(57)【要約】【課題】パケット処理装置が正常に機能しないように大量のパケットを短時間に送り付けるようなＤｏＳ攻撃を受けても、防御対象のパケット処理装置がシステムダウンを起こすことなく稼動し続けることが可能なＤｏＳ攻撃防御方法及び装置を提供する。【解決手段】防御対象のパケット処理装置が処理すべきパケットを一時的にするためのメモリのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積し、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積する。【選択図】      図１
2004248198.tif 000002
【特許請求の範囲】
【請求項１】
防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるか否かを監視する第１ステップと、
該パケット蓄積量が該所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積する第２ステップと、
該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積する第３ステップと、
を備えたことを特徴とするＤｏＳ攻撃防御方法。
【請求項２】
請求項１において、
該所定の間引条件は、蓄積すべきパケット量の受信パケット量に対する比率を該パケット処理装置の処理能力に応じて定めたものであることを特徴とするＤｏＳ攻撃防御方法。
【請求項３】
防御すべきパケット処理装置が処理すべきパケットを一時的にメモリに蓄積するパケット蓄積部と、
該メモリのパケット蓄積量が該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるか否かを監視する蓄積量監視部と、
該パケット蓄積量が該所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積するように判定すると共に、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように判定するパケット判定部と、
を備えたことを特徴とするＤｏＳ攻撃防御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＤｏＳ攻撃防御方法及び装置に関し、特にパケット処理装置が正常に機能することを妨げるように大量のパケットを短時間に送信するようなＤｏＳ攻撃に対する防御方法及び装置に関する。
【０００２】
【従来の技術】
従来より、自己の装置を外部からの不正アクセスから保護するためには、ファイアウォールが使われて来た。ファイアウォールは、インターネットのような公のネットワークと自己のネットワークとの境界に設置する装置であり、▲１▼侵入してくるパケットに対して送信元ＩＰアドレスや、トランスポート層に属するプロトコルの種類（ＴＣＰ，ＵＤＰ等）やポート番号をキーとして、設定したものを通さない（あるいは設定したもののみを通す）ようにするものや、▲２▼ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｏｒ）機能を持ち、自己のネットワーク内の装置のＩＰアドレスを外部に見せないようにするものが知られている。
【０００３】
上記▲１▼のようなファイアウォールを設置すれば、プロトコルやポート番号を指定することにより自己が必要とするパケットのみを通過させることができる。また、悪意があると判断した装置のＩＰアドレスを指定することによりそのＩＰアドレスを持つ装置からのアクセスを拒絶したり、逆にアクセスを許可した装置のＩＰアドレスのみ指定することにより素性の知れない他者からのアクセスから自己の装置を防御することができる。
【０００４】
また、上記▲２▼のようなファイアウォールでは、ＮＡＴ機能により攻撃対象の装置のＩＰアドレスを隠蔽することが可能であるため、不正アクセスから自己の装置を防御することができる。
上記のファイアウォールの例として、不正侵入の検知をパケットから判断し、不正侵入が有った場合、不正侵入を防止する対策を取る侵入検知装置（例えば、特許文献１参照。）がある。
【０００５】
また、複数の送信元から攻撃対象の送信先へ一斉にパケットを送信するＤＤｏｓ（Ｄｉｓｔｒｉｂｕｔｅｄ−ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃などの不正アクセスの侵入を自動的かつ高精度に検出できる侵入検出装置（例えば、特許文献２参照。）もある。
さらには、外部ネットワークから企業内情報ネットワークへの不正アクセスを検出し、不正パケットの送信元探知を可能とするネットワーク監視システム（例えば、特許文献３参照。）もある。
【０００６】
【特許文献１】
特開２００２−７３４３３号公報（要約、図４）
【０００７】
【特許文献２】
特開２００２−２５２６５４号公報（要約、図７）
【０００８】
【特許文献３】
特開２０００−２６１４８３号公報（要約、図１）
【０００９】
【発明が解決しようとする課題】
上記の従来のファイアウォールにおいて、ＩＰアドレスやトランスポート層に属するプロトコルの種類（ＴＣＰ，ＵＤＰ等）やポート番号をキーとしてフィルタリングする機能や、不正アクセスを検知又は検出する機能は、不正アクセスの攻撃パターンを想定した対処療法的な防御である。従って、将来、新しい攻撃パターンが出てきた際に防御し切れないことが予想され、対応が後手に回る可能性がある。
