(57)【要約】【課題】  簡易なシステム構成によって迅速に、ネットワーク内への不正攻撃の侵入口を特定する。【解決手段】  本発明の侵入箇所特定システムは、外部ネットワークと防御対象ネットワークとの境界に設けられた複数の第１のネットワーク装置と、防御対象ネットワークへ導入された通信情報が与えられ得る複数の第２のネットワーク装置とを備える。そして、各第１のネットワーク装置が、外部ネットワークからの通信情報に、自装置に固有な識別情報を付与して防御対象ネットワークへ導入させる識別情報付与手段を有し、各第２のネットワーク装置が、不正攻撃の通信情報を検出する攻撃検出手段と、検出された不正攻撃に付与されている識別情報に基づき、不正攻撃の通信情報を防御対象ネットワーク内に導入させた第１のネットワーク装置を特定する侵入箇所特定手段とを有することを特徴とする。【選択図】      図１
2005217692.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークと防御対象ネットワークとの境界又は境界近傍に設けられ、上記外部ネットワークからの通信情報を上記防御対象ネットワークへ導入させる複数の第１のネットワーク装置と、
上記外部ネットワークから上記防御対象ネットワークへ導入された通信情報が与えられ得る複数の第２のネットワーク装置とを備え、
上記各第１のネットワーク装置が、上記外部ネットワークからの通信情報に、自装置に固有な識別情報を付与した後、上記防御対象ネットワークへ導入させる識別情報付与手段を有し、
上記各第２のネットワーク装置が、不正攻撃の通信情報を検出する攻撃検出手段と、検出された不正攻撃の通信情報に識別情報が付与されていた場合に、その識別情報に基づき、不正攻撃の通信情報を上記防御対象ネットワーク内に導入させた上記第１のネットワーク装置を特定する侵入箇所特定手段とを有する
ことを特徴とする侵入箇所特定システム。
【請求項２】
上記各第２のネットワーク装置が、上記侵入箇所特定手段が特定した上記第１のネットワーク装置に不正侵入情報を送出する不正侵入情報送出手段をさらに有し、
上記各第１のネットワーク装置が、ある上記第２のネットワーク装置から不正侵入情報が送出されたときに、その不正侵入情報が規定する不正攻撃の通信情報の上記外部ネットワークから上記防御対象ネットワークへの今後の導入を遮断させる遮断手段をさらに有する
ことを特徴とする請求項１に記載の侵入箇所特定システム。
【請求項３】
全て又は一部の上記第２のネットワーク装置は、外部ネットワークと防御対象ネットワークとの境界又は境界近傍に設けられていることを特徴とする請求項１又は２に記載の侵入箇所特定システム。
【請求項４】
外部ネットワークと防御対象ネットワークとの境界又は境界近傍に設けられている上記各第２のネットワーク装置は、上記第１のネットワーク装置の機能をも備えていることを特徴とする請求項３に記載の侵入箇所特定システム。
【請求項５】
上記識別情報付与手段は、上記外部ネットワークからの通信情報に対する識別情報の付与方法を、確率的又は時間帯ごと、複数種類の付与方法間で切り換えることを特徴とする請求項１〜４のいずれかに記載の侵入箇所特定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正侵入箇所特定システムに関し、例えば、ＤｏＳ（ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃やＤＤｏＳ（ｄｉｓｔｒｉｂｕｔｅｄ  ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃の防御システムに適用し得るものである。
【背景技術】
【０００２】
インターネット上で提供されるサービスの妨害を狙った攻撃として、意味のないパケットを大量に送りつけることで、サービスやシステムを停止させるＤｏＳ攻撃や、複数のサーバを乗っ取ったうえでそれぞれが一斉にＤｏＳ攻撃を仕掛けるＤＤｏＳ攻撃がある。
【０００３】
このような攻撃パケットに対処するために攻撃パケットの送信元を追跡する方法として、特許文献１に記載の方法が提案されている。
