(57)【要約】【課題】ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することにある。【解決手段】外部のネットワークからＵＤＰパケットのＩＣＭＰを使用してサーバを攻撃してくる不正アクセスを防御する不正アクセス防御装置において、外部のネットワーク側及びサーバ側から入力されるパケットの種別を判定する第1のパケット判定手段１２と、サーバ側から入力されるパケットがＩＣＭＰと判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップしていく登録手段１４と、判定手段によって外部ネットワーク側から入力されるパケットがＵＤＰと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、前記ＩＣＭＰエラー回数が予め定める閾値を超えたか否かを判定する第２の判定手段１２と、この第２の判定手段で閾値を超えていると判定された場合、外部ネットワーク側から入力されたパケットを破棄するパケット処理部１１と設けた不正アクセス防御装置である。【選択図】図２
2005039591.tif 000002
【特許請求の範囲】
【請求項１】
外部からネットワークを通してＵＤＰパケットのＩＣＭＰを使用してサーバを攻撃してくる不正アクセスを防御する不正アクセス防御装置において、
前記外部のネットワーク側及び前記サーバ側から入力されるパケットの種別を判定する第1のパケット判定手段と、
この判定手段によって前記サーバ側から入力されるパケットがＩＣＭＰと判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップしていく登録手段と、
前記判定手段によって前記外部ネットワーク側から入力されるパケットがＵＤＰと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、前記ＩＣＭＰエラー回数が予め定める閾値を超えたか否かを判定する第２の判定手段と、
この第２の判定手段で閾値を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを備えたことを特徴とする不正アクセス防御装置。
【請求項２】
外部からネットワークを通してＵＤＰパケットのＩＣＭＰを使用してサーバを攻撃してくる不正アクセスに対し、前記ＵＤＰパケットのＩＣＭＰエラー回数をカウントし、当該不正アクセスを防御するコンピュータに、
前記外部のネットワーク側及び前記サーバ側から入力されるパケットの種別を判定するパケット種別判定機能と、
この判定機能により前記サーバ側から入力されるパケットがＩＣＭＰと判定された場合、当該ＩＣＭＰのタイプが前記サーバにとって不要タイプか否かを判定するタイプ判定機能と、
このタイプ判定機能によって不要タイプと判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップする登録機能と、
前記種別判定機能によって前記外部ネットワーク側から入力されるパケットがＵＤＰと判定された場合、当該ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、既に登録されている前記ＩＣＭＰエラー回数が予め定める閾値を超えたか否かを判定する不正アクセス有無判定機能と、
この判定機能によって前記ＩＣＭＰエラー回数が閾値を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット破棄機能とを実現させることを特徴とするプログラム。
【請求項３】
外部からネットワークを通してＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる不正アクセスを防御する不正アクセス防御装置において、
前記外部のネットワーク側及び前記サーバ側から入力されるパケットがリクエストかリプライかを判定する第1のパケット判定手段と、
この判定手段によって前記外部ネットワーク側から入力されるパケットがリクエストと判定された場合、当該ＵＤＰパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、リクエスト数が予め定める閾値を超えたかを判定する第２のパケット判定手段と、
この第２のパケット判定手段で閾値を超えていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子のもとにリクエスト数をカウントアップする第1の登録手段と、
前記第1のパケット判定手段によって前記サーバ側から入力されるパケットがリプライと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子に対応するリクエスト数を減らす第２の登録手段と、
前記第２のパケット判定手段でリクエスト数が閾値を超えたと判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを備えたことを特徴とする不正アクセス防御装置。
【請求項４】
外部からネットワークを通してＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる不正アクセスに対し、前記ＵＤＰパケットのリクエスト数をカウントし、当該不正アクセスを防御するコンピュータに、
前記外部のネットワーク側及び前記サーバ側から入力されるパケットがリクエストかリプライかを判定する判定機能と、
