(57)【要約】  本出願の実施形態は、ネットワーク攻撃を識別するための方法であって、プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得することと、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かを判断することと、各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じである場合に、同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することとを含む、方法を開示する。本出願はさらに、ネットワーク攻撃を識別するための装置の一実施形態を開示する。本出願の実施形態の使用により、小トラフィック・ネットワーク攻撃を識別することができる。【選択図】なし
2018536351.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク攻撃を識別するための方法であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得することと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、
前記各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かを判断することと、
前記各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じである場合に、前記同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することと、
を含む、方法。
【請求項２】
前記プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するステップが、具体的には、
前記標的ウェブサイトサーバのアクセスログを収集することと、
前記プリセットフィールドに従って前記アクセスログから前記少なくとも２つの時間枠内のアクセスデータを取得することと、
を含む、請求項１に記載の方法。
【請求項３】
前記標的ウェブサイトサーバのアクセスログを収集するステップが、具体的には、
前記標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集すること、
を含む、請求項２に記載の方法。
【請求項４】
前記プリセットフィールドに従って前記アクセスログから前記少なくとも２つの時間枠内のアクセスデータを取得するステップの後に、前記方法が、
前記少なくとも２つの時間枠内のアクセスデータをデータベースに記憶すること、
をさらに含み、
それに対応して、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするステップが、
前記少なくとも２つの時間枠内のアクセスデータに関して前記データベースに問い合わせし、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすること、
を含む、請求項２に記載の方法。
【請求項５】
ネットワーク攻撃を識別するための方法であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得することと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、
前記数量の最大値及び最小値を取得することと、
前記最大値と前記最小値との差を計算することと、
前記差がプリセット差よりも小さいか否かを判断することと、
前記差が前記プリセット差よりも小さい場合に、その差が前記プリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することと、
を含む、方法。
【請求項６】
前記プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するステップが、具体的には、
前記標的ウェブサイトサーバのアクセスログを収集することと、
前記プリセットフィールドに従って前記アクセスログから前記少なくとも２つの時間枠内のアクセスデータを取得することと、
を含む、請求項５に記載の方法。
【請求項７】
前記標的ウェブサイトサーバのアクセスログを収集するステップが、具体的には、
前記標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集すること、
を含む、請求項６に記載の方法。
【請求項８】
前記プリセットフィールドに従って前記アクセスログから前記少なくとも２つの時間枠内のアクセスデータを取得するステップの後に、前記方法が、
前記少なくとも２つの時間枠内のアクセスデータをデータベースに記憶すること、
をさらに含み、
それに対応して、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするステップが、
前記少なくとも２つの時間枠内のアクセスデータに関して前記データベースに問い合わせし、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすること、
を含む、請求項６に記載の方法。
【請求項９】
ネットワーク攻撃を識別するための方法であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得することと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、
前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの平均値を計算することと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量と前記平均値の差を計算することと、
前記各差がプリセット差よりも小さいか否かを判断することと、
前記各差が前記プリセット差よりも小さい場合に、その差が前記プリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することと、
を含む、方法。
【請求項１０】
前記プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するステップが、具体的には、
前記標的ウェブサイトサーバのアクセスログを収集することと、
前記プリセットフィールドに従って前記アクセスログから前記少なくとも２つの時間枠内のアクセスデータを取得することと、
を含む、請求項９に記載の方法。
【請求項１１】
前記標的ウェブサイトサーバのアクセスログを収集するステップが、具体的には、
前記標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集すること、
を含む、請求項１０に記載の方法。
【請求項１２】
前記プリセットフィールドに従って前記アクセスログから前記少なくとも２つの時間枠内のアクセスデータを取得するステップの後に、前記方法がさらに、
前記少なくとも２つの時間枠内のアクセスデータをデータベースに記憶すること、
を含み、
それに対応して、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするステップが、
前記少なくとも２つの時間枠内のアクセスデータに関して前記データベースに問い合わせし、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすること、
を含む、請求項１０に記載の方法。
【請求項１３】
前記時間枠が、隣接する時間枠を含む、請求項１〜請求項１２のいずれかに記載の方法。
【請求項１４】
前記プリセットフィールドが、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを備える、請求項１〜請求項１２のいずれかに記載の方法。
【請求項１５】
ネットワーク攻撃を識別するための装置であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するように構成された、取得ユニットと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
前記各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かを判断するように構成された、判断ユニットと、