【０００４】
特許文献１の記載発明では、以下のような手順によって、攻撃パケットの送信元を検出する。
【０００５】
侵入検知手段は、ユーザのコンピュータに攻撃パケットが侵入したことを検知し、この攻撃パケットの情報を取得し、セキュリティ管理サービス装置に攻撃パケットの情報と共に検知したことを通知する。セキュリティ管理サービス装置は、まず探索対象をユーザのコンピュータが接続しているネットワークに絞る。セキュリティ管理サービス装置は、そのネットワークへの通信経路に接続しているパケット監視手段に対し、通知された攻撃パケットがどこから来たかを問い合わせる。各パケット監視手段は、自己に係る通信経路を通過したパケットの特徴を一定期間だけ保持するようになっており、攻撃パケットを識別できる。攻撃パケットが、ユーザのコンピュータが接続しているネットワークを発信元としている場合であれば、直ちに、セキュリティ管理サービス装置の制御下で侵入に対する防御処理を行い、他のネットワークを発信元としている場合であれば、上述と同様な処理を、セキュリティ管理サービス装置の制御下で他のネットワークに対しても繰り返し実行させながら、発信元を特定して、侵入に対する防御処理を行う。
【特許文献１】特開２００３−２９８６５２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来技術の場合、各パケット監視手段は、自己に係る通信経路を通過したパケットの特徴を一定期間だけ保持しなければならず、攻撃パケットの通過を確実に検出するためには、保持する特徴情報量を多くしたり、保持期間などを長くしなければならず、パケット監視手段が大型化する。
【０００７】
また、パケット監視手段の機能だけで攻撃パケットの侵入口などを特定できず、攻撃パケットの侵入口などを特定するためには、セキュリティ管理サービス装置（管理システム）やパケット監視手段などが連携動作しなければならず、そのためのシステム構成が大型、複雑になっている。
【０００８】
さらに、セキュリティ管理サービス装置は、その時点で対象となっているネットワークに係る全てのパケット監視手段に問い合わせるため、攻撃パケットの侵入口の特定に時間がかかってしまう。
【０００９】
そのため、簡易なシステム構成によって迅速に、不正攻撃のネットワーク内への侵入口を特定することができる侵入箇所特定システムが望まれている。
【課題を解決するための手段】
【００１０】
かかる課題を解決するため、本発明の侵入箇所特定システムは、外部ネットワークと防御対象ネットワークとの境界又は境界近傍に設けられ、上記外部ネットワークからの通信情報を上記防御対象ネットワークへ導入させる複数の第１のネットワーク装置と、上記外部ネットワークから上記防御対象ネットワークへ導入された通信情報が与えられ得る複数の第２のネットワーク装置とを備え、上記各第１のネットワーク装置が、上記外部ネットワークからの通信情報に、自装置に固有な識別情報を付与した後、上記防御対象ネットワークへ導入させる識別情報付与手段を有し、上記各第２のネットワーク装置が、不正攻撃の通信情報を検出する攻撃検出手段と、検出された不正攻撃の通信情報に識別情報が付与されていた場合に、その識別情報に基づき、不正攻撃の通信情報を上記防御対象ネットワーク内に導入させた上記第１のネットワーク装置を特定する侵入箇所特定手段とを有することを特徴とする。
【発明の効果】
【００１１】
本発明の侵入箇所特定システムによれば、防御対象ネットワーク内に外部から導入された通信情報に第１のネットワーク装置が識別情報が付与し、第２のネットワーク装置が不正攻撃の通信情報を検出したときに、その通信情報に付与されている第１のネットワーク装置の識別情報に基づき、不正攻撃のネットワーク内への侵入口を特定するので、簡易なシステム構成によって迅速に、不正攻撃のネットワーク内への侵入口を特定することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明による侵入箇所特定システムの一実施形態を図面を参照しながら説明する。なお、本発明が対象とする不正攻撃の種類は問わないが、以下では、不正攻撃がＤｏＳ攻撃又はＤＤｏＳ攻撃であるとして適宜説明を行う。