【００１０】
また、ＮＡＴ機能を用いた自己のＩＰアドレスを隠蔽することは、攻撃そのものをなくすことができ大変有効であるが、例えば、モバイルＩＰ（ＭｏｂｉｌｅＩＰ）を実現するシステムを構成する装置の１つであるホームエージェントのように、外部からアクセスされることが本来の機能実現に必要であるような装置ではＮＡＴ機能は使用できない。
【００１１】
一般的なホームエージェントは、モバイルノードと呼ばれる移動端末より定期的に送られてくる位置情報を蓄積し、モバイルノードの本来の位置（ホームアドレス（Ｈｏｍｅ  Ａｄｄｒｅｓｓ）と呼ばれる）に送られて来たパケットを取り込み、現在のモバイルノードの位置（気付アドレス（Ｃａｒｅ  ｏｆＡｄｄｒｅｓｓ）と呼ばれる）に転送して受信できるようにする機能を持つ。
【００１２】
このように、ホームエージェントにおいては、モバイルノードからの位置情報を受取ること、すなわち外部から自身宛に送信されたパケットを受信することが機能を満たす上で必須であることから、外部からの攻撃については十分考慮する必要がある。
【００１３】
ホームエージェントにファイアウォールを用いる場合、まず一方では、ＩＰアドレスを指定してガードを掛けることについて、以下のような問題が考えられる。
（１）ホームエージェントとして、サービス対象の装置からのパケットは受信できることを保証しなければならないため、例えばキャリアがモバイルＩＰサービスを実施したような場合、顧客として登録されたＩＰアドレスについては、その顧客が悪意のあるユーザであることが判明するまでは受信しなければならない。このため、異常なパケットを送付することによりその顧客が悪意のあるユーザであると判明した時点では、既にシステムダウンが引き起こされている可能性がある。
【００１４】
（２）また、善良な顧客のＩＰアドレスであっても、装置の誤作動や誤設定により必要なパケットに混じって不要なパケットが送出されてしまう可能性があるが、この場合には、ＩＰアドレスを指定して全てのパケットを遮断してしまうのは過剰防御となる可能性がある。
【００１５】
（３）また、複数の装置が共謀して不要なパケットを大量に送り付けるような、上記のＤＤｏｓ攻撃を受けた場合にはＩＰアドレスをキーにした防御方法では対処しきれない可能性がある。
また、他方では、ホームエージェントに対して上記のファイアウォールにおける、ＩＰアドレスやトランスポート層に属するプロトコルの種類（ＴＣＰ，ＵＤＰ等）やポート番号をキーとして、フィルタリングする機能についてはある程度有効であり、通常のサーバに対する攻撃と同程度の攻撃に対しては防御機能を働かせることができる。
【００１６】
しかしながら、ホームエージェントにおいては、少なくともモバイルノードが位置情報を報告するパケットについては受信することが必要であるため、このようなパケットについては、プロトコルやポート番号を指定してガードをかけることができない。従って、ガードが掛かっていないプロトコルやポート番号を使用して不正アクセスが行われる可能性が高い。
【００１７】
すなわち、ホームエージェントは、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃と呼ばれる、ある種のパケットを大量に送り付けることによって攻撃対象の装置が正常に機能することを妨害するような攻撃について、防御力が特に弱いと言える。
ＤｏＳ攻撃をしかける攻撃者の目的が攻撃対象の装置のシステムダウンであることを考慮すると、逆に、攻撃を受ける側はシステムダウンの防止が最重要課題である。
【００１８】
従って、本発明は、パケット処理装置が正常に機能しないように大量のパケットを短時間に送り付けるようなＤｏＳ攻撃を受けても、防御対象のパケット処理装置がシステムダウンを起こすことなく稼動し続けることが可能なＤｏＳ攻撃防御方法及び装置を提供すること目的とする。
【００１９】
【課題を解決するための手段】
上記の目的を達成するため、本発明に係るＤｏＳ攻撃防御方法は、防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるか否かを監視する第１ステップと、該パケット蓄積量が該所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積する第２ステップと、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積する第３ステップと、を備えたことを特徴としている。
【００２０】
すなわち、防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリのパケット蓄積量について、該パケット処理装置の処理能力の限界を越えないように所定の閾値を定めておくことにより、該パケット蓄積量が該所定の閾値未満であるか否かを第１ステップで監視する。該第１ステップによる監視の結果、該パケット蓄積量が該所定の閾値未満であるときは、第２ステップにより全ての受信パケットが該メモリに蓄積され、該パケット蓄積量が該所定の閾値以上であるときは、第３ステップにより、所定の間引条件に基づいて該受信パケットが破棄され、破棄されなかった該受信パケットのみが該メモリに蓄積される。
