(57)【要約】【課題】ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することを課題とする。【解決手段】異常トラフィック検知装置２０は、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知する。具体的には、異常トラフィック検知装置２０は、特定のトランザクション処理の状態で、意図しないＳＩＰパケットを受信した場合や、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知する。【選択図】        図１
2007267151.tif 000002
【特許請求の範囲】
【請求項１】
ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知する異常トラフィック検知装置であって、
前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手段と、
前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手段と、
前記パケット監視手段により監視されるＳＩＰパケットと前記状態情報取得手段により取得された状態情報とから異常パケットを検知する異常検知手段と、
を備えたことを特徴とする異常トラフィック検知装置。
【請求項２】
前記異常検知手段は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項１に記載の異常トラフィック検知装置。
【請求項３】
前記異常検知手段は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項１または２に記載の異常トラフィック検知装置。
【請求項４】
前記異常検知手段は、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定することを特徴とする請求項１〜３のいずれか一つに記載の異常トラフィック検知装置。
【請求項５】
ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することに適する異常トラフィック検知方法であって、
前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得工程と、
前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視工程と、
前記パケット監視工程により監視されるＳＩＰパケットと前記状態情報取得工程により取得された状態情報とから異常パケットを検知する異常検知工程と、
を備えたことを特徴とする異常トラフィック検知方法。
【請求項６】
前記異常検知工程は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項５に記載の異常トラフィック検知方法。
【請求項７】
前記異常検知方法は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項５または６に記載の異常トラフィック検知方法。
【請求項８】
ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することをコンピュータに実行させる異常トラフィック検知プログラムであって、
前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手順と、
前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手順と、
前記パケット監視手順により監視されるＳＩＰパケットと前記状態情報取得手順により取得された状態情報とから異常パケットを検知する異常検知手順と、
をコンピュータに実行させることを特徴とする異常トラフィック検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知する異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムに関する。
【背景技術】
【０００２】
従来より、悪意のあるユーザが、インターネット上のウェブサーバなどが提供するサービスを妨害する方法として、当該サーバに対して大量のパケットを送信することで、当該サーバの負荷を増加させてサービスを妨害するＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃がある。そして、近年では、ＳＩＰ（Ｓｅｓｓｉｏｎ  Ｉｎｉｔｉａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）を用いたＩＰ電話の普及に伴い、ＳＩＰサーバあるいはＳＩＰクライアントがＤｏＳ攻撃の標的になる恐れが発生している。
【０００３】
