(57)【要約】【課題】ネットワーク攻撃に対する対策を実施している複数の装置を統一的に状態遷移させることを可能にすることで、従来技術の持つ問題点の解決を図ることを目的とする。【解決手段】攻撃対策に参加している装置の状況データを収集して、それに基づいて、対策を中断することができる状態になったことを判断する場合には、攻撃対策に参加している装置に対して対策の中断を指示する。また、対策の中断を解除する必要のある状態になったことを判断する場合には、攻撃対策に参加している装置に対して対策の復帰を指示する。また、攻撃対策を中断している場合に、対策を終了することができる状態になったことを判断する場合には、攻撃対策に参加している装置に対して対策の終了を指示する。また、攻撃対策を実施している場合に、対策を終了することができる状態になったことを判断する場合には、攻撃対策に参加している装置に対して対策の終了を指示する。【選択図】図１５
2005303425.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を複数の攻撃対策装置で対策する場合に用いられるネットワーク攻撃対策方法であって、
攻撃対策を実施している場合に、その対策を中断することができる状態になったのかを判断して、その状態になった場合には、その対策を中断する過程と、
攻撃対策を中断している場合に、その対策の中断を解除する必要のある状態になったのかを判断して、その状態になった場合には、その対策を復帰する過程と、
攻撃対策を中断している場合に、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、その対策を終了する過程と、
攻撃対策を実施している場合に、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、その対策を終了する過程とを備えることを、
特徴とするネットワーク攻撃対策方法。
【請求項２】
請求項１に記載のネットワーク攻撃対策方法において、
各過程では、攻撃対策に参加している攻撃対策装置の状況を総合的に判断することで所定の状態になったのかを判断して、所定の状態になったことを判断するときには、それらの攻撃対策装置の状態を統一的に遷移させることを、
特徴とするネットワーク攻撃対策方法。
【請求項３】
請求項２に記載のネットワーク攻撃対策方法において、
対策の中断と対策の中断からの復帰とについては、攻撃対策に参加している個々の攻撃対策装置の状況を判断することで所定の状態になったのか否かを判断して、所定の状態になったことを判断するときには、所定の状態になった攻撃対策装置の状態を遷移させることを、
特徴とするネットワーク攻撃対策方法。
【請求項４】
ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を複数の攻撃対策装置で対策する場合に用いられる集中管理装置であって、
攻撃対策に参加している攻撃対策装置の状況データを収集する手段と、
攻撃対策を実施している場合に、上記状況データに基づいて、その対策を中断することができる状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の中断を指示する手段と、
攻撃対策を中断している場合に、上記状況データに基づいて、その対策の中断を解除する必要のある状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の復帰を指示する手段と、
攻撃対策を中断している場合に、上記状況データに基づいて、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の終了を指示する手段と、
攻撃対策を実施している場合に、上記状況データに基づいて、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の終了を指示する手段とを備えることを、
特徴とする集中管理装置。
【請求項５】
ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を複数の攻撃対策装置で対策する場合に用いられる攻撃対策装置であって、
自装置の状況データを収集して、攻撃対策に参加している攻撃対策装置の状態遷移を統一的に指示する処理を行う集中管理装置に対して、その収集した状況データを送信する手段と、
上記集中管理装置から送られてくる状態遷移の指示を受信する手段と、
上記状態遷移指示が実施中の対策の中断を示している場合に、その対策を中断させる手段と、
上記状態遷移指示が中断中の対策の復帰を示している場合に、その対策を復帰させる手段と、
上記状態遷移指示が中断中の対策の終了を示している場合に、その対策を終了させる手段と、
上記状態遷移指示が実施中の対策の終了を示している場合に、その対策を終了させる手段とを備えることを、
特徴とする攻撃対策装置。
【請求項６】
請求項５に記載の攻撃対策装置であって、
上記状況データが実施中の対策の中断を示している場合に、上記状態遷移指示とは関係なく、その対策を中断させる手段と、
上記状況データが中断中の対策の復帰を示している場合に、上記状態遷移指示とは関係なく、その対策を復帰させる手段とを備えることを、
特徴とする攻撃対策装置。
【請求項７】
請求項４に記載の集中管理装置の実現に用いられる処理をコンピュータに実行させるためのネットワーク攻撃対策プログラム。
【請求項８】
請求項５又は６に記載の攻撃対策装置の実現に用いられる処理をコンピュータに実行させるためのネットワーク攻撃対策プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のネットワークを収容する広域ネットワーク環境において、ネットワークに接続された特定の端末に対して大量のパケットを送信する攻撃が発生した際に、この攻撃への対策を行うためのネットワーク攻撃対策方法と、そのネットワーク攻撃対策方法の実現に用いられる集中管理装置および攻撃対策装置と、その集中管理装置および攻撃対策装置の実現に用いられるネットワーク攻撃対策プログラムとに関する。
【背景技術】
【０００２】
インターネットなどの広域ネットワークはオープンな環境であり、誰もが自由に接続することが可能である。このため、攻撃者がこのような環境を利用してＤｏＳ攻撃（Denial of Service 攻撃：サービス拒否攻撃）を容易に引き起こすことができる。
