(57)【要約】【課題】端末に対するパケット攻撃（ＤｏＳ攻撃）を効果的に防御するとともに、正規利用者のパケットへの影響を低減することができる攻撃パケット対策システムを提供する。【解決手段】通信ネットワーク１０上に配置されたノード１１０に、特定の端末（ＤｏＳ被攻撃者の端末）１００に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手段１３０と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手段１４０と、前記パケット観測手段１４０の観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手段１５０を備える。【選択図】  図１
2004356906.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システムであって、
特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手段と、
前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手段と、
前記パケット観測手段の観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手段と
を備えることを特徴とする攻撃パケット対策システム。
【請求項２】
前記パケット観測手段による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手段を
さらに備えることを特徴とする請求項１に記載の攻撃パケット対策システム。
【請求項３】
前記パケット観測手段には、
観測対象となるパケットの送信元アドレス、パケット数、転送バイト数の情報を少なくとも記録するパケット観測テーブルと、
前記パケット観測テーブルに記録する最大のレコード数を規定し、最大レコード数に達した場合には、パケット数の少ない下位のレコードを所定分だけ削除する最大レコード数制限手段と
をさらに備えることを特徴とする請求項１または請求項２に記載の攻撃パケット対策システム。
【請求項４】
前記パケット抑止手段には、
制限対象となるパケットごとに、その制限方法を設定するためのアクションテーブルと、
前記アクションテーブルの内容に従い、制限対象となるパケットを抑止する手段と
をさらに備えることを特徴とする請求項１から３のいずれかに記載の攻撃パケット対策システム。
【請求項５】
複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システムにおける攻撃パケット対策方法であって、
特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、
前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、
前記パケット観測手順による観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順と
を含むことを特徴とする攻撃パケット対策方法。
【請求項６】
前記パケット観測手順による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手順を
さらに含むことを特徴とする請求項５に記載の攻撃パケット対策方法。
【請求項７】
前記パケット観測手順には、
少なくとも観測対象となるパケットの送信元アドレス、パケット数、転送バイト数の情報をパケット観測テーブルに記録する手順と、
前記パケット観測テーブルに記録する最大のレコード数を規定し、最大レコード数に達した場合には、パケット数の少ない下位のレコードを所定分だけ削除する最大レコード数制限手順と
をさらに含むことを特徴とする請求項５または請求項６に記載の攻撃パケット対策方法。
【請求項８】
前記パケット抑止手順には、
制限対象となるパケットごとに、その制限方法をアクションテーブルに設定す手順と、
前記アクションテーブルの内容に従い、制限対象となるパケットを抑止する手順と
をさらに含むことを特徴とする請求項５から７のいずれかに記載の攻撃パケット対策方法。
【請求項９】
複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、
特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための識別子設定手順と、
前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、
前記パケット観測手順による観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順と
を実行させるための攻撃パケット対策プログラム。
【請求項１０】
複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、
特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、
前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、
前記パケット観測手順による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手順と、
