＣＡ１０の構成は、先の図２の構成に図６の認証サーバ検索部３０２及び規制コマンド配信部３０３を追加すればよく、図示は省略する。また、処理フローは、先の図３において、ステップＳ２０中の「ＩＰアドレス通知」をなくし、かわりに該ステップＳ２０の下に図７のステップＳ３２、Ｓ３３を追加すればよく、同様に図示は省略する。
【００３６】
また、いずれの実施例の場合も、ルータＯｐＳ３０あるいはＣＡ１０が端末ＩＰアドレスと加入者ルータＩＰアドレスの対応表を所持していれば、これまで述べたような認証サーバ２０を検索する処理は不要である。
【００３７】
なお、図２や図６で示したＣＡ、ルータＯｐＳにおける各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図３や図７で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。
【００３８】
【発明の効果】
本発明によれば、ＤＤｏＳカウンタで長期的に監視することにより、通話及び端末登録するのが目的でない連続的な送信かどうかがわかるのでＤＤｏＳ攻撃なのかイベントによるアクセス集中かの区別がつきＤＤｏＳ攻撃だけを検出できる利点がある。また、ＤＤｏＳ攻撃検出までに受ける攻撃については呼量規制を行うことにより、暫定的にＣＡを攻撃から保護することができる。次に不正信号カウンターを設置することによりフォーマットやパラメータが異常な不正信号によるＤｏＳ攻撃を検出できる利点もある。
【００３９】
また、本発明によれば、ＣＡで最初にロックアウトを行うことによりメモリ・リークを起さずにＤｏＳ攻撃からＣＡを保護することができる。ただし、この時点ではＣＡのパケット廃棄処理の負荷が残るが、加入者ルータでＣＡで検出した攻撃元のＩＰアドレスの情報からＩＰフィルタリング規制を掛けることにより、ＣＡに攻撃元からのパケットが入ってくることがないため、ＣＡはパケット廃棄処理の負荷から解放できる利点がある。また攻撃元のパケットだけを廃棄するため、他のユーザはＤｏＳ攻撃の影響を受けずＶｏＩＰを行うことができる。
【図面の簡単な説明】
【図１】本発明で前提とするベアラ・制御分離型のネットワークの概念図である。
【図２】本発明のＤｏＳ攻撃元検出方法を実現するセッション制御装置（ＣＡ）の一実施例の構成図である。
【図３】図２のＣＡの処理フローチャートである。
【図４】本発明によるＤｏＳ攻撃阻止方法の一実施例の概念図である。
【図５】図４の実施例の動作シーケンス図である。
【図６】本発明のＤｏＳ攻撃阻止方法を実現するルータ制御装置（ルータＯｐＳ）の一実施例の構成図である。
【図７】図６のルータＯｐＳの処理フローチャートである。
【図８】本発明によるＤｏＳ攻撃阻止方法の別の実施例の動作シーケンス図である。
【符号の説明】
１    制御網
２    ベアラ網
１０    セッション制御装置（ＣＡ）
１１、１２  端末
１３、１４、３４、３５、３６  加入者ルータ
１５、１６  中継ルータ
２０  認証ルータ
３０  ルータ制御装置（ルータＯｐＳ）
３１、３２、３３  ＤｏＳ攻撃端末
１００  制御部
１０１  不正信号カウンタ
１０２  ＤｏＳカウンタ
１０３  呼量カウンタ
１０４  ＤＤｏＳカウンタ
１０５  信号フォーマット・パラメータチェック部
１０６  パケット廃棄部
１０７  呼量規制処理部
１０８  ロクアウト処理部
１０９  ＩＰアドレス通知部
１１０  呼処理部
３００  制御部
３０１  ＣＡ通知受信部
３０２  認証サーバ検索部
３０３  規制コマンド配信部
【図１】
2004320636.tif 000003
【図２】
2004320636.tif 000004
【図３】
2004320636.tif 000005
【図４】
2004320636.tif 000006
【図５】
2004320636.tif 000007
【図６】
2004320636.tif 000008
【図７】
2004320636.tif 000009
【図８】
2004320636.tif 000010