(57)【要約】【課題】本発明は、ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を防止するための技術の提供を目的とする。【解決手段】外部と接続されたインタフェイスから入力されたパケットの送信元アドレスが、そのインタフェイスに登録されているアドレスであるのか否かを検査して、登録されていない場合にはパケットを破棄することで、送信元アドレスを不正に偽装したパケットの流入を防止する手段と、インタフェイスに直接接続された装置同士の通信を優先させるべく、パケットの送信元と送信先の両方がインタフェイスに直接接続されている場合には、そのパケットに対して高い優先度で配送を行うための優先識別子を付与し、そうでない場合には、そのパケットに対して低い優先度で配送を行なうための優先識別子を付与する手段と、優先識別子に応じて優先的に送信先にパケットを配送する手段とを備える。【選択図】          図１
2005005994.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を防止するためのネットワーク攻撃防止装置であって、
外部と接続されたインタフェイスから入力されたパケットの送信元アドレスが、そのインタフェイスに登録されているアドレスであるのか否かを検査して、登録されているアドレスである場合にはパケットの入力を受け付け、登録されているアドレスでない場合にはパケットを破棄する手段と、
パケットの送信元と送信先の両方が上記インタフェイスに直接接続されている場合には、そのパケットに対して高い優先度で配送を行うための優先識別子を付与し、そうでない場合には、そのパケットに対して低い優先度で配送を行なうための優先識別子を付与する手段とを備えることを、
特徴とするネットワーク攻撃防止装置。
【請求項２】
請求項１記載のネットワーク攻撃防止装置において、
上記優先識別子に応じて優先的に送信先にパケットを配送する手段を備えることを、
特徴とするネットワーク攻撃防止装置。
【請求項３】
ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を防止するためのネットワーク攻撃防止方法であって、
外部と接続されたインタフェイスから入力されたパケットの送信元アドレスが、そのインタフェイスに登録されているアドレスであるのか否かを検査して、登録されているアドレスである場合にはパケットの入力を受け付け、登録されているアドレスでない場合にはパケットを破棄する過程と、
パケットの送信元と送信先の両方が上記インタフェイスに直接接続されている場合には、そのパケットに対して高い優先度で配送を行うための優先識別子を付与し、そうでない場合には、そのパケットに対して低い優先度で配送を行なうための優先識別子を付与する過程とを備えることを、
特徴とするネットワーク攻撃防止方法。
【請求項４】
請求項３記載のネットワーク攻撃防止方法において、
上記優先識別子に応じて優先的に送信先にパケットを配送する過程を備えることを、
特徴とするネットワーク攻撃防止方法。
【請求項５】
請求項１または２に記載のネットワーク攻撃防止装置の実現に用いられる処理をコンピュータに実行させるためのネットワーク攻撃防止プログラム。
【請求項６】
請求項１または２に記載のネットワーク攻撃防止装置の実現に用いられる処理をコンピュータに実行させるためのネットワーク攻撃防止プログラムを記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を防止するためのネットワーク攻撃防止装置及びその方法と、そのネットワーク攻撃防止技術の実現に用いられるネットワーク攻撃防止プログラム及びそのプログラムを記録した記録媒体とに関する。
【０００２】
最近、サーバに対してＤｏＳ攻撃を行うことで、他のユーザがそのサーバへアクセスすることを困難にすることが行われている。
【０００３】
「ＤｏＳ攻撃（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  攻撃：サービス拒否攻撃）」とは、インターネット等を通じて不特定多数のユーザからアクセス可能なサーバに対して、攻撃者が不正な通信パケットを送ることにより、サーバや通信経路上の装置のリソース（処理能力や転送可能帯域）を消費するなどの悪影響を与えて、他のユーザがそのサーバへアクセスすることを困難にする攻撃である。