【０００３】
ＤｏＳ攻撃とは、インターネット等を通じて不特定多数のユーザからアクセス可能なサーバに対して、攻撃者が不正な通信パケットを送ることにより、サーバや通信経路上の装置のリソースを消費するなどの悪影響を与えて、他のユーザがそのサーバへアクセスすることを困難にする攻撃である。
【０００４】
ＤｏＳ攻撃のパケットを正確に識別することが難しいため、この攻撃に対する効果的な対策方法は未だ開発されていないのが実情である。
【０００５】
ＤｏＳ攻撃が発生した際に、攻撃パケットへの対策を行うための方法として、（１）下記の非特許文献１に記載された技術、（２）本発明者等が出願した下記の特許文献１や特許文献２に記載された技術、（３）下記の非特許文献２に記載された技術、（４）Top Layer 社の Attack Mitigator がある。
【０００６】
（１）は、サーバなどの防御対象の近くのノードが、インターフェイス毎のキューを監視し、多量のキュー溢れが発生した場合に、これを攻撃として検出する。検出後、キューに入力されるパケットの宛先アドレスを解析して、攻撃パケットの宛先ネットワークアドレスを抽出し、これを攻撃パケット情報とする。同時に、この情報を攻撃経路の上流ノードに伝達し、上流ノードでこの情報に該当するパケットの帯域を制限する技術である。
【０００７】
（２）は、防御対象の近くのノードが、フロー毎のパケット量に異常が発生した際に、これを攻撃として検出すると同時に、異常なフローの情報を攻撃経路の上流ノードに伝達し、上流ノードでこの情報にマッチするパケットの帯域を予め指定された量以下に制限する技術である（一次対策）。また、各ノードで、送信元アドレス範囲別に異常フローの帯域を測定し、それらの中に長期間に渡る連続性などの不正なパターンが見つかった場合には、その範囲からの異常フローの帯域をより少ない量に制限する技術である（二次対策）。
【０００８】
（３）は、ノードが宛先ネットワークアドレス別のトラヒック量を観測し、それらの中に異常が発生した場合に、これを攻撃として検出し、検出情報をネットワーク上のノードに伝達して、検出情報に該当するパケットを遮断する技術である。
【０００９】
（４）は、サーバなどの防御対象近くに設置する装置であり、"TCP SYN Flood" などのＤｏＳ攻撃の一部の種類であるサーバ資源消費型の攻撃パケットを、パケットの特定パターンの特徴を検知して、検知した場合に、その装置にて、特定したパターンのパケットが送られてくる送信元アドレスからのパケットを一括して遮断してしまう技術である。
【００１０】
このうち、（４）の技術には、ＤｏＳ攻撃を検知し、特定したアドレスから送られて来るパケットを遮断しながら、そのパケットが継続して送られて来るか否かを監視して、一定基準以上の時間送られて来ない場合には、特定したアドレスから送られて来るパケットを遮断する機能を停止させるという、自動対策停止機能を持つ。
【非特許文献１】ACC(Aggregate-based Congestion Control) R.Mahajan, S.Bellovin, S.Floyd, J.Ioannidis, V.Paxson and S.Shenker ："Controlling High Bandwidth Aggregates in the Network", SIGCOMM Computer Communications Review, Vol.32, No.3, p.62-73, Jul.2002.
【特許文献１】特開２００２−１６４９３８
【特許文献２】特開２００３−２８３５５４
【非特許文献２】GMD FOKUS(ドイツ国立情報研究所オープン通信システム研究機関）論文 Stamatis Karnouskos："Dealing with Denial-of-Service Attacks in Agent-enabled Active and Programmable Infrastructures", Procof 25th IEEE International Computer Software and Applications Conference(COMPSAC2001), Oct.2001.
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ＤｏＳ攻撃を防御するコンピュータや専用装置では、攻撃パケットの制限や遮断のためにＣＰＵやメモリなどのリソースを消費するため、攻撃パケットの制限や遮断を同時に行えるのは有限数になるという問題がある（問題１）。
【００１２】
また、攻撃パケットを送信している端末は、攻撃パケットを送信しているプログラムが除去されるなどして攻撃パケットを送信しない状態になる可能性がある。これから、攻撃を受けている側は、一旦、攻撃パケットの送信元アドレスとして検知してそのアドレスからのパケットを遮断した場合、パケットの遮断機能を動作し続けると、攻撃パケットを送信しない状態になった端末から、正常にサービスを利用しようとしたときにも、そのアドレスから送られて来るパケットを遮断してしまうことになり、実際にはサービスが利用できないという正規ユーザパケットの破棄問題がある（問題２）。
【００１３】
さらに、本発明者等が出願した特許文献１，２に記載された技術では、ＤｏＳ攻撃が発生した場合に、攻撃を検知した装置からその他の一つ以上の装置へ攻撃の識別情報を伝達して、その識別情報を伝達された装置が、伝達された情報やその情報に基づいて、攻撃パケットや一般の利用者のパケットを識別しながら攻撃パケットを制限や遮断するため、検知したＤｏＳ攻撃が一つであっても二台以上の装置で攻撃パケットを制限または遮断していることがある。
【００１４】
ところが、ＤｏＳ攻撃パケットを送信している複数の端末は、攻撃パケットを連続して送信し続けるとは限らなく、一時中止、完全な中止、または攻撃の再開のタイミングは同じとは限らない。これから、攻撃パケットの制限や遮断をしている二つ以上の装置が各々独立して、攻撃パケットが一定の基準を超えて送信されてこなくなった時点で攻撃パケットの制限や遮断を解除すると、検出した一つのＤｏＳ攻撃に対する対策が一部は解除され、一部は動作し続けることになる。
