(57)【要約】【課題】ＤｏＳ攻撃を正確に検知して回避すること。【解決手段】受信トラフィック監視部２０２は通信制御部２０３が受信した単位時間あたりの受信パケット数と閾値と比較してバーストトラフィックの発生を検出すると、その旨をイベントとしてＤｏＳ攻撃判定部２０４に通知する。同時に、リソース監視部２０１は計算機リソースの過不足状態と閾値とを比較し、計算機リソースに余裕がなく逼迫してくると、その旨をイベントとしてＤｏＳ攻撃判定部２０４に通知する。ＤｏＳ攻撃判定部２０４は、両イベントが判定基準時間内繰り返して発生した場合にＤｏＳ攻撃を受けていると判定し、ＰＡＮ制御部２０５に通知する。ＰＡＮ制御部２０５は通知を受けて通信相手との間で、通信条件の変更交渉を実施する。これによって、ＤｏＳ攻撃を回避することができるようになる。【選択図】図２
2007104307.tif 000002
【特許請求の範囲】
【請求項１】
単位時間あたりの受信パケット数に基づきバーストトラフィックの発生有無を監視する受信トラフィック監視手段と、装置内リソースの過不足状態を監視するリソース監視手段と、前記受信トラフィック監視手段及び前記リソース監視手段の各監視結果に基づきＤｏＳ攻撃を受けているか否かを判断するＤｏＳ攻撃判定手段と、を具備することを特徴とするＤｏＳ攻撃検知装置。
【請求項２】
前記ＤｏＳ攻撃判定手段がＤｏＳ攻撃を受けていると判断した場合に正常な通信を行っている相手装置との間で使用する通信条件を変更する制御手段、を具備することを特徴とする請求項１記載のＤｏＳ攻撃検知装置。
【請求項３】
前記ＤｏＳ攻撃判定手段がＤｏＳ攻撃を受けていると判断した場合にＤｏＳ攻撃を受けている旨を自装置のユーザに通知する報知手段と、前記報知手段により通知を受けたユーザから攻撃回避処理の実行指示があった場合に正常な通信を行っている相手装置との間で使用する通信条件を変更する制御手段と、を具備することを特徴とする請求項１に記載のＤｏＳ攻撃検知装置。
【請求項４】
前記ＤｏＳ攻撃判定手段がＤｏＳ攻撃を受けていると判断した場合にＤｏＳ攻撃を受けている旨を少なくとも現在通信を行っている正常な相手装置に通知する手段、を具備することを特徴とする請求項１から請求項３のいずれかに記載のＤｏＳ攻撃検知装置。
【請求項５】
通信相手の信頼性を認証情報の交換によって検証する手段、を具備することを特徴とする請求項２から請求項４のいずれかに記載のＤｏＳ攻撃検知装置。
【請求項６】
通信相手との通信情報を暗号化する手段、を具備することを特徴とする請求項２から請求項５のいずれかに記載のＤｏＳ攻撃検知装置。
【請求項７】
正常な通信相手装置からＤｏＳ攻撃を受けている旨の通知を受信したとき自装置のユーザに通知する手段、を具備することを特徴とする請求項４記載のＤｏＳ攻撃検知装置。
【請求項８】
ＰＡＮ通信システムにおいて、各ノード装置は、請求項１から請求項７のいずれかに記載のＤｏＳ攻撃検知装置を装備する、ことを特徴とするＰＡＮ通信システム。
【請求項９】
単位時間あたりの受信パケット数に基づきバーストトラフィックの発生有無を監視する受信トラフィック監視工程と、装置内リソースの過不足状態を監視するリソース監視工程と、前記受信トラフィック監視工程及び前記リソース監視工程の各監視結果に基づきＤｏＳ攻撃を受けているか否かを判断するＤｏＳ攻撃判定工程と、を具備することを特徴とするＤｏＳ攻撃検知方法。
【請求項１０】
前記ＤｏＳ攻撃判定工程にてＤｏＳ攻撃を受けていると判断した場合に正常な通信を行っている相手装置との間で使用する通信条件を変更する制御工程、を具備することを特徴とする請求項９記載のＤｏＳ攻撃検知方法。
【請求項１１】
