(57)【特許請求の範囲】
【請求項１】
インターネットからルータ及び第１サブネットを介してサーバに至るまでの通信経路に関し、読出／書込可能な通信傾向記憶手段内の通信傾向データに基づいて、前記サーバ宛の大量の要求パケットから前記サーバを防御するための防御装置であって、
前記サーバ宛の前記第１サブネット上の要求パケットと応答パケットとの各々のヘッダ情報内の送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号と、当該応答パケットの応答時間の平均値及び標準偏差とを含む前記通信傾向データを前記通信傾向記憶手段に書き込む手段と、
前記第１サブネット上での前記サーバに関する要求パケットに対応する応答パケットの応答時間を検査し、この応答時間が前記通信傾向記憶手段内の前記平均値に前記標準偏差の２倍を加えた値に収まらない場合に検知される当該応答時間の遅れに基づいて、要求パケットの通信量を抑制するための命令であって当該要求パケットのヘッダ情報内の送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号と、当該要求パケットの通過量の指定とを含む前記命令を前記ルータ宛に第２サブネットを介して送出する手段を備えており、
前記ルータは、
抑制対象の要求パケットを特定するためのフィルタリングルールであって、前記サーバ宛の要求パケットのヘッダ情報内の送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号を含む前記フィルタリングルールを読出／書込可能に記憶するフィルタリングルール記憶手段と、
前記防御装置から前記第２サブネットを介して受けた前記命令に基づいて、この命令に含まれる送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号を前記フィルタリングルールとして前記フィルタリングルール記憶手段に書き込む手段と、
前記フィルタリングルール記憶手段から読み出したフィルタリングルールと、前記防御装置から前記第２サブネットを介して受けた前記命令とに基づいて、前記インターネットから取り込まれて前記ルータを通過して前記第１サブネットに送出される要求パケットに関し、当該ルータ内の通過量を抑制する通過量抑制手段と、
を備え、
前記通過量抑制手段は、
前記要求パケットのヘッダ情報と当該要求パケットのペイロード情報内のヘッダ情報を検査し、上位レイヤ・プロトコルにＴＣＰ（トランスミッション・コントロール・プロトコル）又はＵＤＰ（ユーザ・データグラム・プロトコル）が利用される場合には、当該要求パケットのＩＰ（インターネット・プロトコル）ヘッダの識別子フィールドとＤＦ（ドント・フラグメント）ビットとに基づいて、当該上位レイヤ・プロトコルについて連続した要求パケットか否かを区別する手段、
を備えたことを特徴とする防御装置。
【請求項２】
請求項１に記載の防御装置において、
前記応答時間の検査は、前記第１サブネット上での各パケットのヘッダ情報に基づいた、前記サーバに関する要求パケットと応答パケットとの特定を含むことを特徴とする防御装置。
【請求項３】
インターネットからルータ及び第１サブネットを介してサーバに至るまでの通信経路に関し、読出／書込可能な通信傾向記憶手段内の通信傾向データに基づいて、前記サーバ宛の大量の要求パケットから前記サーバを防御するための防御装置に用いられる防御用プログラムであって、
前記防御装置のコンピュータを、
前記サーバ宛の前記第１サブネット上の要求パケットと応答パケットとの各々のヘッダ情報内の送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号と、当該応答パケットの応答時間の平均値及び標準偏差とを含む前記通信傾向データを前記通信傾向記憶手段に書き込む手段、
前記第１サブネット上で前記サーバに関する要求パケットに対応する応答パケットの応答時間を検査し、この応答時間が前記通信傾向記憶手段内の前記平均値に前記標準偏差の２倍を加えた値に収まらない場合に検知される当該応答時間の遅れに基づいて、要求パケットの通過量を抑制するための命令であって当該要求パケットのヘッダ情報内の送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号と、当該要求パケットの通過量の指定とを含む前記命令を前記ルータ宛に第２サブネットを介して送出する手段、として機能させ、
