(57)【特許請求の範囲】
【請求項１】
サービス不能攻撃対象となる通信機器宛に送信されたパケットを監視する監視装置と、前記通信機器の性能を測定する性能測定装置と、前記監視装置および前記性能測定装置と通信をおこなう攻撃判断装置とによって前記通信機器に対するサービス不能攻撃を検知するサービス不能攻撃検知システムであって、
前記監視装置は、前記通信機器に対する前記パケットによるトラフィック量の異常性を表すトラフィック異常性情報を検知するトラフィック異常性検知手段を備え、
前記性能測定装置は、前記通信機器に応答要求メッセージを送信してから前記応答要求メッセージに対応する応答メッセージを受信するまでの応答時間を含む性能異常性検知条件に基づいて、前記通信機器の処理能力の異常性を表す性能異常性情報を検知する性能異常性検知手段を備え、
前記攻撃判断装置は、前記トラフィック異常性情報を検知した時間を記憶し、続いて前記性能異常性情報を検知した時間との差分を計算し、当該差分を設定された値と比較して、これより小さい場合に当該トラフィック異常が当該性能異常を引き起こしている可能性が高いと判断することにより、性能異常を引き起こしているトラフィック異常のみを検出してサービス不能攻撃であると判断する影響判断手段
を備えたことを特徴とするサービス不能攻撃検知システム。
【請求項２】
前記監視装置は、前記トラフィック異常性情報を前記攻撃判断装置に送信するトラフィック異常性情報送信手段をさらに備えたことを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項３】
前記性能測定装置は、前記性能異常性情報を前記攻撃判断装置に送信する性能異常性情報送信手段をさらに備えたことを特徴とする請求項１または２に記載のサービス不能攻撃検知システム。
【請求項４】
前記トラフィック異常性検知手段は、あらかじめ設定された所定の攻撃検知条件に基づいて前記トラフィック異常性情報を検知することを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項５】
前記トラフィック異常性検知手段は、前記攻撃検知条件に基づいて前記通信機器に対する攻撃をおこなうパケットの特徴を表すシグネチャを生成し、前記シグネチャを含む前記トラフィック異常性情報を生成することを特徴とする請求項４に記載のサービス不能攻撃検知システム。
【請求項６】
前記トラフィック異常性検知手段は、前記通信機器宛の前記パケットの平均的なトラフィックを表す定常トラフィックに基づいて前記トラフィック異常性情報を検知することを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項７】
前記性能異常性検知条件は、前記通信機器に応答要求メッセージを送信してから前記応答要求メッセージに対応する応答メッセージを受信するまでの応答時間、に加え、前記応答時間が所定の閾値を上回る回数を含んだことを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項８】
前記性能異常性検知手段は、前記通信機器の平均的な性能特性を表す定常性能に基づいて前記性能異常性情報を検知することを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項９】
前記影響判断手段は、前記トラフィック異常性情報および前記性能異常性情報に含まれる異常発生時刻に基づいて該トラフィック異常性情報または該性能異常性情報のいずれか一方の異常性情報に起因して他方の異常性情報が発生したと判断した場合にサービス不能攻撃であると判断することを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項１０】
前記影響判断手段がサービス不能攻撃であると判断した場合に、該判断に用いた前記トラフィック異常性情報および前記性能異常性情報を前記攻撃判断装置がオペレータ通知用装置に送信することを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項１１】
前記影響判断手段は、前記トラフィック異常性情報および前記性能異常性情報に含まれる証明書に基づいた認証を行ったうえで、サービス不能攻撃であるか否かを判断することを特徴とする請求項１に記載のサービス不能攻撃検知システム。
【請求項１２】
サービス不能攻撃対象となる通信機器宛に送信されたパケットを監視する監視装置と、前記通信機器の性能を測定する性能測定装置と、前記監視装置および前記性能測定装置と通信をおこなう攻撃判断装置とによって前記通信機器に対するサービス不能攻撃を検知するサービス不能攻撃検知方法であって、
前記通信機器に対する前記パケットによるトラフィック量の異常性を表すトラフィック異常性情報を前記監視装置が検知するトラフィック異常性検知工程と、
前記通信機器に応答要求メッセージを送信してから前記応答要求メッセージに対応する応答メッセージを受信するまでの応答時間を含む性能異常性検知条件に基づいて、前記通信機器の処理能力の異常性を表す性能異常性情報を前記性能測定装置が検知する性能異常性検知工程と、