【００１５】
このため、複数のＤｏＳ攻撃パケット送信端末のうち一つの端末からのＤｏＳ攻撃パケットの送信が一旦停止した後に攻撃パケットの送信が再開されると、一旦攻撃パケットが送信されてこなくなった際に攻撃パケットの制限や遮断を解除した装置は、再度攻撃を検知した装置から伝達されてくる攻撃の識別情報を得るまで攻撃パケットへの対策ができなく、その間は攻撃の被害が広まってしまう問題がある（問題３）。
【００１６】
さらに、攻撃を検知した装置から一旦攻撃パケットの制限や遮断を解除した装置にまで再度識別情報を伝えることで、ＤｏＳ攻撃対策システム全般に負荷が掛かることにもなり、ＤｏＳ攻撃対策システム全般に掛かる負荷が過度になれば、ＤｏＳ攻撃対策システム自体が動作不能になってしまうという問題もある（問題４）。
【００１７】
本発明はかかる事情に鑑みてなされたものであって、ＤｏＳ攻撃などのようなネットワーク攻撃に対する対策を実施している複数の装置を統一的に状態遷移させることを可能にすることで、従来技術の持つ問題点の解決を図る新たなネットワーク攻撃対策技術の提供を目的とする。
【課題を解決するための手段】
【００１８】
この目的を達成するために、本発明では、ネットワーク上に存在する装置に対して行われる不正なパケットを使った攻撃を複数の攻撃対策装置で対策するという構成を採るときにあって、次のように構成される集中管理装置を用意するとともに、攻撃対策に参加している攻撃対策装置を次のように構成する。
【００１９】
（１）本発明の集中管理装置の構成
本発明の集中管理装置は、（イ）攻撃対策に参加している攻撃対策装置の状況データを収集する収集手段と、（ロ）攻撃対策を実施している場合に、収集手段の収集した状況データに基づいて、その対策を中断することができる状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の中断を指示する第１の指示手段と、（ハ）攻撃対策を中断している場合に、収集手段の収集した状況データに基づいて、その対策の中断を解除する必要のある状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の復帰を指示する第２の指示手段と、（ニ）攻撃対策を中断している場合に、収集手段の収集した状況データに基づいて、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の終了を指示する第３の指示手段と、（ホ）攻撃対策を実施している場合に、収集手段の収集した状況データに基づいて、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、攻撃対策に参加している攻撃対策装置に対して、その対策の終了を指示する第４の指示手段とを備えるように構成する。
【００２０】
以上の各処理手段はコンピュータプログラムで実現できるものであり、このコンピュータプログラムは、半導体メモリなどのような適当な記録媒体に記録して提供されたり、ネットワークを介して提供され、本発明を実施する際にインストールされてＣＰＵなどの制御手段上で動作することにより本発明を実現することになる。
【００２１】
（２）本発明の攻撃対策装置の構成
本発明の攻撃対策装置は、（イ）自装置の状況データを収集して、上述の構成を採る集中管理装置に対して、その収集した状況データを送信する実行手段と、（ロ）集中管理装置から送られてくる状態遷移の指示を受信する受信手段と、（ハ）受信手段の受信した状態遷移指示が実施中の対策の中断を示している場合に、その対策を中断させる第１の中断実行手段と、（ニ）受信手段の受信した状態遷移指示が中断中の対策の復帰を示している場合に、その対策を復帰させる第１の復帰実行手段と、（ホ）受信手段の受信した状態遷移指示が中断中の対策の終了を示している場合に、その対策を終了させる第１の終了実行手段と、（ヘ）受信手段の受信した状態遷移指示が実施中の対策の終了を示している場合に、その対策を終了させる第２の終了実行手段と、（ト）実行手段の収集した状況データが実施中の対策の中断を示している場合に、集中管理装置から送られてくる状態遷移指示とは関係なく、その対策を中断させる第２の中断実行手段と、（チ）実行手段の収集した状況データが中断中の対策の復帰を示している場合に、集中管理装置から送られてくる状態遷移指示とは関係なく、その対策を復帰させる第２の復帰実行手段とを備えるように構成する。
【００２２】
以上の各処理手段はコンピュータプログラムで実現できるものであり、このコンピュータプログラムは、半導体メモリなどのような適当な記録媒体に記録して提供されたり、ネットワークを介して提供され、本発明を実施する際にインストールされてＣＰＵなどの制御手段上で動作することにより本発明を実現することになる。
【００２３】
このように構成される本発明では、
（イ）攻撃対策を実施している場合に、その対策を中断することができる状態になったのかを判断して、その状態になった場合には、その対策を中断し、
（ロ）攻撃対策を中断している場合に、その対策の中断を解除する必要のある状態になったのかを判断して、その状態になった場合には、その対策を復帰し、
（ハ）攻撃対策を中断している場合に、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、その対策を終了し、
（ニ）攻撃対策を実施している場合に、その対策を終了することができる状態になったのかを判断して、その状態になった場合には、その対策を終了する、
というように処理する。
【００２４】
このとき、各過程では、攻撃対策に参加している攻撃対策装置の状況を総合的に判断することで所定の状態になったのかを判断して、所定の状態になったことを判断するときには、それらの攻撃対策装置の状態を統一的に遷移させることになるが、対策の中断と対策の中断からの復帰とについては、攻撃対策に参加している個々の攻撃対策装置の状況を判断することで所定の状態になったのか否かを判断して、所定の状態になったことを判断するときには、所定の状態になった攻撃対策装置の状態を遷移させるようにすることも可能である。
【発明の効果】
【００２５】