前記ルータは、
抑制対象の要求パケットを特定するためのフィルタリングルールであって、前記サーバ宛の要求パケットのヘッダ情報内の送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号を含む前記フィルタリングルールを読出／書込可能に記憶するフィルタリングルール記憶手段と、
前記防御装置から前記第２サブネットを介して受けた前記命令に基づいて、この命令に含まれる送信元アドレス、宛先アドレス、上位レイヤ・プロトコル、送信元ポート番号及び宛先ポート番号を前記フィルタリングルールとして前記フィルタリングルール記憶手段に書き込む手段と、
前記フィルタリングルール記憶手段から読み出したフィルタリングルールと、前記防御装置から前記第２サブネットを介して受けた前記命令とに基づいて、前記インターネットから取り込まれて前記ルータを通過して前記第１サブネットに送出される要求パケットに関し、当該ルータ内の通過量を抑制する通過量抑制手段と、
を備え、
前記通過量抑制手段は、
前記要求パケットのヘッダ情報と当該要求パケットのペイロード情報内のヘッダ情報を検査し、上位レイヤ・プロトコルにＴＣＰ（トランスミッション・コントロール・プロトコル）又はＵＤＰ（ユーザ・データグラム・プロトコル）が利用される場合には、当該要求パケットのＩＰ（インターネット・プロトコル）ヘッダの識別子フィールドとＤＦ（ドント・フラグメント）ビットとに基づいて、当該上位レイヤ・プロトコルについて連続した要求パケットか否かを区別する手段、
を備えた防御用プログラム。
【請求項４】
請求項３に記載の防御用プログラムにおいて、
前記応答時間の検査は、前記第１サブネット上での各パケットのヘッダ情報に基づいた、前記サーバに関する要求パケットと応答パケットとの特定を含むことを特徴とする防御用プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続されたサーバ装置のセキュリティに係り、特に、サーバ装置に対する大量の処理要求を検知し、サーバ装置をリソースの枯渇から防御するための防御装置及びプログラムに関する。
【０００２】
【従来の技術】
ネットワークに接続されたサーバに関し、攻撃者が異常なパケット又はセキュリティホールを突くようなパケットを送付する侵入攻撃に対抗する技術として、侵入検知システムが知られている。
【０００３】
図７はこの種の侵入検知システムを適用したネットワーク構成を示す模式図である。この侵入検知システム１は、常時、攻撃者（以下、攻撃エージェントともいう）２からインターネット３及びルータ４を介して通信用サブネット５上のサーバ６に送られる要求パケットを同サブネット５上の一方向ルータ７を介して収集している。
【０００４】
そして、侵入検知システム１は、要求パケットのペイロード情報を解析し、侵入検知ルールデータベース８を参照しながら侵入・攻撃を行なう要求パケットを検知すると、その要求パケットの通過を阻止するための要求パケット阻止命令を制御用サブネット９を介してルータ４に送出する。
【０００５】
しかしながら、係る侵入検知システム１は、分散サービス不能攻撃など正規のアクセス手続きを用いてサーバ６のリソースを枯渇させるような攻撃、又は攻撃ではないが大量の処理要求（以下、攻撃等という）には無力な性質をもつ。
【０００６】
例えば、分散サービス不能攻撃は、インターネット２上に散在した複数の攻撃エージェント２が、起動者から攻撃の起動命令を受けると、攻撃対象のサーバ６に対して攻撃パケットを送出する。但し、攻撃パケットの到着時刻には、攻撃の起動者と各攻撃エージェント２との間の起動命令の伝送時間や、各攻撃エージェント２と攻撃対象のサーバ６との間の攻撃パケットの伝送時間の違いにより、ばらつきが生じている。
【０００７】
さて、各攻撃エージェント２は、初回の攻撃パケットを送信すると、以後、連続的に攻撃パケットを送信する。このため、サーバ６側では、図８に示すように、攻撃開始状態Ｓ１では少量のパケットが到着し、過渡状態Ｓ２では殆どの攻撃エージェントからの攻撃パケットが到着し始め、飽和状態Ｓ３では、大量のパケットが到着して負荷が最大になってしまう。
