(57)【要約】【課題】ＤＯＳ攻撃回避に際し、ターゲットとなったサーバの無効となる処理負荷および当該サーバが属するネットワークの無効となるトラヒックを増加させない。【解決手段】違法アクセストラヒックをエッジルータの段階で排除する。サーバが違法アクセストラヒックを検出するとその旨をエッジルータに通知し、エッジルータはネットワークの入口で違法アクセストラヒックを排除する。【選択図】　図１
2004120498.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、
前記サーバからの違法アクセストラヒックの到来通知に基づき当該違法アクセストラヒックが経由する前記エッジルータに対して当該違法アクセストラヒックに属するパケットを廃棄する旨を指示する手段を備えた
ことを特徴とする違法トラヒック防止システム。
【請求項２】
前記指示する手段は、前記ネットワークを管理するオペレーションシステムに設けられた請求項１記載の違法トラヒック防止システム。
【請求項３】
ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、
通知された違法アクセストラヒックの送出元アドレスが自己を経由するパケットの送出元アドレスと一致するか否かを判定する手段と、
この判定する手段により自己を経由するパケットの送出元が違法アクセストラヒックの送出元アドレスと一致したときには当該パケットを廃棄する手段と
を備えたことを特徴とするエッジルータ。
【請求項４】
ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、
違法アクセストラヒックの到来を検出する手段と、
当該検出する手段が違法アクセストラヒックの到来を検出したときには当該違法アクセストラヒックの送出元アドレスを書込んだ公告パケットを発出する手段と
を備えたことを特徴とするサーバ。
【請求項５】
前記検出する手段は、
一定時間のアクセスを送出元アドレス毎に計数する手段と、
この計数する手段の計数結果が閾値を超えたか否かを判定する手段と、
この判定する手段の判定結果が閾値を超えた送出元アドレスを違法アクセストラヒックの送出元アドレスと断定する手段と
を備えた請求項４記載のサーバ。
【請求項６】
ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、
前記サーバからの違法アクセストラヒックの送出元アドレスを書込んだ公告パケットを受信する手段と、
この受信する手段により受信した公告パケットに書込まれた前記送出元アドレスが自己を経由するパケットの送出元アドレスと一致するか否かを判定する手段と、
この判定する手段により自己を経由するパケットの送出元アドレスと前記公告パケットに書込まれた送出元アドレスとが一致したときには当該パケットを廃棄する手段と
を備えたことを特徴とするエッジルータ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）網におけるＤＯＳ攻撃（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅｓａｔｔａｃｋ）に対処するインターネットセキュリティ向上技術の分野に属する。
【０００２】
【従来の技術】
ＤＯＳ攻撃について図６および図７を参照して簡単に説明する。図６は従来例を説明するためのネットワーク構成図である。図７はＤＯＳ攻撃を説明するための通信手順を示す図である。ＤＯＳ攻撃は、図６に示すように、悪意のあるユーザがサイト端末からネットワーク内のターゲットサーバに対してＴＣＰ−ＳＹＮ（コネクション確立要求）パケットを送出する。これらのＴＣＰ−ＳＹＮパケットが図７に示すように、３ウェイハンドシェークでＴＣＰセッション確立を試み、この３ウェイハンドシェークのセッション途中で悪意のあるユーザのサイト端末側がセッション放棄する。
【０００３】
すなわち、図７において、悪意のあるユーザのサイト端末は▲２▼のＴＣＰ−ＡＣＫ（確認応答）＋ＳＹＮパケットを受信しても▲３▼のＴＣＰ−ＡＣＫパケットを出さない。これによりターゲットサーバは、このＴＣＰ−ＡＣＫパケットの待ち受け状態を続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を多数受けるとターゲットサーバは過負荷状態に陥りサーバ機能が停止してしまう。
【０００４】
