(57)【要約】【課題】ＤｏＳ攻撃を回避するための通信システムを提供する。【解決手段】対外向けサーバ４は、コンテンツ等を格納しており、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２を介して、ルータ３に接続している。ホームエージェント１は、ルータ３に接続しており、ルータ３を介してクライアント端末２５からパケットを受信した時は、受信したパケットの発信元ＩＰアドレスに設定されているＩＰアドレスを着信先ＩＰアドレスとし、発信元ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定してＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成し、インターネット２０に送出する。クライアント端末２５は、インターネット２０からＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信し、ホームエージェント１に送信しているパケットの着信先ＩＰアドレスを対外向けサーバ４のＩＰアドレス情報に変更する。これらの装置から構成されるＤｏＳ攻撃回避システム１０を提供する。【選択図】    図１
2005229254.tif 000002
【特許請求の範囲】
【請求項１】
パケットを送受信する端末装置と、パケットを中継するパケット転送装置と、前記パケット転送装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置と、前記端末装置と前記パケット転送装置を収容するネットワークと、を備えた通信システムにおいて、
前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に前記コンテンツサーバ装置の論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置を備えたことを特徴とする通信システム。
【請求項２】
パケットを送受信する端末装置と、パケットを中継するパケット転送装置と、前記パケット転送装置に接続され、受信した前記パケットを予め設定されている中継先の論理アドレスに従って中継する代理サーバ装置と、前記代理サーバ装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置と、前記端末装置と前記パケット転送装置を収容するネットワークと、を備えた通信システムにおいて、
前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に前記代理サーバ装置の前記論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置を備え、
前記代理サーバ装置は、
予め決められた状態を検出した場合に、自論理アドレス情報を予め設定されている別の論理アドレス情報に変更し、中継している前記端末装置の前記論理アドレスを検出し、該論理アドレスを着信先論理アドレスに設定した前記接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に変更後の自論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信することを特徴とする通信システム。
【請求項３】
前記代理サーバ装置は、
自論理アドレス情報を予め設定されている別の論理アドレス情報に変更した際に、変更後の自論理アドレス情報を含む論理アドレス変更通知を前記パケット転送装置と前記公開サーバ装置に通知し、
前記パケット転送装置は、
前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って経路情報を変更し、変更前の前記代理サーバの論理アドレス情報の転送先を前記公開サーバ装置に変更し、
前記公開サーバ装置は、
前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って前記公開サーバ装置の前記論理アドレス情報と前記代理サーバ装置の前記論理アドレス情報の対応付け情報を更新することを特徴とする請求項２に記載の通信システム。
【請求項４】
前記端末装置は、
前記ネットワークから前記接続先変更指示パケットを受信した場合には、前記代理サーバ装置に送信している前記パケットの着信先論理アドレスを前記接続先変更指示パケットの情報要素に含まれている前記論理アドレス情報に変更することを特徴とする請求項１乃至３のいずれか１つに記載の通信システム。
【請求項５】
前記接続先変更指示パケットの情報要素とは、発信元論理アドレスであることを特徴とする請求項１乃至４のいずれか１つに記載の通信システム。
【請求項６】
パケットを送受信する端末装置と、パケットを中継するパケット転送装置と、前記パケット転送装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置と、前記端末装置と前記パケット転送装置を収容するネットワークと、前記端末装置からの前記パケットを受信して、前記端末装置の接続先を変更させる情報を含んだパケットを送信する公開サーバ装置と、を備えた通信システムであって、
前記公開サーバ装置のコンピュータを、
前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に前記コンテンツサーバ装置の論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する手段、
として機能させるコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、高負荷型ＤｏＳ攻撃からホストを保護する通信システムに関する。
【背景技術】
【０００２】
ＩＰネットワークにおいて、セキュリティ上問題となっている高負荷型のＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅｓ：サービス拒否）攻撃には、以下の２種類が存在する。（以下、高負荷型ＤｏＳ攻撃を、単にＤｏＳ攻撃と呼ぶ。）
１つ目のＤｏＳ攻撃は、図１０の課題（１）に示すネットワーク高負荷型ＤｏＳ攻撃である。ネットワーク高負荷型ＤｏＳ攻撃は、攻撃目標に近い通信路へパケットを大量に送信し、通信路をパケットで飽和させることにより、正規の通信が通信路を通過できない状態を引き起こすことを目的としている。また、正規の通信が通過することができても大きな遅延が発生する等の事態を発生させる。２つ目のＤｏＳ攻撃は、図１０の課題（２）に示すホスト高負荷型ＤｏＳ攻撃である。ホスト高負荷型ＤｏＳ攻撃は、攻撃目標であるホストに大量のパケットを受信させ、その処理負荷を大きくすることにより、ホストが正規の通信を処理できない状態を引き起こすことを目的としている。また、正規の通信を処理できても大きな遅延が発生してしまう等の事態を発生させる。
