(57)【特許請求の範囲】
【請求項１】
分散型サービス拒否（ＤＤｏＳ）攻撃検出のための方法であって：
サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得する工程；
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する工程であって、該トラフィック周期変動曲線が予測トラフィックの周期変化パターンを示すために用いられる工程；
サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される工程
を含み、
ここで、ターゲット時点における予測トラフィックを決定するために予め獲得されたトラフィック周期変動曲線に照会する前に、該方法がさらに：
第１の期間よりも前の第２の期間内におけるｎ個の時点におけるネットワークトラフィックＳｉを得る工程であって、ここでｉ＝１，２，・・・ｎであり、ｎは自然数である工程；
トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算を行う工程であって、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥｉはｉ番目の時点の予測トラフィックである工程
を含み、
トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算を行う工程の後に、該方法がさらに：
ｉ番目の時点における残差Ｄｉを得るために、式Ｄｉ＝｜｛Ｓｉ−ＴＥｉ｝｜に従って計算を行う工程；および
補正されたトラフィック周期変動曲線｛ＴＨｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＨｉ＝ＴＥｉ＋ＭＡＸ（Ｄｉ）に従ってトラフィック周期変動曲線を補正する工程であって、ここでＴＨｉはｉ番目の時点における補正された予測トラフィックである工程
を含む方法。
【請求項２】
第２の期間内のｎ個の時点が持続期間Ｇによって隔てられており、そして、ターゲット時点における予測トラフィックを決定する工程が：
ターゲット時点ｔｃｕｒにおける予測トラフィックがＴＨｃｕｒであると決定する工程であって、ここで
【数１】
0006377261.tif 000006
である工程
を含む、請求項１記載のＤＤｏＳ攻撃検出のための方法。
【請求項３】
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会した後に、さらに：
第１の期間が予め定められたタイミングルールによって示されるトラフィック増加期間であり、かつ／またはターゲット時点がタイミングルールによって示されるトラフィック増加時点である場合、決定された予測トラフィックを引き上げる工程；
第１の期間が予め定められたタイミングルールによって示されるトラフィック減少期間であり、かつ／またはターゲット時点がタイミングルールによって示されるトラフィック減少時点である場合、決定された予測トラフィックを引き下げる工程
を含む、請求項１または２に記載のＤＤｏＳ攻撃検出のための方法。
【請求項４】
分散型サービス拒否（ＤＤｏＳ）攻撃検出のための装置であって：
サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得するように構成された、サンプリングユニット；
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会するように構成された決定ユニットであって、該トラフィック周期変動曲線が予測トラフィックの周期変化パターンを示すために用いられる、決定ユニット；および
サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃を検出するように構成された、検出ユニット；
第１の期間よりも前の第２の期間内におけるｎ個の時点におけるネットワークトラフィックＳｉを得るように構成された取得ユニットであって、ここでｉ＝１，２，・・・ｎであり、ｎは自然数である、取得ユニット；
トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算を行うように構成された計算ユニットであって、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥｉはｉ番目の時点の予測トラフィックである、計算ユニット；および
ｉ番目の時点における残差Ｄｉを得るために、式Ｄｉ＝｜｛Ｓｉ−ＴＥｉ｝｜に従って計算を行い；そして、補正トラフィック周期変動曲線｛ＴＨｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＨｉ＝ＴＥｉ＋ＭＡＸ（Ｄｉ）に従ってトラフィック周期変動曲線を補正するように構成された補正ユニットであって、ここでＴＨｉはｉ番目の時点における補正された予測トラフィックである、補正ユニット
を含む装置。
【請求項５】
第２の期間内のｎ個の時点が、持続期間Ｇによって隔てられており、そして
決定ユニットが、ターゲット時点ｔｃｕｒにおける予測トラフィックがＴＨｃｕｒであると決定するように特に構成されており、ここで
【数２】
0006377261.tif 000007
である、請求項４に記載のＤＤｏＳ攻撃検出のための装置。
【請求項６】
さらに：
