(57)【要約】【解決手段】本願の実施形態は、ウェブサイト攻撃に対して防御するための方法およびデバイスに関する。方法は、ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かを判定し、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かに少なくとも部分的に基づいて、ターゲットＩＰアドレスの訪問者トラフィックを操作することを備え、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かに少なくとも部分的に基づいて、ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えた場合に、ターゲットＩＰアドレスのためのブラックホールルートを設定し、ターゲットＩＰアドレスの入力訪問者トラフィックをブラックホールルートへリダイレクトすることを含む。【選択図】図１Ｂ
2018515984.tif 000002
【特許請求の範囲】
【請求項１】
ウェブサイト攻撃に対して防御する方法であって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定し、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作すること、
を備え、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすること、
を含む、方法。
【請求項２】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項３】
請求項１に記載の方法であって、トラフィック閾値が対応するユーザに対して対応する値に設定され、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記対応するユーザの前記トラフィック閾値である、方法。
【請求項４】
請求項１に記載の方法であって、複数のトラフィック閾値がユーザに関連する対応する複数のＩＰアドレスに対して別個に設定され、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値は、前記ターゲットＩＰアドレスに対して設定された前記トラフィック閾値である、方法。
【請求項５】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関連する前記ユーザに関連する複数のＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することを含む、方法。
【請求項６】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
ユーザの複数のターゲットＩＰアドレスの内の複数のＩＰアドレスに対応する複数のトラフィック閾値を取得することを含み、前記複数のトラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記ユーザのステータス情報、前記ターゲットＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて取得される、方法。
【請求項７】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関する履歴訪問情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含む、方法。
【請求項８】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定することを含み、
前記ターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、または、その両方、を含む、方法。
【請求項９】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルに関する増加関数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数に関する減少関数、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する減少関数、の内の１または複数に基づいて決定される、方法。
【請求項１０】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記ターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記ターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記ターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、および、前記ターゲットＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
【請求項１１】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルールに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連するユーザのユーザレベルに関する増加関数、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数に関する減少関数、および、前記ターゲットＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する減少関数、の内の１または複数に対応する、方法。
【請求項１２】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのための前記ブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトし、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックのブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
１つのブラックホールルート解除時間が、１ユーザに対して設定され、前記ターゲットＩＰアドレスに対応する前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザに対して設定された前記ブラックホールルート解除時間である、方法。
【請求項１３】
請求項１に記載の方法であって、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を備え、
複数のブラックホールルート解除時間が、ユーザによって所有される複数のＩＰアドレスに対して別個に設定され、前記ターゲットＩＰアドレスに対応する前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに対して設定されたブラックホールルート解除時間に対応する、方法。
【請求項１４】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項１５】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
複数のターゲットＩＰアドレスに関連するユーザのステータス情報または前記複数のターゲットＩＰアドレスに関する履歴訪問情報の内の一方または両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項１６】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項１７】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記複数のターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記複数のターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のターゲットＩＰアドレスの入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記特定の履歴期間中に攻撃された前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記ＩＰアドレスのピークトラフィック、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記ＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
【請求項１８】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザの１または複数のユーザレベルに関する減少関数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの入力訪問者トラフィックが特定の期間中に前記ブラックホールルートへ転送された回数に関する増加関数、前記特定の期間中に攻撃された前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスのピークトラフィックに関する増加関数、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する増加関数、の内の１または複数に基づいて決定される、方法。
【請求項１９】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記複数のターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ユーザのユーザレベルを含み、
前記複数のターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記特定の履歴期間中に攻撃された前記ターゲットＩＰアドレスのピークトラフィック、および、前記ターゲットＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
【請求項２０】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザの１または複数のユーザレベルに関する減少関数、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の期間中に前記ブラックホールルートへ転送された回数に関する増加関数、前記特定の期間中に攻撃された前記ターゲットＩＰアドレスのピークトラフィック値に関する増加関数、または、前記ターゲットＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する増加関数、の内の１または複数に基づいて決定される、方法。
【請求項２１】
コンピュータプログラム製品であって、持続性のコンピュータ読み取り可能な記憶媒体内に具現化され、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得するためのコンピュータ命令と、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定するためのコンピュータ命令と、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作するためのコンピュータ命令と、
を備え、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすること、
を含む、コンピュータプログラム製品。
【請求項２２】
ウェブサイト攻撃に対して防御するためのシステムであって、
少なくとも１つのプロセッサであって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定し、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作するように構成されている少なくとも１つのプロセッサと、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすることを含み、
前記少なくとも１つのプロセッサに接続され、前記少なくとも１つのプロセッサに命令を提供するよう構成されているメモリと、
を備える、システム。
【発明の詳細な説明】
【技術分野】
【０００１】
他の出願の相互参照
本願は、発明の名称を「Ａ  ＭＥＴＨＯＤ  ＡＮＤ  Ａ  ＤＥＶＩＣＥ  ＦＯＲ  ＤＥＦＥＮＤＩＮＧ  ＡＧＡＩＮＳＴ  ＷＥＢＳＩＴＥ  ＡＴＴＡＣＫＳ」とする、２０１５年５月１５日出願の中国特許出願第２０１５１０２５０８８７．４号に基づく優先権を主張する。当該出願は、すべての目的のために参照により本明細書に組み込まれる。
【０００２】
本願は、ネットワークセキュリティ技術の分野に関し、特に、ウェブサイト攻撃に対して防御するための方法、デバイス、および、システムに関する。
【背景技術】
【０００３】
分散型サービス妨害（ＤＤｏＳ）攻撃は、多数のコンピュータがターゲットを攻撃する攻撃プラットフォームを形成する攻撃である。例えば、クライアント／サーバ技術を用いて、多数のコンピュータが、１または複数のターゲットへのＤＤｏＳ攻撃を開始することでサービス妨害攻撃の脅威を増大させる攻撃プラットフォームに統合される。一般に、ＤＤｏＳ攻撃を開始しようとする攻撃者は、１つのコンピュータにＤＤｏＳマスタプログラムをインストールする。設定時間に、ＤＤｏＳマスタプログラムは、多数のエージェントと通信する。エージェントは、インターネットに接続されたコンピュータにインストールされる。エージェントは、ＤＤｏＳマスタプログラムから命令を受信するとＤＤｏＳ攻撃を開始する。クライアント／サーバ技術を用いて、ＤＤｏＳマスタプログラムは、数秒間に数百ないし数千のエージェント動作を開始できる。ＤＤｏＳ攻撃の原理は、被害側のリソースボトルネックを見つけ、そのリソースを使い尽くすことによって被害側のサービスを利用できなくするものである。サーバのＣＰＵ、メモリ、帯域幅、および、データベースが、リソースボトルネックになりうる。例えば、現在のネットワークおよび電子商取引のアーキテクチャによると、インターネットビジネスに関連するサーバＣＰＵ、メモリ、帯域幅、および、データベースのすべてが、かかるインターネットビジネスのリソースボトルネックになりうる。仮想化されたデータセンターおよびクラウドサービスを利用するユーザの数が増えるにつれて、ＤＤｏＳ攻撃の焦点は、クラウドコンピューティングに移行し始めた。
【０００４】
ＤＤｏＳ攻撃に対して防御する一般的な方法は、攻撃されたＩＰアドレスのためにルータ上にブラックホールルートを設定することである。ブラックホールルートは、識別された気付かないルートを吸い込むことにより、かかるルートを消滅させる。ブラックホールルートのアウトバウンドインターフェースは、「ｎｕｌｌ０」インターフェースに指定される。ｎｕｌｌ０インターフェースに送信されたすべてのデータは、破棄される。したがって、攻撃されたアドレスへのトラフィックすべてが破棄されうる。攻撃されたＩＰアドレスへのトラフィックを犠牲にすることにより、他の攻撃されていないＩＰアドレスのネットワーク帯域幅リソースの利用が保護される。さらに、システム負荷への影響が極めて小さい。
【０００５】
ある関連技術によると、ブラックホールルーティング防御スキームは、ＩＰアドレスに対する訪問者トラフィックが、所与のトラフィック閾値（ブラックホール閾値とも呼ばれる）を超えた場合に、ブラックホールルートへの特定のＩＰアドレスのトラフィックを発行することを含む。しかしながら、所与のトラフィック閾値を含む防御には、様々な欠陥がある。例えば、所与のトラフィック閾値を用いた防御は、異なるユーザのサービスおよびトラフィックの違いに適応できない。したがって、様々なユーザに同じトラフィック閾値を用いて防御が実装されると、ユーザ体験が悪くなる。別の例として、ブラックホールへのユーザトラフィックの迂回は、ある期間にわたってユーザがサーバへ正常にアクセスすることを妨げる。したがって、攻撃されたサービスをブラックホールに投じることは、実際には、攻撃が成功することと同等である。したがって、所与のトラフィック閾値を用いた防御は、ハッカーによって非常に容易に利用される。
【図面の簡単な説明】
【０００６】
以下の詳細な説明と添付の図面において、本発明の様々な実施形態を開示する。
【０００７】
本願の特徴、目的、および、利点は、以下の図面を参照してなされる非限定的な実施形態の詳細な説明を読むことで、より明らかになる。
【０００８】
【図１Ａ】本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのシステムを示すブロック図。
【０００９】
【図１Ｂ】本開示の様々な実施形態に従って、ネットワークに対して防御するための方法を示すフローチャート。
【００１０】
【図２】本開示の様々な実施形態に従って、ネットワークに対して防御するための方法を示すフローチャート。
【００１１】
【図３】本開示の様々な実施形態に従って、ネットワークに対して防御するための方法を示すフローチャート。
【００１２】
【図４】本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのデバイスを示すブロック図。
【００１３】
【図５】本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのデバイスを示すブロック図。
【００１４】
【図６】本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのコンピュータシステムを示す機能図。
【００１５】
図面内の同一または同様な符号は、同一または同様な構成要素を表す。
【発明を実施するための形態】
【００１６】
本発明は、処理、装置、システム、物質の組成、コンピュータ読み取り可能な格納媒体上に具現化されたコンピュータプログラム製品、および／または、プロセッサ（プロセッサに接続されたメモリに格納および／またはそのメモリによって提供される命令を実行するよう構成されたプロセッサ）を含め、様々な形態で実装されうる。本明細書では、これらの実装または本発明が取りうる任意の他の形態を、技術と呼ぶ。一般に、開示された処理の工程の順序は、本発明の範囲内で変更されてもよい。特に言及しない限り、タスクを実行するよう構成されるものとして記載されたプロセッサまたはメモリなどの構成要素は、ある時間にタスクを実行するよう一時的に構成された一般的な構成要素として、または、タスクを実行するよう製造された特定の構成要素として実装されてよい。本明細書では、「プロセッサ」という用語は、１または複数のデバイス、回路、および／または、コンピュータプログラム命令などのデータを処理するよう構成された処理コアを指すものとする。
【００１７】