つまり、ネットワーク高負荷型ＤｏＳ攻撃は、ＩＰネットワークにおける通信速度のパフォーマンス低下を引き起こすことを目的としている。一方、ホスト高負荷型ＤｏＳ攻撃は、サーバ等の処理パフォーマンスの低下を引き起こし、結果としてホストのシステムダウンを目的とした攻撃ということができる。図１１に大量にパケットを受信するＤｏＳ攻撃を分類した表を示す。
現状としては、以下の２つの対策がＤｏＳの防御のために一般的に採用されている。１つ目の対策は、ファイアウォールによるパケットフィルタリングである。この対策は、攻撃目標が外部ネットワーク、例えばインターネットに接続されている箇所へファイアウォールを設置し、ファイアウォールに設定されたフィルタリングルールに従って、受信する大量のパケットをフィルタリング、即ち遮断する方式である。フィルタリングルールには、プロトコル違反しているものを遮断したり、同じ送信元から大量に送りつけられてくるパケットを遮断したり、違反でないがプロトコル的に完結しないパケットを遮断するルールがある。プロトコル的に完結しないパケットとしては例えば、ＴＣＰ  Ｓｙｎしか送信しないＳｙｎ  Ｆｌｏｏｄ攻撃のようなものがある。この対策は、ＤｏＳ攻撃のパターンが特定できる場合に有効である。
２つ目の対策は、帯域制御装置を用いたトラフィックシェーピングである。この対策は、攻撃目標となるホストの直前に帯域制御装置を設置し、ホストの処理能力を超える流量のパケットが流れ込んだ時に、ホストが処理可能な受信量になるまで、帯域制御装置によってパケットをシェーピングする対策である。シェーピングとはパケットの送信時間間隔を大きくして遅延を発生させたり、パケットの一部を廃棄して間引いたりする方式である。この対策は、ＤｏＳ攻撃のパターンを特定できない場合に有効である。
上記２つの方法とは別に、特許文献１における不正侵入防止システムを用いた対策がある。この発明は、管理下のサーバに対するＤｏＳ攻撃を検出し、ＤｏＳ攻撃パケットを中継するルータでＤｏＳ攻撃を行っているパケットを確認できた場合に、該当するＤｏＳ攻撃パケットを経路制御することにより、攻撃目標へＤｏＳ攻撃パケットが到着しないようにする方式である。この対策は、ＤｏＳ攻撃パケットをルータが特定できる場合に有効である。
【特許文献１】特開２００２−１１１７２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記の従来の技術による対策を用いても、以下のような問題がある。１つ目のファイアウォールによるパケットフィルタリングの対策では、攻撃目標へ到達する高負荷型ＤｏＳ攻撃のパケットを削除することはできる。しかし、パケットフィルタしている側とは逆のネットワークの負荷は下がっても、パケットフィルタしている側のネットワークは高負荷のままであるため、その通信路を通る正規ユーザの通信のパフォーマンスは低いままであるという問題がある。
２つ目の帯域制御装置による対策では、攻撃目標へ到達する高負荷型ＤｏＳ攻撃のパケットを削減することができる。しかし、シェーピングは正規ユーザのパケットも含んでおり、正規ユーザの通信パフォーマンスも同様に低下することになる。
３つ目の特許文献１におけるルータによる経路変更による対策では、攻撃目標へ到達する高負荷型ＤｏＳ攻撃のパケットを削減、若しくは無くすことはできる。しかし、高負荷型ＤｏＳ攻撃のパケットをルータで特定するのは困難であり、特に発信元アドレスを偽っている場合は、さらに特定が困難となる。この対策では、高負荷型ＤｏＳ攻撃のパケットがサーバへ到達することを防ぐことはできるが、ルータに対して帯域を圧迫させるような高負荷型ＤｏＳ攻撃を避けることはできないという問題がある。
【０００４】
本発明は、上記問題を解決するためになされたもので、その目的は、正規ユーザの通信パフォーマンスを低下させることなく、ＤｏＳ攻撃のパケットの発信元アドレスが偽られている場合でも、攻撃目標のホストを高負荷型ＤｏＳ攻撃から保護する通信システムを提供することにある。
【課題を解決するための手段】
【０００５】
上述した課題を解決するために、請求項１に記載の発明は、パケットを送受信する端末装置（クライアント端末２５、２５ａ、２５ｂ）と、パケットを中継するパケット転送装置（ルータ３）と、前記パケット転送装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置（対外向けサーバ４）と、前記端末装置と前記パケット転送装置を収容するネットワーク（インターネット２０）と、を備えた通信システムにおいて、前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケット（ＢｉｎｄｉｎｇＵｐｄａｔｅパケット）を生成し、前記接続先変更指示パケットの情報要素に前記コンテンツサーバ装置の論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置（ホームエージェント１）を備えたことを特徴とする通信システム（ＤｏＳ攻撃回避システム１０）である。
【０００６】
請求項２に記載の発明は、パケットを送受信する端末装置（クライアント端末２５、２５ａ、２５ｂ）と、パケットを中継するパケット転送装置（ルータ３）と、前記パケット転送装置に接続され、受信した前記パケットを予め設定されている中継先の論理アドレスに従って中継する代理サーバ装置（ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２）と、前記代理サーバ装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置（対外向けサーバ４）と、前記端末装置と前記パケット転送装置を収容するネットワーク（インターネット２０）と、を備えた通信システムにおいて、前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケット（ＢｉｎｄｉｎｇＵｐｄａｔｅパケット）を生成し、前記接続先変更指示パケットの情報要素に前記代理サーバ装置の前記論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置（ホームエージェント１）を備え、前記代理サーバ装置は、予め決められた状態を検出した場合に、自論理アドレス情報を予め設定されている別の論理アドレス情報に変更し、中継している前記端末装置の前記論理アドレスを検出し、該論理アドレスを着信先論理アドレスに設定した前記接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に変更後の自論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信することを特徴とする通信システム（ＤｏＳ攻撃回避システム１０）である。
【０００７】