この判定機能により前記外部ネットワーク側から入力されるパケットがリクエストと判定された場合、当該ＵＤＰパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、リクエスト数が予め定める閾値を超えたかを判定する不正アクセス有無判定機能と、
この判定機能によって閾値を超えていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子のもとにリクエスト数をカウントアップする第1の登録機能と、
前記判定機能により前記サーバ側から入力されるパケットがリプライと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子に対応するリクエスト数を減らす第２の登録機能と、
前記不正有無判定機能によってリクエスト数が閾値を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット破棄機能とを実現させることを特徴とするプログラム。
【請求項５】
外部からネットワークを通してＵＤＰパケットのＲＩＰを使用してサーバを攻撃してくる不正アクセスを防御する不正アクセス防御装置において、
前記外部のネットワーク側から入力されるパケットがＲＩＰか否かを判定する第1のパケット判定手段と、
この判定手段によってＲＩＰと判定された場合、当該パケットの送信元・送信先ＩＰアドレスの計測開始時間、ＲＩＰ到達数が既に登録されているかを判定する第２のパケット判定手段と、
この判定手段で登録されていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数を登録する第1の登録手段と、
前記第２のパケット判定手段で登録されていると判定された場合、前記計測開始時間、ＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えているかを判定する第３のパケット判定手段と、
この第３のパケット判定手段で前記ＲＩＰ数の許容範囲を超えていないと判定された場合、前記ＲＩＰ到達数をカウントアップする第２の登録手段と、
前記第３のパケット判定手段で前記到達率がＲＩＰ数の許容範囲を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを備えたことを特徴とする不正アクセス防御装置。
【請求項６】
外部からネットワークを通してＵＤＰパケットのＲＩＰを使用してサーバを攻撃してくる不正アクセスに対し、前記ＵＤＰパケットのＲＩＰ到達数をカウントし、当該不正アクセスを防御するコンピュータに、
前記外部のネットワーク側から入力されるパケットがＲＩＰか否かを判定するパケット判定機能と、
この機能によって前記サーバ側から入力されるパケットがＲＩＰと判定された場合、当該パケットの送信元・送信先ＩＰアドレスの計測開始時間、ＲＩＰ到達数が登録されているかを判定する登録有無判定機能と、
この判定機能で登録されていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数を登録する第１の登録機能と、
前記登録有無判定機能で登録と判定された場合、前記計測開始時間、ＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えているかを判定する到達判定機能と、
この判定機能により許容範囲を超えていないと判定された場合、前記ＲＩＰ到達数をカウントアップする第２の登録機能と、
前記到達判定機能によって許容範囲を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット破棄機能とを実現させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークからの不正アクセスを防御する不正アクセス防御装置及びプログラムに関する。
【背景技術】
【０００２】
近年、サービスを提供するサーバに対して大量のデータや接続要求を送りつけ、当該サーバのリソースを消費させ、本来のサービスを不能にするＤOS（サービス妨害：Ｄenial  of  Ｓervice）という種類の攻撃が多発している。
【０００３】
そこで、以上のような不正アクセスからサーバを防御するために、ＩＤＰＳ（侵入検知／防御装置：Ｉntrusion  Ｄetection  and  Ｐrotection  Ｓystem）が開発されている。このＩＤＰＳによるＤOS攻撃の防御は、ＴＣＰ／ＩＰのうち、ＴＣＰプロトコルを対象とする場合が多い。一般に、インターネットで使用されるプロトコルとしては、ＴＣＰ以外にＵＤＰ（Ｕser  Ｄatagram  Ｐrotocol）があるが、このＵＤＰの場合にはコネクション管理、応答確認等の処理ができないので、ＤOS攻撃からサーバを防御するのが難しい状況にある。
【０００４】
ここで、ＴＣＰとＵＤＰとの違いについて説明する。
【０００５】
ＴＣＰはコネクション型、ＵＤＰはコネクションレス型の通信手法をとっている。ＴＣＰによる通信のやり取りは、図１３に示すようにクライアントからサーバにデータ（ＤＡＴＡ）を送る場合、ある一定量のデータを転送した後、必ずサーバから確認応答パケット（ＡＣＫ）を受け取るので、データが確実にサーバ側に届いたことを確認した上、さらにデータを送信しつづける仕組みとなっている。従って、クライアントは、サーバ側でデータを受領したことを確認しつつ送信するので、データを確実に送信することができる。実際的には、クライアント−サーバは、それぞれパケットに付与されたシーケンス番号と確認応答番号とを確認しながら、データ転送処理を行っている。
【０００６】
