(57)【特許請求の範囲】
【請求項１】
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの第１の総数について輻輳が起こりうるための第１の閾値、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの第２の総数について輻輳が起こりうるための第２の閾値、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの第３の総数について輻輳が起こりうるための第３の閾値を予め設定するステップと、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの前記第１の総数、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第２の総数、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第３の総数を計測するステップと、
前記第１の総数が前記第１の閾値を上回り、前記第２の総数が前記第２の閾値を上回り、前記第３の総数が前記第３の閾値を上回った場合に、
（１）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号の単位時間当たりの数を計測し、該計測数が予め設定された第４の閾値を上回るソースアドレスの数が予め設定された第５の閾値を上回るかを判定するステップと、
（２）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（３）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、対応するパケットの宛先の数が予め設定された第６の閾値を上回るかを判定するステップと、
（４）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が予め設定された第７の閾値を上回るかを判定するステップと、
（５）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が予め設定された第８の閾値を上回るかを判定するステップと、
（６）前記ソースアドレスごとに前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第９の閾値を上回るソースアドレスの数が予め設定された第１０の閾値を上回るかを判定するステップと、
（７）前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（８）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第１１の閾値を上回るソースアドレスの数が予め設定された第１２の閾値を上回るかを判定するステップと、
（９）前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（１０）前記ステップ（１）から（９）の判定結果のうち、複数の結果の積条件を満たす場合に、前記ソースアドレスからのトラヒックをフィルタリングするステップと、
を含むことを特徴とするＳＩＰサーバにおける攻撃防御方法。
【請求項２】
前記ステップ（１０）は、前記複数の結果の一つとして前記ステップ（１）の判定結果を用いることを特徴とする請求項１に記載のＳＩＰサーバにおける攻撃防御方法。
【請求項３】
前記ステップ（１０）は、前記複数の結果の一つとして前記ステップ（２）の判定結果を用いることを特徴とする請求項１に記載のＳＩＰサーバにおける攻撃防御方法。
【請求項４】
前記ステップ（１０）は、前記複数の結果の一つとして前記ステップ（３）の判定結果を用いることを特徴とする請求項１に記載のＳＩＰサーバにおける攻撃防御方法。
【請求項５】
前記ステップ（１０）は、前記複数の結果の一つとして前記ステップ（４）の判定結果を用いることを特徴とする請求項１に記載のＳＩＰサーバにおける攻撃防御方法。
【請求項６】
前記ステップ（１０）は、前記複数の結果の一つとして前記ステップ（５）の判定結果を用いることを特徴とする請求項１に記載のＳＩＰサーバにおける攻撃防御方法。
【請求項７】
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの第１の総数について輻輳が起こりうるための第１の閾値、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの第２の総数について輻輳が起こりうるための第２の閾値、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの第３の総数について輻輳が起こりうるための第３の閾値を予め設定する手段と、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの前記第１の総数、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第２の総数、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第３の総数を計測する手段と、
前記第１の総数が前記第１の閾値を上回り、前記第２の総数が前記第２の閾値を上回り、前記第３の総数が前記第３の閾値を上回った場合に、
（１）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号の単位時間当たりの数を計測し、該計測数が予め設定された第４の閾値を上回るソースアドレスの数が予め設定された第５の閾値を上回るかを判定する手段と、
（２）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号の単位時間内の間隔が一定時間であるかを判定する手段と、
（３）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、対応するパケットの宛先の数が予め設定された第６の閾値を上回るかを判定する手段と、
（４）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が予め設定された第７の閾値を上回るかを判定する手段と、
（５）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が予め設定された第８の閾値を上回るかを判定する手段と、