請求項３に記載の発明は、請求項２に記載の発明において、前記代理サーバ装置は、自論理アドレス情報を予め設定されている別の論理アドレス情報に変更した際に、変更後の自論理アドレス情報を含む論理アドレス変更通知（ルーティング情報変更通知）を前記パケット転送装置と前記公開サーバ装置に通知し、前記パケット転送装置は、前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って経路情報を変更し、変更前の前記代理サーバの論理アドレス情報の転送先を前記公開サーバ装置に変更し、前記公開サーバ装置は、前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って前記公開サーバ装置の前記論理アドレス情報と前記代理サーバ装置の前記論理アドレス情報の対応付け情報を更新することを特徴とする。
【０００８】
請求項４に記載の発明は、請求項１乃至３のいずれか１つに記載の発明において、前記端末装置は、前記ネットワークから前記接続先変更指示パケットを受信した場合には、前記代理サーバ装置に送信している前記パケットの着信先論理アドレスを前記接続先変更指示パケットの情報要素に含まれている前記論理アドレス情報に変更することを特徴とする。
【０００９】
請求項５に記載の発明は、請求項１乃至４のいずれか１つに記載の発明において、前記接続先変更指示パケットの情報要素とは、発信元論理アドレスであることを特徴とする。
【００１０】
請求項６に記載の発明は、パケットを送受信する端末装置と、パケットを中継するパケット転送装置と、前記パケット転送装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置と、前記端末装置と前記パケット転送装置を収容するネットワークと、前記端末装置からの前記パケットを受信して、前記端末装置の接続先を変更させる情報を含んだパケットを送信する公開サーバ装置と、を備えた通信システムであって、前記公開サーバ装置のコンピュータを、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に前記コンテンツサーバ装置の論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する手段（ＢｉｎｄｉｎｇＵｐｄａｔｅ手段１ａ）として機能させるコンピュータプログラムである。
【発明の効果】
【００１１】
この発明によれば、端末装置からコンテンツサーバ装置に対して送信するパケットを公開サーバ装置、即ちホームエージェントで受信して、受信したパケットの発信元ＩＰアドレスに対して、真のコンテンツサーバ装置のＩＰアドレスを通知する構成を取っている。そのため、攻撃を目的として発信元ＩＰアドレスを偽っている端末装置には真のＩＰアドレスの情報を含んだパケットが到達せず、当該端末装置はコンテンツサーバ装置に接続することができない。それによって、攻撃を目的とした端末装置のみを排除し、攻撃を目的としていない正規の端末装置からのパケットのみを受け入れることできる効果がある。
【００１２】
また、本発明によれば、当該代理サーバ装置は、端末装置とコンテンツサーバ装置の間の通信を代理サーバ装置で中継している状態で、予め決められた状態を検出した場合に、自らのＩＰアドレスを変更し、変更後のＩＰアドレスを端末装置に通知する構成を取っている。そのため、攻撃を目的として発信元ＩＰアドレスを偽っている端末装置には真のＩＰアドレスの情報を含んだパケットが到達せず、当該端末装置がコンテンツサーバに接続できない。また、ＩＰアドレスを変更して通知する際に、攻撃を行っている端末装置に対しては通知を行わない構成を取ることで、当該端末装置をコンテンツサーバ装置に接続させないようにすることもできる。それによって、攻撃を目的とした端末装置のみを排除し、攻撃と目的としていない正規の端末装置からのパケットのみを受け入れることできる効果がある。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の一実施形態による高負荷型ＤｏＳ攻撃回避システム（以下、ＤｏＳ攻撃回避システムと呼ぶ）を図面を参照して説明する。
図１は、この発明の一実施形態によるＤｏＳ攻撃回避システム１０及びＤｏＳ攻撃を行うクライアント端末２５との接続構成を示した図である。
同図において、ＤｏＳ攻撃回避システム１０及びクライアント端末２５はインターネット２０に接続されている。ＤｏＳ攻撃回避システム１０において、ルータ３はインターネット２０を介して、クライアント端末２５からパケットの受信を行い、予め設定されているルーティング情報に基づいてパケットを転送する。対外向けサーバ４は、ウェブページのコンテンツ等を格納しているサーバである。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＩＰアドレスをインターネット２０に公開しており、対外向けサーバ４の代理サーバとしての通信を中継する。また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、予め決められた状態を検出した場合に、自ＩＰアドレスを変更し、変更後のＩＰアドレスを含んだＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを対外向けサーバ４に接続中のパケットの発信元ＩＰアドレスに対して送信する。予め決められた状態とは、例えば、一定の時間が経過した状態や、攻撃を目的とした接続要求を検出した状態である。ホームエージェント１は、ＩＰアドレスをインターネット２０に公開しており、インターネット２０に接続している端末から最初に接続要求を受信する。そして、真の接続先のＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２のＩＰアドレスを含む接続先変更通知を受信したパケットの発信元ＩＰアドレスに対して送信する。この仕組みにより、クライアント端末２５が発信元ＩＰアドレスを偽って接続要求を送信する場合には、クライアント端末２５はホームエージェント１から真の接続先ＩＰアドレスを受信することができず、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２を介して対外向けサーバ４に接続することができない。また、何らかの手段でクライアント端末２５がＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２に接続し、対外向けサーバ４をＤｏＳ攻撃しても、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が予め決められた状態で変更するＩＰアドレスの情報を受信することができず、対外向けサーバ４へ接続させないようにすることができる。なお、以下モバイルＩＰ方式の名称に合わせて接続先変更通知をＢｉｎｄｉｎｇＵｐｄａｔｅメッセージと呼び、ＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを含むパケットをＢｉｎｄｉｎｇＵｐｄａｔｅパケットと呼ぶ。
【００１４】
図２は、この発明の一実施形態によるＤｏＳ攻撃回避システム１０を実際に利用するネットワーク構成を示す概略ブロック図である。
同図において、ＤｏＳ攻撃回避システム１０は、一般的な企業の社内ネットワークである企業内ネットワーク４０とインターネット接続をサービスとして提供するＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）２１の間に設置される。