前記パケット観測手順による観測結果、および前記攻撃パケット解析手順による解析結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順と
を実行させるための攻撃パケット対策プログラム。
【請求項１１】
複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、
特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、
前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、
前記パケット観測手順による観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順と
を実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項１２】
複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、
特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、
前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、
前記パケット観測手順による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手順と、
前記パケット観測手順による観測結果、および前記攻撃パケット解析手順による解析結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順と
を実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続された特定の端末に対して大量のパケットを送信するＤｏＳ攻撃が発生した場合に、このＤｏＳ攻撃から被攻撃端末を有効に防御することを可能にする、攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策プログラム、及び記録媒体に関する。
【０００２】
【従来の技術】
インターネットなどの広域ネットワークはオープンな環境であり、誰もが自由に接続することが可能である。このため、攻撃者がこのような環境を利用してＤｏＳ攻撃を容易に引き起こすことができる。しかし、ＤｏＳ攻撃のパケットを正確に識別することが難しいため、この攻撃に対する効果的な対策方法は未だ開発されていない。
【０００３】
ＤｏＳ攻撃が発生した際に、攻撃パケットへの対策を行うための従来の方法として、例えば、第１の方法として、サーバなどの防御対象の近くのノードが、インタフェースごとのキュー（ノード内で、入力されたパケットが送信される順番を待つ間に使用される、パケットを一時的に格納するためのメモリ）を監視し、多量のキュー溢れが発生した場合にこれを攻撃として検出する方法がある。検出後、キューに入力されるパケットの宛先アドレスを解析して、攻撃パケットの宛先ネットワークアドレスを抽出し、これを攻撃パケット情報とする。同時に、この情報を攻撃経路の上流ノードに伝達し、上流ノードでこの情報に該当するパケットの帯域を制限する（例えば、非特許文献１）。
【０００４】
また、第２の方法として、防御対象の近くのノードが、フロー（同一属性を持ったパケット群、属性としては、送信元／宛先アドレス、送信元／宛先ポート番号、プロトコル番号などが含まれる）ごとのパケット量に異常が発生した際に、これを攻撃として検出すると同時に、異常なフローの情報を攻撃経路の上流ノードに伝達し、上流ノードでこの情報にマッチするパケットの帯域を予め指定された量以下に制限する技術がある（一次対策）。また、各ノードで、送信元アドレス範囲別に異常フローの帯域を測定し、それらの中に長期間に渡る連続性などの不正なパターンが見つかった場合には、その範囲からの異常フローの帯域をより少ない量に制限する技術である（二次対策）（例えば、特許文献１）。
【０００５】
また、第３の方法として、ノードが宛先ネットワークアドレス別のトラヒック量を観測し、それらの中に異常が発生した場合に、これを攻撃として検出し、検出情報をネットワーク上のノードに伝達して、検出出情報に該当するパケットを遮断する技術である（例えば、非特許文献２）。
【０００６】
【特許文献１】
特願２００２−０８１９０４「分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム」
【非特許文献１】
ＡＣＣ（Ａｇｇｒｅｇａｔｅ−ｂａｓｅｄ  Ｃｏｎｇｅｓｔｉｏｎ  Ｃｏｎｔｒｏｌ）  （Ｒ．  Ｍａｈａｊａｎ，  Ｓ．  Ｂｅｌｌｏｖｉｎ，  Ｓ．  Ｆｌｏｙｄ，  Ｊ．  Ｉｏａｎｎｉｄｉｓ，  Ｖ．  Ｐａｘｓｏｎ  ａｎｄ  Ｓ．  Ｓｈｅｎｋｅｒ：“Ｃｏｎｔｒｏｌｌｉｎｇ  Ｈｉｇｈ  Ｂａｎｄｗｉｄｔｈ  Ａｇｇｒｅｇａｔｅｓ  ｉｎ  ｔｈｅ  Ｎｅｔｗｏｒｋ”，  ＳＩＧＣＯＭＭ  Ｃｏｍｐｕｔｅｒ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｒｅｖｉｅｗ，  Ｖｏｌ．３２，  Ｎｏ．３，  ｐ．６２−７３，  Ｊｕｌ．  ２００２．）
【非特許文献２】