【０００４】
【従来の技術】
ＤｏＳ攻撃を大きく分類すると以下の３つのものがある。
【０００５】
（Ａ）攻撃を実施する送信元装置から、異常な形式のパケットをサーバに送信することにより、送信先装置や通信経路上の装置の処理に異常を起こさせてサーバのサービス継続を困難にするもの（異常パケット送信型ＤｏＳ攻撃）。
【０００６】
（Ｂ）単体または少数の送信元装置から、それぞれ大量の正常な形式のパケットをサーバに送信することにより、サーバのリソースや、経路上の回線帯域を消費し、正規利用者からのアクセスを困難にするもの（大量パケット送信型ＤｏＳ攻撃）。
【０００７】
（Ｃ）多数の送信元装置から、それぞれ少量の正常な形式のパケットをサーバに向けて送り、結果として大量の攻撃パケットがサーバに送られることにより、サーバのリソースや、経路上の回線帯域を消費し、正規利用者からのアクセスを困難にするもの（高度分散型ＤｏＳ攻撃）。
【０００８】
上述の（Ｃ）に分類される攻撃として主要なものに、以下の２つの攻撃がある。
【０００９】
（Ｃ１）攻撃者で無い者が管理する装置が、セキュリティの観点での運用が不充分なために、攻撃者によって踏み台として利用されるもの。たとえば、セキュリティホールの修正プログラムを適用していないことや、コンピュータウィルス駆除ソフトウェアを使用していないことにより、攻撃者により攻撃用のプログラムを埋め込まれ、その結果として攻撃に利用されてしまうものが該当する（運用不備装置を利用した高度分散型ＤｏＳ攻撃）。
【００１０】
（Ｃ２）攻撃者で無い者が管理する装置が、セキュリティの観点での運用が充分であっても、受け取ったパケットに対する返答パケットが攻撃パケットとして利用されることにより、攻撃者に踏み台として利用されるもの。たとえば、一般公開された多数のＷｅｂサーバに対して、攻撃者が標的となる装置のアドレスを送信元アドレスとして偽装したパケットを送ることにより、それらの多数のＷｅｂサーバからの返答パケットを標的となる装置へ返させることで、標的となる装置のリソースを消費させるという攻撃が該当する（分散反射型ＤｏＳ攻撃）。
【００１１】
次に、（Ａ）に関する対策の従来技術と、（Ｂ）に関する対策の従来技術とについて説明する。
【００１２】
（Ａ）に関する対策としては、サーバあるいは通信経路上の装置をシステムのバージョンアップや修正プログラムを実施することにより改良・修正し、異常な形式のパケットによって処理上の異常を起こさないようにする方法や、サーバ内あるいは、サーバと送信元装置との間の通信経路上の装置で、異常な形式のパケットを破棄する方法がある。後者の場合、パケットの形式が異常であることの判定は、主にパターンマッチングによって行なわれる。
【００１３】
（Ｂ）に関する対策としては、パケットの送信元ごとに、送信してきたパケットの量を比較し、他のユーザにくらべて大量のパケットを送信する送信元からのパケットを遮断あるいは送信量の制限を行う方式がある。送信元の特定は、パケットヘッダ内のＩＰアドレスによって行われる場合があるが、ＩＰアドレスの偽装が行われていると送信元の特定を正しく行うことができなくなるため、パケットの配送経路上のパケット転送装置を特定するための情報をパケットに埋め込む方法や、標的となっているサーバに対するパケットの送信量を経路上の装置ごとに測定することにより、攻撃を行った装置を特定するなどの方法がある。
【００１４】
なお、ＤｏＳ攻撃に対する対策として提供されている従来技術として、下記の非特許文献１に記載されるものがある。
【００１５】
【非特許文献１】
ＦｌｏｏｄＧｕａｒｄ〔平成１５年４月４日検索〕、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｒｅａｃｔｉｖｅｎｅｔｗｏｒｋ．ｃｏｍ／ｐｒｏｄｕｃｔｓ／ｆｌｏｏｄｇｕａｒｄ２ｐｏｉｎｔ１．ｐｄｆ  ＞
【００１６】
【発明が解決しようとする課題】
このように、（Ａ）に関する対策や、（Ｂ）に関する対策については従来技術で提供されていた。
【００１７】
しかしながら、（Ｃ）に関する対処としては、従来では充分な対処方法がなかった。
【００１８】
その理由は、多数の送信元装置により攻撃が行われる際に、一つの送信元装置が送る攻撃パケットの量や送信パターンは正規利用者が送るものと変わらないことから、パケット送信量や送信パターンによる区別では攻撃元を特定することが困難であるためである。