そこで、このＤｏＳ攻撃を検知する方法として、Ｓｉｇｎａｔｕｒｅ−ｂａｓｅｄ検出方法（例えば、非特許文献１）とａｎｏｍａｌｙ−ｂａｓｅｄ検出方法（例えば、非特許文献２）などが知られている。
【０００４】
かかるＳｉｇｎａｔｕｒｅ−ｂａｓｅｄ検出方法は、過去の攻撃トラフィックを分析することにより、攻撃検知の基準となるパケットパターンを抽出し、抽出したパケットパターンと攻撃対象とされるサーバが受信するパケットとのマッチングにより攻撃検知を行う。
【０００５】
また、ａｎｏｍａｌｙ−ｂａｓｅｄ検出方法は、特定の送信先に通常より大幅に大量のトラヒックが発生し、トラフィック量が所定の閾値を超えた場合に攻撃と検知する。
【０００６】
【非特許文献１】ＳＮＯＲＴ、［online］、［平成１８年３月１３日検索］、インターネット＜http://www.snort.org/pub-bin/sigs-search.cgi?sid=ddos＞
【非特許文献２】ＣＩＳＣＯ、”Advanced  Policy  Procedures”、［online］、［平成１８年３月１３日検索］、インターネット＜http://www.cisco.com/univercd/cc/td/doc/product/secure/ad_g/ad_g_308/grdum/advpolcy.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、上記した非特許文献１に係る従来技術では、パケットパターンに規定するもののみ攻撃と検知するので、パケットパターンに規定していない新たな攻撃などに対しては、攻撃検知が確実でないという課題があった。
【０００８】
また、上記した非特許文献２に係る従来技術では、設定される所定の閾値は、通常のパケットレートの上限値であるので、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知してしまい、攻撃検知が正確でないという課題があった。
【０００９】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することが可能である異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知する異常トラフィック検知装置であって、前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手段と、前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手段と、前記パケット監視手段により監視されるＳＩＰパケットと前記状態情報取得手段により取得された状態情報とから異常パケットを検知する異常検知手段と、を備えたことを特徴とする。
【００１１】
また、請求項２に係る発明は、上記の発明において、前記異常検知手段は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする。
【００１２】
また、請求項３に係る発明は、上記の発明において、前記異常検知手段は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする。
【００１３】
また、請求項４に係る発明は、上記の発明において、前記異常検知手段は、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定することを特徴とする。
【００１４】
また、請求項５に係る発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することに適する異常トラフィック検知方法であって、前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得工程と、前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視工程と、前記パケット監視工程により監視されるＳＩＰパケットと前記状態情報取得工程により取得された状態情報とから異常パケットを検知する異常検知工程と、を備えたことを特徴とする。
【００１５】
また、請求項６に係る発明は、上記の発明において、前記異常検知工程は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする。
【００１６】
また、請求項７に係る発明は、上記の発明において、前記異常検知方法は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする。
【００１７】
また、請求項８に係る発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することをコンピュータに実行させる異常トラフィック検知プログラムであって、前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手順と、前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手順と、前記パケット監視手順により監視されるＳＩＰパケットと前記状態情報取得手順により取得された状態情報とから異常パケットを検知する異常検知手順と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１８】