前記各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じである場合に、前記同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を備える、装置。
【請求項１６】
前記取得ユニットが、具体的には、
前記標的ウェブサイトサーバのアクセスログを収集するように構成された、第１の取得サブユニットと、
前記プリセットフィールドに従って前記アクセスログから少なくとも２つの時間枠内のアクセスデータを取得するように構成された、第２の取得サブユニットと、
を備える、請求項１５に記載の装置。
【請求項１７】
前記第１の取得サブユニットが、前記標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集するようにさらに構成される、請求項１５に記載の装置。
【請求項１８】
前記第２の取得サブユニットの後に、前記装置が、
前記少なくとも２つの時間枠内のアクセスデータをデータベースに記憶するように構成された、ストレージユニット、
をさらに備え、
それに対応して、前記カウントユニットが、少なくとも２つの時間枠内のアクセスデータに関して前記データベースに問い合わせし、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするようにさらに構成される、請求項１５に記載の装置。
【請求項１９】
ネットワーク攻撃を識別するための装置であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するように構成された、取得ユニットと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
前記数量の最大値及び最小値を取得するように構成された、第２の取得ユニットと、
前記最大値と前記最小値との差を計算するように構成された、計算ユニットと、
前記差がプリセット差よりも小さいか否かを判断するように構成された、判断ユニットと、
前記差が前記プリセット差よりも小さいときに、その差が前記プリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を備える、装置。
【請求項２０】
前記取得ユニットが、具体的には、
前記標的ウェブサイトサーバのアクセスログを収集するように構成された、第１の取得サブユニットと、
前記プリセットフィールドに従って前記アクセスログから少なくとも２つの時間枠内のアクセスデータを取得するように構成された、第２の取得サブユニットと、
を備える、請求項１９に記載の装置。
【請求項２１】
前記第１の取得サブユニットが、前記標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集するようにさらに構成される、請求項２０に記載の装置。
【請求項２２】
前記第２の取得サブユニットの後に、前記装置が、
前記少なくとも２つの時間枠内のアクセスデータをデータベースに記憶するように構成された、ストレージユニット、
をさらに備え、
それに対応して、前記カウントユニットが、少なくとも２つの時間枠内のアクセスデータに関して前記データベースに問い合わせし、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするようにさらに構成される、請求項２０に記載の装置。
【請求項２３】
ネットワーク攻撃を識別するための装置であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するように構成された、取得ユニットと、
前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
前記数量の平均値を計算するように構成された、第２の計算ユニットと、
前記各数量と前記平均値の差を計算するように構成された、第３の計算ユニットと、
前記各差がプリセット差よりも小さいか否かを判断するように構成された、第３の判断ユニットと、
前記各差が前記プリセット差よりも小さいときに、その差が前記プリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を備える、装置。
【請求項２４】
前記取得ユニットが、具体的には、
前記標的ウェブサイトサーバのアクセスログを収集するように構成された、第１の取得サブユニットと、
前記プリセットフィールドに従って前記アクセスログから少なくとも２つの時間枠内のアクセスデータを取得するように構成された、第２の取得サブユニットと、
を備える、請求項２３に記載の装置。
【請求項２５】
前記第１の取得サブユニットが、前記標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集するようにさらに構成される、請求項２４に記載の装置。
【請求項２６】
前記第２の取得サブユニットの後に、前記装置が、
前記少なくとも２つの時間枠内のアクセスデータをデータベースに記憶するように構成された、ストレージユニット、
をさらに備え、
それに対応して、前記カウントユニットが、少なくとも２つの時間枠内のアクセスデータに関して前記データベースに問い合わせし、前記各時間枠内の前記各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするようにさらに構成される、
請求項２４に記載の装置。
【請求項２７】
前記時間枠が、隣接する時間枠を含む、請求項１５〜請求項２６のいずれかに記載の装置。
【請求項２８】
前記プリセットフィールドが、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを備える、請求項１５〜請求項２６のいずれかに記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、参照によりその全体が本明細書に組み込まれる、２０１５年１１月１９日に出願された「ＭＥＴＨＯＤ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＩＤＥＮＴＩＦＹＩＮＧ  ＮＥＴＷＯＲＫ  ＡＴＴＡＣＫＳ」という名称の中国特許出願第２０１５１０８０２４４０．３号に基づく優先権を主張するものである。
【０００２】
本出願は、ネットワークセキュリティ技術の分野に関し、特に、ネットワーク攻撃を識別するための方法及び装置に関する。
【背景技術】
【０００３】
インターネット技術の不断の開発により、ウェブサイトサーバに対する攻撃が益々増えており、したがって、ウェブサイトサーバに多くの悪影響が出ている。
【０００４】
現在、ウェブサイトサーバに対する２つのタイプの攻撃の様態が存在する。第１のタイプは、Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ（ＤＯＳ）及びＤｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ（ＤＤＯＳ）などの、攻撃時間は短いが大トラフィックである（例えば、ネットワークが１秒に１０，０００回攻撃される）ことを特徴とする、大トラフィック・ネットワーク攻撃である。大トラフィック・ネットワーク攻撃は、標的ウェブサイトサーバに短い時間枠内で大量のアクセス要求を送信することにより標的ウェブサイトサーバのリソースを消費し、結果として、標的サーバが過負荷となり、ネットワークが遮断され、したがって、ウェブサイトへの普通のアクセスに影響を及ぼす。第２のタイプは、攻撃の持続時間が長いが小トラフィックである（例えば、ネットワークが１日中継続的に、しかし１秒につき１０回攻撃される）ことを特徴とする、小トラフィック・ネットワーク攻撃である。小トラフィック・ネットワーク攻撃は、標的ウェブサイトサーバに長時間にわたって小量のアクセス要求を送信することにより標的ウェブサイトサーバのリソースをスキャンする。短い時間枠内でリソースのほんの一部がスキャンされるが、長期的には標的ウェブサイトサーバのすべてのリソースがスキャンにより得られることがある。これは間違いなく標的ウェブサイトサーバにセキュリティ問題を引き起こすことになる。例えば、攻撃者は、リソースからサーバの脆弱性を見つけ出す。
【０００５】
従来技術では、大トラフィック攻撃に関して図１に示すような方法が採用されることがある。
Ｓ１００：標的ウェブサイトサーバのネットワークアクセスデータパケットが取得され、ネットワークアクセスデータパケットからＩＰが構文解析され、この場合、ＩＰは、ネットワークアクセスデータパケットのソースＩＰアドレスである。