前記トラフィック異常性情報を検知した時間を記憶し、続いて前記性能異常性情報を検知した時間との差分を計算し、当該差分を設定された値と比較して、これより小さい場合に当該トラフィック異常が当該性能異常を引き起こしている可能性が高いと判断することにより、性能異常を引き起こしているトラフィック異常のみを検出してサービス不能攻撃であると前記攻撃判断装置が判断する影響判断工程と
を含んだことを特徴とするサービス不能攻撃検知方法。
【請求項１３】
前記トラフィック異常性情報を前記監視装置が前記攻撃判断装置に送信するトラフィック異常性情報送信工程をさらに含んだことを特徴とする請求項１２に記載のサービス不能攻撃検知方法。
【請求項１４】
前記性能異常性情報を前記性能測定装置が前記攻撃判断装置に送信する性能異常性情報送信工程をさらに含んだことを特徴とする請求項１２または１３に記載のサービス不能攻撃検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、サービス不能攻撃対象となる通信機器宛に送信されたパケットを監視する監視装置と、この通信機器の性能を測定する性能測定装置と、監視装置および性能測定装置と通信をおこなう攻撃判断装置とによってかかる通信機器に対するサービス不能攻撃を検知するサービス不能攻撃検知システムおよびサービス不能攻撃検知方法に関し、特に、サービス不能攻撃の検知精度を向上させることにより対処の必要なサービス不能攻撃のみを検知することができるサービス不能攻撃検知システムおよびサービス不能攻撃検知方法に関する。
【背景技術】
【０００２】
従来、ネットワークを介した攻撃として、多量のパケットを送付することによりネットワークやサーバマシン（以下「通信機器」と言う）を麻痺させるサービス不能攻撃（分散型サービス不能攻撃を含む）が知られている。かかるサービス不能攻撃は、パケットの特徴量を用いた方法では検知しにくいことから、トラフィック（量）の異常性を用いた方法によるサービス不能攻撃検知システムが広く用いられている。【０００３】
このサービス不能攻撃検知システムは、攻撃対象となる通信機器宛のトラフィックを所定の期間にわたって測定することにより求められる定常トラフィックを、手動または自動であらかじめ算出する。そして、監視しているトラフィックが、かかる定常トラフィックから乖離した場合に攻撃とみなすこととして、サービス不能攻撃を検知している（例えば、特許文献１参照）。【０００４】
【特許文献１】特開２００３−２８３５５５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、かかるサービス不能攻撃においては、攻撃規模と、ネットワークおよび通信機器の処理能力との関係から、トラフィックが異常性を示したとしても通信機器が提供するサービスに実害がない場合が多々存在する。このような場合には、上述したサービス不能攻撃検知システムが攻撃として検知しても、具体的な対処を行う必要がないために、誤検知したことと何らかわりがないことになってしまう。【０００６】
サービス不能攻撃検知システムの主たる用途が通信機器をサービス不能にする攻撃から防御することであるとの考えに基づけば、トラフィックの異常性が攻撃であるか否かを見極める精度を向上させることより、パフォーマンスの劣化を引き起こしているトラフィックの異常性を早急に見つけることが重要である。しかし、従来のサービス不能攻撃検知システムでは、通信機器の処理能力等を考慮することなく、トラフィックの異常性のみに基づいて攻撃を検知しようとしており、パフォーマンスの劣化と関連のないトラフィックの異常性の検知、言い換えれば、対処の必要がない状況の検知（広い意味での誤検知）が多くなるという課題があった。【０００７】
本発明は、上述した従来技術による問題点を解消するためになされたものであり、サービス不能攻撃の検知精度を向上させることにより対処を必要とするサービス不能攻撃のみを検知することができるサービス不能攻撃検知システムおよびサービス不能攻撃検知方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本発明は、サービス不能攻撃対象となる通信機器宛に送信されたパケットを監視する監視装置と、前記通信機器の性能を測定する性能測定装置と、前記監視装置および前記性能測定装置と通信をおこなう攻撃判断装置とによって前記通信機器に対するサービス不能攻撃を検知するサービス不能攻撃検知システムであって、前記監視装置は、前記通信機器に対する前記パケットによるトラフィックの異常性を表すトラフィック異常性情報を検知するトラフィック異常性検知手段を備え、前記性能測定装置は、前記通信機器の処理能力の異常性を表す性能異常性情報を検知する性能異常性検知手段を備え、前記攻撃判断装置は、前記トラフィック異常性情報および前記性能異常性情報に基づいてサービス不能攻撃であるか否かを判断する影響判断手段を備えたことを特徴とする。【０００９】
この発明によれば、監視装置が通信機器に対するパケットによるトラフィックの異常性を表すトラフィック異常性情報を検知し、性能測定装置が通信機器の処理能力の異常性を表す性能異常性情報を検知し、攻撃判断装置がトラフィック異常性情報および性能異常性情報に基づいてサービス不能攻撃であるか否かを判断することとしたので、トラフィック異常性情報のみならず性能異常性情報を用いてこれらの異常性情報の関連によってサービス不能攻撃であるか否かを判断することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００１０】
