(57)【要約】【課題】  複数のＩＰアドレスを用いた特定の端末から目標端末へのＤＯＳ攻撃を防止し、安定したネットワーク通信を維持する。【解決手段】  送信端末Ａ、Ｂからの送信パケットを受信して蓄積する受信パケットバッファ部１と、バッファ部１に蓄積されたパケットの送信先のＩＰアドレスと、パケットの送信元を確定することのできる個体識別番号とを関連づけて記録するテーブル部２、４と、所定時間内において、テーブル部２、４に記録された同一の送信先ＩＰアドレスに対する同一の個体識別番号を有するパケットの数を計数する計数部５、６と、計数値が所定の値以上となったときに、バッファ部１に蓄積された受信パケットを廃棄する廃棄制御部７とを備えるＤＯＳ攻撃防御装置及び防御方法。受信パケットの廃棄後、所定時間経過後に受信パケットの廃棄を停止してもよく、個体識別番号には、ＭＡＣアドレスを使用できる。【選択図】  図１
2005286716.tif 000002
【特許請求の範囲】
【請求項１】
送信端末から送信パケットを受信して蓄積する受信パケットバッファ部と、
該受信パケットバッファ部に蓄積されたパケットの送信先のＩＰアドレスと、該パケットの送信元を確定することのできる個体識別番号とを関連づけて記録するテーブル部と、
所定時間内において、前記テーブル部に記録された同一の送信先ＩＰアドレスに対する同一の個体識別番号を有するパケットの数を計数する計数部と、
該計数部の計数値が所定の値以上となった場合には、前記受信パケットバッファ部に蓄積された受信パケットを廃棄する廃棄制御部とを備えることを特徴とするＤＯＳ攻撃防御装置。
【請求項２】
前記廃棄制御部による受信パケットの廃棄後、所定時間経過後に前記廃棄制御部は受信パケットの廃棄を停止することを特徴とする請求項１記載のＤＯＳ攻撃防御装置。
【請求項３】
前記個体識別番号は、ＭＡＣアドレス（Media Access Control Address ）であることを特徴とする請求項１または２記載のＤＯＳ攻撃防御装置。
【請求項４】
送信端末から送信パケットを受信して蓄積し、
該蓄積されたパケットの送信先のＩＰアドレスと、該パケットの送信元を確定することのできる個体識別番号とを関連づけて記録し、
所定時間内において、前記記録された同一の送信先ＩＰアドレスに対する同一の個体識別番号を有するパケットの数を計数し、
該計数値が所定の値以上となった場合には、前記蓄積された受信パケットを廃棄することを特徴とするＤＯＳ攻撃防御方法。
【請求項５】
前記受信パケットの廃棄後、所定時間経過後に受信パケットの廃棄を停止することを特徴とする請求項４記載のＤＯＳ攻撃防御方法。
【請求項６】
前記個体識別番号は、ＭＡＣアドレス（Media Access Control Address ）であることを特徴とする請求項４または５記載のＤＯＳ攻撃防御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤＯＳ攻撃防御装置及び防御方法に関し、特に、ネットワークに接続されたサーバ等のサービスを停止させるＤＯＳ(Denial of Service)攻撃を防御し、ＩＰ(インターネットプロトコル)関連装置を保護するための装置及び方法に関する。
【背景技術】
【０００２】
ネットワークに接続された標的となるサーバに対し、単一の送信元から大量にパケットを送り出して通信路をあふれさせたり、過負荷でサービスを停止させたりして、正規ユーザーのサービスを妨げるＤＯＳ攻撃が行われている。この攻撃に対抗するため、ネットワーク上のＩＰルータや、ネットワーク及びネットワークに接続された機器を保護するためのセキュリティ装置は、例えば、管理テーブルを用い、送信パケットの送信元ＩＰアドレスによって送信元の端末を監視し、送信先ＩＰアドレステーブルを用いて送信先を監視する。また、送信先と送信元とを一元管理する送信端末識別部は、特定送信先のＩＰアドレスに対し、所定時間以上の連続的なアクセスを繰り返していることをタイマー部からの時間情報に基づいて監視する。そして、特定の送信元から特定の送信先への連続アクセスが発生すると、送信先には、受信パケット廃棄制御部により、当該ＩＰアドレスからの送信を受信バッファに積み込まないようにしていた。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、近年、あたかも不特定のＩＰアドレスから特定の端末に対してアクセスが集中しているように見せかけるため、様々なプロバイダ等を介することでＩＰアドレスを色々と変換しながら、特定端末から複数のＩＰアドレスで特定の端末に対してＤＯＳ攻撃を仕掛けることが行われている。このような場合には、特定端末からのアクセスにも拘わらず、あたかも複数の端末からアクセスされているように見えるため、目標端末は、ＤＯＳ攻撃を受けてしまうこととなり、ＤＯＳ攻撃以外の通信も含めて中継が中断するという問題があった。
