(57)【要約】【課題】  正当なユーザに対するサービス品質を劣化させず、攻撃パケットを廃棄する。【解決手段】  正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する。受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットをサーバに転送する。攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する。【選択図】  図３
2005124055.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する手段を備えたネットワーク攻撃の防御装置において、
前記監視する手段は、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、
この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、
この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、
前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する手段と
を備えたことを特徴とする防御装置。
【請求項２】
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、
前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する手段と
を備え、
ｔ１≦ｔ２
である請求項１記載の防御装置。
【請求項３】
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する手段を備えたネットワーク攻撃の防御装置において、
前記監視する手段は、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、
異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルと、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、
前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する手段と、
前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、
この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、
前記返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する手段と
を備えたことを特徴とする防御装置。
【請求項４】
前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する手段と、
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、
前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する手段と
を備え、
ｔ１≦ｔ３
である請求項３記載の防御装置。
【請求項５】
前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれる請求項３記載の防御装置。
【請求項６】
情報処理装置にインストールすることにより、その情報処理装置に、
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する機能を備えたネットワーク攻撃の防御装置に相応する機能を実現させるプログラムにおいて、
前記監視する機能として、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、
この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、
この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、
前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する機能と
を実現させることを特徴とするプログラム。
【請求項７】
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、
前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する機能と
を実現させ、
ｔ１≦ｔ２
である請求項６記載のプログラム。
【請求項８】
情報処理装置にインストールすることにより、その情報処理装置に、
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する機能を備えたネットワーク攻撃の防御装置に相応する機能を実現させるプログラムにおいて、
前記監視する機能として、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、
異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルに相応する機能と、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、
前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する機能と、
前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、
この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、
前記返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する機能と
