(57)【要約】【課題】攻撃パケットに対処するとともに、送信先への正常パケットの転送時間を従来よりも短くすることを可能にした攻撃パケット対処システムを提供する。【解決手段】特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置と、被疑パケットが正常か否かを判定する対処装置と、検出装置から被疑パケットの検出の通知を受け取った後、被疑パケットを受信すると、被疑パケットのヘッダに送信の優先度が記述されているか否かを調べ、優先度が記述されていない場合、他のパケットよりも送信を優先する旨の書き込みを行って対処装置宛に送出し、被疑パケットのヘッダに優先度が書き込まれている場合、優先度にしたがって被疑パケットを対処装置宛に送出するルータとがネットワークに接続された構成である。【選択図】図１
2007325039.tif 000002
【特許請求の範囲】
【請求項１】
特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置と、
前記検出装置とネットワークを介して接続され、前記被疑パケットが正常か否かを判定する対処装置と、
前記ネットワークに接続され、前記検出装置から前記被疑パケットの検出の通知を受け取った後、前記被疑パケットを受信すると、該被疑パケットのヘッダに送信の優先度が記述されているか否かを調べ、該優先度が記述されていない場合、他のパケットよりも送信を優先する旨の書き込みを行って前記対処装置宛に送出し、該被疑パケットのヘッダに前記優先度が書き込まれている場合、該優先度にしたがって該被疑パケットを前記対処装置宛に送出するルータと、
を有する攻撃パケット対処システム。
【請求項２】
前記ルータとして少なくとも第１および第２のルータが前記ネットワークに接続され、
前記ネットワークに接続され、前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記被疑パケットの送出元に接続された前記第１のルータと前記対処装置に接続された第２のルータとの間に前記被疑パケットを他のパケットに比べて優先的に送信するためのトンネルを設定するトンネル設定装置をさらに有する請求項１記載の攻撃パケット対処システム。
【請求項３】
前記ルータとして少なくとも第１および第２のルータが前記ネットワークに接続され、
前記ネットワークに接続され、前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記特定の情報処理装置に接続された前記第１のルータと前記対処装置に接続された前記第２のルータとの間に前記被疑パケットを他のパケットに比べて優先的に送信するためのトンネルを設定するトンネル設定装置をさらに有する請求項１記載の攻撃パケット対処システム。
【請求項４】
前記ネットワークに接続され、前記特定の情報処理装置に接続された回線の帯域の情報を取得し、該回線の帯域の情報を前記トンネル設定装置に通知する帯域情報取得装置をさらに有し、
前記トンネル設定装置は、
前記特定の情報処理装置に接続された回線の帯域の情報を前記帯域情報取得装置から受け取ると、前記トンネルを該回線よりも帯域を広く設定する、請求項２または３記載の攻撃パケット対処システム。
【請求項５】
特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置および前記被疑パケットが正常か否かを判定する対処装置とネットワークを介して接続されたルータにおいて、
前記検出装置から前記被疑パケットの検出の通知を受け取った後、前記被疑パケットを受信すると、該被疑パケットのヘッダに送信の優先度が記述されているか否かを調べ、該優先度が記述されていない場合、他のパケットよりも送信を優先する旨の書き込みを行って前記対処装置宛に送出し、該被疑パケットのヘッダに前記優先度が書き込まれている場合、該優先度にしたがって該被疑パケットを前記対処装置宛に送出することを特徴とするルータ。
【請求項６】
特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置、前記被疑パケットが正常か否かを判定する対処装置、および前記被疑パケットを転送するルータとネットワークを介して接続されたトンネル設定装置において、
前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記被疑パケットの送出元に接続された第１のルータと前記対処装置に接続された第２のルータとの間に他の回線よりも帯域を広くしたトンネルを設定することを特徴とするトンネル設定装置。
【請求項７】
特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置、前記被疑パケットが正常か否かを判定する対処装置、および前記被疑パケットを転送するルータとネットワークを介して接続されたトンネル設定装置において、
前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記特定の情報処理装置に接続された第１のルータと前記対処装置に接続された第２のルータとの間に他の回線よりも帯域を広くしたトンネルを設定することを特徴とするトンネル設定装置。
【請求項８】
特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置と、前記被疑パケットが正常か否かを判定する対処装置と、前記被疑パケットを転送するルータとがネットワークに接続されたシステムによる攻撃パケット対処方法であって、
前記ルータは、前記検出装置から前記被疑パケットの検出の通知を受け取った後、前記被疑パケットを受信すると、該被疑パケットのヘッダに送信の優先度が記述されているか否かを調べ、
前記ルータは、前記ヘッダに前記優先度が記述されていない場合、他のパケットよりも送信を優先する旨の書き込みを行って前記対処装置宛に送出し、該ヘッダに前記優先度が書き込まれている場合、該優先度にしたがって該被疑パケットを前記対処装置宛に送出する、攻撃パケット対処方法。
【請求項９】
前記ルータとして少なくとも第１および第２のルータを前記ネットワークに接続し、
前記ネットワークに接続されたトンネル設定装置を設け、
前記トンネル設定装置は、前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記被疑パケットの送出元に接続された前記第１のルータと前記対処装置に接続された前記第２のルータとの間に前記被疑パケットを他のパケットに比べて優先的に送信するためのトンネルを設定する、請求項８記載の攻撃パケット対処方法。
【請求項１０】
前記ルータとして少なくとも第１および第２のルータを前記ネットワークに接続し、
前記ネットワークに接続されたトンネル設定装置を設け、
前記トンネル設定装置は、前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記特定の情報処理装置に接続された前記第１のルータと前記対処装置に接続された前記第２のルータとの間に前記被疑パケットを他のパケットに比べて優先的に送信するためのトンネルを設定する、請求項８記載の攻撃パケット対処方法。
【請求項１１】
前記ネットワークに接続された、前記特定の情報処理装置に接続された回線の帯域の情報を取得し、該回線の帯域の情報を前記トンネル設定装置に通知する帯域情報取得装置を設け、
前記トンネル設定装置は、前記特定の情報処理装置に接続された回線の帯域の情報を前記帯域情報取得装置から受け取ると、前記トンネルを該回線よりも帯域を広く設定する、請求項９または１０記載の攻撃パケット対処方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続された、あるユーザの情報処理装置に過度のトラヒックを送ることにより、その情報処理装置のサービス停止を狙ったＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅｓ）などの攻撃パケットと、サービス利用のための正常パケットとを含む被疑パケットのうち、正常パケットをその情報処理装置に届けるための攻撃パケット対処システム、ルータ、トンネル設定装置および攻撃パケット対処方法に関する。
【背景技術】
【０００２】
攻撃パケットを対処する方法として、ルータのような攻撃パケットが疎通しているネットワーク内の装置が、その攻撃パケットをネットワーク外部の対処装置に転送し、その対処装置において、攻撃パケットを処理する方式が提案されている（例えば、非特許文献１参照）。
【０００３】
まず、非特許文献のシステム構成を説明する。図２１は、非特許文献１に開示された、従来のシステムの構成例を示すブロック図である。
【０００４】