（６）前記ソースアドレスごとに前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第９の閾値を上回るソースアドレスの数が予め設定された第１０の閾値を上回るかを判定する手段と、
（７）前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定する手段と、
（８）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第１１の閾値を上回るソースアドレスの数が予め設定された第１２の閾値を上回るかを判定する手段と、
（９）前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定する手段と、
（１０）前記手段（１）から（９）の判定結果のうち、複数の結果の積条件を満たす場合に、前記ソースアドレスからのトラヒックをフィルタリングする手段と、
を具えることを特徴とするＳＩＰサーバにおける攻撃防御システム。
【請求項８】
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの第１の総数について輻輳が起こりうるための第１の閾値、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの第２の総数について輻輳が起こりうるための第２の閾値、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの第３の総数について輻輳が起こりうるための第３の閾値を予め設定するステップと、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの前記第１の総数、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第２の総数、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第３の総数を計測するステップと、
前記第１の総数が前記第１の閾値を上回り、前記第２の総数が前記第２の閾値を上回り、前記第３の総数が前記第３の閾値を上回った場合に、
（１）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号の単位時間当たりの数を計測し、該計測数が予め設定された第４の閾値を上回るソースアドレスの数が予め設定された第５の閾値を上回るかを判定するステップと、
（２）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（３）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、対応するパケットの宛先の数が予め設定された第６の閾値を上回るかを判定するステップと、
（４）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が予め設定された第７の閾値を上回るかを判定するステップと、
（５）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が予め設定された第８の閾値を上回るかを判定するステップと、
（６）前記ソースアドレスごとに前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第９の閾値を上回るソースアドレスの数が予め設定された第１０の閾値を上回るかを判定するステップと、
（７）前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（８）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第１１の閾値を上回るソースアドレスの数が予め設定された第１２の閾値を上回るかを判定するステップと、
（９）前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（１０）前記ステップ（１）から（９）の判定結果のうち、複数の結果の積条件を満たす場合に、前記ソースアドレスからのトラヒックをフィルタリングするステップと、
をＳＩＰサーバとして機能するコンピュータに実行させる攻撃防御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰネットワークにおけるＤＤｏＳ攻撃に対するインターネットセキュリティを向上する、ＳＩＰサーバにおける攻撃防御方法、システム及びプログラムに関する。
【背景技術】
【０００２】
従来、ＳＩＰ信号による攻撃の検出／防御は、単一のＳＡ（ソースアドレス）からの多量信号の検出によるのが一般的である（例えば、特許文献１参照）。また、単一のＳＡからの信号量はさほど多くないが、複数のＳＡから送信されることによりトータルでは大きな影響を及ぼす攻撃に対しては、既存電話網で実現していたトラヒック制御技術をＩＰネットワークに対して実装するような方法が提案されている（例えば、非特許文献1参照）。
【特許文献１】特開２００４−３２０６３６号公報
【非特許文献１】宮越  外3名、“高品質な1P電話サービスの実現をサポートするIPトラヒック制御システム（IP−TOS）の開発”、NTTコムウェア・テクノロジー、NTTコムウェア株式会社、平成15年、Vol．05、P.43−47
【発明の開示】
【発明が解決しようとする課題】
【０００３】
「単一のＳＡからの信号量はさほど多くないが、複数のＳＡから送信されることによりトータルでは大きな影響を及ぼす攻撃」については、チケット予約等のいわゆる企画型輻輳等の正規呼（善意呼）との区別が困難であり、既存電話網におけるトラヒック制御技術においては、攻撃呼も正当呼も一律同じ割合で制限することにより対応をとっているため、パースト的に押し寄せる攻撃呼に対して、正当呼が受け入れられる可能性が低くなることがあり、その結果、正当呼の保護に欠けてしまう不都合がある。
【０００４】
本発明の目的は、複数のＳＡからの攻撃（ＤＤｏＳ攻撃）又はいわゆるワン切り（受信者に着信電話番号にかけ直させることにより有料番組などを聞かせるため、携帯電話などに電話を掛けて電話番号の表示をさせ、１回で切る迷惑電話）を精度良く検出することにより、fa1se−positive、fa1se−negativeのリスクの低い攻撃防御を行うことができるＳＩＰサーバにおける攻撃防御方法、システム及びプログラムを提供することである。