【００１９】
このようなことを背景にして、本出願人は、先に出願した特願２００３−１１１７４１で、上述した（Ｃ１）で説明した高度分散型ＤｏＳ攻撃から公開サーバなどを防御できるようにする新たなネットワーク攻撃防止技術に係る発明を出願した。
【００２０】
本発明は、さらに、このようなことを背景にして、上述した（Ｃ２）で説明した分散反射型ＤｏＳ攻撃からネットワーク上の装置を防御できるようにする新たなネットワーク攻撃防止技術の提供を目的とする。
【００２１】
【課題を解決するための手段】
本発明のネットワーク攻撃防止装置は、パケットの入出力を行う複数のインタフェイスを用意し、各々のインタフェイスにそのインタフェイスから入力されるパケットの持つべき発信元アドレスの一覧を登録しておく構成を採る。
【００２２】
そして、本発明のネットワーク攻撃防止装置は、この構成の下に、ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を防止するための処理を行うために、（１）外部と接続されたインタフェイスから入力されたパケットの送信元アドレスが、そのインタフェイスに登録されているアドレスであるのか否かを検査して、登録されているアドレスである場合にはパケットの入力を受け付け、登録されているアドレスでない場合にはパケットを破棄することにより、送信元アドレスを不正に偽装した他のインタフェイスから入力されるべきパケットの流入を防止する偽装パケット流入防止部と、（２）パケットの送信元と送信先の両方がインタフェイスに直接接続されている場合には、そのパケットに対して高い優先度で配送を行うための優先識別子を付与し、その両方またはいずれか一方が外部のネットワークなどを経由してインタフェイスに間接的に接続されている場合には、そのパケットに対して低い優先度で配送を行なうための優先識別子を付与する優先識別子付与部とを備え、（３）これに加えて、優先識別子付与部により付与された優先識別子に応じて優先的に送信先にパケットを配送する優先制御転送部を備えることがある。
【００２３】
ここで、以上の各処理手段をコンピュータプログラムで実現することも可能であり、コンピュータプログラムで実現した場合には、このコンピュータプログラムは、半導体メモリなどの記録媒体に記録して提供したり、ネットワークを介して提供することができる。
【００２４】
このように、本発明のネットワーク攻撃防止装置は、内部に優先制御転送部を持ち、この優先制御転送部と外部に接続されるインタフェイスとは、インタフェイス毎に用意された偽装パケット流入防止部および優先識別子付与部を介して接続される。各インタフェイスには、予めそのインタフェイスから内部に向けての流入が許可されるパケットの送信元アドレスが登録されている。
【００２５】
ここで、インタフェイスにアドレスが登録されるというのは、そのインタフェイスを介して本発明の装置に接続された送信元装置あるいは送信先装置のアドレスがインタフェイス毎に登録されることを意味し、そのインタフェイスのアドレスそのものとして割り当てられることではない。
【００２６】
外部から流入するパケットがその送信元アドレスとして他のインタフェイスに登録されているアドレスを不正に使用している場合、偽装パケット流入防止部は、入力されたパケットの送信元アドレスが入力インタフェイスに登録されているアドレスと一致しないことを確認することにより、そのパケットの送信元が偽装されていると判断して、そのパケットを破棄する。
【００２７】
偽装パケット流入防止部で破棄されなかったパケットについては、優先識別子付与部に送られ、そのパケットの送信元アドレスが示す装置と送信先アドレスが示す装置の両方が、外部のネットワークなどを介することなく本発明の装置に直接接続されている場合には、優先識別子付与部は、優先制御転送部において高い優先度で配送されることになるための優先識別子をパケットに付与する。一方、そのパケットの送信元アドレスが示す装置と送信先アドレスが示す装置のうちどちらか一方でも、外部のネットワークなどを介して本発明の装置に接続されている場合には、優先識別子付与部は、優先制御転送部において低い優先度で配送されることになるための優先識別子をパケットに付与する。
【００２８】