ＧＭＤ  ＦＯＫＵＳ（ドイツ国立情報研究所オープン通信システム研究機関）論文（Ｓｔａｍａｔｉｓ  Ｋａｒｎｏｕｓｋｏｓ：“Ｄｅａｌｉｎｇ  ｗｉｔｈ  Ｄｅｎｉａｌ−ｏｆ−Ｓｅｒｖｉｃｅ  Ａｔｔａｃｋｓ  ｉｎ  Ａｇｅｎｔ−ｅｎａｂｌｅｄ  Ａｃｔｉｖｅ  ａｎｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅｓ”，  Ｐｒｏｃ  ｏｆ  ２５ｔｈ  ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｍｐｕｔｅｒ  Ｓｏｆｔｗａｒｅ  ａｎｄ  Ａｐｐｌｉｃａｔｉｏｎｓ  Ｃｏｎｆｅｒｅｎｃｅ  （ＣＯＭＰＳＡＣ  ２００１），０ｃｔ．  ２００１．）
【０００７】
【発明が解決しようとする課題】
従来の技術では、ＤｏＳ攻撃のパケットの識別精度が低い。このため、攻撃パケットだけでなく、正規利用者のパケットの帯域制限や遮断が発生して、正規利用者の通信に影響を及ぼす可能性が高い。
【０００８】
また、従来の技術の項で説明した、第１の方法および第３の方法においては、宛先アドレスを識別子とした対策しかできない。このため、対策対象のパケットの中に正規の利用者のパケットを含んでしまい、正規の利用者の通信まで制限をかけてしまう可能性が高い。
【０００９】
また、従来の技術の項で説明した第２の方法における一次対策においては、管理者が予め設定した送信元アドレス、宛先アドレスなどのフロー情報を単位とした対策しかできない。この方法は、宛先アドレスのみを識別子とする第１の方法および第３の方法よりは識別精度が改善される。しかし、依然として、対策対象として帯域を制限するパケットの中に正規の利用者のパケットを含んでしまい、正規の利用者の通信まで制限をかけてしまう可能性が高い。
【００１０】
従来の技術の第２の方法における二次対策における攻撃パケットの送信元アドレスの抽出は、予めいくつかの送信元アドレスの範囲を各ノードに設定しておき、それらの範囲毎に不正トラヒック条件を満たしているかどうかの判断をする。この方法では、送信元アドレスの範囲が識別子として加わることで識別精度が向上する。しかし、送信元アドレスの範囲が予想できないノードにおいては、不正トラヒック条件に該当するパケットの送信元アドレスを抽出することはできない。このようなノードの例としては、広域ネットワーク間を接続するゲートウェイノードなどが挙げられる。また、送信元アドレスが偽装されている場合には、これを抽出することができない。
【００１１】
本発明はこのような問題を解決するためになされたものであり、その目的は、端末に対するパケット攻撃を効果的に防御するとともに、正規利用者のパケットヘの影響を低減し、また、限られたメモリを使用してパケットの解析処理を行うことを可能にする、攻撃パケット対策システム、攻撃パケット対策方法、及び攻撃パケット対策プログラムを提供することにある。
【００１２】
【課題を解決するための手段】
本発明は、上記課題を解決するためになされたものであり、本発明の攻撃パケット対策システムは、複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システムであって、特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手段と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手段と、前記パケット観測手段の観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手段とを備えることを特徴とする。
これにより、攻撃パケットを送信元アドレス単位で識別することで、攻撃パケットの識別精度を向上させ、ＤｏＳ攻撃（パケット攻撃）に対する効果的な対策を実現できる。また、正規利用者のパケット通信が妨害される危険性を低減することができる。また、輻輳を引き起こしているパケットの転送量をネットワーク全体で抑制することが可能になる。
【００１３】
また、本発明の攻撃パケット対策システムは、前記パケット観測手段による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手段をさらに備えることを特徴とする。
これにより、攻撃パケットを正確に識別して、その攻撃パケットの遮断または帯域の制限を行うことが可能になるため、輻輳を引き起こしているパケットの転送量をネットワーク全体で抑制することが可能になるとともに、正規利用者のパケット通信が妨害される危険性を低減することが可能となり、  ＤｏＳ攻撃（パケット攻撃）への効果的な対策を実現できる。
【００１４】
また、本発明の攻撃パケット対策システムは、前記パケット観測手段には、観測対象となるパケットの送信元アドレス、パケット数、転送バイト数の情報を少なくとも記録するパケット観測テーブルと、前記パケット観測テーブルに記録する最大のレコード数を規定し、最大レコード数に達した場合には、パケット数の少ない下位のレコードを所定分だけ削除する最大レコード数制限手段とをさらに備えることを特徴とする。
これにより、転送量が多い送信元アドレスからのパケットのみを解析対象とすることで、限られたメモリを使用して解析処理を行うことを可能とする。
【００１５】
また、本発明の攻撃パケット対策システムは、前記パケット抑止手段には、制限対象となるパケットごとに、その制限方法を設定するためのアクションテーブルと、前記アクションテーブルの内容に従い、制限対象となるパケットを抑止する手段とをさらに備えることを特徴とする。