請求項１、５または８の発明によれば、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知するので、例えば、パケットパターンに規定していない新たな攻撃などを検知でき、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知することを防ぐことができる結果、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することが可能である。
【００１９】
また、請求項２または６の発明によれば、特定のトランザクション処理の状態で、当該処理状態では意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、特定のトランザクション処理に不必要なＳＩＰパケットを異常パケットとして検知することができる結果、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。
【００２０】
また、請求項３または７の発明によれば、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、通信状態が悪い場合に起こる再送処理を異常パケットとして誤検知することなく、また、必要以上の再送処理を異常パケットとして検知することができる結果、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。
【００２１】
また、請求項４の発明によれば、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定するので、例えば、何らかの原因で突発的に発生した異常パケットをすぐにＤｏＳ攻撃と判断しないなど、より正確にＤｏＳ攻撃を検知することが可能である。
【発明を実施するための最良の形態】
【００２２】
以下に添付図面を参照して、この発明に係る異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムの実施例を詳細に説明する。
【実施例１】
【００２３】
以下の実施例１では、本発明に係る異常トラフィック検知装置の概要および特徴、異常トラフィック検知装置の構成および処理の流れ、実施例１による効果等を順に説明する。
【００２４】
［異常トラフィック検知装置の概要および特徴］
まず最初に、図１を用いて、実施例１に係る異常トラフィック検知装置の概要および特徴を説明する。図１は、実施例１に係る異常トラフィック検知装置を含むシステムの全体構成を示すシステム構成図である。
【００２５】
図１に示すように、実施例１に係る異常トラフィック検知装置２０は、ＤｏＳ攻撃などからの保護対象とされるＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０とインターネットとの間に接続される。また、インターネットには、他の複数のＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０が接続され、さらに、ＤｏＳ攻撃などを行う悪意のあるユーザ端末装置（以下、ユーザ端末装置）４０も接続される。
【００２６】
ここで、ＳＩＰサーバ装置１０およびＳＩＰクライアント装置３０は、インターネットを介して、他のＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０とやりとりを行うＳＩＰパケットを用いて、ＳＩＰトランザクション処理を行う端末装置である。一方、ユーザ端末装置３０は、ＳＩＰトランザクション処理に不要であり、異常トラフィックを発生させる原因となるＳＩＰパケット（異常パケット）をＳＩＰサーバ装置１０やＳＩＰクライアント装置３０に送信する端末装置である。
【００２７】
このような構成のもと、実施例１に係る異常トラフィック検知装置２０は、ＳＩＰトランザクション処理を行うＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０に対する異常トラフィックを検知することを概要とするものであり、特に、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０へのＤｏＳ攻撃（異常トラフィックなど）を正確かつ確実に検知することが可能である点に主たる特徴がある。
【００２８】
この主たる特徴を具体的に説明すると、異常トラフィック検知装置２０は、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し（図１の（１））、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し（図１の（２））、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知する（図１の（３））。