本発明によって、ネットワーク攻撃対策を実施している複数の装置を統一的に状態遷移させることが可能になり、攻撃対策装置のリーソースの消費の解消、正規ユーザパケットの破棄問題の解消、ネットワーク攻撃のパケットが断続的に送信される際に発生するネットワーク攻撃対策再開の遅滞の解消、ネットワーク攻撃のパケットが断続的に送信される際に発生するネットワーク攻撃対策システムへの負荷の軽減が可能になる。
【発明を実施するための最良の形態】
【００２６】
本発明の具体的な実施の形態の説明に入る前に、本発明の基本的な考え方について説明する。
【００２７】
本発明では、ある標的に対するＤｏＳ攻撃が発生したことをＤｏＳ攻撃対策装置が検知したことを契機として、二つ以上のＤｏＳ攻撃対策装置で攻撃パケットの制限や遮断といった対策を実施している際に、攻撃対策を中断または終了させることにより、上述した問題１〜４を解決するものである。
【００２８】
攻撃対策の終了とは、ＤｏＳ攻撃パケットの制限や遮断を実施するのに用いる、二つ以上のＤｏＳ攻撃対策装置内にある攻撃対策の対象、方法（制限や遮断など）、量的情報などを各々の装置から削除し、各装置でＤｏＳ攻撃対策が開始され対策を実施し始める前と同等になることを意味する。対策終了時に、装置から対策実施に必要な情報を削除することで、上述した問題１、問題２が解決される。  
【００２９】
対策の中断とは、ＤｏＳ攻撃パケットの制限や遮断を実施するのに用いる、各ＤｏＳ攻撃対策装置内にある攻撃対策の対象、方法（制限や遮断など）、量的情報などを各装置が保持したままで、対策対象のパケットが転送されてきても対策を実施しない状態のことをさす。
【００３０】
対策の中断も対策の終了も、あるＤｏＳ攻撃が検知され、そのＤｏＳ攻撃へ対策するために二つ以上のＤｏＳ攻撃対策装置で対策を実施している際に、その二つ以上の装置を一群の装置として捉え、一群の装置ごとに状態を管理して行うものである。
【００３１】
ここで、対策の終了については、一群の装置全体で一斉に実施する。一方、対策の中断については、一群の装置全体の情報に基づいて一斉に実施することもできるし、各装置で保持あるいは測定したローカルな情報に基づいて実施することもできる。
【００３２】
対策中断の際には、ＤｏＳ攻撃対策装置から攻撃対策の方法に関わる情報は削除しない。このため、対策中断中のＤｏＳ攻撃パケットの送信状況の変化に応じて攻撃対策を再開可能である。したがって、上述した問題３、問題４が解決できる。
【００３３】
ＤｏＳ攻撃対策を装置上で実施している状態から、対策の中断や終了の状態へ変化させ、対策中断中に対策実施状態へ復帰するための一つ目の手段としては、攻撃パケットを監視することで行うものであって、攻撃パケットを監視することにより、対策中の一群の装置の状態から構成される対策中断条件と対策終了条件（対策終了条件α）とに合致する状態になることを監視し始めて、対策中断条件に合致する状態になった際に対策の中断を行い、また、対策終了条件αに合致する状態になった際に対策の終了を行い、さらに、対策中断条件に合致した場合には、それを契機として、その対策終了条件αとは別の対策終了条件（対策終了条件β）と対策の復帰条件とに合致する状態になることを監視し始めて、その対策終了条件βに合致する状態になった際に対策を終了させ、その対策の復帰条件に合致する状態になった際に対策を再度開始するという方法である。
【００３４】
すなわち、装置がＤｏＳ攻撃の対策から終了の状態に遷移するパターンとしては、「対策中」→「対策終了」というパターンと、「対策中」→「対策中断中」→「対策終了」というパターンの２種類を想定しており、前者のパターンでは、対策終了条件αを使って、「対策中」→「対策終了」という状態変化を引き起こすのか否かを決定し、後者のパターンでは、対策終了条件βを使って、「対策中断中」→「対策終了」という状態変化を引き起こすのか否かを決定する。
【００３５】
ＤｏＳ攻撃対策を装置上で実施している状態から、対策の中断や終了の状態へ変化させ、対策中断中に対策実施状態へ復帰するための二つ目の手段としては、対策の対象となる攻撃パケットが転送されてこなくなったことを契機として行うものであって、対策の対象となる攻撃パケットが転送されてこなくなったことを契機として、対策中の一群の装置の状態から構成される対策中断条件と対策終了条件（対策終了条件γ）とに合致する状態になることを監視し始めて、対策中断条件に合致する状態になった際に対策の中断を行い、また、対策終了条件γに合致する状態になった際に対策の終了を行い、さらに、対策中断条件に合致した場合には、それを契機として、その対策終了条件γとは別の対策終了条件（対策終了条件δ）と対策の復帰条件とに合致する状態になることを監視し始めて、その対策終了条件δに合致する状態になった際に対策を終了させ、その対策の復帰条件に合致する状態になった際に対策を再度開始するという方法である。
【００３６】
すなわち、装置がＤｏＳ攻撃の対策から終了の状態に遷移するパターンとしては、「対策中」→「対策終了」というパターンと、「対策中」→「対策中断中」→「対策終了」というパターンの２種類を想定しており、前者のパターンでは、対策終了条件γを使って、「対策中」→「対策終了」という状態変化を引き起こすのか否かを決定し、後者のパターンでは、対策終了条件δを使って、「対策中断中」→「対策終了」という状態変化を引き起こすのか否かを決定する。
【００３７】
前記一つ目の手段、二つ目の手段のともに、二つ以上のＤｏＳ攻撃対策装置の状態、各装置での攻撃パケットの情報、各装置での対策履歴情報などを総合的に判断する必要がある。
【００３８】
このために各装置は、自装置内にある対策中断条件、対策終了条件、対策復帰条件を判断するのに必要な情報を、これらの条件判断機能を有する集中管理装置（この装置は、ＤｏＳ攻撃対策装置と共用してもよいし、別の装置として用意してもよい）へ転送する。
【００３９】
この集中管理装置では、一旦発生したＤｏＳ攻撃の防御のために連携して動作している一群のＤｏＳ攻撃対策装置からの条件判断情報が集まったら、一つ目の手段、二つ目の手段の各条件に合致しているか否かを判断する。ただし、対策中断条件と対策復帰条件とについては、必ずしも集中管理装置で一群のＤｏＳ攻撃対策装置からの情報が集まってから判断する必要はなく、各装置内で判断する場合も、一台の装置から転送された条件判断情報だけで集中管理装置が判断する場合もある。
【００４０】