これにより、制限対象となるパケットを、ポリシに沿って効果的に抑止することができる。
【００１６】
また、本発明の攻撃パケット対策方法は、複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システムにおける攻撃パケット対策方法であって、特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、前記パケット観測手順による観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順とを含むことを特徴とする。
これにより、攻撃パケットを送信元アドレス単位で識別することで、攻撃パケットの識別精度を向上させ、ＤｏＳ攻撃（パケット攻撃）に対する効果的な対策を実現できる。また、正規利用者のパケット通信が妨害される危険性を低減することができる。また、輻輳を引き起こしているパケットの転送量をネットワーク全体で抑制することが可能になる。
【００１７】
また、本発明の攻撃パケット対策方法は、前記パケット観測手順による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手順をさらに含むことを特徴とする。
これにより、攻撃パケットを正確に識別して、その攻撃パケットの遮断または帯域の制限を行うことが可能になるため、輻輳を引き起こしているパケットの転送量をネットワーク全体で抑制することが可能になるとともに、正規利用者のパケット通信が妨害される危険性を低減することが可能となり、  ＤｏＳ攻撃（パケット攻撃）への効果的な対策を実現できる。
【００１８】
また、本発明の攻撃パケット対策方法は、前記パケット観測手順には、少なくとも観測対象となるパケットの送信元アドレス、パケット数、転送バイト数の情報をパケット観測テーブルに記録する手順と、前記パケット観測テーブルに記録する最大のレコード数を規定し、最大レコード数に達した場合には、パケット数の少ない下位のレコードを所定分だけ削除する最大レコード数制限手順とをさらに含むことを特徴とする。
これにより、転送量が多い送信元アドレスからのパケットのみを解析対象とすることで、限られたメモリを使用して解析処理を行うことを可能とする。
【００１９】
また、本発明の攻撃パケット対策方法は、前記パケット抑止手順には、制限対象となるパケットごとに、その制限方法をアクションテーブルに設定す手順と、前記アクションテーブルの内容に従い、制限対象となるパケットを抑止する手順とをさらに含むことを特徴とする。
これにより、制限対象となるパケットを、ポリシに沿って効果的に抑止することができる。
【００２０】
また、本発明のコンピュータプログラムは、複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための識別子設定手順と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、前記パケット観測手順による観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順とを実行させるための攻撃パケット対策プログラムである。
【００２１】
また、本発明のコンピュータプログラムは、複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、前記パケット観測手順による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手順と、前記パケット観測手順による観測結果、および前記攻撃パケット解析手順による解析結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順とを実行させるための攻撃パケット対策プログラムである。
【００２２】
また、本発明のコンピュータ読み取り可能な記録媒体は、複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、前記パケット観測手順による観測結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順とを実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【００２３】
また、本発明のコンピュータ読み取り可能な記録媒体は、複数の端末が網目状に接続される通信ネットワーク上に配置され、特定の端末に対してパケットが集中的に送信されるパケット攻撃を防御する攻撃パケット対策システム内のコンピュータに、特定の端末に対してパケットが集中的に送信され輻輳が発生した場合に、輻輳を引き起こしているパケットの識別情報を暫定識別子として設定するための暫定識別子設定手順と、前記暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定して記録するパケット観測手順と、前記パケット観測手順による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する攻撃パケット解析手順と、前記パケット観測手順による観測結果、および前記攻撃パケット解析手順による解析結果を基に、前記輻輳を引き起こしているパケットの転送を制限するパケット抑止手順とを実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【００２４】