Ｓ１１０：所定の時間枠内の同一ＩＰの第１の数量がカウントされる。
Ｓ１２０：第１の数量が所定の閾値に到達する場合に、そのＩＰを含んでいるネットワークアクセスは、ネットワーク攻撃と確定される。
【０００６】
この方法によれば、ネットワークアクセスデータパケットがＩＰを得るべく構文解析され、所定の時間枠内の標的ウェブサイトサーバにアクセスする同一ＩＰの第１の数量がカウントされ、第１の数量が所定の閾値に到達する場合に、そのＩＰを含んでいるネットワークアクセスは、ネットワーク攻撃と考えられる。
【０００７】
しかしながら、小トラフィック・ネットワーク攻撃に関して、プリセット時間枠内のアクセス要求の数量は、多くの普通のアクセス要求の数量と同様に大きくなく、上記の方法で得られる小トラフィック・ネットワーク攻撃の第１の数量は、所定の閾値よりも常に小さい。したがって、このアクセス要求を上記の方法を通じてネットワーク攻撃と確定することはできない。所定の閾値を上記の方法において過小に設定すれば、普通のアクセス要求が容易にネットワーク攻撃と確定されてしまう。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
要約すれば、従来技術は、小トラフィック・ネットワーク攻撃を識別することができないという問題を有する。
【課題を解決するための手段】
【０００９】
本出願の実施形態の目的は、小トラフィック・ネットワーク攻撃を識別することができないという従来技術での問題を解決するべく、ネットワーク攻撃を識別するための方法及び装置を提供することである。
【００１０】
上記の技術的問題を解決するために、本出願の一実施形態は、ネットワーク攻撃を識別するための方法であって、
プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータを取得することと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かを判断することと、
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じである場合に、同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することと、
を含む方法を提供する。
【００１１】
ネットワーク攻撃を識別するための方法は、
プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータを取得することと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、
数量の最大値及び最小値を取得することと、
最大値と最小値との差を計算することと、
差がプリセット差よりも小さいか否かを判断することと、
差がプリセット差よりも小さい場合に、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することと、
を含む。
【００１２】
ネットワーク攻撃を識別するための方法は、
プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータを取得することと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすることと、
各プリセットフィールドにおいて同じ内容を有するアクセスデータの平均値を計算することと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量と平均値との差を計算することと、
各差がプリセット差よりも小さいか否かを判断することと、
各差がプリセット差よりも小さい場合に、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することと、
を含む。
【００１３】
ネットワーク攻撃を識別するための装置は、
プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータを取得するように構成された、取得ユニットと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かを判断するように構成された、判断ユニットと、
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じである場合に、同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を含む。
【００１４】
ネットワーク攻撃を識別するための装置は、
プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータを取得するように構成された、取得ユニットと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
数量の最大値及び最小値を取得するように構成された、第２の取得ユニットと、
最大値と最小値との差を計算するように構成された、計算ユニットと、
差がプリセット差よりも小さいか否かを判断するように構成された、判断ユニットと、
差がプリセット差よりも小さいときに、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を含む。
【００１５】
ネットワーク攻撃を識別するための装置は、
プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータを取得するように構成された、取得ユニットと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
数量の平均値を計算するように構成された、第２の計算ユニットと、
各数量と平均値との差を計算するように構成された、第３の計算ユニットと、
各差がプリセット差よりも小さいか否かを判断するように構成された、第３の判断ユニットと、
各差がプリセット差よりも小さいときに、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を含む。
【００１６】
本出願の実施形態で提供される技術的解決策から分かるように、少なくとも２つの時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かが判断され、同じである場合、小トラフィック・ネットワーク攻撃の特徴にマッチし、同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することができる。
【００１７】
本出願の実施形態に係る又は従来技術での技術的解決策をより明瞭に例示するために、実施形態又は従来技術を説明するための添付図が以下で簡単に紹介される。以下の説明における添付図は、本出願の実施形態のうちのほんの一部であることは明らかである。当該技術分野の当業者は、どのような創造的取り組みもなしに添付図に従って他の図面を得ることができる。
【図面の簡単な説明】
【００１８】
【図１】従来技術でのネットワーク攻撃を識別するための方法のフローチャートである。
【図２】本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートである。
【図３】本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートである。
【図４】本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートである。
【図５】本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートである。
【図６】本出願の一実施形態に係るネットワーク攻撃を識別するための装置の概略的なモジュール図である。
【発明を実施するための形態】
【００１９】
当業者が本出願での技術的解決策をより良く理解するように、本出願の実施形態の技術的解決策が、本出願の実施形態の添付図を参照しながら以下でより明瞭且つ十分に説明される。説明されることになる実施形態は、本出願の実施形態のすべてではなくほんの一部であることは明白である。創造的取り組みなしに本出願の実施形態に基づいて当該技術分野の当業者により導出されるすべての他の実施形態が本出願の保護範囲内に包含されるはずである。
【００２０】