第１の期間が所定のタイミングルールにより示されるトラフィック増加期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック増加時点である場合、決定される予測トラフィックを引き上げ；そして／または、第１の期間が予め定められたタイミングルールにより示されるトラフィック減少期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック減少時点である場合、決定される予測トラフィックを引き下げるように構成された、調整ユニット
を含む、請求項４または５に記載のＤＤｏＳ攻撃検出のための装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、ネットワークセキュリティ技術に関し、より詳細にはＤＤｏＳ攻撃検出のための方法および装置に関する。
【背景技術】
【０００２】
分散型サービス拒否（ＤＤｏＳ）攻撃とは、正当なサービス要求を装って１または複数のターゲットサーバ上で膨大な量のサービスリソースを引き込む攻撃プラットフォームへと複数のコンピュータを統合することによって、正当なユーザがサーバからのサービス応答を得ることを妨げることを意味する。
【０００３】
ＤＤｏＳ攻撃を防御する場合、通常、現在のネットワークトラフィックを調べてＤＤｏＳ攻撃を検出するために、バイパスネットワーク監視装置が使用される。特に、バイパスネットワーク監視装置は、ネットワークトラフィックをサンプリングし、サンプリング結果を現在の閾値と比較し、そして、その結果が現在の時点に対応する予測トラフィックよりも高い場合、ＤＤｏＳ攻撃が検出されたと判定する。
【０００４】
従来技術では、最新の多数のサンプリングから得られた履歴ネットワークトラフィックに区間推定アルゴリズムまたは累積可変アルゴリズムを適用することによって、ＤＤｏＳ攻撃を検出する前に現在の時点に対応する予測トラフィックが得られる。したがって、従来技術では、ＤＤｏＳ攻撃検出が行われるたびに現在の時点の予測トラフィックが計算される必要があるが、これは事前に保存された広範な履歴トラフィックデータを必要とし、多量の計算を要求する。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本開示は、ＤＤｏＳ攻撃検出が実行されるたびその前に、現在の時点における予測トラフィックを計算するのに多量の計算が必要となるという技術的課題を解決するための、ＤＤｏＳ攻撃検出のための方法および装置を提供する。
【課題を解決するための手段】
【０００６】
本開示の第１の側面は、ＤＤｏＳ攻撃検出のための方法であって、以下を含む方法を提供する：
【０００７】
サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得する工程；
【０００８】
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する工程であって、前記トラフィック周期変動曲線が予測トラフィックの周期的な変化パターンを示すために用いられる工程；そして
【０００９】
サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される工程。
【００１０】
本開示の別の側面は、ＤＤｏＳ攻撃検出のための装置であって、以下を含む装置を提供する：
【００１１】
サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得するように構成された、サンプリングユニット；
【００１２】
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会するように構成された決定ユニットであって、前記トラフィック周期変動曲線が予測トラフィックの周期的な変化パターンを示すために用いられる、決定ユニット；および
【００１３】
サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃を検出するように構成された、検出ユニット。
【００１４】
本開示において提供されるＤＤｏＳ攻撃検出のための方法および装置によれば、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって得られる。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時点においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時点に対応する予測トラフィックを決定することができ、それによって関係する計算の量を減らすことができる。ＤＤｏＳ攻撃の検出が、トラフィックの周期的な変化パターンに依拠するため、突発的なトラフィック増加が発生した場合、そのパターンに基づいてＤＤｏＳ攻撃を正しく識別することができ、それによって誤報を減らすことができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための方法を示すフローチャートである。
【図２】図２は、本開示の別の実施形態に従うＤＤｏＳ攻撃検出のための方法を示すフローチャートである。
【図３】図３は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。
【図４】図４は、本開示の別の実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。