【０００８】
このような飽和状態Ｓ３においては、サーバ６が全体としては動作中でも、特定のポートに対して提供するサービスが停止しているサービス不能状態となっている。
【０００９】
【発明が解決しようとする課題】
以上説明したように、既存の侵入検知システム１は、正規のアクセス手続きを用いた攻撃等に対しては無力な性質をもっている。
【００１０】
また、サーバ６にホストスキャナを導入して自サーバ６の異常を検出するとしても、正規のアクセス手続きによる負荷の高い状態なので、自サーバ６が異常であるとは判断できない。
【００１１】
また、外部ネットワークからは、サーバ６への要求に対する応答が無いため、サーバ６が異常状態である旨を判別可能であるが、内部ネットワークからは、外部ネットワークからのアクセスにおいて利用される同じリソースを用いてサーバ６に直接アクセスしない限り、サーバ６が異常状態である旨を判別できない。
【００１２】
一方、サーバ６側のリソースの量を増加するとしても、攻撃エージェント２側の方が極めて容易にリソースの量を増大できるため、本質的な解決にはならない。
【００１３】
本発明は上記実情を考慮してなされたもので、ネットワークを介してサーバに送信される大量の要求パケットに対し、サーバ側のリソースの枯渇を阻止し得る防御装置及びプログラムを提供することを特徴とする。
【００１４】
【課題を解決するための手段】
第１の発明は、サーバ宛の大量の要求パケットから前記サーバを防御するための防御システムであって、前記サーバが接続されたサブネット上での前記サーバに関する要求パケットに対応する応答パケットの応答時間を検査し、前記応答時間の遅れに基づいて、要求パケットの通信量を抑制する防御システムである。
従って、ネットワークを介してサーバに送信される大量の要求パケットに対し、サーバ側のリソースの枯渇を阻止することができる。
【００１５】
第２の発明は、外部ネットワークからルータ及び第１サブネットを介してサーバに至るまでの通信経路に関し、前記サーバ宛の大量の要求パケットから前記サーバを防御するための防御装置であって、前記第１サブネット上で前記サーバに関する要求パケットに対応する応答パケットの応答時間を検査し、前記応答時間の遅れに基づいて、要求パケットの通過量を抑制するための命令を前記ルータ宛に前記第２サブネットを介して送出する防御装置である。
従って、第１の発明と同様の作用を奏することができる。
【００１６】
第３の発明は、第２の発明において、前記応答時間の検査としては、前記第１サブネット上での各パケットのヘッダ情報に基づいた、前記サーバに関する要求パケットと応答パケットとの特定を含む防御装置である。
従って、第１の発明と同様の作用を得ることに加え、従来とは異なり、ヘッダ情報に基づく処理であるので、高速且つ低負荷で実行することができる。
【００１７】
なお、第１の発明は「システム」と表現され、第２，第３の発明は「装置」と表現されたが、これに限らず、それぞれ他の表現を用いて表してもよい。例えば、第１の発明は「装置」、「方法」又は「プログラム」と表現してもよく、第２，第３の発明は「方法」又は「プログラム」と表現してもよい。
【００１８】
【発明の実施の形態】
以下、本発明の一実施形態について図面を参照しながら説明する。
図１は本発明の一実施形態に係る防御システムを適用したネットワーク構成を示す模式図であり、前述した図面と同一部分には同一符号を付して説明する。
【００１９】
この防御システムは、インターネット３等の外部ネットワーク上の攻撃エージェント２からの攻撃に対し、内部ネットワークの通信用サブネット５上のサーバ６を保護するものである。
【００２０】
但し、従来とは異なり、要求パケットのペイロードに基づく侵入検知機能を持つものではなく、後述するように、要求パケット及び応答パケットの各ヘッダ情報に基づいて、要求パケットの通過量を抑制するものである。
【００２１】