その後、パケットは優先制御転送部に送られ、送信先側のインタフェイスに向けて優先制御転送部の中で配送される。その際、優先制御転送部は、パケットに付与された優先識別子に従った優先度で配送を行う。その後、送信先側のインタフェイスを介してパケットは送信先に送られる。
【００２９】
分散反射型ＤｏＳ攻撃では、上述したように、攻撃装置から第三者の運用する正規の装置に向けて、送信元を標的のアドレスに偽装したパケットを送り、正規の装置からの返答パケットを標的の装置に対して送らせることによって実施される。
【００３０】
ここで、標的の装置に直接送られるパケットが返答パケットである場合、その返答パケットの送信元が本発明の装置に直接接続されていれば、事前のパケット（返答パケットの元となる要求パケット）は本発明の装置を介して送られなければならない。さらに、返答パケットが攻撃に使用されるためには、事前のパケットの送信元は返答パケットの送信先として偽装されている必要があるが、ここで返答パケットの送信先も本発明の装置に直接接続されているとすれば、別のインタフェイスから流入しようとする偽装パケットは偽装パケット流入防止部の機能により破棄されてしまう。
【００３１】
従って、送信元と送信先がどちらも本発明の装置に直接接続されているのであれば、そのパケットは分散反射型ＤｏＳ攻撃に利用された返答パケットではないことになる。本発明の装置では、直接接続された送信元装置と送信先装置との間のパケットについては優先して配送されるため、それ以外のパケットを使って分散反射型ＤｏＳ攻撃が行われている間でも、本発明の装置に直接接続された装置間のパケットの配送は攻撃の影響を受けないことになる。
【００３２】
このようにして、本発明によれば、ネットワーク上に存在する装置を分散反射型ＤｏＳ攻撃から防御できるようになるのである。
【００３３】
【発明の実施の形態】
以下、実施の形態に従って本発明を詳細に説明する。
【００３４】
図１に、本発明を実現する主装置１の一実施形態例を図示する。
【００３５】
この図に示すように、本発明を実現する主装置１は、パケットを転送する優先制御転送部１０が中心に配置され、この優先制御転送部１０と外部と接続するインタフェイスとの間すべてに、偽装パケット流入防止部１１−１〜１１−１２  と優先識別子付与部１２−１〜１２−１２  の両方を配置した構成をもつ。
【００３６】
以上の構成を持つ主装置１は、送信先装置２と送信元装置３−１〜３−６との間に設置され、主装置１に直接接続された送信元装置３−ｉから主装置１に直接接続された送信先装置２への通信を分散反射型ＤｏＳ攻撃から防御する機能を実現する。
【００３７】
送信元および送信先となりうる装置は同一のインタフェイスを共有することもできるが、その場合、インタフェイスを共有する装置間での攻撃は防止できない。
【００３８】
また、送信元装置３−ｉや送信先装置２の両方もしくはいずれかが第三者と共有する外部ネットワーク４−１〜４−２を経由して主装置１と接続することも可能であるが、その場合、基本的には、その送信元装置３−ｉからその送信先装置２への通信を分散反射型ＤｏＳ攻撃から防御することはできない。ただし、外部ネットワーク４−ｉと直接接続されたＶＰＮ接続装置６との間でＶＰＮ接続（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ  接続）を行った装置については、外部ネットワーク４−ｉを経由せずに主装置１に直接接続された装置と同じ扱いをすることができる。
【００３９】
また、特定組織内において、ルータ５などで構成されるＬＡＮに接続された装置に関しても、主装置１に直接接続された装置として扱うことができる。しかし、その組織内の装置から、同じ組織内の別の装置へむけた分散反射型ＤｏＳ攻撃および、同じ組織内の装置を踏み台とした分散反射型ＤｏＳ攻撃については防ぐことはできないので、組織内の装置が、攻撃を実施する可能性が低い場合にのみ主装置１に直接接続されたものとして扱うことが望ましい。
【００４０】
なお、本発明における主装置１については、必ずしも一つの装置として一体的に実現される必要はなく、分散配置される複数の装置要素によって実現されていてもよい。
【００４１】
以下に、図１中の各々の構成要素がどのように機能するかについて、図２を参照し、パケットの流れをもとに説明する。
【００４２】