【００２９】
これをより詳細に説明すると、異常トラフィック検知装置２０は、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０によるＳＩＰトランザクション処理の状態遷移ルールとして、ＳＩＰトランザクション処理を進行するにあたり、特定のトランザクション処理において、予想されるメッセージ種別などを記憶する（図４〜図８参照）。そして、異常トラフィック検知装置２０は、ＤｏＳ攻撃などからの保護対象とされるＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０がやりとりするＳＩＰパケットをネットワークから取り出し、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０におけるＳＩＰトランザクション処理の状態情報を推測するとともに、ＳＩＰパケットのヘッダーから、送信ＳＩＰパケットか受信ＳＩＰパケットか、新しいセッションか否か、レスポンスパケットか否かなどの情報を取得する。
【００３０】
そして、異常トラフィック検知装置２０は、状態遷移ルール（図４〜図８参照）を参照し、特定のトランザクション処理の状態で、意図しないＳＩＰパケットを受信した場合や、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知する。
【００３１】
このようなことから、実施例１に係る異常トラフィック検知装置２０は、例えば、パケットパターンに規定していない新たな攻撃などを検知でき、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知することを防ぐことができる結果、上記した主たる特徴のごとく、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃（異常トラフィックなど）を正確かつ確実に検知することが可能である。
【００３２】
［異常トラフィック検知装置の構成（実施例１）］
次に、図２を用いて、図１に示した異常トラフィック検知装置２０の構成を説明する。図２は、異常トラフィック検知装置２０の構成を示すブロック図である。同図に示すように、この異常トラフィック検知装置２０は、通信制御Ｉ／Ｆ部２１と、記憶部２２と、パケット処理部２３と、異常パケットカウント部２４と、異常パケット処理部２５とから構成される。
【００３３】
かかる通信制御Ｉ／Ｆ部２１は、ＳＩＰサーバ装置１０やＳＩＰクライアント装置３０など外部装置との間でやり取りする各種情報に関する通信を制御する手段である。具体的には、ＳＩＰサーバ装置１０やＳＩＰクライアント装置３０など外部装置との間でやり取りされるパケットをネットワークから取り出して受信する。
【００３４】
記憶部２２は、異常パケットの検知処理に必要なデータを格納する格納手段（記憶手段）であり、特に本発明に密接に関連するものとしては、状態遷移テーブル２２ａと、状態遷移ルール２２ｂとを備える。
【００３５】
このうち、状態遷移テーブル２２ａは、ＳＩＰトランザクション処理の状態遷移をリアルタイムに記憶する手段であり、具体的には、図３に示すように、ＳＩＰトランザクション処理（セッション）ごとに、セッションＩＤ、トランザクションタイプ、最新パケット受信時間などを対応付けて記憶して構成される。なお、図３は、状態遷移テーブルの構成例を示す図である。
【００３６】
例えば、図３に示すように、ＳＩＰトランザクション処理（セッション）ごとに、「ＳｅｓｓｉｏｎＩＤ、ＴｒａｎｓａｃｔｉｏｎＴｙｐｅ、Ｓｅｓｓｉｏｎ開始時間、ＣｕｒｅｎｔＳｔａｔｅ、最新パケット受信時間、ＥｒｒｏｒＣｏｕｎｔ」として、「ａａａ、ＩＮＶＩＴＥ  ＳＴ、３ Ｆｅｂ ２００６ ２０：４０：０１、Ｐｒｏｃｅｅｄｉｎｇ、３ Ｆｅｂ ２００６ ２０：４０：０３、０」などを記憶する。
【００３７】
状態遷移ルール２２ｂは、ＳＩＰトランザクション処理の状態遷移ルールを記憶する手段であり、具体的には、図４〜図８に示すように、ＳＩＰトランザクション処理を進行するにあたり、特定のトランザクション処理において、予想されるメッセージ種別などを記憶する。なお、図４は、ＳＩＰパケットを受信した際に遷移するＳＩＰトランザクション状態を示した図であり、図５は、「ＩＮＶＩＴＥ  ＳＴ」状態を詳細に示した図であり、図６は、「ＩＮＶＩＴＥ  ＣＴ」状態を詳細に示した図であり、図７は、「Ｎｏｎ＿ＩＮＶＩＴＥ  ＳＴ」状態を詳細に示した図であり、図８は、「Ｎｏｎ＿ＩＮＶＩＴＥ  ＣＴ」状態を詳細に示した図である。なお、「ＳＴ」とは、ＳＩＰサーバ装置のＳＩＰトランザクション処理で遷移する状態であり、「ＣＴ」は、ＳＩＰクライアント装置のＳＩＰトランザクション処理で遷移する状態である。
【００３８】