具体的には、防御システムは、境界ルータ１０、一方向ルータ７、通信傾向データベース２０及び防御装置３０を備えている。なお、防御システムは、既存の侵入検知システム１の機能を含んでもよく、この場合、防御装置３０は侵入検知システム１の侵入検知機能を含み、通信傾向データベース２０は侵入検知ルールデータベース８を含む。但し、何れにしても、防御システムは、既存の侵入検知システムとは独立して動作する。
【００２２】
さて、防御システムの境界ルータ１０は、図２に示すように、フィルタリングルールＤＢ１１に接続されたフィルタリングエンジン１２が外部インタフェース１３を介して外部ネットワークとしてのインターネット３に接続される一方、内部インタフェース１４を介して内部ネットワークとしての通信用サブネット５及び制御用サブネット９に接続されている。
【００２３】
フィルタリングルールＤＢ１１は、フィルタリングエンジン１２から読出／書込可能なデータベースであり、インターネット上の攻撃エージェント２から通信用サブネット５上のサーバ６宛に送信された要求パケットに関し、境界ルータ１０を通過する量を命令で指定された量以下に抑制する観点から、抑制対象の要求パケットを特定するためのフィルタリングルールｒを記憶する機能をもっている。
【００２４】
ここで、フィルタリングルールｒは、サーバ６宛の要求パケットのヘッダ情報であり、例えばヘッダ情報内の、送信元アドレス（攻撃者装置）、宛先アドレス（サーバ）、上位レイヤ・プロトコル、送信元ポート番号（攻撃者装置）、宛先ポート番号（サーバ）などである。
【００２５】
フィルタリングエンジン１２は、防御装置３０から制御用サブネット９を介して受けたパケット通過量指定指令に基づいて、フィルタリングルールＤＢ１１に書込／読出処理を行ない、インターネット３から取り込まれて境界ルータ１０を通過して通信用サブネット５に送出される要求パケットに関し、境界ルータ１０内の通過量を抑制するものである。
【００２６】
なお、フィルタリングエンジン１２は、要求パケットのヘッダ情報とそのペイロード情報内のヘッダ情報を検査すればよい。ここで、上位レイヤ・プロトコルにＴＣＰ（Transmission Control Protocol）やＵＤＰ（User Datagram Protocol）が利用されると、上位のペイロード情報が断片化してしまい、断片化された先頭の要求パケットのみにしかＴＣＰのヘッダ情報が残らない場合がある。この場合は、ＩＰ（Internet Protocol）ヘッダの識別子フィールドと、ＤＦ（Don’t Fragment）ビットとに基づいて、上位レイヤ・プロトコルについて連続した要求パケットか否かを区別すればよい。従って、フィルタリング時に上位レイヤ・プロトコルでの設定情報（ポート番号など）を利用する場合は、その設定情報をもフィルタリングルールＤＢ１１に書込む必要がある。
【００２７】
また、フィルタリングエンジン１２は、フィルタリングルールＤＢ１１を参照する構成に限らず、頻繁に利用するルールセットを自己のメモリ（図示せず）にキャッシュして高速化を図ってもよく、あるいは他の高速化手法を用いてもよい。
【００２８】
なお、本実施形態は、境界ルータ１０がインターネット３からの大量のパケットの通過量を抑制する場合を示している。すなわち、内部の通信用サブネット５からの大量のパケットの通過量を抑制する場合には、同様に、内部専用の境界ルータ（図示せず）を設ければよい。
【００２９】
一方向ルータ７は、前述同様のものであり、通信用サブネット５上の各パケットを防御装置３０に転送し、防御装置３０からのパケットの通過を阻止する旨の一方向の転送機能を有している。但し、一方向ルータ７は、侵入検知システム１の隠蔽用のものであり、本発明の必須要件ではないので、省略してもよい。
【００３０】
通信傾向データベース２０は、防御装置３０から読出／書込可能であり、通信用サブネット５上におけるサーバ６宛の要求パケットとその応答パケットとの間の通信傾向を示す通信傾向データが記憶されるものである。
【００３１】
ここで、通信傾向データとしては、例えば、次の［１］〜［５］の適宜な組合せが使用可能となっている。
［１］  要求パケットのヘッダ情報｛送信元アドレス（攻撃者），宛先アドレス（サーバ），上位レイヤ・プロトコル，送信元ポート番号（攻撃者），宛先ポート番号（サーバ）｝。