また、本発明は、上記発明において、前記監視装置は、前記トラフィック異常性情報を前記攻撃判断装置に送信するトラフィック異常性情報送信手段をさらに備えたことを特徴とする。【００１１】
この発明によれば、監視装置がトラフィック異常性情報を攻撃判断装置に送信することとしたので、攻撃判断装置が監視装置のトラフィック異常性情報を参照することなくトラフィック異常性情報を効率的に取得することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００１２】
また、本発明は、上記発明において、前記性能測定装置は、前記性能異常性情報を前記攻撃判断装置に送信する性能異常性情報送信手段をさらに備えたことを特徴とする。【００１３】
この発明によれば、性能測定装置が性能異常性情報を攻撃判断装置に送信することとしたので、攻撃判断装置が性能測定装置の性能異常性情報を参照することなく性能異常性情報を効率的に取得することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００１４】
また、本発明は、上記発明において、前記トラフィック異常性検知手段は、あらかじめ設定された所定の攻撃検知条件に基づいて前記トラフィック異常性情報を検知することを特徴とする。【００１５】
この発明によれば、あらかじめ設定された所定の攻撃検知条件に基づいてトラフィック異常性情報を検知することとしたので、監視装置が効率的にトラフィック異常性情報を検知することができるとともに、攻撃検知条件を変更することにより、攻撃パターンが異なるあらたな攻撃に容易に対処することができる。【００１６】
また、本発明は、上記発明において、前記トラフィック異常性検知手段は、前記攻撃検知条件に基づいて前記通信機器に対する攻撃をおこなうパケットの特徴を表すシグネチャを生成し、前記シグネチャを含む前記トラフィック異常性情報を生成することを特徴とする。【００１７】
この発明によれば、攻撃検知条件に基づいて通信機器に対する攻撃をおこなうパケットの特徴を表すシグネチャを生成し、かかるシグネチャを含むトラフィック異常性情報を生成することとしたので、攻撃をおこなうパケットの特徴を反映したトラフィック異常性情報を生成することにより、トラフィック異常性情報の信頼性を向上させることができる。【００１８】
また、本発明は、上記発明において、前記トラフィック異常性検知手段は、前記通信機器宛の前記パケットの平均的なトラフィックを表す定常トラフィックに基づいて前記トラフィック異常性情報を検知することを特徴とする。【００１９】
この発明によれば、通信機器宛のパケットの平均的なトラフィックを表す定常トラフィックに基づいてトラフィック異常性情報を検知することとしたので、検知されたトラフィックと定常トラフィックとの乖離状況に基づいて簡便にトラフィック異常性情報を生成することができる。【００２０】
また、本発明は、上記発明において、前記性能異常性検知手段は、あらかじめ設定された所定の性能異常性検知条件に基づいて前記性能異常性情報を検知することを特徴とする。【００２１】
この発明によれば、あらかじめ設定された所定の性能異常性検知条件に基づいて性能異常性情報を検知することとしたので、性能測定装置が効率的に性能異常性情報を検知することができるとともに、性能異常性検知条件を変更することにより、検知対象となる通信機器の性能の差異や性能の変化に容易に対処することができる。【００２２】
また、本発明は、上記発明において、前記性能異常性検知条件は、前記通信機器に応答要求メッセージを送信してから前記応答要求メッセージに対応する応答メッセージを受信するまでの応答時間と、前記応答時間が所定の閾値を上回る回数とを含んだことを特徴とする。【００２３】
この発明によれば、通信機器に応答要求メッセージを送信してから応答要求メッセージに対応する応答メッセージを受信するまでの応答時間と、応答時間が所定の閾値を上回る回数とを含むこととしたので、通信機器の応答時間に基づいて簡便に性能異常性情報を生成することができる。【００２４】
また、本発明は、上記発明において、前記性能異常性検知手段は、前記通信機器の平均的な性能特性を表す定常性能に基づいて前記性能異常性情報を検知することを特徴とする。【００２５】
この発明によれば、通信機器の平均的な性能特性を表す定常性能に基づいて性能異常性情報を検知することとしたので、検知された性能と定常性能特性との乖離状況に基づいて簡便に性能異常性情報を生成することができる。【００２６】
また、本発明は、上記発明において、前記攻撃判断手段は、前記トラフィック異常性情報および前記性能異常性情報に含まれる異常発生時刻に基づいて該トラフィック異常性情報または該性能異常性情報のいずれか一方の異常性情報に起因して他方の異常性情報が発生したと判断した場合にサービス不能攻撃であると判断することを特徴とする。【００２７】