ＤｏＳ攻撃回避システム１０において、ファイアウォール６は、一定のルールに従ったパケットのみをホームエージェント１に送信し、条件に合わないパケットはフィルタリングして破棄する。ファイアウォール６とホームエージェント１から構成されるおとりネットワーク７は、ＤｏＳ攻撃を最初に受信する領域である。また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２がＩＰアドレスを変更した際に、変更前のＩＰアドレスが設定されたパケットを受信して破棄する役目も持つ。ルータ３は受信したＩＰアドレスを予め設定されているルーティング情報に従ってパケットを転送する。同図に示すようにＩＳＰ２１を接続する位置にあってもよいし、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２からのＩＰアドレス変更の通知を受信できる場合にはＩＳＰ２１の内部に存在していてもよい。ファイアウォール５は、ルータ３を介して受信するパケットのうち一定のルールを満たすものだけを企業内ネットワーク４０に送信する。ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）３０は、インターネット上の端末装置等にウェブページ等を公開するサーバ等を配置する領域であり、インターネット２０からの接続を許容するルールをファイアウォール５で設定することにより構築される。そのため、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２及び対外向けサーバ４は、ＤＭＺ３０にも属する。
また、同図において、一般的な企業内ネットワークに設置されるＩＤＳ３２（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）は、ＤＭＺ３０内の装置が受信する接続のうち不正な接続を検出し、システム管理者等に通知する機能を有する。同じくＩＤＳ４２は、ルータ４１を介して企業内ネットワーク４０が受信する接続から不正な接続を検出し、システム管理者等に通知する機能を有する。
サーバ３１は、ＤｏＳ攻撃回避システム１０には含まれないが、ＤＭＺ３０に配置されているサーバであり、対外向けサーバ４に比べてＤｏＳ回避の必要がないもの等が該当する。
【００１５】
図３は、ＤｏＳ攻撃回避システム１０において主な装置であるホームエージェント１及びＢｉｎｄｉｎｇＵｐｄａｔｅエージェントにおいて必要な手段を示したものである。
ホームエージェント１には公開ＩＰアドレスであるＰＩＰ（ＰｕｂｌｉｃＩＰ）アドレスが設定されており、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２にはモバイルＩＰ方式における移動ＩＰアドレスであるＭＩＰ（Ｍｏｂｉｌｅ ＩＰ）アドレスが設定されている。ＰＩＰとＭＩＰの詳細については後述する。
ホームエージェント１において、ＢｉｎｄｉｎｇＵｐｄａｔｅ手段１ａは、クライアント端末２５から接続要求を受信し、受信した接続要求のパケットの発信元ＩＰアドレスに対してＭＩＰアドレスを含んだＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。また、モジュールダウンロード者ＩＤ管理テーブル１１からＢｉｎｄｉｎｇＵｐｄａｔｅに非対応のクライアント端末２５を判断し、対応していないクライアント端末２５の場合には、独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。
ＰＩＰ：ＭＩＰマップ管理手段１ｂは、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２からのＭＩＰアドレスの変更通知を受けてＰＩＰアドレス、ＭＩＰアドレスマッピングテーブル１ｃを更新する。モバイルＩＰｖ６（ＩＰｖｅｒｓｉｏｎ６）対応可否判定手段１ｄは、クライアントの端末２５がモバイルＩＰｖ６対応であるかを判定する。モバイルＩＰｖ６非対応クライアント用モジュールダウンロード指示手段１ｅは、モバイルＩＰｖ６対応可否判定手段１ｄが非対応と判断した場合に、モバイルＩＰｖ６に非対応のクライアント端末２５にモバイルＩＰｖ６非対応クライアント用モジュール２６を送信する。モジュールダウンロード者ＩＤ管理手段１ｆは、モバイルＩＰｖ６非対応クライアント用モジュールダウンロード指示手段１ｅからのダウンロード者ＩＤの通知を受信して、モジュールダウンロード者ＩＤ管理テーブル１１を更新する。モジュールダウンロード者ＩＤ管理テーブル１１は、ホームエージェント１やＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２で管理されていてもよいし、それ以外のサーバで管理されていてもよい。
モバイルＩＰｖ６非対応クライアント用モジュール２６は、ＢｉｎｄｉｎｇＵｐｄａｔｅ受信手段２６ａ及びＰＩＰ：ＭＩＰプロキシ手段２６ｂを備えている。具体的には、ダウンロードアプレットやインストールモジュールでモバイルＩＰｖ６非対応のクライアント端末２５に提供する。
ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２において、対外向けサーバプロキシ手段２ａは、コネクション管理テーブル２ｂを参照し、対外向けサーバ４とクライアント端末２５の間の通信において、ＩＰアドレスを振り替えて中継する。対外向けサーバＩＰアドレス変更手段２ｄは、予め決められた状態を検出した場合にＭＩＰアドレスを変更する。ＢｉｎｄｉｎｇＵｐｄａｔｅ手段２ｃは、対外向けサーバＩＰアドレス変更手段２ｄから新しいＭＩＰアドレスを受信し、コネクション管理テーブル２ｂを参照して、接続中のクライアント端末２５にＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。また、モジュールダウンロード者ＩＤ管理テーブル１１からＢｉｎｄｉｎｇＵｐｄａｔｅに非対応のクライアント端末２５を判断し、対応していないクライアント端末２５の場合には、独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。変更後新ＭＩＰ通知手段２ｅは、対外向けサーバＩＰアドレス変更手段２ｄから新しいＭＩＰアドレスを受信し、ルータ３及びホームエージェント１に変更後のＭＩＰアドレスを通知する。
ルータ３のルーティングテーブル書き換え手段３ａは、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２からＭＩＰの変更通知を受信してＰＩＰ及びＭＩＰに関するルーティングテーブルを更新する。
【００１６】
図４は、ＤｏＳ攻撃回避システム１０におけるホームエージェント１の処理を示した図である。ＤｏＳ攻撃回避システム１０の特徴は、モバイルＩＰ方式で用いられている接続先の移動に対応してＩＰアドレスを変更する方式を応用し、攻撃の回避を図ったものである。同図では、その特徴のうち、接続先ＩＰアドレス変更処理について説明する。接続先ＩＰアドレス変更処理とは、接続先のＩＰアドレスを発信元に通知し、端末装置に接続先を変更させ、不正な接続に対しては真の接続先に接続させないようにする処理である。