ここで、図４〜図８を簡単に説明すると、まず、図４に示すように、ＳＩＰサーバ装置１０は、新しいセッションのＳＩＰパケットであって、種別がＩＮＶＩＴＥであるセッション開始のＳＩＰパケットを受信した場合、中心の「アイドリング」状態から「ＩＮＶＩＴＥ  ＳＴ」状態へ遷移し、また、新しいセッションのＳＩＰパケットであって、ＩＮＶＩＴＥ以外のパケット（例えば、Ｒｉｎｇｉｎｇ、ＯＫ、ＡＣＫなど）を受信した場合、「アイドリング」状態から「Ｎｏｎ＿ＩＮＶＩＴＥ  ＳＴ」状態へ遷移する。同様に、ＳＩＰクライアント装置３０は、新しいセッションのＳＩＰパケットであって、種別がＩＮＶＩＴＥであるセッション開始のＳＩＰパケットを受信した場合、中心の「アイドリング」状態から「ＩＮＶＩＴＥ  ＣＴ」状態へ遷移し、また、新しいセッションのＳＩＰパケットであって、ＩＮＶＩＴＥ以外のパケット（例えば、Ｒｉｎｇｉｎｇ、ＯＫ、ＡＣＫなど）を受信した場合、「アイドリング」状態から「Ｎｏｎ＿ＩＮＶＩＴＥ  ＣＴ」状態へ遷移する。
【００３９】
一方、ＳＩＰサーバ装置１０およびＳＩＰクライアント装置３０は、新しいセッションのＳＩＰパケットであるが、存在しないセッションのｒｅｓｐｏｎｓｅを受信した場合、「ＥＲＲＯＲ」状態へ遷移する。つまり、存在しないセッションのｒｅｓｐｏｎｓｅを受信した場合、異常トラフィック検知装置２０は、「存在しないセッションのｒｅｓｐｏｎｓｅ」を「不要パケット」として検知する。
【００４０】
続いて、図５〜図８に示した各トランザクション処理の状態のうちから、図５を用いて、「ＩＮＶＩＴＥ  ＳＴ」状態を詳細に説明すると、ＳＩＰサーバ装置１０において、ＳＩＰトランザクション処理の「ＩＮＶＩＴＥ  ＳＴ」状態は、「Ｐｒｏｃｅｅｄｉｎｇ」と「Ｃｏｍｐｌｅｔｅｄ」と「Ｃｏｎｆｉｒｍｅｄ」と「Ｔｅｒｍｉｎａｔｅｄ」と「Ｅｒｒｏｒ」との５つのＳｔａｔｅから構成される。
【００４１】
例えば、ＳＩＰサーバ装置１０が「アイドリング」状態から「ＩＮＶＩＴＥ  ＳＴ」状態へ遷移すると、ＳＩＰサーバ装置１０におけるＳＩＰトランザクション状態は、「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態となる。その後、ＳＩＰサーバ装置１０が、「ＩＮＶＩＴＥ」または「１ｘｘ」種別のＳＩＰパケットを受信すると、「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態のままであり、「３００〜６９９」種別のＳＩＰパケットを送信すると、「Ｃｏｍｐｌｅｔｅｄ」Ｓｔａｔｅ状態に遷移し、「２ｘｘ」または「transport error」種別のＳＩＰパケットを受信すると、「Ｔｅｒｍｉｎａｔｅｄ」Ｓｔａｔｅ状態に遷移する。なお、「１ｘｘ」はＳＩＰパケットのｉｎｆｏｒｍａｔｉｏｎａｌレスポンスパケットを示し、「２ｘｘ」は、ｓｕｃｃｅｓｓレスポンスパケットを示し、「３００−６９９」はエラーレスポンスパケットを示している。
【００４２】
ところが、ＳＩＰサーバ装置１０におけるＳＩＰトランザクション状態がこの「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態である場合に、ＳＩＰサーバ装置１０が、「非ＩＮＶＩＴＥ」種別のＳＩＰパケットを受信、または、「ＩＮＶＩＴＥ」再送回数が閾値以上となった場合、ＳＩＰトランザクション状態は、「Ｐｒｏｃｅｅｄｉｎｇ」から「Ｅｒｒｏｒ」Ｓｔａｔｅに遷移する。つまり、異常トラフィック検知装置２０は、ＳＩＰサーバ装置１０におけるＳＩＰトランザクション状態が「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態である場合に、「非ＩＮＶＩＴＥ」種別のＳＩＰパケットを検知、または、「ＩＮＶＩＴＥ」再送回数が閾値以上となった場合、それぞれ起因となるＳＩＰパケットを「不要パケット」として検知する。
【００４３】
このように、図４に示したＳＩＰパケットを受信した際に遷移するＳＩＰトランザクション状態、または、図５〜図８に示したそれぞれの詳細なＳＩＰトランザクション状態において、異常トラフィック検知装置２０は、状態を遷移させるために意図しないＳＩＰパケットを検知した場合や、あるパケットの再送回数が閾値以上となった場合に、当該ＳＩＰパケットを「不要パケット」として検知する。
【００４４】
図２の説明に戻ると、パケット処理部２３は、通信制御Ｉ／Ｆ部２１にて受信したパケットからＳＩＰに関する情報を取得し、ＳＩＰパケットを制御する手段であり、特に本発明に密接に関連するものとしては、パケット監視部２３ａと、状態情報取得部２３ｂと、異常検知部２３ｃと、攻撃検出部２３ｄとから構成される。なお、パケット監視部２３ａは、特許請求の範囲に記載の「パケット監視手段」に対応し、同様に、状態情報取得部２３ｂは、「状態情報取得手段」に対応し、異常検知部２３ｃと攻撃検出部２３ｄは、「異常検知手段」に対応する。
【００４５】