以下では、本発明の原理を示す図面を参照しつつ、本発明の１または複数の実施形態の詳細な説明を行う。本発明は、かかる実施形態に関連して説明されているが、どの実施形態にも限定されない。本発明の範囲は、特許請求の範囲によってのみ限定されるものであり、本発明は、多くの代替物、変形物、および、等価物を含む。以下の説明では、本発明の完全な理解を提供するために、多くの具体的な詳細事項が記載されている。これらの詳細事項は、例示を目的としたものであり、本発明は、これらの具体的な詳細事項の一部または全てがなくとも特許請求の範囲に従って実施可能である。簡単のために、本発明に関連する技術分野で周知の技術要素については、本発明が必要以上にわかりにくくならないように、詳細には説明していない。
【００１８】
より詳細に実施例を議論する前に、フローチャートで示す処理または方法として記載するいくつかの典型的な実施形態について言及する。フローチャートは、各動作を順番に記載しているが、動作の多くは、並列すなわち同時に実施されてもよい。さらに、各動作の順番は、並べ直すこともできる。動作が完了すると、処理が終了されうる。さらに、図面に含まれていない追加の工程があってもよい。処理は、方法、機能、ルール、サブルーチン、サブプログラムなどに対応しうる。
【００１９】
上記および下記における「コンピュータ機器」（「コンピュータ」とも呼ぶ）は、予め定められたプログラムまたは命令を実行することによって、数値計算および／または論理計算など予め定められた処理手順を実行できる高性能電子機器のことである。かかるコンピュータ機器は、プロセッサおよびメモリを備えてよく、ここで、プロセッサが、予め保存された既存の命令を実行することによって予め定められた処理手順を実行するか、もしくは、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、または、デジタル信号プロセッサ（ＤＳＰ）などのハードウェアが、予め定められた処理手順を実行するか、もしくは、上記の両方の組みあわせが同じことを実現する。コンピュータ機器は、サーバ、パーソナルコンピュータ、ノートブックコンピュータ、タブレットコンピュータ、および、スマートフォンを含むが、これらに限定されない。
【００２０】
コンピュータ機器は、ユーザ機器およびネットワーク機器を含む。ユーザ機器は、コンピュータ、スマートフォン、および、パーソナルデジタルアシスタント（ＰＤＡ）を含むが、これらに限定されない。ネットワーク機器は、単一のネットワークサーバ、複数のネットワークサーバで構成されたサーバグループ、もしくは、多数のクラウドコンピューティングベースのコンピュータまたはネットワークサーバからなるクラウドを含むが、これらに限定されず、ここで、クラウドコンピューティングは、ある種の分散コンピューティングであり、一群のゆるく結合されたコンピュータで構成されたスーパー仮想コンピュータである。コンピュータ機器は、本願を達成するために単独で稼働されてよい。コンピュータ機器は、ネットワークに接続され、ネットワーク内の他のコンピュータ機器との相互動作を通して本願を達成しうる。上記のコンピュータ機器が存在するネットワークは、インターネット、広域ネットワーク（ＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、および、仮想プライベートネットワーク（ＶＰＮ）を含むが、これらに限定されない。
【００２１】
ユーザ機器、ネットワーク機器、および、ネットワークは、単に例であることに注意されたい。現在存在するまたは将来的に出現しうるその他のコンピュータ機器またはネットワークを本願に適用できる場合には、かかるコンピュータ機器またはネットワークも本願の保護的範囲内に含めるべきであり、それらの参照の形態も本明細書に含まれる。
【００２２】
以下で議論する方法（一部をフローチャートに図示する）は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語、または、それらの任意の組みあわせを通して実施されてよい。方法が、ソフトウェア、ファームウェア、ミドルウェア、または、マイクロコードで実施される場合、必要なタスクを実施するために用いられるプログラムコードまたはコードセグメントが、マシンまたはコンピュータ読み取り可能な媒体（例えば、記憶媒体）に格納されうる。１または複数のプロセッサが、必要なタスクを実施しうる。
【００２３】
本明細書に記載の特定の構造および機能の詳細は、単に代表的なものであり、本願の典型的な実施形態を記載する目的で用いられる。しかしながら、本願は、多くの別の形態で具体的に実施されてもよい。さらに、本願は、単に本明細書で説明する実施形態に限定されるものとして解釈されるべきではない。
【００２４】
「第１」、「第２」などの用語が、様々なユニットを記述するために用いられるが、これらのユニットは、これらの用語によって限定されるべきではないことを理解されたい。これらの用語は、あるユニットを別のユニットと区別するためにのみ用いられる。一例を挙げると、典型的な実施形態の範囲から逸脱しない限り、第１ユニットが第２ユニットと呼ばれてもよく、同様に、第２ユニットが第１ユニットと呼ばれてもよい。本明細書で用いられる「および／または」という用語は、１または複数の列挙された関連項目のいずれかまたは全組みあわせを含む。
【００２５】
本明細書で用いられる用語は、具体的な実施形態を記載する目的のみを有し、典型的な実施形態を限定することを意図しない。文脈によって明示されない限りは、本明細書で用いられる単数形「ａ」または「ａｎ」は、複数形も含むことを意図される。本明細書で用いられる「備える」および／または「含む」という用語は、記述された特徴、整数、工程、動作、ユニット、および／または、構成要素の存在を記述するものであり、１または複数のその他の特徴、整数、工程、動作、ユニット、構成要素、または、それらの組み合わせの存在または追加を排除しない。
【００２６】
いくつかの別の実施例において、言及された機能／動作が、図に示した以外の順序に従って実行されてもよいという事実も言及に値する。例えば、当該機能／動作に応じて、順番に図示された２つの図面が、基本的には同時に実行されてもよく、また、時に逆の順序で実行されてもよい。
【００２７】
本願は、図面に照らして以下でさらに詳細に説明される。
【００２８】
様々な実施形態が、ウェブサイトまたはネットワーク攻撃に対する防御のための方法および／またはデバイスを含む。例えば、様々な実施形態が、ネットワークトラフィック攻撃（特に、分散型サービス妨害（ＤＤｏＳ）攻撃）に対して防御するための方法および／またはデバイスを含む。
【００２９】
図１Ａは、ネットワーク攻撃に対して防御するためのシステムのブロック図である。
【００３０】
図１Ａを参照すると、ネットワーク攻撃に対して防御するためのシステム１００が提供されている。システム１００は、図１Ｂの処理１５０、図４のデバイス４００、図５のデバイス５００、または、図６のコンピュータシステム６００と関連して実施されうる。
【００３１】
システム１００は、ネットワークゲートウェイ１３０を備えており、それを通して、ＩＰアドレス１４２、１４４、１４６、および、１４８にアクセスできる。ＩＰアドレスのセット１４０が、ユーザに関連しうる（例えば、ユーザによって所有されてよい）。例えば、ＩＰアドレス１４２、１４４、および、１４６が、同じユーザに属しうる。ネットワークゲートウェイ１３０は、サービスプロバイダに関連しうるものであり（例えば、サービスプロバイダによって管理されてよく）、サービスプロバイダは、ＩＰサービスを複数の顧客に提供できる。ＩＰアドレス１４２、１４４、および、１４６に関連するユーザは、ネットワークゲートウェイ１３０に関連するサービスプロバイダの顧客でありうる。顧客（例えば、ＩＰアドレス１４２、１４４、および、１４６に関連するユーザ）は、サービスプロバイダのインフラ（例えば、ネットワークゲートウェイ１３０）を用いて、クライアントにサービスを提供することができる。例えば、顧客は、サービスプロバイダを介してＳａａＳサービスを提供できる。サービスプロバイダは、ホスティングサービスなどを提供できる。ネットワークゲートウェイ１３０は、クライアントから受信したアクセス要求に少なくとも部分的に基づいて、ＩＰアドレスにトラフィックをルーティングできる。例えば、クライアントデバイス１０２、１０４、１０６、および、１０８が、ネットワーク１２０を介して要求（例えば、アクセス要求）をＩＰアドレスへ通信しうる。クライアントデバイスからの要求は、ネットワークゲートウェイ１３０を通してルーティングされることができ、ネットワークゲートウェイ１３０は、要求に対応する１または複数の特定のＩＰアドレスに要求を向けることができる。
【００３２】
ＤＤｏＳ攻撃においては、複数のクライアントデバイス１０２、１０４、１０６、および、１０８が、クライアントに関連するＩＰアドレス１４２、１４４、および、１４６の内の１または複数へのＤＤｏＳ攻撃を開始しうる。例えば、要求のターゲットＩＰアドレスは、ユーザのＩＰアドレス１４４および１４６に対応しうる。
【００３３】
図１Ｂは、ネットワーク攻撃に対して防御するための方法の一実施形態を示すフローチャートである。
【００３４】
図１Ｂを参照すると、ネットワーク攻撃に対して防御するための処理１５０が提供されている。処理１５０は、例えば、図４のデバイス４００、図５のデバイス５００、または、図６のコンピュータシステム６００によって実施できる。
【００３５】
いくつかの実施形態において、処理１５０は、ネットワークエントリゲートウェイで用いられる（例えば、それによって実施される）。例えば、処理１５０は、ビジタートラフィックが向かうべきロケーションを実現するために、ビジタートラフィックがネットワークに入るのに適切なルートを構成するために用いられうる。いくつかの実施形態において、処理１５０は、ネットワーク内に構成された特別で安全なサーバによって実行（例えば、実施）される。ネットワークに入るアクセストラフィックは、この安全なサーバによる処理を受け、その後、適切なロケーションに送信される。例えば、ネットワークに入る全トラフィックが、（例えば、処理１５０に従って）安全なサーバによって処理され、適切なロケーションにルーティングされうる。
【００３６】
工程１６０では、ターゲットＩＰアドレスに対応するトラフィック閾値が取得される。
【００３７】
いくつかの実施形態によれば、攻撃に対して防御するためのシステムにおいて、すべてのユーザ（例えば、銀行、インターネットビジネスなど）に対応する送信元ＩＰアドレス（例えば、ユーザサーバのＩＰアドレス）が、外部訪問を直接受けるわけではない。いくつかの実施形態において、ユーザは、顧客がサービスプロバイダのインフラを用いてネットワークサービスを提供する（例えば、電子商取引ウェブサイトなどをホスティングする）ことを可能にするサービスプロバイダの顧客である。むしろ、いくつかの実施形態において、少なくとも一部のユーザに対応する送信元ＩＰアドレスは、送信元ＩＰアドレスのいくつかの転送ＩＰアドレスを介して外部訪問を受ける。例えば、コンピュータまたはネットワーク機器は、転送ＩＰアドレスにダイレクトされたトラフィックを、対応する送信元ＩＰアドレスへルーティングできる。ターゲットＩＰアドレスは、いくつかの実施形態を実施するための攻撃防御システム内の任意のユーザのいくつかの転送ＩＰアドレスの１つを参照しうる。いくつかの実施形態において、攻撃防除システムは、ただ一人のユーザのために攻撃に対する防御を行うのではなく、かかるシステムは、ただ１つのＩＰアドレスのために攻撃に対する防御を行うのでもない。むしろ、かかるシステムは、例えば、ネットワーク内の全ユーザのターゲットＩＰアドレスの一部または全ターゲットＩＰアドレスに向けられた攻撃に対して防御し、各ユーザの各ターゲットＩＰアドレスについて受信した外部訪問者トラフィックの操作に関与する。
【００３８】
いくつかの実施形態において、トラフィック閾値は、ターゲットＩＰアドレスの訪問者トラフィックをリダイレクトするための閾値に対応する。トラフィック閾値は、ターゲットＩＰアドレス（またはその一部）の訪問者トラフィックをブラックホールルートへリダイレクトすることに関連して用いられる経験的に決定された閾値である。ユーザ（例えば、ウェブサイト、インターネットビジネスなど）のターゲットＩＰアドレスへの訪問者トラフィックがｊ過剰である場合（例えば、トラフィック閾値を超えた場合）、かかる特徴は、ターゲットＩＰアドレスが攻撃を受けていることを示しうる。例えば、ターゲットＩＰアドレスは、ユーザのターゲットＩＰアドレスへの訪問者トラフィックがトラフィック閾値を超えた場合に、ネットワーク攻撃を受けていると見なされうる。
【００３９】
いくつかの実施形態において、トラフィック閾値は、ネットワーク管理者などによって設定される。トラフィック閾値は、ネットワーク攻撃に関する履歴情報またはターゲットＩＰアドレスへの訪問者トラフィックのその他の利用データに従って設定されてよい。いくつかの実施形態において、トラフィック閾値は、特定の対処ＩＰアドレスに少なくとも部分的に基づいて設定されてよい。例えば、ターゲットＩＰアドレスに対するトラフィック閾値は、ターゲットＩＰアドレスの具体的な特徴またはターゲットＩＰアドレスへの訪問者トラフィックの具体的な特徴に従って設定されてよい。
【００４０】
いくつかの実施形態において、トラフィック閾値は、ユーザに対して設定される。そのユーザは、対応するターゲットＩＰアドレス（例えば、ターゲットＩＰアドレス）の所有者に対応しうる。ターゲットＩＰアドレスは、ユーザによって所有される１または複数のＩＰアドレスの内の１つでありうる。いくつかの実施形態において、ターゲットＩＰアドレスに対応するトラフィック閾値は、ターゲットＩＰアドレスに関連するユーザのトラフィック閾値である。同じユーザに関連する複数のターゲットＩＰアドレスに対応する複数のトラフィック閾値は、同一でありうる。例えば、ユーザによって所有されるＩＰアドレスの各々は、同一の対応するトラフィック閾値を有しうる。
【００４１】
いくつかの実施形態において、ターゲットＩＰアドレスに対応するトラフィック閾値は、ターゲットＩＰアドレスに関連するユーザに関する情報（例えば、ユーザのステータス情報）および／またはターゲットＩＰアドレスに関連するユーザによって所有または制御されるＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて取得されうる。例えば、サーバまたはネットワーク機器が、ユーザに関する情報または履歴訪問情報（例えば、履歴トラフィック情報を含む）をデータベースから取得（例えば、リトリーブ）して、ターゲットＩＰアドレスに対応するトラフィック閾値を取得するために、かかる情報を利用しうる。ターゲットＩＰアドレスに対応するトラフィック閾値を取得することは、（例えば、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはユーザによって所有または制御されるＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて）トラフィック閾値を決定することを含みうる。いくつかの実施形態において、閾値は、（例えば、ターゲットＩＰアドレスに関する）安全性評価、シミュレーション、または、履歴情報に少なくとも部分的に基づいて決定または計算されうる。
【００４２】
ターゲットＩＰアドレスに関連するユーザのステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含む。ターゲットＩＰアドレスに関連するユーザのユーザレベルは、例えば、一般、シルバー、ゴールド、および、ダイヤモンドを含み、ユーザに提供されるサービスのレベルを示しうる。各レベルに対応するレベルパラメータが、レベル設定ルールに従って割り当てられる。レベル設定ルールは、ユーザの料金などに少なくとも部分的に基づきうる。レベル設定ルールは、ユーザの防御能力を決定するために利用されうる。例えば、ユーザは、（例えば、レベル設定ルールに従って）複数のレベルに分けられうる。レベル設定は、利用情報などの履歴情報に従って決定されうる。例えば、上述した一般、シルバー、ゴールド、および、ダイヤモンドユーザレベルが、低から高までのレベルに従って割り当てられる場合、一般、シルバー、ゴールド、および、ダイヤモンドのレベルに基づく割り当てに対応するレベルパラメータは、それぞれ、１、２、３、および、４であってよい。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの履歴訪問情報は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長を含みうる。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数は、ユーザによって所有される全ＩＰアドレスの訪問者トラフィックが特定の履歴期間中（例えば、現時点の１週間以内）にブラックホールルートへ転送された総回数である。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長は、ユーザによって所有される全ＩＰアドレスが特定の期間中に攻撃された総時間長である。いくつかの実施形態において、特定の履歴期間は、例えば、ネットワーク管理者などによって設定可能でありうる。
【００４３】
いくつかの実施形態において、既定のトラフィック閾値を決定するためのルールが取得される。既定のトラフィック閾値を決定するためのルールは、ユーザデータまたはその他の履歴情報の解析に基づいて取得することができる。ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報は、さらにトラフィック閾値決定ルールに少なくとも部分的に基づいてターゲットＩＰアドレスに対応するトラフィック閾値を決定するために利用される。
【００４４】
いくつかの実施形態において、ターゲットＩＰアドレスに対応するトラフィック閾値は、既定のトラフィック閾値決定ルールに少なくとも部分的に基づいて、ターゲットＩＰアドレスに関連するユーザのユーザレベル、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数、および、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長、の内の１または複数に少なくとも部分的に基づいて決定されうる。既定のトラフィック閾値決定ルールは、大量の履歴統計情報内の関連データに実行された解析に基づいて設定されてよい。解析は、１または複数のユーザおよび／または１または複数のＩＰアドレスに関するデータに実行されうる。
【００４５】
トラフィック閾値決定ルールのためのトラフィック閾値式の一例は、以下の式（１ａ）に対応しうる。
【００４６】
ＨｏｌｅＴｈｒｅｓｈｏｌｄ＝ｈ０＋Ｌｅｖｅｌ１（ｕ）＋Ｂｌａｃｋ１（ｂ）＋ＡｔｔａｃｋＴｉｍｅ１（ｔ）      （１ａ）
【００４７】