同図において、おとりネットワーク７は、名称の通り真の接続先のおとりとなるネットワークであり、インターネット２０からの接続を最初に受信するためのネットワークである。そのため、ホームエージェント１に設定するＩＰアドレスは、公開ＩＰアドレス、即ちＰＩＰアドレスとなる。ＰＩＰアドレスはモバイルＩＰ方式におけるホームアドレスに対応する。このＰＩＰアドレスを対外向けサーバ４のＵＲＬ（Ｕｎｉｖｅｒｓａｌ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）等とＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）において関連付けすることによって、ＰＩＰアドレスは、対外向けサーバ４のインターネット上で公開されるＩＰアドレスとなる。対外向けサーバ４にはＰＩＰアドレスとは別に真のＩＰアドレスが設定される。その真のＩＰアドレスは、モバイルＩＰ方式における気付けアドレスである移動ＩＰアドレス、即ちＭＩＰアドレスに対応する。ＰＩＰアドレスもＭＩＰアドレスもインターネット２０において接続が可能なグローバルＩＰアドレスである。
まず、インターネット２０に接続しているＤｏＳ攻撃者端末２５ｂと正規ユーザ端末２５ａは、公開されているウェブサイトのＵＲＬ等へ接続を行う。コンテンツが存在する真の装置は対外向けサーバ４であるが、上記した通り、最初にＵＲＬにＤＮＳによって関連付けられているＩＰアドレスはホームエージェント１のＰＩＰアドレスである。そのため、攻撃者端末２５ｂと正規ユーザ端末２５ａからの接続要求のパケットはホームエージェント１が受信する（ステップＳ４−１）。パケットを受信したホームエージェント１は、モバイルＩＰ方式で規定されているＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを含むパケット（以下、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットと呼ぶ）を生成し、対外向けサーバ４のＩＰアドレスであるＭＩＰアドレスをＢｉｎｄｉｎｇＵｐｄａｔｅパケットに設定する。そして、端末から受信したパケットの発信元ＩＰアドレス（同図におけるソースＩＰアドレス）をＢｉｎｄｉｎｇＵｐｄａｔｅパケットの着信先ＩＰアドレスに設定し、インターネットに送信する。正規ユーザ端末２５ａから受信したパケットの場合には発信元ＩＰアドレスも実在するＩＰアドレスであるため、パケットは正規ユーザ端末２５ａに到達する（ステップＳ４−２）。一方、受信したパケットがＤｏＳ攻撃者端末２５ｂからの攻撃を目的としたパケットであって、発信元ＩＰアドレスが偽られたものである場合には、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットはＤｏＳ攻撃者２５ｂには到達せず、転送の途中で破棄される。（ステップＳ４−３）。それによって、ＤｏＳ攻撃者端末２５ｂは、対外向けサーバ４のＭＩＰアドレスを知ることができず、対外向けサーバ４へは接続できないことになる。一方、正規ユーザ端末２５ａは、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信して、ＰＩＰアドレスとＭＩＰアドレスの対応付けを行っているＢｉｎｄｉｎｇキャッシュの更新を行う。そして、ＰＩＰアドレス向けの通信パケットをＭＩＰアドレス向けに変更する（ステップＳ４−４）。この処理によって、対外向けサーバ４は、正規ユーザ端末２５ａからの接続のみを受信することができ、攻撃を回避することが可能となる。
また、ステップＳ４−３において、ＤｏＳ攻撃端末に対してＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する際に、既にその接続がＤｏＳ攻撃だと判別できる場合には、ＢｉｎｄｉｎｇＵｐｄａｔｅパケット自体を送信しないようにしてもよい。そうすることで、より確実にＤｏＳ攻撃を回避することが可能となる。
なお、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットはモバイルＩＰ対応の装置でなければ受信できないため、対応していない装置の場合には独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケット相当の情報を含んだ通知を行い、正規ユーザ端末２５ａ側にも当該独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信して接続を切り替えるモジュール等を予めインストールしておく必要がある。
【００１７】
図５は、ＤｏＳ攻撃回避システム１０におけるＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２及びホームエージェント１の処理を示した図である。同図では、ＤｏＳ攻撃回避システム１０のもう１つの特徴である、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２の自ＩＰアドレス変更処理を示したものである。自ＩＰアドレス変更処理とは、仮にＤｏＳ攻撃端末が真の対外向けサーバ４へ接続できた場合にも、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が自らのＩＰアドレスを予め決められた状態で変更し、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを正規な端末のみに送信することによってＤｏＳ攻撃を回避する処理である。
同図では、対外向けサーバ４に移動ＩＰアドレスであるＭＩＰアドレスを設定するのではなく、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２にＭＩＰアドレスを設定する。また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、対外向けサーバ４のプロキシサーバとしての機能を有し、ＭＩＰアドレスへ接続があった場合には、一度その接続をＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が中継する。即ち、正規ユーザ端末２５ａ及びＤｏＳ攻撃者端末２５ｂの接続先ＩＰアドレスはＭＩＰアドレスであり、対外向けサーバ４のＩＰアドレスは直接インターネット２０に対して公開されず、ＭＩＰアドレスが公開される。そのため、対外向けサーバ４が外部からの接続を直接受信しない場合には、プライベートＩＰアドレスを設定してもよい。