【００２１】
該メモリのパケット蓄積量が該所定の閾値以上となる状態は、防御対象のパケット処理装置の処理能力の限界が近いこと、すなわち、システムダウンの危険性が高まっていることを意味する。このような状況においては、所定の間引条件に基づいて、該処理能力に見合った量に相当する一部のパケットのみ該メモリに蓄積するため、防御対象のパケット処理装置の処理能力の限界を超える量のパケットを受信することを防止することができる。
【００２２】
従って、悪意のあるユーザからの意図的なＤｏＳ攻撃ばかりでなく、誤動作や誤設定に起因して実質的にＤｏＳ攻撃と同様な影響を及ぼす可能性のあるパケットの大量流入（頻度異常）に対し、該パケット処理装置のシステムダウンを回避することが可能となる。
【００２３】
また、上記のＤｏＳ攻撃防御方法は、防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリにおける該パケットの全送信元アドレスのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように各送信元アドレス毎のパケット蓄積量に対して設定された所定の閾値未満であるか否かを監視する第１ステップと、該所定の閾値未満になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを全て該メモリに蓄積する第２ステップと、該所定の閾値以上になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを、該処理能力に応じた所定の間引条件に基づいて破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積する第３ステップと、を備えてもよい。
【００２４】
すなわち、防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリのパケット蓄積量について、該パケット処理装置の処理能力の限界を越えないように各送信元アドレス毎のパケット蓄積量に対して所定の閾値を定めておくことにより、該パケットの全送信元アドレスのパケット蓄積量が該所定の閾値未満であるか否かを第１ステップで監視する。
【００２５】
該第１ステップによる監視の結果、該パケット蓄積量が該所定の閾値未満になっている送信元アドレスからの全ての受信パケットは、第２ステップにより該メモリに蓄積され、該パケット蓄積量が該所定の閾値以上になっている送信元アドレスからの受信パケットは、第３ステップにより所定の間引条件に基づいて破棄され、破棄されなかった該受信パケットのみが該メモリに蓄積される。
【００２６】
このように、間引き処理の対象を、パケット蓄積量が所定の閾値以上になっている送信元アドレスからの受信パケットに限定すれば、該パケット処理装置のシステムダウンを回避しつつ、正常な受信パケットを間引いてしまうことの弊害を低減することができる。
【００２７】
また、上記の所定の間引条件は、蓄積すべきパケット量の受信パケット量に対する比率を該パケット処理装置の処理能力に応じて定めたものでもよい。
すなわち、該所定の間引条件は、受信パケット量と蓄積するべきパケット量の比率を、例えば５：１とする。
【００２８】
この比率の求め方は、パケット処理装置の処理能力をＡ（パケット／秒）、受信パケットの最大受信量をＢ（パケット／秒）、メモリに蓄積されるパケット量をＢ’（パケット／秒）としたとき、Ｂ’＜Ａとなるように定めればよい。
例えば、受信パケットＣ個につき１個だけメモリに蓄積する場合、Ｂ／Ｃ＝Ｂ’であるので、Ｂ／Ｃ＜Ａとなり、Ｃ＞Ｂ／Ａとなるような値を設定すればよい。
【００２９】
これにより、受信パケットが一定の割合で間引かれ、防御すべきパケット処理装置の処理能力に見合った量のパケットだけがメモリに蓄積されるため、システムダウンを回避することができる。
また、上記の所定の間引条件は、１回に該メモリへの蓄積を許可するパケット量と該蓄積の許可を与える時間間隔とを該パケット処理装置の処理能力に応じて定めたものでもよい。
【００３０】
すなわち、該所定の間引条件は、１回に該メモリへの蓄積を許可するパケット量を例えば１個に定め、該蓄積の許可を与える時間間隔を例えば１００ｍｓｅｃに定めたものである。
この場合、時間間隔をＤ（秒）、一回に許可するパケット量をＥ（個）とすると、メモリに蓄積されるパケット量Ｂ’＝Ｅ／Ｄであるので、Ｅ／Ｄ＜Ａとなるような値を設定すればよい。
【００３１】
これにより、受信したパケットが一定の時間間隔で間引かれ、防御すべきパケット処理装置の処理能力に見合った量のパケットだけがメモリに蓄積されるため、システムダウンを回避することができる。
また、上記の所定の間引条件は、所定のセキュリティ機能によって保護されたパケットのみの蓄積を許可するように定めたものでもよい。
【００３２】
すなわち、該所定の間引条件は、例えばＩＰＳｅｃのような所定のセキュリティ機能によって保護されたパケットのみの蓄積を許可するように定めたものである。
これにより、所定のセキュリティ機能によって保護されているか否かの条件に基づいて受信したパケットが間引かれ、防御すべきパケット処理装置の処理能力に見合った量のパケットだけがメモリに蓄積されるため、システムダウンを回避することができる。
【００３３】