この発明によれば、トラフィック異常性情報および性能異常性情報に含まれる異常発生時刻に基づいてトラフィック異常性情報または性能異常性情報のいずれか一方の異常性情報に起因して他方の異常性情報が発生したと判断した場合にサービス不能攻撃であると判断することとしたので、トラフィック異常性情報のみならず性能異常性情報を用いてこれらの異常性情報の関連によってサービス不能攻撃であるか否かを判断することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００２８】
また、本発明は、上記発明において、前記影響判断手段がサービス不能攻撃であると判断した場合に、該判断に用いた前記トラフィック異常性情報および前記性能異常性情報を前記攻撃判断装置がオペレータ通知用装置に送信することを特徴とする。【００２９】
この発明によれば、攻撃判断装置がサービス不能攻撃であると判断した場合に、判断に用いたトラフィック異常性情報および性能異常性情報をオペレータ通知用装置に送信することとしたので、これらの性能異常性情報に基づいてオペレータが適切な対処をすることができる。【００３０】
また、本発明は、上記発明において、前記影響判断手段は、前記トラフィック異常性情報および前記性能異常性情報に含まれる証明書に基づいた認証を行ったうえで、サービス不能攻撃であるか否かを判断することを特徴とする。【００３１】
この発明によれば、トラフィック異常性情報および性能異常性情報に含まれる証明書に基づいた認証を行ったうえで、サービス不能攻撃であるか否かを判断することとしたので、非正規な装置を用いたなりすましを効果的に防止することができる。【００３２】
また、本発明は、サービス不能攻撃対象となる通信機器宛に送信されたパケットを監視する監視装置と、前記通信機器の性能を測定する性能測定装置と、前記監視装置および前記性能測定装置と通信をおこなう攻撃判断装置とによって前記通信機器に対するサービス不能攻撃を検知するサービス不能攻撃検知方法であって、前記通信機器に対する前記パケットによるトラフィックの異常性を表すトラフィック異常性情報を前記監視装置が検知するトラフィック異常性検知工程と、前記通信機器の処理能力の異常性を表す性能異常性情報を前記性能測定装置が検知する性能異常性検知工程と、前記トラフィック異常性情報および前記性能異常性情報に基づいてサービス不能攻撃であるか否かを前記攻撃判断装置が判断する影響判断工程とを含んだことを特徴とする。【００３３】
この発明によれば、監視装置が通信機器に対するパケットによるトラフィックの異常性を表すトラフィック異常性情報を検知し、性能測定装置が通信機器の処理能力の異常性を表す性能異常性情報を検知し、攻撃判断装置がトラフィック異常性情報および性能異常性情報に基づいてサービス不能攻撃であるか否かを判断することとしたので、トラフィック異常性情報のみならず性能異常性情報を用いてこれらの異常性情報の関連によりサービス不能攻撃であるか否かを判断することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００３４】
また、本発明は、上記発明において、前記トラフィック異常性情報を前記監視装置が前記攻撃判断装置に送信するトラフィック異常性情報送信工程をさらに含んだことを特徴とする。【００３５】
この発明によれば、監視装置がトラフィック異常性情報を攻撃判断装置に送信することとしたので、攻撃判断装置が監視装置のトラフィック異常性情報を参照することなくトラフィック異常性情報を効率的に取得することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００３６】
また、本発明は、上記発明において、前記性能異常性情報を前記性能測定装置が前記攻撃判断装置に送信する性能異常性情報送信工程をさらに含んだことを特徴とする。【００３７】
この発明によれば、性能測定装置が性能異常性情報を攻撃判断装置に送信することとしたので、攻撃判断装置が性能測定装置の性能異常性情報を参照することなく性能異常性情報を効率的に取得することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。
【発明の効果】
【００３８】
本発明によれば、監視装置が通信機器に対するパケットによるトラフィックの異常性を表すトラフィック異常性情報を検知し、性能測定装置が通信機器の処理能力の異常性を表す性能異常性情報を検知し、攻撃判断装置がトラフィック異常性情報および性能異常性情報に基づいてサービス不能攻撃であるか否かを判断することとしたので、トラフィック異常性情報のみならず性能異常性情報を用いてこれらの異常性情報の関連によってサービス不能攻撃であるか否かを判断することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００３９】
また、本発明によれば、監視装置がトラフィック異常性情報を攻撃判断装置に送信することとしたので、攻撃判断装置が監視装置のトラフィック異常性情報を参照することなくトラフィック異常性情報を効率的に取得することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００４０】