を実現させることを特徴とするプログラム。
【請求項９】
前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する機能と、
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、
前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する機能と
を実現させ
ｔ１≦ｔ３
である請求項８記載のプログラム。
【請求項１０】
前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれる請求項８記載のプログラム。
【請求項１１】
請求項６ないし１０のいずれかに記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントとサーバとがネットワークを介して接続される通信システムに利用する。特に、悪意のクライアントがサーバの機能を麻痺させようとして行う攻撃に対する防御技術に関する。
【背景技術】
【０００２】
正常なＴＣＰ（Transmission Control Protocol）の通信手順を図１４を参照して説明する。ネットワーク４を介してサーバ２とクライアント３とが接続されている。このときに、クライアント３からサーバ２に対してＳＹＮパケットが送出されるとサーバ２からクライアント３に対してＳＹＮ−ＡＣＫパケットが返送される。これにより、クライアント３とサーバ２とは通信可能な状態となる。
【０００３】
次に、ＳＹＮ攻撃と呼ばれるサーバのサービスを不能にさせる攻撃を図１５を参照して説明する。図１５に示すように、攻撃の特徴は、悪意のあるクライアント３は、ＳＹＮパケットをサーバ２に送り続け、正常な通信をしようとした正しい通信を妨げる。さらに、攻撃者は、自分のＩＰアドレスを詐称する場合がある。このとき、サーバ２はＳＹＮ−ＡＣＫパケットをＳＹＮパケットを送信した悪意のあるクライアント３ではなく、詐称されたクライアントに送ることになる。詐称されたクライアントでは、自己が送出していないＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットの返送が繰り返し行われるので、自己が要求するＳＹＮパケットを送出することができなくなるという異常事態に陥る。
【０００４】
このような攻撃に対する従来の防御装置を図１６を参照して説明する。従来のＳＹＮ攻撃に対する防御装置１１は、攻撃ＳＹＮパケットと正常なＳＹＮパケットとを区別せず、ＳＹＮパケットの伝送レートを測定し、設定された閾値以上の伝送レートのＳＹＮパケットを全て廃棄していた（例えば、非特許文献１参照）。
【非特許文献１】“ＤＤｏＳ攻撃の防御対策について”、［ｏｎｌｉｎｅ］、平成１５年６月３日、警察庁技術対策課サイバーテロ対策技術室、［平成１５年１０月７日検索］、インターネット、＜ＵＲＬ：http://www.cyberpolice.go.jp/server/virus/pdf/Strategies_to_Protect_Against_DDoS_Attacks.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
このような従来の防御装置では、サーバは守れるが、正しい通信をするクライアントのＳＹＮパケットまでも廃棄されてしまい、正当なクライアントに対するサービス品質が劣化する原因となる。
【０００６】
本発明は、このような背景に行われたものであって、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができる防御装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、セッションを確立しない攻撃に対し、正しい通信を行うものと攻撃をしかけているものとを区別可能であり、攻撃パケットのみを廃棄することを特徴とする。また、クライアントから到来したパケットのＩＰアドレスに対して受信確認パケットを返送するので、悪意のあるクライアントがＩＰアドレスを詐称した場合には、実際にパケットを送出していないクライアントに当該受信確認パケットが返送されることになる。したがって、以降の通信手順は確立せず、ＩＰアドレスの詐称を見つけることができる。
【０００８】
すなわち、本発明の第一の観点は、ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する手段を備えたネットワーク攻撃の防御装置である。
【０００９】
ここで、本発明の特徴とするところは、前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する手段とを備えたところにある（請求項１）。
【００１０】
これにより、疑わしいパケットと正当なパケットとを区別することができる。さらに、疑わしいパケットについては即座に廃棄することができる。
【００１１】
また、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ２
であることが望ましい（請求項２）。
【００１２】
このように、正常通信管理テーブルの記録を定期的に削除するのは、正常通信を行ったＩＰアドレスのクライアントが恒常的に正常であるとは限らないからである。また、悪意のクライアントが他のクライアントのＩＰアドレスを詐称する場合もあり、過去に正常通信を行ったＩＰアドレスを用いて悪意のクライアントが攻撃を行うこともあり得る。このような場合を想定して正常通信管理テーブルの記録は定期的に削除することが望ましい。
【００１３】
さらに、攻撃可能性判断テーブルの記録についても定期的に削除し、記録内容をリフレッシュすることにより、各テーブルの記憶領域を有効に利用することができる。このときに、攻撃可能性判断テーブルの更新周期よりは正常通信管理テーブルの更新周期を短く設定することがよい。その理由は、前述したように、過去に正常通信を行っていたＩＰアドレスのクライアントが攻撃をしかけてくるクライアントに変質することもあり得るので、正常通信管理テーブルの更新は頻繁に行うことが安全である。これに対し、攻撃可能性判断テーブルに記録されている過去に攻撃をしかけてきたクライアントが正常なクライアントに変質する可能性は一般的に低いと考えられるので、攻撃可能性判断テーブルの方は、正常通信管理テーブルと比較して更新頻度は小さくてもよい。