前提として、正規ユーザ端末２５ａ及びＤｏＳ攻撃者端末２５ｂは既に、ＢｉｎｄｉｎｇＵＰｄａｔｅエージェント２を介して対外向けサーバ４に接続しているものとする。つまり、ＤｏＳ攻撃者端末２５ｂは、何らかの手段でＭＩＰアドレスを手に入れて接続しているものとする（ステップＳ５−１及びステップＳ５−２）。次に、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が予め設定されているＩＰアドレスの中から１つのＩＰアドレスを選択し、ＭＩＰアドレスを選択したＩＰアドレスに変更する（ステップＳ５−３）。ＭＩＰアドレスを変更したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２はＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを含むＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する。そして、ＭＩＰアドレスの情報を含むＢｉｎｄｉｎｇＵｐｄａｔｅパケットを接続中の通信の発信元ＩＰアドレス全てについて送信する（ステップＳ５−４）。発信元ＩＰアドレスを偽っていない正規ユーザ端末２５ａにはＢｉｎｄｉｎｇＵｐｄａｔｅパケットが到達し、新しいＭＩＰアドレスへ接続を切り替えることができる。一方、発信元ＩＰアドレスを偽っているＤｏＳ攻撃者端末２５ｂへはＢｉｎｄｉｎｇＵｐｄａｔｅパケットは到達せず、途中で破棄され、変更後のＭＩＰアドレスを受信することができない。ＢｉｎｄｉｎｇＵｐｄａｔｅパケット送信時に既にＤｏＳ攻撃者端末２５ｂからの接続が攻撃だと判別できる場合には、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信しないようにしてもよい。
また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレスを変更したルーティング情報変更通知をルータ３とホームエージェント１に通知する。ルーティング情報変更通知に従って、経路制御のためのルーティングテーブルを変更し、ルータ３は以前のＭＩＰアドレスに対する接続を受信した場合には、おとりネットワーク７へ転送されるように設定する。ホームエージェント１は、ルーティング情報変更通知を受信して、ＰＩＰアドレスとＭＩＰアドレスの対応付けを更新する（ステップＳ５−５）。ルータ３のルーティングテーブルが変更されたことにより、ＭＩＰからＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信できなかったＤｏＳ攻撃者端末２５ｂは以前のＭＩＰアドレスでパケットを送信する。しかし、ルーティングテーブルが変更されているためそのパケットはおとりネットワーク７に転送され、破棄されることとなる（ステップＳ５−６）。
一方、正規ユーザ端末２５ａは、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信して、新しいＭＩＰアドレスへ接続を変更し（ステップＳ５−７）、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が中継して対外向けサーバ４からウェブページ等をダウンロードすることが可能となる。
それによって、ＤｏＳ攻撃者端末２５ｂの接続を受け入れてしまった場合でも、その接続の途中でＩＰアドレスを変更することができるため、他の正規ユーザ端末２５ａの接続を維持したままで、ＤｏＳ攻撃者端末２５ｂのみを対外向けサーバ４への接続から排除することが可能となる。
【００１８】
図６は、クライアント端末２５がモバイルＩＰｖ６に対応している場合の接続先ＩＰアドレス変更処理を示したものである。同図において、クライアント端末２５は、インターネット上の端末であり、既にＤＮＳにより対外向けサーバ４の公開ＩＰアドレス、即ちＰＩＰアドレスを受信している。また、クライアント端末２５がモバイルＩＰｖ６に対応しているため、クライアントは標準でＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信することが可能であり、新たにソフトウェアを導入する必要はない。
まず、クライアント端末２５がＰＩＰアドレス宛のパケットを送信する。この時、パケットの発信元ＩＰアドレス（同図中のＳｒｃ：）にはＣＩＰ（Ｃｌｉｅｎｔ  ＩＰ）アドレスを設定し、着信先ＩＰアドレス（同図中のＤｓｔ：）にはＰＩＰアドレスを設定して送信する。ここで、送信するパケットにはＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）の設定の最初に送信されるＴＣＰ  Ｓｙｎ等も含まれる（ステップＳ６−１）。ＰＩＰアドレス宛のパケットを受信したホームエージェント１は、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを含むパケットを生成する（ステップＳ６−２）。そして、当該パケットの着信先ＩＰアドレスにＣＩＰアドレスを設定し、発信元ＩＰアドレスにＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２のＩＰアドレスであるＭＩＰアドレスを設定する。また、ホームアドレスオプションヘッダにはＰＩＰアドレスを設定し、モビリティヘッダにはＢｉｎｄｉｎｇＵｐｄａｔｅを設定する。そして、ＩＰｖ６では標準で備わっているＩＰｓｅｃの認証ヘッダを必要に応じて設定し、インターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、ＭＩＰアドレスの情報を受信することができない（ステップＳ６−３）。パケットを受信したクライアント端末２５は、パケットにＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。次に、ＰＩＰアドレスとＭＩＰアドレスを関連付けているテーブルであるＢｉｎｄｉｎｇキャッシュを更新し、それ以降のＰＩＰアドレス向けの送信パケットを全てＭＩＰアドレス向けに変換する。この変換処理はモバイルＩＰのプロトコルスタックのソフトウェア内で行われるため、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見える（ステップＳ６−４）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ６−５）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を開始し、プロキシサーバとして対外向けサーバ４とクライアント端末２５の間の通信の中継を行う（ステップＳ６−６）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ６−７）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する���
同図において、通常のモバイルＩＰ方式と本実施形態のＤｏＳ攻撃回避システムの相違点は以下の２点である。１点目は、モバイルＩＰ方式では公開ＩＰアドレス宛のパケットをホームエージェント１がＭＩＰアドレスへフォワードするが、ＤｏＳ攻撃回避システムではフォワードしない。２点目は、モバイルＩＰ方式ではホームエージェント１がＢｉｎｄｉｎｇＵｐｄａｔｅパケットをクライアント端末２５に送信しないが、ＤｏＳ攻撃回避システムでは送信する。