一方、ＵＤＰは、図１４に示すように、クライアントから単にデータを送るだけであり、サーバから確認応答パケットなどを受け取る仕組みとなっていない。つまり、サーバが如何なる状態であるかを問わずにデータを送りつづけるのが特徴である。
【０００７】
従って、以上のような違いから、サーバがＤOS攻撃を受けた場合には防御が非常に難しい。  
図１５（ａ）、（ｂ）、（ｃ）は、ＩＰヘッダ、ＴＣＰヘッダ、ＵＤＰヘッダにそれぞれ含まれる情報を示す図である。この図から明らかなように、ＩＰヘッダはＴＣＰ、ＵＤＰに共通に付けられる。一方、ＴＣＰヘッダにはシーケンス番号や確認応答（ＡＣＫ）番号が含まれている。この番号は、一つ一つのパケットに一意に付けられる番号であって、この番号を利用してクライアント、サーバがパケット到達の確認を行っている。
【０００８】
これに対し、ＵＤＰヘッダには以上のようなシーケンス番号や確認応答番号が含まれていない。その結果、クライアント、サーバ間ではデータが確実に相手先に到達したかを確認する手段をもっていない。
【０００９】
ところで、ＩＤＰＳが対象とする一般的なＴＣＰのＤOS攻撃及びその防御方法は、次に述べるような３つの手法がある。
【００１０】
（１）  ＳＹＮ（Ｓynchronize  Ｓequence  Ｎumber）フラッド攻撃に対する防御。
【００１１】
一般に正常なＴＣＰコネクションの確立は、図１６（ａ）に示すように、ＴＣＰのコネクション確立要求であるＳＹＮパケットを送信し、サーバ側から確認応答ＡＣＫを受けると、それに対する確認応答パケットＡＣＫを送信し、その後、データを送る通信手法をとっているが、ＳＹＮフラッド攻撃の場合は、図１６（ｂ）に示すようにクライアントがＴＣＰのコネクション確立要求であるＳＹＮパケットを送り、サーバから確認応答ＡＣＫを受けるが、ＴＣＰコネクションを確立しないこと、つまり最後の確認応答パケットＡＣＫを返信しないことにより、サーバがタイムアウトするまでリソースを確保することを利用し、サーバのリソースを使い尽くしてしまう攻撃である。
【００１２】
このＳＹＮフラッド攻撃に対する防御は、コネクションが確立されるまでの時間等を監視し、ＳＹＮフラッドの攻撃を防御するものである。
【００１３】
（２）  ＥＳＴＡＢＬＩＳＨ（確認）フラッド攻撃に対する防御。
【００１４】
このＥＳＴＡＢＬＩＳＨフラッド攻撃は、ＴＣＰコネクションの確立後、データを送らないことにより、サーバのリソースを使い尽くす攻撃である。
【００１５】
このフラッド攻撃に対する防御は、コネクション確立後にデータが送られてくるかを監視し、当該ＥＳＴＡＢＬＩＳＨフラッド攻撃を防御するものである。
【００１６】
（３）一般的なＤＤOS（Ｄatagram  ＤOS）攻撃に対する防御。
【００１７】
このＤＤOS攻撃は、多数の個所からサービスサーバに対して大量にアクセスする攻撃である。この攻撃の防御は、ある閾値をもたせ、その閾値以上のアクセス要求があったとき、そのアクセスを拒否したり、サーバの負荷（例えばＣＰＵ、ネットワークリソースなど）状況を監視し、この負荷状況が予め定める閾値を越えた時、アクセス要求を拒否し、防御するものである。
【００１８】
さらに、以上のようなＴＣＰのＤOS攻撃防御法とは別に、近年、不正アクセスを検出する侵入検出装置が提案されている（特許文献１）。
【００１９】
この侵入検出装置は、ルータ内部に、ルータに到達するパケットを取得し、このパケットのヘッダに記載されるデータに基づいてセションごとに構造体を生成し、不正アクセスの侵入の有無を検出する侵入検出部を設けてなる構成である。すなわち、この侵入検出部は、予め所定の不正検出閾値が設定され、セションが正常に終了した場合に破棄するとともに、所定の周期ごとに構造体の総数が不正検出閾値を越えたか否かを検査し、不正検出閾値を越えた構造体があれば、不正アクセスの侵入があると検出するものである。
【特許文献１】特開２００２−２５２６５４
【発明の開示】
【発明が解決しようとする課題】
【００２０】
従って、以上のような不正アクセス防御方法ないし装置は、何れもネットワークプロトコルのＴＣＰにおけるＤOS攻撃に対する防御であり、ＵＤＰパケットの例えばＩＣＭＰ（Ｉnternet  Ｃontrol  Ｍessage  Ｐrotcol）、ＤＮＳ（Ｄomain  Ｎame  Ｓystem）、ＲＩＰ（Ｒouting  Information  Ｐrotcol）等を使用してアクセスしてくる攻撃に対して防御することが難しく、ひいてはサーバを過負荷状態にさせてサービスを停止させてしまう等の問題がある。
【００２１】
本発明は上記事情にかんがみてなされたもので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御する不正アクセス防御装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２２】
（１）  外部からネットワークを通してＵＤＰパケットのＩＣＭＰを使用してサーバを攻撃してくる不正アクセスを防御する不正アクセス防御装置において、前記外部のネットワーク側及び前記サーバ側から入力されるパケットの種別を判定する第1のパケット判定手段と、この判定手段によって前記サーバ側から入力されるパケットがＩＣＭＰと判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップしていく登録手段と、前記判定手段によって前記外部ネットワーク側から入力されるパケットがＵＤＰと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、前記ＩＣＭＰエラー回数が予め定める閾値を超えたか否かを判定する第２の判定手段と、この第２の判定手段で閾値を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを設けた構成である。