【００１４】
あるいは、本発明の前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルと、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する手段と、前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、前記返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する手段とを備えたことを特徴とする（請求項３）。
【００１５】
このように、異常通信管理テーブルを設けることにより、過去に異常通信を行ったＩＰアドレスのクライアントからのパケットを速やかに廃棄することができる。
【００１６】
また、前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する手段と、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ３
であることが望ましい（請求項４）。
【００１７】
すなわち、異常通信管理テーブルおよび攻撃可能性判断テーブルにおける記録の重複は無意味であり、このような重複を回避し、攻撃可能性判断テーブルを有効に利用することができる。
【００１８】
また、異常通信管理テーブルの更新周期よりは正常通信管理テーブルの更新周期を短く設定することがよい。その理由は、前述したように、過去に正常通信を行っていたＩＰアドレスのクライアントが攻撃をしかけてくるクライアントに変質することもあり得るので、正常通信管理テーブルの更新は頻繁に行うことが安全である。これに対し、異常通信管理テーブルに記録されている過去に攻撃をしかけてきたクライアントが正常なクライアントに変質する可能性は一般的に低いと考えられるので、異常通信管理テーブルの方は、正常通信管理テーブルと比較して更新頻度は小さくてもよい。
【００１９】
また、前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれるように構成してもよい（請求項５）。
【００２０】
例えば、攻撃可能性判断テーブルの記録内容は、異常通信管理テーブルに記録された時点で削除されるようにしておけば、攻撃可能性判断テーブルは、一時的な記録だけで済む。すなわち、他のテーブルと比較すると記憶容量は小さくてよい。したがって、攻撃可能性判断テーブルは、他のいずれかのテーブルの一部の記憶領域を割当てることにより実現することができる。これにより、メモリ構成を簡単化することができる。
【００２１】
本発明の第二の観点は、情報処理装置にインストールすることにより、その情報処理装置に、ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する機能を備えたネットワーク攻撃の防御装置に相応する機能を実現させるプログラムである。
【００２２】
ここで、本発明の特徴とするところは、前記監視する機能として、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する機能とを実現させるところにある（請求項６）。
【００２３】
また、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する機能とを実現させ、
ｔ１≦ｔ２
であることが望ましい（請求項７）。
【００２４】
あるいは、本発明のプログラムは、前記監視する機能として、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルに相応する機能と、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する機能と、前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、前記返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する機能とを実現させることを特徴とするプログラムである（請求項８）。
【００２５】
また、前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する機能と、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する機能とを実現させ、
ｔ１≦ｔ３
であることが望ましい（請求項９）。
【００２６】
また、前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれることができる（請求項１０）。
【００２７】
本発明の第三の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項１１）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００２８】
これにより、汎用の情報処理装置を用いて、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができるネットワーク攻撃の防御装置を実現することができる。
【発明の効果】
【００２９】
本発明によれば、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができる。
【発明を実施するための最良の形態】
【００３０】
（第一実施例）