式（１ａ）を参照すると、ＨｏｌｅＴｈｒｅｓｈｏｌｄは、トラフィック閾値（Ｇｂｐｓ）に対応し、ｈ０は、デフォルトトラフィック閾値に対応し（例えば、ｈ０＝５Ｇｂｐｓ）、Ｌｅｖｅｌ１（ｕ）は、ターゲットＩＰアドレスに関連するユーザのユーザレベルのトラフィック閾値関数に対応し、Ｂｌａｃｋ１（ｂ）は、トラフィック閾値関数に対応し（ここで、ｂは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数に対応する）、ＡｔｔａｃｋＴｉｍｅ１（ｔ）は、トラフィック閾値関数である（ここで、ｔは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長に対応する）。いくつかの実施形態において、上述の履歴訪問情報およびステータス情報に対応するトラフィック閾値関数内の値の単位は、Ｇｂｐｓである。関数の詳細については後述する。
【００４８】
様々な実施形態が、式（１ａ）とは異なる既定のトラフィック閾値決定ルールを決定するための式を実施する。ターゲットＩＰアドレスのトラフィック閾値は、デフォルトトラフィック閾値ｈ０と、任意の１または複数のトラフィック閾値関数との合計であってよい。
【００４９】
いくつかの実施形態において、トラフィック閾値の式は、式（１ｂ）、式（１ｃ）、または、式（１ｄ）に対応する。
【００５０】
ＨｏｌｅＴｈｒｅｓｈｏｌｄ＝ｈ０＋Ｌｅｖｅｌ１（ｕ）＋Ｂｌａｃｋ１（ｂ）      （１ｂ）
【００５１】
ＨｏｌｅＴｈｒｅｓｈｏｌｄ＝ｈ０＋Ｌｅｖｅｌ１（ｕ）＋ＡｔｔａｃｋＴｉｍｅ１  （ｔ）      （１ｃ）
【００５２】
または
【００５３】
ＨｏｌｅＴｈｒｅｓｈｏｌｄ＝ｈ０＋Ｌｅｖｅｌ１（ｕ）      （１ｄ）
【００５４】
【００５５】
トラフィック閾値決定ルールは、以下を規定しうる。トラフィック閾値が、ターゲットＩＰアドレスに関連するユーザのユーザレベルの増加関数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数の減少関数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが上記特定の期間中に攻撃された総時間長の減少関数、に対応する。
【００５６】
いくつかの実施形態において、上述したすべてのステータス情報および履歴訪問情報に対応するトラフィック閾値関数（例えば、１（ｂ）〜１（ｄ））が予め設定されうる。履歴訪問情報は、経験および／またはユーザデータの解析に基づきうる。例えば、トラフィック閾値関数は、ユーザデータの統計解析（例えば、履歴訪問情報）に少なくとも部分的に基づきうる。
【００５７】
いくつかの実施形態において、ユーザレベルは、ユーザの通常平均訪問者トラフィックレベルに従って割り当てられてよい。平均訪問者トラフィックレベルは、既定の期間にわたって測定されうる。いくつかの実施形態において、ユーザに対応するユーザレベルは、そのユーザの相対的に高い通常平均訪問者トラフィックが比較的高いユーザレベルに対応するように、通常平均訪問者トラフィックレベルと正の相関を持つ。したがって、比較的高いユーザレベルが、比較的高い対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）に対応する。トラフィック閾値は、ターゲットＩＰアドレスに関連するユーザのユーザレベルの増加関数である。したがって、ユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、ユーザレベルの増加関数として設定されてよい。いくつかの実施形態において、ユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、ユーザレベルの線形増加関数として設定される。
【００５８】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、式（２ａ）、（２ｂ）、または、（２ｃ）の内の１または複数に従って表される。
【００５９】
Ｌｅｖｅｌ１（ｕ）＝ｌ１ｕ      （２ａ）
【００６０】
Ｌｅｖｅｌ１（ｕ）＝ｌ１ｕ＋ｈ１      （２ｂ）
【００６１】
【数１】
2018515984.tif 000003
【００６２】
式（２ａ）、（２ｂ）、および、（２ｃ）を参照すると、ｕは、ターゲットＩＰアドレスに関連するユーザのユーザレベルである。ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、ユーザレベルの増加関数である。
【００６３】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックがブラックホールルートへ転送される回数が多いほど、ＩＰアドレスが攻撃下にある可能性（例えば、リスク）が大きくなる。一例として、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスは、ターゲットＩＰアドレスを含む。したがって、ＩＰアドレスの訪問者トラフィックが既定の期間中にブラックホールルートに転送された回数が多いことは、ＩＰアドレスに対応するトラフィック閾値が比較的小さいことに対応する。例えば、ＩＰアドレスに対応するトラフィック閾値は、かかるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数と逆相関する。したがって、トラフィック閾値は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数の減少関数である。したがって、トラフィック閾値関数Ｂｌａｃｋ１（ｂ）は、ｂの減少関数として設定されてよく、ｂは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数である。
【００６４】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートに転送された回数に対応するトラフィック閾値関数Ｂｌａｃｋ１（ｂ）は、式（３ａ）、（３ｂ）、および／または、（３ｃ）の内の１または複数に従って表されてよい。
【００６５】
Ｂｌａｃｋ１（ｂ）＝ｈ２−ｌ２ｂ      （３ａ）
【００６６】
Ｂｌａｃｋ１（ｂ）＝ｌ３ｈ２−ｌ２ｂ      （３ｂ）
【００６７】
【数２】
2018515984.tif 000004
【００６８】
式（３ａ）、（３ｂ）、および、（３ｃ）を参照すると、ｂは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数である。特定の期間は、例えば、現在時刻から１週間であってよい。したがって、ｂは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが過去１週間中にブラックホールルートに転送された回数である。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数に対応するトラフィック閾値関数Ｂｌａｃｋ１（ｂ）は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数の減少関数である。
【００６９】
いくつかの実施形態によれば、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長が長くなるほど、頻繁にユーザが攻撃を受けたことになる（攻撃者の主要な攻撃対象）。したがって、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長が比較的長いことは、トラフィック閾値が比較的低いことに対応する。したがって、トラフィック閾値は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長の減少関数である。したがって、トラフィック閾値関数ＡｔｔａｃｋＴｉｍｅ１（ｔ）は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の減少関数として設定される。
【００７０】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長に対応するトラフィック閾値関数ＡｔｔａｃｋＴｉｍｅ１（ｔ）は、式（４ａ）、（４ｂ）、または、（４ｃ）の内の１または複数に従って表されてよい。
【００７１】
ＡｔｔａｃｋＴｉｍｅ１（ｔ）＝ｈ３−ｌ３ｔ      （４ａ）
【００７２】
ＡｔｔａｃｋＴｉｍｅ１（ｔ）＝ｌ４ｈ３−ｌ３ｔ      （４ｂ）
【００７３】
【数３】
2018515984.tif 000005
【００７４】
式（４ａ）、（４ｂ）、および、（４ｃ）を参照すると、ｔは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長（例えば、接続回数がトラフィック閾値を超えた総時間長）である。いくつかの実施形態において、ターゲットＩＰアドレスは、接続回数がトラフィック閾値を超えた時間長の統計解析に基づいて（例えば、履歴情報に関する統計解析を用いて）攻撃下にある／あったことを決定される。例えば、接続回数がトラフィック閾値を超えた総時間長が通常よりも有意に長い場合に、ターゲットＩＰアドレスが攻撃下にあったと見なされうる。例えば、ｔは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが過去１週間中に攻撃された総時間長でありうる。トラフィック閾値関数は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の減少関数でありうる。
【００７５】
式（２ａ）、（２ｂ）、（３ａ）、（３ｂ）、（４ａ）、および、（４ｂ）  内のパラメータｈ１、ｈ２、ｈ３、ならびに、ｌ１、ｌ２、ｌ３、および、ｌ４は、履歴統計情報内の関連データの解析を通して取得することができる。関連データは、攻撃イベント、攻撃時間、攻撃タイプなど、または、任意のそれらの組みあわせを含みうる。式（２ｃ）、（３ｃ）、および、（４ｃ）は、履歴統計情報内の関連データの解析に続いて予め設定される。
【００７６】
いくつかの実施形態において、ターゲットＩＰアドレスに対応するトラフィック閾値は、（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベルのトラフィック閾値関数、（ｉｉ）ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数のトラフィック閾値関数、または、（ｉｉｉ）ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが上記特定の期間中に攻撃された総時間長のトラフィック閾値関数、の内の１または複数に少なくとも部分的に基づいて決定されうる。上記のケース（ｉ）、（ｉｉ）、および、（ｉｉｉ）におけるトラフィック閾値関数が、予め設定されてよい。ターゲットＩＰアドレスに対応するトラフィック閾値は、上記のケース（ｉ）、（ｉｉ）、および、（ｉｉｉ）におけるトラフィック閾値関数を用いて取得された値の内の任意の１または複数と、デフォルトトラフィック閾値との合計でありうる。
【００７７】
ターゲットＩＰアドレスに対応するトラフィック閾値を取得する一例を以下に挙げる。
【００７８】
例えば、デフォルトトラフィック閾値ｈ０が５Ｇｂｐｓであり、ターゲットＩＰアドレスに関連する取得済みのユーザレベルがシルバーユーザ（例えば、ｕ＝２）であり、ユーザによって所有されるＩＰアドレスが先週中にブラックホールルートに転送された回数が６回（例えば、ｂ＝６）であり、ユーザによって所有されるＩＰアドレスが先週中に攻撃下にあった総時間長が１９時間（例えば、ｔ＝１９）であったとする。
【００７９】
いくつかの実施形態において、式（２ｃ）、（３ｃ）、および、（４ｃ）が選択され、ユーザの各トラフィック閾値関数に対応する値の１つを取得するために利用されうる：それぞれ、Ｌｅｖｅｌ１（ｕ）＝１、Ｂｌａｃｋ１（ｂ）＝−１、および、ＡｔｔａｃｋＴｉｍｅ１（ｔ）＝−２である。次いで、式（１ａ）をさらに用いることにより、ターゲットＩＰアドレスに対応するトラフィック閾値値は、３Ｇｂｐｓと計算されうる。
【００８０】
いくつかの実施形態において、トラフィック閾値は、ＩＰアドレスごとに設定されうる。例えば、複数のトラフィック閾値が、ユーザの別個のＩＰアドレスに対して設定されうる。いくつかの実施形態において、ターゲットＩＰアドレスに対応するトラフィック閾値は、ターゲットＩＰアドレスに対して設定されたトラフィック閾値である。換言すると、同じユーザに関連する複数のターゲットＩＰアドレスに対応する複数のトラフィック閾値は、必ずしも同一ではない。
【００８１】
いくつかの実施形態において、ターゲットＩＰアドレスに対応するトラフィック閾値を取得する工程は、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて（例えば、用いて）、ターゲットＩＰアドレスに対応するトラフィック閾値を取得する工程を含む。
【００８２】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて（例えば、用いて）、ターゲットＩＰアドレスに対応するトラフィック閾値を取得する工程は、トラフィック閾値決定ルールに照らして（例えば、用いて）、ターゲットＩＰアドレスに対応するトラフィック閾値を決定するために、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報を用いて、既定のトラフィック閾値を決定するためのルールを取得する（例えば、獲得する）工程を含む。
【００８３】
ターゲットＩＰアドレスに関連するユーザに関するステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含みうる。ターゲットＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、ターゲットＩＰアドレスがその特定の期間中に攻撃された総時間長を含みうる。
【００８４】
例えば、ターゲットＩＰアドレスに対応するトラフィック閾値は、（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベル、（ｉｉ）ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、または、（ｉｉｉ）ターゲットＩＰアドレスがその特定の期間中に攻撃された総時間長、の内の１または複数に少なくとも部分的に基づいて決定されうる。既定のトラフィック閾値決定ルールは、ターゲットＩＰアドレスに対応するトラフィック閾値を決定することに関連して利用されうる。既定のトラフィック閾値決定ルールは、大量の履歴統計情報内の関連データに実行された解析に基づいて設定されてよい。
【００８５】
例えば、トラフィック閾値決定ルールのためのトラフィック閾値式は、式（１ａ）を用いて設定されうる。
【００８６】
いくつかの実施形態において、ＨｏｌｅＴｈｒｅｓｈｏｌｄは、トラフィック閾値（Ｇｂｐｓ）に対応し、ｈ０は、デフォルトトラフィック閾値（例えば、ｈ０＝５Ｇｂｐｓが好ましい）であり、Ｌｅｖｅｌ１（ｕ）は、ターゲットＩＰアドレスに関連するユーザのユーザレベルのトラフィック閾値関数であり、Ｂｌａｃｋ１（ｂ）  は、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数のトラフィック閾値関数であり、ＡｔｔａｃｋＴｉｍｅ１（ｔ）は、ターゲットＩＰアドレスが特定の履歴期間中に攻撃された総時間長のトラフィック閾値関数である。上述の履歴訪問情報およびステータス情報に対応するトラフィック閾値関数内の値の単位は、Ｇｂｐｓでありうる。
【００８７】
既定のトラフィック閾値決定ルールは、式（１ａ）、（１ｂ）、（１ｃ）、または、（１ｄ）に従って取得されうる。ターゲットＩＰアドレスのトラフィック閾値は、デフォルトトラフィック閾値ｈ０と、任意の１または複数のトラフィック閾値関数  （例えば、式（１ａ）、（１ｂ）、（１ｃ）、または、（１ｄ））との合計でありうる。
【００８８】
トラフィック閾値決定ルールは、トラフィック閾値が、ターゲットＩＰアドレスに関連するユーザのユーザレベルの増加関数、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数の減少関数、および／または、ターゲットＩＰアドレスがその特定の期間中に攻撃された総時間長の減少関数を有することに対応しうる。
【００８９】
様々な実施形態によれば、上述したステータス情報および履歴訪問情報に対応するトラフィック閾値関数を予め設定できる。
【００９０】
様々な実施形態によれば、ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、ユーザレベルの増加関数として設定される。
【００９１】
一例として、ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、式（２ａ）、（２ｂ）、または、（２ｃ）として設定されうる（例えば、式に従って計算されうる）。いくつかの実施形態において、ｕは、ターゲットＩＰアドレスに関連するユーザのユーザレベルである。式（２ａ）、（２ｂ）、および、（２ｃ）を参照すると、ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するトラフィック閾値関数Ｌｅｖｅｌ１（ｕ）は、ユーザレベルの増加関数である。
【００９２】
ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数に対応するトラフィック閾値関数Ｂｌａｃｋ１（ｂ）は、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールへ転送された回数の減少関数として設定されうる。
【００９３】
具体的な例において、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートに転送された回数に対応するトラフィック閾値関数Ｂｌａｃｋ１（ｂ）は、式（３ａ）、（３ｂ）、または、（３ｃ）の内の１または複数を用いて設定されてよい。いくつかの実施形態において、ｂは、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数である。一例として、特定の期間は、現在時刻から１週間であってよい。したがって、ｂは、ターゲットＩＰアドレスの訪問者トラフィックが過去１週間中にブラックホールルートに転送された回数である。式（３ａ）、（３ｂ）、および、（３ｃ）を用いると、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数に対応するトラフィック閾値関数Ｂｌａｃｋ１（ｂ）は、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールへ転送された回数の減少関数でありうる。
【００９４】
ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長に対応するトラフィック閾値関数ＡｔｔａｃｋＴｉｍｅ１（ｔ）は、ターゲットアドレスが特定の期間中に攻撃された総時間長の減少関数として設定されてよい。
【００９５】
いくつかの実施形態において、ターゲットアドレスが特定の期間中に攻撃された総時間長に対応するトラフィック閾値関数  ＡｔｔａｃｋＴｉｍｅ１（ｔ）は、式（４ａ）、（４ｂ）、および、（４ｃ）を用いて設定されうる。いくつかの実施形態において、ｔは、ターゲットＩＰアドレスが特定の履歴期間中に攻撃された総時間長（時間）である。例えば、ｔは、ターゲットＩＰアドレスが過去１週間中に攻撃された総時間長でありうる。式（４ａ）、（４ｂ）、および、（４ｃ）を参照すると、ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長のトラフィック閾値関数は、ターゲットアドレスが特定の期間中に攻撃された総時間長の減少関数でありうる。