【００２３】
この発明は以上のような構成とすることにより、外部からネットワークを通してＵＤＰパケットのＩＣＭＰを使用してサーバを攻撃してくる場合、サーバ側から入力されるパケットのＩＣＭＰを判定し、ＩＣＭＰエラー回数をカウントアップし、そのＩＣＭＰエラー回数が予め定める閾値を超えたとき、パケットを破棄するので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することが可能となる。
【００２４】
なお、以上のようなＵＤＰパケットのＩＣＭＰを使用してサーバを攻撃してくる防御処理は、プログラムによっても同様に実現できるものである。
【００２５】
（２）  本発明に係る不正アクセス防御装置は、ＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる場合、外部のネットワーク側及び前記サーバ側から入力されるパケットがリクエストかリプライかを判定する第1のパケット判定手段と、この判定手段によって前記外部ネットワーク側から入力されるパケットがリクエストと判定された場合、当該ＵＤＰパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、リクエスト数が予め定める閾値を超えたかを判定する第２のパケット判定手段と、この第２のパケット判定手段で閾値を超えていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子のもとにリクエスト数をカウントアップする第1の登録手段と、前記第1のパケット判定手段によって前記サーバ側から入力されるパケットがリプライと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子に対応するリクエスト数を減らす第２の登録手段と、前記第２のパケット判定手段でリクエスト数が閾値を超えたと判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを設けた構成である。
【００２６】
この発明は以上のような構成とすることにより、外部からネットワークを通してＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる場合、外部ネットワーク側から入力されるパケットがリクエストと判定し、このリクエスト数が予め定める閾値を超えていない場合にはリクエスト数をカウントアップし、超えている場合にはパケットを破棄するので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することが可能となる。
【００２７】
なお、以上のようなＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる防御処理は、プログラムによっても同様に実現できるものである。
【００２８】
（３）  また、本発明に係る不正アクセス防御装置は、外部からネットワークを通してＵＤＰパケットのＲＩＰを使用してサーバを攻撃してくる場合、外部のネットワーク側から入力されるパケットがＲＩＰか否かを判定する第1のパケット判定手段と、この判定手段によってＲＩＰと判定された場合、当該パケットの送信元・送信先ＩＰアドレスの計測開始時間、ＲＩＰ到達数が既に登録されているかを判定する第２のパケット判定手段と、この判定手段で登録されていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数を登録する第1の登録手段と、前記第２のパケット判定手段で登録されていると判定された場合、前記計測時間、ＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えているかを判定する第３のパケット判定手段と、この第３のパケット判定手段で前記ＲＩＰ数の許容範囲を超えていないと判定された場合、前記ＲＩＰ到達数をカウントアップする第２の登録手段と、前記第３のパケット判定手段で前記到達率がＲＩＰ数の許容範囲を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを設けた構成である。
【００２９】
この発明は以上のような構成とすることにより、外部からネットワークを通してＵＤＰパケットのＲＩＰを使用してサーバを攻撃してくる場合、計測開始時間及びＲＩＰ到達数を計測し、この計測開始時間及びＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えている場合にはパケットを破棄するので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することが可能となる。
【００３０】
なお、以上のようなＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる防御処理は、プログラムによっても同様に実現できるものである。
【発明の効果】
【００３１】
本発明は、ＵＤＰパケットのＩＣＭＰ、ＤＮＳ、ＲＩＰの何れかを使用してアクセスしてくる攻撃を確実に防御できる不正アクセス防御装置及びプログラムを提供できる。
【発明を実施するための最良の形態】
【００３２】
以下、本発明の実施の形態について図面を参照して説明する。
【００３３】
図１は本発明装置を適用したネットワーク通信システムの一例を示す系統構成図である。
【００３４】