つまり、ネットワーク上のパケットやクライアント端末２５に求める動作としてはモバイルＩＰｖ６の機能のままであるが、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２はＤｏＳ攻撃回避システム特有の機能を有することとなる。
【００１９】
図７は、クライアント端末２５がモバイルＩＰｖ６に対応していない場合の接続先ＩＰドレス変更処理を示したものである。同図において、クライアント端末２５は、インターネット上の端末であり、既にＤＮＳにより対外向けサーバ４の公開ＩＰアドレス、即ちＰＩＰアドレスを受信している。また、クライアント端末２５がモバイルＩＰｖ６に対応していない、即ちＩＰｖ４の環境での実施となるため独自のＢｉｎｄｉｎｇＵｐｄａｔｅ受信用モジュール及びＰＩＰアドレスとＭＩＰアドレスの変換モジュールが必要となる。モジュールをインストールする方法としては、ＣＤ−ＲＯＭ等の記録媒体で行う方法のほかに、ダウンロードアプレット等を利用してホームエージェント１から自動ダウンロードする方法が考えられる。
まず、クライアント端末２５がＰＩＰアドレス宛のパケットを送信する。この時、パケットの発信元ＩＰアドレスにはＣＩＰアドレスを設定し、着信先ＩＰアドレスにはＰＩＰアドレスを設定して送信する。ここで、送信するパケットにはＴＣＰの設定の最初に送信されるＴＣＰ  Ｓｙｎ等も含まれる（ステップＳ７−１）。ＰＩＰアドレス宛のパケットを受信したホームエージェント１は、独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する（ステップＳ７−２）。着信先ＩＰアドレスにＣＩＰアドレスを設定し、発信元ＩＰアドレスにＰＩＰアドレスを設定する。また、ＩＰｓｅｃに対応している場合で、クライアント端末２５でホームエージェント１からのパケットか否かを認証する場合には、認証ヘッダも設定する。そして、クライアント端末２５のＰＩＰアドレスのＢｉｎｄｉｎｇ情報をＭＩＰアドレスへ変更するための指示情報をオプションヘッダ等に設定し、パケットをインターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、ＭＩＰアドレスの情報を受信することができない（ステップＳ７−３）。パケットを受信したクライアント端末２５は、パケットにＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。そして、それ以降のＰＩＰアドレス向けのパケットを全てＭＩＰアドレス向けに変換する。変換処理の際、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見える（ステップＳ７−４）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ７−５）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を開始し、プロキシサーバとして対外向けサーバ４とクライアント端末２５の中継を行う（ステップＳ７−６）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ７−７）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
【００２０】
図８は、クライアント端末２５がモバイルＩＰｖ６に対応している場合のＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２の自ＩＰアドレス変更処理を示したものである。
同図において、クライアント端末２５は、既に上記したホームエージェント１からＭＩＰアドレスを取得している。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２をプロキシサーバとして対外向けサーバ４との間で通信を開始している（ステップＳ８−１）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２がＭＩＰアドレスを変更する（ステップＳ８−２）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェントはホームエージェント１宛に新しいＭＩＰアドレスを通知する。通知する方法はＢｉｎｄｉｎｇＵｐｄａｔｅパケットを用いた方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ８−３）。ＭＩＰアドレスの変更通知を受信したホームエージェント１は、ＰＩＰアドレスとＭＩＰアドレスの対応付けテーブルを新しいＭＩＰアドレスに更新する（ステップＳ８−４）。同様に、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ルータ３に新しいＭＩＰアドレスを通知する。通知はＢｉｎｄｉｎｇＵｐｄａｔｅパケットによる方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ８−５）。ＭＩＰアドレスの変更通知を受信したルータ３は、旧ＭＩＰアドレスと新ＭＩＰアドレスのルーティングテーブルを更新する（ステップＳ８−６）。次に、ＢｉｄｉｎｇＵｐｄａｔｅエージェント２は、クライアント端末２５に新しいＭＩＰアドレスを通知するためＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する。パケットの着信先にはＣＩＰアドレス、発信元ＩＰアドレスにはＭＩＰアドレス、ホームアドレスにはＰＩＰを設定し、モビリティヘッダにはＢｉｎｄｉｎｇＵｐｄａｔｅを設定する。そして、ＩＰｖ６では標準で備わっているＩＰｓｅｃの認証ヘッダを必要に応じて設定し、パケットをインターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、変更後の新しいＭＩＰアドレスを受信することができない（ステップＳ８−７）。パケットを受信したクライアント端末２５は、パケットがＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。そして、ＰＩＰアドレスへのパケットを全てＭＩＰアドレス向けのパケットに変換する。この変換処理はモバイルＩＰのプロトコルスタックのソフトウェア内で行われるため、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見える（ステップＳ８−８）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ８−９）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を行う（ステップＳ８−１０）。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、プロキシサーバとして対外向けサーバ４とクライアント端末２５の中継を行う（ステップＳ８−１１）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ８−１２）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