図２１に示すように、従来のシステムは、攻撃パケット検出・対処装置６と、迂回指示装置５と、トンネル設定装置３０１と、被疑パケット検出装置４とを有する構成である。これらの装置はネットワーク１００で接続されている。ネットワーク１００内には複数のルータが接続されている。ルータには、トンネル機能を備えたトンネル機能付ルータ１１、１２、１３がある。トンネル機能付ルータ１１およびトンネル機能付ルータ１２はネットワーク回線５２を介して接続されている。トンネル設定装置３０１には、トンネルトポロジ情報ＤＢ３０２が接続されている。
【０００５】
攻撃パケット検出・対処装置６はトンネル機能付ルータ１３を介してネットワーク１００に接続されている。トンネル機能付ルータ１１とトンネル機能付ルータ１３の間にはトンネル２１が設定され、トンネル機能付ルータ１２とトンネル機能付ルータ１３の間にはトンネル２２が設定される。
【０００６】
攻撃コンピュータ１がアクセス回線４１を介してネットワーク１００に接続されている。攻撃コンピュータ１から攻撃を受ける側の被攻撃サーバ３がアクセス回線６３を介してネットワーク１００に接続されている。正常コンピュータ２がトンネル機能付ルータ１２を介してネットワーク１００に接続されている。
【０００７】
図２１に示すシステムでは、攻撃コンピュータ１から被攻撃サーバ３宛に送出された攻撃パケットを攻撃パケット検出・対処装置６に迂回させ、その装置で攻撃パケットを対処することにより、被攻撃サーバ３を攻撃から防御している。以下に、その動作を具体的に説明する。
【０００８】
攻撃コンピュータ１が被攻撃サーバ３宛にネットワーク１００を介して攻撃パケットを連続して送出すると、被疑パケット検出装置４が、攻撃コンピュータ１からの被攻撃サーバ３宛の被疑トラヒックを検出する。検出後、被疑パケット検出装置４は、被疑トラヒックを検出した旨の情報である被疑トラヒック検出情報を迂回指示装置５に対して通知する。迂回指示装置５は、被疑トラヒック検出情報を受け取ると、トンネル機能付ルータ１１、１２に対して被攻撃サーバ３宛の被疑トラヒックを攻撃パケット検出・対処装置６に転送するよう指示する。攻撃パケット検出・対処装置６は、被疑トラヒックを受信すると、被疑トラヒックが悪意か正常かを判断し、悪意と判断するとその被疑トラヒックを廃棄し、正常と判断するとその被疑トラヒックを被攻撃サーバ３に転送する。
【０００９】
上述したように、非特許文献１では、攻撃コンピュータ１に接続されたトンネル機能付ルータ１１と攻撃パケット検出・対処装置６に接続されたトンネル機能付ルータ１３との間にトンネル２１を設定し、正常コンピュータ２に接続されたトンネル機能付ルータ１２とトンネル機能付ルータ１３との間にトンネル２２を設定している。トンネルの例として、ＧＲＥ（Ｇｅｎｅｒｉｃ  ｒｏｕｔｉｎｇ  ｅｎｃａｐｓｕｌａｔｉｏｎ）、レイヤ２トンネルプロトコル、またはＭＰＬＳ（ｍｕｌｔｉ−ｐｒｏｔｏｃｏｌ  ｌａｂｅｌ  ｓｗｉｔｃｈｉｎｇ）を使ったものがある。
【００１０】
ここでのトンネルに、ＧＲＥを使ってＩＰパケットをさらにＩＰパケットでカプセル化したＧＲＥトンネルを仮定する。このトンネルは「ＩＰ−ｉｎ−ＩＰトンネル」とも呼ばれている。図２２はＧＲＥトンネルによりカプセル化されたパケットの構成例を示す図である。図２２に示すように、ＧＲＥトンネルによりカプセル化されたパケットは、ＧＲＥトンネルのカプセル化用ＩＰヘッダ２０１と、ＧＲＥヘッダ２０２と、ＧＲＥトンネルの内側のＩＰヘッダ２０３と、ＩＰユーザデータ２０４とを有する。なお、トンネル２１のＩＰアドレスを「Ａ．Ｂ．Ｃ．Ｄ」とし、迂回機能付ルータ１３のＩＰアドレスを「Ｐ．Ｑ．Ｒ．Ｓ」とする。
【００１１】
次に、トンネル機能付ルータの構成について詳しく説明する。トンネル機能付ルータ１１、１２、１３は同様な構成であるため、ここではトンネル機能付ルータ１１の場合で説明する。図２３は図２１に示したトンネル機能付ルータの一構成例を示すブロック図である。
【００１２】
図２３に示すように、トンネル機能付ルータ１１は、ルーティングポリシリスト１０５と、ルーティングテーブル１０６にしたがってルーティング処理を行うルーティング部１０１と、トンネル２１に関連する情報をトンネル情報テーブル１０４から取得して、トンネルにカプセル化処理を行うカプセル化処理部１０２と、迂回指示装置５からの指示にしたがってルーティングポリシリスト１０５を更新するアクセス制御リスト更新部１０３と、トンネル設定装置２０１からの指示にしたがってトンネル情報テーブル１０４を更新するトンネル情報テーブル更新部１０７とを有する構成である。
【００１３】
なお、トンネル機能付ルータ１１は、各種テーブルが格納される記憶部（不図示）と、プログラムにしたがって所定の処理を実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）およびプログラムを格納するためのメモリを含む制御部（不図示）とを有する。ルーティング部１０１、カプセル化処理部１０２、アクセス制御リスト更新部１０３およびトンネル情報テーブル更新部１０７は、ＣＰＵがプログラムを実行することでルータ内に仮想的に構成される。
【００１４】
図２４はルーティングポリシリスト１０５の一例を示す表であり、図２５はルーティングテーブル１０６の一例を示す表であり、図２６はトンネル情報テーブル１０４の一例を示す図である。これらの表は、トンネル機能付ルータ１１が、トンネル機能付ルータ１３宛のネットワーク回線５１と、正常コンピュータ２宛のネットワーク回線５２と、攻撃コンピュータ１宛のアクセス回線４１とに接続されている場合である。
【００１５】
次に、アクセス回線４１、またはネットワーク回線５１、５２を介してパケットを受信したときのトンネル機能付ルータ１１の動作手順を説明する。
【００１６】
ステップ１：トンネル機能付ルータ１１が外部からパケットを受信すると、ルーティング部１０１は、受信したパケットの宛先アドレスを読み出し、ルーティングポリシリスト１０５を参照し、その宛先アドレスにパケットを転送すべきトンネルがあるかどうか調べる。
【００１７】
ステップ２：ルーティング部１０１は、そのパケット転送すべきトンネルがあると認識すると、トンネル識別子を特定する。そして、カプセル化処理部１０２は、トンネル情報テーブル１０４から、そのトンネル識別子に関連する送信元ＩＰアドレス「Ａ．Ｂ．Ｃ．Ｄ」と攻撃パケット検出・対処装置のＩＰアドレス「Ｐ．Ｑ．Ｒ．Ｓ」を取得する。続いて、図２２に示した、ＧＲＥトンネルのカプセル化用ＩＰヘッダ２０１内に送信元ＩＰアドレス「Ａ．Ｂ．Ｃ．Ｄ」および宛先アドレス「Ｐ．Ｑ．Ｒ．Ｓ」を書き込んだＩＰ−ｉｎ−ＩＰパケットを作成する。
【００１８】
ステップ３：その後、カプセル化処理部１０２は、そのパケットをトンネル識別子で特定されるトンネルを介して攻撃パケット検出・対処装置６宛に送信する。
ステップ４：一方、ステップ１１０１でパケットがルーティングポリシリスト１０５に記述されたものに該当しなければ、ルーティング部１０１は、ルーティングテーブル１０６を参照して、回線識別子を特定する。
ステップ５：そのパケットを回線識別子で特定される回線を介して宛先へ送信する。
【００１９】
例えば、図２４に示したルーティングポリシリスト１０５の場合、トンネル機能付ルータ１１は、アクセス回線４１を介して攻撃コンピュータ１から受信したパケットの宛先アドレスが被攻撃サーバ３のアドレスと一致していると、そのパケットを図２２に示したＩＰユーザデータ２０４とするＩＰ−ｉｎ−ＩＰトンネルパケットを作成する。そして、作成したパケットをトンネル識別子２１のトンネルが疎通されているネットワーク回線５１を介して攻撃パケット検出・対処装置６宛に送信する。
【００２０】
次に、攻撃パケット検出・対処装置の構成を説明する。図２７は攻撃パケット検出・対処装置の一構成例を示すブロック図である。
【００２１】
図２７に示すように、攻撃パケット検出・対処装置６は、ネットワーク回線６１を含むトンネル２１を介してトンネル機能付ルータ１１と接続され、ネットワーク回線６１を含むトンネル２２を介してトンネル機能付ルータ１２と接続されている。また、攻撃パケット検出・対処装置６は、デカプセル化処理を行うデカプセル化処理部２０７と、トンネルに関する情報が保存されたトンネル情報テーブル２０９と、トンネルから流入するトラヒックを格納するトンネルフローテーブル２０５と、これらのテーブルを使って攻撃パケットを対処するとともに、正常パケットをネットワーク回線６１に送信する攻撃パケット対処・正常パケット送信部２０８と、トンネル設定装置３０１からの指示にしたがってトンネル情報テーブル２０９を更新するトンネル情報テーブル更新部２０６とを有する構成である。図２８（ａ）および（ｂ）はトンネル情報テーブル２０９の一例を示す表である。
【００２２】
なお、攻撃パケット検出・対処装置６は、各種テーブルが格納される記憶部（不図示）と、プログラムにしたがって所定の処理を実行するＣＰＵおよびプログラムを格納するためのメモリを含む制御部（不図示）とを有する。デカプセル化処理部２０７、攻撃パケット対処・正常パケット送信部２０８およびトンネル情報テーブル更新部２０６は、ＣＰＵがプログラムを実行することで装置内に仮想的に構成される。