第一実施例を図１ないし図５を参照して説明する。図１は防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていた場合の処理を示す図である。図２は防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていない場合の処理を示す図である。図３は防御装置に到来したＳＹＮパケットのＩＰアドレスのクライアントが攻撃をしかけるクライアントである場合の処理を示す図である。図４は防御装置に到来したＳＹＮパケットのＩＰアドレスが攻撃可能性判断テーブルに記録されている場合の処理を示す図である。図５は正常通信管理テーブルと攻撃可能性判断テーブルとの配置関係を示す図である。
【００３１】
第一実施例は、ネットワーク４を介して相互に接続されるクライアント３とサーバ２との間に設けられ、クライアント３からサーバ２に向けて送出されたＳＹＮパケットを監視する手段を備えたネットワーク攻撃の防御装置１である。
【００３２】
ここで、第一実施例の特徴とするところは、前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブル１０と、この正常通信管理テーブル１０に記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブル２０と、正常通信管理テーブル１０に記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットをサーバ２に向けて通過させる手段と、正常通信管理テーブル１０に記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを攻撃可能性判断テーブル２０に記録し、当該ＩＰアドレス宛てにＳＹＮ−ＡＣＫパケットを返送する手段と、この返送する手段によるＳＹＮ−ＡＣＫパケットの返送から一定時間経過する内に当該返送先からのＡＣＫパケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブル１０に記録すると共に攻撃可能性判断テーブル２０に既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットをサーバ２に転送する手段と、攻撃可能性判断テーブル２０にＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する手段とを備えたところにある（請求項１）。
【００３３】
また、正常通信管理テーブル１０のｔ１時間更新されていない記録を削除する手段と、攻撃可能性判断テーブル２０のｔ２時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ２
である（請求項２）。
【００３４】
以下では、第一実施例を詳細に説明する。
【００３５】
図１に示すように、サーバ２とネットワーク４を介して接続されたクライアント３との間に本実施例の防御装置１が挿入されている。第一実施例では、クライアント３からサーバ２に向かってＳＹＮパケットが来たら、防御装置１が過去の正しい通信を行っているＩＰアドレスから来ているか否か判断する。このために、正常通信管理テーブル１０を備えており、到来するＳＹＮパケットのＩＰアドレスと正常通信管理テーブル１０に記録された過去のＩＰアドレスとを比較する。
【００３６】
図１に示すように、クライアント３からサーバ２宛てに送出されたＳＹＮパケットを防御装置１が受け取ると、正常通信管理テーブル１０を検索し、過去に正しい通信を行っているＩＰアドレスから来ているＳＹＮパケットであれば、当該ＳＹＮパケットをそのままサーバ２に転送する。当該ＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットはサーバ２から返送される。
【００３７】
図２に示すように、防御装置１に到来したＳＹＮパケットが正常通信管理テーブル１０にＩＰアドレスがないＳＹＮパケットならば、攻撃可能性判断テーブル２０に発信元ＩＰアドレスを登録し、発信元ＩＰアドレスに防御装置１からＳＹＮ−ＡＣＫパケットを返送する。
【００３８】
ここで、一定時間内にクライアント３からＡＣＫパケットが来た場合には、当該ＩＰアドレスのクライアント３は、正常なクライアントであることがわかるので、攻撃可能性判断テーブル２０から発信元ＩＰアドレスを削除すると共に、正常通信管理テーブル１０に発信元ＩＰアドレスを登録し、ＳＹＮパケットをサーバ２に送信する。サーバ２からは改めて当該ＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットがクライアント３に返送される。
【００３９】
図３に示すように、正常通信管理テーブル１０にＩＰアドレスがないＳＹＮパケットに対して防御装置１からＳＹＮ−ＡＣＫパケットを返送した場合に、ＡＣＫパケットが一定時間以内に来なかった場合には、攻撃可能性有りと判断でき、ＳＹＮパケットをサーバ２に送信せずに廃棄する。また、攻撃可能性判断テーブル２０には当該ＩＰアドレスがそのまま記録される。
【００４０】
ここで、ＡＣＫパケットが一定時間以内に返送されない場合に攻撃可能性ありと判断する根拠としては、例えば、ＳＹＮ−ＡＣＫパケットを返送したＩＰアドレスが詐称されたものであれば、ＳＹＮ−ＡＣＫパケットが到着した先のクライアントは、ＳＹＮパケットを送出した履歴がない。したがって、ＳＹＮ−ＡＣＫパケットに対するＡＣＫパケットを返送することもしない。これにより、ＳＹＮパケットの送信元は、ＩＰアドレスを詐称した悪意のクライアントであると判断できる。あるいは、ＳＹＮ攻撃をしかけるクライアントであれば、はじめからＡＣＫパケットを返送することはせず、ＳＹＮパケットを送出し続ける。これにより、ＳＹＮパケットの送信元は、悪意のあるクライアントであると判断できる。
【００４１】
図４に示すように、攻撃可能性判断テーブル２０にＩＰアドレスがあるＳＹＮパケットが防御装置１に到来した場合には即座に廃棄する。
【００４２】