この通信システムは、一般にインターネットと称する外部ネットワーク１と内部ネットワーク２が設けられ、外部ネットワーク１には、不正アクセス侵入者の有無を問わず、個人、団体、会社等が所有する端末機器（以下、クライアント端末と呼ぶ）３，…が接続され、さらに外部ネットワーク１と内部ネットワーク２との間にはファイルウォールなどのパケットフィルタリング装置４が設けられている。そして、内部ネットワーク２には、所要とするサービスを提供するために、ＷＷＷサーバなどの１台以上のサーバ５が接続されている。
【００３５】
本発明に係る不正アクセス防御装置６は、以上のような通信システムにおいて外部ネットワーク１とパケットフィルタリング装置４との間、或いは当該パケットフィルタリング装置４と内部ネットワーク２との間に設置される。すなわち、不正アクセス防御装置６は、図示するごとくパケットフィルタリング装置４の外側或いは外側（図示せず）の何れかに設置されるものである。
【００３６】
不正アクセス防御装置６は、図２に示すようにＵＤＰ攻撃判定部としての機能を有し、具体的には、外側からネットワーク・インターフェイス・カードＮＩＣ１或いは無線手段などによる同等のインターフェイス機能（以下、単にインターフェイスＮＩＣ１と総称する）通って入ってくるパケットを受け取った後、転送判断のもとにネットワーク・インターフェイス・カードＮＩＣ２或いは無線手段などによる同等のインターフェイス機能（以下、単にインターフェイスＮＩＣ２と総称する）を通してパケットフィルタリング装置４又は内部ネットワーク２に転送するパケット処理手段としてのパケット処理部１１と、このパケット処理部１１から受け取ったパケットの種別、つまりＵＤＰかＴＣＰか、さらにはＵＤＰパケットのＩＣＭＰ、ＤＮＳ、ＲＩＰかをチェックし、これらＩＣＭＰ、ＤＮＳ、ＲＩＰに応じて転送すべきパケットか否かを判定し、この判定結果とともに受け取ったパケットをパケット処理部１１に渡し、また当該受け取ったパケットの情報を記録のために送出するパケット判定手段としてのパケット判定部１２と、このパケット判定部１２から送られてくるパケットの情報をデータベース記録部１３にカウントアップし、また検索キーのもとにデータベース記録部１３からカウント内容を読み出し可能にし、さらにデータベース記録部１３に登録されたパケット情報を時間管理し、に登録されたパケットデータがある一定時間経過した場合、自動的に削除する機能をもつ登録／読出し制御部１４とが設けられている。
【００３７】
前記パケット処理部１１は、パケット判定部１２から転送不可の判定結果を受けた場合には受け取ったパケットを破棄し、転送許可の判定結果を受けた場合にはパケットを前述するように、不正アクセス防御装置６の設置個所の違いに基づき、パケットフィルタリング装置４又は内部ネットワーク２に転送する。
【００３８】
なお、不正アクセス防御装置６は、ＣＰＵで構成されている場合、記録媒体１５に記録される攻撃防御用プログラムに従って所要の攻撃防御の処理を実行するものである。
【００３９】
次に、本発明に係る不正アクセス防御装置６が対象とするＵＤＰの攻撃手法を説明する前に、一般的なＵＤＰプロトコルについて説明する。
【００４０】
前述するように、ＵＤＰはコネクションレス型通信であり、クライアント−サーバ間でデータ到達の確認が行われていない、つまりデータ到達を保証しないのが特徴である。反面、データの即時性の他、サーバ、クライアントが少ない資源でデータ通信が行える利点をもっている。
【００４１】
従って、以上のような利点を有効に活用するため、
１）  データの大量送信
２）  ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）による名前解決
３）  経路情報を動的に更新するプロトコルであるＲＩＰ（Ｒｏｕｔｉｎｇ  Iｎｆｏｒｍａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）による定期的な経路情報の送信
など，確実性よりも即時性を重視し、またリソースの軽減等を要求する場合に、ＵＤＰによる通信が用いられている。
【００４２】
このような通信は、インターネットや内部ネットワーク２で広く利用されていることから、パケットフィルタリング装置４でも、一般的に通過を許可している場合が多い。よって、ＵＤＰを用いた攻撃者は、かかる特性を利用し、攻撃を仕掛けてくることが多い。
【００４３】
次に、前記１）〜３）を利用したＵＤＰを用いた攻撃手法及びその攻撃に対する防御について説明する。
【００４４】
１）  データの大量送信について。
【００４５】
この攻撃はサーバ５の負荷増大もしくはネットワーク資源の増大を目的とした攻撃である。  
一般に、サーバ５に攻撃を仕掛けてくる場合、ＩＰアドレスの宛先は対象サーバであり、宛先ポート番号は実際に稼動中の該当サーバ５の番号となる。なお、ネットワーク資源の大量消費を目的とする場合、ＩＰアドレス及びポート番号ともにランダムのものが使用されることが多い。
【００４６】
以下、攻撃に対する防御について図３を用いて具体的に説明する。
【００４７】
通常、クライアント３からサーバ５に大量のデータを送信し攻撃を仕掛けてきた場合（Ｓ１）、サーバ５の負荷が増大するが、このサーバ５では、負荷増大に伴い、送信元にデータ転送の抑制を促すＩＣＭＰの発信元抑制エラー（ＩＣＭＰ  Ｔｙｐｅ４）を送信元であるクライアント３に向けて送信する（Ｓ２）。また、ネットワーク資源の大量消費を狙う攻撃を仕掛けてきた場合、サーバ５は同じく宛先（送信元）のクライアント３に向けて、データ到達エラーを伝えるためにＩＣＭＰ到達エラーを送信する（Ｓ３）。なお、宛先不明のパケットが送られてきた場合、サーバ５は、経路上のルータ装置と置き換えられる。