【発明の実施の形態】
次に本発明の実施の形態例について、図面を参照して説明する。
【００２５】
［本発明の基本概念の説明］
図１は、本発明の基本概念を説明するための図であり、本発明による攻撃パケット対策システムをノードに適用した例を示している。なお、図１において通信ネットワーク１０上にノード１１０を１つのみ例示しているが、実際には複数のノードが通信ネットワーク１０上に設置されている。また、ＤｏＳ攻撃者の端末２０も複数の場合がある。
以下、図１を参照して、本発明の基本概念について説明する。
【００２６】
本発明の攻撃パケット対策システムでは、ＤｏＳ攻撃が発生した際に、防御対象となる端末（ＤｏＳ被攻撃端末）１００近くのノード１１０のパケット処理部１２０内の暫定識別子（容疑パケット識別子）設定手段１３０により攻撃パケットの暫定的な識別情報が作成され、この暫定的な識別情報を「容疑パケット識別子」と呼ぶ。なお、「容疑パケット識別子」は、先行出願「分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム（特願２００２−０８１９０４）」に開示されている方法や、ＩＤＳ  （Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）などを用いることで作成することができ、防御対象端末宛の多くのパケットが共通で持つ属性値の集合である。
【００２７】
例えば、宛先アドレスとして“１９２．１６８．１００．１００”、  プロトコル番号として“６”を持ったパケットが防御対象宛に多量に送られている場合、「容疑パケット識別子」は、  ｛Ｄｓｔ＝１９２．１６８．１００．１００，  Ｐｒｏｔｏｃｏｌ＝６｝となる。また、この「容疑パケット識別子」は、他のノードに伝達することができる。
【００２８】
また、本発明の攻撃パケット対策システムでは、パケット観測手段１４０により、「容疑パケット識別子」に該当する「パケットの数」および「転送バイト数」を、送信元アドレスごとに自動的に観測する。これらの「パケットの数」および「転送バイト数」の情報を管理するテーブルを「パケット観測テーブル１４１」と呼ぶ。パケット観測テーブル１４１は、「送信元アドレス」、「パケット数」、及び「転送バイト数」などの情報から構成される。
【００２９】
パケット処理部１２０内のパケット観測手段１４０では、「容疑パケット識別子」に該当するパケットの送信元アドレス情報を取得して、それが始めて観測されたものである場合には、「パケット観測テーブル１４１」に新たなレコードを追加し、該当レコードのパケット数の情報として“１”を、転送バイト数の情報としてそのパケットのパケット長を記録する。また、「パケット観測テーブル１４１」に既に該当する「容疑パケット識別子」のレコードが存在する場合には、そのレコードのパケット数を“１”増加させ、転送バイト数の情報にそのパケットのパケット長を加算する。
【００３０】
また、「パケット観測テーブル１４１」では、一定時間以上パケットが到着しないレコードについてはそのレコードを削除する。また、「パケット観測テーブル１４１」は、レコードを追加可能な最大数として「最大レコード数」を持つ。追加されたエントリが「最大レコード数」に達した場合には、その時点でパケット数の少ない下位１０％（任意設定）のレコードを削除する。ただし、この際、最新リフレッシュ時刻２００２とそのときの時刻を比較して、一定時間以上経過していない場合には削除処理は行わない。これにより、削除処理が頻発して処理負荷が増大することを防ぐ。また、削除処理を行った後には、最新リフレッシュ時刻２００２を削除処理を完了した時刻に書き換える。これらの処理により、転送量が多い送信元アドレスからのパケットのみを解析対象として、限られたメモリを使用して解析処理を行うことを可能とする。
【００３１】
また、トラヒック計算部１６０内の攻撃パケット解析手段１６１は、防御対象のサイト（図１では端末１００）のポリシに応じた、攻撃パケットの送信元アドレスの抽出アルゴリズムが実装される。また、攻撃パケット解析手段１６１は、パケット処理部１２０が公開する計測結果（パケット観測テーブル１４１の情報）を定期的に取得し、それらの値をアルゴリズムに入力することで、攻撃パケットの送信元アドレス（図１ではＤｏＳ攻撃者である端末２０のアドレス）を抽出する。
【００３２】
例えば、アルゴリズムの一例として、防御対象宛てトラヒックの通常状態における一端末からのパケット量分布の平均および標準偏差を参照して、パケット観測テーブル１４１のエントリの中で、上記平均より標準偏差の３倍以上のパケット数を持っているレコードの送信元アドレスを抽出する。
【００３３】
そして、トラヒック計算部１６０内の攻撃パケット解析手段１６１で抽出された「送信元アドレス」と「容疑パケット識別子」とを結合させた「攻撃パケット識別子」を作成する。また、パケット処理部１２０には、「容疑パケット識別子」および「攻撃パケット識別子」に該当するパケットのノード１１０での処理内容の一覧を管理する「アクションテーブル１５１」が設けられる。
【００３４】
処理内容は、防御対象のポリシに応じて、遮断、帯域制限のいずれかが（例えばトラヒック計算部１６０などによって）指定される。アクションテーブル１５１により、例えば、「攻撃パケット識別子」に該当するパケットは遮断し、「容疑パケット識別子」に該当するパケットは１Ｍｂｐｓに帯域制限するなどの処理内容を設定する。また、パケット処理部１２０内のパケット抑止手段１５０は、このアクションテーブル１５１を参照して、対象となる攻撃パケットを制限する。