このうち、パケット監視部２３ａは、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０のＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視する手段であり、具体的には、通信制御Ｉ／Ｆ部２１で取り出されたＳＩＰパケットを監視し、ＳＩＰパケットのヘッダーから各種情報を取得する。例えば、ＳＩＰパケットのヘッダーから、送信ＳＩＰパケットか受信ＳＩＰパケットか、新しいセッションか否か、レスポンスパケットか否かなどの情報を取得する。
【００４６】
また、状態情報取得部２３ｂは、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する手段であり、具体的には、状態遷移ルール２２ｂに記憶されたルールやパケット監視部２３ａにより取得された情報により、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０におけるＳＩＰトランザクション処理の状態情報を推測し、状態遷移テーブル２２ａに書き込む。なお、状態情報取得部２３ｂは、新しいセッション、かつ、セッション数が上限値を超えるか否かを判定し、上限数を超えない場合に、新たなトランザクション処理として、状態遷移テーブル２２ａに新しいテーブルを作成する。
【００４７】
異常検知部２２ｃは、パケット監視部２２ａにより監視されるＳＩＰパケットと状態情報取得部２２ｂにより取得された状態情報とから異常パケット（不要パケット）を検知する手段である。具体的には、状態遷移ルール２２ｂに記憶されたルールを参照し、特定のトランザクション処理の状態で、意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検知し、同一のトランザクション処理の状態で、ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知する。言い換えれば、異常検知部２２ｃは、状態遷移ルール２２ｂに記憶されたルールを参照し、ＳＩＰパケットを受信したことによってトランザクション処理の状態が「Ｅｒｒｏｒ」状態に遷移した場合に、そのＳＩＰパケットを異常パケットとして検知する（図５〜図８参照）。
【００４８】
また、異常検知部２２ｃは、新しいセッションのＳＩＰパケットを受信した場合、当該ＳＩＰパケットがレスポンスパケットか否かを判定し、レスポンスパケットである場合、そのＳＩＰパケットを異常パケットとして検知する（図４参照）。なお、レスポンスパケットである場合、後述する異常パケットカウント部２５により異常パケットとしてカウントされる。一方、レスポンスパケットでない場合、状態情報取得部２３ｂによりセッション状態上限数が超過するか否かが判定される。
【００４９】
攻撃検出部２３ｄは、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定する手段であり、具体的には、意図しないＳＩＰパケットを受信した場合やレスポンスパケットを受信した場合など、異常検知部２２ｃにより異常パケットとして検知されたパケット数が後述する異常パケットカウント部２５にてカウントされ、所定の閾値以上になった場合に、攻撃を受けていると判定する。
【００５０】
そして、異常パケットカウント部２５は、異常パケット数をカウントする手段であり、具体的には、異常検知部２２ｃにより異常パケットとして検知されたパケット数をカウントする。
【００５１】
異常パケット処理部２６は、検知された異常パケットを処理する手段であり、具体的には、異常検知部２２ｃにより検知された異常パケットを破棄したり、攻撃検出部２３ｄによる攻撃検知に応じて警報処理を行ったりなど、攻撃に対する適切な処理を行う。
【００５２】
［異常トラフィック検知装置による処理（実施例１）］
次に、図９を用いて、実施例１に係る異常トラフィック検知装置２０による処理を説明する。図９は、実施例１に係る異常トラフィック検知処理の流れを示すフローチャートである。
【００５３】
図９に示すように、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０にてＳＩＰパケットの送受信が行われると（ステップＳ９０１肯定）、異常トラフィック検知装置２０の通信制御Ｉ／Ｆ部２１は、送受信されるＳＩＰパケットをネットワークから取り出して受信する（ステップＳ９０２）。
【００５４】
そして、異常トラフィック検知装置２０のパケット監視部２３ａは、ＳＩＰパケットのヘッダーから各種情報を取得する（ステップＳ９０３）。続いて、状態情報取得部２３ｂは、パケット監視部２３ａにより取得したヘッダー情報から当該ＳＩＰパケットが新しいセッションのパケットか否かを判定する（ステップＳ９０４）。
【００５５】
その後、新しいセッションのパケットでない場合（ステップＳ９０４否定）、状態情報取得部２３ｂは、状態遷移テーブル２２ａに該当セッションの状態をアップデートする（ステップＳ９０５）。続いて、状態情報取得部２３ｂは、当該トランザクションの状態がＥｒｒｏｒか否か、つまり、異常か否かを判定する（ステップＳ９０６）。
【００５６】