ここで、図１では、送信元装置３−ｉの送信したパケットは、「送信元装置３−ｉ→偽装パケット流入防止部１１−ｉ→優先識別子付与部１２−ｉ→優先制御転送部１０→優先識別子付与部１２−ｉ→偽装パケット流入防止部１１−ｉ→送信先装置２」というルートでもって、送信先装置２に配送されることを想定している。
【００４３】
まず、パケットは送信元装置３−ｉから送出される（ステップ２０１）。このパケットは本発明の主装置１を経由して送信先装置２へ配送されるが、その際に、主装置１に入ると、偽装パケット流入防止部１１−ｉに送られて、そこで偽装パケット流入防止処理が実行される（ステップ２０２）。
【００４４】
偽装パケット流入防止部１１−ｉでは、図３で示される処理が行われる。
【００４５】
偽装パケット流入防止部１１−ｉでの処理が開始されると（ステップ３０１）、まず、偽装パケット流入防止部１１−ｉへ入力されたパケットが、主装置１の外部から流入したものであるのか否かの判断を行い（ステップ３０２）、主装置１の外部から流入したものであることを判断する場合には、受け取ったパケットの送信元アドレスが、その偽装パケット流入防止部１１−ｉに接続されたインタフェイスに登録されているアドレスの範囲内のものであるかどうかを判断する（ステップ３０３）。
【００４６】
このステップ３０３の判断において、受け取ったパケットの送信元アドレスが登録されているアドレスの範囲内であることを判断する場合には、インタフェイスに接続された送信元装置３−ｉから送られたパケットであるとして、直接接続している優先識別子付与部１２−ｉにパケットを送信し（ステップ３０４）、処理を終了する（ステップ３０５）。
【００４７】
一方、ステップ３０３の判断において、受け取ったパケットの送信元アドレスが登録されているアドレスの範囲内でないことを判断する場合には、別のインタフェイスに接続された送信元装置３−ｉから送られた偽装パケットであるとして、そのパケットを破棄し（ステップ３０６）、処理を終了する（ステップ３０５）。
【００４８】
一方、ステップ３０２の判断において、パケットが主装置１の外部から流入したものでないことを判断する場合、すなわち、外部から流入したものではなくて、内側の優先識別子付与部１２−ｉから送られたものである場合には、その偽装パケット流入防止部１１−ｉが直接接続しているインタフェイス経由でパケットを送信先装置２に向けて配送し（ステップ３０７）、処理を終了する（ステップ３０５）。
【００４９】
このようにして、図２に示すステップ２０２で、偽装パケット流入防止部１１−ｉに入力されたパケットに対しての処理が終わると、そのパケットが偽装パケット流入防止部１１−ｉの処理によって破棄されている場合には（ステップ２０３）、そのパケットに対する主装置１の処理は終了する（ステップ２０９）。
【００５０】
一方、主装置１に入力されたパケットが破棄されていない場合には（ステップ２０３）、パケットは優先識別子付与部１２−ｉに送られているはずであるので、優先識別子付与部１２−ｉの処理が実行される（ステップ２０４）。
【００５１】
優先識別子付与部１２−ｉでは、図４に示す処理が行われる。なお、ここでは、パケットが偽装パケット流入部１１−ｉから送られてきたことから、後述するステップ４０７の処理については実行されることはない。
【００５２】
優先識別子付与部１２−ｉでの処理が開始されると（ステップ４０１）、まず、優先識別子付与部１２−ｉへ入力されたパケットが偽装パケット流入部１１−ｉから送られたものであるかどうかを判断する（ステップ４０２）。
【００５３】
このステップ４０２の判断において、偽装パケット流入部１１−ｉから送られたパケットであることを判断する場合には、パケットの送信元アドレスおよび送信先アドレスを調べることにより、そのパケットの送信元と送信先がいずれも主装置１に直接接続されたものであるかを判断する（ステップ４０３）。
【００５４】
例えば、主装置１に直接接続された装置のＩＰアドレスの一覧を格納したデータベースを予め用意し、ステップ４０３の判断時に、送信元および送信先の両方のＩＰアドレスがこれらのＩＰアドレスに含まれるかどうかを調べることにより、パケットの送信元と送信先がいずれも主装置１に直接接続されたものであるかを判断するのである。
【００５５】
このステップ４０３の判断において、パケットの送信元と送信先がいずれも主装置１に直接接続されていることを判断する場合には、高い優先度で転送を行うことを示す優先識別子をパケットに付与する（ステップ４０５）。そして、優先制御転送部１０にパケットを送信し（ステップ４０６）、優先識別子付与部１２−ｉの処理を終了する（ステップ４０８）。