【００１３】
図１は、この実施形態の侵入箇所特定システムに係る複数ネットワークの接続例及び侵入箇所の特定方法を示す説明図である。
【００１４】
図１において、ＤｏＳ攻撃やＤＤｏＳ攻撃などの不正攻撃からの防御対象の防御対象ネットワーク１−０は、１又は複数（図１では３個示しているがこれに限定されない）の外部ネットワーク１−１〜１−３に対し、ネットワーク間の境界又は境界近傍に設置されているネットワーク装置２−１〜２−３を介して接続可能となされている。
【００１５】
防御対象ネットワーク１−０は、例えば、キャリアやインターネットサービスプロバイダ（ＩＳＰ）などのネットワークである。また、防御対象ネットワーク１−０は、例えば、パケット通信網であり、以下では、パケット通信網であるとして説明を行う。
【００１６】
外部ネットワーク１−ｉ（ｉは１〜３）は、防御対象ネットワーク１−０との間で通信を実行し得る、防御対象ネットワーク１−０に隣接するネットワークであり、例えば、防御対象ネットワーク１−０がＩＳＰ網である場合、外部ネットワーク１−ｉは他のＩＳＰ網でもユーザ網でも構わない。なお、一部の外部ネットワークは、ネットワークではなく、コンピュータなどの端末装置そのものであっても良い。
【００１７】
ネットワーク装置２−ｉは、上述したように、防御対象ネットワーク１−０と外部ネットワーク１−ｉとの間の境界又は境界近傍に設置されている通信処理に供する装置であり、例えば、ルータ、スイッチ、ファイアウォール、不正侵入検知機器、帯域管理装置、負荷分散装置などが該当する。
【００１８】
各ネットワーク装置２−ｉは、不正侵入の侵入箇所特定機能という面からは、図２の機能ブロック図に示す詳細構成を有する。
【００１９】
図２において、ネットワーク装置２−ｉは、入力インタフェース部（入力Ｉ／Ｆ）１０、遮断部１１、遮断制御部１２、検出部１３、検出制御部１４、識別情報テーブル１５、識別情報処理部１６及び出力インタフェース部（出力Ｉ／Ｆ）１７を有する。
【００２０】
入力インタフェース部１０及び出力インタフェース部１７はそれぞれ、パケットの入力又は出力を行うネットワークインタフェースであり、適宜、防御対象ネットワーク１−０と外部ネットワーク１−ｉとの物理層などの相違を吸収するものである。
【００２１】
入力インタフェース部１０が受信した転送パケットは遮断部１１に与えられる。遮断部１１は、遮断制御部１２の制御下で、パケット遮断ルールに従って、受信した転送パケットを遮断（破棄）するものであり、パケット遮断ルールに該当しない受信した転送パケットは、検出部１３に与えるものである。遮断制御部１２には、当該ネットワーク装置２−ｉから送出されていったパケットに対し、他のネットワーク装置２−ｊ（ｊは１〜３、但し、ｉとは異なる）が不正侵入を検出した場合に、他のネットワーク装置２−ｊから不正侵入情報が与えられ、このとき、遮断部１１に対してパケット遮断ルールを設定するものである。
【００２２】
なお、遮断部１１による遮断方法や、遮断制御部１２によるパケット遮断ルールの設定方法などは、既存のいかなるものを適用しても良い。また、他のネットワーク装置２−ｊから当該ネットワーク装置２−ｉへの不正侵入情報の送受は、専用線などを介しても良く、制御パケットとして、一般的なパケットと同様に、当該防御対象ネットワーク１−０内を転送させるものであっても良い。以下では、後者であるとして説明する。
【００２３】
検出部１３は、受信した転送パケットが、当該防御対象ネットワーク１−０内に不正侵入したものである場合にそのことを検出し、検出制御部１４にそのことを通知するものである。検出部１３は、例えば、不正侵入判定ルールを利用して不正侵入を検出するものである。なお、検出部１３による検出方法は、既存のいかなるものを適用しても良い。また、検出部１３は、受信した転送パケットが不正侵入である場合にはそのパケットを破棄する（更なる転送を実行しない）。
【００２４】