【０００４】
そこで、本発明は、複数のＩＰアドレスを用いて特定の端末に対してＤＯＳ攻撃を仕掛けられた場合でも、このような攻撃を防御し、安定したネットワーク通信を維持することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するため、本発明は、ＤＯＳ攻撃防御装置であって、送信端末から送信パケットを受信して蓄積する受信パケットバッファ部と、該受信パケットバッファ部に蓄積されたパケットの送信先のＩＰアドレスと、該パケットの送信元を確定することのできる個体識別番号とを関連づけて記録するテーブル部と、所定時間内において、前記テーブル部に記録された同一の送信先ＩＰアドレスに対する同一の個体識別番号を有するパケットの数を計数する計数部と、該計数部の計数値が所定の値以上となった場合には、前記受信パケットバッファ部に蓄積された受信パケットを廃棄する廃棄制御部とを備えることを特徴とする。
【０００６】
そして、本発明によれば、テーブル部によって、送信されたパケットの送信先のＩＰアドレスと、送信元を確定することのできる個体識別番号とを関連づけて記録し、計数部によって、所定時間内において、テーブル部に記録された同一の送信先ＩＰアドレスに対する同一の個体識別番号を有するパケットの数を計数し、計数部の計数値が所定の値以上となった場合には、廃棄制御部によって前記受信パケットバッファ部に蓄積された受信パケットを廃棄するため、特定端末から複数のＩＰアドレスを用いて特定の端末に対してＤＯＳ攻撃を仕掛けられた場合でも、このようなＤＯＳ攻撃を防御することができ、安定したネットワーク通信を維持することができる。また、ＤＯＳ攻撃を行っているパケットのみを入力側で廃棄するため、ＤＯＳ攻撃とは関係のないすべての通信、及び出力方向に位置する、ＤＯＳ攻撃を受けていた端末が接続されている通信を正常に維持することができる。
【０００７】
上記ＤＯＳ攻撃防御装置において、前記廃棄制御部による受信パケットの廃棄後、所定時間経過後に前記廃棄制御部は受信パケットの廃棄を停止するようにすることができる。これによって、ＤＯＳ攻撃を行わなくなった送信端末からの正常な通信を復旧させることができる。
【０００８】
上記ＤＯＳ攻撃防御装置において、前記個体識別番号を、ＭＡＣアドレス（Media Access Control Address ）とすることができる。
【０００９】
また、本発明は、ＤＯＳ攻撃防御方法であって、送信端末から送信パケットを受信して蓄積し、該蓄積されたパケットの送信先のＩＰアドレスと、該パケットの送信元を確定することのできる個体識別番号とを関連づけて記録し、所定時間内において、前記記録された同一の送信先ＩＰアドレスに対する同一の個体識別番号を有するパケットの数を計数し、該計数値が所定の値以上となった場合には、前記蓄積された受信パケットを廃棄することを特徴とする。これによって、上述のように、複数のＩＰアドレスを用いた特定端末から特定の端末に対するＤＯＳ攻撃を防御することができ、ＤＯＳ攻撃とは関係のないすべての通信、及び出力方向に位置する、ＤＯＳ攻撃を受けていた端末が接続されている通信を正常に維持することができる。
【００１０】
上記ＤＯＳ攻撃防御装置において、前記受信パケットの廃棄後、所定時間経過後に受信パケットの廃棄を停止することができ、前記個体識別番号に、ＭＡＣアドレス（Media Access Control Address ）を用いることができる。
【発明の効果】
【００１１】
本発明によれば、複数のＩＰアドレスを用いた特定の端末から目標端末へのＤＯＳ攻撃を防止することができ、安定したネットワーク通信を維持すること等が可能なＤＯＳ攻撃防御装置及び防御方法を提供することができる。
【発明を実施するための最良の形態】
【００１２】