図２は、本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートである。この実施形態では、方法は、以下のステップを含む：
Ｓ２００：プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータが取得される。
【００２１】
この実施形態では、プリセットフィールドは、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを含むことができる。ここで、ｉｐ（インターネットプロトコル）は、標的ウェブサイトにアクセスするソースｉｐアドレスを表す。ホストは、標的ウェブサイトにアクセスするドメイン名を表す。ユーザーエージェント（ユーザエージェント）は、標的ウェブサイトにアクセスするブラウザ、例えば、Ｇｏｏｇｌｅ（登録商標）  Ｃｈｒｏｍｅ（登録商標）、ＱＱブラウザ、ＩＥブラウザなどを表す。ユーザーエージェントはまた、標的ウェブサイトにアクセスする検索エンジン、例えば、ウェブクローラなどを表すことができる。ｕｒｌ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）は、標的ウェブサイトにアクセスするアドレスを表す。
【００２２】
時間枠の時間の長さは、事前に設定することができ、例えば、時間枠の時間の長さは１分である。すなわち、少なくとも２つの１分の時間枠内の標的ウェブサイトサーバのアクセスデータがプリセットフィールドに従って取得される。
【００２３】
この実施形態では、時間枠は、隣接する時間枠を含むことができる。
【００２４】
システムは、標的ウェブサイトサーバにアクセスするためのアクセス要求をインターセプトし、Ｊａｖａ（登録商標）クラスライブラリを通じてアクセス要求を構文解析し、ネットワーク層におけるフィールドｉｐの内容、及びアプリケーション層におけるフィールドホストの内容、フィールドユーザーエージェントの内容、及びフィールドｕｒｌの内容を取得することができる。
【００２５】
Ｓ２１０：各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量がカウントされる。
【００２６】
以下の例１は、プリセットフィールド（ホスト、ｉｐ、ユーザーエージェント）に従って３つの時間枠（１分）内の標的ウェブサイトサーバのアクセスデータを取得している：
【表１】
2018536351.tif 000003
【００２７】
上記の例１に示された内容に関して、Ｓ２１０の後で、各時間枠内のプリセットフィールド（ホスト、ｉｐ、ユーザーエージェント）において同じ内容を有するアクセスデータの数量が、以下の例２に示されるようにカウントされる：
【表２】
2018536351.tif 000004
【００２８】
別の例として、以下の例３は、プリセットフィールド（ｉｐ）に従って３つの時間枠（１分）内の標的ウェブサイトサーバのアクセスデータを取得している：
【表３】
2018536351.tif 000005
【００２９】
上記の例３での内容に関して、Ｓ２１０の後で、各時間枠内のプリセットフィールドｉｐにおいて同じ内容を有するアクセスデータの数量が、以下の例４に示されるようにカウントされる：
【表４】
2018536351.tif 000006
【００３０】
Ｓ２２０：各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かが判断され、同じである場合、ステップＳ２３０が行われる。
【００３１】
上記の例４に示されるように、そのｉｐが「１．１．１．１」であるアクセスデータの数量は、第１の時間枠〜第３の時間枠内で同じであり、システムは、ステップＳ２３０を行う。
【００３２】
上記の例２に示されるように、第１に、そのホストが「ｗｗｗ．ａａａ．ｃｏｍ」であり、ｉｐが「１．１．１．１」であり、且つユーザーエージェントが「Ｍｏｚｉｌｌａ／５．０」であるアクセスデータの数量は、第１の時間枠〜第３の時間枠内で同じである。第２に、そのホストが「ｗｗｗ．ａａａ．ｃｏｍ」であり、ｉｐが「１．１．１．１」であり、且つユーザーエージェントが「Ｍｏｚｉｌｌａ／４．０」であるアクセスデータの数量は、第１の時間枠〜第３の時間枠内で同じであり、システムは、ステップＳ２３０を行う。
【００３３】
Ｓ２３０：同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定される。
【００３４】
この実施形態では、小トラフィック・ネットワーク攻撃の特徴に従って、少なくとも２つの時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かが判断され、同じである場合、小トラフィック・ネットワーク攻撃の特徴にマッチし、同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することができる。
【００３５】
本出願の一実施形態では、図３に示すように、ステップＳ２００は、具体的には以下を含んでよい：
Ｓ２０１：標的ウェブサイトサーバのアクセスログが収集される。
ウェブサイトは、典型的には、インターネットにおける多層アーキテクチャ、例えば、ｎｇｎｉｘ及びｔｏｍａｃｔのウェブサイトアーキテクチャのものである。ｎａｎｉｘとｔｏｍｃａｔの両方ともそれらの独自のアクセスログを有するので、ｎａｎｉｘとｔｏｍｃａｔは、同じアクセス要求をそれらの独自のアクセスログに記録することになる。アクセスログの繰返しの収集を回避するために、標的ウェブサイトサーバのアクセスログが収集されるときに最もフロントエンドのアプリケーションのアクセスログだけが収集される。ここで、ｎａｎｉｘは、ｔｏｍｃａｔよりもフロントエンドのアプリケーションであり、したがって、ｎａｎｉｘのアクセスログだけが収集される必要がある。
Ｓ２０２：プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータが取得される。
プリセットフィールドは、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを含むことができる。ここで、ｉｐ（インターネットプロトコル）は、標的ウェブサイトにアクセスするソースｉｐアドレスを表す。ホストは、標的ウェブサイトにアクセスするドメイン名を表す。ユーザーエージェント（ユーザエージェント）は、標的ウェブサイトにアクセスするブラウザ、例えば、Ｇｏｏｇｌｅ  Ｃｈｒｏｍｅ、ＱＱブラウザ、ＩＥブラウザなどを表す。ユーザーエージェントはまた、標的ウェブサイトにアクセスする検索エンジン、例えば、ウェブクローラなどを表してよい。ｕｒｌ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）は、標的ウェブサイトにアクセスするアドレスを表す。
【００３６】
この実施形態では、標的ウェブサイトサーバのアクセスログの収集後に、システムは、プリセット命令を通じてアクセスデータを取得する、例えば、＄ｔｉｍｅ＿ｌｏｃａｌを通じてアクセスログにおける記録時間を取得する、＄ｈｏｓｔを通じて記録されたホストを取得する、＄ｒｅｍｏｔｅ＿ａｄｄｒを通じてｉｐを取得する、＄ｈｔｔｐ＿ｕｓｅｒ＿ａｇｅｎｔを通じてユーザーエージェントを取得する、及び＄ｒｅｑｕｅｓｔ＿ｕｒｉを通じてｕｒｌを取得することができる。
【００３７】
例えば、プリセットフィールド（ホスト、ｉｐ、ユーザーエージェント）に従って取得されるアクセスデータ（２０１３−０９−１８  １７：５８：００からのアクセスデータが記録される）が以下に示される：
【表５】
2018536351.tif 000007
【００３８】
この実施形態では、時間枠は、隣接する時間枠を含む。時間枠の時間の長さは、事前に設定することができ、例えば、時間枠の時間の長さは１分であり、以下に示すように３つの時間枠内のアクセスデータを取得することができる：
【表６】
2018536351.tif 000008
【００３９】
この実施形態を用いることにより、収集したアクセスログに従ってより大量のより正確なアクセスデータを取得することができる。このようにして得られたアクセスデータは、システムが、小トラフィック・ネットワーク攻撃の特徴に従って、プリセット数の時間枠内の同じアクセスデータ・ピースのアクセス数が同じであるか否かを判断するのを容易にすることができ、同じである場合、小トラフィック・ネットワーク攻撃の特徴にマッチし、同じアクセスデータ・ピースを含んでいるアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することができる。