［２］  要求パケットに対する応答パケットにおけるヘッダ情報｛送信元アドレス（サーバ），宛先アドレス（攻撃者），上位レイヤ・プロトコル，送信元ポート番号（サーバ），宛先ポート番号（攻撃者）｝。
［３］  上位プロトコル毎に得られた要求パケットに対する応答パケットの応答時間の統計情報（平均値や標準偏差等）。
［４］  上位プロトコル毎に得られた応答パケットのデータ長の統計情報（平均値や標準偏差等）。
なお、通信傾向データベース２０は、侵入検知システム１が併設される場合、簡便性を重視する際には侵入検知ルールデータベース８と同一のデータベースサーバに設ければよく、性能を重視する際には別のデータベースサーバに設ければよい。
【００３２】
一方、防御装置３０は、通信用サブネット５上の各パケットのヘッダ情報を監視することにより、サーバ６への要求パケットの過渡状態Ｓ２を検知する機能と、過渡状態Ｓ２後の飽和状態Ｓ３を脱するためのパケット通過量指定命令を境界ルータ１０宛に制御用サブネット９に出力する機能とをもっている。
【００３３】
ここで、過渡状態Ｓ２を検知する機能としては、例えば、サーバ６の応答パケットの応答時間（又は応答時間に基づく応答回数）が通信傾向データベース２０内の通信傾向データから逸脱するか否かを判定する機能（要求に対する応答の遅れを検知する機能）があればよい。また任意であるが、他に、攻撃パケットに特徴的な部分（例、攻撃用の踏台サイトのアドレス）を含むか否かを判定する機能や、予め登録した使用プロトコル（及び／又は使用ソフトウェア）と使用ポート番号との組合せから逸脱するか否かを判定する機能（使用ポート番号がランダム性の高い場合に攻撃パケットと判定する機能）を付加してもよい。
【００３４】
また、パケット通過量指定命令は、該当する要求パケットの識別用のヘッダ情報（送信元アドレス、宛先アドレス、上位レイヤプロトコル、送信元ポート番号、宛先ポート番号）と、該当する要求パケットの通過量の指定とを含むものである。
【００３５】
なお、防御装置３０は、予めインストールしたプログラムによるソフトウェア構成のみで実現してもよいが、これに限らず、ハードウェア構成及び／又はソフトウェア構成により実現してもよい。
【００３６】
次に、以上のように構成された防御システムの動作を「準備動作」及び「防御動作」の順に説明する。
【００３７】
（準備動作）
防御装置３０は、図３に示すように、通信用サブネット５上の各パケットのうち、サーバ６に関する要求パケットＰ１と応答パケットＰ２との組に関し、各々のパケットのヘッダ情報（ペイロード情報ではない）を通信傾向データベース２０に記憶する。
【００３８】
しかる後、防御装置３０は、記憶内容を分析し、応答パケットＰ２の応答時間とデータ長の各々の統計情報を通信傾向データベース２０に記憶する。
【００３９】
なお、応答時間はプロトコル毎に特徴がある。例えば、単純なリクエスト−レスポンス型のプロトコルの場合、応答時間は瞬時であるが、何らかの計算をサーバ側で行うプロトコルの場合、応答時間は長くなる。
【００４０】
同様に、データ長もプロトコル毎に特徴がある。例えば、応答パケットに関し、ＨＴＴＰ（HyperText Transfer Protocol）やＦＴＰ（File Transfer Protocol）のデータ長は比較的長いが、Ｔｅｌｎｅｔのデータ長はそれほど長くない。
【００４１】
また、ユーザ毎に要求パケットＰ１の内容が偏る。これは、ＨＴＴＰを好むユーザもいれば、Ｔｅｌｎｅｔセッションを好むユーザもいるからである。また、要求パケットＰ１の頻度もユーザ別に偏る。
【００４２】
従って、送信元毎の使用する上位プロトコルの管理も重要である。
【００４３】
以上述べたように、応答パケットの応答時間、データ長、要求パケットの内容には、それぞれ特徴がある。
【００４４】
防御装置３０は、日常的に、これらの特徴を通信傾向データとして通信傾向データベース２０に保管し、適宜、更新する。
【００４５】
防御装置３０は、上述した通信傾向データに基づいて、大量のパケットによる攻撃や、攻撃ではないが大量のパケットを受信するといった過渡状態Ｓ２を判定して検知する。
【００４６】
なお、攻撃等の判定基準としては、一般的には経験により、各パケットの内容がある程度偏った場合と決定できる。しかし経験によらなくとも、要求パケットＰ１の回数に対して応答パケットＰ２の回数が極端に減少した場合、明らかに攻撃を受けたと判定できる。