【課題を解決するための手段】
【０００５】
本発明によるＳＩＰサーバにおける攻撃防御方法は、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの第１の総数について輻輳が起こりうるための第１の閾値、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの第２の総数について輻輳が起こりうるための第２の閾値、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの第３の総数について輻輳が起こりうるための第３の閾値を予め設定するステップと、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの前記第１の総数、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第２の総数、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第３の総数を計測するステップと、
前記第１の総数が前記第１の閾値を上回り、前記第２の総数が前記第２の閾値を上回り
、前記第３の総数が前記第３の閾値を上回った場合に、
（１）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号の単位時間当たりの数を計測し、該計測数が予め設定された第４の閾値を上回るソースアドレスの数が予め設定された第５の閾値を上回るかを判定するステップと、
（２）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（３）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、対応するパケットの宛先の数が予め設定された第６の閾値を上回るかを判定するステップと、
（４）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が予め設定された第７の閾値を上回るかを判定するステップと、
（５）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が予め設定された第８の閾値を上回るかを判定するステップと、
（６）前記ソースアドレスごとに前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第９の閾値を上回るソースアドレスの数が予め設定された第１０の閾値を上回るかを判定するステップと、
（７）前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（８）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第１１の閾値を上回るソースアドレスの数が予め設定された第１２の閾値を上回るかを判定するステップと、
（９）前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（１０）前記ステップ（１）から（９）の判定結果のうち、複数の結果の積条件を満たす場合に、前記ソースアドレスからのトラヒックをフィルタリングするステップと、
を含むことを特徴とする。
【０００６】
本発明によるＳＩＰサーバにおける攻撃防御システムは、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの第１の総数について輻輳が起こりうるための第１の閾値、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの第２の総数について輻輳が起こりうるための第２の閾値、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの第３の総数について輻輳が起こりうるための第３の閾値を予め設定する手段と、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの前記第１の総数、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第２の総数、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第３の総数を計測する手段と、
前記第１の総数が前記第１の閾値を上回り、前記第２の総数が前記第２の閾値を上回り、前記第３の総数が前記第３の閾値を上回った場合に、
（１）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号の単位時間当たりの数を計測し、該計測数が予め設定された第４の閾値を上回るソースアドレスの数が予め設定された第５の閾値を上回るかを判定する手段と、
（２）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号の単位時間内の間隔が一定時間であるかを判定する手段と、
（３）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、対応するパケットの宛先の数が予め設定された第６の閾値を上回るかを判定する手段と、
（４）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が予め設定された第７の閾値を上回るかを判定する手段と、
（５）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が予め設定された第８の閾値を上回るかを判定する手段と、
（６）前記ソースアドレスごとに前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第９の閾値を上回るソースアドレスの数が予め設定された第１０の閾値を上回るかを判定する手段と、
（７）前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定する手段と、
（８）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第１１の閾値を上回るソースアドレスの数が予め設定された第１２の閾値を上回るかを判定する手段と、
（９）前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定する手段と、