【００４０】
大量のアクセスデータは、一般に、ウェブサイトサーバのアクセスログに記録される。システムがアクセスログを収集した後で、アクセスデータは、データベースに記憶されなければたくさんのシステムメモリを占領することになる。結果として、システムの実行効率が低下する。上記の問題を解決するべく、この実施形態の一実施形態では、方法は、ステップＳ２０２の後に、
少なくとも２つの時間枠内のアクセスデータをデータベースに記憶すること、
をさらに含んでよく、
それに対応して、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするステップは、
少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせし、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすること、
を含む。
【００４１】
この実施形態では、データベースは、システムの内部のデータベースであってよく、システムと関連付けられた外部データベースであっても問題ない。データベースはまた、データベースの記憶域スペースを増やすべく別のデータベースと関連付けられてもよい。
【００４２】
少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせるステップは、具体的には、システムがクエリ命令（例えば、ｓｑｌ文）を通じて少なくとも２つの時間枠内のアクセスデータに関して問い合わせることであってよい。
【００４３】
実際の応用では、小トラフィック・ネットワーク攻撃を識別することに加えて、システムはまた、大トラフィック・ネットワーク攻撃にも対処する必要がある。大トラフィック・ネットワーク攻撃を識別するために、ステップＳ２３０の後に、方法は、以下のステップをさらに含んでよい：
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が異なる場合に、各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであり、且つプリセット閾値に到達するか否かが判断される。
【００４４】
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであり、且つプリセット閾値に到達する場合に、その数量がプリセット閾値に到達するアクセスデータに対応するアクセス要求は、大トラフィック・ネットワーク攻撃であると確定される。
【００４５】
この実施形態では、プリセット閾値は、人為的に設定される経験的な値であってよい。プリセット閾値は、大トラフィック・ネットワーク攻撃中の大きいアクセス数の特徴と合致するように設定されてよい。例えば、プリセット閾値は、１００００回に設定される。例４に示された内容に関して、プリセット閾値は１００００であり、第３の時間枠内のｉｐ「１．１．１．４」のアクセス数は１２０００であると仮定する。次いで、アクセス数が１００００のプリセット閾値に到達するか否かを判断することができる。第３の時間枠内のｉｐ「１．１．１．４」のアクセス数だけがプリセット閾値に到達するので、ステップＳ２５０が行われる。すなわち、ｉｐ「１．１．１．４」を含んでいるアクセス要求は、大トラフィック・ネットワーク攻撃と確定される。
【００４６】
実際の応用では、小トラフィック・ネットワーク攻撃は一定の攻撃頻度を示すが、異なる時間枠内の同じ小トラフィック・ネットワーク攻撃のアクセス数は、以下の例５に示されるように僅かな偏差を有する場合がある：
第１の時間枠内のｉｐ「１．１．１．１」のアクセス数は８であり、
第２の時間枠内のｉｐ「１．１．１．１」のアクセス数は７であり、
第３の時間枠内のｉｐ「１．１．１．１」のアクセス数は８であり、
第４の時間枠内のｉｐ「１．１．１．１」のアクセス数は８であり、
第５の時間枠内のｉｐ「１．１．１．１」のアクセス数は９であり、
第６の時間枠内のｉｐ「１．１．１．１」のアクセス数は８である。
【００４７】
上記の内容において、ｉｐ「１．１．１．１」のアクセス数は、第１の時間枠〜第６時間枠内で正確に同じではない。しかしながら、アクセス数が僅かな偏差を有し得るような状況も、小トラフィック・ネットワーク攻撃に属する。各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かだけが判断される場合にこの状況を識別することはできず、小トラフィック・ネットワーク攻撃を識別するという目的を達成することはできない。上記の問題を解決するべく、図４に示すように、本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートが例示される。この実施形態では、方法は、以下のステップを含む：
【００４８】
Ｓ３００：プリセットフィールドに従って少なくとも２つの時間枠内の標的ウェブサイトサーバのアクセスデータが取得される。
このステップは、ステップＳ２００と同じであり、ここではさらに説明しない。
Ｓ３１０：各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量がカウントされる。
このステップは、ステップＳ２１０と同じであり、ここではさらに説明しない。
Ｓ３２０：数量の最大値及び最小値が取得される。
例５に示された内容に関して、６つの時間枠内のプリセットフィールド（ｉｐ）において同じ内容を有するアクセスデータ「１．１．１．１」の数量の最大値が９として取得され、最小値が７として取得される。
Ｓ３２１：最大値と最小値との差が計算される。
Ｓ３２０での例の場合、最大値９と最小値７との差は２であることが計算される。
Ｓ３２２：差がプリセット差よりも小さいか否かが判断され、小さい場合、ステップＳ３３０が行われる。
この実施形態では、プリセット差は、事前に設定される経験的な値であってよい。
Ｓ３２１での例の場合、プリセット差が２以下であるとすると、差はプリセット差よりも小さくなく、したがって、そのｉｐが「１．１．１．１」であるアクセス要求は、小トラフィック・ネットワーク攻撃ではないと確定することができる。プリセット差が２よりも大きいとすると、差はプリセット差よりも小さく、ステップＳ３３０が行われる。
Ｓ３３０：その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定される。
【００４９】
本出願の一実施形態では、ステップＳ３００は、具体的には、以下のステップを含んでよい：
標的ウェブサイトサーバのアクセスログが収集される。
このステップは、ステップＳ２０１と同じであり、ここではさらに説明しない。
プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータが取得される。
このステップは、ステップＳ３０２と同じであり、ここではさらに説明しない。
【００５０】
この実施形態を用いることにより、収集したアクセスログに従ってより大量のより正確なアクセスデータを取得することができる。このようにして得られたアクセスデータは、システムが、小トラフィック・ネットワーク攻撃の特徴に従って、プリセット数の時間枠内の同じアクセスデータのアクセス数が同じであるか否かを判断するのを容易にすることができる。同じである場合、小トラフィック・ネットワーク攻撃の特徴にマッチし、同じアクセスデータを含んでいるアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することができる。
【００５１】
大量のアクセスデータは、一般に、ウェブサイトサーバのアクセスログに記録される。システムがアクセスログを収集した後で、アクセスデータは、データベースに記憶されなければたくさんのシステムメモリを占領することになる。結果として、システムの実行効率が低下する。上記の問題を解決するべく、この実施形態の一実施形態では、プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータを取得するステップの後に、方法は、
少なくとも２つの時間枠内のアクセスデータをデータベースに記憶すること、
をさらに含んでよく、
それに対応して、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするステップは、
少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせし、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすること、