【発明を実施するための形態】
【００１６】
図１は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための方法を示すフローチャートである。この実施形態によって提供される方法は、図１に示すように、バイパスネットワーク監視装置によって実行されてもよく、それは以下を含む：
【００１７】
１０１：サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得する工程；
【００１８】
１０２：ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する工程。
【００１９】
この場合、トラフィック周期変動曲線は、予測トラフィックの周期的な変化パターン、特に、少なくとも１つの期間における個々の時点と予測トラフィック、すなわち、少なくとも１つの期間内の各時点における予測トラフィックとの間のマッピングを示すことが意図されている。
【００２０】
任意選択的に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングされた後に、トラフィック周期変動曲線が得られているかどうかが判定され、そして、トラフィック周期変動曲線が得られている場合、ターゲット時点に対応する予測トラフィックが曲線に従って決定される。そうでない場合は、第１の期間より前の第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉが取得されるが、ここでｉ＝１，２，・・・，ｎであり、ｎは自然数である。それから、トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算が行われるが、ここでαは０＜α＜１の範囲、典型的には０．２から０．４の範囲における平滑化のための所定の減衰係数であり、ＴＥｉは第１の期間内のｉ番目の時点における予測トラフィックである。こうして、予め獲得されたトラフィック周期変動曲線が照会され、ターゲット時点ｔｃｕｒにおける予測トラフィックはＴＥｃｕｒであると決定され、ここで
【数１】
0006377261.tif 000002
である。第２の期間にはＤＤｏＳ攻撃がないことが確認されている。
【００２１】
すなわち、本実施形態により提供される方法は、単に１つの期間で得られるネットワークトラフィックを計算することによってトラフィック周期変動曲線を得ることができ、そして、トラフィック周期変動曲線を再び計算しなければならないのではなく、既に得られているトラフィック周期変動曲線を活用することによって、次のＤＤｏＳ攻撃検出を達成することができ、こうして、システムリソースの消費を回避しながら、必要とされる計算量を減らすことができる。得られたトラフィック周期変動曲線を用いてＤＤｏＳを検出することにより、トラフィックの突発的な増加が通常のトラフィックに起因するものであるか否かを判定することができ、それにより誤報を減らすことができる。
【００２２】
第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉの取得は、ｎ個の均等または不均等な間隔の時点でトラフィックＳｉをサンプリングすることによって達成されうることに留意すべきである。
【００２３】
また、得られるトラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝は、本実施形態では離散点の集合であり、連続的なトラフィック周期変動曲線は、従来技術の曲線当てはめアルゴリズムのいずれかを参照することによって、さらに得られうることにも留意すべきである。
【００２４】
１０３：サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。
【００２５】
特に、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きいか否かが判定され、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される；そうでない場合、ネットワークトラフィックは正常であると判定される。
【００２６】
本実施形態においては、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変化曲線が、予測トラフィックの周期変化パターンを示すために用いられるため、各ターゲット時期においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変化曲線を利用するだけで、ターゲット時期に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。さらに、得られたトラフィック周期変動曲線を活用してＤＤｏＳを検出することにより、トラフィックの突発的な増加が通常のトラフィックに起因するものであるか否かを判定することができ、それにより誤報を減らすことができる。
【００２７】
図２は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための方法を示す別のフローチャートであり、図２に示されるように、本方法は以下を含む：
【００２８】
２０１：トラフィック周期変動曲線を得るための計算を実行する工程。
【００２９】