また、本発明によれば、性能測定装置が性能異常性情報を攻撃判断装置に送信することとしたので、攻撃判断装置が性能測定装置の性能異常性情報を参照することなく性能異常性情報を効率的に取得することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００４１】
また、本発明によれば、あらかじめ設定された所定の攻撃検知条件に基づいてトラフィック異常性情報を検知することとしたので、監視装置が効率的にトラフィック異常性情報を検知することができるとともに、攻撃検知条件を変更することにより、攻撃パターンが異なるあらたな攻撃に容易に対処することができる。【００４２】
また、本発明によれば、攻撃検知条件に基づいて通信機器に対する攻撃をおこなうパケットの特徴を表すシグネチャを生成し、かかるシグネチャを含むトラフィック異常性情報を生成することとしたので、攻撃をおこなうパケットの特徴を反映したトラフィック異常性情報を生成することにより、トラフィック異常性情報の信頼性を向上させることができる。【００４３】
また、本発明によれば、通信機器宛のパケットの平均的なトラフィックを表す定常トラフィックに基づいてトラフィック異常性情報を検知することとしたので、検知されたトラフィックと定常トラフィックとの乖離状況に基づいて簡便にトラフィック異常性情報を生成することができる。【００４４】
また、本発明によれば、あらかじめ設定された所定の性能異常性検知条件に基づいて性能異常性情報を検知することとしたので、性能測定装置が効率的に性能異常性情報を検知することができるとともに、性能異常性検知条件を変更することにより、検知対象となる通信機器の性能の差異や性能の変化に容易に対処することができる。【００４５】
また、本発明によれば、通信機器に応答要求メッセージを送信してから応答要求メッセージに対応する応答メッセージを受信するまでの応答時間と、応答時間が所定の閾値を上回る回数とを含むこととしたので、通信機器の応答時間に基づいて簡便に性能異常性情報を生成することができる。【００４６】
また、本発明によれば、通信機器の平均的な性能特性を表す定常性能に基づいて性能異常性情報を検知することとしたので、検知された性能と定常性能との乖離状況に基づいて簡便に性能異常性情報を生成することができる。【００４７】
また、本発明によれば、トラフィック異常性情報および性能異常性情報に含まれる異常発生時刻に基づいてトラフィック異常性情報または性能異常性情報のいずれか一方の異常性情報に起因して他方の異常性情報が発生したと判断した場合にサービス不能攻撃であると判断することとしたので、トラフィック異常性情報のみならず性能異常性情報を用いてこれらの異常性情報の関連によりサービス不能攻撃であるか否かを判断することにより、サービス不能攻撃の検知精度を向上させ対処の必要なサービス不能攻撃のみを検知することができる。【００４８】
また、本発明によれば、攻撃判断装置がサービス不能攻撃であると判断した場合に、判断に用いたトラフィック異常性情報および性能異常性情報をオペレータ通知用装置に送信することとしたので、これらの性能異常性情報に基づいてオペレータが適切な対処をすることができる。【００４９】
また、本発明によれば、トラフィック異常性情報および性能異常性情報に含まれる証明書に基づいた認証を行ったうえで、サービス不能攻撃であるか否かを判断することとしたので、非正規な装置を用いたなりすましを効果的に防止することができる。
【図面の簡単な説明】
【００５０】
【図１】図１は、本実施例に係るサービス不能攻撃検知システムの構成を示すブロック図である。
【図２】図２は、図１に示した監視装置の構成を示すブロック図である。
【図３】図３は、攻撃検知条件の一例を示す図である。
【図４】図４は、図１に示した性能測定装置の構成を示すブロック図である。
【図５】図５は、性能異常性検知条件の一例を示す図である。
【図６】図６は、図１に示した攻撃判断装置の構成を示すブロック図である。
【図７】図７は、図２に示した監視装置の動作を示すフローチャートである。
【図８】図８は、図４に示した性能測定装置の動作を示すフローチャートである。
【図９】図９は、図６に示した攻撃判断装置の動作を示すフローチャートである。
【符号の説明】
【００５１】
１  サービス不能攻撃検知システム
２  ＬＡＮ
３  通信機器
４  ＷＡＮ
５  監視装置
６、９  通信回線
７  性能測定装置
８  攻撃判断装置
１０  トラフィック異常性検知部
１１  トラフィック異常性情報送信部
１２  シグネチャ生成部
１３、１４、１８、１９、２２  通信インタフェイス
１５  スイッチ
１６  性能異常性検知部
１７  性能異常性情報送信部
２０  影響判断部
２１  アラート送信部
【発明を実施するための最良の形態】
【００５２】
以下に添付図面を参照して、この発明に係るサービス不能攻撃検知システムおよびサービス不能攻撃検知方法の好適な実施の形態を詳細に説明する。
【実施例】
【００５３】
図１は、本実施例に係るサービス不能攻撃検知システム１の構成を示すブロック図である。同図に示すサービス不能攻撃検知システム１は、通信機器３へのサービス不能攻撃を監視装置５、性能測定装置７および攻撃判断装置８を用いて検知するシステムである。具体的には、ＬＡＮ（LocalAreaNetwork）２上の監視装置５が通信機器３宛のパケットによるトラフィック異常を検知したならば（図１のステップ１）、かかるトラフィック異常の内容を表すトラフィック異常性情報を攻撃判断装置８に送信する（図１のステップ２）。【００５４】