【００２３】
次に、トンネル機能付ルータからパケットを受信したときの攻撃パケット検出・対処装置６の動作を説明する。
【００２４】
攻撃パケット検出・対処装置６がパケットを受信すると、デカプセル化処理部２０７は、受信したパケットのトンネル識別子と、ＧＲＥトンネルのカプセル化用ＩＰヘッダ２０１内の送信元ＩＰアドレスを調べる。また、受信したパケットをトンネルごとにフロー（ここでは宛先アドレス単位のパケットの流れ）単位でレート（単位時間当たりに受信したパケット数）を計測し、その結果をトンネルフローテーブル２０５に格納する。攻撃パケット対処・正常パケット送信部２０８は、攻撃パケット検出アルゴリズムにしたがってフローが攻撃であるかどうか調べる。もし、フローが攻撃であると判断すると、そのパケットを廃棄する。一方、フローが正常と判断すると、そのパケットをネットワーク回線６１に戻す。
【００２５】
なお、正常パケットを宛先までループを発生させることなく届けるには、トンネル機能付ルータにそのための機能が必要であるが、本発明には関連しない部分であるため、その詳細な説明を省略する。
【００２６】
上述したように、図２１に示した従来のシステムでは、ルータから攻撃パケット検出・対処装置６への上りのトンネルを設定した場合であった。これに対して、攻撃パケット検出・対処装置６と被攻撃サーバに接続されたルータとの間にトンネルを設定する方式もある。以下に、その方式の場合のシステムについて説明する。ここでは、図２１と異なる構成について詳細に説明する。
【００２７】
図２９は、従来のシステムの他の構成例を示すブロック図である。図２９に示すように、攻撃パケット検出・対処装置６から２つの被攻撃サーバ３１、３２のそれぞれにトンネル２３、２４のそれぞれが設定されている。
【００２８】
このシステム構成では、トンネル機能付ルータ１１、１２は、被攻撃サーバ３１または被攻撃サーバ３２宛のパケットについて迂回指示装置５から迂回指示を受け取ると、トンネルを使わずに攻撃パケット検出・対処装置６へパケットを迂回させる。具体的には、ルーティングポリシリスト１０５でのトンネル情報が出力回線となる。
【００２９】
図２９に示すシステムにおける攻撃パケット検出・対処装置６の構成を説明する。図３０は図２９に示した攻撃パケット検出・対処装置６の一構成例を示すブロック図である。
【００３０】
図３０に示すように、攻撃パケット検出・対処装置６は、カプセル化処理を行うカプセル化処理部３０２と、トンネルに関する情報が保存されているトンネル情報テーブル３０４と、トンネルから流入するトラヒックを格納するフローテーブル３０５と、これらのテーブルを使って攻撃パケットを対処し、正常パケットをネットワーク回線６１に送信する攻撃パケット対処・正常パケット送信部３０３と、トンネル設定装置３０１からの指示にしたがってトンネル情報テーブル３０４を更新するトンネル情報テーブル更新部３０６とを有する構成である。
【００３１】
なお、攻撃パケット検出・対処装置６は、各種テーブルが格納される記憶部（不図示）と、プログラムにしたがって所定の処理を実行するＣＰＵおよびプログラムを格納するためのメモリを含む制御部（不図示）とを有する。カプセル化処理部３０２、攻撃パケット対処・正常パケット送信部３０３およびトンネル情報テーブル更新部３０６は、ＣＰＵがプログラムを実行することで装置内に仮想的に構成される。
【非特許文献１】濱野  貴文，鈴木  亮一，池川  隆司，市川  弘幸：“トラヒック集約処理を用いたネットワークベース攻撃防御方式”，電子情報通信学会ネットワークシステム研究会、ＮＳ２００３−２８８、２００４年０３月
【発明の開示】
【発明が解決しようとする課題】
【００３２】
従来の技術では、次のような問題点がある。攻撃パケット検出・対処装置まで迂回したトラヒックは、迂回しない場合と比べて、多くのネットワークおよびルータを経由して、攻撃パケット検出・対処装置または正しい宛先まで転送される。そのため、正常トラヒックに関しては、迂回することにより、正しい宛先に到達するまでの遅延時間が長くなってしまう。
【００３３】
本発明は上述したような従来の技術が有する問題点を解決するためになされたものであり、攻撃パケットに対処するとともに、送信先への正常パケットの転送時間を従来よりも短くすることを可能にした攻撃パケット対処システム、ルータ、トンネル設定装置および攻撃パケット対処方法を提供することを目的とする。
【課題を解決するための手段】
【００３４】
上記目的を達成するための本発明の攻撃パケット対処システムは、
特定の情報処理装置宛のパケットを被疑パケットとして検出する検出装置と、
前記検出装置とネットワークを介して接続され、前記被疑パケットが正常か否かを判定する対処装置と、
前記ネットワークに接続され、前記検出装置から前記被疑パケットの検出の通知を受け取った後、前記被疑パケットを受信すると、該被疑パケットのヘッダに送信の優先度が記述されているか否かを調べ、該優先度が記述されていない場合、他のパケットよりも送信を優先する旨の書き込みを行って前記対処装置宛に送出し、該被疑パケットのヘッダに前記優先度が書き込まれている場合、該優先度にしたがって該被疑パケットを前記対処装置宛に送出するルータと、
を有する構成である。
【００３５】
本発明によれば、ネットワーク内に設けられたルータが特定の情報処理装置宛の被疑パケットを優先して対処装置に送るため、その情報処理装置宛の正常パケットの通信の遅延時間を従来よりも抑えることが可能となる。
【００３６】
また、上記本発明の攻撃パケット対処システムにおいて、前記ルータとして少なくとも第１および第２のルータが前記ネットワークに接続され、
前記ネットワークに接続され、前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記被疑パケットの送出元に接続された前記第１のルータと前記対処装置に接続された第２のルータとの間に前記被疑パケットを他のパケットに比べて優先的に送信するためのトンネルを設定するトンネル設定装置をさらに有することとしてもよい。この場合、被疑パケットの送出元と対処装置との間にトンネルを設定するため、正常パケットを含む被疑パケットをより早く対処装置に送ることが可能となる。
【００３７】
また、上記本発明の攻撃パケット対処システムにおいて、前記ルータとして少なくとも第１および第２のルータが前記ネットワークに接続され、
前記ネットワークに接続され、前記検出装置から前記被疑パケットの検出の通知を受け取ると、前記特定の情報処理装置に接続された前記第１のルータと前記対処装置に接続された前記第２のルータとの間に前記被疑パケットを他のパケットに比べて優先的に送信するためのトンネルを設定するトンネル設定装置をさらに有することとしてもよい。この場合、特定の情報処理装置と対処装置との間にトンネルを設定するため、正常パケットをより早く対処装置から特定の情報処理装置に送ることが可能となる。
【００３８】
さらに、上記本発明の攻撃パケット対処システムにおいて、
前記ネットワークに接続され、前記特定の情報処理装置に接続された回線の帯域の情報を取得し、該回線の帯域の情報を前記トンネル設定装置に通知する帯域情報取得装置をさらに有し、
前記トンネル設定装置は、
前記特定の情報処理装置に接続された回線の帯域の情報を前記帯域情報取得装置から受け取ると、前記トンネルを該回線よりも帯域を広く設定することとしてもよい。この場合、トンネルの帯域を特定の情報処理装置のアクセス回線よりも広くすることで、トラヒックが従来よりも増大しても、より確実に輻輳を防止することが可能となる。
【発明の効果】
【００３９】
本発明によれば、パケットを攻撃パケット検出・対処装置に迂回させてしまっても、送信先への正常パケットの転送時間が従来よりも短くなる。
【発明を実施するための最良の形態】
【００４０】
本発明の攻撃パケット対処システムの実施例を説明する。
【実施例１】
【００４１】
本実施例の攻撃パケット対処システムの構成を説明する。図１は本実施例のシステムの一構成例を示すブロック図である。なお、従来のシステムと同様な構成については同一の符号を付し、その詳細な説明を省略する。
【００４２】
図１に示すように、本実施例のシステムは、図２１に示した従来のシステムにおけるトンネル機能付ルータ１１、１２の代わりに、トンネル機能付ルータ１１、１２に優先転送機能を追加した優先転送・トンネル機能付ルータ１０１１、１０１２が設けられている。トンネル機能付ルータ１３の代わりに、優先転送機能を有する優先転送機能付ルータ１０１５が設けられている。従来のシステムにおけるトンネル２１とトンネル２２の代わりに、優先度付トンネル１０２１と優先度付トンネル１０２２が設定されている。
【００４３】