図５に示すように、正常通信管理テーブル１０および攻撃可能性判断テーブル２０は配置される。また、正常通信管理テーブル１０および攻撃可能性判断テーブル２０は、一定周期もしくはなんらかのトリガーを元にして、メンテナンスされる。メンテナンスは、テーブルの記録が一定時間以上更新されていなければ、その記録を削除する。これにより、テーブルの記録数の増加を回避することができると共に、悪意のクライアントが過去に正しい通信を行ったクライアントのＩＰアドレスを詐称した場合でも、一定時間以上更新されていなければ正常通信管理テーブル１０からＩＰアドレスが削除されているため、防御装置１を素通りしてしまうことを回避することができる。
【００４３】
（第二実施例）
第二実施例を図６ないし図１２を参照して説明する。図６は防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図である。図７は防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図である。図８は防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送された場合の処理を示す図である。図９は防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送されない場合の処理を示す図である。図１０〜図１２は第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図である。
【００４４】
第二実施例は、ネットワーク４を介して相互に接続されるクライアント３とサーバ２との間に設けられ、クライアント３からサーバ２に向けて送出されたＳＹＮパケットを監視する手段を備えたネットワーク攻撃の防御装置１である。
【００４５】
ここで、第二実施例の特徴とするところは、前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブル１０と、異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブル３０と、正常通信管理テーブル１０に記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブル２０と、正常通信管理テーブル１０に記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットをサーバ２に向けて通過させる手段と、異常通信管理テーブル３０に記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する手段と、正常通信管理テーブル１０および異常通信管理テーブル３０に記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを攻撃可能性判断テーブル２０に記録し、当該ＩＰアドレス宛てにＳＹＮ−ＡＣＫパケットを返送する手段と、この返送する手段によるＳＹＮ−ＡＣＫパケットの返送から一定時間経過する内に当該返送先からのＡＣＫパケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブル１０に記録すると共に攻撃可能性判断テーブル２０に既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットをサーバ２に転送する手段と、前記返送する手段によるＳＹＮ−ＡＣＫパケットの返送から一定時間経過する内に当該返送先からのＡＣＫパケットが到来しないときには、当該ＩＰアドレスを異常通信管理テーブル３０に記録すると共に自装置内に保留した前記パケットを廃棄する手段とを備えたところにある（請求項３）。
【００４６】
また、異常通信管理テーブル３０に記録されたＩＰアドレスについては攻撃可能性判断テーブル２０から削除する手段と、正常通信管理テーブル１０のｔ１時間更新されていない記録を削除する手段と、異常通信管理テーブル３０のｔ３時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ３
である（請求項４）。
【００４７】
また、攻撃可能性判断テーブル２０は、図１０に示すように、正常通信管理テーブル１０と異常通信管理テーブル２０との間に設置するが、第一実施例と比較すると、攻撃可能性判断テーブル２０は、一時的な記録だけを行えばよいので、その記憶容量は少なくて済む。そこで、その他の実施例として、図１１に示すように、正常通信管理テーブル１０の記憶領域の一部を攻撃可能性判断テーブル２０に割当てたり、あるいは、図１２に示すように、異常通信管理テーブル３０の記憶領域の一部を攻撃可能性判断テーブル２０に割当てることもできる（請求項５）。
【００４８】
以下では、第二実施例を詳細に説明する。
【００４９】
第二実施例の防御装置１は、第一実施例の防御装置１の構成に、異常通信管理テーブル３０を加えて持つことを特徴とする。
【００５０】
図６に示すように、クライアント３からサーバ２宛てに送出されたＳＹＮパケットを防御装置１が受け付けて、異常通信管理テーブル３０にＩＰアドレスがあるならば、即座に攻撃であると判断し、パケットを廃棄する。
【００５１】
図７に示すように、異常通信管理テーブル３０にＩＰアドレスがなく、正常通信管理テーブル１０にＩＰアドレスがあるならば、そのままＳＹＮパケットをサーバ２に送信する。これにより、正常な通信は、そのまま通信が可能である。
【００５２】
図８に示すように、異常通信管理テーブル３０にＩＰアドレスがないが、正常通信管理テーブル１０にもＩＰアドレスがないならば、攻撃可能性判断テーブル２０に発信元ＩＰアドレスを登録し、発信元ＩＰアドレスに防御装置１からＳＹＮ−ＡＣＫパケットを返送する。
【００５３】
ここで、一定時間以内にクライアント３からＡＣＫパケットがきた場合には、クライアント３は正常なクライアントであるとして攻撃可能性判断テーブル２０から発信元ＩＰアドレスを削除すると共に、正常通信管理テーブル１０に発信元ＩＰアドレスを登録し、ＳＹＮパケットをサーバ２に送信する。サーバ２からは改めて当該ＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットが返送される。
【００５４】