【００４７】
また、サービス不能攻撃用の攻撃エージェント２は、同一のものが何回も使用される場合が多いので、そのエージェントプログラムが発生する攻撃パケットに特徴的な部分（例、攻撃用踏台サイトのアドレス）をもって攻撃の判定基準とし得る。
【００４８】
また、送信元ポート番号及び宛先ポート番号は、攻撃側が送信者でサーバ６が受信者の場合と、攻撃側が受信者でサーバ６が送信者の場合とで異なる場合（例、ＦＴＰ等）がある。
【００４９】
この場合、使用プロトコルや使用ソフトウェアに応じた使用ポート番号を予め登録しておけばよい。これにより、使用ポート番号がランダム性の高い場合に攻撃パケットである旨の判定基準を作成できる。
【００５０】
（防御動作）
いま、前述したように、通信傾向データベース２０には通信傾向データが保持されており、防御装置３０は、図４に示すように、通信用サブネット５上から一方向ルータ７を介して得られる各パケットのうち、サーバ６宛の要求パケットとその応答パケットとを各々のヘッダ情報に基づいて特定し、監視しているとする（時刻ｔ０）。
【００５１】
このとき、防御装置３０は、図５に示すように、通信用サブネット５上の要求パケットＰ１に対して応答パケットＰ２の応答時間が通信傾向データの応答時間（例、平均値）＋誤差範囲（例、標準偏差の２倍程度）内に収まるか否かを検査し（ＳＴ１）、過渡状態Ｓ２か否かを判定する（ＳＴ２）。
【００５２】
防御装置３０は、判定の結果、過渡状態Ｓ２を検知すると（時刻ｔ１）、要求パケットＰ１の通過量を抑制するためのパケット通過量指定命令を制御用サブネット９を介して境界ルータ１０に送出する（ＳＴ３）。
【００５３】
境界ルータ１０は、このパケット通過量指定命令に基づいて、到着する複数の要求パケットＰ１を個別に遮断又は通過させることにより、通信用サブネット５に送出される要求パケットＰ１の個数をサーバ６が応答可能な程度の個数に抑制する（ＳＴ４；時刻ｔ２）。
【００５４】
なお、境界ルータ１０は、要求パケットＰ１の飽和状態Ｓ３を完全に阻止することが好ましいが、これに限らず、短期間だけ飽和状態Ｓ３にしても迅速に復旧させていればよい（時刻ｔ２＊）。
【００５５】
例えば、サーバ６が長期間停止するのは問題であるが、堅牢といわれるメインフレームでも停止する場合があるので、ＭＴＢＦ（平均ダウン間隔）が長く、ＭＴＴＲ（平均復旧時間）が短ければ、問題無いと見なしている。
【００５６】
いずれにしても、境界ルータ１０による通過量の抑制により、サーバ６に到着する要求パケットＰ１の量が減少するので、サーバ６が応答可能状態を維持する。
【００５７】
その後、防御装置３０は、攻撃等が収束したと判定すると（ＳＴ５）、解除命令を制御用サブネット９を介して境界ルータ１０に送出し、通過量の抑制を解除して通常の状態に復帰させる（ＳＴ６）。
【００５８】
なお、収束の判定基準は、サーバ６の安全性と可用性のトレードオフを考慮して経験的に決定されるが、この例では、境界ルータ１０からの通知に基づき、境界ルータ１０に到着した要求パケットＰ１の個数が最大負荷時の３０％程度に減少した場合には復帰させている。但し、これに限らず、要求パケットＰ１の通過量が通過量指定命令の値よりも低い値になった場合に復帰させるようにしてもよい。
【００５９】
上述したように本実施形態によれば、防御装置３０がサーバ６に関する要求パケットＰ１と対応する応答パケットＰ２との各々のヘッダ情報を検査し、サーバ６から応答パケットＰ２が返信される応答時間の遅れに基づいて、境界ルータ１０における要求パケットＰ１の通過量を抑制するので、ネットワークを介してサーバに送信される大量の要求パケットに対し、サーバ側のリソースの枯渇を阻止することができる。
【００６０】
補足すると、本実施形態は、送信元アドレスやプロトコル毎の応答データ長といったヘッダ情報に基づく検査を行なうが、従来とは異なり、要求パケットＰ１のペイロード情報の検査及び統計解析を行なわない構成により、高速な処理と、少量の記憶領域とを実現している。
【００６１】
また、本実施形態は、サーバ６に対する要求パケットＰ１と応答パケットＰ２とを通過量レベルで対応付ける構成により、従来とは異なり、正常な要求パケットＰ１であっても結果的に攻撃となる要求パケットＰ１を検知できる。