また、優先度付トンネル１０２１の経路途中に優先転送機能付ルータ１０１３が設けられ、優先度付トンネル１０２２の経路途中に優先転送機能付ルータ１０１４が設けられている。さらに、従来のシステムにおけるトンネル設定装置３０１の代わりに優先度付トンネル設定装置１３０１が設けられている。
【００４４】
優先転送・トンネル機能付ルータ１０１１、１０１２、および優先転送機能付ルータ１０１３〜１０１５は、ＲＦＣ２４７５において規定されているＤｉｆｆＳｅｒｖ（Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅｓ）を提供する機能を有する。これらのルータは、ＩＰヘッダ内のＤｉｆｆＳｅｒｖフィールドで指定された優先度に対応してパケットを転送する。
【００４５】
次に、優先転送・トンネル機能付ルータ１０１１の構成を説明する。なお、優先転送・トンネル機能付ルータ１０１１、１０１２は同様な構成であるため、ここでは、優先転送・トンネル機能付ルータ１０１１の場合で説明する。
【００４６】
図２は優先転送・トンネル機能付ルータの一構成例を示すブロック図である。図２に示すように、図２３に示した従来のトンネル機能付ルータのカプセル化処理部１０２の代わりに優先度付カプセル化処理部１１０２が設けられ、トンネル情報テーブル１０４の代わりに優先度付トンネル情報テーブル１１０４が設けられ、トンネル情報テーブル更新部１０７の代わりに優先度付トンネル情報テーブル更新部１１０７が設けられている。そして、本実施例の優先転送・トンネル機能付ルータ１０１１には、優先転送処理部１１０８が設けられている。
【００４７】
優先転送・トンネル機能付ルータ１０１１は、各種テーブルが格納される記憶部（不図示）と、プログラムにしたがって所定の処理を実行するＣＰＵおよびプログラムを格納するためのメモリを含む制御部（不図示）とを有する。優先度付カプセル化処理部１１０２、優先度付トンネル情報テーブル更新部１１０７および優先転送処理部１１０８は、ＣＰＵがプログラムを実行することでルータ内に仮想的に構成される。
【００４８】
図３は優先度付トンネル情報テーブル１１０４の一例を示す表である。図３では、優先度の例として、ＥＦ（Ｅｘｐｅｄｉｔｅｄ  Ｆｏｒｗａｒｄｉｎｇ）を用いているが、ＡＦ（Ａｓｓｕｒｅｄ  Ｆｏｒｗａｒｄｉｎｇ）を用いてもよい。
【００４９】
次に、本実施例のシステムの各構成について、本実施例の特徴部分の動作を中心に説明する。
【００５０】
被疑パケット検出装置４が、攻撃コンピュータ１から被攻撃サーバ３宛に送出されるパケットを検出すると、被疑パケットを検出した旨を迂回指示装置５を介して優先度付トンネル設定装置１３０１に通知する。優先度付トンネル設定装置１３０１は、被疑パケットを検出した旨の通知を受け取ると、従来のトンネルのトポロジのみならず、ＤｉｆｆＳｅｒｖで規定される優先度も設定する。優先度付トンネル情報テーブル更新部１１０７は、優先度付トンネル設定装置１３０１から指定された優先度を優先度付トンネル情報テーブル１１０４に設定する。優先度付カプセル化処理部１１０２は、優先度付トンネル情報テーブル１１０４内の優先度に基づいて、ＧＲＥトンネルのカプセル化用ＩＰヘッダ内のＤｉｆｆＳｅｒｖフィールドを設定する。これにより、被疑パケットを攻撃パケット検出・対処装置６に転送するためのトンネルが設定される。優先転送処理部１１０８は、パケットを受信すると、ＩＰヘッダ内のＤｉｆｆＳｅｒｖフィールドの優先度を調べ、優先度に基づいて優先処理を行う。例えば、被攻撃サーバ３宛のパケットに他のパケットよりも通信の優先度を高く設定しておけば、優先転送処理部１１０８は、被攻撃サーバ３宛のパケットに他のパケットに優先して送出する。
【００５１】
本実施例のシステムでは、被攻撃サーバ宛のパケットの優先度を他のパケットよりも高くすれば、優先転送・トンネル機能付ルータおよび優先転送機能付ルータが、この優先度に基づいて転送処理を行うため、従来のシステムより短い時間で迂回トラヒックを攻撃パケット検出・対処装置にまで届けることができる。
【００５２】
正常トラヒックに関しては、攻撃パケット検出・対処装置を迂回させてしまっても、送信先への正常パケットの転送時間が従来よりも短くなり、正しい宛先に到達するまでの遅延時間が長くなるのを抑制できる。
【００５３】
なお、図２９に示した従来のシステムについて、本実施例を適用してもよい。この場合も上述したのと同様の効果が得られる。また、トンネルを設定しなくても、ネットワーク内のルータに対して被攻撃サーバ宛のパケットに他のパケットよりも通信の優先度を高くするように設定しておけば、そのルータが被攻撃サーバ宛の被疑パケットを他のパケットよりも優先して送出処理を行うため、被攻撃サーバ宛の正常パケットの通信の遅延時間を従来よりも抑えることが可能となる。
【実施例２】
【００５４】
本実施例の攻撃パケット対処システムの構成を説明する。本実施例のシステムでは、書籍：伊土他、“次世代インターネット技術”，オーム社、平成１２年８月，ｐｐ．７４−７７において述べられているシグナリング方式により、ネットワーク内の帯域を確保する方式を採用する。
【００５５】
図４は本実施例のシステムの一構成例を示すブロック図である。なお、従来のシステムと同様な構成については同一の符号を付し、その詳細な説明を省略する。
【００５６】
図４に示すように、本実施例のシステムは、従来のシステムにおけるトンネル機能付ルータ１１、１２の代わりに、トンネル機能付ルータ１１、１２に帯域確保型転送機能を追加した帯域確保転送・トンネル機能付ルータ２０１１、２０１２が設けられている。トンネル機能付ルータ１３の代わりに、帯域確保型転送機能を有する帯域確保転送機能付ルータ２０１４が設けられている。従来のシステムにおけるトンネル２１とトンネル２２の代わりに、帯域確保型トンネル２０２１と帯域確保型トンネル２０２２が設定されている。
【００５７】
また、帯域確保型トンネル２０２１の経路途中に帯域確保転送機能付ルータ２０１３が設けられている。トンネル設定装置３０１の代わりに帯域確保型トンネル設定装置２３０１が設けられ、被疑パケット検出装置４の代わりに被疑パケット発生停止検出装置２００４が設けられている。さらに、本実施例のシステムでは、ＱｏＳ（Ｑｕａｌｉｔｙ  ｏｆ  Ｓｅｒｖｉｃｅ）ポリシサーバ２４０１が帯域確保転送機能付ルータ２０１４に接続されている。
【００５８】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２、および帯域確保転送機能付ルータ２０１３、２０１４は、ＲＦＣ１６３３において規定されているＩｎｔＳｅｒｖ（Ｉｎｔｅｇｒａｔｅｄ  Ｓｅｒｖｉｃｅｓ）を提供する機能を有する。これらのルータは、ＩＰヘッダ内のフロー識別子により、そのフローに割り当てられている帯域を使ってパケットを転送する。
【００５９】
次に、帯域確保転送・トンネル機能付ルータ２０１１の構成を説明する。なお、帯域確保転送・トンネル機能付ルータ２０１１、２０１２は同様な構成であるため、ここでは、帯域確保転送・トンネル機能付ルータ２０１１の場合で説明する。
【００６０】
図５は帯域確保転送・トンネル機能付ルータの一構成例を示すブロック図である。図５に示すように、図２３に示した従来のトンネル機能付ルータのカプセル化処理部１０２の代わりに帯域確保型カプセル化処理部２１０２が設けられ、トンネル情報テーブル１０４の代わりに帯域確保型トンネル情報テーブル２１０４が設けられ、トンネル情報テーブル更新部１０７の代わりに帯域確保型トンネル情報テーブル更新部２１０７が設けられている。そして、本実施例の帯域確保転送・トンネル機能付ルータ２０１１には、帯域確保型転送処理部２１０８が設けられている。図６は帯域確保型トンネル情報テーブル２１０４の一例を示す表である。
【００６１】
帯域確保転送・トンネル機能付ルータ２０１１は、各種テーブルが格納される記憶部（不図示）と、プログラムにしたがって所定の処理を実行するＣＰＵおよびプログラムを格納するためのメモリを含む制御部（不図示）とを有する。帯域確保型カプセル化処理部２１０２、帯域確保型トンネル情報テーブル更新部２１０７および帯域確保型転送処理部２１０８は、ＣＰＵがプログラムを実行することでルータ内に仮想的に構成される。
【００６２】
次に、本実施例のシステムの各構成について、従来技術の場合と異なる動作を説明する。
【００６３】
帯域確保型トンネル設定装置２３０１は、従来のトンネルのトポロジのみならず、ＩｎｔＳｅｒｖで規定される帯域も設定する。帯域確保型トンネル情報テーブル更新部２１０７は、ＱｏＳポリシサーバ２４０１により指定された帯域およびフロー識別子を帯域確保型トンネル情報テーブル２１０４に設定する。帯域確保型カプセル化処理部１１０２は、帯域確保型トンネル情報テーブル２１０４内のフロー識別子に基づいて、ＧＲＥトンネルのカプセル化用ＩＰヘッダ内のフロー識別子フィールドを設定する。帯域確保型転送処理部２１０８は、ＩＰヘッダ内のフロー識別子フィールドの値に基づいて、そのフローで確保されている帯域での転送処理を行う。