を含む。
【００５２】
実際の応用では、小トラフィック・ネットワーク攻撃を識別することに加えて、システムはまた、大トラフィック・ネットワーク攻撃にも対処する必要がある。大トラフィック・ネットワーク攻撃を識別するために、方法は、ステップＳ３３０の後に、以下のステップをさらに含んでよい：
差がプリセット差よりも小さくない場合に、各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであり、且つプリセット閾値に到達するか否かが判断される。
【００５３】
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであり、且つプリセット閾値に到達する場合に、その数量がプリセット閾値に到達するアクセスデータに対応するアクセス要求は、大トラフィック・ネットワーク攻撃であると確定される。
【００５４】
この実施形態では、プリセット閾値は、人為的に設定される経験的な値であってよい。プリセット閾値は、大トラフィック・ネットワーク攻撃中の大きいアクセス数の特徴と合致するように設定されてよい。例えば、プリセット閾値は、１００００回に設定される。例４に示された内容に関して、プリセット閾値は１００００であり、第３の時間枠内のｉｐ「１．１．１．４」のアクセス数は１２０００であると仮定する。次いで、アクセス数が１００００のプリセット閾値に到達するか否かを判断することができる。第３の時間枠内のｉｐ「１．１．１．４」のアクセス数だけがプリセット閾値に到達するので、ｉｐ「１．１．１．４」を含んでいるアクセス要求は、大トラフィック・ネットワーク攻撃と確定される。
【００５５】
例５に示された問題を解決するべく、図５に示すように、本出願の一実施形態に係るネットワーク攻撃を識別するための方法のフローチャートが例示される。この実施形態では、方法は、以下のステップを含む：
【００５６】
Ｓ４００：プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータが取得される。
このステップは、ステップＳ２００と同じであり、ここではさらに説明しない。
Ｓ４１０：各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量がカウントされる。
このステップは、ステップＳ２１０と同じであり、ここではさらに説明しない。
Ｓ４２０：数量の平均値が計算される。
例５に示された内容に関して、数量（８、７、８、８、９、８）の平均値は８であると計算される。
Ｓ４２１：各数量と平均値との差が計算される。
Ｓ４２０での例の場合、各数量と平均値との差は以下のように計算される：
第１の時間枠内の差は０であり、
第１の時間枠内の差は１であり、
第１の時間枠内の差は０であり、
第１の時間枠内の差は０であり、
第１の時間枠内の差は１であり、
第１の時間枠内の差は０である。
Ｓ４２２：各差がプリセット差よりも小さいか否かが判断され、小さい場合、ステップＳ４３０が行われる。
Ｓ４２１での例の場合、プリセット差が１以下であるとすると、各差はプリセット差よりも小さくなく、したがって、ｉｐ「１．１．１．１」を含んでいるアクセス要求は、小トラフィック・ネットワーク攻撃ではないと確定することができる。プリセット差が１よりも大きいとすると、各差はプリセット差よりも小さく、ステップＳ４３０が行われる。
Ｓ４３０：各差がプリセット差よりも小さい場合に、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定される。
【００５７】
本出願の一実施形態では、ステップＳ４００は、具体的には、以下のステップを含んでよい：
標的ウェブサイトサーバのアクセスログが収集される。
このステップは、ステップＳ２０１と同じであり、ここではさらに説明しない。
プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータが取得される。
このステップは、ステップＳ２０２と同じであり、ここではさらに説明しない。
【００５８】
この実施形態を用いることにより、収集したアクセスログに従ってより大量のより正確なアクセスデータを取得することができる。このようにして得られたアクセスデータは、システムが、小トラフィック・ネットワーク攻撃の特徴に従って、プリセット数の時間枠内の同じアクセスデータのアクセス数が同じであるか否かを判断するのを容易にすることができる。同じである場合、小トラフィック・ネットワーク攻撃の特徴にマッチし、同じアクセスデータを含んでいるアクセス要求は、小トラフィック・ネットワーク攻撃であると確定することができる。
【００５９】
大量のアクセスデータは、一般に、ウェブサイトサーバのアクセスログに記録される。システムがアクセスログを収集した後で、アクセスデータは、データベースに記憶されなければたくさんのシステムメモリを占領することになる。結果として、システムの実行効率が低下する。上記の問題を解決するべく、この実施形態の一実施形態では、プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータを取得するステップの後に、方法は、
少なくとも２つの時間枠内のアクセスデータをデータベースに記憶すること、
をさらに含んでよく、
それに対応して、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするステップは、
少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせし、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントすること、
を含む。
【００６０】
実際の応用では、小トラフィック・ネットワーク攻撃を識別することに加えて、システムはまた、大トラフィック・ネットワーク攻撃にも対処する必要がある。大トラフィック・ネットワーク攻撃を識別するために、方法は、ステップＳ４３０の後に以下のステップをさらに含んでよい：
各差がプリセット差よりも小さくない場合に、各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであり、且つプリセット閾値に到達するか否かが判断される。
【００６１】
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであり、且つプリセット閾値に到達する場合に、その数量がプリセット閾値に到達するアクセスデータに対応するアクセス要求は、大トラフィック・ネットワーク攻撃であると確定される。
【００６２】
この実施形態では、プリセット閾値は、人為的に設定される経験的な値であってよい。プリセット閾値は、大トラフィック・ネットワーク攻撃中の大きいアクセス数の特徴と合致するように設定されてよい。例えば、プリセット閾値は、１００００回に設定される。例４に示された内容に関して、プリセット閾値は１００００であり、第３の時間枠内のｉｐ「１．１．１．４」のアクセス数は１２０００であると仮定する。次いで、アクセス数が１００００のプリセット閾値に到達するか否かを判断することができる。第３の時間枠内のｉｐ「１．１．１．４」のアクセス数だけがプリセット閾値に到達するので、ｉｐ「１．１．１．４」を含んでいるアクセス要求は、大トラフィック・ネットワーク攻撃と確定される。
【００６３】
本出願の一実施形態は、方法のステップを実施することができる装置をさらに提供する。装置は、ソフトウェアにより実装することができ、ハードウェアにより又はソフトウェアとハードウェアを組み合わせる様態で実装することもできる。ソフトウェアによる実施を例としてとりあげると、論理上の意味での装置は、対応するコンピュータプログラム命令を実行のためにメモリに読み込むサーバの中央処理ユニット（ＣＰＵ）により形成される。
【００６４】
図６は、本出願の一実施形態に係るウェブサイト耐攻撃装置の概略的なモジュール図である。この実施形態では、装置は、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するように構成された、取得モジュール５００と、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニット５１０と、
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じであるか否かを判断するように構成された、判断ユニット５２０と、