従来のＤＯＳ攻撃に対する対応法は図６に示すように、ターゲットサーバは、ＤＯＳ攻撃を行っていると思われるソースアドレスを学習し、サーバの入口で当該パケットを処理せず、廃棄することが行われている。より具体的に説明すると、ＴＣＰ−ＳＹＮパケットが連続的にターゲットサーバに送りつけられる場合に、そのＴＣＰ−ＳＹＮパケットの発信元のＳＡ（ソースアドレス）を記憶し、パケットを終端させてＳＹＮパケットを処理することなく廃棄して、サーバへの処理負荷へ影響を与えないようにしている。
【０００５】
関連する先行技術の例として、迷惑メールの排除を希望するユーザをあらかじめ登録しておき、この登録されたユーザ宛のメールの配送を一定時間保留し、この保留期間中に宛先不明で返送されるメールに含まれる発信アドレスを記録し、保留されている前記ユーザ宛のメールの中から記録された前記発信アドレスを有するメールの本数を計算し、この計算結果が閾値を超えるときには前記発信アドレスを有する保留されている前記ユーザ宛のメールを廃棄し、廃棄されたメールの発信アドレスを記録し、この記録された発信アドレスを有するメールについては以降廃棄し、廃棄されたメールの発信アドレスを記録し、この記録された発信アドレスを他ルータに通知するものがある（例えば、特願２００２−２８０３２号（本願出願時に未公開）参照）。
【０００６】
【発明が解決しようとする課題】
このように、従来のＤＯＳ攻撃回避方法では、ターゲットサーバの入口でＴＣＰ−ＳＹＮパケットの廃棄を行う。このため、当該サーバの処理負荷の一部が無効となるＴＣＰ−ＳＹＮパケットの廃棄のために費やされることは回避できない。
【０００７】
また、当該サーバが属するネットワーク内をＤＯＳ攻撃のための多量のＴＣＰ−ＳＹＮパケットが通過することによる無効なトラヒックの増加までは回避できない。
【０００８】
なお、前記特願２００２−２８０３２号記載の先行技術においてもこれらの問題点の回避については考慮されていない。
【０００９】
本発明は、このような背景に行われたものであって、ＤＯＳ攻撃回避に際し、ターゲットとなったサーバの無効となる処理負荷および当該サーバが属するネットワークの無効となるトラヒックを増加させることのない違法トラヒック防止システムおよびエッジルータおよびサーバを提供することを目的とする。
【００１０】
【課題を解決するための手段】
本発明は、悪意のあるユーザからのＤＯＳ攻撃に際し、違法アクセストラヒックをエッジルータの段階で排除することを特徴とする。これにより、ターゲットとなったサーバの無効となる処理負荷および当該サーバが属するネットワークの無効となるトラヒックを増加させることのなく、違法アクセストラヒックを排除することができる。
【００１１】
本発明の第一の観点は違法トラヒック防止システムであって、本発明の特徴とするところは、ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、前記サーバからの違法アクセストラヒックの到来通知に基づき当該違法アクセストラヒックが経由する前記エッジルータに対して当該違法アクセストラヒックに属するパケットを廃棄する旨を指示する手段を備えたところにある。
【００１２】
前記指示する手段は、前記ネットワークを管理するオペレーションシステムに備えることができる。
【００１３】
例えば、このオペレーションシステムが、エッジルータに対して違法アクセストラヒックの送出元アドレスを通知すると、エッジルータでは、それはすなわち当該違法アクセストラヒックに属するパケットを廃棄する旨の指示と解釈するように決めておくことにより、別に廃棄指示コマンド等のメッセージを設ける必要はない。
【００１４】
本発明の第二の観点はエッジルータであって、本発明の特徴とするところは、ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、通知された違法アクセストラヒックの送出元アドレスが自己を経由するパケットの送出元アドレスと一致するか否かを判定する手段と、この判定する手段により自己を経由するパケットの送出元アドレスが違法アクセストラヒックの送出元アドレスと一致したときには当該パケットを廃棄する手段とを備えたところにある。
【００１５】
違法アクセストラヒックの送出元アドレスの通知は、例えば、オペレーションシステムからなされる場合もあるし、あるいは、サーバからなされる場合もある。
【００１６】
本発明の第三の観点はサーバであって、本発明の特徴とするところは、ユーザ端末あるいはサーバを収容するエッジルータを備えたネットワークに設けられ、違法アクセストラヒックの到来を検出する手段と、当該検出する手段が違法アクセストラヒックの到来を検出したときには当該違法アクセストラヒックの送出元アドレスを書込んだ公告パケットを発出する手段とを備えたところにある。