任意選択的に、データパケットが受信され、その内容が分析されて、データベースに保存される。それから、第２の期間内の各時点におけるネットワークトラフィックがデータベースから抽出されるが、ここで１つの期間は１日または１週間であり、第２の期間内の時点は持続期間Ｇによって隔てられている。抽出されたネットワークトラフィックはＳｉとして表され、ここでｉ＝１，２，・・・ｎであり、ｎは抽出されたネットワークトラフィックの数に等しい自然数である。トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算が行われるが、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥｉはｉ番目の時期の予測トラフィックである。
【００３０】
２０２：トラフィック周期変動曲線を補正する工程。
【００３１】
特に、ｉ番目の時点における残差Ｄｉを得るために式Ｄｉ＝｜｛Ｓｉ−ＴＥｉ｝｜に従って計算を行う；トラフィック周期変動曲線は、補正トラフィック周期変動曲線｛ＴＨｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＨｉ＝ＴＥｉ＋ＭＡＸ（Ｄｉ）に従って補正されるが、ここでＴＨｉはｉ番目の時点における補正された予測トラフィックである。
【００３２】
ｉ番目の時点における残差Ｄｉが得られた後、第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉの突発的な増加の潜在的誤差が検定されることを理解すべきである。すなわち、式Ｄｉ＝｜｛Ｓｉ−ＴＥｉ｝｜に従って計算を行い、ｉ番目の時点における残差Ｄｉを得た後、以下の手順に従って、異常値がもしあれば、残差から取り除かれる：
【００３３】
まず、中央値Ｄｍｅｄ＝（Ｄｍａｘ−Ｄｍｉｎ）／２が決定され、ここでＤｍａｘは計算された最大の残差を表し、Ｄｍｉｎは計算された最小の残差を表す。
【００３４】
それから、順番に以下を調べる：下部四分位数Ｄ１＝（Ｄｍｅｄ−Ｄｍｉｎ）／２；
【００３５】
上部四分位数Ｄ２＝（Ｄｍａｘ−Ｄｍｅｄ）／２；および
【００３６】
四分位範囲ΔＱ＝Ｄ２−Ｄ１。
【００３７】
最後に、範囲［Ｄ１−１．５ΔＱ，Ｄ２＋１．５ΔＱ］が確立され、残差Ｄｉは、もしそれが範囲内に収まれば、保持されるべき有効な値であり、または、もしそれが範囲外の場合には、取り除かれるべき無効または「異常」な値である。
【００３８】
２０３：ターゲット時点における予測トラフィックを決定するために、トラフィック周期変動曲線に照会する工程。
【００３９】
特に、ターゲット時点における予測トラフィックｔｃｕｒはＴＨｃｕｒであると決定され、ここで
【数２】
0006377261.tif 000003
である。
【００４０】
２０４：所定のタイミングルールに従って、ターゲット時点における予測トラフィックを調整する工程。
【００４１】
特に、１年などの期間中の特別な日の特別な時点においてネットワークトラフィックが突発的に増加することが予想される状況に対処するため。つまり、このような状況が発生すると、ネットワークトラフィックの周期パターンが乱される。異なるサービスを提供する異なるサーバを考慮すれば、ネットワークトラフィックが変化する大きさと時間区間もまた異なりうる。しかし、そのようなネットワークトラフィックの増加は、ＤＤｏＳ攻撃の結果ではなく、予想されるものである。そのような状況を考慮するため、動的調整機構が設けられる。すなわち、第１の期間が所定のタイミングルールにより示されるトラフィック増加期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック増加時点である場合、決定される予測トラフィックは引き上げられうる；そして／または、第１の期間が予め定められたタイミングルールにより示されるトラフィック減少期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック減少時点である場合、決定される予測トラフィックは引き下げられうる。予測トラフィックが特別なタイミングルールに基づいて調整されるため、予測トラフィックの周期的変化パターンは精度の点でさらに改善され、運用および保守要員の作業負荷が軽減されうる。
【００４２】
２０５：ターゲット時点における調整された予測トラフィックに従ってＤＤｏＳ攻撃を検出する工程。
【００４３】
特に、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きいか否かが判定され、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。そうでない場合、ネットワークトラフィックは正常であると決定される。
【００４４】
工程２０３から２０５は、予め定められた期間、例えば、前述の持続期間Ｇで反復されてもよいことに留意すべきである。
【００４５】
この実施形態においては、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時点においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時点に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。さらに、履歴トラフィック動向を活用してＤＤｏＳを検出することは、トラフィックの突発的な増加が、予想されるトラフィックに起因するのか、ＤＤｏＳ攻撃に起因するのかを効果的に調べることも助ける。また、予測トラフィックが特別なタイミングルールに基づいて調整されるため、予測トラフィックの周期的な変化パターンを精度の点でさらに向上させることができる。