そして、各装置から転送されてくる条件判断情報が一つでも更新された時点で再度一つ目の手段、二つ目の手段の各条件に合致するか否かを判断するか、あらかじめ決められた時間間隔ごとに、各装置から転送されてきている条件判断情報を元に再度一つ目の手段、二つ目の手段の各条件に合致するか否かを判断する。これにより継続的に変化し続ける条件判断情報を元に、対策中断条件や対策終了条件を判断できる。
【００４１】
集中管理装置で、対策中断条件、対策終了条件、対策復帰条件に合致する状態になった場合は、対策の中断、終了、対策処理再開をすべき対象の装置に向かってその指示を送信する。
【００４２】
次に、本発明の実施の形態について、図面を参照しつつ詳細に説明する。
【００４３】
図１に、本発明の一実施形態としてのＤｏＳ攻撃発生時における複数のＤｏＳ攻撃対策装置による被攻撃サーバ保護の装置接続例を図示する。
【００４４】
図１においては、ＤｏＳ攻撃端末１０１〜１０４が被ＤｏＳ攻撃サーバ２０１へＤｏＳ攻撃パケットを送信しており、それらの端末、サーバ間にＤｏＳ攻撃対策装置３０１〜３０６が接続されており、その内の何台かが連携してＤｏＳ攻撃対策を実施している一群の装置であり、対策中断条件・対策復帰条件・対策終了条件を判断する条件判断機能を有する集中管理装置４０１もＤｏＳ攻撃対策装置３０１〜３０６と通信可能な状態で接続されている。
【００４５】
ＤｏＳ攻撃対策を実施している一群の装置としては、ＤｏＳ攻撃対策装置３０２とＤｏＳ攻撃対策装置３０４の場合、ＤｏＳ攻撃対策装置３０１とＤｏＳ攻撃対策装置３０３とＤｏＳ攻撃対策装置３０６の場合、ＤｏＳ攻撃対策装置３０１とＤｏＳ攻撃対策装置３０４の場合、ＤｏＳ攻撃対策装置３０１〜３０６の場合などがある。
【００４６】
図２に、ＤｏＳ攻撃対策装置３０１〜３０６の装置構成例を図示する。
【００４７】
この図２に示すように、ＤｏＳ攻撃対策装置３０１〜３０６は、その構成要素として、ネットワークインターフェイス部１０００、パケット転送処理部１００１、攻撃パケット処理部１００２、監視部１００３、ＤｏＳ攻撃検知・受信部１００４、攻撃パケット情報ＤＢ１００５、監視対象ＤＢ１００６、条件管理ＤＢ１００７、集中管理装置指示受信部１００８を備える。
【００４８】
攻撃パケット情報ＤＢ１００５は、図３に示すように、ＤｏＳ攻撃として識別されたパケットの情報と、各攻撃パケットに対してどのような対策を実施するのかについての情報とを格納する。
【００４９】
条件管理ＤＢ１００７は、図４に示すように、ＤｏＳ攻撃として識別されたパケットの情報と、その攻撃パケットについての現状データと、その攻撃パケットに対する対策についての単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件とを格納する。
【００５０】
なお、以下に説明する具体的な処理では、ＤｏＳ攻撃対策装置は、自装置の備える条件管理ＤＢ１００７に格納される単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件の内、単独中断条件と終了条件のみを使用することを想定しているが、これはあくまで一例に過ぎない。
【００５１】
この条件管理ＤＢ１００７に格納される現状データについては、転送されてくる攻撃パケットに応じて逐次更新されていくことになる。また、単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件については、例えば、ＤｏＳ攻撃を検知したＤｏＳ攻撃対策装置が作成して、それを各装置および集中管理装置４０１に配付したり、ＤｏＳ攻撃の監視を始める際の各種設定を行うときに、いずれかのＤｏＳ攻撃対策装置が設定して、それを各装置および集中管理装置４０１に配付することなどにより格納されることになる。
【００５２】
監視対象ＤＢ１００６は、ＤｏＳ攻撃対策を中断したパケットを監視対象として、図５に示すように、その監視パケットについての現状データと、その監視パケットに対する対策についての単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件とを格納する。
【００５３】
なお、以下に説明する具体的な処理では、ＤｏＳ攻撃対策装置は、自装置の備える監視対象ＤＢ１００６に格納される単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件の内、単独復帰条件のみを使用することを想定しているが、これはあくまで一例に過ぎない。
【００５４】
この監視対象ＤＢ１００６に格納される現状データについては、転送されてくる監視パケットに応じて逐次更新されていくことになる。また、単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件については、ＤｏＳ攻撃対策を中断したときに、条件管理ＤＢ１００７から移行されることで格納されることになる。
【００５５】
このように構成されるＤｏＳ攻撃対策装置は、ＤｏＳ攻撃が発生するまでは、ネットワークインターフェイス部１０００でパケットを受信すると、パケット転送処理部１００１で転送のための処理を行い、再びネットワークインターフェイス部１０００へ送出する処理を行っている。
【００５６】
この処理を行っている際に、ＤｏＳ攻撃検知・受信部１００４において、ＩＤＳ（Intrusion Detection System）や本発明者等が出願した特許文献１，２に記載された技術が動作していることで装置単体でＤｏＳ攻撃を検知したり、他装置で検知されたＤｏＳ攻撃の情報を受信すると、ＤｏＳ攻撃パケットの対策処理を行い始める。
【００５７】
このＤｏＳ攻撃パケット対策処理では、ネットワークインターフェイス部１０００で受信したパケットを、攻撃パケット処理部１００２において攻撃パケットとして処理すべきか否かを判別し、攻撃パケットとして処理すべきパケットであれば転送の制限、遮断を行い、転送すべきパケットがある場合には、パケット転送処理部１００１がネットワークインターフェイス部１０００へ送出することで実現する。
【００５８】