また、上記所定の間引条件が、該受信パケットを全て破棄するという条件であってもよい。
すなわち、上記の第３ステップでは、該閾値以上になっている該パケット蓄積量に対応した送信元アドレスからの全受信パケットを破棄する。
【００３４】
このように、ＤｏＳ攻撃をしかけた送信元アドレスからのパケットを全て破棄するという比較的単純な間引き条件によって、システムダウンを回避することができる。
また、上記の目的を達成するため、本発明に係るＤｏＳ攻撃防御装置は、防御すべきパケット処理装置が処理すべきパケットを一時的にメモリに蓄積するパケット蓄積部と、該メモリのパケット蓄積量が該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるか否かを監視する蓄積量監視部と、該パケット蓄積量が該所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積するように判定すると共に、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように判定するパケット判定部と、を備えたことを特徴としている。
【００３５】
図１は、本発明に係るＤｏＳ攻撃防御装置の原理を説明するための図であり、ホームエージェント１００のパケット処理部４０を防御するために図示の如く配置されたパケット蓄積部１０、蓄積量監視部２０、及びパケット判定部３０が本発明に係るＤｏＳ攻撃防御装置を構成している。
【００３６】
すなわち、パケット蓄積部１０は、防御すべきパケット処理装置（同図の例ではパケット処理部４０）が処理すべきパケットを一時的にメモリ（図示せず）に蓄積する。蓄積量監視部２０は、該パケット蓄積部１０がメモリに蓄積したパケット蓄積量を該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値と比較することによって監視する。
【００３７】
また、パケット判定部３０は、受信パケットをメモリに蓄積すべきか破棄すべきかを判定するものであり、該パケット蓄積量が該所定の閾値未満であるときは、全ての受信パケットを該メモリに蓄積するように判定すると共に、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように判定する。
【００３８】
これにより、該パケット蓄積量が該所定の閾値以上となる状態においては、所定の間引条件に基づいて、該処理能力に見合った量に相当する一部のパケットのみ該メモリに蓄積するため、防御対象のパケット処理装置の処理能力の限界を超える量のパケットを受信することを防止することができる。
【００３９】
従って、悪意のあるユーザからの意図的なＤｏＳ攻撃ばかりでなく、誤動作や誤設定に起因して実質的にＤｏＳ攻撃と同様な影響を及ぼす可能性のあるパケットの大量流入（頻度異常）に対し、該パケット処理装置のシステムダウンを回避することが可能となる。
【００４０】
また、上記のＤｏＳ攻撃防御装置は、防御すべきパケット処理装置が処理すべきパケットを一時的にメモリに蓄積するパケット蓄積部と、該メモリにおける該パケットの全送信元アドレスのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように各送信元アドレスのパケット蓄積量に対して設定された所定の閾値未満であるか否かを監視する蓄積量監視部と、該所定の閾値未満になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを全て該メモリに蓄積するように判定すると共に、該所定の閾値以上になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを、該処理能力に応じた所定の間引条件に基づいて破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように判定するパケット判定部と、を備えてもよい。
【００４１】
また、上記の所定の間引条件は、蓄積すべきパケット量の受信パケット量に対する比率を該パケット処理装置の処理能力に応じて定めたものでもよく、１回に該メモリへの蓄積を許可するパケット量と該蓄積の許可を与える時間間隔とを該パケット処理装置の処理能力に応じて定めたものでもよい。
【００４２】
また、上記の所定の間引条件は、所定のセキュリティ機能によって保護されたパケットのみの蓄積を許可するように定めたものでもよい。
また、上記の所定の間引条件は、該受信パケットを全て破棄するという条件でもよい。
【００４３】
【発明の実施の形態】
図２は、本発明に係るＤｏＳ攻撃防御方法及び装置をホームエージェントに適用した実施例を示したものである。
同図に示したホームエージェント１００は、ＬＡＮカード等のＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）で構成されるネットワークインタフェース部２００と、通常のサーバやパーソナルコンピュータで構成される本体３００と、これらを接続するＰＣＩバス４００とで構成されている。
【００４４】
ネットワークインタフェース部２００は、ネットワークからのパケットを受信するパケット受信部５０とネットワークにパケットを送信するパケット送信部６０とを有し、パケット受信部５０とパケット送信部６０との間には、受信したパケットの扱いを判定するパケット判定部３０及びバッファリング機能を有するパケット蓄積部１０が接続されている。