（１０）前記手段（１）から（９）の判定結果のうち、複数の結果の積条件を満たす場合に、前記ソースアドレスからのトラヒックをフィルタリングする手段と、
を具えることを特徴とする。
【０００７】
さらに、本発明は、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの第１の総数について輻輳が起こりうるための第１の閾値、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの第２の総数について輻輳が起こりうるための第２の閾値、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの第３の総数について輻輳が起こりうるための第３の閾値を予め設定するステップと、
ＳＩＰサーバにおけるＩＮＶＩＴＥ信号の単位時間当たりの前記第１の総数、ＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第２の総数、並びにＩＮＶＩＴＥ信号及びＲＥＧＩＳＴＥＲ信号の単位時間当たりの前記第３の総数を計測するステップと、
前記第１の総数が前記第１の閾値を上回り、前記第２の総数が前記第２の閾値を上回り、前記第３の総数が前記第３の閾値を上回った場合に、
（１）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号の単位時間当たりの数を計測し、該計測数が予め設定された第４の閾値を上回るソースアドレスの数が予め設定された第５の閾値を上回るかを判定するステップと、
（２）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（３）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、対応するパケットの宛先の数が予め設定された第６の閾値を上回るかを判定するステップと、
（４）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が予め設定された第７の閾値を上回るかを判定するステップと、
（５）前記ＩＮＶＩＴＥ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が予め設定された第８の閾値を上回るかを判定するステップと、
（６）前記ソースアドレスごとに前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第９の閾値を上回るソースアドレスの数が予め設定された第１０の閾値を上回るかを判定するステップと、
（７）前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（８）前記ソースアドレスごとに前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間当たりの数を計測し、該計測数が予め設定された第１１の閾値を上回るソースアドレスの数が予め設定された第１２の閾値を上回るかを判定するステップと、
（９）前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号を単位時間の間にソースアドレスごとに監視し、前記ＩＮＶＩＴＥ信号及び前記ＲＥＧＩＳＴＥＲ信号の単位時間内の間隔が一定時間であるかを判定するステップと、
（１０）前記ステップ（１）から（９）の判定結果のうち、複数の結果の積条件を満たす場合に、前記ソースアドレスからのトラヒックをフィルタリングするステップと、
をＳＩＰサーバとして機能するコンピュータに実行させる攻撃防御プログラムとしても特徴付けられる。 
【発明の効果】
【０００８】
本発明によれば、単一のＳＡからの大量パケットではなく複数のＳＡからの積み重ねによりネットワーク全体としては大きな影響が及ぼされる攻撃や、ＶｏＩＰを含む音声通話で近年増加しているワン切りに対する防御を行う。
【０００９】
このために、先ず、REGISTER信号やINVITE信号のようなセッション起動信号の量を観測し、閾値を超えた段階でＤＤｏＳ攻撃又はワン切り特有のパターン（例えば、複数の相手にかける、相手との通話状態になる前に切断する等）が見受けられるサービスアドレスを特定して、当該サービスアドレスからのトラヒックをフィルタリングする。
【００１０】
好適には、以下のフィルタリング条件を有する。
ａ．前記トラヒックのフィルタリングを行うステップが、前記サービスアドレスごとのセッション起動信号の数が閾値を上回るサービスアドレスの数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｂ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、前記セッション起動信号の単位時間内の間隔が一定時間である場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｃ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、対応するパケットの宛先の数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｄ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｅ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、前記セッション起動信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が、閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
【００１１】
ａ〜ｅのフィルタリング条件に関しては、保守者によってそのパラメータ（閾値及び単位時間）を変更可能とし、さらにフィルタリング条件自身も、それぞれの条件の和又は積の形で保守者が利用できるようにする。
【発明を実施するための最良の形態】
【００１２】
本発明によるＳＩＰサーバにおける攻撃防御方法、システム及びプログラムの実施の形態を、図面を参照して詳細に説明する。
図１は、本発明によるＳＩＰサーバにおける攻撃防御システムの実施の形態を示す図である。