【００６４】
次に、攻撃パケットが発生したときの各装置間の処理の流れを説明する。図７から図９は各装置間の処理の流れを示す図である。この実施例では、トンネルと帯域の設定を別の手順により行っているが、同時に行うことができる場合は、同時に行ってもよい。
【００６５】
図７に示すように、攻撃コンピュータ１が被攻撃サーバ３に向けて攻撃パケットの送信を開始する（ステップ３００１）。攻撃パケットは、帯域確保転送・トンネル機能付ルータ２０１１、帯域確保転送・トンネル機能付ルータ２０１３、および帯域確保転送機能付ルータ２０１４を経由して被攻撃サーバ３まで届く（ステップ３００２）。被疑パケット発生停止検出装置２００４が被疑パケットの発生を検出する（ステップ３００３）。続いて、被疑パケット発生停止検出装置２００４は、帯域確保型トンネル設定・解除装置２３０１にトンネル設定要求を行う（ステップ３１０１）。
【００６６】
本実施例では、以下のようにして、攻撃パケット検出・対処装置６に接続された帯域確保型転送・トンネル機能付ルータ２０１４と帯域確保型転送・トンネル機能付ルータ２０１１との間にトンネルを設定し、帯域確保型転送・トンネル機能付ルータ２０１４と帯域確保型転送・トンネル機能付ルータ２０１２との間にトンネルを設定する。
【００６７】
帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４からトンネル設定要求の通知を受け取ると、トンネルトポロジ情報ＤＢ２３０２の情報をもとに攻撃パケット検出・対処装置６に対して設定要求を行う（ステップ３１０２）。攻撃パケット検出・対処装置６が帯域確保型トンネル設定・解除装置２３０１から設定要求の通知を受け取ると、トンネル情報テーブル更新部２０６がトンネル情報テーブル２０９を更新する（ステップ３１０３）。そして、攻撃パケット検出・対処装置６は、設定要求を了承した旨の応答を帯域確保型トンネル設定・解除装置２３０１に返す（ステップ３１０４）。
【００６８】
帯域確保型トンネル設定・解除装置２３０１は、攻撃パケット検出・対処装置６から応答を受け取ると、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれにトンネル設定要求を行う（ステップ３１０５、３１０８）。帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが帯域確保型トンネル設定・解除装置２３０１からトンネル設定要求の通知を受け取ると、帯域確保型トンネル情報テーブル更新部２１０７が帯域確保型トンネル情報テーブル２１０４を更新する。その後、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、トンネル設定した旨の応答を帯域確保型トンネル設定・解除装置２３０１に返す（ステップ３１０７、３１１０）。帯域確保型トンネル設定・解除装置２３０１は、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２から応答を受け取ると、被疑パケット発生停止検出装置２００４にトンネル設定完了の応答を返す（ステップ３１１１）。
【００６９】
続いて、被疑パケット発生停止検出装置２００４は、帯域確保型トンネル設定・解除装置２３０１からトンネル設定完了の応答を受け取ると、図８に示すように、帯域確保型トンネル設定・解除装置２３０１に帯域確保要求を行う（ステップ３２０１）。帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４から帯域確保要求の通知を受け取ると、ＱｏＳポリシサーバ２４０１に帯域確保要求を行う（ステップ３２０２）。ＱｏＳポリシサーバ２４０１は、帯域確保型トンネル設定・解除装置２３０１から帯域確保要求の通知を受け取ると、予め指定された帯域を確保するための帯域確保要求を、帯域確保転送・トンネル機能付ルータ２０１１、２０１２と帯域確保転送機能付ルータ２０１３、２０１４のそれぞれに対して行う（ステップ３２０３、３２０６、３２０９、３２１２）。
【００７０】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、ＱｏＳポリシサーバ２４０１から帯域確保要求の通知を受け取ると、指定された帯域確保の処理を行った後、帯域を確保した旨の情報を示す帯域確保応答をＱｏＳポリシサーバ２４０１に返す（ステップ３２０５、３２０８）。また、帯域確保転送機能付ルータ２０１３、２０１４のそれぞれは、ＱｏＳポリシサーバ２４０１から帯域確保要求の通知を受け取ると、指定された帯域確保の処理を行った後、帯域確保応答をＱｏＳポリシサーバ２４０１に返す（ステップ３２１１、３２１４）。ＱｏＳポリシサーバ２４０１は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２、および帯域確保転送機能付ルータ２０１３、２０１４から帯域確保応答を受け取ると、帯域確保型トンネル設定・解除装置２３０１に帯域確保応答を行う（ステップ３２１５）。帯域確保型トンネル設定・解除装置２３０１は、ＱｏＳポリシサーバ２４０１から帯域確保応答を受け取ると、被疑パケット発生停止検出装置２００４に帯域確保応答を行う（ステップ３２１６）。
【００７１】
続いて、図９に示すように、被疑パケット発生停止検出装置２００４は、被攻撃サーバ３宛のパケットを攻撃パケット検出・対処装置６に迂回させるための迂回指示を迂回指示装置５に行う（ステップ３３０１）。迂回指示装置５は、被疑パケット発生停止検出装置２００４から迂回指示の通知を受け取ると、被攻撃サーバ３宛のパケットに対する迂回指示を帯域確保転送・トンネル機能付ルータ２０１１、２０１２に行う（ステップ３３０２、３３０５）。
【００７２】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが迂回指示装置５から迂回指示の通知を受け取ると、ルーティングポリシリスト更新部１０３がルーティングポリシリスト１０５を更新する。そして、帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、迂回処理を設定した旨の情報を示す迂回処理応答を迂回指示装置５に返す（ステップ３３０４、３３０７）。迂回指示装置５は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２から迂回処理応答を受け取ると、被疑パケット発生停止検出装置２００４に迂回処理完了の応答を返す（ステップ３３０８）。その後、帯域確保転送・トンネル機能付ルータ２０１１は、攻撃コンピュータ１から被攻撃サーバ３宛のパケットを受け取ると、そのパケットを帯域確保型トンネル２０２１を介して攻撃パケット検出・対処装置６へ迂回させる（ステップ３４０１、３４０２）。
【００７３】
次に、攻撃パケットの発生が停止したときの各装置間の処理の流れを説明する。図１０から図１２は各装置間の処理の流れを示す図である。
【００７４】
図１０に示すように、攻撃コンピュータ１が被攻撃サーバ３に向けの攻撃パケットの送信を停止すると（ステップ４００１）、被疑パケット発生停止検出装置２００４が、被疑パケットの発生停止を検出する（ステップ４００２）。続いて、被疑パケット発生停止検出装置２００４は、被攻撃サーバ３宛のパケットを攻撃パケット検出・対処装置６に迂回させることを解除するための迂回解除指示を迂回指示装置５に行う（ステップ４１０１）。迂回指示装置５が、被疑パケット発生停止検出装置２００４から迂回解除指示の通知を受け取ると、被攻撃サーバ３宛のパケットに対する迂回を解除する旨の迂回解除要求を帯域確保転送・トンネル機能付ルータ２０１１、２０１２に行う（ステップ４１０２、４１０５）。
【００７５】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが迂回指示装置５から迂回解除要求の通知を受け取ると、ルーティングポリシリスト更新部１０３がルーティングポリシリスト１０５を更新する。そして、帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが、迂回処理を解除した旨の情報を示す迂回解除応答を迂回指示装置５に返す（ステップ４１０４、４１０７）。迂回指示装置５は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２から迂回解除応答を受け取ると、被疑パケット発生停止検出装置２００４に迂回解除完了の応答を返す（ステップ４１０８）。
【００７６】