【００４５】
また、パケット判定部３０には、送信元ＩＰアドレス（モバイルノード）毎のパケットの扱い方を記録した検索可能なメモリであるＣＡＭ（内容呼出メモリ：ｃｏｎｔｅｎｔａｄｄｒｅｓｓａｂｌｅ  ｍｅｍｏｒｙ）  ７０が接続されている。このＣＡＭ  ７０は、バインディングキャッシュと呼ばれるモバイルノードの位置情報も記録している。
【００４６】
また、パケット蓄積部１０には、受信パケットの実際の格納先であるメモリ８０が接続されている。
さらに、パケット蓄積部１０とパケット判定部３０の間には、蓄積量監視部２０が接続されている。
【００４７】
一方、本体３００には、受信したパケットの処理を行うパケット処理部４０が配置されている。
動作において、パケット受信部５０は、物理インタフェース（図示せず）を制御し、モバイルノード（図示せず）から送信されて来たパケットを受信し、パケット判定部３０に送る。パケット判定部３０は、受信パケットのヘッダをチェックし、送信元アドレス、宛先アドレス等などの情報を抽出し、これらの情報に基づいてＣＡＭ７０を検索する。
【００４８】
パケット判定部３０は、ＣＡＭ  ７０の検索結果に基づき、受信パケットを破棄すべきか、パケット処理部４０に渡して処理すべきか、或いは転送すべきか等の扱いを判定し、さらに、パケット処理部４０に渡して処理すべきと判定したパケットについては、蓄積量監視部２０から与えられる状態表示信号Ｉに基づき、システムダウンを回避するための間引き処理を行う。
【００４９】
なお、この間引き処理の詳細についてはパケット判定部３０の実施例（１）〜（６）として後述する。
パケット蓄積部１０は、パケット判定部３０からの受信パケットを、本体３００のパケット処理部４０が処理すべきものと、そのまま転送すべきものとに分けて、それぞれに対応したメモリ８０内のバッファリング領域に蓄積する。
【００５０】
蓄積量監視部２０は、パケット蓄積部１０がメモリ８０に蓄積したパケット蓄積量を所定の閾値と比較し、パケット蓄積量が所定の閾値未満であるか否かを示す状態表示信号Ｉをパケット判定部３０に与える。
パケット処理部４０は、パケット蓄積部１０によってメモリ８０に蓄積されたパケットを順次処理し、必要に応じて送信パケットをパケット送信部６０に与える。
【００５１】
パケット送信部６０は、パケット処理部４０から与えられた送信パケットと、転送するためにパケット蓄積部１０から与えられるパケットを多重化し、物理インタフェース（図示せず）を制御して送信する。
本実施例では、パケット処理部４０が処理すべきパケットを大量に送り付けるようなＤｏＳ攻撃からホームエージェント１００を防御し、システムダウンを回避する。このため、パケット処理部４０の処理能力に応じて、以下に図３〜図８を用いて説明する６通りのパケット判定部３０の実施例（１）〜（６）のいずれか１つ又は２つ以上の組合せにより、受信パケットの間引き処理を行う。
【００５２】
なお、パケット判定部３０の各実施例（１）〜（６）に関する以下の説明において言及する「受信パケット」は、特段の断りが無い限り、パケット処理部４０が処理すべき受信パケットを意味するものとする。すなわち、以下の説明における受信パケットには、図２を参照して説明したパケット判定部３０の動作において、受信パケットのヘッダの情報からＣＡＭ７０を参照することよって破棄又は転送することが判定された受信パケットは含まれていないものとする。
【００５３】
以下に説明するパケット判定部３０の実施例（１）〜（６）において、実施例（１）〜（３）は、蓄積量監視部２０が、パケットの送信元アドレスに拘らずパケット処理部４０が処理すべき受信パケットとしてメモリ８０に蓄積されたパケットの蓄積量を監視する場合の実施例である。
【００５４】
また、実施例（４）〜（６）は、蓄積量監視部２０が、パケット処理部４０が処理すべき受信パケットとしてメモリ８０に蓄積されたパケットの蓄積量をパケットの送信元アドレス毎に監視する場合の実施例である。
パケット判定部３０の実施例（１）：図３
図３は、パケット判定部３０の実施例（１）として、受信パケットの数を制限する場合を示したものである。このパケット判定部３０は、図示の如く通過制御部３１と通過数管理部３２とを有している。
【００５５】
通過数管理部３２には、蓄積量監視部２０から状態表示信号Ｉ１が常時与えられている。この状態表示信号Ｉ１は、パケット蓄積部１０によってメモリ８０に蓄積されたパケットの蓄積量が所定の閾値未満であるか否かを示すものである。
通過数管理部３２は、状態表示信号Ｉ１により、パケットの蓄積量が増加して所定の閾値を越えたことを検知した時点から、再びパケットの蓄積量が所定の閾値未満に戻ったことを状態表示信号Ｉ１が示すまでの間、受信パケットの通過を上述のように一定の割合（例えば５：１）で許可するように通過制御部３１に指示を与えることにより、受信パケットの間引きを行う。
【００５６】
すなわち、受信パケットの間引きを行う場合、通過数管理部３２は、受信パケットのカウントＣに対して、例えば５：１の割合で不許可及び許可の信号を通過制御部３１に与える。通過制御部３１は、許可の信号を受けたときのみ受信パケットをパケット蓄積部１０に通過させ、不許可の信号を受けている間は受信パケットを破棄する。
【００５７】