図１は、本発明にかかるＤＯＳ攻撃防御装置の一実施の形態を示し、このＤＯＳ攻撃防御装置１０は、送信端末Ａ、Ｂから送信パケットを受信して蓄積する受信パケットバッファ部１と、受信パケットバッファ部１に積み込まれたパケットから送信先のＩＰアドレスを検出し、テーブルとして情報を蓄積する送信先ＩＰアドレステーブル２と、同様に、受信パケットバッファ部１に積み込まれたパケットから送信元ＩＰアドレスを検出し、テーブルとして情報を蓄積する送信元ＩＰアドレステーブル３と、受信パケットバッファ部１に積み込まれたパケットから送信元ＭＡＣアドレスを検出し、テーブルとして情報を蓄積する送信元ＭＡＣアドレステーブル４と、送信先ＩＰアドレステーブル２及び送信元ＭＡＣアドレステーブル４を受信パケット毎に管理し、受信パケット数をカウントする送信元端末識別部５と、送信元端末識別部５にカウントアップされているパケット数をある所定時間以上カウントするタイマー部６と、送信端末識別部５にカウントアップされているパケット数がある一定数値以上カウントアップされたときに、該当送信元ＭＡＣアドレスの受信パケットを廃棄する受信パケット廃棄制御部７とで構成される。
【００１３】
次に、上記構成を有するＤＯＳ攻撃防御装置１０の動作について説明する。ここで、送信端末Ａは攻撃端末と仮定し、送信端末Ｂは正常ユーザー端末とする。
【００１４】
受信パケットバッファ部１は、送信端末Ａ及び送信端末Ｂからの送信パケットを受信して、随時蓄積する。この受信パケットバッファ部１に積み込まれたパケットの中から、各々送信先のＩＰアドレスと、送信元のＩＰアドレスと、送信元のＭＡＣアドレスとを検出し、各々、送信先ＩＰアドレステーブル２と、送信元ＩＰアドレステーブル３と、送信元ＭＡＣアドレステーブル４とに蓄積する。
【００１５】
次に、蓄積されているテーブル情報の送信先ＩＰアドレスと、送信元ＭＡＣアドレスとを各々の送信先ＩＰアドレステーブル２と、送信元ＭＡＣアドレステーブル３とを利用し、受信パケット毎に管理し、送信元端末識別部５は、特定端末Ａ及び送信端末Ｂから目標端末に向けてのパケット数をカウントする。通常、正常なアクセスであれば、数分単位で連続して単一の宛先に対してアクセスすることはあり得ない。そのため、送信元端末識別部５によって、数分を所定時間としてパケット数のカウント値が一定レベル以上に達した場合には、異常アクセス(ＤＯＳ攻撃)であると判断し、受信パケット廃棄制御部７は、該当送信元ＭＡＣアドレスからのパケットを受信パケットバッファ部１に蓄積しないようにする。
【００１６】
このように、所定時間内にある特定端末からカウント値が一定レベル以上の目標端末宛のパケットを受信した場合には、ＤＯＳ攻撃防御装置１０で受信パケットを廃棄することにより、ＤＯＳ攻撃を防ぐことができる。送信元のＩＰアドレスを監視したのでは、ＩＰアドレスの付け替えによりＤＯＳ攻撃を防御することができない可能性があるが、本発明のように、ＭＡＣアドレスを監視すれば、ＭＡＣアドレスは端末に固有のものであるため、送信端末を特定することができ、ＩＰアドレスの付け替えによるＤＯＳ攻撃を防御することができる。
【００１７】
また、ＤＯＳ攻撃を行っていた端末が、自発的にＤＯＳ攻撃を行っていなかった場合には、通信ができなくなることによりユーザーが異常を認識し、別の所定時間（送信端末の復旧に要する数時間程度)以上達したときに、パケットの廃棄を停止するようにすれば、ＤＯＳ攻撃を行わなくなった送信端末からの正常な通信を復旧させることができる。
【００１８】
送信端末Ａは、ＤＯＳ攻撃端末であるため、送信端末Ａの送信パケットは、異常トラフィックである。送信端末Ｂは、正常ユーザーの端末であるため、送信パケットは、正常なトラフィックである。送信端末Ａのトラフィックは異常となり、タイマー部６で異常が検出されてＤＯＳ攻撃端末と認識され、送信元ＭＡＣアドレステーブル４と、送信元端末識別部５により送信端末ＡのＭＡＣアドレスが特定され、受信パケット廃棄制御部７でパケット廃棄がパケット受信バッファ１に通知される。一方、送信端末Ｂは正常トラフィックであるため、タイマー部６で異常が検出されないため、引き続きパケットの受信が可能となる。
【００１９】
尚、上記各構成部は、ＣＰＵ(中央演算装置)等により実現することも、ハードウェアにより実現することも可能である。
【図面の簡単な説明】
【００２０】
【図１】本発明にかかるＤＯＳ攻撃防御装置の一実施の形態の構成を示すブロック図である。
【符号の説明】
【００２１】
１      受信パケットバッファ部
２      送信先ＩＰアドレステーブル
３      送信元ＩＰアドレステーブル
４      送信元ＭＡＣアドレステーブル
５      送信元端末識別部
６      タイマー部
７      受信パケット廃棄制御部
１０    ＤＯＳ攻撃防御装置
Ａ      送信端末（攻撃端末）
Ｂ      送信端末（正常ユーザー端末）
【図１】
2005286716.tif 000003