ここで、ＤｏＳ攻撃検知・受信部１００４は、図６の処理フローに示すように、ＤｏＳ攻撃を検知するか、他の装置で検知したＤｏＳ攻撃の情報を受け取ると（ステップ１０）、ＤｏＳ攻撃の識別情報や対策方法などを図３に示すようなデータ構造を持つ攻撃パケット情報ＤＢ１００５へ登録するとともに（ステップ１１）、図４に示すような条件管理ＤＢ１００７へ、ＤｏＳ攻撃の中断、終了、復帰の条件を登録するように処理することになる（ステップ１２）。
【００５９】
図７に、パケット転送処理部１００１の実行する処理フローの一例を図示し、図８に、攻撃パケット処理部１００２の実行する処理フローの一例を図示し、図９に、監視部１００３の実行する処理フローの一例を図示し、図１０に、集中管理装置指示受信部１００８の実行する処理フローの一例を図示する。
【００６０】
次に、これらの処理フローに従って、ＤｏＳ攻撃対策装置の実行する処理について詳細に説明する。
【００６１】
パケット転送処理部１００１は、図７の処理フローに示すように、先ず最初に、ステップ２０で、ネットワークインターフェイス部１０００からパケットを受信すると、続くステップ２１で、その受信したパケットが攻撃パケット情報ＤＢ１００５に登録されているＤｏＳ攻撃パケットとして対策すべきパケットであるのか否かを判断する。
【００６２】
この判断処理に従って、ＤｏＳ攻撃パケットとして対策すべきであることを判断する場合には、ステップ２２に進んで、攻撃パケット処理部１００２へ転送し、一方、ＤｏＳ攻撃パケットとして対策すべきでないことを判断する場合には、ステップ２３に進んで、受信したパケットが監視対象ＤＢ１００６に登録されている監視対象のパケットであるのか否かを判断する。
【００６３】
この判断処理に従って、監視対象のパケットであることを判断する場合には、ステップ２４に進んで、ネットワークインターフェイス部１０００へパケットを送出する。続いて、ステップ２５で、パケットの転送量、転送の継続時間などを監視対象ＤＢ１００６へ登録し、続くステップ２６で、集中管理装置４０１へも同じデータを送信して、処理を終了する。
【００６４】
一方、ステップ２３の判断処理に従って、受信したパケットが監視対象のパケットでないことを判断する場合には、ステップ２７に進んで、ネットワークインターフェイス部１０００へパケットを送出して、処理を終了する。
【００６５】
このパケット転送処理部１００１の処理を受けて、攻撃パケット処理部１００２は、図８の処理フローに示すように、先ず最初に、ステップ３０で、パケット転送処理部１００１よりＤｏＳ攻撃パケットとして対策すべきパケットを受信し、続くステップ３１で、攻撃パケット情報ＤＢ１００５に格納されている対策内容に基づき、そのパケットについてパケット転送の制限や遮断を実施する。
【００６６】
続いて、ステップ３２で、転送を制限したパケット量、遮断したパケット量、転送したパケット量などを条件管理ＤＢ１００７へ現状データとして登録し、続くステップ３３で、集中管理装置４０１へも同じデータを送信する。
【００６７】
続いて、ステップ３４で、転送するパケット量がある場合には、ネットワークインターフェイス部１０００へその分のパケットを送出して、処理を終了する。
【００６８】
このようにして、パケット転送処理部１００１の処理に従って、監視対象ＤＢ１００６に監視パケットについての現状データが格納されるとともに、攻撃パケット処理部１００２の処理に従って、条件管理ＤＢ１００７に攻撃パケットについての現状データが格納されることになる。
【００６９】
これを受けて、監視部１００３は、パケットの転送とは独立に、パケットの転送が実行された際に取得した現状データと条件管理ＤＢ１００７に登録されている単独中断条件との比較により、単独中断条件が成立しているのかどうかを検査して、単独中断条件が成立している場合には、対策を中断させる。
【００７０】
そして、監視部１００３は、パケットの転送とは独立に、パケットの転送が実行された際に取得した現状データと条件管理ＤＢ１００７に登録されている終了条件との比較により、終了条件が成立しているのかどうかを検査して、終了条件が成立している場合には、終了条件が成立したことを集中管理装置４０１へ通知する。なお、対策の終了については、あくまで、集中管理装置４０１からの指示に従って行うことになるので、終了条件が成立している場合でも、対策を終了させるようなことはしない。
【００７１】
さらに、監視部１００３は、パケットの転送とは独立に、パケットの転送が実行された際に取得した現状データと監視対象ＤＢ１００６に登録されている単独復帰条件との比較により、単独復帰条件が成立しているかどうかを検査し、単独復帰条件が成立している場合には、対策を復帰させる。
【００７２】
すなわち、監視部１００３は、図９の処理フローに示すように、ステップ４０で、条件管理ＤＢ１００７の検査を実施し、続くステップ４１で、単独中断条件が成立しているのかどうかを判断する。
【００７３】
この判断処理に従って、単独中断条件が成立した状態になっていることを判断する場合には、ステップ４２に進んで、該当する対策を中断すると共に、続くステップ４３で、該当する条件管理ＤＢ１００７のデータを監視対象ＤＢ１００６へ移行し、攻撃対策は実施しないでパケットの通過のみを監視する状態に変更する。
【００７４】
一方、ステップ４１の判断処理に従って、単独中断条件が成立した状態になっていないことを判断する場合には、ステップ４４に進んで、終了条件が成立しているのかどうかを調べ、終了条件が成立していた場合には、ステップ４５に進んで、終了条件が成立したことを集中管理装置４０１へ通知し、終了条件が成立してない場合には、この通知処理を省略する。
【００７５】
また、これと平行して、ステップ４６で、監視対象ＤＢ１００６の検査を実施し、続くステップ４７で、単独復帰条件が成立しているのかどうかを判断する。
【００７６】
この判断処理に従って、単独復帰条件が成立した状態になっていることを判断する場合には、ステップ４８に進んで、該当する対策を再開（復帰）し、続くステップ４９で、該当する監視対象ＤＢ１００６のデータを条件管理ＤＢ１００７へ移行する。そして、単独復帰条件が成立していない場合には、この復帰処理を省略する。
【００７７】
このようにして、監視部１００３の処理に従って、ＤｏＳ攻撃対策装置内に、ＤｏＳ攻撃の情報、対策の方法、現状データなどを保持したまま、対策の中断、復帰を単独装置で実施することを実現するとともに、対策の終了については、単独装置で実施せずに、対策の終了条件が成立したことを集中管理装置４０１へ通知するのである。