検出制御部１４は、不正侵入が通知されたときに、識別情報テーブル１５を参照し、不正侵入パケットの当該防御対象ネットワーク１−０への侵入口に位置する他のネットワーク装置２−ｋ（ｋは１〜３、但し、ｉとは異なる）を探索し、そのネットワーク装置２−ｋに不正侵入情報を送出するものである。識別情報テーブル１５には、各ネットワーク装置２−１、…、２−３にユニークな識別情報と、各ネットワーク装置２−１、…、２−３の当該防御対象ネットワーク１−０におけるアドレス（例えば、ＩＰアドレス）との対応が記憶されている。検出制御部１４は、不正侵入が通知されたときに、不正侵入パケットの所定位置に挿入されている識別情報を抽出し、識別情報テーブル１５を参照して、その識別情報に対応するネットワーク装置２−ｋのアドレスを取得して、そのネットワーク装置２−ｋに不正侵入情報を送出する。このとき、上述したように、ネットワーク装置２−ｋの遮断制御部１２が遮断制御を実行することになる。
【００２５】
識別情報処理部１６は、当該ネットワーク装置２−ｉが、外部ネットワークから受信した転送パケットを当該防御対象ネットワーク１−０内へ導入させる場合には、その受信した転送パケットに、当該ネットワーク装置２−ｉの識別情報を付与して出力インタフェース部１７に引き渡すものである。また、識別情報処理部１６は、当該ネットワーク装置２−ｉが、当該防御対象ネットワーク１−０内から受信した転送パケットを外部ネットワークへ導出させる場合には、その受信した転送パケットに付与されている他のネットワーク装置２−ｍ（ｍは１〜３、但し、ｉとは異なる）の識別情報を除去して出力インタフェース部１７に引き渡すものである。
【００２６】
図３は、パケット（ここではＩＰパケットとする）へのネットワーク装置識別情報の付与方法の説明図である。以下では、４種類のネットワーク装置識別情報の付与方法を説明する。
【００２７】
第１の方法は、図３（Ａ）に示すように、ＩＰヘッダのＴＯＳ（ｔｙｐｅ  ｏｆ  ｓｅｒｖｉｃｅ）フィールドにネットワーク装置識別情報を付与する方法である。この第１の方法は、ＴＯＳフィールドが未使用である場合に好適であるが、ＴＯＳフィールドの一部が未使用である場合にも適用可能である。
【００２８】
第２の方法は、図３（Ｂ）に示すように、ＩＰヘッダのオプションフィールドにネットワーク装置識別情報を付与する方法である。新たにオプションコードを設定してネットワーク装置識別情報を付与することになる。なお、オプションフィールドに余りのビットが生じればパディングしてネットワーク装置識別情報を挿入することになる。
【００２９】
第３の方法は、図３（Ｃ）に示すように、ＩＰヘッダの直後に新たなヘッダ項目としてネットワーク装置識別情報を挿入する方法である。ＩＰパケットとして見た場合には、ペイロードの一部としてネットワーク装置識別情報が認識されることになる。
【００３０】
第４の方法は、上述した３種類の付与方法を確率的に併用したり（例えば、第１方法５０％、第２方法３０％、第３方法２０％）、上述した３種類の付与方法を時間帯によって切り換えたり（深夜時間帯第３方法、夜間時間帯第２方法、その他の時間帯第１方法）するなど、複数の付与方法を併用する。この併用方法は、ネットワーク内のトランジスタ量の低減や、ネットワーク装置の性能劣化の抑制などを考慮して定める。
【００３１】
なお、第２又は第３の方法を採用した場合において、フラグメント禁止指定のパケットが、ネットワーク装置識別情報を追加したことでＭＴＵ（データリンク層プロトコルフレーム１つで転送可能な最大転送単位）を超過した場合には、パケットを転送することができなくなる。この場合には、以下のような方策を講じれば良い。第１は、受信パケットを破棄し、ＩＣＭＰパケットを送信元側に返送する。第２は、無理やりフラグメンテーション（例えばパケットの細分）を行う。第３は、ペイロードを圧縮する。
【００３２】
次に、以上のような詳細構成を有するネットワーク装置２−１〜２−３が、外部ネットワーク１−１〜１−３との境界又は境界近傍に設置されている防御対象ネットワーク１−０内を、ＤＤｏＳ攻撃のパケットが通過する際の各部の動作を説明する。