【００４８】
そこで、不正アクセス防御装置６においては、防御対象のネットワーク側から発信されるＩＣＭＰ発信元抑制エラーやＩＣＭＰ到達エラーを監視し、予め定めるある閾値を超えてエラーが発生した場合、攻撃と判断し、クライアント３から送られてくるパケットを破棄する処理を行う。
【００４９】
以下、不正アクセス防御装置６による攻撃防御の一連の処理例について図４を参照して説明する。
【００５０】
不正アクセス防御装置６は、記録媒体１５に格納される攻撃防御用プログラムに基づき、次のような処理を実行する。すなわち、不正アクセス防御装置６のパケット判定部１２は、インターフェイスＮＩＣ１、ＮＩＣ２からパケットが入力されたか判断し（Ｓ１１）、パケット入力有りと判断すると、インターフェイスＮＩＣ１側からＵＤＰパケットが入力されたか、またインターフェイスＮＩＣ２側からＵＤＰパケットのＩＣＭＰが入力されたか、或いはそれ以外のパケットかを判定する（Ｓ１２、Ｓ１３：パケット種別判定機能）。ここで、入力されたパケットがＵＤＰであると判定した場合、登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレスを通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレスをキーとし、データベース記録部１３に問い合わせし、当該データベース記録部１３からＩＣＭＰエラー回数を取得し（Ｓ１４）、パケット判定部１２に渡す。なお、データベース記録部１３には図５に示す攻撃識別（ＩＣＭＰ）、送信元ＩＰアドレス、送信先ＩＰアドレス、送信先ポート番号、到達時間、エラー回数等の情報が登録されている。
【００５１】
このパケット判定部１２は、ＩＣＭＰエラー回数が予め定めた閾値ｎを超えているか否かを判定する（Ｓ１５）。これらステップＳ１４，１５は不正アクセス判定機能に相当する。
【００５２】
ここで、ＩＣＭＰのエラー回数が予め設定される閾値ｎ（ＩＣＭＰ失敗許容回数）を超えていると判定された場合、パケット処理部１１に転送不可を通知する。ここで、パケット処理部１１は、転送不可通知を受けると、該当パケットを破棄する（Ｓ１６、Ｓ１７：パケット破棄機能）。
【００５３】
一方、ステップＳ１３において、インターフェイスＮＩＣ２から入ってきたパケットがＩＣＭＰである場合、パケット判定部１２は、ＩＣＭＰのＴｙｐｅ３もしくはＴｙｐｅ４であるか否かを判定する（Ｓ１８：タイプ判定機能）。このＩＣＭＰのタイプは図６に示す通りであり、サーバ５に到達できないとか、サーバ５で受け取れないとか、サーバにとって不要なものである。そこで、パケット判定部１２は、Ｔｙｐｅ３もしくはＴｙｐｅ４であると判断した場合、登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレスを通知する。
【００５４】
この登録／読出し制御部１４は、送信元・送信先ＩＰアドレスをキーとし、データベース記録部１３に問い合わせし、既に送信元・送信先ＩＰアドレスが登録されている場合、現エラー回数に＋１を加算し、一方、未だ送信元・送信先ＩＰアドレスが登録されていない場合、新規に図５に示す情報をデータベース記録部１３に登録する（Ｓ１９，Ｓ２０：登録機能）。
【００５５】
さらに、ステップＳ１３において、到達パケットがＵＤＰ、ＩＣＭＰの何れでもない場合、さらにステップＳ１５においてエラー回数が閾値を超えていない場合、さらにはステップＳ１８においてパケットがＩＣＭＰのＴｙｐｅ３、Ｔｙｐｅ４でない場合、パケット処理部１１にパケット転送許可を通知する（Ｓ２１）。ここで、パケット処理部１１は、既に受け取っているパケットを逆のインターフェイスＮＩＣ側に転送する（Ｓ２２）。これらステップＳ１９、Ｓ２０はパケット転送機能に相当する。
【００５６】
従って、以上のような実施の形態によれば、パケットがＵＤＰの場合、防御対象のネットワーク側から発信されるＩＣＭＰ発信元抑制エラーやＩＣＭＰ到達エラーをカウントしているので、このエラー回数を監視することにより、予め定めるある閾値を超えたときに攻撃と判断し、クライアント３から送られてくるパケットを破棄するので、ＵＤＰパケットのＩＣＭＰを使用して攻撃してくるクライアントに対し、その攻撃を確実の防御することができる。
【００５７】
２）  ＤＮＳによる名前解決について（図７参照）。  
先ず、ＤＮＳの基本的な動作について説明する。  
クライアント３から名前解決のためにリクエスト（Ｒｅｑｕｅｓｔ）パケットを送信すると（Ｓ４）、サーバ５は、そのリクエストに対するリプライ（Ｒｅｐｌｙ）パケットを返送する（Ｓ５）。このＤＮＳパケットは、常にリクエストパケットとリプライパケットが対でやり取りされる。なお、この対によるやり取りは、ＤＮＳヘッダの中に一意に特定される識別子が含まれている。
【００５８】
従って、攻撃者であるクライアント３は、要求パケットを大量にＤＮＳサーバ５に送り（Ｓ６）、ＤＮＳサーバ５のサービス提供を不能にさせる狙いで攻撃を仕掛けてくる。
【００５９】
そこで、不正アクセス防御装置６は、ＤＮＳによる通信の場合、常にリクエストとリプライとが対でやり取りされることから、単位時間当りに通過するＤＮＳのリクエストに対し、リプライが極端に少ない場合に攻撃とみなし、リクエストパケットを破棄する処理を行うものである。
【００６０】
次に、不正アクセス防御装置６によるＤＮＳ通信の攻撃防御の一連の処理例について図８を参照して説明する。
【００６１】