続いて、被疑パケット発生停止検出装置２００４は、迂回指示装置５から迂回解除完了の通知を受け取ると、図１１に示すように、帯域確保型トンネル設定・解除装置２３０１に帯域解除要求を行う（ステップ４２０１）。帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４から帯域解除要求の通知を受け取ると、ＱｏＳポリシサーバ２４０１に帯域解除要求を行う（ステップ４２０２）。ＱｏＳポリシサーバ２４０１は、指定した帯域確保を解除するための帯域解除要求を帯域確保転送・トンネル機能付ルータ２０１１、２０１２と帯域確保転送機能付ルータ２０１３、２０１４のそれぞれに対して行う（ステップ４２０３、４２０６、４２０９、４２１２）。
【００７７】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、ＱｏＳポリシサーバ２４０１から帯域解除要求の通知を受け取ると、指定された帯域確保の処理を解除した後、帯域確保を解除した旨の情報を示す帯域解除応答をＱｏＳポリシサーバ２４０１に返す（ステップ４２０５、４２０８）。また、帯域確保転送機能付ルータ２０１３、２０１４のそれぞれは、ＱｏＳポリシサーバ２４０１から帯域解除要求の通知を受け取ると、指定された帯域確保の処理を解除した後、帯域解除応答をＱｏＳポリシサーバ２４０１に返す（ステップ４２１１、４２１４）。ＱｏＳポリシサーバ２４０１は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２、および帯域確保転送機能付ルータ２０１３、２０１４から帯域解除応答を受け取ると、帯域確保型トンネル設定・解除装置２３０１に帯域解除応答を行う（ステップ４２１５）。帯域確保型トンネル設定・解除装置２３０１は、ＱｏＳポリシサーバ２４０１から帯域解除応答を受け取ると、被疑パケット発生停止検出装置２００４に帯域解除応答を行う（ステップ４２１６）。
【００７８】
続いて、被疑パケット発生停止検出装置２００４は、帯域確保型トンネル設定・解除装置２３０１から帯域解除応答を受け取ると、図１２に示すように、帯域確保型トンネル設定・解除装置２３０１にトンネル開放要求を行う（ステップ４３０１）。帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４からトンネル開放要求の通知を受け取ると、攻撃パケット検出・対処装置６にトンネル開放要求を行う（ステップ４３０２）。攻撃パケット検出・対処装置６は、帯域確保型トンネル設定・解除装置２３０１からトンネル開放要求の通知を受け取ると、トンネル情報テーブル更新部２０６がトンネル情報テーブル２０９を更新する。そして、攻撃パケット検出・対処装置６は、トンネル開放の処理を行った旨の情報を示すトンネル開放応答を帯域確保型トンネル設定・解除装置２３０１に返す（ステップ４３０３〜４３０４）。帯域確保型トンネル設定・解除装置２３０１は、攻撃パケット検出・対処装置６からトンネル開放応答を受け取ると、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれにトンネル開放要求を行う（ステップ４３０５、４３０８）。
【００７９】
帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが帯域確保型トンネル設定・解除装置２３０１からトンネル開放要求の通知を受け取ると、帯域確保型トンネル情報テーブル更新部２１０７が帯域確保型トンネル情報テーブル２１０４を更新する。そして、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、帯域確保型トンネル設定・解除装置２３０１にトンネル開放応答を返す（ステップ４３０７、４３１０）。帯域確保型トンネル設定・解除装置２３０１は、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２からトンネル開放応答を受け取ると、トンネル開放完了を示すトンネル開放完了応答を被疑パケット発生停止検出装置２００４に返す（ステップ４３１１）。
【００８０】
なお、本実施例では、被疑パケット発生停止検出装置が、最初に被疑パケットを検出したとき、帯域確保型トンネル設定・解除装置が、攻撃パケット検出・対処装置に接続されたトンネル機能付ルータとその他のトンネル機能付ルータとの間のトンネルを設定した。その後、被疑パケット発生停止検出装置が、被疑パケットの発生停止を検出したとき、帯域確保型トンネル設定・解除装置が全てのトンネルを開放していた。このとき、攻撃パケット検出・対処装置により、正常トラヒックのみが送られ、悪意トラヒックが疎通していないと判断したトンネルを開放するようにしてもよい。正常なトラヒックであれば、攻撃パケットのように多量にデータが送られることがなく、輻輳するおそれがないからである。これにより、ネットワークを有効に活用できる。
【００８１】
本実施例のシステムでは、ＤｏＳ攻撃のように大量のデータを送る攻撃のトラヒックを攻撃パケット検出・対処装置に転送する場合は、通常の回線よりも帯域を広くしているため、途中で輻輳が発生することなく送ることができる。この場合、輻輳による遅延時間を抑えることができる。また、パケットを迂回させない場合は無駄な帯域を確保せず、ネットワーク内の他の正常パケットの転送処理が遅れるのを防ぎ、迂回させる場合は必要な帯域を確保する。そのため、ネットワークを有効に活用することができる。
【実施例３】
【００８２】
本実施例は、図２９に示した従来のシステムの場合に実施例２を適用したものである。図２９に示した従来のシステムの場合では、トンネルは攻撃パケット検出・対処装置６と被攻撃サーバ間で設定される。
【００８３】
本実施例の攻撃パケット対処システムの構成を説明する。図１３は本実施例のシステムの一構成例を示すブロック図である。なお、従来技術、または実施例２と同様な構成については、同一の符号を付し、その詳細な説明を省略する。
【００８４】
図１３に示すように、本実施例では、被攻撃サーバ３１が帯域確保転送・トンネル機能付ルータ２０１１を介してネットワーク１００に接続され、被攻撃サーバ３２が帯域確保転送・トンネル機能付ルータ２０１２を介してネットワーク１００に接続されている。
【００８５】
次に、攻撃パケットが発生したときの各装置間の処理の流れを説明する。図１４から図１６は各装置間の処理の流れを示す図である。この実施例では、トンネルと帯域の設定を別の手順により行っているが、同時に行うことができる場合は、同時に行ってもよい。
【００８６】
図１４に示すように、攻撃コンピュータ１が被攻撃サーバ３１、３２に向けて攻撃パケットの送信を開始する（ステップ５００１）。攻撃パケットは、帯域確保転送・トンネル機能付ルータ２０１１を経由して被攻撃サーバ３１に届き、また、帯域確保転送・トンネル機能付ルータ２０１２を経由して被攻撃サーバ３２に届く（ステップ５００２）。被疑パケット発生停止検出装置２００４が被疑パケットの発生を検出する（ステップ５００３）。続いて、被疑パケット発生停止検出装置２００４は、帯域確保型トンネル設定・解除装置２３０１にトンネル設定要求を行う（ステップ５１０１）。
【００８７】
本実施例では、以下のようにして、攻撃パケット検出・対処装置６に接続された帯域確保型転送・トンネル機能付ルータ２０１４と帯域確保型転送・トンネル機能付ルータ２０１１との間にトンネルを設定し、帯域確保型転送・トンネル機能付ルータ２０１４と帯域確保型転送・トンネル機能付ルータ２０１２との間にトンネルを設定する。
【００８８】
帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４からトンネル設定要求の通知を受け取ると、トンネルトポロジ情報ＤＢ２３０２の情報をもとに攻撃パケット検出・対処装置６に対して設定要求を行う（ステップ５１０２）。攻撃パケット検出・対処装置６が帯域確保型トンネル設定・解除装置２３０１から設定要求の通知を受け取ると、トンネル情報テーブル更新部３０６がトンネル情報テーブル３０４を更新する（ステップ５１０３）。そして、攻撃パケット検出・対処装置６は、設定要求を了承した旨の応答を帯域確保型トンネル設定・解除装置２３０１に返す（ステップ５１０４）。
【００８９】
帯域確保型トンネル設定・解除装置２３０１は、攻撃パケット検出・対処装置６から応答を受け取ると、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれにトンネル設定要求を行う（ステップ５１０５、５１０８）。帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが帯域確保型トンネル設定・解除装置２３０１からトンネル設定要求の通知を受け取ると、帯域確保型トンネル情報テーブル更新部２１０７が帯域確保型トンネル情報テーブル２１０４を更新する。その後、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、トンネル設定した旨の応答を帯域確保型トンネル設定・解除装置２３０１に返す（ステップ５１０７、５１１０）。帯域確保型トンネル設定・解除装置２３０１は、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２から応答を受け取ると、被疑パケット発生停止検出装置２００４にトンネル設定完了の応答を返す（ステップ５１１１）。