【００３５】
［具体的な例による説明］
図２は、本発明を通信ネットワークのノード上に適用した例について説明するための図である。図２において、１０００はＤｏＳ攻撃の標的となる端末、１００１は端末１０００に接続されているＬＡＮ（ローカルエリアネットワーク）、１０１０はＬＡＮ（ローカルエリアネットワーク）を収容しているＷＡＮ（ワイドエリアネットワーク）である。
【００３６】
ＷＡＮ１０１０は複数のノード１０１１乃至１０１４を有している。ＤｏＳ攻撃者によって操作された端末１０２０乃至１０２２が、攻撃パケットを端末１０００に向かって送信すると、攻撃パケットが被攻撃者ＬＡＮ１００１に集中して輻輳が発生することにより、ノード１０１１やＬＡＮ１００１の資源を消費してしまい、ＤｏＳ攻撃者とは無関係な正規利用者１０３０から端末１０００に接続できなくなるという現象が起こる。
【００３７】
次に、図２において、ＬＡＮ１００１および端末１０００を防御対象とした時の、本発明によるパケット攻撃対策方法について説明する。
ＤｏＳ攻撃発生時には、先行出願「分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム（特願２００２−０８１９０４）」に示されている方法や、ＩＤＳ機能などにより、「容疑パケット識別子」が作成される。この「容疑パケット識別子」は、本システムの管理者またはノード間での情報交換によりノード１０１１乃至１０１４に設定される。
【００３８】
ノード１０１１乃至１０１４は、「容疑パケット識別子」に該当するパケット数、および、転送バイト数を送信元アドレスごとに観測し、パケット観測テーブルを用いて管理する。パケット観測テーブルの例を図３に示す。図３におけるパケット観測テーブルは、「容疑パケット識別子」２００１、最新リフレッシュ時刻２００２、及び最大レコード数２００３を有し、更に、送信元アドレス、バケット数、転送バイト数、最新到着時刻の組からなるレコードで構成される。ここでは、番号はレコードを特定するために便宜上使用されている。
【００３９】
パケット観測テーブルは、「容疑パケット識別子」が設定された時点でノードで作成され、その時、「容疑パケット識別子」２００１には、設定された「容疑パケット識別子」が格納される。また、最新リフレッシュ時刻２００２には、作成時刻が格納される。また、最大レコード数２００３には、ノードの使用可能メモリ量を基にシステム管理者が決定する値が格納される。最新リフレッシュ時刻２００２は、以後、プログラムからの指示により本パケット観測テーブルが初期化された場合にはその時刻が格納される。
【００４０】
ノード１０１１乃至１０１４では、「容疑パケット識別子」に該当するパケットが入力されると、そのパケットの送信元アドレス情報を取得して、同一の容疑パケット識別子情報を持つパケット観測テーブル上に、取得した送信元アドレスを持ったレコードが既に存在するかどうかを調べる。存在しない場合には、取得した送信元アドレスを持つ新たなレコードを追加し、パケット数の情報として“１”を、転送バイト数の情報としてそのパケットのパケット長を、最新到着時刻としてその時の時刻を記録する。存在する場合は、そのレコードのパケット数を“１”増加させ、転送バイト数の情報にそのパケットのパケット長を足し、最新到着時刻としてその時の時刻を記録する。
【００４１】
また、パケット観測テーブルは、最新到着時刻から一定時間以上パケットが到着しないレコードについてはそのレコードを削除する。この時間は、防御対象のポリシにより決定される。また、追加されたレコードによって最大レコード数に達した場合には、その時点でパケット数の少ない下位１０％（任意設定）のレコードを削除して、その分の新レコードの追加を可能とする。ただし、この際、最新リフレッシュ時刻２００２とそのときの時刻を比較して、一定時間以上経過していない場合には削除処理は行わない。これにより、削除処理が頻発して処理負荷が増大することを防ぐ。また、削除処理を行った後には、最新リフレッシュ時刻２００２を削除処理を完了した時刻に書き換える。これらの処理により、転送量が多い送信元アドレスからのパケットのみを解析対象として、限られたメモリを使用して解析処理を行うことを可能とする。
【００４２】
図４は、本発明の攻撃パケット対策システムを実現するノードの構成例を示す図である。図４において、３０００はノードの構成要素の範囲を示している。３１００および３１０１は、パケットを送受信するためのネットワークデバイスを示している。３２００はパケット処理部の構成要素の範囲を示している。パケット処理部３２００は、カウント部３２１０と制御部３２１１から構成される。
【００４３】
ノード３０００に入力されるパケットは、ネットワークデバイス３１００、カウント部３２１０、制御部３２１１、ネットワークデバイス３１０１の順に転送される。カウント部３２１０は、図３に示したパケット観測テーブルを管理し、入力されるパケットに対するパケット観測テーブルの操作を行う。
【００４４】
また、３３００はトラヒック計算部を示している。トラヒック計算部３３００は、カウント部３２１０に対してパケット観測テーブルの各情報の問い合わせを行う。この問い合わせ対してカウント部３２１０は、情報を回答する。トラヒック計算部３３００は、防御対象のサイトのポリシに応じた、攻撃パケットの送信元アドレスの抽出アルゴリズムが複数実装される。