【００５６】
一方、ステップ４０３の判断において、パケットの送信元と送信先の両方またはいずれかが主装置１に直接接続されていないことを判断することで、パケットの送信元と送信先の両方またはいずれかが外部ネットワークなどを経由して主装置１に接続されていることを判断する場合には、低い優先度で転送を行うことを示す優先識別子をパケットに付与する（ステップ４０４）。そして、優先制御転送部１０にパケットを送信し（ステップ４０６）、優先識別子付与部１２−ｉの処理を終了する（ステップ４０８）。
【００５７】
一方、ステップ４０２の判断において、パケットが偽装パケット流入防止部１１−ｉから送られたものでないことを判断する場合、すなわち、優先制御転送部１０から送られたものである場合には、その優先識別子付与部１２−ｉが直接接続している偽装パケット流入防止部１１−ｉへパケットを送信し（ステップ４０７）、処理を終了する（ステップ４０８）。
【００５８】
このようにして、図２に示すステップ２０４で、優先識別子付与部１２−ｉに入力されたパケットに対しての処理が終わると、そのパケットに対して、優先制御転送部１０の処理が実行される（ステップ２０５）。
【００５９】
優先制御転送部１０では、図５に示す処理が行われる。
【００６０】
すなわち、優先制御転送部１０は、パケットを受け取ることで処理を開始すると（ステップ５０１）、そのパケットの送信先が接続されたインタフェイスに向けて、自らの内部でパケットを転送していく。この際、複数のパケットが優先制御転送部１０の内部を同時に転送されることがあり、その場合には、パケットに付与された優先識別子に応じた優先度に応じた転送制御を行う。すなわち、優先度の高いパケットを優先的に転送していくという転送制御を行うのである（ステップ５０２）。すべての転送処理が終了すると、優先制御転送部の処理は終了する（ステップ５０３）。
【００６１】
このようにして、図２に示すステップ２０５で、優先制御転送部１０に入力されたパケットに対しての処理が終わると、優先制御転送部１０の内部における転送が終わったパケットは、送信先に向かうインタフェイスに接続された優先識別子付与部１２−ｉに到着する（ステップ２０６）。
【００６２】
ここで、再び、図４に示す優先識別子付与部１２−ｉの処理が行われ、今度は優先制御転送部１０から送られたパケットであるため、ステップ４０７の処理に従って、パケットはその優先識別子付与部１２−ｉが接続された偽装パケット流入防止部１１−ｉへ送られる。
【００６３】
そして、パケットが偽装パケット流入防止部１１−ｉへ送られると、ここで、再び、図３に示す偽装パケット流入防止部１１−ｉの処理が行われ（ステップ２０７）、今度は優先識別子付与部１２−ｉから送られたパケットであるため、ステップ３０７の処理に従って、その偽装パケット流入防止部１１−ｉが接続するインタフェイスを経由して送信先装置２にパケットが到着する（ステップ２０８）。
【００６４】
以下に、本発明の構成要素の具体化例について解説する。
【００６５】
優先識別子としては、優先識別子のために新たなパケット形式を採用することに限らず、既存のパケット識別方法、すなわちＩＰヘッダ内のＴＯＳフィールド（Ｔｙｐｅ  Ｏｆ  Ｓｅｒｖｉｃｅフィールド）  、ＤＳフィールド（Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅ  フィールド）  、ＩＥＥＥ  ８０２．１Ｑのラベル、ＭＰＬＳ（Ｍｕｌｔｉ  Ｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈｉｎｇ）のラベル等を利用可能である。
【００６６】
優先制御転送部１０としては、優先識別子の内容に応じて優先制御を行う装置を利用する。例えば、ＴＯＳフィールドの値に応じて、優先制御する装置を利用する。
【００６７】
また、優先制御転送部１０の優先制御の機能としては、優先識別子の値に応じて優先制御を行うだけでなく、通信コネクションの確立を行なうための最初のパケット（ＴＣＰのＳＹＮパケット等）に対しても最大帯域を指定でき、その帯域の中で優先識別子に応じて優先制御を行なうものを導入することが望ましいが、パケットの種類を区別せずに単に優先識別子の内容に応じて優先制御を行なう装置を導入してもかまわない。