前記ＤｏＳ攻撃判定工程にてＤｏＳ攻撃を受けていると判断した場合にＤｏＳ攻撃を受けている旨を自装置のユーザに通知する報知工程と、前記報知工程により通知を受けたユーザから攻撃回避処理の実行指示があった場合に正常な通信を行っている相手装置との間で使用する通信条件を変更する制御工程と、を具備することを特徴とする請求項９に記載のＤｏＳ攻撃検知方法。
【請求項１２】
前記制御工程では、ＤｏＳ攻撃を受けている旨を少なくとも現在通信を行っている正常な相手装置に通知する工程、を具備することを特徴とする請求項１０又は請求項１１に記載のＤｏＳ攻撃検知方法。
【請求項１３】
前記制御工程では、通信相手の信頼性を認証情報の交換によって検証する工程、を具備することを特徴とする請求項１０から請求項１２のいずれかに記載のＤｏＳ攻撃検知方法。
【請求項１４】
前記制御工程では、通信相手との通信情報を暗号化する工程、を具備することを特徴とする請求項１０から請求項１３のいずれかに記載のＤｏＳ攻撃検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等において脅威となるＤｏＳ攻撃（Denial of Service Attack）を検知するＤｏＳ攻撃検知装置及び方法に関する。
【背景技術】
【０００２】
ＤｏＳ攻撃とは、一般に、インターネット上で公開されたサーバに対して不正なパケットを送りつけて他の正規なユーザの利用を困難にしたり、該サーバの機能を停止させたりする不正な攻撃である。
【０００３】
ところで、近年のネットワークでは、上記のようなクライアント／サーバ形式の通信モデルだけでなく、ホスト同士が対等の関係で通信するピア・ツー・ピア（peer to peer）形式の通信モデルや、ホスト同士で独自の小規模なネットワークを構成するＰＡＮ（Personal Area Network：パーソナル・エリア・ネットワーク）形式の通信モデルが登場してきている。これらの通信モデルでは、ＤｏＳ攻撃への対策は、サーバ側あるいはネットワーク側で行うのではなく、受信側のホストが行う必要がある。
【０００４】
ＤｏＳ攻撃への対策を受信側のホストが行う方法として、例えば特許文献１では、受信側で単位時間あたりの受信パケット数や、送信元アドレスの乱数性、アドレスの信頼度などの統計情報を計測し、予め定めておいた閾値と計測した値とを比較することで、ＤｏＳ攻撃を検知する方法が提案されている。
【特許文献１】特開２００４−１４０５２４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のＤｏＳ攻撃検知方法には、次のような問題がある。即ち、正常なデータ通信においても、一時的に多くのデータを転送する必要のある場合は、単位時間あたりの受信パケット数が増大してトラフィックのバースト性が増すことがある。特に、トランスポートプロトコルにＵＤＰプロトコルを使用している場合は、プロトコルとしてフロー制御機構を持たないので、その傾向が顕著になる。そのため単位時間あたりの受信パケット数ではＤｏＳ攻撃を検知できないことがある。
【０００６】
また、正常なデータ通信を行っていた装置のアドレスを詐称したＤｏＳ攻撃に対しては送信元アドレスを利用したＤｏＳ攻撃を検知できない。
【０００７】
また、ＤｏＳ攻撃の中には、ホストに余計な処理を実行させることによって機能を停止させるようにするもの（ＳＹＮ  Ｆｌｏｏｄ攻撃など）もある。この場合は、単位時間あたりの受信パケット数やパケットの送信元アドレスではＤｏＳ攻撃を検知できない。
【０００８】
また、ＰＡＮ通信システムを構成している装置間の通信では、使用するアドレスは接続のたびに設定し直しが行われ、不定となるので、パケットの送信元アドレスに基づく統計情報は利用できないことが多く、またアドレス毎の信頼度を定義することも困難である。
【０００９】