また、ＷＡＮ（WideAreaNetwork）４上の性能測定装置７が通信機器３の性能異常を検知したならば（図１のステップ３）、かかる性能異常の内容を表す性能異常性情報を攻撃判断装置８に送信する(図１のステップ４)。そして、ＬＡＮ２上の攻撃判断装置８がトラフィック異常性情報および性能異常性情報を受信したならば、これらの異常性情報に基づいて通信機器３に対するサービス不能攻撃であるか否かを判断する（図１のステップ５）こととしている。【００５５】
従来、通信機器３を攻撃対象とするサービス不能攻撃を検知する場合には、攻撃対象となる通信機器３宛のトラフィックを所定の期間にわたって測定することにより定常トラフィックをあらかじめ算出し、監視しているトラフィックが、かかる定常トラフィックから乖離した場合に攻撃とみなすこととしてサービス不能攻撃を検知していた。しかしながら、サービス不能攻撃の攻撃規模と、ネットワークおよび通信機器の処理能力との関係から、トラフィックが異常性を示したとしても通信機器３が提供するサービスに実害がない場合が多々存在した。このため、サービス不能攻撃として検知された場合であっても、実際には何ら対処の必要がないことも多く、実質的に誤検知したことと何らかわりがない状況が発生していた。【００５６】
本実施例では、トラフィック異常性の検知を監視装置５が行い、通信装置３の性能異常性の検知を性能測定装置７が行うこととし、さらに、トラフィック異常性および性能異常性に基づいた攻撃判断を攻撃判断装置８が行うこととしている。したがって、本実施例によれば、トラフィック異常性のみならず通信機器３の性能異常性に基づいた攻撃判断をすることができるので、サービス不能攻撃の検知精度向上により、対処を必要とするサービス不能攻撃のみを効果的に検知することができる。【００５７】
なお、図１においては、監視装置５および攻撃判断装置８が通信機器３と同一のＬＡＮ２に接続され、性能測定装置７がＷＡＮ４に接続された場合について図示しているが、各装置（監視装置５、性能測定装置７および攻撃判断装置８）が接続される回線を限定するものではない。【００５８】
次に、このサービス不能攻撃検知システム１のシステム構成について説明する。図１に示すように、このサービス不能攻撃検知システム１は、中小企業内のＬＡＮ２に設けられ、ＬＡＮ２に接続された少なくとも１つの通信機器３に基幹回線網等のＷＡＮ４を介して送信されたパケットを監視する監視装置５と、ＷＡＮ４に設けられ、ＷＡＮ４を介して通信機器３の性能を測定する性能測定装置７と、ＬＡＮ２に設けられ、監視装置５および性能測定装置７と通信回線９により接続された攻撃判断装置８とを備えている。なお、図１に示したサービス不能攻撃検知システム１の構成は一例を示すものであり、本発明のサービス不能攻撃検知システムは、複数の性能測定装置７を備えてもよく、これらの性能測定装置６の一部またはすべてを、他者が提供するＷｅｂ（WorldWideWeb）サイト性能測定サービスを使うように構成してもよい。【００５９】
監視装置５は、ＬＡＮ２を構成するルータによって構成されている。なお、監視装置５は、ＬＡＮ２に設けられたファイアウォール等によって構成してもよい。【００６０】
図２は、図１に示した監視装置５の構成を示すブロック図である。監視装置５は、通信機器３に送信されるパケットによるトラフィックの異常性を検知するトラフィック異常性検知部１０と、検知したトラフィック異常性情報を攻撃判断装置８に送信するトラフィック異常性情報送信部１１と、通信機器３に対する攻撃を行うパケットの特徴を表すシグネチャを生成するシグネチャ生成部１２と、ＷＡＮ４およびＬＡＮ２に設けられた攻撃判断装置８を含む各装置とそれぞれ通信を行うための通信インタフェイス１３、１４と、パケットをルーティングするためのスイッチ１５とを備えている。【００６１】
トラフィック異常性検知部１０は、あらかじめ設定された攻撃検知条件に基づいて攻撃を検知する処理部である。図３は、攻撃検知条件の一例を示す図である。図３において、攻撃検知条件は、検知属性、検知閾値および検知時間の組からなる２組のレコードで構成される。検知属性は、検知対象とするパケットの属性を示し、検知閾値は、検知対象となるパケットの伝送レートの閾値を示し、検知時間は、検知対象となるパケットの伝送レートが検知閾値を超える時間の閾値を示している。【００６２】
例えば、１番目の検知条件は、宛先のアドレス情報が１９２．１６８．１．１であり（Ｄｓｔ＝１９２．１６８．１．１／３２）、トランスポート層のプロトコルがＴＣＰ（TransmissionControlProtocol）であり（Ｐｒｏｔｏｃｏｌ＝ＴＣＰ）、ＴＣＰポート番号が８０である（Ｐｏｒｔ＝８０）パケットが検知対象となり、この検知対象のパケットの伝送レートが３００ｋｂｐｓを超えた状態が１０秒以上続いた場合には、検知対象のパケットによるトラフィック異常性として検知される。【００６３】
同様に、２番目の検知条件は、宛先のアドレス情報が１９２．１６８．１．２（Ｄｓｔ＝１９２．１６８．１．２／３２）であるパケットが検知対象となり、この検知対象のパケットの伝送レートが１００ｋｂｐｓを超えた状態が１０秒以上続いた場合には、検知対象のパケットによるトラフィック異常性として検知される。【００６４】