【００３３】
なお、不正攻撃が存在しない場合であれば、各ネットワーク装置２−１、…、２−３はそれぞれ、外部ネットワークから防御対象ネットワーク１−０に入る全てのパケットに対し、自ネットワーク装置２−１、…、２−３に割り当てられているユニークな識別情報を付与して、防御対象ネットワーク１−０に導入させる。また、各ネットワーク装置２−１、…、２−３はそれぞれ、防御対象ネットワーク１−０から外部ネットワークへ出ていく全てのパケットから、それに付与されているネットワーク装置識別情報を除去して、外部ネットワークに導出させる。
【００３４】
今、ＤＤｏＳ攻撃のため、攻撃パケットが、外部ネットワーク１−２及び１−３から、外部ネットワーク１−１に不正侵入すべく、当該防御対象ネットワーク１−０に入り込む場合を考える（図１のＳ１参照）。
【００３５】
ネットワーク装置２−２は、このような攻撃パケットに対しても、自装置に割り当てられているユニークな識別情報（ここではＩＤ２２とする）を識別情報処理部１６により付与して、防御対象ネットワーク１−０に導入させる。
【００３６】
このような識別情報が付与された攻撃パケットは、不正侵入される側の外部ネットワーク１−１との境界又は境界近傍に位置するネットワーク装置２−１に入力される。ネットワーク装置２−１においては、その検出部１３により、不正侵入が検出され（図１のＳ２参照）、そのことが検出制御部１４に通知される。ネットワーク装置２−１の検出制御部１４は、受信した不正侵入の攻撃パケットに付与されているネットワーク装置識別情報ＩＤ２２をキーとして、識別情報テーブル１５を探索することにより、当該防御対象ネットワーク１−０への導入箇所となったネットワーク装置２−２のアドレスを取得し、ネットワーク装置２−２に向けて不正侵入情報を通知する（図１のＳ３参照）。
【００３７】
不正侵入情報が通知されたネットワーク装置２−２においては、その遮断制御部１２が、通知された不正侵入情報に係る攻撃パケットを遮断するようなパケット遮断ルールを遮断部１１に設定する（図１のＳ４参照）。これにより、これ以降に、外部ネットワーク１−２から当該防御対象ネットワーク１−０に入り込もうとする攻撃パケットは、ネットワーク装置２−２において遮断される。
【００３８】
また、外部ネットワーク１−３から当該防御対象ネットワーク１−０に入り込んだ攻撃パケットに対しても、上記と同様な処理により、それ以降遮断される状態になる。
【００３９】
すなわち、ネットワーク装置２−３は、攻撃パケットに対しても、自装置に割り当てられているユニークな識別情報ＩＤ２３を付与して、防御対象ネットワーク１−０に導入させる。ネットワーク装置２−１が、その攻撃パケットの不正侵入を検出すると、ネットワーク装置識別情報ＩＤ２３をキーとして、当該防御対象ネットワーク１−０への導入箇所となったネットワーク装置２−３のアドレスを取得し、ネットワーク装置２−２に向けて不正侵入情報を通知する。そして、ネットワーク装置２−３は、通知された不正侵入情報に係る攻撃パケットを、これ以降、遮断する状態にする。
【００４０】
上記実施形態の侵入箇所特定システムによれば、以下の効果を奏することができる。
【００４１】
侵入箇所の特定に供する装置は、ネットワーク装置だけであり、ネットワーク装置が侵入箇所の特定のために行う処理は、外部ネットワークから当該防御対象ネットワークに入り込むパケットに自己の識別情報を付与し、当該防御対象ネットワークから外部ネットワークへ出ていくパケットからは識別情報を除去するという処理であるので、ネットワーク装置の構成は簡単である。すなわち、既存のネットワーク装置が不正侵入の検出機能や攻撃パケットの遮断機能を持っていれば、識別情報の付与、除去機能だけを追加して設ければ良く、しかも、このような機能は多くの装置ではソフトウェアで実現できるので、ネットワーク装置の構成を複雑にすることはない。
【００４２】
また、侵入箇所の特定に供する装置はネットワーク装置だけで、ネットワーク管理装置などを用いなくても良く、言い換えると、侵入箇所の特定のためのシステム構成は簡易、簡単なものになっている。さらに、ネットワーク管理装置を中心とした問い合わせ情報の授受を行うことなく、侵入箇所の特定でき、侵入箇所の特定を迅速に行うことができる。