【００４５】
トラヒック計算部３３００は、パケット処理部３２００からの回答（パケット観測テーブルの各情報）を定期的に取得し、それらの値を対応するアルゴリズムに入力することで、攻撃パケットの送信元アドレスを抽出する。攻撃パケットの送信元アドレスが抽出された時、トラヒック計算部３３００は、抽出された送信元アドレスと、容疑パケット識別子２００１の情報とを結合させた攻撃パケット識別子を作成する。例えば、図３に示すパケット観測テーブル内の最初のレコードが攻撃パケットの送信元アドレスとして抽出したとすると、容疑パケット識別子２００１と結合された攻撃パケット識別子は、｛Ｓｒｃ＝１９２．１６８．１．１０，  Ｄｓｔ＝１９２．１６８．１００．１００，Ｐｒｏｔｏｃｏｌ＝６｝となる。トラヒック計算部３３００は、この攻撃パケット識別子を、制御部３２１１に伝達する。
【００４６】
制御部３２１１は、「容疑パケット識別子」および「攻撃パケット識別子」に該当するパケットのノードでの処理内容の一覧を管理するアクションテーブルを管理する。このアクションテーブルの例を図５に示す。図５に示すアクションテーブルは、パケット識別子、および処理内容からなるレコードで構成された例を示している。パケット識別子は、「容疑パケット識別子」または「攻撃パケット識別子」のいずれかが設定される。また、処理内容は、防御対象のポリシに応じて、遮断、または帯域制限のいずれかが設定される。アクションテーブルでは、制御部３２１１にパケットが入力されると、上位のレコードから順に検索を行って、該当するレコードが存在する場合、そのパケットに対して処理内容を実施する。該当するレコードが存在しない場合には、パケットをそのまま転送する。
【００４７】
例えば、図５の最初のレコードでは、「攻撃パケット識別子：｛Ｓｒｃ＝１９２．１６８．１．１０，  Ｄｓｔ＝１９２．１６８．１００．１００，  Ｐｒｏｔｏｃｏｌ＝６｝」に該当するパケットは廃棄され、「容疑パケット識別子：｛Ｄｓｔ＝１９２．１６８．１００．１００，  Ｐｒｏｔｏｃｏｌ＝６｝」に該当するパケットは帯域が最大１Ｍｂｐｓに制限される処理が行われることを示している。このアクションテーブルは、プログラムから制御部３２１１に伝達され、新たな「容疑パケット識別子」または「攻撃識別子」が作成される度に更新される。
【００４８】
また、図６は、図４に示したノード３０００の動作の概要をフローチャートで示した図である。以下、図４のノード構成図および図６のフローチャートを参照して、ノード３０００における処理の流れについて説明する。
【００４９】
最初に、ノード３０００のパケット処理部３２００にパケットが入力される（ステップＳ１０１）。パケット処理部３２００では、入力されたパケットがＤｏＳ攻撃（特定の端末に対しパケットが集中的に送信される攻撃）を起こしている容疑パケットかどうかを判断する（ステップＳ１０２）。容疑パケットでないと判断した場合は、処理はステップ１０７に移行する（ステップＳ１０３）。
【００５０】
容疑パケットと判断された場合には、パケット処理部３２００では、「容疑パケット識別子」に該当するパケットの送信元アドレス情報を取得して、それが始めて観測されたものである場合には、パケット観測テーブル３４００に新たなレコードを追加し、該当レコードのパケット数の情報として“１”を、転送バイト数の情報としてそのパケットのパケット長を記録する（ステップＳ１０４、Ｓ１０５）。また、パケット観測テーブル３４００に既に該当する「容疑パケット識別子」のレコードが存在する場合には、そのレコードのパケット数を“１”増加させ、転送バイト数の情報にそのパケットのパケット長を足す（ステップＳ１０４、Ｓ１０６）。
【００５１】
なお、パケット観測テーブル３４００では、一定時間以上パケットが到着しないレコードについてはそのレコードを削除する。また、パケット観測テーブル３４００は、レコードを追加可能な最大数として「最大レコード数」を持つ。追加されたエントリが「最大レコード数」に達した場合には、その時点でパケット数の少ない下位１０％（任意設定）のレコードを削除する。ただし、この際、最新リフレッシュ時刻２００２とそのときの時刻を比較して、一定時間以上経過していない場合には削除処理は行わない。これにより、削除処理が頻発して処理負荷が増大することを防ぐ。また、削除処理を行った後には、最新リフレッシュ時刻２００２を削除処理を完了した時刻に書き換える。これらの処理により、転送量が多い送信元アドレスからのパケットのみを解析対象として、限られたメモリを使用して解析処理を行うことを可能とする。
【００５２】
一方、トラヒック計算部３３００では、攻撃パケット解析機能により、パケット観測テーブル３４００の測定結果を定期的に参照して、攻撃パケットの送信元アドレスを自動抽出し、「送信元アドレス」と「容疑パケット識別子」とを結合させた「攻撃パケット識別子」を作成する。そして、「攻撃パケット識別子」をアクションテーブル３５００に登録する（ステップＳ２０１、Ｓ２０２）。なお、アクションテーブル３５００には、制限対象となるパケットの「容疑パケット識別子」か「攻撃パケット識別子」がレコードとして記録される。
【００５３】