受信パケットの通過を許可する割合（上記の例では５：１）は、固定値を設定してもよく、パケット処理部４０の処理能力が変動するような場合には、処理能力に応じて随時変更できるようにしてもよい。
同様に、パケット蓄積量を監視するための上記の所定の閾値についても、パケット処理部４０の処理能力に応じて随時変更可能にしてもよい。
【００５８】
パケット判定部３０の実施例（２）：図４
図４は、パケット判定部３０の実施例（２）として、受信パケットの通過を時間で制限する場合を示したものである。このパケット判定部３０は、図示の如く通過制御部３１とタイマ部３３とを有している。
【００５９】
実施例（２）では、上記の実施例（１）における通過数管理部３２の代わりにタイマ部３３に、蓄積量監視部２０からの状態表示信号Ｉ１が与えられている。
タイマ部３３は、状態表示信号Ｉ１により、パケットの蓄積量が増加して所定の閾値を越えたことを検知した時点から、再びパケットの蓄積量が所定の閾値未満に戻ったことを状態表示信号Ｉ１が示すまでの間、受信パケットの通過を時間及び１回に通過を許可するパケット数で制限することにより、受信するパケットの間引きを行う。
【００６０】
すなわち、受信パケットの間引きを行う場合、タイマ部３３は、計時を開始してから所定の時間は不許可の信号を通過制御部３１に与え、所定の時間経過後に許可の信号を通過制御部３１に与えるようにする。
通過制御部３１は、不許可の信号を受けている間は受信パケットを破棄し、許可の信号を受けたときのみ予め定められた数だけ受信パケットをパケット蓄積部１０に通過させると共に通過通知Ｎをタイマ部３３に与える。
【００６１】
タイマ部３３では、通過制御部３１からの通過通知Ｎにより、再び計時を開始し、以降、タイマ部３３からの不許可及び許可の信号に基づく通過制御部３１によるパケットの破棄及び通過の動作と、通過制御部３１からの通過通知Ｎに基づくタイマ部３３による計時の動作とが繰り返される。
【００６２】
受信パケットの通過を不許可とする所定の時間及び１回に通過を許可するパケット数はそれぞれ固定値として設定してもよく、パケット処理部４０の処理能力が変動するような場合には、処理能力に応じて随時変更できるようにしてもよい。
パケット判定部３０の実施例（３）：図５
図５は、パケット判定部３０の実施例（３）として、受信パケットの中、ＩＰｓｅｃで保護されたパケットのみを通過させるように制限する場合を示したものである。このパケット判定部３０は、図示の如く通過制御部３１を有しており、蓄積量監視部２０からの状態表示信号Ｉ１が通過制御部３１に直接与えられている点が、上記の実施例（１）及び（２）とは異なっている。
【００６３】
また、実施例（３）における通過制御部３１は、パケット分析機能を有するものとし、状態表示信号Ｉ１により、パケットの蓄積量が所定の閾値未満から以上に変化したこと検知した時点から、再びパケットの蓄積量が所定の閾値未満になったことを状態表示信号Ｉ１が示すまでの間、パケットのＩＰヘッダにＩＰｓｅｃで保護されていることを示す拡張ヘッダであるＡＨ又はＥＳＰが付加されているか否かを分析し、拡張ヘッダが付加されているパケットのみの通過を許可することにより、受信するパケットの間引きを行う。
【００６４】
すなわち、通過制御部３１は、拡張ヘッダが付加されていない受信パケットを破棄し、拡張ヘッダが付加されている受信パケットのみをパケット蓄積部１０に通過させる。
ＩＰｓｅｃで保護されているパケットは、自装置との間でＩＰｓｅｃを解く鍵を交換し合っている信頼性の高い相手装置から送信された優先度の高いパケットであると見做すことができるため、受信パケットの優先度を考慮した間引きを行うことができる。
【００６５】
また、受信パケットがＩＰｓｅｃで保護されていても、鍵を交換し合っていない相手装置からのパケットである場合には、ＩＰｓｅｃ処理部（図示せず）で破棄されるため、自装置に悪影響を及ぼさない。
パケット判定部３０の実施例（４）：図６
図６は、パケット判定部３０の実施例（４）として、間引き処理をする際に、受信パケットの中、特定のＩＰアドレスからの受信パケットを破棄するように制限する場合を示したものである。
【００６６】
同図に示す実施例（４）のパケット判定部３０は、図５に示した実施例（３）のパケット判定部３０と同様に、パケット分析機能を有する通過制御部３１を有している。
但し、実施例（４）では、実施例（３）と異なり、通過制御部３１には、状態表示信号Ｉ１の代わりに、ＩＰアドレス毎のパケット蓄積量の状態を示す状態表示信号Ｉ２が蓄積量監視部２０から与えられる。
【００６７】
この、状態表示信号Ｉ２は、本実施例（４）だけでなく、後述するパケット判定部３０の実施例（５）及び（６）にも共通するものであり、パケット蓄積部１０によってメモリ８０に蓄積されたパケットの蓄積量について、送信元ＩＰアドレス毎のパケット蓄積量が所定の閾値未満であるか否かをパケットの送信元ＩＰアドレス毎に示すものである。
【００６８】
すなわち、実施例（４）〜（６）においては、蓄積量監視部２０は、パケット蓄積部１０によってメモリ８０に蓄積されたＩＰアドレス毎のパケット蓄積量が所定の閾値未満であるか否かを状態表示信号Ｉ２として出力する。
実施例（４）では、状態表示信号Ｉ２によって、ＩＰアドレス毎に、パケット蓄積量が所定の閾値を越えたことを検知した時点から、再び所定の閾値未満に戻ったことを指定状態表示信号Ｉ２が示すまでの間、対象となるＩＰアドレスからの受信パケットを全て破棄することにより、受信するパケットの間引きを行う。