このように、検知対象のパケットによる攻撃がトラフィック異常性検知部１０によって検知されると、シグネチャ生成部１２は、検知対象のパケットの特徴を表すシグネチャを生成する。例えば、図３における攻撃検知条件の１番目の検知条件に合う攻撃が検知された場合には、シグネチャ生成部１２は、宛先のアドレス情報が１９２．１６８．１．１であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が８０であるパケットを示すシグネチャを生成する。【００６５】
上述した方法は、あらかじめ攻撃と判断するための条件を設定しておく方法であるが、平均的なトラフィックを測定して定常トラフィックとして記憶しておき、かかる定常トラフィックとの乖離から攻撃と判断する方法を用いることとしてもよい。【００６６】
トラフィック異常性情報送信部１１は、シグネチャ生成部１２によって生成されたシグネチャを含み、トラフィックの異常性が検出されたことを表すトラフィック異常性情報を攻撃判断装置８に送信する処理部である。また、このトラフィック異常性情報送信部１１は、自装置が正規な監視装置５であることを示す証明書を上記したトラフィック異常性情報に含めて送信する。このように、トラフィック異常性情報に証明書を含めることで、非正規な装置によるなりすましを防止することができる。【００６７】
なお、トラフィック異常性情報送信部１１は、パケットが送受信される伝送路６とは異なる経路でトラフィック異常性情報を送信するようにしてもよい。また、本実施例においては、トラフィック異常性情報を攻撃判断装置８に送信することとしたが、攻撃判断装置８が監視装置５のトラフィック異常性情報を参照するようにしてもよい。【００６８】
図１に示した性能測定装置７は、インターネットサイトの応答時間を測定するプログラムを実行するコンピュータによって構成されている。【００６９】
図４は、図１に示した性能測定装置７の構成を示すブロック図である。この性能測定装置７は、あらかじめ設定された性能異常性検知条件に基づいて性能の異常性を検出する性能異常性検知部１６と、検出された性能異常性情報を攻撃判断装置８に送信する性能異常性情報送信部１７と、攻撃判断装置８および性能を測定するための通信をそれぞれ行うための通信インタフェイス１８、１９とを備えている。【００７０】
図５は、性能異常性検知条件の一例を示す図である。図５において、性能異常性検知条件は、性能属性、検知閾値および検知回数の組からなる２組のレコードで構成される。性能属性は、性能を測定する手順を示し、検知閾値は、通信装置３からの応答時間の閾値を示し、検知回数は、測定回数と、測定回数のうち応答時間の閾値を上回った回数とを示している。【００７１】
例えば、１番目の性能異常性検知条件は、ＨＴＴＰで、ｗｗｗ．ａｂｃ．ｃｏｍにアクセスし、“ｈｅｌｌｏ”という文字列が返ってくるまでの応答時間を測定するものである。そして、３回の測定のうち２回以上が５秒以上の応答時間であった場合に通信装置３の性能異常として検出する。【００７２】
同様に、２番目の性能異常性検知条件は、ＨＴＴＰで、ｗｗｗ．ｄｅｆ．ｃｏｍにパラメータ“ｓｅａｒｃｈ？ｈｌ＝ｊａ＆ｉｅ＝ＵＴＦ−８＆ｑ＝ｘ＋Ｙ＆ｌｒ＝”でアクセスし、“検索結果”という文字列が返ってくるまでの応答時間が１回でも５秒以上であった場合に通信装置３の性能異常として検出する。【００７３】
このようにして、性能異常性検知部１６が通信装置３の性能異常を検出すると、性能異常性情報送信部１７は、性能の異常性が検出されたことを表す性能異常性情報を攻撃判断装置８に送信する。また、この性能異常性情報送信部１７は、自装置が正規な性能測定装置７であることを示す証明書を上記した性能異常性情報に含めて送信する。このように、性能異常性情報に証明書を含めることで、非正規な装置によるなりすましを防止することができる。なお、本実施例においては、性能異常性情報を攻撃判断装置８に送信することとしたが、攻撃判断装置８が性能測定装置７の性能異常性情報を参照するようにしてもよい。【００７４】
上述した方法は、あらかじめ性能異常性を検出するための条件を設定しておく方法であるが、平均的な性能特性を測定して定常性能として記憶しておき、かかる定常性能との乖離から性能異常性を検出する方法を用いることとしてもよい。【００７５】
図６は、図１に示した攻撃判断装置８の構成を示すブロック図である。この攻撃判断装置８は、監視装置５から送られてきたトラフィック異常性情報と、性能測定装置７から送られてきた性能異常性情報とに基づいて、検出されたトラフィックの異常が、検出された性能異常を引き起こしているか否かを判断する影響判断部２０と、判断結果をオペレータなどに通知するアラート送信部２１と、監視装置５、性能測定装置７およびオペレータ通知用装置とそれぞれ通信を行うための通信インタフェイス２２とを備えている。【００７６】