【００４６】
図３は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。本実施形態で提供される装置は、バイパスネットワーク監視装置中に配置されてもよく、図３に示されるように、サンプリングユニット３１、決定ユニット３２、および検出ユニット３３を含んでいてもよい。
【００４７】
サンプリングユニット３１は、サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得するように構成される。
【００４８】
決定ユニット３２は、サンプリングユニット３１に接続され、予め獲得されたトラフィック周期変動曲線に照会して、ターゲット時期における予測トラフィックを決定するように構成される。
【００４９】
この場合、トラフィック周期変動曲線は、予測トラフィックの周期的な変化パターン、そして特に、少なくとも１つの期間における個々の時点と予測トラフィック、すなわち、少なくとも１つの期間内の各時期における予測トラフィックとの間のマッピングを示すことが意図されている。
【００５０】
任意選択的に、サンプリングユニット３１が第１の期間内のターゲット時点におけるネットワークトラフィックをサンプリングした後、決定ユニット３２が、トラフィック周期変動曲線が得られているかどうかを判定し、トラフィック周期変動曲線が得られている場合、その曲線に従ってターゲット時点に対応する予測トラフィックを決定する。そうでない場合、ＤＤｏＳ攻撃検出デバイス内の他のユニットが、第１の期間よりも前の第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉを取得するように誘発され、ここでｉ＝１，２，・・・ｎであり、ｎは自然数であり、そして、トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算を行うように誘発されるが、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥｉはｉ番目の時期における予測トラフィックである。よって、予め獲得されたトラフィック周期変動曲線が照会され、ターゲット時点ｔｃｕｒにおける予測トラフィックがＴＥｃｕｒであると決定され、ここで
【数３】
0006377261.tif 000004
である。第２の期間にはＤＤｏＳ攻撃がないことが確認されている。
【００５１】
第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉの取得は、ｎ個の均等または不均等な間隔の時点でトラフィックＳｉをサンプリングすることによって達成されうることに留意すべきである。
【００５２】
また、得られるトラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝は、本実施形態では離散点の集合であり、連続的なトラフィック周期変動曲線は、従来技術の曲線当てはめアルゴリズムのいずれかを参照することによって、さらに得られうることにも留意すべきである。
【００５３】
検出ユニット３３は、決定ユニット３２に接続され、そして、サンプリングにより得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃を検出するように構成される。
【００５４】
特に、検出ユニット３３は、サンプリングにより得られたネットワークトラフィックが、決定された予測トラフィックよりも大きいか否かを判定し、そして、サンプリングにより得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合にはＤＤｏＳ攻撃を報告し、そうでない場合は正常なネットワークトラフィックを報告する。
【００５５】
この実施形態においては、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時点においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時期に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。さらに、履歴トラフィック動向を活用してＤＤｏＳを検出することは、突発的なトラフィックの増加が予想されるトラフィックに起因するのか、ＤＤｏＳ攻撃に起因するのかを効果的に調べることも助ける。
【００５６】
図４は、本開示の別の実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。先の実施形態を基礎として、この実施形態の装置は、取得ユニット４１、計算ユニット４２、および補正ユニット４３をさらに含む。
【００５７】
取得ユニット４１は、第１の期間よりも前の第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉを取得するように構成され、
【００５８】
ここでｉ＝１，２，・・・ｎであり、ｎは自然数である。
【００５９】
計算ユニット４２は、取得ユニット４１に接続され、トラフィック周期変動曲線｛ＴＥｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥｉ＝αＳｉ−１＋（１−α）ＴＥｉ−１に従って計算を行うように構成される。