【００６９】
パケット判定部３０の実施例（５）：図７
図７は、パケット判定部３０の実施例（５）として、間引き処理をする際に、状態表示信号Ｉ２によって、ＩＰアドレス毎のパケット蓄積量が所定の閾値を越えていることが確認されたＩＰアドレスからの受信パケットについて、実施例（１）と同様に数を制限する場合を示したものである。
【００７０】
図７に示した実施例（５）のパケット判定部３０は、図３に示した実施例（１）と同様に通過制御部３１と通過管理部３２とによって構成されているが、通過制御部３１がパケット分析機能を有している点と、蓄積量監視部２０から通過管理部３２に与えられる信号がＩＰアドレス毎のパケット蓄積量の状態を示す状態表示信号Ｉ２である点とが実施例（１）とは異なっている。
【００７１】
また、動作において、実施例（５）の通過数管理部３２及び通過制御部３１は、状態表示信号Ｉ２によってＩＰアドレス毎のパケット蓄積量が所定の閾値を越えていることが確認されたＩＰアドレスを送信元とするパケットのみを対象として、実施例（１）と同様な一定の割合での間引き処理を行う。
【００７２】
パケット判定部３０の実施例（６）：図８
図８は、パケット判定部３０の実施例（６）として、間引き処理をする際に、状態表示信号Ｉ２によってＩＰアドレス毎のパケット蓄積量が所定の閾値を越えていることが確認されたＩＰアドレスからの受信パケットについて、実施例（２）と同様に時間及び一回に通過を許可するパケット数を制限する場合を示したものである。
【００７３】
図８に示した実施例（６）のパケット判定部３０は、図４に示した実施例（２）と同様に通過制御部３１とタイマ部３３とによって構成されているが、通過制御部３１がパケット分析機能を有している点と、蓄積量監視部２０からタイマ部３３に与えられる信号がＩＰアドレス毎のパケット蓄積量の状態を示す状態表示信号Ｉ２である点とが実施例（２）とは異なっている。
【００７４】
また、動作において、実施例（６）のタイマ部３２及び通過制御部３１は、状態表示信号Ｉ２によってＩＰアドレス毎のパケット蓄積量が所定の閾値を越えていることが確認されたＩＰアドレスを送信元アドレスとするパケットのみを対象として、実施例（２）と同様な間引き処理を行う。
【００７５】
なお、上述の如く、上記のパケット判定部３０の実施例（４）〜（６）では、パケット蓄積部１０がメモリ８０に蓄積するパケットの蓄積量を、蓄積量管理部２０がＩＰアドレス毎に管理する必要がある。
通常のサーバでは、不特定多数の装置からの受信パケットを処理する必要があるため、ＩＰアドレス毎に蓄積量を監視するためには膨大なメモリを必要とすることが想定されるが、ホームエージェントが処理すべきパケットは、制御対象とするモバイルノードから受信するパケットに限定されるため、メモリ量は必要十分な値とすることが可能である。
【００７６】
また、ホームエージェントの制御対象であるモバイルノードのＩＰアドレスは、上述の如くＣＡＭ  ７０のバインディングキャッシュで管理されているため、バインディングキャッシュにパラメータを追加することで、ＩＰアドレス毎の管理を容易に行うことも可能である。
（付記１）
防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるか否かを監視する第１ステップと、
該パケット蓄積量が該所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積する第２ステップと、
該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積する第３ステップと、
を備えたことを特徴とするＤｏＳ攻撃防御方法。
（付記２）
防御対象のパケット処理装置が処理すべきパケットを一時的に蓄積するためのメモリにおける該パケットの全送信元アドレスのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように各送信元アドレス毎のパケット蓄積量に対して設定された所定の閾値未満であるか否かを監視する第１ステップと、
該所定の閾値未満になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを全て該メモリに蓄積する第２ステップと、
該所定の閾値以上になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを、該処理能力に応じた所定の間引条件に基づいて破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積する第３ステップと、
を備えたことを特徴とするＤｏＳ攻撃防御方法。
（付記３）付記１又は２において、
該所定の間引条件は、蓄積すべきパケット量の受信パケット量に対する比率を該パケット処理装置の処理能力に応じて定めたものであることを特徴とするＤｏＳ攻撃防御方法。
（付記４）付記１又は２において、
該所定の間引条件は、１回に該メモリへの蓄積を許可するパケット量と該蓄積の許可を与える時間間隔とを該パケット処理装置の処理能力に応じて定めたものであることを特徴とするＤｏＳ攻撃防御方法。
（付記５）付記１において、