各時間枠内の同じプリセットフィールドを有するアクセスデータの数量が同じである場合に、同じ数量を有するアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニット５３０と、
を含む。
【００６５】
好ましくは、取得ユニット５００は、具体的には、
標的ウェブサイトサーバのアクセスログを収集するように構成された、第１の取得サブユニットと、
プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータを取得するように構成された、第２の取得サブユニットと、
を含んでよい。
【００６６】
好ましくは、第１の取得サブユニットは、標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集するようにさらに構成される。
【００６７】
好ましくは、第２の取得サブユニットの後に、装置は、
少なくとも２つの時間枠内のアクセスデータをデータベースに記憶するように構成された、ストレージユニット、
をさらに含み、
それに対応して、カウントユニット５１０は、少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせし、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするようにさらに構成される。
【００６８】
好ましくは、時間枠は、隣接する時間枠を含む。
【００６９】
好ましくは、プリセットフィールドは、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを含む。
【００７０】
本出願の一実施形態は、ウェブサイト耐攻撃装置であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するように構成された、取得ユニットと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
数量の最大値及び最小値を取得するように構成された、第２の取得ユニットと、
最大値と最小値との差を計算するように構成された、計算ユニットと、
差がプリセット差よりも小さいか否かを判断するように構成された、判断ユニットと、
差がプリセット差よりも小さいときに、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を含む装置を提供する。
【００７１】
好ましくは、取得ユニットは、具体的には、
標的ウェブサイトサーバのアクセスログを収集するように構成された、第１の取得サブユニットと、
プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータを取得するように構成された、第２の取得サブユニットと、
を含む。
【００７２】
好ましくは、第１の取得サブユニットは、標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集するようにさらに構成される。
【００７３】
好ましくは、第２の取得サブユニットの後に、装置は、
少なくとも２つの時間枠内のアクセスデータをデータベースに記憶するように構成された、ストレージユニット、
をさらに含み、
それに対応して、カウントユニットは、少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせし、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするようにさらに構成される。
【００７４】
好ましくは、時間枠は、隣接する時間枠を含む。
【００７５】
好ましくは、プリセットフィールドは、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを含む。
【００７６】
本出願の一実施形態は、ウェブサイト耐攻撃装置であって、
プリセットフィールドに従って標的ウェブサイトサーバの少なくとも２つの時間枠内のアクセスデータを取得するように構成された、取得ユニットと、
各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするように構成された、カウントユニットと、
数量の平均値を計算するように構成された、第２の計算ユニットと、
各数量と平均値との差を計算するように構成された、第３の計算ユニットと、
各差がプリセット差よりも小さいか否かを判断するように構成された、第３の判断ユニットと、
各差がプリセット差よりも小さいときに、その差がプリセット差よりも小さいアクセスデータに対応するアクセス要求は、小トラフィック・ネットワーク攻撃であると確定するように構成された、確定ユニットと、
を含む装置を提供する。
【００７７】
好ましくは、取得ユニットは、具体的には、
標的ウェブサイトサーバのアクセスログを収集するように構成された、第１の取得サブユニットと、
プリセットフィールドに従ってアクセスログから少なくとも２つの時間枠内のアクセスデータを取得するように構成された、第２の取得サブユニットと、
を含む。
【００７８】
好ましくは、第１の取得サブユニットは、標的ウェブサイトサーバの最もフロントエンドのアプリケーションのアクセスログを収集するようにさらに構成される。
【００７９】
好ましくは、第２の取得サブユニットの後に、装置は、
少なくとも２つの時間枠内のアクセスデータをデータベースに記憶するように構成された、ストレージユニット、
をさらに含み、
それに対応して、カウントユニットは、少なくとも２つの時間枠内のアクセスデータに関してデータベースに問い合わせし、各時間枠内の各プリセットフィールドにおいて同じ内容を有するアクセスデータの数量をカウントするようにさらに構成される。
【００８０】
好ましくは、時間枠は、隣接する時間枠を含む。
【００８１】
好ましくは、プリセットフィールドは、ｉｐ、ホスト、ユーザーエージェント、及びｕｒｌのうちの少なくとも１つを含む。
【００８２】
１９９０年代での、技術の改良は、ハードウェアの改良（例えば、ダイオード、トランジスタ、及びスイッチなどの回路構造の改良）、又はソフトウェアの改良（メソッドプロシージャの改良）として明白に区別することができる。しかしながら、技術の開発により、現在は、多くのメソッドプロシージャの改良は、ハードウェア回路構造の直接の改良として考えることができる。ほとんどすべての設計者は、対応するハードウェア回路構造を得るべく改良されたメソッドプロシージャをハードウェア回路にプログラムする。したがって、ハードウェアエンティティモジュールの使用によりメソッドプロシージャの改良を実施することはできないとみなすのは不適当である。例えば、プログラム可能論理デバイス（ＰＬＤ）（フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など）は、その論理機能がユーザによりプログラムされるデバイスによって決まるような集積回路である。設計者は、チップの製造業者に専用の集積回路チップの設計及び製造を依頼する必要なしに、デジタルシステムをＰＬＤのピースに「集積する」べく自分でプログラムする。さらに、現在は、プログラミングは、大抵は、集積回路チップを手作りするのではなく、「論理コンパイラ」ソフトウェアを用いることにより実施される。論理コンパイラソフトウェアは、プログラムを開発する及び書き込むのに用いられるソフトウェアコンパイラと類似しており、コンパイルする前のオリジナルコードも、ハードウェア記述言語（ＨＤＬ）と呼ばれる特定のプログラミング言語を用いることにより書き込まれる必要がある。Ａｄｖａｎｃｅｄ  Ｂｏｏｌｅａｎ  Ｅｘｐｒｅｓｓｉｏｎ  Ｌａｎｇｕａｇｅ（ＡＢＥＬ）、Ａｌｔｅｒａ  Ｈａｒｄｗａｒｅ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｌａｎｇｕａｇｅ（ＡＨＤＬ）、Ｃｏｎｆｌｕｅｎｃｅ、Ｃｏｒｎｅｌｌ  Ｕｎｉｖｅｒｓｉｔｙ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｌａｎｇｕａｇｅ（ＣＵＰＬ）、ＨＤＣａｌ、Ｊａｖａ  Ｈａｒｄｗａｒｅ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｌａｎｇｕａｇｅ（ＪＨＤＬ）、Ｌａｖａ、Ｌｏｌａ、ＭｙＨＤＬ、ＰＡＬＡＳＭ、及びＲｕｂｙ  Ｈａｒｄｗａｒｅ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｌａｎｇｕａｇｅ（ＲＨＤＬ）などの多くのタイプのＨＤＬが存在し、そのうち、Ｖｅｒｙ−Ｈｉｇｈ−Ｓｐｅｅｄ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ  Ｈａｒｄｗａｒｅ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｌａｎｇｕａｇｅ（ＶＨＤＬ）及びＶｅｒｉｌｏｇが、現在最も一般的に用いられる。論理メソッドプロシージャを実装するためのハードウェア回路は、上記のいくつかのハードウェア記述言語を用いてメソッドプロシージャを少し論理的にプログラミングし、これを集積回路にプログラミングするだけで容易に得られ得ることも当業者には公知のはずである。