そして、ＰＡＮ通信システムを構成している装置間の通信では、装置間で緊密に連携し合うので、ＤｏＳ攻撃を受けた装置の機能が停止すると、攻撃の対象になっていない他の装置の機能までも停止するといった影響を受けることがある。
【００１０】
本発明は、かかる点に鑑みてなされたものであり、ＤｏＳ攻撃を正確に検知して回避することができるＤｏＳ攻撃検知装置及び方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
かかる課題を解決するため、本発明に係るＤｏＳ攻撃検知装置は、単位時間あたりの受信パケット数に基づきバーストトラフィックの発生有無を監視する受信トラフィック監視手段と、装置内リソースの過不足状態を監視するリソース監視手段と、前記受信トラフィック監視手段及び前記リソース監視手段の各監視結果に基づきＤｏＳ攻撃を受けているか否かを判断するＤｏＳ攻撃判定手段とを具備する構成を採る。
【発明の効果】
【００１２】
本発明によれば、装置内リソースの過不足状態も加えて判断するので、ＤｏＳ攻撃を受けていることを正確に検知して回避することができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００１４】
（実施の形態１）
図１は、本発明を説明するために用いるＰＡＮ通信システムの構成例を示す全体構成図である。図１に示すＰＡＮ通信システム１００は、本来のノード装置として、ノードＡ１０１とノードＢ１０２とノードＣ１０３とを備えているが、これにＤｏＳ攻撃者となるノードＺ１０４が加わる構成となっている。図１では、ノードＡ１０１が攻撃対象となっているとしている。なお、以下の説明では、各ノードは、符号を付けず、単に、ノードＡ、ノードＢ、ノードＣ、ノードＺと記す。
【００１５】
各ノード間の通信手段は、特に限定されるものではなく、有線通信手段でもよいが、ここでは、例えば標準規格ＩＥＥＥ８０２．１１の無線ＬＡＮが適用されているとする。
【００１６】
ノードＡとノードＢとノードＣは、それぞれ、使用する無線チャネルやＩＰアドレスを通信開始時に調整することによって通信条件となる適切なパラメータを選択し相互間の通信を実現する。
【００１７】
これに対してノードＺは、チャネルスキャンなどの方法によってＰＡＮ通信システム１００が使用している無線チャネルを発見し、ノードＡに対して無意味な妨害パケットを送りつける。あるいは、ノードＢが使用しているアドレスを盗聴によって発見し、使用アドレスを詐称することで、ノードＢに成りすましてノードＡに対して無意味な妨害パケットを送りつける。
【００１８】
以下、図２〜図４を参照して、このような場合に、攻撃対象ノード（ノードＡ）において攻撃者のノード（ノードＺ）からの攻撃を検知してそれを回避する処理について説明する。なお、図２は、本発明の一実施の形態に係るＤｏＳ攻撃検知装置の構成を示すブロック図である。図３は、図２に示すＤｏＳ攻撃検知装置にて実施される内部処理を説明するフローチャートである。図４は、図３に示すＤｏＳ攻撃判定処理で用いるパラメータの変化を説明するタイムチャートである。
【００１９】
図２に示すＤｏＳ攻撃検知装置２００は、リソース監視部２０１、受信トラフィック監視部２０２、通信制御部２０３、ＤｏＳ攻撃判定部２０４、ＰＡＮ制御部２０５、通知部２０６、表示部２０７、認証情報検証部２０８及び暗号処理部２０９を備えている。
【００２０】
図１に示すＰＡＮ通信システム１００での各ノード（ノードＡ、ノードＢ、ノードＣ）は、それぞれＤｏＳ攻撃の対象ノードとなり得るので、それぞれ図２に示すＤｏＳ攻撃検知装置２００を装備しているが、図１では、ノードＡがＤｏＳ攻撃を受けているので、図３に示す内部処理はノードＡでの内部処置であるとして説明する。なお、処理手順を示すステップは、単に「ＳＴ」と表記する。
【００２１】