そして、Ｅｒｒｏｒでない、つまり、異常でない場合（ステップＳ９０６否定）、異常トラフィック検知装置２０は、処理を終了し、次のパケットを監視する。一方、Ｅｒｒｏｒである、つまり、異常である場合（ステップＳ９０６肯定）、状態情報取得部２３ｂは、異常パケット発生を異常パケットカウント部２５に通知し、異常パケットカウント部２５は、異常パケットをカウントし（ステップＳ９０８）、攻撃検出部２３ｄは、異常パケット数が閾値超過したか否かを判定する（ステップＳ９０９）。
【００５７】
一方、上記したステップＳ９０４に戻り、新しいセッションのＳＩＰパケットである場合（ステップＳ９０４肯定）、異常検知部２３ｃは、当該ＳＩＰパケットがレスポンスパケットか否かを判定する（ステップＳ９０７）。
【００５８】
そして、レスポンスパケットである場合（ステップＳ９０７肯定）、異常検知部２３ｃは、異常パケット発生を異常パケットカウント部２５に通知し、異常パケットカウント部２５は、異常パケットをカウントする（ステップＳ９０８）。その後、攻撃検出部２３ｄは、異常パケット数が閾値超過したか否かを判定する（ステップＳ９０９）。
【００５９】
続いて、異常パケット数が閾値超過した場合（ステップＳ９０９肯定）、攻撃検出部２３ｄは、攻撃を受けていると判定し、攻撃を検出する（ステップＳ９１０）。一方、異常パケット数が閾値超過していない場合（ステップＳ９０９否定）、異常トラフィック検知装置２０は、処理を終了し、次のパケットを監視する。
【００６０】
一方、上記したステップＳ９０７に戻り、ＳＩＰパケットがレスポンスパケットでない場合（ステップＳ９０７否定）、状態情報取得部２３ｂは、セッション数が上限値を超過したか否かを判定する（ステップＳ９１１）。
【００６１】
そして、セッション数が上限値を超過した場合（ステップＳ９１１肯定）、異常検知部２３ｃは、異常パケット発生を異常パケットカウント部２５に通知し、異常パケットカウント部２５は、異常パケットをカウントし（ステップＳ９０８）、攻撃検出部２３ｄは、異常パケット数が閾値超過したか否かを判定する（ステップＳ９０９）。
【００６２】
一方、セッション数が上限値を超過していない場合（ステップＳ９１１否定）、状態情報取得部２３ｂは、状態遷移テーブル２２ａに新しいエントリを追加する（ステップＳ９１２）。その後、異常トラフィック検知装置２０は、処理を終了し、次のパケットを監視する。
【００６３】
［実施例１による効果］
このように、実施例１によれば、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知するので、例えば、パケットパターンに規定していない新たな攻撃などを検知でき、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知することを防ぐことができる結果、ＳＩＰサーバ装置１０あるいはＳＩＰクライアント装置３０へのＤｏＳ攻撃を正確かつ確実に検知することが可能である。
【００６４】
また、実施例１によれば、特定のトランザクション処理の状態で、当該処理状態で意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、特定のトランザクション処理に不必要なＳＩＰパケットを異常パケットとして検知することができる結果、ＳＩＰサーバ装置１０あるいはＳＩＰクライアント装置３０へのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。
【００６５】
また、実施例１によれば、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、通信状態が悪い場合に起こる再送処理を異常パケットとして誤検知することなく、また、必要以上の再送処理を異常パケットとして検知することができる結果、ＳＩＰサーバ装置１０あるいはＳＩＰクライアント装置３０へのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。
【００６６】
また、実施例１によれば、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定するので、例えば、何らかの原因で突発的に発生した異常パケットをすぐにＤｏＳ攻撃と判断しないなど、より正確にＤｏＳ攻撃を検知することが可能である。
【００６７】
また、実施例１では、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０に対する異常トラフィックを別々の異常トラフィック検知装置２０で検知する場合を説明したが、本発明はこれに限定されるものではなく、ＳＩＰクライアント装置１０またはＳＩＰサーバ装置３０との両方に対する異常トラフィックを１台の異常トラフィック検知装置２０で検知するようにしてもよい。
【実施例２】
【００６８】
ところで、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）システム構成等、（２）プログラムにそれぞれ区分けして実施例２として説明する。