【００１７】
本発明のサーバと本発明のエッジルータとを組合わせることにより、エッジルータではサーバからの公告により自律的に自己を経由するパケットの送出元アドレスが違法アクセストラヒックの送出元アドレスと一致するか否かを判定するので、サーバ側で公告を行うエッジルータを選択する必要はない。したがって、サーバ側で、どのトラヒックがどのエッジルータを経由しているかを把握する必要はなく、制御手順を簡単化することができる。
【００１８】
すなわち、サーバが前記公告パケットを発出する場合には、エッジルータは、前記サーバからの違法アクセストラヒックの送出元アドレスを書込んだ公告パケットを受信する手段と、この受信する手段により受信した公告パケットに書込まれた前記送出元アドレスが自己を経由するパケットの送出元アドレスと一致するか否かを判定する手段と、この判定する手段により自己を経由するパケットの送出元アドレスと前記公告パケットに書込まれた送出元アドレスとが一致したときには当該パケットを廃棄する手段とを備えることが望ましい。
【００１９】
また、前記検出する手段は、例えば、一定時間のアクセスを送出元アドレス毎に計数する手段と、この計数する手段の計数結果が閾値を超えたか否かを判定する手段と、この判定する手段の判定結果が閾値を超えた送出元アドレスを違法アクセストラヒックの送出元アドレスと断定する手段とを備える。
【００２０】
すなわち、ＤＯＳ攻撃には一般の通信と比較すると異常に多数のＴＣＰ−ＳＹＮパケットが用いられるので、一定時間のアクセスを送出元アドレス毎に計数して異常にアクセス数が多い送出元アドレスを違法アクセストラヒックの送出元アドレスと断定することができる。
【００２１】
これにより、ＤＯＳ攻撃回避に際し、ターゲットとなったサーバの無効となる処理負荷および当該サーバが属するネットワークの無効となるトラヒックを増加させることのない違法トラヒック防止システムおよびエッジルータおよびサーバを実現することができる。
【００２２】
【発明の実施の形態】
（第一実施例）
本発明第一実施例を図１ないし図３を参照して説明する。図１は第一実施例を説明するためのネットワーク構成図である。図２は第一実施例を説明するためのエッジルータ構成図である。図３はサーバでの違法アクセストラヒック検出方法を説明する図である。
【００２３】
本実施例は、図１に示すように、ユーザ端末Ｕ１、Ｕ２あるいはサーバＳを収容するエッジルータＥ１、Ｅ２を備えたネットワークに設けられ、サーバＳからの違法アクセストラヒックの到来通知に基づき当該違法アクセストラヒックが経由するエッジルータＥｉ（ｉは１または２）に対して当該違法アクセストラヒックに属するパケットを廃棄する旨を指示するオペレーションシステム１０を備えたことを特徴とする違法トラヒック防止システムである。
【００２４】
図２に示すように、エッジルータＥ１、Ｅ２は、パケット処理部１９に、通知された違法アクセストラヒックの送出元アドレスが自己を経由するパケットの送出元アドレスと一致するか否かを判定し、この判定により自己を経由するパケットの送出元が違法アクセストラヒックの送出元アドレスと一致したときには当該パケットを廃棄するパケットフィルタ部２０を備える。なお、正当なパケットはフォワーディング部２１によりスイッチ部２２に転送され、スイッチ部２２により所定の方路にスイッチングされる。
【００２５】
サーバＳが違法アクセストラヒックを検出する構成としては、図３に示すように、一定時間のアクセスを送出元アドレス毎に計数するカウンタＣと、このカウンタＣの計数結果が閾値を超えたか否かを判定し、この判定結果が閾値を超えた送出元アドレスを違法アクセストラヒックの送出元アドレスと断定する違法パケット監視部３０とを備える。
【００２６】
すなわち、サーバＳはある特定ユーザからのＤＯＳ攻撃等が生じていると思われる場合に、そのＳＡ（ソースアドレス）をオペレーションシステム１０へ通知する。オペレーションシステム１０では、当該ＳＡの送信元のエッジルータもしくは、全てのエッジルータに対して、当該ＳＡからの全てのパケットもしくは、ＳＡからのＴＣＰ−ＳＹＮパケット等をフィルタリングするように命令を出す。
【００２７】
図２に示したエッジルータでは、インタフェース部にあるパケットフィルタ部２０に対して、当該ＳＡパケットを廃棄するようにフィルタ設定を行う。
【００２８】