図３おいて、ノードＡでは、受信トラフィック監視部２０２にて、通信制御部２０３が単位時間あたりに受信する受信パケット数を計測し（ＳＴ３０１）、その計測値が予め定めた閾値を超えるか否かを監視している（ＳＴ３０２）。そして、受信トラフィック監視部２０２は、計測値が予め定めた閾値を超える場合は、バーストトラフィックが発生したとみなし、ＤｏＳ攻撃判定部２０４にその旨をイベントとして通知する（ＳＴ３０２：Ｙｅｓ）。
【００２２】
同時に、ノードＡでは、リソース監視部２０１にて、当該ノードＡの計算機リソースの過不足状態を監視している。即ち、リソース監視部２０１では、単位時間あたりの計算機リソースを測定し（ＳＴ３０３）、単位時間あたりの計算機リソースの余裕が予め定めた閾値を超えるか否かを監視している（ＳＴ３０４）。そして、リソース監視部２０１は、単位時間あたりの計算機リソースの余裕が予め定めた閾値を超えて逼迫してくると、装置内リソースが不足しているとみなし、ＤｏＳ攻撃判定部２０４にその旨をイベントとして通知する（ＳＴ３０４：Ｙｅｓ）。ここで、ノードＡの計算機リソースを示す指標としては、例えばＣＰＵの稼働率や空きメモリ量、レディ状態にあるタスク数、各種デバイスの入力キュー長などを用いることができる。
【００２３】
ＤｏＳ攻撃判定部２０４では、時間管理機能を備え、バーストトラフィックとリソース不足の各イベントを判断基準時間の間保持し、その判断基準時間内に繰り返して上記の両イベントが発生すると、ＤｏＳ攻撃を受けていると判定する（ＳＴ３０５）。一方、上記の両イベントが判断基準時間内に繰り返して発生しない場合は、正常と判断して保持していた全てのイベントをクリアする。
【００２４】
図４に示す例では、ｔ１、ｔ２、ｔ３、ｔ４のタイミングでイベントが発生している。この場合には、ＤｏＳ攻撃判定部２０４は、判断基準時間内に繰り返して発生したタイミングｔ４にて、ＤｏＳ攻撃を受けていると判定する。タイミングｔ１では、正常と判定する。
【００２５】
なお、ＤｏＳ攻撃の判定では、両方のイベントが同時に判断基準時間内に繰り返して発生する場合だけでなく、一度両方のイベントが発生した後は、片方のイベントのみが繰り返し発生する場合にＤｏＳ攻撃を受けていると判定すること、さらにはイベントの種類によって判断時間を変更するなど重み付けを行って判定することも採用することができる。
【００２６】
ＤｏＳ攻撃判定部２０４は、ＤｏＳ攻撃を受けていると判定すると、表示部２０７にＤｏＳ攻撃を受けている可能性がある旨を表示してユーザに知らせる（ＳＴ３０６）。この表示には、判定理由を付記するようにしてもよい。ユーザへの通知は表示に限らず、音や振動による通知でもよい。
【００２７】
また、ＤｏＳ攻撃判定部２０４は、ＤｏＳ攻撃を受けていると判定すると、ＰＡＮ制御部２０５に攻撃検知を通知する。ＰＡＮ制御部２０５は、攻撃検知の通知を受けると、通信制御部２０３を通して、通信相手（ノードＢ、ノードＣ）との間で通信条件を変更する交渉を行う（ＳＴ３０７）。ここで、ＰＡＮ通信システム１００内の通信条件とは、無線ＬＡＮにおける使用チャネル（周波数帯）やＩＰアドレス、暗号化パラメータなどを挙げることができる。
【００２８】
ＰＡＮ制御部２０５は、通信相手との間で通信条件の変更に合意ができると、新しい通信条件を通信制御部２０３に設定する（ＳＴ３０８）。これによって、通信制御部２０３は、新しい通信条件でＰＡＮ通信システム１００内の通信を継続することができるので、ＰＡＮ通信システム１００内の各ノードは、ＤｏＳ攻撃を避けて安定した通信が行えるようになる。
【００２９】
なお、ＳＴ３０６において、ユーザに攻撃検知を通知する場合は、ユーザに攻撃回避処理を行うか否かの判断を依頼し、適当な入力手段を用いてユーザから攻撃回避処理の実行指示が有った場合にのみＳＴ３０７以降の攻撃回避処理を行うようにしてもよい。これによって、正常な通信をＤｏＳ攻撃であると誤判断する可能性を防止することができる。