不正アクセス防御装置６は、記録媒体１５に格納される攻撃防御用プログラムに基づき、次のような処理を実行する。すなわち、不正アクセス防御装置６のパケット判定部１２は、インターフェイスＮＩＣ１、ＮＩＣ２からパケットが入力されたか判断し（Ｓ３１）、パケット入力有りと判断すると、インターフェイスＮＩＣ１側から入力されたパケットがＤＮＳリクエストか、またインターフェイスＮＩＣ２側から入力されたパケットがＤＮＳリプライか、それとも何れにも属さないかを判定する（Ｓ３２、Ｓ３３）。これらステップＳ３２，Ｓ３３はパケット判定機能に相当する。
【００６２】
そこで、ステップＳ３２において、インターフェイスＮＩＣ１側から入ってくるパケットがＤＮＳリクエストである場合、登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子を通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、データベース記録部１３に問い合わせし、リクエスト超過数を取り出し（Ｓ３４）、パケット判定部１２に渡す。なお、データベース記録部１３には図９に示す攻撃識別（ＤＮＳ）、送信元ＩＰアドレス、送信先ＩＰアドレス、ＤＮＳ識別子、到達時間、リクエスト超過数等の情報が登録されている。
【００６３】
このパケット判定部１２は、登録／読出し制御部１４からリクエスト超過数を受け取ると、リクエスト超過数が予め定められている閾値ｎを超えているか否かを判定する（Ｓ３５）。これらステップＳ３４，Ｓ３５は不正アクセス有無判定機能に相当する。
【００６４】
ここで、リクエスト超過数が予め設定される閾値ｎ（ＤＮＳリクエスト超過許容回数）を超えていると判定された場合、パケット処理部１１に転送不可を通知する（Ｓ３６）。ここで、パケット処理部１１は、転送不可通知を受けると、該当パケットを破棄する（Ｓ３６）。これらステップＳ３６、Ｓ３７はパケット破棄機能に相当する。
【００６５】
また、ステップＳ３５においてリクエスト超過数が閾値ｎを超えていない場合、その旨を登録／読出し制御部１４に通知する。この登録／読出し制御部１４は、当該パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子、到達時間等をデータベース記録部１３に登録し、或いは既に登録されている場合にはリクエスト超過数を＋１を加算する（Ｓ３８：第２の登録機能）。
【００６６】
一方、ステップＳ３３において、インターフェイスＮＩＣ２側から入ってくるパケットがＤＮＳリプライである場合、前述同様に登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子を通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、データベース記録部１３からリクエスト超過数を取り出し（Ｓ３９）、リクエスト超過数が０であれば消去指令を出し、データベース記録部１３から該当情報を消去させ、一方、リクエスト超過数が１以上であれば、リクエスト超過数から１を減らす指令を出し、データベース記録部１３から該当情報のリクエスト超過数から１を減らす（Ｓ４０）。これらステップＳ３９、Ｓ４０は第１の登録機能に相当する。
【００６７】
さらに、ステップＳ３３において、パケットがＤＮＳリクエストでなく、またＤＮＳリプライでない場合、またステップＳ３８及びＳ４０の処理後、パケット判定部１２はパケット処理部１１にパケット転送許可を通知する（Ｓ４１）。ここで、パケット処理部１１は、既に受け取っているパケットを逆のインターフェイスＮＩＣ側に転送する（Ｓ４２）。これらステップＳ４１、Ｓ４２はパケット転送機能に相当する。
【００６８】
従って、以上のような実施の形態によれば、ＵＤＰパケットがＤＮＳリクエストの場合、そのＤＮＳリプライからリクエスト超過数をカウントしているので、このリクエスト超過数を監視することにより、予め定めるある閾値を超えたときに攻撃と判断し、クライアント３から送られてくるパケットを破棄するので、ＵＤＰパケットのＤＮＳを使用して攻撃してくるクライアントに対し、その攻撃を確実に防御することができる。
【００６９】
３）  ＲＩＰによる定期的な経路情報の送信について（図１０参照）。
【００７０】
このＲＩＰは、サーバ５で保持する経路情報を他サーバ間と同期させることを目的として用いられ、定期的にブロードキャストの形で送信される。なお、送信間隔、送信量は常に一定量であるという特徴をもっている。
【００７１】
従って、攻撃者であるクライアント３は、ＲＩＰパケットを大量に送りつけ、ネットワーク資源の浪費やサーバ５の負荷増大を狙って攻撃を仕掛けてくる。
【００７２】
そこで、不正アクセス防御装置６は、ＲＩＰパケットが送られてきた場合、予め単位時間当りに到達してよい許容範囲を設け、ＲＩＰパケットが許容範囲を超えた場合にＲＩＰパケットを破棄する処理を行うものである。
【００７３】
次に、不正アクセス防御装置６による攻撃防御の一連の処理例について図１１を参照して説明する。
【００７４】
不正アクセス防御装置６は、記録媒体１５に格納される攻撃防御用プログラムに基づき、次のような処理を実行する。すなわち、不正アクセス防御装置６のパケット判定部１２は、インターフェイスＮＩＣ１からパケットが入力されたかを判断し（Ｓ５１）、入力された場合には当該パケットがＲＩＰパケットか否かを判定し（Ｓ５１：ＲＩＰパケット判定機能）、ＲＩＰパケットである場合には登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレスを通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレスをキーとし、データベース記録部１３に当該送信元・送信先ＩＰアドレスが登録されているかを問い合わせし（Ｓ５３）、その問い合わせ結果をパケット判定部１２に通知する。なお、データベース記録部１３には図１２に示す攻撃識別（ＲＩＰ）、送信元ＩＰアドレス、送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達等の情報が登録されている。