【００９６】
ターゲットＩＰアドレスに対応するトラフィック閾値は、（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベルのトラフィック閾値関数、（ｉｉ）ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数のトラフィック閾値関数、および、（ｉｉｉ）ターゲットＩＰアドレスが上記特定の期間中に攻撃された総時間長のトラフィック閾値関数、の内の１または複数に基づいて決定されうる。ターゲットＩＰアドレスに対応するトラフィック閾値は、上記の内の任意の１または複数と、デフォルトトラフィック閾値との合計でありうる。
【００９７】
工程１７０では、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かが判定される。リアルタイム訪問者トラフィックに関連する情報が、ネットワーク機器から測定または取得されうる。リアルタイム訪問者トラフィックに関連する情報は、ミラートラフィックを監視することによって収集されうる。いくつかの実施形態において、リアルタイム訪問者トラフィック情報に関連する情報は、送信元ＩＰ、送信先ＩＰ、送信元ポート、送信先ポート、および／または、同様のものを含む。
【００９８】
リアルタイム訪問者トラフィックは、ターゲットＩＰアドレスについてリアルタイムに取得された現在時刻の訪問者トラフィックでありうる。換言すると、ターゲットＩＰアドレスの現在の訪問者トラフィック（例えば、リアルタイム訪問者トラフィック）が、対応するトラフィック閾値を超えたか否かがリアルタイムで判定される。
【００９９】
工程１８０では、ターゲットＩＰアドレスの訪問者トラフィックは、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かに少なくとも部分的に基づいて、処理される（例えば、ブラックホールルートへルーティングされる）。いくつかの実施形態において、ターゲットＩＰアドレスの訪問者トラフィックがトラフィック閾値を超えた場合、ターゲットＩＰアドレスの訪問者トラフィックの少なくとも一部が、ブラックホールルートへルーティングされてよい。ブラックホールルートは、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたとの判定に応答して生成されうる。
【０１００】
ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かが判定される。リアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かの判定は、２つのタイプの判定結果を出しうる。（ｉ）ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが、それに対応するトラフィック閾値を超えた、および、（ｉｉ）ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが、それに対応するトラフィック閾値を超えていない。判定結果は、ＩＰアドレスの訪問者トラフィックを処理するための根拠として機能しうる。ターゲットＩＰアドレスの訪問者トラフィックがトラフィック閾値を超えていない場合、ターゲットＩＰアドレスの訪問者トラフィックは、フロークリーニングを施されてよい。ターゲットＩＰアドレスの訪問者トラフィックがトラフィック閾値を超えた場合、ターゲットＩＰアドレスの訪問者トラフィックは、ブラックホールルートへリダイレクトされる。フロー（例えば、トラフィック）クリーニングは、フロー検出、フロークリーニング、ならびに、監視および管理を含むパーツ：システムを備えうる。フロー検出機器は、ネットワークトラフィックフロー内に隠された違法攻撃のフローを検出する。例えば、フロー検出機器は、攻撃を検出した後にフロークリーニングのために保護機器を起動するよう構成されうる。いくつかの実施形態において、フロークリーニング機器は、元々のネットワーク経路から、悪質あるトラフィックの識別およびストリッピングを実行する浄化製品へ、疑わしいネットワークフロー（例えば、トラフィック）をリダイレクトし、次いで、ターゲットシステムに至る元々のネットワーク経路に正当なフローを戻し、その時、他の正当なトラフィック転送経路には影響がない。監視および管理システムは、集中管理のために利用される。監視および管理は、リアルタイムトラフィックの表示、イベント警告、状態情報監視、フロー解析報告の適時な出力、および、攻撃防御、などを含みうる。
【０１０１】
図２は、本開示の様々な実施形態に従って、ネットワークに対して防御するための方法を示すフローチャートである。
【０１０２】
図２を参照すると、ネットワーク攻撃に対して防御するための処理２００が提供されている。処理２００は、例えば、図４のデバイス４００、図５のデバイス５００、または、図６のコンピュータシステム６００によって実施できる。
【０１０３】
いくつかの実施形態において、工程２１０は、図１Ｂに示した処理１５０の工程１６０に対応しうる。いくつかの実施形態において、工程２２０は、図１Ｂに示した処理１５０の工程１７０に対応しうる。
【０１０４】
工程２２０において、ターゲットＩＰアドレスの訪問者トラフィックがトラフィック閾値を超えたと判定された場合、処理２００は、ブラックホールルートがターゲットＩＰアドレスに対して構成される工程２３０へ進みうる。いくつかの実施形態において、ネットワーク管理者ａｄｍｉｎは、特定のＩＰ送信元アドレスをｎｕｌｌ０インターフェースに設定するかかるルーティング記録を能動的に生成する（例えば、ブラックホールルートを設定する）。この動作は、めったにシステム作業負荷に影響を与えない。いくつかの実施形態において、ブラックホールルートの構成は、ネットワーク管理者システムによって自動的に実行されてもよい。ブラックホールルートが構成（例えば、生成）されると、ターゲットＩＰアドレスの訪問者トラフィックは、ブラックホールルートへリダイレクトされる。
【０１０５】
いくつかの実施形態において、ターゲットＩＰアドレスの訪問者トラフィックが、対応する閾値を超えた場合、ＩＰアドレス（例えば、ターゲットＩＰアドレスに関連するユーザに対応するターゲットＩＰアドレスまたは全ＩＰアドレス）は、フラッディング攻撃下にあると見なされうる。したがって、そのＩＰアドレスのためのブラックホールルートを設定することにより、ＩＰアドレスの訪問者トラフィックをブラックホールルートへリダイレクトし、ひいては、ＩＰアドレスの訪問者トラフィックを破棄することが可能である。
【０１０６】
いくつかの実施形態において、ＩＰアドレスのためのブラックホールルートを設定する工程は、ルートの確立する工程（例えば、ルータのルーティングテーブルにルートを追加する工程）と、ｎｕｌｌ０インターフェースにＩＰアドレスをリダイレクトする工程と、を含む。いくつかの実施形態において、ＮＵＬＬ０は、ネットワークデバイス（例えば、ルータ）の論理インターフェースである。Ｎｕｌｌ０インターフェースは、パッケージを全く転送することなしに、常にＵＰ状態でありうる。Ｎｕｌｌ０インターフェースがパッケージを受信した時、ルータは、かかるパッケージを破棄するだけである。いくつかの実施形態では、ＩＰアドレスが、Ｎｕｌｌ０インターフェースに対して（例えば、ユーザによって）構成されえない。いくつかの実施形態では、リンクレイヤプロトコルが、Ｎｕｌｌ０インターフェースに対して（例えば、ユーザによって）カプセル化されえない。Ｎｕｌｌ０インターフェースは、主に、ルーティングループを防ぐためおよびパッケージフィルタリングを行うために用いられる。ｎｕｌｌ０インターフェースに送信されたすべてのデータは、破棄される。したがって、ＩＰアドレスの全トラフィックを破棄することが可能である。
【０１０７】
このアプローチ（例えば、ブラックホールルートを生成して、ターゲットＩＰアドレスへの訪問者トラフィックをブラックホールルートへのリダイレクトするアプローチ）によれば、ターゲットＩＰアドレスが攻撃された場合に、攻撃されたＩＰアドレスの訪問者トラフィックが犠牲になり、その他の攻撃されていないＩＰアドレスのネットワーク帯域幅リソースの利用可能性が保護される。さらに、これがシステムに加える負荷は、極めて小さい。
【０１０８】
工程２２０において、ターゲットＩＰアドレスの訪問者トラフィックがトラフィック閾値を超えていないと判定された場合、処理２００は、訪問者トラフィックが（例えば、訪問者トラフィックが、ブラックホールルートへリダイレクトされるのではなく、ターゲットＩＰアドレスにダイレクトされるように）通常動作に従って処理される工程２４０に進みうる。
【０１０９】
図３は、本開示の様々な実施形態に従って、ネットワークに対して防御するための方法を示すフローチャートである。
【０１１０】
図３を参照すると、ネットワーク攻撃に対して防御するための処理３００が提供されている。処理３００は、例えば、図４のデバイス４００、図５のデバイス５００、または、図６のコンピュータシステム６００によって実施できる。
【０１１１】
いくつかの実施形態において、工程３１０は、図１Ｂに示した処理１５０の工程１６０に対応する。いくつかの実施形態において、工程３２０は、図１Ｂに示した処理１５０の工程１７０に対応する。いくつかの実施形態において、工程３３０は、図２に示した処理２００の工程２４０に対応する。いくつかの実施形態において、工程３４０は、図２に示した処理２００の工程２３０に対応する。
【０１１２】
工程３５０では、ターゲットＩＰアドレスに対応するブラックホールルート解除時間が取得される。ブラックホールルート解除時間は、ブラックホールルートが取り消される時間（例えば、ＩＰターゲットアドレスにダイレクトされた訪問者トラフィックがもはやブラックホールにルーティングされない時間）に関連しうる。ブラックホールルート解除時間は、（例えば、１または複数のユーザによる）統計解析、または、履歴情報に基づいて取得されうる。
【０１１３】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザのターゲットＩＰアドレスの訪問者トラフィックがブラックホールルートへリダイレクトされた後に、ある期間後に、ＩＰアドレスのブラックホールルートを取り消すことも必要になりうる。ブラックホールルート解除時間は、ターゲットＩＰアドレスに関連するユーザのターゲットＩＰアドレスの訪問者トラフィックがブラックホールルートへリダイレクトされる時間である。ターゲットアドレスに対応するブラックホールルート解除時間に到達すると、ターゲットＩＰアドレスのブラックホールルートは取り消される。いくつかの実施形態において、各ターゲットＩＰアドレスは、対応するブラックホールルート解除時間を有する。ブラックホールルート解除時間は、（例えば、ブラックホールの生成時またはその後に）、ターゲットＩＰアドレスごと、ユーザごと、ブラックホールごとに決定されうる。
【０１１４】
いくつかの実施形態において、ブラックホールルート解除時間は、ユーザに対して設定されてよい。ブラックホールルート解除時間に、ブラックホールルートが解除され、トラフィックはもはやブラックホールへは転送されない。例えば、ターゲットＩＰアドレスに対応するブラックホールルート解除時間は、ターゲットＩＰアドレスに関連するユーザに対して設定されたブラックホールルート解除時間でありうる。換言すると、同じユーザに関連する複数のターゲットＩＰアドレスに対応する複数のブラックホールルート解除時間が同一である。同じユーザに関連するターゲットＩＰアドレスの様々なセットが、様々なブラックホールルート解除時間を有することができ、１セット内の各ターゲットＩＰアドレスは、同じセット内の他のターゲットＩＰアドレスと同じブラックホールルート解除時間を有しうる。
【０１１５】
いくつかの実施形態において、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程は、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報を用いて、ターゲットＩＰアドレスに対応するブラックホールルート解除時を取得（例えば、獲得）する工程を含む。
【０１１６】
ターゲットＩＰアドレスに関連するユーザのステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含む。例えば、ターゲットＩＰアドレスに関連するユーザのユーザレベルは、一般、シルバー、ゴールド、および、ダイヤモンドを含みうる。各レベルに対応するレベルパラメータが、レベル割り当てルールに従って割り当てられる。レベル割り当てルールは、ユーザレベルのレベルパラメータへの対応づけを含みうる。例えば、上述した一般、シルバー、ゴールド、および、ダイヤモンドユーザが、低から高までのレベルに従って割り当てられる場合、一般、シルバー、ゴールド、および、ダイヤモンドのレベルに基づく割り当てに対応するレベルパラメータは、それぞれ、１、２、３、および、４であってよい。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの履歴訪問情報は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、その特定の期間中に攻撃された上記のターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィック、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスがその特定の期間中に攻撃された総時間長を含む。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数は、ユーザによって所有される全ＩＰアドレスの訪問者トラフィックが特定の履歴期間中（例えば、現時点の１週間以内）にブラックホールルートへ転送された総回数である。特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックは、特定の期間中に攻撃下にあったターゲットＩＰアドレスに関連するユーザによって所有される全ＩＰアドレスの最大トラフィックでありうる。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長は、ユーザによって所有される全ＩＰアドレス（またはユーザによって所有される規定のセットのＩＰアドレス）が特定の期間中に攻撃された総時間長でありうる。
【０１１７】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程は、ブラックホールルート解除時間を決定するための既定のルールを取得する工程と、ブラックホールルート解除時間決定ルール、および／または、ターゲットＩＰアドレスに関連するユーザのステータス情報、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報、に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を決定する工程と、を含んでよい。
【０１１８】
ブラックホールルート解除時間は、既定のブラックホールルート解除時間を用いて決定されてよい。ＩＰアドレスに対応するブラックホールルート解除時間は、以下の内の１または複数に少なくとも部分的に基づいて決定されてよい。（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベル、（ｉｉ）ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数、（ｉｉｉ）特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィック、および、（ｉｖ）ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長。既定のブラックホールルート解除時間決定ルールは、大量の履歴統計情報内の関連データに実行された解析に少なくとも部分的に基づいて設定（例えば、構成）されてよい。
【０１１９】
いくつかの実施形態において、ブラックホールルート解除時間決定ルールのためのブラックホールルート解除時間の式は、（５ａ）に対応しうる。
【０１２０】
ＲｅｌｅａｓｅＴｍｅ＝ｔ０＋Ｌｅｖｅｌ２（ｕ）＋Ｂｌａｃｋ２（ｂ）＋Ｐｅａｋ２（ａ）＋ＡｔｔａｃｋＴｉｍｅ２（ｔ）      （５ａ）
【０１２１】
図（５ａ）を参照すると、ＲｅｌｅａｓｅＴｉｍｅはブラックホールルート解除時間（時間）であり、ｔ０はデフォルトブラックホールルート解除時間であり（ｔ０＝２．５時間が好ましい）、Ｌｅｖｅｌ２（ｕ）はユーザレベルのブラックホールルート解除時間関数であり、Ｂｌａｃｋ２（ｂ）はターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数のブラックホールルート解除時間関数であり、Ｐｅａｋ２（ａ）は特定の履歴期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックのブラックホールルート解除時間関数であり、ＡｔｔａｃｋＴｉｍｅ２（ｔ）はターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長のブラックホールルート解除時間関数である。上述した履歴訪問情報またはステータス情報に対応するブラックホールルート解除時間関数の値の単位は、どの場合にも時間（ｈｏｕｒｓ）である。
【０１２２】
様々な実施形態が、式（５ａ）とは異なる既定のブラックホールルート解除時間決定ルールのための式を実施する。いくつかの実施形態において、ブラックホールルート解除時間は、デフォルトブラックホールルート解除時間ｔ０と、任意の１または複数のブラックホールルート解除時間関数との合計であってよい。
【０１２３】
いくつかの実施形態において、既定のブラックホールルート解除時間決定ルールは、式（５ｂ）、式（５ｃ）、式（５ｄ）、または、式（５ｅ）に対応しうる。
【０１２４】
ＲｅｌｅａｓｅＴｍｅ＝ｔ０＋Ｌｅｖｅｌ２（ｕ）＋Ｂｌａｃｋ２（ｂ）＋Ｐｅａｋ２（ａ）      （５ｂ）
【０１２５】
ＲｅｌｅａｓｅＴｍｅ＝ｔ０＋Ｌｅｖｅｌ２（ｕ）＋Ｂｌａｃｋ２（ｂ）＋ＡｔｔａｃｋＴｉｍｅ２（ｔ）      （５ｃ）
【０１２６】
ＲｅｌｅａｓｅＴｍｅ＝ｔ０＋Ｌｅｖｅｌ２（ｕ）＋Ｂｌａｃｋ２（ｂ）      （５ｄ）
【０１２７】
ＲｅｌｅａｓｅＴｍｅ＝ｔ０＋Ｌｅｖｅｌ２（ｕ）＋ＡｔｔａｃｋＴｉｍｅ２（ｔ）      （５ｅ）
【０１２８】