【００２１】
図９は、クライアント端末２５がモバイルＩＰｖ６に対応していない場合の自ＩＰアドレス変更処理を示したものである。
同図において、クライアント端末２５は、既に上記したホームエージェント１からＭＩＰアドレスを取得している。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２をプロキシサーバとして対外向けサーバ４との間で通信を開始している（ステップＳ９−１）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２がＭＩＰアドレスを変更する（ステップＳ９−２）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェントはホームエージェント１宛に新しいＭＩＰアドレスを通知する。通知する方法はＢｉｎｄｉｎｇＵｐｄａｔｅパケットを用いた方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ９−３）。ＭＩＰアドレスの変更通知を受信したホームエージェント１は、ＰＩＰアドレスとＭＩＰアドレスの対応付けテーブルを新しいＭＩＰアドレスに更新する（ステップＳ９−４）。同様に、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ルータ３に新しいＭＩＰアドレスを通知する。この通知はＢｉｎｄｉｎｇＵｐｄａｔｅパケットによる方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ９−５）。ＭＩＰアドレスの変更通知を受信したルータ３は、旧ＭＩＰアドレスと新ＭＩＰアドレスのルーティングテーブルを更新する（ステップＳ９−６）。次に、ＢｉｄｉｎｇＵｐｄａｔｅエージェント２は、クライアント端末２５に新しいＭＩＰアドレスを通知するため独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する。パケットの着信先にはＣＩＰアドレス、発信元ＩＰアドレスにはＭＩＰアドレスを設定する。また、ＩＰｓｅｃに対応している場合で、クライアント端末２５でホームエージェント１からのパケットか否かを認証する場合には、認証ヘッダも設定する。そして、クライアント端末２５のＰＩＰアドレスのＢｉｎｄｉｎｇ情報をＭＩＰアドレスへ変更するための指示情報をオプションヘッダ等に設定し、パケットをインターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、変更後の新しいＭＩＰアドレスを受信することができない（ステップＳ９−７）。パケットを受信したクライアント端末２５は、パケットにＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。そして、ＰＩＰアドレスへのパケットを全てＭＩＰアドレス向けのパケットに変換する。変換処理の際、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見せかける（ステップＳ９−８）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ９−９）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を行う（ステップＳ９−１０）。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、プロキシサーバとして対外向けサーバ４とクライアント端末２５の中継を行う（ステップＳ９−１１）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ９−１２）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
【００２２】
なお、本発明のＤｏＳ攻撃回避システムにおいて、ホームエージェント１とＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２用にそれぞれ別にルータを設けてもよい。このような構成にすることで、ルータの負荷を低減することが可能である。
【００２３】
上述のＤｏＳ攻撃回避システムは内部に、コンピュータシステムを有している。そして、上述した接続先ＩＰアドレス変更及び自ＩＰアドレス変更の処理過程は、プログラム形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。
【図面の簡単な説明】
【００２４】
【図１】本発明の一実施形態おけるＤｏＳ攻撃回避システム及びその接続装置の構成を示したブロック図（その１）である。
【図２】同実施形態におけるＤｏＳ攻撃回避システム及びその接続装置の構成を示したブロック図（その２）である。
【図３】同実施形態におけるＤｏＳ攻撃回避システムのブロック図である。
【図４】同実施形態におけるＤｏＳ攻撃回避システムの接続先ＩＰアドレス変更処理を示した図である。
【図５】同実施形態におけるＤｏＳ攻撃回避システムの自ＩＰアドレス変更処理を示した図である。
【図６】同実施形態におけるＩＰｖ６対応装置の場合の接続先ＩＰアドレス変更処理を示した図である。
【図７】同実施形態におけるＩＰｖ６非対応装置の場合の接続先ＩＰアドレス変更処理を示した図である。
【図８】同実施形態におけるＩＰｖ６対応装置の場合の自ＩＰアドレス変更処理を示した図である。
【図９】同実施形態におけるＩＰｖ６非対応装置の場合の自ＩＰアドレス変更処理を示した図である。
【図１０】従来におけるＤｏＳ攻撃の種類を示した図である。
【図１１】従来におけるＤｏＳ攻撃のパターンを示した図である。
【符号の説明】
【００２５】
１  ホームエージェント
２  ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント
３  ルータ
４  対外向けサーバ
１０ ＤｏＳ攻撃回避システム
２０ インターネット
２５ クライアント端末
【図１】
2005229254.tif 000003
【図２】
2005229254.tif 000004
【図３】
2005229254.tif 000005
【図４】
2005229254.tif 000006
【図５】
2005229254.tif 000007
【図６】
2005229254.tif 000008
【図７】
2005229254.tif 000009
【図８】
2005229254.tif 000010
【図９】
2005229254.tif 000011
【図１０】
2005229254.tif 000012
【図１１】
2005229254.tif 000013