【００６０】
この場合、αは０＜α＜１の範囲に収まる平滑化のための所定の減衰係数であり、ＴＥｉはｉ番目の時点における予測トラフィックである。
【００６１】
補正ユニット４３は、計算ユニット４２および決定ユニット３２に接続され、以下を行うように構成される：ｉ番目の時点における残差Ｄｉを得るために式Ｄｉ＝｜｛Ｓｉ−ＴＥｉ｝｜に従って計算を行う；そして、補正されたトラフィック周期変動曲線｛ＴＨｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＨｉ＝ＴＥｉ＋ＭＡＸ（Ｄｉ）に従ってトラフィック周期変動曲線を補正する。
【００６２】
この場合、ＴＨｉはｉ番目の時点における補正された予測トラフィックである。
【００６３】
ｉ番目の時点における残差Ｄｉが得られた後、第２の期間内のｎ個の時点におけるネットワークトラフィックＳｉの突発的な増加の潜在的誤差が検定されることを理解すべきである。すなわち、式Ｄｉ＝｜｛Ｓｉ−ＴＥｉ｝｜に従って計算を行い、ｉ番目の時点における残差Ｄｉを得た後、補正ユニット４３は、以下の手順に従って、異常値がもしあれば、残差Ｄｉから取り除く処理を行うことができる：
【００６４】
まず、中央値Ｄｍｅｄ＝（Ｄｍａｘ−Ｄｍｉｎ）／２が決定されるが、ここでＤｍａｘは計算された最大の残差を表し、Ｄｍｉｎは計算された最小の残差を表す。
【００６５】
それから、順番に以下を調べる：下部四分位数Ｄ１＝（Ｄｍｅｄ−Ｄｍｉｎ）／２；
【００６６】
上部四分位数Ｄ２＝（Ｄｍａｘ−Ｄｍｅｄ）／２；および
【００６７】
四分位範囲ΔＱ＝Ｄ２−Ｄ１。
【００６８】
最後に、範囲［Ｄ１−１．５ΔＱ，Ｄ２＋１．５ΔＱ］が決定され、残差Ｄｉは、もしそれが範囲内に収まれば保持されるべき有効な値であり、または、もしそれが範囲外の場合には取り除かれるべき無効な値である。
【００６９】
あるいは、ｉ番目の時点における残差Ｄｉを計算により取得した後、前述の異常値を取り除くための処理を行うことなく、式ＴＨｉ＝ＴＥｉ＋ＭＡＸ（Ｄｉ）に従ってトラフィック周期変動曲線を補正するために、処置を直接先へ進めてもよい。
【００７０】
これに基づき、決定ユニット３２は、ターゲット時点ｔｃｕｒの予測トラフィックがＴＨｃｕｒであると決定するように特に構成され、ここで
【数４】
0006377261.tif 000005
である。
【００７１】
さらに、ＤＤｏＳ攻撃検出のための装置は、調整ユニット４４をさらに含む。
【００７２】
調整ユニット４４は、決定ユニット３２に接続され、以下を行うように構成される：第１の期間が所定のタイミングルールにより示されるトラフィック増加期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック増加時点である場合、決定される予測トラフィックを引き上げる；そして／または、第１の期間が予め定められたタイミングルールにより示されるトラフィック減少期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック減少時点である場合、決定される予測トラフィックを引き下げる。
【００７３】
この実施形態によると、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時期においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時期に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。また、予測トラフィックは、特別なタイミングルールに基づいて調整されるため、予測トラフィックの周期的な変化パターンを精度の点でさらに向上させることができる。さらに、履歴トラフィックデータを活用することは、突発的なトラフィックの増加が予想されるトラフィックに起因するのか、ＤＤｏＳ攻撃に起因するのかを効果的に調べることも助けることができ、こうして誤報を減らすことができる。
【００７４】
当業者は、前述の方法の実施形態の工程の全てまたは一部が、関連するハードウェアに指示を送るプログラムによって実装されてもよいことを理解することができる。前述のプログラムは、コンピュータ可読記憶媒体に格納されていてもよい。プログラムが実行されると、前述の実施形態の方法の工程が実行される。上記記憶媒体は、ＲＯＭ、ＲＡＭ、磁気ディスク、または光ディスクなどのプログラムコードを格納可能な各種メディアを含む。
【００７５】
最後に、前述の実施形態は、本開示の技術的解決法を限定するものではなく、単に説明することを意図したものであることに留意すべきである。本開示は、前述の実施形態を参照して詳細に説明されているが、当業者は、前述の実施形態において記載された技術的解決法をなお改変してもよいし、または、一部もしくは全ての技術的特徴を等価なものに置換してもよいことを理解すべきである；しかしながら、これらの改変または置換は、本開示の実施形態における技術的解決法の範囲から、対応する技術的解決法の本質を逸脱させるものではない。
【図１】
0006377261.tif 000008
【図２】
0006377261.tif 000009
【図３】
0006377261.tif 000010
【図４】
0006377261.tif 000011