【００６２】
また、本実施形態は、「サーバ６が応答可能となる程度に、攻撃等を防ぐ」という方針により、攻撃等の検知処理をより効率的にしている。
【００６３】
例えば、攻撃を検出して攻撃者の特定を図ると、多大な計算量を要するが、本発明は、攻撃等を防ぐことに特化し、攻撃者を特定しないために、少量のリソースで実施できる。なお、ネットワーク経由の攻撃者の特定は、ＩＰアドレススプーフィング（詐称）などにより、無駄に終わる場合が多い。そこで、本発明では、無駄な特定を行わず、効率化を図っている。
【００６４】
また、境界ルータ１０のフィルタリングルールｒを動的に変更することで、攻撃開始時や、攻撃の収束時に応じて要求パケットの量を変化させることができるので、効率的にサーバを運用することができる。
【００６５】
なお、本実施形態は、例えば図６に示すように、境界ルータ１０が要求パケットＰ１及び応答パケットＰ２を制御用サブネット９にも転送する構成に変形してもよい。
すなわち、特定のネットワーク・トポロジによらず、防御装置３０が各パケットＰ１，Ｐ２を監視でき、パケット通過量指定命令を境界ルータ１０に送信でき、結果として要求パケットＰ１の通過量を抑制できる技術であれば、本発明の範囲に包含される。
【００６６】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００６７】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００６８】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【００６９】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００７０】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００７１】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００７２】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００７３】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【００７４】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【００７５】
【発明の効果】
以上説明したように本発明によれば、ネットワークを介してサーバに送信される大量の要求パケットに対し、サーバ側のリソースの枯渇を阻止できる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る防御システムを適用したネットワーク構成を示す模式図
【図２】同実施形態における境界ルータの構成を示す模式図
【図３】同実施形態における動作を説明するための模式図
【図４】同実施形態における要求パケットの通過量を示す模式図
【図５】同実施形態における動作を説明するためのフローチャート
【図６】同実施形態における変形構成を示す模式図
【図７】従来の侵入検知システムを適用したネットワーク構成を示す模式図
【図８】従来のサーバへの要求パケットの到着量を示す模式図
【符号の説明】
２…攻撃者，攻撃エージェント
３…インターネット
５…通信用サブネット
６…サーバ
７…一方向ルータ
９…制御用サブネット９
１０…境界ルータ
１１…フィルタリングルールＤＢ
１２…フィルタリングエンジン
１３…外部インタフェース
１４…内部インタフェース
２０…通信傾向データベース
３０…防御装置
【図１】
0004585156.tif 000002
【図２】
0004585156.tif 000003
【図３】
0004585156.tif 000004
【図４】
0004585156.tif 000005
【図５】
0004585156.tif 000006
【図６】
0004585156.tif 000007
【図７】
0004585156.tif 000008
【図８】
0004585156.tif 000009