【００３０】
また、ＳＴ３０５において、ＤｏＳ攻撃判定部２０４は、ＤｏＳ攻撃を受けていると判定した場合、通知部２０６に指示を出し、通信制御部２０３を通して通信相手の各ノード（ノードＢ、ノードＣ）にＤｏＳ攻撃を受けている旨を送信するようにしてもよい。ノードＢとノードＣでは、そのＰＡＮ制御部２０５が、通信制御部２０３が受信したノードＡがＤｏＳ攻撃を受けている旨の通知を表示部２０７に表示することができるので、ノードＢとノードＣの各ユーザに知らせることができる。これによって、ノードＢとノードＣの各ユーザは、ノードＡとの通信を一時的に中断してＤｏＳ攻撃の影響を受けないようにしたり、通信条件の変更を指示して積極的にＤｏＳ攻撃を回避したりすることができる。
【００３１】
さらに、ＳＴ３０７において、ＰＡＮ制御部２０５は、通信条件の交渉を行う際に、通信制御部２０３を通してノードＢ、ノードＣと認証情報を交換し、受信した認証情報の正当性を認証情報検出部２０８にて検証し、通信相手が正当な相手であることを確認してから通信条件の交渉を行うようにしてもよい。ここで、認証情報検出部２０８は、予め通信相手の公開鍵を保持しておくことによって受信した電子署名を検証することができる。これによって、誤ってノードＺとの間で通信条件の交渉を行ってしまう可能性を防止することができる。
【００３２】
加えて、ＳＴ３０７において、ＰＡＮ制御部２０５は、通信条件の交渉を行う際に、ノードＢ、ノードＣとの間で暗号アルゴリズムや暗号鍵などの暗号化条件を交換し、それを暗号処理部２０９に通知することによって、新しい暗号化条件を用いた通信を行うようにしてもよい。この暗号化条件の交換は、前記の認証情報交換時に秘密鍵によって暗号化して送付することによって秘匿性を保つことができ、暗号化条件をノードＺに知られずに暗号通信を行うことができる。
【００３３】
以上のように、本実施の形態によれば、装置間で緊密な連携を採る通信形態のＰＡＮ通信システムにおいて、各ノードは、受信パケット数だけでなくリソースの余裕状態も監視してＤｏＳ攻撃を受けているか否かを判断し、ＤｏＳ攻撃を受けている場合は通信条件を変更してＤｏＳ攻撃を回避することができるので、機能停止に陥ることなく、通信の安定性を維持向上させることできる。
【産業上の利用可能性】
【００３４】
本発明に係るＤｏＳ攻撃検知装置及び方法は、ＤｏＳ攻撃を正確に検知して回避するのに有用であり、特に装置間で緊密な連携を採る通信形態のＰＡＮ通信システムにおいて適用するのに好適である。
【図面の簡単な説明】
【００３５】
【図１】本発明を説明するために用いるＰＡＮ通信システムの構成例を示す全体構成図
【図２】本発明の一実施の形態に係るＤｏＳ攻撃検知装置の構成を示すブロック図
【図３】図２に示すＤｏＳ攻撃検知装置にて実施される内部処理を説明するフローチャート
【図４】図３に示すＤｏＳ攻撃判定処理で用いるパラメータの変化を説明するタイムチャート
【符号の説明】
【００３６】
１００  ＰＡＮ通信システム
１０１  ノードＡ（本来のノード）
１０２  ノードＢ（本来のノード）
１０３  ノードＣ（本来のノード）
１０４  ノードＺ（攻撃者のノード）
２００  ＤｏＳ攻撃検知装置
２０１  リソース監視部
２０２  受信トラフィック監視部
２０３  通信制御部
２０４  ＤｏＳ攻撃判定部
２０５  ＰＡＮ制御部
２０６  通知部
２０７  表示部
２０８  認証情報検証部
２０９  暗号処理部
【図１】
2007104307.tif 000003
【図２】
2007104307.tif 000004
【図３】
2007104307.tif 000005
【図４】
2007104307.tif 000006