【００６８】
また、優先制御転送部１０は、優先制御装置を設置したＩＰネットワークのバックボーンを利用することが可能である。これは、一つのＩＳＰもしくはキャリアによって提供されても良いが、複数のＩＳＰもしくはキャリアによって提供されてもよく、それらの接続を直接もしくはＶＰＮ等によって行うことなどにより、第三者により優先識別子を偽造されることを防止する必要がある。
【００６９】
図示実施形態例に従って本発明を説明したが、本発明はこれに限定されるものではない。例えば、実施形態例では具体的に説明しなかったが、本発明は、特定のユーザ端末に対して行われるＤｏＳ攻撃についても防止することができるし、公開サーバに対して行われるＤｏＳ攻撃についても防止することができるのである。
【００７０】
【発明の効果】
インターネットの利用者が爆発的に増大する中で、近年、インターネット上においてもオンライン証券取引サービスやオンラインバンキングサービス等、通信品質が重要視されるサービスを提供する動きが活発になっている。
【００７１】
しかしインターネットでは、パケットの送信元を偽装することが容易であり、かつ、大量のパケットの送信を低コストで実施することが可能であるため、インターネット内で公開されたサーバに対して大量のパケットを送りつけるというＤｏＳ攻撃の脅威が大きい。したがって、このＤｏＳ攻撃をいかに防ぐかが課題となっている。
【００７２】
ＤｏＳ攻撃防止のための方法としては、前述のとおり様々な方法が提案されてきたが、高度分散型ＤｏＳ攻撃に対しては十分な対策が提供されていなかった。本発明は、従来の方法では防ぐことが困難であった高度分散型ＤｏＳ攻撃のうち、分散反射型ＤｏＳ攻撃への対策を提供するものである。
【００７３】
本発明を使用すると、攻撃者が、本発明の装置に接続されたホストに対して、同じく本発明の装置に接続された標的のアドレスとして送信元アドレスを偽装したパケットを送ることができなくなる。
【００７４】
これにより、本発明の装置に直接接続された２つの装置間のパケットは、分散反射型ＤｏＳ攻撃における反射パケットでないことが保証され、さらに本発明では、このパケットを優先的に装置内で転送することにより、送信先に対して分散反射型ＤｏＳ攻撃が行われている間でも、本発明の装置に直接接続された２つの装置間では、その攻撃の影響を受けることなく通信が可能になる。
【００７５】
送信元装置もしくは送信先装置が本発明の装置と直接接続されているとは、送信元装置もしくは送信先装置と本発明の装置との間で、第三者が送信元のなりすましを行わない環境にあるということを意味する。従って、特定組織内部の装置からは送信元アドレスの偽装が行われないとされるのであれば、その組織内で共用されるＬＡＮを経由して本発明の装置に接続された装置も、本発明の装置に対して直接接続された装置として扱っても良い。
【００７６】
なお、本発明は送信元装置から直接行われる攻撃に対しては防御できない。直接行われる攻撃から標的を防御するには別の方法が必要になる。
【００７７】
本発明における装置をＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）が提供することにより、ＩＳＰは利用者を分散反射型ＤｏＳ攻撃から防御するという付加価値のあるサービスを提供可能にすることができる。また、複数のＩＳＰが共同で、本発明における装置を運用することにより、一つのＩＳＰに限定しないサービスとして提供することが可能である。
【図面の簡単な説明】
【図１】本発明を実現する主装置の一実施形態例を示す図である。
【図２】パケットに対しての処理の流れを示す図である。
【図３】偽装パケット流入防止図の処理を示す図である。
【図４】優先識別子付与部の処理を示す図である。
【図５】優先制御転送部の処理を示す図である。
【符号の説明】
１    主装置
２    送信先装置
３    送信元装置
４    外部ネットワーク
５    ルータ
１０  優先制御転送部
１１  偽装パケット流入防止部
１２  優先識別子付与部
【図１】
2005005994.tif 000003
【図２】
2005005994.tif 000004
【図３】
2005005994.tif 000005
【図４】
2005005994.tif 000006
【図５】
2005005994.tif 000007