【００９０】
続いて、被疑パケット発生停止検出装置２００４は、帯域確保型トンネル設定・解除装置２３０１からトンネル設定完了の応答を受け取ると、図１５に示すように、帯域確保型トンネル設定・解除装置２３０１に帯域確保要求を行う（ステップ５２０１）。帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４から帯域確保要求の通知を受け取ると、ＱｏＳポリシサーバ２４０１に帯域確保要求を行う（ステップ５２０２）。ＱｏＳポリシサーバ２４０１は、帯域確保型トンネル設定・解除装置２３０１から帯域確保要求の通知を受け取ると、予め指定された帯域を確保するための帯域確保要求を、帯域確保転送・トンネル機能付ルータ２０１１、２０１２と帯域確保転送機能付ルータ２０１４のそれぞれに対して行う（ステップ５２０３、５２０６、５２０９）。
【００９１】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、ＱｏＳポリシサーバ２４０１から帯域確保要求の通知を受け取ると、指定された帯域確保の処理を行った後、帯域を確保した旨の情報を示す帯域確保応答をＱｏＳポリシサーバ２４０１に返す（ステップ５２０５、５２０８）。また、帯域確保転送機能付ルータ２０１４は、ＱｏＳポリシサーバ２４０１から帯域確保要求の通知を受け取ると、指定された帯域確保の処理を行った後、帯域確保応答をＱｏＳポリシサーバ２４０１に返す（ステップ５２１１）。ＱｏＳポリシサーバ２４０１は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２、および帯域確保転送機能付ルータ２０１４から帯域確保応答を受け取ると、帯域確保型トンネル設定・解除装置２３０１に帯域確保応答を行う（ステップ５２１５）。帯域確保型トンネル設定・解除装置２３０１は、ＱｏＳポリシサーバ２４０１から帯域確保応答を受け取ると、被疑パケット発生停止検出装置２００４に帯域確保応答を行う（ステップ５２１６）。
【００９２】
続いて、図１６に示すように、被疑パケット発生停止検出装置２００４は、被攻撃サーバ３宛のパケットを攻撃パケット検出・対処装置６に迂回させるための迂回指示を迂回指示装置５に行う（ステップ５３０１）。迂回指示装置５は、被疑パケット発生停止検出装置２００４から迂回指示の通知を受け取ると、被攻撃サーバ３１、３２宛のパケットに対する迂回指示を帯域確保転送・トンネル機能付ルータ２０１１、２０１２に行う（ステップ５３０２、５３０５）。
【００９３】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが迂回指示装置５から迂回指示の通知を受け取ると、ルーティングポリシリスト更新部１０３がルーティングポリシリスト１０５を更新する。そして、帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、迂回処理を設定した旨の情報を示す迂回処理応答を迂回指示装置５に返す（ステップ５３０４、５３０７）。迂回指示装置５は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２から迂回処理応答を受け取ると、被疑パケット発生停止検出装置２００４に迂回処理完了の応答を返す（ステップ５３０８）。その後、例えば、帯域確保転送・トンネル機能付ルータ２０１１が、攻撃コンピュータ１から被攻撃サーバ３１宛のパケットを受け取ると、そのパケットを帯域確保型トンネル２０２１を介して攻撃パケット検出・対処装置６へ迂回させる（ステップ５４０１、５４０２）。
【００９４】
次に、攻撃パケットの発生が停止したときの各装置間の処理の流れを説明する。図１７から図１９は各装置間の処理の流れを示す図である。
【００９５】
図１７に示すように、攻撃コンピュータ１が被攻撃サーバ３１、３２に向けの攻撃パケットの送信を停止すると（ステップ６００１）、被疑パケット発生停止検出装置２００４が、被疑パケットの発生停止を検出する（ステップ６００２）。続いて、被疑パケット発生停止検出装置２００４は、被攻撃サーバ３宛のパケットを攻撃パケット検出・対処装置６に迂回させることを解除するための迂回解除指示を迂回指示装置５に行う（ステップ６１０１）。迂回指示装置５が、被疑パケット発生停止検出装置２００４から迂回解除指示の通知を受け取ると、被攻撃サーバ３宛のパケットに対する迂回を解除する旨の迂回解除要求を帯域確保転送・トンネル機能付ルータ２０１１、２０１２に行う（ステップ６１０２、６１０５）。
【００９６】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが迂回指示装置５から迂回解除要求の通知を受け取ると、ルーティングポリシリスト更新部１０３がルーティングポリシリスト１０５を更新する。そして、帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが、迂回処理を解除した旨の情報を示す迂回解除応答を迂回指示装置５に返す（ステップ６１０４、６１０７）。迂回指示装置５は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２から迂回解除応答を受け取ると、被疑パケット発生停止検出装置２００４に迂回解除完了の応答を返す（ステップ６１０８）。
【００９７】
続いて、被疑パケット発生停止検出装置２００４は、迂回指示装置５から迂回解除完了の通知を受け取ると、図１８に示すように、帯域確保型トンネル設定・解除装置２３０１に帯域解除要求を行う（ステップ６２０１）。帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４から帯域解除要求の通知を受け取ると、ＱｏＳポリシサーバ２４０１に帯域解除要求を行う（ステップ６２０２）。ＱｏＳポリシサーバ２４０１は、指定した帯域確保を解除するための帯域解除要求を帯域確保転送・トンネル機能付ルータ２０１１、２０１２と帯域確保転送機能付ルータ２０１４のそれぞれに対して行う（ステップ６２０３、６２０６、６２０９）。
【００９８】
帯域確保転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、ＱｏＳポリシサーバ２４０１から帯域解除要求の通知を受け取ると、指定された帯域確保の処理を解除した後、帯域確保を解除した旨の情報を示す帯域解除応答をＱｏＳポリシサーバ２４０１に返す（ステップ６２０５、６２０８）。また、帯域確保転送機能付ルータ２０１４は、ＱｏＳポリシサーバ２４０１から帯域解除要求の通知を受け取ると、指定された帯域確保の処理を解除した後、帯域解除応答をＱｏＳポリシサーバ２４０１に返す（ステップ６２１１）。ＱｏＳポリシサーバ２４０１は、帯域確保転送・トンネル機能付ルータ２０１１、２０１２、および帯域確保転送機能付ルータ２０１４から帯域解除応答を受け取ると、帯域確保型トンネル設定・解除装置２３０１に帯域解除応答を行う（ステップ６２１５）。帯域確保型トンネル設定・解除装置２３０１は、ＱｏＳポリシサーバ２４０１から帯域解除応答を受け取ると、被疑パケット発生停止検出装置２００４に帯域解除応答を行う（ステップ６２１６）。
【００９９】
続いて、被疑パケット発生停止検出装置２００４は、帯域確保型トンネル設定・解除装置２３０１から帯域解除応答を受け取ると、図１９に示すように、帯域確保型トンネル設定・解除装置２３０１にトンネル開放要求を行う（ステップ６３０１）。帯域確保型トンネル設定・解除装置２３０１は、被疑パケット発生停止検出装置２００４からトンネル開放要求の通知を受け取ると、攻撃パケット検出・対処装置６にトンネル開放要求を行う（ステップ６３０２）。攻撃パケット検出・対処装置６は、帯域確保型トンネル設定・解除装置２３０１からトンネル開放要求の通知を受け取ると、トンネル情報テーブル更新部３０６がトンネル情報テーブル３０４を更新する。そして、攻撃パケット検出・対処装置６は、トンネル開放の処理を行った旨の情報を示すトンネル開放応答を帯域確保型トンネル設定・解除装置２３０１に返す（ステップ６３０３〜６３０４）。帯域確保型トンネル設定・解除装置２３０１は、攻撃パケット検出・対処装置６からトンネル開放応答を受け取ると、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれにトンネル開放要求を行う（ステップ６３０５、６３０８）。
【０１００】
帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれが帯域確保型トンネル設定・解除装置２３０１からトンネル開放要求の通知を受け取ると、帯域確保型トンネル情報テーブル更新部２１０７が帯域確保型トンネル情報テーブル２１０４を更新する。そして、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２のそれぞれは、帯域確保型トンネル設定・解除装置２３０１にトンネル開放応答を返す（ステップ６３０７、６３１０）。帯域確保型トンネル設定・解除装置２３０１は、帯域確保型転送・トンネル機能付ルータ２０１１、２０１２からトンネル開放応答を受け取ると、トンネル開放完了を示すトンネル開放完了応答を被疑パケット発生停止検出装置２００４に返す（ステップ６３１１）。
【０１０１】
本実施例でも、実施例２と同様に、攻撃パケット検出・対処装置に接続されたルータと被攻撃サーバに接続されたルータとの間に帯域を確保したトンネルを設定しているため、多くの攻撃パケットの処理が可能となる。また、攻撃パケット検出・対処装置が被疑パケットを正常パケットと判断した場合、帯域を確保したトンネルを介して多くの正常パケットを被攻撃サーバに送信することができる。その結果、正常パケットの遅延時間が長くなるのを抑制できる。
【０１０２】
なお、本実施例においても、攻撃パケット検出・対処装置により悪意トラヒックが疎通していないと判断したトンネルを開放するようにしてもよい。ルーティングポリシリストおよびトンネル情報テーブルの大きさは設定されているトンネル数に比例する。よって、トンネル数が多いほど、トンネルの検索時間が大きくなってしまう。そのため、図２９に示した従来のシステム構成の場合、被攻撃サーバの数が多いほど、検索時間が長くなってしまう。これに対して、悪意トラヒックが疎通していないと判断したトンネルを開放することにより、ルーティングポリシリストおよびトンネル情報テーブルは必要なとき、必要な分だけ作成されるため、装置でのメモリの有効活用、および検索時間の短縮をもたらす効果が得られる。
【実施例４】
【０１０３】
本実施例は、実施例２のシステムにおいて、各ルータでのアクセス回線での帯域の情報を取得するアクセス回線帯域取得装置を設けた構成である。以下に、本実施例の攻撃パケット対処システムの構成を説明する。
【０１０４】
図２０は本実施例のシステムの一構成例を示すブロック図である。なお、実施例２と同様な構成については同一の符号を付し、その詳細な説明を省略する。
【０１０５】
本実施例は、図４に示したシステム構成に、ネットワーク１００に接続されたアクセス回線帯域取得装置５００１が設けられている。各ルータ内のリンク情報テーブルにはアクセス回線での帯域情報が保存されている。アクセス回線帯域取得装置５００１は、定期的にルータにアクセスしてアクセス回線の帯域の情報を取得する。そして、その帯域情報を帯域確保型トンネル設定解除装置２３０１に通知する。帯域確保型トンネル設定解除装置２３０１は、アクセス回線帯域取得装置５００１から帯域情報を受け取ると、トンネルトポロジ情報ＤＢ２３０２に帯域情報を記録しておく。
【０１０６】
また、アクセス回線帯域取得装置５００１は、被攻撃サーバ３のアクセス回線の帯域情報を調べて帯域確保型トンネル設定解除装置２３０１に通知する。帯域確保型トンネル設定解除装置２３０１は、その通知をアクセス回線帯域取得装置５００１から受け取ると、帯域確保型トンネル２０２１、２０２２の帯域を被攻撃サーバ３のアクセス回線よりも広く設定する。帯域確保型トンネル２０２１、２０２２の帯域を被攻撃サーバ３のアクセス回線よりも広くすることで、被攻撃サーバ３宛のトラヒックが従来よりも増大しても、より確実に輻輳を防止することが可能となる。
【０１０７】
本実施例のシステムの動作について、実施例２に追加される部分を説明する。実施例２で説明した動作手順において、帯域確保型トンネルの設定および解除のそれぞれに対応して、上述のようにしてトンネルトポロジ情報ＤＢが更新される。
【０１０８】
本実施例では、帯域確保型トンネルの設定または解除によりネットワーク１００内の回線の帯域情報を一括して管理することが可能となる。
【図面の簡単な説明】
【０１０９】
【図１】実施例１の攻撃パケット対処システムの一構成例を示すブロック図である。
【図２】優先転送・トンネル機能付ルータの一構成例を示すブロック図である。
【図３】優先度付トンネル情報テーブルの一例を示す表である。
【図４】実施例２の攻撃パケット対処システムの一構成例を示すブロック図である。
【図５】帯域確保転送・トンネル機能付ルータの一構成例を示すブロック図である。
【図６】帯域確保型トンネル情報テーブルの一例を示す表である。
【図７】攻撃パケットが発生したときの各装置間の処理の流れを示す図である。
【図８】攻撃パケットが発生したときの各装置間の処理の流れを示す図である。
【図９】攻撃パケットが発生したときの各装置間の処理の流れを示す図である。
【図１０】攻撃パケットの発生が停止したときの各装置間の処理の流れを示す図である。
【図１１】攻撃パケットの発生が停止したときの各装置間の処理の流れを示す図である。
【図１２】攻撃パケットの発生が停止したときの各装置間の処理の流れを示す図である。
【図１３】実施例３の攻撃パケット対処システムの一構成例を示すブロック図である。
【図１４】攻撃パケットが発生したときの各装置間の処理の流れを示す図である。
【図１５】攻撃パケットが発生したときの各装置間の処理の流れを示す図である。
【図１６】攻撃パケットが発生したときの各装置間の処理の流れを示す図である。
【図１７】攻撃パケットの発生が停止したときの各装置間の処理の流れを示す図である。
【図１８】攻撃パケットの発生が停止したときの各装置間の処理の流れを示す図である。
【図１９】攻撃パケットの発生が停止したときの各装置間の処理の流れを示す図である。
【図２０】実施例４の攻撃パケット対処システムの一構成例を示すブロック図である。
【図２１】従来のシステムの構成例を示すブロック図である。
【図２２】ＧＲＥトンネルによりカプセル化されたパケットの構成を示す図である。
【図２３】従来のトンネル機能付ルータの一構成例を示すブロック図である。
【図２４】ルーティングポリシリストの一例を示す表である。
【図２５】ルーティングテーブルの一例を示す表である。
【図２６】トンネル情報テーブルの一例を示す表である。
【図２７】図２１に示した攻撃パケット検出・対処装置の一構成例を示すブロック図である。
【図２８】トンネル情報テーブルの一例を示す表である。
【図２９】従来のシステムの他の構成例を示すブロック図である。
【図３０】図２９に示した攻撃パケット検出・対処装置の一構成例を示すブロック図である。
【符号の説明】
【０１１０】
４    被疑パケット検出装置
６    攻撃パケット検出・対処装置
１０１１、１０１２    優先転送・トンネル機能付ルータ
１０１５    優先転送機能付ルータ
１０２１、１０２２    優先度付トンネル
１３０１    優先度付トンネル設定装置
２０１１、２０１２    帯域確保転送・トンネル機能付ルータ
２０１４    帯域確保転送機能付ルータ
２０２１、２０２２    帯域確保型トンネル
【図１】
2007325039.tif 000003
【図２】
2007325039.tif 000004
【図３】
2007325039.tif 000005
【図４】
2007325039.tif 000006
【図５】
2007325039.tif 000007
【図６】
2007325039.tif 000008
【図７】
2007325039.tif 000009
【図８】
2007325039.tif 000010
【図９】
2007325039.tif 000011
【図１０】
2007325039.tif 000012
【図１１】
2007325039.tif 000013
【図１２】
2007325039.tif 000014
【図１３】
2007325039.tif 000015
【図１４】
2007325039.tif 000016
【図１５】
2007325039.tif 000017
【図１６】
2007325039.tif 000018
【図１７】
2007325039.tif 000019
【図１８】
2007325039.tif 000020
【図１９】
2007325039.tif 000021
【図２０】
2007325039.tif 000022
【図２１】
2007325039.tif 000023
【図２２】
2007325039.tif 000024
【図２３】
2007325039.tif 000025
【図２４】
2007325039.tif 000026
【図２５】
2007325039.tif 000027
【図２６】
2007325039.tif 000028
【図２７】
2007325039.tif 000029
【図２８】
2007325039.tif 000030
【図２９】
2007325039.tif 000031
【図３０】
2007325039.tif 000032