【００７５】
このパケット判定部１２は、問い合わせ結果を受け、当該送信元・送信先ＩＰアドレスが登録されているか否かを判定し（Ｓ５４）、登録されている場合には登録／読出し制御部１４に通知する。この登録／読出し制御部１４は、該当送信元・送信先ＩＰアドレスに対応する計測開始時間、到達パケット数から現在の単位時間当りの到達率を計算し、この到達率が予め定める許容範囲のＲＩＰ数ｎ（ＲＩＰ）を超えているか否かを判定する（Ｓ５５）。これらステップＳ５４〜Ｓ５５は不正アクセス有無判定機能に相当する。
【００７６】
ここで、到達率が許容範囲のＲＩＰ数ｎを超えていると判定された場合、パケット処理部１１に転送不可を通知する。ここで、パケット処理部１１は、転送不可通知を受けると、該当パケットを破棄する（Ｓ５６，Ｓ５７：パケット破棄機能）。
【００７７】
一方、ステップＳ５４において、該当する送信元・送信先ＩＰアドレスが登録されていないと判定された場合、その旨を登録／読出し制御部１４に通知する。この登録／読出し制御部１４は、データベース記録部１３に対し、受け取ったパケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数に１を書き込む（Ｓ５８：第１の登録機能）。また、登録／読出し制御部１４は、ステップＳ５４において到達率が許容範囲のＲＩＰ数ｎを超えていないと判定された場合、該当する送信元・送信先ＩＰアドレスに対応するＲＩＰ到達数に＋１を加算する（Ｓ５９：第２の登録機能）。
【００７８】
さらに、ステップＳ５２において、パケットがＲＩＰでない場合、またステップＳ５８及びＳ５９の処理後、パケット判定部１２はパケット処理部１１にパケット転送許可を通知する（Ｓ６０）。ここで、パケット処理部１１は、既に受け取っているパケットを逆のインターフェイスＮＩＣ側に転送する（Ｓ６１）。これらステップＳ６０、Ｓ６１はパケット転送機能に相当する。
【００７９】
従って、以上のような実施の形態によれば、ＵＤＰパケットがＲＩＰの場合、そのＲＩＰの到達数をカウントしているので、このＲＩＰ到達数を監視することにより、このＲＩＰ到達数が予め定める許容範囲のＲＩＰ数を超えたときに攻撃と判断し、クライアント３から送られてくるパケットを破棄するので、ＵＤＰパケットのＲＩＰを使用して攻撃してくるクライアントに対し、その攻撃を確実に防御することができる。
【図面の簡単な説明】
【００８０】
【図１】本発明に係る不正アクセス防御装置を適用したネットワーク通信システムの一例を示す系統構成図。
【図２】本発明に係る不正アクセス防御装置の一実施の形態を示す構成図。
【図３】データの大量送信による攻撃に対する防御を説明するための模式図。
【図４】図３に示す不正アクセス防御装置の一連の処理例を説明するフローチャート。
【図５】図２のデータベース記録部に登録される情報の内容を示す図。
【図６】ＩＣＭＰのタイプを説明する図。
【図７】ＤＮＳによる名前解決に関わる攻撃に対する防御を説明するための模式図。
【図８】図７に示す不正アクセス防御装置の一連の処理例を説明するフローチャート。
【図９】図２のデータベース記録部に登録される情報の内容を示す図。
【図１０】ＲＩＰによる定期的な経路情報送信による攻撃に対する防御を説明するための模式図。
【図１１】図１０に示す不正アクセス防御装置の一連の処理例を説明するフローチャート。
【図１２】図２のデータベース記録部に登録される情報の内容を示す図。
【図１３】一般的なＴＣＰの通信におけるクライアントとサーバとのやり取りを説明するシーケンス図。
【図１４】一般的なＵＤＰの通信におけるクライアントとサーバとのやり取りを説明するシーケンス図。
【図１５】ＩＰヘッダ、ＴＣＰヘッダ及びＵＤＰヘッダに含まれる情報を説明する図。
【図１６】従来のＳＹＮフラッド攻撃に対する防御を説明する図。
【符号の説明】
【００８１】
１…外部ネットワーク、２…内部ネットワーク、３…クライアント、４…パケットフィルタリング装置、５…サーバ、１１…パケット処理部、１２…パケット判定部、１３…データベース記録部、１４…登録／読出し制御部、１５…記録媒体。
【図１】
2005039591.tif 000003
【図２】
2005039591.tif 000004
【図３】
2005039591.tif 000005
【図４】
2005039591.tif 000006
【図５】
2005039591.tif 000007
【図６】
2005039591.tif 000008
【図７】
2005039591.tif 000009
【図８】
2005039591.tif 000010
【図９】
2005039591.tif 000011
【図１０】
2005039591.tif 000012
【図１１】
2005039591.tif 000013
【図１２】
2005039591.tif 000014
【図１３】
2005039591.tif 000015
【図１４】
2005039591.tif 000016
【図１５】
2005039591.tif 000017
【図１６】
2005039591.tif 000018