【００６９】
（１）システム構成等
例えば、図１０に示したように、ＳＩＰサーバ装置とＳＩＰクライアント装置とが各々インターネットと接続されている中間に異常トラフィック検知装置を接続するようにしてもよい。これにより、既存のシステムに付加的に異常トラフィック検知装置を挿入することが可能である。
【００７０】
また、図１１に示したように、ＳＩＰサーバ装置とＳＩＰクライアント装置とが各々インターネットと接続されている中間に、ｔａｐなどを用いて、異常トラフィック検知装置を接続するようにしてもよい。これにより、既存のシステムに付加的に異常トラフィック検知装置を挿入することが可能である。
【００７１】
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７２】
また、図２に示した異常トラフィック検知装置２０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち異常トラフィック検知装置２０の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる（例えば、異常パケット処理部２５をパケット処理部２３に統合するなど）。さらに、異常トラフィック検知装置２０にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７３】
（２）プログラム
なお、上記の実施例では、本発明を実現する異常トラフィック検知装置２０を機能面から説明したが、異常トラフィック検知装置２０の各機能はパーソナルコンピュータやワークステーションなどのコンピュータにプログラムを実行させることによって実現することもできる。すなわち、上記の実施例で説明した各種の処理手順（例えば、図９参照）は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。つまり、例を挙げれば、実施例に示したような異常トラフィック検知プログラムを格納したＣＤ−ＲＯＭ（装置ごとに別個のＣＤ−ＲＯＭであってもよい）を配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい（図１２参照）。
【産業上の利用可能性】
【００７４】
以上のように、本発明に係る異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムは、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することに有用であり、特に、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することに適する。
【図面の簡単な説明】
【００７５】
【図１】実施例１に係る異常トラフィック検知装置を含むシステムの全体構成を示すシステム構成図である。
【図２】実施例１に係る異常トラフィック検知装置の構成を示すブロック図である。
【図３】状態遷移テーブルの構成例を示す図である。
【図４】ＳＩＰトランザクション状態を示す図である。
【図５】ＩＮＶＩＴＥ  ＳＴ状態を詳細に示す図である。
【図６】ＩＮＶＩＴＥ  ＣＴ状態を詳細に示す図である。
【図７】Ｎｏｎ＿ＩＮＶＩＴＥ  ＳＴ状態を詳細に示す図である。
【図８】Ｎｏｎ＿ＩＮＶＩＴＥ  ＣＴ状態を詳細に示す図である。
【図９】異常トラフィック検知処理の流れを示すフローチャートである。
【図１０】異常トラフィック検知装置を用いたシステムの例を示す図である。
【図１１】異常トラフィック検知装置を用いたシステムの例を示す図である。
【図１２】異常トラフィック検知プログラムを用いたコンピュータシステムの例を示す図である。
【符号の説明】
【００７６】
１０  ＳＩＰサーバ装置
２０  異常トラフィック検知装置
２１  通信制御Ｉ／Ｆ部
２２  記憶部
２２ａ  状態遷移テーブル
２２ｂ  状態遷移ルール
２３  パケット処理部
２３ａ  パケット監視部
２３ｂ  状態情報取得部
２３ｃ  異常検知部
２３ｄ  攻撃検出部
２４  異常パケットカウント部
２５  異常パケット処理部
３０  ＳＩＰクライアント装置
４０  悪意のあるユーザ端末装置
【図１】
2007267151.tif 000003
【図２】
2007267151.tif 000004
【図３】
2007267151.tif 000005
【図４】
2007267151.tif 000006
【図５】
2007267151.tif 000007
【図６】
2007267151.tif 000008
【図７】
2007267151.tif 000009
【図８】
2007267151.tif 000010
【図９】
2007267151.tif 000011
【図１０】
2007267151.tif 000012
【図１１】
2007267151.tif 000013
【図１２】
2007267151.tif 000014