【００７８】
上述したように、パケット転送処理部１００１は、監視対象ＤＢ１００６に監視パケットについての現状データを格納するとともに、それを集中管理装置４０１へ送出し、また、攻撃パケット処理部１００２は、条件管理ＤＢ１００７に攻撃パケットについての現状データを格納するとともに、それを集中管理装置４０１へ送出する。
【００７９】
これを受けて、集中管理装置４０１は、対策の中断、終了、復帰を判断して、各ＤｏＳ攻撃対策装置へ通知してくる。
【００８０】
この通知を受けて、集中管理装置指示受信部１００８は、図１０の処理フローに示すように、先ず最初に、ステップ５０で、集中管理装置４０１からの指示を受信し、続くステップ５１で、その指示が対策の中断を示しているのか否かを判断する。
【００８１】
この判断処理に従って、集中管理装置４０１からの指示が対策の中断を示していることを判断する場合には、ステップ５２に進んで、対策を中断し、続くステップ５３で、該当する条件管理ＤＢ１００７のデータを監視対象ＤＢ１００６へ移行して、処理を終了する。
【００８２】
一方、ステップ５１の判断処理に従って、集中管理装置４０１からの指示が対策の中断を示していないことを判断する場合には、ステップ５４に進んで、その指示が対策の終了を示しているのか否かを判断する。
【００８３】
この判断処理に従って、集中管理装置４０１からの指示が対策の終了を示していることを判断する場合には、ステップ５５に進んで、対策を終了し、続くステップ５６で、該当する条件管理ＤＢ１００７のデータを削除して、処理を終了する。
【００８４】
一方、ステップ５４の判断処理に従って、集中管理装置４０１からの指示が対策の終了を示していないことを判断するときには、ステップ５７に進んで、その指示が対策の復帰を示しているのか否かを判断する。
【００８５】
この判断処理に従って、集中管理装置４０１からの指示が対策の復帰を示していることを判断する場合には、ステップ５８に進んで、対策を復帰し、続くステップ５９で、該当する監視対象ＤＢ１００６のデータを条件管理ＤＢ１００７へ移行して、処理を終了する。
【００８６】
このようにして、集中管理装置指示受信部１００８の処理に従って、集中管理装置４０１からの指示に従って、対策の中断、終了、復帰を実施することを実現するのである。
【００８７】
次に、集中管理装置４０１について説明する。
【００８８】
図１１に、集中管理装置４０１の装置構成例を図示する。
【００８９】
この図１１に示すように、集中管理装置４０１は、対策状況管理部２００１、連携装置管理ＤＢ２００２、状態移行管理部２００３、ＤｏＳ攻撃対策装置情報ＤＢ２００４を備える。
【００９０】
連携装置管理ＤＢ２００２は、あるサーバに対するＤｏＳ攻撃が発生した際に、本発明者等が出願した特許文献１，２に記載された技術などに従って、複数の装置でそれぞれ対策を実施することが決定される場合に、対策状況管理部２００１により作成されるＤＢであり、図１２に示すように、攻撃パケットの識別情報に対応付けて対策装置の識別情報を記録することで、その攻撃パケットに対して、どの装置が対策を実施しているのかを記録する。
【００９１】
ＤｏＳ攻撃対策装置情報ＤＢ２００４は、図１３に示すように、攻撃パケットや監視パケットの情報と、そのＤｏＳ攻撃対策を実施している装置の情報と、その装置の動作状態（対策中、対策中断中、対策終了などの情報）と、そのパケットについての現状データと、その攻撃パケットに対する対策についての単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件とを格納する。
【００９２】
なお、以下に説明する具体的な処理では、集中管理装置４０１は、ＤｏＳ攻撃対策装置情報ＤＢ２００４に格納される単独中断条件・総合中断条件・単独復帰条件・総合復帰条件・終了条件の内、総合中断条件と総合復帰条件と終了条件のみを使用することを想定しているが、これはあくまで一例に過ぎない。
【００９３】
図１４に、対策状況管理部２００１の実行する処理フローの一例を図示し、図１５に、状態移行管理部２００３の実行する処理フローの一例を図示する。
【００９４】
次に、これらの処理フローに従って、集中管理装置４０１の実行する処理について詳細に説明する。
【００９５】
対策状況管理部２００１は、図１４の処理フローに示すように、ステップ６０で、ＤｏＳ攻撃対策装置からＤｏＳ攻撃の識別情報と対策実施装置の情報とを受信すると、続くステップ６１で、その内容を連携装置管理ＤＢ２００２へ登録する。
【００９６】
また、ステップ６２で、状態移行管理部２００３からＤｏＳ攻撃対策の終了情報を受信すると、続くステップ６３で、該当するＤｏＳ攻撃情報を連携装置管理ＤＢ２００２から削除する。
【００９７】
一方、状態移行管理部２００３は、図１５の処理フローを実行することで、複数のＤｏＳ攻撃対策装置からの情報を受信し、対策の総合中断、総合復帰、終了を判断して、各ＤｏＳ攻撃対策装置に対して指示を発行する。
【００９８】
すなわち、状態移行管理部２００３は、図１５の処理フローに示すように、先ず最初に、ステップ７０で、各ＤｏＳ攻撃対策装置から転送、遮断、制限などをしたパケットの数量などを受信する。
【００９９】
続いて、ステップ７１で、この受信した情報をＤｏＳ攻撃対策装置情報ＤＢ２００４へ登録すると共に、ＤｏＳ攻撃対策装置情報ＤＢ２００４に登録されている総合中断条件、終了条件、総合復帰条件が成立しているか否かを判断する。
【０１００】
続いて、ステップ７２で、ステップ７１の判断処理に従って、ＤｏＳ攻撃対策装置情報ＤＢ２００４に登録されている総合中断条件が成立したのか否かを判断して、総合中断条件が成立したことを判断するときには、ステップ７３に進んで、連携装置管理ＤＢ２００２から、成立した条件に関わる一群のＤｏＳ攻撃対策装置を抽出する。
【０１０１】
続いて、ステップ７４で、その抽出した各ＤｏＳ攻撃対策装置に対して、対策の中断を指示し、続くステップ７５で、ＤｏＳ攻撃対策装置情報ＤＢ２００４の動作状態を更新して、処理を終了する。
【０１０２】