いくつかの実施形態において、ブラックホールルート解除時間決定ルールは、ターゲットＩＰアドレスに関連するユーザのユーザレベルの減少関数、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数の増加関数、および／または、上記特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックの増加関数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の増加関数、であるブラックホールルート解除時間を含む。
【０１２９】
ユーザレベルは、ユーザの通常平均訪問者トラフィックレベルに基づいて割り当てられてよい。ユーザの通常平均訪問者トラフィックレベルは、ユーザのターゲットＩＰアドレスの内の１または複数への訪問者トラフィックレベルに従って決定されうる。例えば、通常平均訪問者トラフィックレベルは、ユーザの１または複数のターゲットＩＰアドレスへの訪問者トラフィックレベルに関する履歴情報を用いて計算されうる。通常平均訪問者トラフィックレベルは、ユーザの１または複数のターゲットＩＰアドレスへの訪問者トラフィックレベルに関する履歴情報から統計的外れ値を除去して平均を取ることによって計算されうる。いくつかの実施形態において、比較的高いユーザレベルは、比較的高いユーザの通常平均訪問者トラフィックに対応する。いくつかの実施形態において、比較的高い通常平均訪問者トラフィックは、ユーザにとって比較的取引が多いことに対応しうる、または、他の方法でそれを示唆しうる。いくつかの実施形態において、ユーザが比較的高いユーザレベルを有するかまたは比較的高い通常平均訪問者トラフィックに関連する場合、そのユーザは、比較的短いブラックホールルート解除時間を必要とする。したがって、ユーザレベルに対応するブラックホールルート解除時間関数Ｌｅｖｅｌ２（ｕ）は、ユーザレベルの減少関数として設定されてよい。
【０１３０】
いくつかの実施形態において、ユーザレベルに対応するブラックホールルート解除時間関数Ｌｅｖｅｌ２（ｕ）は、式（６ａ）、式（６ｂ）、または、式（６ｃ）の内の１または複数に対応してよい。
【０１３１】
ｌｅｖｅｌ２（ｕ）＝ｔ１−ｒ１ｕ      （６ａ）
【０１３２】
ｌｅｖｅｌ２（ｕ）＝ｒ２ｔ１−ｒ１ｕ      （６ｂ）
【０１３３】
【数４】
2018515984.tif 000006
【０１３４】
式（６ａ）、（６ｂ）、および、（６ｃ）を参照すると、ｕは、ターゲットＩＰアドレスに関連するユーザのユーザレベルである。式（６ａ）、（６ｂ）、および、（６ｃ）において、ユーザレベルに対応するブラックホールルート解除時間関数Ｌｅｖｅｌ２（ｕ）は、ユーザレベルの減少関数である。式（６ａ）、（６ｂ）、および、（６ｃ）を参照すると、ｔ１、ｒ１、および、ｒ２は、調整可能なパラメータに対応しうる。
【０１３５】
様々な実施形態によれば、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに対する訪問者トラフィックがブラックホールルートへ転送された回数が多いほど、ＩＰアドレスが攻撃されるリスクが高くなる。したがって、ＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数が多いことは、ＩＰアドレスに対応するブラックホールルート解除時間が比較的長いことに対応しうる。ブラックホールルート解除時間は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数の増加関数でありうる。したがって、ブラックホールルート解除時間関数Ｂｌａｃｋ２（ｂ）は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートに転送された回数の増加関数として設定されてよい。
【０１３６】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートに転送された回数に対応するブラックホールルート解除時間関数Ｂｌａｃｋ２（ｂ）は、式（７ａ）、（７ｂ）、または、（７ｃ）の内の１または複数に対応しうる。
【０１３７】
Ｂｌａｃｋ２（ｂ）＝ｒ３ｂ      （７ａ）
【０１３８】
Ｂｌａｃｋ２（ｂ）＝ｒ３ｂ＋ｔ２      （７ｂ）
【０１３９】
【数５】
2018515984.tif 000007
【０１４０】
式（７ａ）、（７ｂ）、および、（７ｃ）を参照すると、ｂは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数である。例えば、特定の期間は、現在時刻から１週間であってよい。したがって、ｂは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが過去１週間中にブラックホールルートに転送された回数である。式（７ａ）、（７ｂ）、および、（７ｃ）において、ブラックホールルート解除時間関数Ｂｌａｃｋ２（ｂ）は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートに転送された回数の増加関数である。式（７ａ）、（７ｂ）、および、（７ｃ）を参照すると、ｔ２およびｒ３は、調整可能なパラメータに対応しうる。
【０１４１】
いくつかの実施形態において、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックが大きいほど、頻繁にユーザが攻撃を受けたことになる（攻撃者の主要な攻撃対象）。ピークトラフィックは、履歴訪問トラフィック情報内の最大量のトラフィックに対応しうる（例えば、履歴訪問者トラフィック情報内の外れ値ではない最大量のトラフィックなど、統計的に決定されたトラフィックレベル）。例えば、ブラックホールルートが持続すべき時間長（例えば、ブラックホールルート解除時間）は、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックと正の相関を持つ。したがって、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックが大きいほど、ＩＰアドレスに対応するブラックホールルート解除時間が長いことが好ましい。ブラックホールルート解除時間は、特定の履歴期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックの増加関数でありうる。したがって、ブラックホールルート解除時間関数Ｐｅａｋ２（ａ）は、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックの増加関数として設定されてよい。
【０１４２】
いくつかの実施形態において、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックに対応するブラックホールルート解除時間関数Ｐｅａｋ２（ａ）は、式（８ａ）、式（８ｂ）、または、式（８ｃ）に対応しうる。
【０１４３】
Ｐｅａｋ２（ａ）＝ｒ４ａ      （８ａ）
【０１４４】
Ｐｅａｋ２（ａ）＝ｒ４ａ＋ｔ３      （８ｂ）
【０１４５】
【数６】
2018515984.tif 000008
【０１４６】
式（８ａ）、（８ｂ）、および、（８ｃ）を参照すると、ｔ３およびｒ４は、調整可能なパラメータに対応しうる。式（８ａ）、（８ｂ）、および、（８ｃ）を参照すると、ａは、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのＩＰアドレスのピークトラフィック（Ｇｂｐｓ）である。例えば、ａは、先週攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックでありうる。式（８ａ）、（８ｂ）、および、（８ｃ）において、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックに対応するブラックホールルート解除時間関数Ｐｅａｋ２（ａ）は、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックの増加関数である。
【０１４７】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された比較的長い総時間長が、ＩＰアドレスに対応するブラックホールルート解除時間に対応する。したがって、ブラックホールルート解除時間は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長の増加関数でありうる。したがって、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長に対応するブラックホールルート解除時間関数ＡｔｔａｃｋＴｉｍｅ２（ｔ）は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の増加関数として設定されてよい。
【０１４８】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長に対応するブラックホールルート解除時間関数ＡｔｔａｃｋＴｉｍｅ２（ｔ）は、式（９ａ）、式（９ｂ）、または、式（９ｃ）に対応しうる。
【０１４９】
ＡｔｔａｃｋＴｉｍｅ２（ｔ）＝ｔ４＋ｔ      （９ａ）
【０１５０】
ＡｔｔａｃｋＴｉｍｅ２（ｔ）＝ｒ５ｔ４＋ｔ      （９ｂ）
【０１５１】
【数７】
2018515984.tif 000009
【０１５２】
式（９ａ）、式（９ｂ）、および、式（９ｃ）を参照すると、ｔは、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の履歴期間中に攻撃された総時間長（時間）である。式（９ａ）、（９ｂ）、および、（９ｃ）を参照すると、ｔ４およびｒ５は、調整可能なパラメータに対応しうる。例えば、ｔは、ユーザによって所有されるＩＰアドレスが過去１週間中に攻撃された総時間長でありうる。式（９ａ）、式（９ｂ）、および、式（９ｃ）において、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長に対応するブラックホールルート解除時間関数ＡｔｔａｃｋＴｉｍｅ２（ｔ）は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の増加関数である。
【０１５３】
式（６ａ）、（６ｂ）、（７ａ）、（７ｂ）、（８ａ）、（８ｂ）、（９ａ）、および、（９ｂ）を参照すると、パラメータｔ１、ｔ２、ｔ３、ｔ４、および、ｒ１、ｒ２、ｒ３、ｒ４、ｒ５は、履歴統計情報内の関連データの解析を通して取得することができる。例えば、パラメータは、データを収集して、例えば分散公式で分布を計算することによって取得することができる。いくつかの実施形態において、式（６ｃ）、（７ｃ）、（８ｃ）、および、（９ｃ）は、履歴統計情報内の関連データの解析に続いて予め設定される。関連データは、攻撃イベント、攻撃時間、攻撃トラフィックの量などを含みうる。例えば、関連データは、データを収集して、例えば分散公式で分布を計算することによって取得することができる。
【０１５４】
ＩＰアドレスに対応するブラックホールルート解除時間は、式（６ａ）、（６ｂ）、（６ｃ）、（７ａ）、（７ｂ）、（７ｃ）、（８ａ）、（８ｂ）、（８ｃ）、（９ａ）、（９ｂ）、および、（９ｃ）の既定の関数の内の任意の１または複数に基づいて決定されうる。例えば、ＩＰアドレスに対応するブラックホールルート解除時間は、以下の内の１または複数に少なくとも部分的に基づいて決定されてよい。（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベルのブラックホールルート解除時間関数，（ｉｉ）ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数のブラックホールルート解除時間関数、（ｉｉｉ）特定の履歴期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィック値のブラックホールルート解除時間関数、および、（ｉｖ）ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長のブラックホールルート解除時間関数。ＩＰアドレスに対応するブラックホールルート解除時間は、上記のブラックホールルート解除時間関数（ｉ）〜（ｉｖ）の内の任意の１または複数と、デフォルトブラックホールルート解除時間との合計であってよい。
【０１５５】
ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程の一例を以下に挙げる。
【０１５６】
例えば、デフォルトブラックホールルート解除時間ｔ０が２．５時間であり、ターゲットＩＰアドレスに関連する取得済みのユーザレベルがシルバーユーザ（例えば、ｕ＝２）であり、ユーザによって所有されるＩＰアドレスが先週中にブラックホールルートに転送された回数が６回（例えば、ｂ＝６）であり、先週攻撃下にあったユーザによって所有されるＩＰアドレスのピークトラフィックが８Ｇｂｐｓ（例えば、ａ＝８）であり、ユーザによって所有されるＩＰアドレスが先週中に攻撃下にあった総時間長が１９時間（例えば、ｔ＝１９）であるとする。
【０１５７】
式（６ｃ）、（７ｃ）、（８ｃ）、および、（９ｃ）を用いると、ユーザの各ブラックホールルート解除時間に対応する値は、それぞれ、Ｌｅｖｅｌ２（ｕ）＝−０．２、Ｂｌａｃｋ２（ｂ）＝１、Ｐｅａｋ２（ａ）＝０．２、および、ＡｔｔａｃｋＴｉｍｅ２（ｔ）＝０．５に対応すると計算されうる。したがって、式（５ａ）をさらに用いることにより、ターゲットＩＰアドレスに対応するブラックホールルート解除時間は、４時間であると計算されうる。
【０１５８】
いくつかの実施形態において、ブラックホールルート解除時間は、ユーザによって所有されるＩＰアドレスに対して個別に設定されてもよい。ターゲットＩＰアドレスに対応するブラックホールルート解除時間は、ターゲットＩＰアドレスに対して設定されたブラックホールルート解除時間でありうる。換言すると、同じユーザに関連する複数のターゲットＩＰアドレスに対応する複数のブラックホールルート解除時間は必ずしも同一ではない。
【０１５９】
いくつかの実施形態において、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程は、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程を含む。
【０１６０】
様々な実施形態によれば、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程は、ブラックホール解除時間を決定するための既定のルールを取得する（例えば、獲得する）工程と、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報を用いることに少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得する工程に関連して、ブラックホール解除時間決定ルールを用いる工程と、を含む。
【０１６１】
ターゲットＩＰアドレスに関連するユーザに関するステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含みうる。ターゲットＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、ターゲットＩＰアドレスがその特定の期間中に攻撃された総時間長を含みうる。
【０１６２】
いくつかの実施形態において、ＩＰアドレスに対応するブラックホールルート解除時間は、既定のブラックホールルート解除時間決定ルールを用いて、（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベル、（ｉｉ）ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数、（ｉｉｉ）特定の期間中に攻撃されたターゲットＩＰアドレスのピークトラフィック値、および、（ｉｖ）ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長に少なくとも部分的に基づいて決定されうる。いくつかの実施形態において、既定のブラックホールルート解除時間決定ルールは、大量の履歴統計情報内の関連データに実行された解析に少なくとも部分的に基づいて設定される。
【０１６３】
ブラックホール解除時間決定ルールのためのブラックホール解除時間の式の一例は、式（５ａ）に対応しうる。
【０１６４】
様々な実施形態によると、ＲｅｌｅａｓｅＴｉｍｅはブラックホールルート解除時間（時間）であり、ｔ０はブラックホールルート解除時間であり（例えば、ｔ０＝２．５時間が好ましい）、Ｌｅｖｅｌ２（ｕ）はターゲットＩＰアドレスに関連するユーザのユーザレベルのブラックホールルート解除時間関数であり、Ｂｌａｃｋ２（ｂ）はターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数のブラックホールルート解除時間関数であり、Ｐｅａｋ２（ａ）は特定の履歴期間中に攻撃されたターゲットＩＰアドレスのピークトラフィック値のブラックホールルート解除時間関数であり、ＡｔｔａｃｋＴｉｍｅ２（ｔ）はターゲットＩＰアドレスが特定の履歴期間中に攻撃された総時間長のブラックホールルート解除時間関数である。上述した履歴訪問情報またはステータス情報に対応するブラックホールルート解除時間関数の値の単位は、時間（ｈｏｕｒｓ）であってよい。
【０１６５】
様々な実施形態によれば、ブラックホールルート解除時間は、デフォルトブラックホールルート解除時間ｔ０と、任意の１または複数のブラックホールルート解除時間関数との合計である。例えば、式（５ａ）は、式（５ｂ）、（５ｃ）、（５ｄ）、または、（５ｅ）によって表すことができる。
【０１６６】
具体的な一実施例において、ブラックホールルート解除時間決定ルールは、ブラックホールルート解除時間が以下の内の１または複数を有することを求める。ターゲットＩＰアドレスに関連するユーザのユーザレベルの減少関数、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数の増加関数、特定の期間中に攻撃されたターゲットＩＰアドレスのピークトラフィック値の増加関数、または、ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長の増加関数。
【０１６７】
ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するブラックホールルート解除時間関数Ｌｅｖｅｌ２（ｕ）は、ユーザレベルの減少関数として設定されてよい。
【０１６８】
例えば、ターゲットＩＰアドレスに関連するユーザのユーザレベルに対応するブラックホールルート解除時間関数Ｌｅｖｅｌ２（ｕ）は、式（６ａ）、（６ｂ）、または、（６ｃ）を用いて設定されてよい。様々な実施形態によれば、ｕは、ターゲットＩＰアドレスに関連するユーザのユーザレベルである。式（６ａ）、（６ｂ）、および、（６ｃ）において、ターゲットＩＰアドレスに関連するユーザレベルに対応するブラックホールルート解除時間関数Ｌｅｖｅｌ２（ｕ）は、ユーザレベルの減少関数である。
【０１６９】
ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数に対応するブラックホールルート解除時間関数Ｂｌａｃｋ２（ｂ）は、ターゲットＩＰアドレスの訪問者トラフィックがその特定の期間中にブラックホールルートへ転送された回数に関する増加関数として設定されてよい。
【０１７０】
例えば、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートに転送された回数に対応するブラックホールルート解除時間関数Ｂｌａｃｋ２（ｂ）は、式（７ａ）、（７ｂ）、または、（７ｃ）として設定されてよい。様々な実施形態によれば、ｂは、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数である。一例として、特定の期間は、現在時刻から１週間であってよい。この例によれば、ｂは、ターゲットＩＰアドレスの訪問者トラフィックが過去１週間中にブラックホールルートに転送された回数である。式（７ａ）、（７ｂ）、および、（７ｃ）によれば、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数に対応するブラックホールルート解除時間関数Ｂｌａｃｋ２（ｂ）は、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールへ転送された回数の増加関数である。
【０１７１】
特定の期間中に攻撃下にあったターゲットＩＰアドレスのピークトラフィックに対応するブラックホールルート解除時間関数Ｐｅａｋ２（ａ）は、特定の期間中に攻撃下にあったターゲットＩＰアドレスのピークトラフィックの増加関数として設定されてよい。
【０１７２】
いくつかの実施形態において、特定の期間中に攻撃されたターゲットＩＰアドレスのピークトラフィックに対応するブラックホールルート解除時間関数  Ｐｅａｋ２（ａ）は、式（８ａ）、（８ｂ）、または、（８ｃ）の内の１または複数に従って設定されてよい。様々な実施形態によれば、ａは、特定の履歴期間中に攻撃されたターゲットアドレスのピークトラフィック（Ｇｂｐｓ）である。例えば、ａは、過去１週間中に攻撃されたターゲットアドレスのピークトラフィックでありうる。式（８ａ）、（８ｂ）、および、（８ｃ）において、ブラックホールルート解除時間関数Ｐｅａｋ２（ａ）は、特定の期間中に攻撃下にあったターゲットＩＰアドレスのピークトラフィックの増加関数である。
【０１７３】
ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長に対応するブラックホールルート解除時間関数ＡｔｔａｃｋＴｉｍｅ２（ｔ）は、ターゲットアドレスが特定の期間中に攻撃された総時間長の増加関数として設定されてよい。
【０１７４】
様々な実施形態によれば、ターゲットアドレスが特定の期間中に攻撃された総時間長に対応するブラックホールルート解除時間関数ＡｔｔａｃｋＴｉｍｅ２（ｔ）は、式（９ａ）、（９ｂ）、または、（９ｃ）に従って決定（例えば、計算）される。いくつかの実施形態において、ｔは、ターゲットＩＰアドレスが特定の履歴期間中に攻撃された総時間長（時間）である。例えば、ｔは、ターゲットＩＰアドレスが過去１週間中に攻撃された総時間長でありうる。式（９ａ）、（９ｂ）、および、（９ｃ）において、ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長に対応するブラックホールルート解除時間関数ＡｔｔａｃｋＴｉｍｅ２（ｔ）は、ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長の増加関数である。
【０１７５】
ＩＰアドレスに対応するブラックホールルート解除時間は、以下の内の１または複数に少なくとも部分的に基づいて決定されてよい。（ｉ）ターゲットＩＰアドレスに関連するユーザのユーザレベルのブラックホールルート解除時間関数、（ｉｉ）ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数のブラックホールルート解除時間関数、（ｉｉｉ）特定の期間中に攻撃されたターゲットＩＰアドレスのピークトラフィック値のブラックホールルート解除時間関数、および／または、（ｉｖ）ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長のブラックホールルート解除時間関数。例えば、ＩＰアドレスに対応するブラックホールルート解除時間は、ケース（ｉ）〜（ｉｖ）のブラックホールルート解除時間関数の内の任意の１または複数と、デフォルトブラックホールルート解除時間との合計であってよい。
【０１７６】
工程３６０では、ターゲットＩＰアドレス訪問者トラフィックブラックホールルートリダイレクト時間が上記のブラックホールルート解除時間に到達したか否かが判定される。例えば、ブラックホールルートへのターゲットＩＰアドレス訪問者トラフィックリダイレクトの持続時間が、ＩＰアドレスに対応するブラックホールルート解除時間に到達したか否かが判定されうる。
【０１７７】
工程３６０においてターゲットＩＰアドレス訪問者トラフィックブラックホールルートリダイレクト時間がブラックホール解除時間に到達したと判定された場合、処理３００は、ターゲットＩＰアドレスに関連するブラックホールルートが停止される工程３７０に進む。例えば、ＩＰアドレスがブラックホールルートへリダイレクトされた時間が上記のブラックホールルート解除時間に到達した場合、ブラックホールルートは解除され、ターゲットＩＰアドレスへのトラフィックは、もはやブラックホールルートを介してルーティングされない。いくつかの実施形態において、ターゲットＩＰアドレス訪問者トラフィックブラックホールルートリダイレクト時間がブラックホールルート解除時間に到達した場合、ブラックホールルートは、停止（例えば、削除、再構成、無効化、または、用途変更）されてよい。
【０１７８】
いくつかの実施形態において、ターゲットＩＰアドレス訪問者トラフィックブラックホールルートリダイレクト時間がブラックホールルート解除時間に到達した場合、上記のターゲットＩＰアドレスのためのブラックホールルートの停止が実行されうる。一例として、ターゲットＩＰアドレスのためのブラックホールルートを停止することは、ＩＰアドレスに対して構成されたブラックホールルートを削除し、したがって、そのＩＰアドレスの訪問者トラフィックを通常のルートへダイレクトする（例えば、そのＩＰアドレスの通常ルートを回復させる）ことを含んでよい。
【０１７９】
工程３６０においてターゲットＩＰアドレス訪問者トラフィックブラックホールルートリダイレクト時間がブラックホール解除時間に到達していないと判定された場合、処理３００は、訪問者トラフィックがブラックホールルートを用いて操作されうる工程３８０へ進む。例えば、ターゲットＩＰアドレスへの訪問者トラフィックが、ブラックホールルートを介してルーティングされうる。
【０１８０】
様々な実施形態によれば、ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが対応するトラフィック閾値より大きいか否かを判定し、ＩＰアドレスの訪問者トラフィックを操作するための基礎として判定結果を利用することにより、ＩＰアドレス訪問者トラフィックが対応するトラフィック閾値を超えたか否かに応じて、ＩＰアドレスの訪問者トラフィックがブラックホールルートにリダイレクトされるべきか否かを判定できる。様々な実施形態が、ユーザに対してトラフィック閾値を設定するか、または、ユーザの複数のＩＰアドレスに対してトラフィック閾値を別個に設定する。様々な実施形態によれば、訪問者トラフィックは、異なるターゲットＩＰアドレスまたは異なるユーザのターゲットＩＰアドレスに対応する訪問者トラフィックブラックホールルートリダイレクト閾値に基づいて操作される。このように、ネットワーク攻撃に対して防御するためにブラックホールルートを用いることの悪影響を低減できる。様々な実施形態によれば、訪問者トラフィックがブラックホールルートへリダイレクトされているターゲットＩＰアドレスに関連して、ＩＰアドレスに対応するブラックホールルート解除時間を取得することができ、対応するブラックホールルート解除時間に従って、ＩＰアドレスのためのブラックホールルートを解除できる。様々な実施形態によれば、ユーザに対してブラックホールルート解除時間を設定する工程、または、ユーザのＩＰアドレスに対して別個にブラックホールルート解除時間を設定する工程を実行できる。ブラックホールルート解除時間は、異なるユーザまたは異なるＩＰアドレスに対して（別個に）構成されうる。
【０１８１】
図４は、本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのデバイスを示すブロック図である。
【０１８２】
図４を参照すると、ネットワーク攻撃に対して防御するためのデバイス４００が提供されている。デバイス４００は、図１の処理１５０、図２の処理２００、および／または、図３の処理３００の一部または全部を実施できる。デバイス４００は、図６のコンピュータシステム６００によって実施されうる。
【０１８３】
いくつかの実施形態において、デバイス４００は、第１獲得モジュール４１０、第１評価モジュール４２０、および、第１操作モジュール４３０を備える。
【０１８４】
第１獲得モジュール４１０は、ターゲットＩＰアドレスに対応するトラフィック閾値を取得するよう構成されてよい。
【０１８５】
第１評価モジュール４２０は、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かを判定するよう構成されてよい。
【０１８６】
第１操作モジュール４３０は、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたか否かに少なくとも部分的に基づいて、ターゲットＩＰアドレスの訪問者トラフィックを操作するよう構成されてよい。例えば、第１操作モジュールは、ブラックホールルートを介してターゲットＩＰアドレスの訪問者トラフィックをルーティングするよう構成されてよい。いくつかの実施形態において、第１操作モジュール４３０は、ターゲットＩＰアドレスのリアルタイム訪問者トラフィックがトラフィック閾値を超えたとの判定に応じて、ブラックホールルートを設定するよう構成されてよい。
【０１８７】
様々な実施形態によれば、ターゲットＩＰアドレスの訪問者トラフィックがトラフィック閾値を超えた場合に、ブラックホールルートが（例えば、第１操作モジュール４３０などによって）ターゲットＩＰアドレスに対して構成され、したがって、ターゲットＩＰアドレスの訪問者トラフィックは、（例えば、第１操作モジュール４３０によって）ブラックホールルートへリダイレクトされる。
【０１８８】
図５は、本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのデバイスを示すブロック図である。
【０１８９】
図５を参照すると、ネットワーク攻撃に対して防御するためのデバイス５００が提供されている。デバイス５００は、図１の処理１５０、図２の処理２００、および／または、図３の処理３００の一部または全部を実施できる。デバイス５００は、図６のコンピュータシステム６００によって実施されうる。
【０１９０】
いくつかの実施形態において、デバイス５００は、第１獲得モジュール５１０、第１評価モジュール５２０、第１操作モジュール５３０、第２獲得モジュール５４０、第２評価モジュール５５０、および、第２操作モジュール５６０を備える。
【０１９１】
様々な実施形態によれば、第１獲得モジュール５１０は第１獲得モジュール４１０に対応し、第１評価モジュール５２０は第１評価モジュール４２０に対応し、第１操作モジュール５３０は第１操作モジュール４３０に対応する。
【０１９２】
第２獲得モジュール５４０は、ターゲットＩＰアドレスに対応するブラックホールルート解除時間に構成されてよい。
【０１９３】
第２評価モジュール５５０は、ターゲットＩＰアドレス訪問者トラフィックブラックホールルートリダイレクト時間がブラックホールルート解除時間に到達したか否かを判定するよう構成されてよい。
【０１９４】
第２操作モジュール５６０は、ブラックホールルートリダイレクト時間がブラックホールルート解除時間に到達したと判定された場合に、ターゲットＩＰアドレスのブラックホールルートを停止するよう構成されてよい。
【０１９５】
様々な実施形態によれば、第１獲得モジュール４１０および／または第１獲得モジュール５１０は、トラフィック閾値がユーザに対して設定されるように構成され、ここで、ターゲットＩＰアドレスに対応するトラフィック閾値は、ターゲットＩＰアドレスに関連するユーザのトラフィック閾値である。
【０１９６】
様々な実施形態に従って、第１獲得モジュール４１０および／または第１獲得モジュール５１０は、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報が、ターゲットＩＰアドレスに対応するトラフィック閾値を取得する（例えば、獲得する）ための根拠として機能するように構成される。
【０１９７】
第１獲得モジュール４１０および／または第１獲得モジュール５１０は、第１獲得サブモジュールまたは第１決定サブモジュールの一方または両方を備えてよい。
【０１９８】
第１獲得サブモジュールは、既定のトラフィック閾値決定ルールを取得するよう構成されてよい。
【０１９９】
第１決定サブモジュールは、トラフィック閾値決定ルール、ターゲットＩＰアドレスに関連するユーザのステータス情報、および、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報の内の１または複数に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するトラフィック閾値を決定するよう構成されてよい。
【０２００】
ターゲットＩＰアドレスに関連するユーザに関するステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含みうる。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長を含みうる。
【０２０１】
いくつかの実施形態において、トラフィック閾値決定ルールは、トラフィック閾値が、ターゲットＩＰアドレスに関連するユーザのユーザレベルの増加関数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数の減少関数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の減少関数になるように構成される。
【０２０２】
いくつかの実施形態において、第１獲得モジュール４１０および／または第１獲得モジュール５１０は、ユーザの別個のＩＰアドレスに対してトラフィック閾値を設定するよう構成され、ここで、ターゲットＩＰアドレスに対応するトラフィック閾値は、ターゲットＩＰアドレスに対して設定されたトラフィック閾値である。
【０２０３】
いくつかの実施形態において、第１獲得モジュール４１０および／または第１獲得モジュール５１０は、ターゲットＩＰアドレスに対応するトラフィック閾値を取得する（例えば、獲得する）ための根拠として機能するターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報である。
【０２０４】
第１決定サブモジュールは、トラフィック閾値決定ルール、ターゲットＩＰアドレスに関連するユーザのステータス情報、および、ターゲットＩＰアドレスに関する履歴訪問情報の内の１または複数に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するトラフィック閾値を決定するよう構成されてよい。
【０２０５】
ターゲットＩＰアドレスに関連するユーザに関するステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含みうる。ターゲットＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、ターゲットＩＰアドレスが上記の特定の期間中に攻撃された総時間長を含みうる。
【０２０６】
いくつかの実施形態において、トラフィック閾値決定ルールは、トラフィック閾値が、ターゲットＩＰアドレスに関連するユーザのユーザレベルの増加関数、ターゲットＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数の減少関数、および／または、ターゲットＩＰアドレスがその特定の期間中に攻撃された総時間長の減少関数になるように構成されてよい。
【０２０７】
いくつかの実施形態において、第２獲得モジュール５４０は、ユーザに対してブラックホールルート解除時間を設定するよう構成される。ターゲットＩＰアドレスに対応するブラックホールルート解除時間は、ターゲットＩＰアドレスに関連するユーザに対して設定されたブラックホールルート解除時間でありうる。
【０２０８】
いくつかの実施形態において、第２獲得モジュール５４０は、ターゲットＩＰアドレスに関連するユーザのステータス情報、および／または、ターゲットＩＰアドレスサーバに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得するよう構成される。
【０２０９】
第２獲得モジュール５４０は、第２獲得サブモジュールおよび／または第２決定サブモジュールを備えてよい。
【０２１０】
第２獲得サブモジュールは、既定のブラックホールルート解除時間決定ルールを取得するよう構成されてよい。
【０２１１】
第２決定サブモジュールは、ブラックホールルート解除時間決定ルール、ターゲットＩＰアドレスに関連するユーザのステータス情報、および、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報の内の１または複数に少なくとも部分的に基づいて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を決定するよう構成されてよい。
【０２１２】
ターゲットＩＰアドレスに関連するユーザに関するステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含む。ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の履歴期間中にブラックホールルートに転送された回数、および／または、上記の特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィック、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスがその特定の期間中に攻撃された総時間長を含む。
【０２１３】
いくつかの実施形態において、ブラックホールルート解除時間決定ルールは、ターゲットＩＰアドレスに関連するユーザのユーザレベルの減少関数、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数の増加関数、および／または、特定の期間中に攻撃されたターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスのピークトラフィックの増加関数、および／または、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスが特定の期間中に攻撃された総時間長の増加関数、であるブラックホールルート解除時間を含む。