例えば、ｗｗｗ．ａｂｃ．ｃｏｍのホストアドレスが１９２．１６８．１．１であったとする。そして、ある時間ｔに、１９２．１６８．１．１宛のＴＣＰポート番号が８０のトラフィックが異常であることを表すトラフィック異常性情報を受け取り、続いて、時刻ｔ＋αの時点でｗｗｗ．ａｂｃ．ｃｏｍの通信装置３のレスポンスタイム異常が発生したことを表す性能異常性情報を受け取ったとする。このような状況において、各異常性情報に係る異常が発生した時間が近い場合（例えばαが１分以内）には、トラフィックの異常性がｗｗｗ．ａｂｃ．ｃｏｍのレスポンス悪化を引き起こしている可能性が高いと判断し、アラート送信部２１を通してオペレータにその旨を伝え対処を促す。【００７７】
このようにして、影響判断部２０がサービス不能攻撃であると判断すると、アラート送信部２１は、かかる判断に用いたトラフィック異常性情報および性能異常性情報をオペレータ通知用装置に送信する。なお、本実施例においては、かかるトラフィック異常性情報および性能異常性情報をオペレータ通知用装置に送信することとしたが、攻撃判断装置８が表示装置などを備えることによりこれらの異常性情報をオペレータに通知するようにしてもよい。【００７８】
また、かかる影響判断部２０は、監視装置５から送られてきたトラフィック異常性情報および性能測定装置７から送られてきた性能異常性情報に含まれる証明書に基づいた認証をおこなったうえで、サービス不能攻撃であるか否かを判断することとしてもよい。このようにすることで、偽造されたトラフィック異常性情報や性能異常性情報による影響を排除することができる。【００７９】
以上のように構成されたサービス不能攻撃検知システム１について、図７〜図９を用いてその動作を説明する。図７は、図２に示した監視装置５の動作を示すフローチャートである。【００８０】
まず、通信機器３に送信されるパケットによる攻撃がトラフィック異常性検知部１０によって攻撃検知条件に基づいて検知されると（ステップＳ１）、攻撃が検知されたパケットの特徴を表すシグネチャがシグネチャ生成部１２によって生成され（ステップＳ２）、生成されたシグネチャを含むトラフィック異常性情報が異常性情報送信部１１によって攻撃判断装置８に送信される（ステップＳ３）。【００８１】
図８は、図４に示した性能測定装置７の動作を示すフローチャートである。まず、性能異常性検知部１６によって性能異常検知条件に基づいて通信機器３の応答時間の異常性が検知されると（ステップＳ１１）、検知された情報を含む性能異常性情報を生成し（ステップＳ１２）、生成された性能異常性情報が性能異常性情報送信部１７によって攻撃判断装置８に送信される（ステップＳ１３）。【００８２】
図９は、図６に示した攻撃判断装置８の動作を示すフローチャートである。監視装置５からトラフィック異常性情報が送られてくると（ステップＳ２１）、それまでに受け取っている性能異常性情報の中から、そのトラフィック異常性が原因になっていると思われるものを検索し（ステップＳ２２）、見つかった場合にはかかるトラフィック異常性情報および性能異常性情報をオペレータ通知用装置に送信する（ステップＳ２３）。【００８３】
また、性能測定装置７から性能異常性情報が送られてきた場合には（ステップＳ２４）、それまでに受け取っているトラフィック異常性情報の中から、その性能異常性の原因になっていると思われるものを検索し（ステップＳ２５）、見つかった場合にはかかるトラフィック異常性情報および性能異常性情報をオペレータ通知用装置に送信する（ステップＳ２３）。【００８４】
上述してきたように、サービス不能攻撃検知システム１によれば、トラフィック異常性および性能異常性を検知して、これらの異常性の関連を判断することにより、性能異常を引き起こしているトラフィック異常のみを検出することができるので、サービス不能攻撃の検知精度を向上させることによって運用者の対処を必要とするサービス不能攻撃のみを検出することができる。【００８５】
なお、上記実施例に示した監視装置、性能測定装置および攻撃判断装置は、コンピュータにプログラムをロードして実行することにより機能発揮する。具体的には、監視装置のコンピュータのＲＯＭ（ReadOnlyMemory）等に通信機器宛パケットのトラフィック異常性を検知するルーチンを含むプログラムを記憶し、また、性能測定装置のコンピュータのＲＯＭ等に通信機器の性能異常性を検知するルーチンを含むプログラムを記憶し、また、攻撃判断装置のコンピュータのＲＯＭ等にトラフィック異常性情報および性能異常性情報の関連を判断するルーチンを含むプログラムを記憶しておき、各装置がこれらのプログラムをＣＰＵにロードして実行することにより、本発明に係る監視装置、性能測定装置および攻撃判断装置を形成することができる。
【産業上の利用可能性】
【００８６】
以上のように、本発明にかかるサービス不能攻撃検知システムおよびサービス不能攻撃検知方法は、通信機器へのサービス不能攻撃を検知する場合に適している。
【図１】
0004709160.tif 000002
【図２】
0004709160.tif 000003
【図３】
0004709160.tif 000004
【図４】
0004709160.tif 000005
【図５】
0004709160.tif 000006
【図６】
0004709160.tif 000007
【図７】
0004709160.tif 000008
【図８】
0004709160.tif 000009
【図９】
0004709160.tif 000010