パケット処理部３２００では、入力されたパケットに対して、このアクションテーブル３５００を上位から順に検索し（ステップＳ１０７）、該当するレコードがある場合には、パケットの転送を制限する（ステップＳ１０８、Ｓ１１０）。アクションテーブル３５００に該当するレコードがない場合は、パケットをそのまま転送する（ステップＳ１０８、Ｓ１０９）。
【００５４】
以上、本発明の実施の形態について説明したが、図４に示すノード３０００内の、パケット処理部３２００およびトラヒック計算部３３００など機能は、専用のハードウエアにより実現されるものであってもよく、またメモリおよびＣＰＵ（中央処理装置）により構成され、この処理部の機能を実現するためのプログラム（図示せず）をメモリにロードして実行することによりその機能を実現させるものであってもよい。
【００５５】
また、この図４に示すノード３０００内の、パケット処理部３２００およびトラヒック計算部３３００などの機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、図４に示すノード３０００内の、パケット処理部３２００およびトラヒック計算部３３００などに必要な処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
【００５６】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの（伝送媒体ないしは伝送波）、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。
【００５７】
また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００５８】
以上、本発明の実施の形態について説明したが、本発明の攻撃パケット対策システムは、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。
【００５９】
【発明の効果】
以上説明したように、本発明の攻撃パケット対策システムおよび攻撃パケット対策方法においては、特定の端末に対してパケットが集中的に送信され輻輳が発生している場合に、輻輳を引き起こしているパケットの暫定識別子を設定し、この暫定識別子に該当するパケットのトラヒック量を送信元アドレス別に自動測定し、この測定結果を基に、前記輻輳を引き起こしているパケットを抑止する。
これにより、攻撃パケットを送信元アドレス単位で識別することで、攻撃パケットの識別精度を向上させ、ＤｏＳ攻撃（パケット攻撃）に対する効果的な対策を実現できる。また、正規利用者のパケット通信が妨害される危険性を低減することができる。また、輻輳を引き起こしているパケットの転送量をネットワーク全体で抑制することが可能になる。
【００６０】
また、本発明の攻撃パケット対策システムおよび攻撃パケット対策方法においては、パケット観測手段による測定結果を解析し、攻撃パケットの送信元アドレスを自動抽出する。
これにより、攻撃パケットを正確に識別して、その攻撃パケットの遮断または帯域の制限を行うことが可能になるため、輻輳を引き起こしているパケットの転送量をネットワーク全体で抑制することが可能になるとともに、正規利用者のパケット通信が妨害される危険性を低減することが可能となり、  ＤｏＳ攻撃（パケット攻撃）に対する効果的な対策を実現できる。
【００６１】
また、本発明の攻撃パケット対策システムおよび攻撃パケット対策方法においては、パケットを観測する際には、少なくとも観測対象となるパケットの送信元アドレス、パケット数、転送バイト数の情報を記録するパケット観測テーブルを用い、また、パケット観測テーブルに記録する最大のレコード数を規定し、最大レコード数に達した場合には、パケット数の少ない下位のレコードを削除する。
これにより、転送量が多い送信元アドレスからのパケットのみを解析対象とすることで、限られたメモリを使用して解析処理を行うことを可能とする。
【００６２】
また、本発明の攻撃パケット対策システムおよび攻撃パケット対策方法においては、制限対象となるパケットごとに、その制限方法をアクションテーブルに設定し、このアクションテーブルの内容に従い、制限対象となるパケット抑止する。
これにより、制限対象となるパケットを、ポリシに沿って効果的に抑止することができる。
【図面の簡単な説明】
【図１】本発明の基本概念について説明するための図である。
【図２】本発明の攻撃パケット対策システムを通信ネットワークへ適用した例について説明するための図である。
【図３】パケット観測テーブルの例を示す図である。
【図４】本発明の攻撃パケット対策システムを実現するノードの構成例を示す図である。
【図５】アクションテーブルの例を示す図である。
【図６】ノードにおける処理の流れを示すフローチャートである。
【符号の説明】
１０  通信ネットワーク
２０  ＤｏＳ攻撃者の端末
１００  防御対象の端末
１１０  ノード
１２０  パケット処理部
１３０  暫定識別子設定手段
１４０  パケット観測手段
１４１  パケット観測テーブル
１５０  パケット抑止手段
１５１  アクションテーブル
１６０  トラヒック計算部
１６１  攻撃パケット解析手段
【図１】
2004356906.tif 000003
【図２】
2004356906.tif 000004
【図３】
2004356906.tif 000005
【図４】
2004356906.tif 000006
【図５】
2004356906.tif 000007
【図６】
2004356906.tif 000008