【００４３】
さらにまた、不正侵入を検出したネットワーク装置は、検出したパケットの識別情報が対応する他のネットワーク装置だけに不正侵入情報を送信するだけであり、１回の検出により、防御対象ネットワーク内を多くの通知情報が行き交うようなことはなく、トラフィック量を徒に増大させることはない。なお、攻撃が、ＤＤｏＳ攻撃であっても、その侵入点ごとに、不正侵入の検出、侵入箇所特定、防御が行われ、全体としての防御態勢が確立できるので、個別ごとの通知が問題となることはない。
【００４４】
また、ＤｏＳ攻撃やＤＤｏＳ攻撃の攻撃対象のサーバが、当該防御対象ネットワークを出た後に多くのネットワークを通過するような位置の場合であれば、上記実施形態の防御機能により、それら多くのネットワークをも防御（トラフィック量の異常から救済）することができる。
【００４５】
上記実施形態の説明においても、種々変形実施形態に言及したが、さらに、以下に例示するような変形実施形態を挙げることができる。
【００４６】
上記実施形態においては、各ネットワーク装置が１個の装置として説明したが、複数の異なる装置の組み合わせでネットワーク装置が構築されていても良い。例えば、図２における検出部１３や遮断部１１がそれぞれ外部装置（独立した装置）となっており、これら外部装置をネットワーク装置本体に接続させてネットワーク装置を構築するようにしても良い。
【００４７】
また、上記実施形態においては、各ネットワーク装置が全て、外部ネットワークからのパケットの導入機能、及び、外部ネットワークへのパケットの導出機能を有するものであったが、外部ネットワークからのパケットの導入機能だけを有するネットワーク装置や、外部ネットワークへのパケットの導出機能だけを有するネットワーク装置が混在していても良い。
【００４８】
さらに、上記実施形態では、不正攻撃のパケットを検出し、そのパケットからネットワーク装置識別情報を取り出す装置が、外部ネットワークへのパケットの導出機能を有するネットワーク装置である場合を示したが、不正攻撃のパケットを検出し、そのパケットからネットワーク装置識別情報を取り出す装置は、防御対象ネットワーク１−０内の任意位置の通信装置（ネットワーク装置）であっても良い。言い換えると、不正攻撃のパケットを検出し、そのパケットからネットワーク装置識別情報を取り出す装置は、外部ネットワークとの境界又は境界近傍に設置されたネットワーク装置に限定されない。
【００４９】
さらにまた、本発明は、主に、ＤｏＳ攻撃やＤＤｏＳ攻撃を意図してなされたものであるが、不正攻撃の種類はこれに限定されない。また、不正攻撃を検知し、当該防御対象ネットワークへの侵入箇所（ネットワーク装置）を検出した以降の処理は、上記実施形態の処理に限定されない。例えば、検出したネットワーク装置から侵入位置のネットワーク装置までの間に介在する全ての通信装置に被害の確認を求めるようにしても良い。
【００５０】
なお、防御対象ネットワークは１種類のネットワークでなるものに限定されず、複数種類のネットワークでなっていても良い。
【図面の簡単な説明】
【００５１】
【図１】実施形態の侵入箇所特定システムに係る複数ネットワークの接続例及び侵入箇所の特定方法を示す説明図である。
【図２】実施形態のネットワーク装置の機能的詳細構成を示すブロック図である。
【図３】実施形態のネットワーク装置識別情報のパケットへの付与方法の説明図である。
【符号の説明】
【００５２】
１−０…防御対象の防御対象ネットワーク、１−１〜１−３…外部ネットワーク、２−１〜２−３…ネットワーク装置、１０…入力インタフェース部（入力Ｉ／Ｆ）、１１…遮断部、１２…遮断制御部、１３…検出部、１４…検出制御部、１５…識別情報テーブル、１６…識別情報処理部、１７…出力インタフェース部（出力Ｉ／Ｆ）。
【図１】
2005217692.tif 000003
【図２】
2005217692.tif 000004
【図３】
2005217692.tif 000005