図９に示すように、異常通信管理テーブル３０にＩＰアドレスがないが、正常通信管理テーブル１０にもＩＰアドレスがないならば、攻撃可能性判断テーブル２０に発信元ＩＰアドレスを登録し、発信元ＩＰアドレスに防御装置１からＳＹＮ−ＡＣＫパケットを返送する。
【００５５】
ここで、防御装置１からのＳＹＮ−ＡＣＫパケットに対してクライアント３からＡＣＫパケットが一定時間以内に来なかった場合には、第一実施例で説明したように、攻撃と判断でき、当該ＩＰアドレスを異常通信管理テーブル３０に登録する。なお、異常通信管理テーブル３０に登録されたＩＰアドレスについては攻撃可能性判断テーブル２０から削除する。
【００５６】
なお、第一実施例と同様に、正常通信管理テーブル１０および異常通信管理テーブル３０は、一定周期もしくはなんらかのトリガーを元にして、メンテナンスされる。メンテナンスは、テーブルの記録が一定時間以上更新されていなければ、その記録を削除する。これにより、テーブルの記録数の増加を回避することができると共に、悪意のクライアントが過去に正しい通信を行ったクライアントのＩＰアドレスを詐称した場合でも、一定時間以上更新されていなければ正常通信管理テーブル１０からＩＰアドレスが削除されているため、防御装置１を素通りしてしまうことを回避することができる。
【００５７】
（第三実施例）
第三実施例を図１３を参照して説明する。第三実施例は、第一および第二実施例とその動作は同じである。第三実施例では、防御装置の設置位置が第一および第二実施例とは異なり、ネットワーク４とクライアント３との間に設置されている。これにより、悪意のクライアント３から送出されるＳＹＮパケットをネットワーク４の入り口で廃棄することができるため、ネットワーク４内を無効となるパケットが転送されることがなく、ネットワークリソースを有効に利用することができる。一方、サーバ２の個数と比較するとクライアント３の個数の方が一般的に多いので、防御装置１の設置数は第一および第二実施例と比較すると多くなる。
【００５８】
（第四実施例）
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明の防御装置に相応する機能を実現させるプログラムとして実現することができる（請求項６〜１０）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項１１）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、第一〜第三実施例の防御装置１における各手段および各テーブルにそれぞれ相応する機能を実現させることができる。
【産業上の利用可能性】
【００５９】
本発明によれば、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができるため、クライアントに対するサービス品質を向上させることができる。
【図面の簡単な説明】
【００６０】
【図１】防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていた場合の処理を示す図。
【図２】防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていない場合の処理を示す図。
【図３】防御装置に到来したＳＹＮパケットのＩＰアドレスのクライアントが攻撃をしかけるクライアントである場合の処理を示す図。
【図４】防御装置に到来したＳＹＮパケットのＩＰアドレスが攻撃可能性判断テーブルに記録されている場合の処理を示す図。
【図５】正常通信管理テーブルと攻撃可能性判断テーブルとの配置関係を示す図。
【図６】防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図。
【図７】防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図。
【図８】防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送された場合の処理を示す図。
【図９】防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送されない場合の処理を示す図。
【図１０】第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図。
【図１１】第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図。
【図１２】第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図。
【図１３】第三実施例の防御装置配置位置を示す図。
【図１４】正常なＴＣＰの通信手順を説明するための図。
【図１５】ＳＹＮ攻撃と呼ばれるサーバのサービスを不能にさせる攻撃を説明するための図。
【図１６】ＳＹＮ攻撃に対する従来の防御装置を説明するための図。
【符号の説明】
【００６１】
１、１１  防御装置
２  サーバ
３  クライアント
４  ネットワーク
１０  正常通信管理テーブル
２０  攻撃可能性判断テーブル
３０  異常通信管理テーブル
【図１】
2005124055.tif 000003
【図２】
2005124055.tif 000004
【図３】
2005124055.tif 000005
【図４】
2005124055.tif 000006
【図５】
2005124055.tif 000007
【図６】
2005124055.tif 000008
【図７】
2005124055.tif 000009
【図８】
2005124055.tif 000010
【図９】
2005124055.tif 000011
【図１０】
2005124055.tif 000012
【図１１】
2005124055.tif 000013
【図１２】
2005124055.tif 000014
【図１３】
2005124055.tif 000015
【図１４】
2005124055.tif 000016
【図１５】
2005124055.tif 000017
【図１６】
2005124055.tif 000018