このことにより、サーバＳおよびネットワークは本ＤＯＳ攻撃の影響を可能な限り少なくでき、ネットワーク内の無効負荷も低減される。
【００２９】
連続パケットをサーバＳで検出するのは、図３のようなサーバＳの構成による。サーバＳでは、例えばＴＣＰ−ＳＹＮのパケットが送られてきているＳＡアドレスを違法パケット監視部３０で抽出する。
【００３０】
違法パケット監視部３０では、周期的にリセットされるカウンタＣによりＴＣＰ−ＳＹＮを送っているＳＡのログをカウントしている。例ではＳＡ＃２は、５５６６と異常な数を送っており、閾値により、ＳＡ＃２は違法アクセストラヒックの送出元アドレスと見なせる。
【００３１】
例では、ＳＡであるが、アタックされているＤＡ（ディスティネーションアドレス）および、アタックの種類であるＴＣＰ−ＳＹＮを通知し、エッジルータでそれらのパケットを廃棄することも考えられる。
【００３２】
（第二実施例）
第二実施例を図４および図５を参照して説明する。図４は第二実施例を説明するためのネットワーク構成図である。図５は第二実施例を説明するためのエッジルータ構成図である。第二実施例は、第一実施例で説明したように、図３に示す違法アクセストラヒックの到来を検出する違法パケット監視部３０を備えたサーバＳである。第二実施例のサーバＳは、当該違法パケット監視部３０が違法アクセストラヒックの到来を検出したときには当該違法アクセストラヒックの送出元アドレスを書込んだ公告パケットを発出する。
【００３３】
第二実施例のエッジルータＥ１、Ｅ２は、サーバＳからの違法アクセストラヒックの送出元アドレスを書込んだ公告パケットを受信する廃棄命令パケット終端部Ｒと、この廃棄命令パケット終端部Ｒにより受信した公告パケットに書込まれた前記送出元アドレスが自己を経由するパケットの送出元アドレスと一致するか否かを判定し、この判定により自己を経由するパケットの送出元アドレスと前記公告パケットに書込まれた送出元アドレスとが一致したときには当該パケットを廃棄するパケットフィルタ部２０とを備える。なお、正当なパケットはフォワーディング部２１によりスイッチ部２２に転送され、スイッチ部２２により所定の方路にスイッチングされる。
【００３４】
すなわち、ＤＯＳ攻撃を発見したサーバＳは、ネットワークに対してＤＯＳ攻撃を行っていると思われるＳＡを記載した“廃棄命令パケット”をブロードキャストする。本パケットは全てのエッジルータＥ１、Ｅ２に到着する。エッジルータＥ１、Ｅ２では廃棄命令パケット終端部Ｒで違法アクセストラヒックの送出元アドレスを抽出し、ユーザ側のインタフェースボードのパケットフィルタ部２０に当該違法アクセストラヒックのパケットを廃棄すべくフィルタ設定する。以降の処理は第一実施例と同様である。
【００３５】
ブロードキャストパケットにＳＡを記載した例を示したが、アタックされているＤＡおよびアタックの種類であるＴＣＰ−ＳＹＮを記入し、一定期間廃棄したり、レート制御により、絶対量を制御することも可能である。
【００３６】
【発明の効果】
以上説明したように、本発明によれば、ＤＯＳ攻撃回避に際し、ターゲットとなったサーバの無効となる処理負荷および当該サーバが属するネットワークの無効となるトラヒックを増加させることのない違法トラヒック防止システムおよびエッジルータおよびサーバを実現することができる。
【図面の簡単な説明】
【図１】第一実施例を説明するためのネットワーク構成図。
【図２】第一実施例を説明するためのエッジルータ構成図。
【図３】サーバでの違法アクセストラヒック検出方法を説明する図。
【図４】第二実施例を説明するためのネットワーク構成図。
【図５】第二実施例を説明するためのエッジルータ構成図。
【図６】従来例を説明するためのネットワーク構成図。
【図７】ＤＯＳ攻撃を説明するための通信手順を示す図。
【符号の説明】
１０　オペレーションシステム
１９　パケット処理部
２０　パケットフィルタ部
２１　フォワーディング部
２２　スイッチ部
３０　違法パケット監視部
Ｃ　カウンタ
Ｅ１、Ｅ２　エッジルータ
Ｒ　廃棄命令パケット終端部
Ｓ　サーバ
Ｕ１、Ｕ２　ユーザ端末
【図１】
2004120498.tif 000003
【図２】
2004120498.tif 000004
【図３】
2004120498.tif 000005
【図４】
2004120498.tif 000006
【図５】
2004120498.tif 000007
【図６】
2004120498.tif 000008
【図７】
2004120498.tif 000009