【０２１４】
いくつかの実施形態において、第２獲得モジュール５４０は、さらに、ユーザによって所有されるＩＰアドレスに対してブラックホールルート解除時間を別個に設定するよう構成される。いくつかの実施形態において、第２獲得モジュール５４０は、さらに、ターゲットＩＰアドレスについて、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を別個に設定するよう構成される。
【０２１５】
いくつかの実施形態において、ターゲットＩＰアドレスに関連するユーザのステータス情報および／またはターゲットＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得するための根拠として機能する。
【０２１６】
ターゲットＩＰアドレスに関連するユーザに関するステータス情報は、そのターゲットＩＰアドレスに関連するユーザのユーザレベルを含みうる。ターゲットＩＰアドレスに関する履歴訪問情報は、ターゲットＩＰアドレスに関連するユーザによって所有されるＩＰアドレスの訪問トラフィックが特定の履歴期間中にブラックホールルートへ転送された回数、その特定の期間中に攻撃されたターゲットＩＰアドレスのピークトラフィック、および／または、ターゲットＩＰアドレスがその特定の期間中に攻撃された総時間長を含みうる。
【０２１７】
本開示の様々な実施形態によれば、ブラックホールルート解除時間決定ルールは、ターゲットＩＰアドレスに関連するユーザのユーザレベルに関する減少関数、ターゲットＩＰアドレスの訪問者トラフィックが特定の期間中にブラックホールルートへ転送された回数に関する増加関数、特定の期間中に攻撃されたターゲットＩＰアドレスのピークトラフィック値に関する増加関数、および、ターゲットＩＰアドレスが特定の期間中に攻撃された総時間長に関する増加関数の内の１または複数を含む（例えば、または、対応する）ブラックホールルート解除時間に対応する。
【０２１８】
図６は、本開示の様々な実施形態に従って、ネットワーク攻撃に対して防御するためのコンピュータシステムを示す機能図である。
【０２１９】
図６を参照すると、ネットワーク攻撃に対して防御するためのコンピュータシステム６００が示されている。コンピュータシステム６００は、図１Ｂの処理１５０、図２の処理２００、図３の処理３００、図４のデバイス４００、または、図５のデバイス５００を実施できる。明らかに、表示インターフェースを実施するために、他のコンピュータシステムアーキテクチャおよび構成を用いることも可能である。以下に述べるような様々なサブシステムを備えるコンピュータシステム６００は、少なくとも１つのマイクロプロセッササブシステム（プロセッサまたは中央処理装置（ＣＰＵ）とも呼ばれる）６０２を備える。例えば、プロセッサ６０２は、シングルチッププロセッサまたはマルチプロセッサによって実装できる。いくつかの実施形態において、プロセッサ６０２は、コンピュータシステム６００の動作を制御する汎用デジタルプロセッサである。メモリ６１０から読み出された命令を用いて、プロセッサ６０２は、入力データの受信および操作、ならびに、出力デバイス（例えば、ディスプレイ６１８）上でのデータの出力および表示を制御する。
【０２２０】
プロセッサ６０２は、メモリ６１０と双方向的に接続されており、メモリ６１０は、第１のプライマリストレージ（通例は、ランダムアクセスメモリ（ＲＡＭ））および第２のプライマリストレージ領域（通例は、リードオンリーメモリ（ＲＯＭ））を含みうる。当業者に周知のように、プライマリストレージは、一般的な記憶領域として、および、スクラッチパッドメモリとして利用可能であり、また、入力データおよび処理済みデータを格納するために利用可能である。プライマリストレージは、さらに、プロセッサ６０２上で実行される処理のための他のデータおよび命令に加えて、データオブジェクトおよびテキストオブジェクトの形態で、プログラミング命令およびデータを格納できる。また、当業者に周知のように、プライマリストレージは、通例、機能（例えば、プログラムされた命令）を実行するためにプロセッサ６０２によって用いられる基本的な動作命令、プログラムコード、データ、および、オブジェクトを備える。例えば、メモリ６１０は、例えば、データアクセスが双方向である必要があるか、単方向である必要があるかに応じて、後述する任意の適切なコンピュータ読み取り可能な記憶媒体を含みうる。例えば、プロセッサ６０２は、頻繁に必要になるデータをキャッシュメモリ（図示せず）に直接的かつ非常に迅速に格納し取り出すことができる。メモリは、持続性のコンピュータ読み取り可能な記憶媒体であってよい。
【０２２１】
着脱可能マスストレージデバイス６１２が、コンピュータシステム６００にさらなるデータ記憶容量を提供しており、プロセッサ６０２に対して双方向（読み出し／書き込み）または単方向（読み出しのみ）に接続されている。例えば、ストレージ６１２は、磁気テープ、フラッシュメモリ、ＰＣカード、携帯型マスストレージデバイス、ホログラフィックストレージデバイス、および、その他のストレージデバイスなどのコンピュータ読み取り可能な媒体も含みうる。固定マスストレージ６２０も、例えば、さらなるデータ記憶容量を提供しうる。マスストレージ６２０の最も一般的な例は、ハードディスクドライブである。マスストレージデバイス６１２および固定マスストレージ６２０は、一般に、プロセッサ６０２によって通例はあまり利用されないさらなるプログラミング命令、データなどを格納する。マスストレージデバイス６１２および固定マスストレージ６２０に保持された情報は、必要であれば、仮想メモリとしてのメモリ６１０（例えば、ＲＡＭ）の一部に標準的な方式で組み込まれうることが理解される。
【０２２２】
プロセッサ６０２がストレージサブシステムにアクセスできるようにすることに加えて、バス６１４が、その他のサブシステムおよびデバイスへのアクセスを可能にするために用いられてもよい。図に示すように、これらは、ディスプレイモニタ６１８、ネットワークインターフェース６１６、キーボード６０４、および、ポインティングデバイス６０６、ならびに、必要に応じて、補助入力／出力デバイスインターフェース、サウンドカード、スピーカ、および、その他のサブシステムを含みうる。例えば、ポインティングデバイス６０６は、マウス、スタイラス、トラックボール、または、タブレットであってよく、グラフィカルユーザインターフェースと相互作用するのに有用である。
【０２２３】
ネットワークインターフェース６１６は、図に示すように、ネットワーク接続を用いて、別のコンピュータ、コンピュータネットワーク、または、遠隔通信ネットワークにプロセッサ６０２を接続することを可能にする。例えば、ネットワークインターフェース６１６を通して、プロセッサ６０２は、方法／処理ステップを実行する過程で、別のネットワークから情報（例えば、データオブジェクトまたはプログラム命令）を受信したり、別のネットワークに情報を出力したりすることができる。情報は、しばしば、プロセッサ上で実行される一連の命令として表され、別のネットワークから受信されたり、別のネットワークへ出力されたりしうる。インターフェースカード（または同様のデバイス）と、プロセッサ６０２によって実装（例えば、実行／実施）される適切なソフトウェアとを用いて、コンピュータシステム６００を外部ネットワークに接続し、標準プロトコルに従ってデータを転送することができる。例えば、本明細書に開示された様々な処理の実施形態は、プロセッサ６０２上で実行されてもよいし、処理の一部を共有するリモートプロセッサと共に、ネットワーク（インターネット、イントラネットワーク、または、ローカルエリアネットワークなど）上で実行されてもよい。さらなるマスストレージデバイス（図示せず）が、ネットワークインターフェース６１６を通してプロセッサ６０２に接続されてもよい。
【０２２４】
補助Ｉ／Ｏデバイスインターフェース（図示せず）が、コンピュータシステム６００と共に用いられてよい。補助Ｉ／Ｏデバイスインターフェースは、プロセッサ６０２がデータを送信すること、ならびに、より典型的には、他のデバイス（マイクロフォン、タッチセンサ方式ディスプレイ、トランスデューサカードリーダ、テープリーダ、音声または手書き認識装置、バイオメトリクスリーダ、カメラ、携帯型マスストレージデバイス、および、他のコンピュータなど）からデータを受信することを可能にする汎用インターフェースおよびカスタマイズされたインターフェースを含みうる。
【０２２５】
図６に示したコンピュータシステムは、本明細書に開示された様々な実施形態と共に利用するのに適切なコンピュータシステムの一例にすぎない。かかる利用に適した他のコンピュータシステムは、より多いまたは少ないサブシステムを含みうる。さらに、バス６１４は、サブシステムをつなぐよう機能する任意の相互接続スキームの例である。異なる構成のサブシステムを有する他のコンピュータアーキテクチャが利用されてもよい。
【０２２６】
上記のいくつかの実施形態に開示したデバイスおよび方法は、他の方法で実現されてもよいことを理解されたい。例えば、上述したデバイスの実施形態は、単に例示である。例えば、ユニットの描写は、単に、局所的な機能に従った描写である。描写は、実際の実施の際に異なる形態を取りうる。
【０２２７】
別個の構成要素として記載されたユニットは、物理的に離れていても離れていなくてもよく、ユニットとして図示された構成要素は、物理的ユニットであってもなくてもよい。それらは、１つの場所に配置されてもよいし、複数のネットワークユニットにわたって分散されてもよい。本実施形態の具現化スキームは、実際のニーズに従って、ユニットの一部またはすべてを選択することによって実現できる。
【０２２８】
さらに、本発明の様々な実施形態における機能ユニットが、１つの処理ユニットに統合されてもよいし、各ユニットが、独立した物理的存在を有してもよいし、２以上のユニットが、単一のユニットに統合されてもよい。上述の統合ユニットは、ハードウェアの形態を取ってもよいし、ソフトウェア機能ユニットと組み合わせたハードウェアの形態を取ってもよい。
【０２２９】
ソフトウェア機能ユニットが統合される上述のユニットは、コンピュータ読み取り可能な記憶媒体に格納されてよい。上述したソフトウェア機能ユニットは、記憶媒体に格納され、コンピュータ機器（パーソナルコンピュータ、サーバ、または、ネットワークコンピュータでありうる）またはプロセッサに、本発明の様々な実施形態に記載された方法の工程の一部を実行させることを目的とする複数のコマンドを含む。上述した記憶媒体は、以下を含む：ＵＳＢフラッシュドライブ、携帯型ハードドライブ、リードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、磁気ディスク、または、光学ディスク、もしくは、プログラムコードを格納できる様々な他の媒体。
【０２３０】
様々な実施形態は、ソフトウェアで、および／または、ソフトウェアとハードウェアとの組みあわせで実施されてよいことに注意されたい。例えば、本願の様々なデバイスは、特定用途向け集積回路（ＡＳＩＣ）または任意のその他の同様のハードウェアを用いて実施されてよい。いくつかの実施形態において、本願のソフトウェアプログラムは、プロセッサを用いて、上述の工程または機能を実施してよい。同様に、本願のソフトウェアプログラム（関連するデータ構造を含む）は、ＲＡＭストレージデバイス、磁気または光学ドライブ、フロッピーディスク（登録商標）、もしくは、同様の装置など、コンピュータ読み取り可能な記録媒体に格納されてよい。さらに、本願の工程または機能の一部は、例えば、プロセッサと共に様々な工程または機能を実行するハードウェア（例えば、回路）を用いて実施されてもよい。
【０２３１】
上述の実施形態は、理解しやすいようにいくぶん詳しく説明されているが、本発明は、提供された詳細事項に限定されるものではない。本発明を実施する多くの代替方法が存在する。開示された実施形態は、例示であり、限定を意図するものではない。
【図１Ａ】
2018515984.tif 000010
【図１Ｂ】
2018515984.tif 000011
【図２】
2018515984.tif 000012
【図３】
2018515984.tif 000013
【図４】
2018515984.tif 000014
【図５】
2018515984.tif 000015
【図６】
2018515984.tif 000016
【手続補正書】
【提出日】平成30年1月9日(2018.1.9)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ウェブサイト攻撃に対して防御する方法であって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定し、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作すること、
を備え、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすること、
を含む、方法。
【請求項２】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項３】
請求項１に記載の方法であって、トラフィック閾値が対応するユーザに対して対応する値に設定され、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記対応するユーザの前記トラフィック閾値である、方法。
【請求項４】
請求項１に記載の方法であって、複数のトラフィック閾値がユーザに関連する対応する複数のＩＰアドレスに対して別個に設定され、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値は、前記ターゲットＩＰアドレスに対して設定された前記トラフィック閾値である、方法。
【請求項５】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関連する前記ユーザに関連する複数のＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することを含む、方法。
【請求項６】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
ユーザの複数のターゲットＩＰアドレスの内の複数のＩＰアドレスに対応する複数のトラフィック閾値を取得することを含み、前記複数のトラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記ユーザのステータス情報、前記ターゲットＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて取得される、方法。
【請求項７】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関する履歴訪問情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含む、方法。
【請求項８】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定することを含み、
前記ターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、または、その両方、を含む、方法。
【請求項９】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルに関する増加関数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数に関する減少関数、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する減少関数、の内の１または複数に基づいて決定される、方法。
【請求項１０】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記ターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記ターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記ターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、および、前記ターゲットＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
【請求項１１】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルールに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連するユーザのユーザレベルに関する増加関数、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数に関する減少関数、および、前記ターゲットＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する減少関数、の内の１または複数に対応する、方法。
【請求項１２】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのための前記ブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトし、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックのブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
１つのブラックホールルート解除時間が、１ユーザに対して設定され、前記ターゲットＩＰアドレスに対応する前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザに対して設定された前記ブラックホールルート解除時間である、方法。
【請求項１３】
請求項１に記載の方法であって、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を備え、
複数のブラックホールルート解除時間が、ユーザによって所有される複数のＩＰアドレスに対して別個に設定され、前記ターゲットＩＰアドレスに対応する前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに対して設定されたブラックホールルート解除時間に対応する、方法。
【請求項１４】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項１５】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