該所定の間引条件は、所定のセキュリティ機能によって保護されたパケットのみの蓄積を許可するように定めたものであることを特徴とするＤｏＳ攻撃防御方法。
（付記６）付記２において、
該所定の間引条件が、該受信パケットを全て破棄するという条件であることを特徴とするＤｏＳ攻撃防御方法。
（付記７）
防御すべきパケット処理装置が処理すべきパケットを一時的にメモリに蓄積するパケット蓄積部と、
該メモリのパケット蓄積量が該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるか否かを監視する蓄積量監視部と、
該パケット蓄積量が該所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積するように判定すると共に、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように判定するパケット判定部と、
を備えたことを特徴とするＤｏＳ攻撃防御装置。
（付記８）
防御すべきパケット処理装置が処理すべきパケットを一時的にメモリに蓄積するパケット蓄積部と、
該メモリにおける該パケットの全送信元アドレスのパケット蓄積量が、該パケット処理装置の処理能力の限界を越えないように各送信元アドレスのパケット蓄積量に対して設定された所定の閾値未満であるか否かを監視する蓄積量監視部と、
該所定の閾値未満になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを全て該メモリに蓄積するように判定すると共に、該所定の閾値以上になっている該パケット蓄積量に対応した送信元アドレスからの受信パケットを、該処理能力に応じた所定の間引条件に基づいて破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように判定するパケット判定部と、
を備えたことを特徴とするＤｏＳ攻撃防御装置。
（付記９）付記７又は８において、
該所定の間引条件は、蓄積すべきパケット量の受信パケット量に対する比率を該パケット処理装置の処理能力に応じて定めたものであることを特徴とするＤｏＳ攻撃防御装置。
（付記１０）付記７又は８において、
該所定の条件は、１回に該メモリへの蓄積を許可するパケット量と該蓄積の許可を与える時間間隔とを該パケット処理装置の処理能力に応じて定めたものであることを特徴とするＤｏＳ攻撃防御装置。
（付記１１）付記７において、
該所定の間引条件は、所定のセキュリティ機能によって保護されたパケットのみの蓄積を許可するように定めたものであることを特徴とするＤｏＳ攻撃防御装置。
（付記１２）付記８において、
該所定の間引条件が、該受信パケットを全て破棄するという条件であることを特徴とするＤｏＳ攻撃防御装置。
【００７７】
【発明の効果】
以上説明したように本発明に係るＤｏＳ攻撃防御方法及び装置によれば、防御対象のパケット処理装置が処理すべきパケットを一時的にするためのメモリのパケット蓄積量が該パケット処理装置の処理能力の限界を越えないように設定された所定の閾値未満であるときは、受信パケットを全て該メモリに蓄積し、該パケット蓄積量が該所定の閾値以上であるときは、該処理能力に応じた所定の間引条件に基づいて該受信パケットを破棄し、破棄しなかった該受信パケットのみを該メモリに蓄積するように構成したので、ＤｏＳ攻撃を受けた際にも防御対象のパケット処理装置がシステムダウンを起こすことなく稼動し続けることが可能となる。
【図面の簡単な説明】
【図１】本発明に係るＤｏＳ攻撃防御方法及び装置の原理構成例を示したブロック図である。
【図２】本発明に係るＤｏＳ攻撃防御方法及び装置の実施例を示したブロック図である。
【図３】本発明に係るＤｏＳ攻撃防御方法及び装置におけるパケット判定部３０の実施例（１）を示したブロック図である。
【図４】本発明に係るＤｏＳ攻撃防御方法及び装置におけるパケット判定部３０の実施例（２）を示したブロック図である。
【図５】本発明に係るＤｏＳ攻撃防御方法及び装置におけるパケット判定部３０の実施例（３）を示したブロック図である。
【図６】本発明に係るＤｏＳ攻撃防御方法及び装置におけるパケット判定部３０の実施例（４）を示したブロック図である。
【図７】本発明に係るＤｏＳ攻撃防御方法及び装置におけるパケット判定部３０の実施例（５）を示したブロック図である。
【図８】本発明に係るＤｏＳ攻撃防御方法及び装置におけるパケット判定部３０の実施例（６）を示したブロック図である。
【符号の説明】
１０  パケット蓄積部
２０  蓄積量監視部
３０  パケット判定部
４０  パケット処理部
５０  パケット受信部
６０  パケット送信部
７０  ＣＡＭ
８０  メモリ
１００  ホームエージェント
２００  ネットワークインタフェース部
３００  本体
４００  ＰＣＩバス
図中、同一符号は同一又は相当部分を示す。
【図１】
2004248198.tif 000003
【図２】
2004248198.tif 000004
【図３】
2004248198.tif 000005
【図４】
2004248198.tif 000006
【図５】
2004248198.tif 000007
【図６】
2004248198.tif 000008
【図７】
2004248198.tif 000009
【図８】
2004248198.tif 000010