一方、ステップ７２で、ＤｏＳ攻撃対策装置情報ＤＢ２００４に登録されている総合中断条件が成立していなことを判断する場合には、ステップ７６に進んで、ＤｏＳ攻撃対策装置情報ＤＢ２００４に登録されている対策の終了条件が成立したのか否かを判断して、終了条件が成立したことを判断するときには、ステップ７７に進んで、連携装置管理ＤＢ２００２から、成立した条件に関わる一群のＤｏＳ攻撃対策装置を抽出する。
【０１０３】
続いて、ステップ７８で、その抽出した各ＤｏＳ攻撃対策装置に対して、対策の終了を指示し、続くステップ７５で、ＤｏＳ攻撃対策装置情報ＤＢ２００４の動作状態を更新して、処理を終了する。
【０１０４】
一方、ステップ７６で、ＤｏＳ攻撃対策装置情報ＤＢ２００４に登録されている終了条件が成立していなことを判断する場合には、ステップ７９に進んで、ＤｏＳ攻撃対策装置情報ＤＢ２００４に登録されている総合復帰条件が成立したのか否かを判断して、総合復帰条件が成立したことを判断するときには、ステップ８０に進んで、連携装置管理ＤＢ２００２から、成立した条件に関わる一群のＤｏＳ攻撃対策装置を抽出する。
【０１０５】
続いて、ステップ８１で、その抽出した各ＤｏＳ攻撃対策装置に対して、対策の復帰を指示し、続くステップ７５で、ＤｏＳ攻撃対策装置情報ＤＢ２００４の動作状態を更新して、処理を終了する。
【０１０６】
このようにして、集中管理装置４０１は、複数のＤｏＳ攻撃対策装置が一群となってＤｏＳ攻撃に対して対策を実施しているときに、総合的な観点から、その対策を中断してよいのか、終了してよいのか、一度中断した対策を復帰させる必要があるのかを判断して、その判断結果に基づいて、一群となってＤｏＳ攻撃対策を実施している装置に対して、対策の中断、復帰、終了を指示するように処理するのである。
【０１０７】
対策の総合中断、総合復帰、終了を判断するための現状データとしては、例えば、各装置で収集した現状データを時系列的に保存して、その時間遷移などにより判断する。例えば、装置Ａと装置Ｂとから攻撃パケット数が集中管理装置４０１に送られてきている場合に、装置Ａの攻撃パケット数と装置Ｂの攻撃パケット数との両方がピーク時の１％以下になった場合には、総合中断の指示を発行するように判断するのである。また、例えば、装置Ａの攻撃パケット数と装置Ｂの攻撃パケット数との加算値を求めて、その加算値の累積数が一定値に収束している場合には、総合中断の指示を発行するように判断するようなこともある。
【０１０８】
上述したように、ＤｏＳ攻撃対策装置は、自装置単独で、攻撃の対策の終了条件に合致する状態になったのか否かを判断して、集中管理装置４０１に対して、その旨を通知するようにしている。
【０１０９】
これから、集中管理装置４０１は、一群となってＤｏＳ攻撃対策を実施している全ての装置から、この終了条件の合致の通知がある場合に、対策の終了を判断するようにすることもある。
【０１１０】
また、上述したように、ＤｏＳ攻撃対策装置は、自装置単独で、攻撃の対策の中断条件に合致する状態になったのか否かを判断して、攻撃の対策の中断条件に合致する状態になった場合には対策を中断するようにしている。そして、ＤｏＳ攻撃対策装置は、自装置単独で、攻撃の対策の復帰条件に合致する状態になったのか否かを判断して、攻撃の対策の復帰条件に合致する状態になった場合には対策を復帰するようにしている。
【０１１１】
これらの情報についても、集中管理装置４０１に対して通知するようにして、この通知情報を受けて、集中管理装置４０１は、例えば、一台の装置が対策の復帰を通知してくる場合には、一群となってＤｏＳ攻撃対策を実施している他の装置に対して、対策の復帰を指示するというような方法を用いることも可能である。
【図面の簡単な説明】
【０１１２】
【図１】複数のＤｏＳ攻撃対策装置による被攻撃サーバ保護の装置接続例の説明図である。
【図２】ＤｏＳ攻撃対策装置の構成を表す図である。
【図３】攻撃パケット情報ＤＢの構成を表す図である。
【図４】条件管理ＤＢの構成を表す図である。
【図５】監視対象ＤＢの構成を表す図である。
【図６】ＤｏＳ攻撃検知・受信部の処理フローである。
【図７】パケット転送処理部の処理フローである。
【図８】攻撃パケット処理部の処理フローである。
【図９】監視部の処理フローである。
【図１０】集中管理装置指示受信部の処理フローである。
【図１１】集中管理装置の構成を表す図である。
【図１２】連携装置管理ＤＢの構成を示す図である。
【図１３】ＤｏＳ攻撃対策装置情報ＤＢの構成を示す図である。
【図１４】対策状況管理部の処理フローである。
【図１５】状態移行管理部の処理フローである。
【符号の説明】
【０１１３】
１０１〜１０４    ＤｏＳ攻撃端末
２０１〜２０２    被ＤｏＳ攻撃サーバ
３０１〜３０６    ＤｏＳ攻撃対策装置
４０１            集中管理装置
１０００          ネットワークインターフェイス部
１００１          パケット転送処理部
１００２          攻撃パケット処理部
１００３          監視部
１００４          ＤｏＳ攻撃検知・受信部
１００５          攻撃パケット情報ＤＢ
１００６          監視対象ＤＢ
１００７          条件管理ＤＢ
１００８          集中管理装置指示受信部
２００１          対策状況管理部
２００２          連携装置管理ＤＢ
２００３          状態移行管理部
２００４          ＤｏＳ攻撃対策装置情報ＤＢ
【図１】
2005303425.tif 000003
【図２】
2005303425.tif 000004
【図３】
2005303425.tif 000005
【図４】
2005303425.tif 000006
【図５】
2005303425.tif 000007
【図６】
2005303425.tif 000008
【図７】
2005303425.tif 000009
【図８】
2005303425.tif 000010
【図９】
2005303425.tif 000011
【図１０】
2005303425.tif 000012
【図１１】
2005303425.tif 000013
【図１２】
2005303425.tif 000014
【図１３】
2005303425.tif 000015
【図１４】
2005303425.tif 000016
【図１５】
2005303425.tif 000017