複数のターゲットＩＰアドレスに関連するユーザのステータス情報または前記複数のターゲットＩＰアドレスに関する履歴訪問情報の内の一方または両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項１６】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
【請求項１７】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記複数のターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記複数のターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のターゲットＩＰアドレスの入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記特定の履歴期間中に攻撃された前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記ＩＰアドレスのピークトラフィック、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記ＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
【請求項１８】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザの１または複数のユーザレベルに関する減少関数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの入力訪問者トラフィックが特定の期間中に前記ブラックホールルートへ転送された回数に関する増加関数、前記特定の期間中に攻撃された前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスのピークトラフィックに関する増加関数、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する増加関数、の内の１または複数に基づいて決定される、方法。
【請求項１９】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記複数のターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ユーザのユーザレベルを含み、
前記複数のターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記特定の履歴期間中に攻撃された前記ターゲットＩＰアドレスのピークトラフィック、および、前記ターゲットＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
【請求項２０】
請求項１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザの１または複数のユーザレベルに関する減少関数、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の期間中に前記ブラックホールルートへ転送された回数に関する増加関数、前記特定の期間中に攻撃された前記ターゲットＩＰアドレスのピークトラフィック値に関する増加関数、または、前記ターゲットＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する増加関数、の内の１または複数に基づいて決定される、方法。
【請求項２１】
コンピュータプログラムであって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得するための機能と、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定するための機能と、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作するための機能と、
をコンピュータによって実現させ、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすること、
を含む、コンピュータプログラム。
【請求項２２】
ウェブサイト攻撃に対して防御するためのシステムであって、
少なくとも１つのプロセッサであって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定し、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作するように構成されている少なくとも１つのプロセッサと、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすることを含み、
前記少なくとも１つのプロセッサに接続され、前記少なくとも１つのプロセッサに命令を提供するよう構成されているメモリと、
を備える、システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０２３１
【補正方法】変更
【補正の内容】
【０２３１】
上述の実施形態は、理解しやすいようにいくぶん詳しく説明されているが、本発明は、提供された詳細事項に限定されるものではない。本発明を実施する多くの代替方法が存在する。開示された実施形態は、例示であり、限定を意図するものではない。
適用例１：ウェブサイト攻撃に対して防御する方法であって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定し、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作すること、
を備え、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすること、
を含む、方法。
適用例２：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
適用例３：適用例１に記載の方法であって、トラフィック閾値が対応するユーザに対して対応する値に設定され、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記対応するユーザの前記トラフィック閾値である、方法。
適用例４：適用例１に記載の方法であって、複数のトラフィック閾値がユーザに関連する対応する複数のＩＰアドレスに対して別個に設定され、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値は、前記ターゲットＩＰアドレスに対して設定された前記トラフィック閾値である、方法。
適用例５：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関連する前記ユーザに関連する複数のＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することを含む、方法。
適用例６：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
ユーザの複数のターゲットＩＰアドレスの内の複数のＩＰアドレスに対応する複数のトラフィック閾値を取得することを含み、前記複数のトラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記ユーザのステータス情報、前記ターゲットＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて取得される、方法。
適用例７：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関する履歴訪問情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含む、方法。
適用例８：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定することを含み、
前記ターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、または、その両方、を含む、方法。
適用例９：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルに関する増加関数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数に関する減少関数、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する減少関数、の内の１または複数に基づいて決定される、方法。
適用例１０：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルール、前記ターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記ターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記ターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記ターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、および、前記ターゲットＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
適用例１１：適用例１に記載の方法であって、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を取得することは、
既定のトラフィック閾値決定ルールを取得し、
前記既定のトラフィック閾値決定ルールに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応する前記トラフィック閾値を決定すること、
を含み、
前記トラフィック閾値は、前記ターゲットＩＰアドレスに関連するユーザのユーザレベルに関する増加関数、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数に関する減少関数、および、前記ターゲットＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する減少関数、の内の１または複数に対応する、方法。
適用例１２：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのための前記ブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトし、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックのブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
１つのブラックホールルート解除時間が、１ユーザに対して設定され、前記ターゲットＩＰアドレスに対応する前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザに対して設定された前記ブラックホールルート解除時間である、方法。
適用例１３：適用例１に記載の方法であって、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を備え、
複数のブラックホールルート解除時間が、ユーザによって所有される複数のＩＰアドレスに対して別個に設定され、前記ターゲットＩＰアドレスに対応する前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに対して設定されたブラックホールルート解除時間に対応する、方法。
適用例１４：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスに関連するユーザのステータス情報、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される複数のＩＰアドレスに関する履歴訪問情報、または、その両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
適用例１５：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
複数のターゲットＩＰアドレスに関連するユーザのステータス情報または前記複数のターゲットＩＰアドレスに関する履歴訪問情報の内の一方または両方に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
適用例１６：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含む、方法。
適用例１７：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記複数のターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ターゲットＩＰアドレスに関連する前記ユーザのユーザレベルを含み、
前記複数のターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のターゲットＩＰアドレスの入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記特定の履歴期間中に攻撃された前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記ＩＰアドレスのピークトラフィック、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記ＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
適用例１８：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザの１または複数のユーザレベルに関する減少関数、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの入力訪問者トラフィックが特定の期間中に前記ブラックホールルートへ転送された回数に関する増加関数、前記特定の期間中に攻撃された前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスのピークトラフィックに関する増加関数、および、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する増加関数、の内の１または複数に基づいて決定される、方法。
適用例１９：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、および、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記複数のターゲットＩＰアドレスに関連する前記ユーザの前記ステータス情報は、前記ユーザのユーザレベルを含み、
前記複数のターゲットＩＰアドレスに関する前記履歴訪問情報は、前記ターゲットＩＰアドレスに関連する前記ユーザによって所有される前記複数のＩＰアドレスの前記入力訪問者トラフィックが特定の履歴期間中に前記ブラックホールルートへ転送された回数、前記特定の履歴期間中に攻撃された前記ターゲットＩＰアドレスのピークトラフィック、および、前記ターゲットＩＰアドレスが前記特定の履歴期間中に攻撃された総時間長、の内の１または複数を含む、方法。
適用例２０：適用例１に記載の方法であって、前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
既定のブラックホールルート解除時間決定ルールを取得し、
前記既定のブラックホールルート解除時間決定ルール、複数のターゲットＩＰアドレスに関連するユーザのステータス情報、または、前記複数のターゲットＩＰアドレスに関する履歴訪問情報、の内の１または複数に少なくとも部分的に基づいて、前記ターゲットＩＰアドレスに対応するブラックホールルート解除時間を取得し、
前記ターゲットＩＰアドレスの入力訪問者トラフィックに関連するブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達したか否かを判定し、
前記ブラックホールルートリダイレクト時間が前記ブラックホールルート解除時間に到達した場合に、前記ブラックホールルートを停止すること、
を含み、
前記ブラックホールルート解除時間は、前記ターゲットＩＰアドレスに関連する前記ユーザの１または複数のユーザレベルに関する減少関数、前記ターゲットＩＰアドレスの前記入力訪問者トラフィックが特定の期間中に前記ブラックホールルートへ転送された回数に関する増加関数、前記特定の期間中に攻撃された前記ターゲットＩＰアドレスのピークトラフィック値に関する増加関数、または、前記ターゲットＩＰアドレスが前記特定の期間中に攻撃された総時間長に関する増加関数、の内の１または複数に基づいて決定される、方法。
適用例２１：コンピュータプログラム製品であって、持続性のコンピュータ読み取り可能な記憶媒体内に具現化され、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得するためのコンピュータ命令と、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定するためのコンピュータ命令と、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作するためのコンピュータ命令と、
を備え、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすること、
を含む、コンピュータプログラム製品。
適用例２２：ウェブサイト攻撃に対して防御するためのシステムであって、
少なくとも１つのプロセッサであって、
ターゲットＩＰアドレスに対応するトラフィック閾値を取得し、
前記ターゲットＩＰアドレスのリアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かを判定し、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作するように構成されている少なくとも１つのプロセッサと、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えたか否かに少なくとも部分的に基づいて、前記ターゲットＩＰアドレスの入力訪問者トラフィックを操作することは、
前記ターゲットＩＰアドレスの前記リアルタイム訪問者トラフィックが前記トラフィック閾値を超えた場合に、
前記ターゲットＩＰアドレスのためのブラックホールルートを設定し、
前記ターゲットＩＰアドレスの前記入力訪問者トラフィックを前記ブラックホールルートへリダイレクトすることを含み、
前記少なくとも１つのプロセッサに接続され、前記少なくとも１つのプロセッサに命令を提供するよう構成されているメモリと、
を備える、システム。
【国際調査報告】
2018515984.tif 000017