図１において、本発明による攻撃防御システムを実現するＳＩＰサーバ１は、エッジルータ２を通じてＩＳＰコアネットワーク３に接続され、単位時間（Ｔ秒）当たりのＳＡごとのINVITE信号数及び総数Ｉ並びにＳＡごとのREGISTER信号数及び総数Ｒをカウントする。ＳＩＰ端末２は、ＳＩＰサーバ１に収容され、エッジルータ４を通じてＩＳＰコアネットワーク３に接続される。
【００１３】
前提条件として、二つの前提を設ける。第１の前提は、ＳＩＰサーバ１では、ＳＩＰプロトコルのフオーマットやシーケンスをチェックしており、異常な処理が検出された場合には、パケットを事前に廃棄しているものとする。すなわち、ＳＡ詐称のパケットは本機能により排除されるため、本実施の形態にて対象とされる場所では、ＳＡが詐称されておらず、また、フォーマットやシーケンスについても異常処理が行われておらず、正常な処理（悪意呼を含む）が行われていることを前提としている。第２の前提は、複数のＳＡからではない単一のＳＡからの攻撃（いわゆるＤｏＳ攻撃）については、単一ＳＡからの多量信号の検出に基づき事前に防御されているものとする。
【００１４】
先ず、ＳＩＰサーバ１において、INVITE信号及びREGISTER信号の各々の単位時間当たりの総数Ｉ，Ｒ及びＳＡごとの数、両者を含めた単位時間当たりの総数Ｉ＋Ｒ及びＳＡごとの数を測定し、各々の総数Ｉ，Ｒについて輻輳が起こりうるための閾値Ａを予め定め、総数Ｉが閾値Ａを上回った場合に「ＤＤｏＳ検出・防御機能」を作動させ、即時に発呼規制を実施する（閾値を上回った分については受け付けないものとする）。それに対して、総数Ｉが閾値Ａを下回った場合には、本機能を終了させることにより、fa1se−positiveのリスクを最小にする。
【００１５】
ＤＤｏＳ検出・防御機能としては、以下の五つの機能を設ける。
１−１．計測したＳＡごとのINVITE信号の数が予め定められた閾値Ｂを上回ったＳＡの数が、予め定められた閾値Ｃを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−２．単位時間Ｕの間にＳＡごとのINVITE信号を監視し、単位時間Ｕ内の各々の信号の間隔が一定時間（一定誤差ｅ％内）であった場合、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−３．単位時間Ｖの間にＳＡごとの1NVITE信号を監視し、パケットの宛先（Ｔｏフィールド）の数が予め定められた閾値Ｄを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−４．単位時間Ｗの間にＳＡごとのINVITE信号を監視し、呼状態がRinging状態であるときに呼を切断した（ＳＩＰサーバ１の発するBYE信号の受信）回数が予め定められた閾値Ｅを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−５．単位時間Ｘの間にＳＡごとのINVITE信号を監視し、INVITE信号を受信してから呼を切断する（ＳＩＰ端末５の発するBYE信号の受信）までの時間が予め定められた時間Ｙよりも短い回数が予め定められた閾値Ｅを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
【００１６】
保守者は、フィルタリングの実施として上記１〜５を選択できるものとし、また、上記１−１〜１−５についての積条件、和条件に基づくＳＡによるフィルタリングも選択可能とする。また、閾値Ａ〜Ｅ、時間Ｔ〜Ｙ、誤差値ｅについては、保守者により設定可能とする。
【００１７】
上記については、1NVITE信号の総数Ｉが閾値Ａを上回った場合の機能について記したが、REGISTER信号の総数Ｒが予め定められた閾値を上回った場合について、上記１−１，１−２と同様の機能を実装する（各機能を、それぞれ、２−１，２−２とする。）。また、保守者によるカスタマイズについては、上記INVITE信号の場合と同様とする。
【００１８】
また、INVITE信号とREGISTER信号の総数Ｉ＋Rが予め定められた閾値を上回った場合の処理として、１−１かつ２−１（これを３−１とする。）、１−１かつ２−１（これを３−２とする。）の各条件を設ける。また、保守者によるカスタマイズについては、上記INVITE信号の場合と同様とする。INVITE信号による攻撃を防御する場合の保守者による条件の設定画面の例を図２に示す。また、上記の機能ブロック構成例について図３に示す。
【００１９】
従来、ＳＩＰプロトコルを対象とする攻撃でも、複数のＳＡからの緩やかな攻撃（パースト性の弱い連続INVITE信号やREGISTER信号の発信）は、チケット予約などのいわゆる企画型発呼による輻輳との区別が困難であったが、本発明によればこれらの区別が可能となる。また、各条件の組み合わせや閾値などをチューニングすることにより、fa1se−negativeはもちろん、fa1se−positiveについても減らすことができる。
【００２０】
本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。
例えば、ＳＩＰサーバにおける攻撃防御システムは、ＣＰＵ，ＲＡＭ等の揮発性の記憶媒体、ＲＯＭなどの不揮発性の記憶媒体、キーボード、ポインティングデバイス等の入力装置、画像やデータを表示するモニタ装置、及び外部の装置と通信をするためのインタフェースを具えたコンピュータによって構成されるようにしてもよい。この場合、ＳＩＰサーバにおける攻撃防御システムに具えた各機能は、これらの機能を記述したプログラムをＣＰＵに実行させることによりそれぞれ実現される。また、これらのプログラムは、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ，ＤＶＤ等）、半導体メモリ等の記憶媒体に格納して頒布することもできる。
【図面の簡単な説明】
【００２１】
【図１】本発明によるＳＩＰサーバにおける攻撃防御システムの実施の形態を示す図である。
【図２】INVITE信号による攻撃を防御する場合の保守者による条件の設定画面の例を示す図である。
【図３】本発明によるＳＩＰサーバにおける機能防御方法及びプログラムの機能ブロックを示す図である。
【符号の説明】
【００２２】
１  ＳＩＰサーバ
２，４  エッジルータ
３  ＩＳＰコアネットワーク
５  ＳＩＰ端末
【図１】
0004654092.tif 000002
【図２】
0004654092.tif 000003
【図３】
0004654092.tif 000004