【００８３】
コントローラは、任意の適切な様態で実装されてよい。例えば、コントローラは、マイクロプロセッサ又はプロセッサ、及び、（マイクロ）プロセッサ、論理ゲート、スイッチ、特定用途向け集積回路（ＡＳＩＣ）、プログラム可能論理コントローラ、及び組み込みマイクロコントローラにより実行可能なコンピュータ可読プログラムコード（例えば、ソフトウェア又はファームウェア）を記憶するコンピュータ可読媒体の形態であってよい。コントローラの例は、以下のマイクロコントローラを含むがこれらに限定されない：ＡＲＣ  ６２５Ｄ、Ａｔｍｅｌ  ＡＴ９１ＳＡＭ、Ｍｉｃｒｏｃｈｉｐ  ＰＩＣ１８Ｆ２６Ｋ２０、及びＳｉｌｉｃｏｎｅ  Ｌａｂｓ  Ｃ８０５１Ｆ３２０。メモリコントローラはまた、メモリの制御論理の一部として実装されてよい。コントローラは、純粋なコンピュータ可読プログラムコードを用いることにより実装することができ、加えて、方法のステップは、コントローラが論理ゲート、スイッチ、ＡＳＩＣ、プログラム可能論理コントローラ、及び組み込みマイクロコントローラの形態の同じ機能を実装できるように論理的にプログラムされてよいことも当業者には公知である。したがって、このタイプのコントローラは、ハードウェアコンポーネントと考えてよく、種々の機能を実装するためのコントローラに含まれる装置もハードウェアコンポーネントの内部の構造と考えてよい。或いは、種々の機能を実装するために用いられる装置は、方法を実施するためのソフトウェアモジュールとハードウェアコンポーネントの内部の構造との両方と考えてもよい。
【００８４】
上記の実施形態において例示されるシステム、装置、モジュール、又はユニットは、具体的には、コンピュータチップ又はエンティティ、又は特定の機能を有する製品を用いることにより実装されてよい。
【００８５】
説明を簡単にするために、装置が説明されるときに、装置は、それぞれの説明に関する機能に基づいて種々のユニットへ分割される。明確に、本出願が実施されるときに、ユニットの機能は、同じ又は複数のソフトウェア及び／又はハードウェアにおいて実施されてよい。
【００８６】
本発明の実施形態は、方法、システム、又はコンピュータプログラム製品として提供されてよいことを当業者は理解されたい。したがって、本発明は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、又はソフトウェアとハードウェアとを組み合わせる一実施形態として実装されてよい。さらに、本発明は、コンピュータにより使用可能なプログラムコードを含む１つ又は複数のコンピュータにより使用可能な記憶媒体（磁気ディスクメモリ、ＣＤ−ＲＯＭ、光学メモリなどを含むがこれらに限定されない）上に実装されるコンピュータプログラム製品であり得る。
【００８７】
本発明は、本発明の実施形態に係る方法、デバイス（システム）、及びコンピュータプログラム製品のフローチャート及び／又はブロック図を参照して説明される。コンピュータプログラム命令は、フローチャート及び／又はブロック図における各プロセス及び／又はブロック、及びフローチャート及び／又はブロック図におけるプロセス及び／又はブロックの組み合わせを実施するのに用いられ得ることを理解されたい。これらのコンピュータプログラム命令は、コンピュータ又は任意の他のプログラム可能データ処理デバイスのプロセッサにより実行される命令がフローチャートにおける１つ又は複数のプロセス及び／又はブロック図における１つ又は複数のブロックに明記される機能を実施するための装置を生み出すように、マシンを生み出すべく、汎用コンピュータ、特殊用途コンピュータ、組み込みプロセッサ又は任意の他のプログラム可能データ処理デバイスのプロセッサに提供されてよい。
【００８８】
これらのコンピュータプログラム命令はまた、コンピュータ可読ストレージに記憶された命令が命令装置を含むアーチファクトを生み出すように特定の様態で機能すべくコンピュータ又は任意の他のプログラム可能データ処理デバイスに命令することができるコンピュータ可読ストレージに記憶されてよい。命令装置は、フローチャートにおける１つ又は複数のプロセス及び／又はブロック図における１つ又は複数のブロックに明記される機能を実施する。
【００８９】
これらのコンピュータプログラム命令はまた、コンピュータ又は別のプログラム可能デバイス上で一連の動作ステップが行われ、これにより、コンピュータにより実施される処理を生み出すように、コンピュータ又は別のプログラム可能データ処理端末デバイス上にロードされてよい。したがって、コンピュータ又は別のプログラム可能端末デバイス上で実行される命令は、フローチャートにおける１つ又は複数のプロセス及び／又はブロック図における１つ又は複数のブロックに明記される機能を実施するためのステップを提供する。
【００９０】
典型的な構成では、計算デバイスは、１つ又は複数の中央処理装置（ＣＰＵ）、入力／出力インターフェース、ネットワークインターフェース、及びメモリを含む。
【００９１】
メモリは、揮発性メモリ、ランダムアクセスメモリ（ＲＡＭ）、及び／又は不揮発性メモリ、例えば、読出し専用メモリ（ＲＯＭ）又はフラッシュＲＡＭなどのコンピュータ可読媒体を含む場合がある。メモリはコンピュータ可読媒体の例である。
【００９２】
コンピュータ可読媒体は、不揮発性メディア及び揮発性メディア、並びに移動可能メディア及び移動不可能メディアを含み、任意の方法又は技術によって情報ストレージを実装することができる。情報は、コンピュータ可読命令、データ構造、及びプログラムのモジュール、又は他のデータであり得る。コンピュータの記憶媒体の例は、相変化メモリ（ＰＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、他のタイプのＲＡＭ、ＲＯＭ、電気的に消去可能でプログラム可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュメモリ又は他のメモリ技術、コンパクトディスク読出し専用メモリ（ＣＤ−ＲＯＭ）、デジタルバーサタイルディスク（ＤＶＤ）又は他の光学ストレージ、カセットテープ、磁気テープ／磁気ディスクストレージ又は他の磁気ストレージデバイス、又は任意の他の非伝送媒体を含むがこれらに限定されず、コンピューティングデバイスによりアクセス可能な情報を記憶するのに用いることができる。この文章での定義によれば、コンピュータ可読媒体は、変調されたデータ信号及びキャリアなどの一時的メディアを含まない。
【００９３】
「含む」、「備える」という用語、又はそれらの他の変形は、一連の要素を含むプロセス、方法、コモディティ、又はデバイスが、該要素を含むだけでなく明瞭に挙げられていない他の要素も含む、又はプロセス、方法、コモディティ、又はデバイスの固有の要素をさらに含むように、非排他的包含をカバーすることを意図されることにさらに留意されたい。どのようなさらなる限定もない場合、「〜を含む」により定義される要素は、該要素を含むプロセス、方法、コモディティ、又はデバイスが他の同一の要素をさらに有することを除外しない。
【００９４】
本出願の実施形態は、方法、システム、又はコンピュータプログラム製品として提供されてよいことを当業者は理解されたい。したがって、本出願は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、又はソフトウェアとハードウェアとを組み合わせる一実施形態として実装されてよい。さらに、本出願は、コンピュータにより使用可能なプログラムコードを含む１つ又は複数のコンピュータにより使用可能な記憶媒体（磁気ディスクメモリ、ＣＤ−ＲＯＭ、光学メモリなどを含むがこれらに限定されない）上に実装されるコンピュータプログラム製品の形態であってよい。
【００９５】
本出願は、コンピュータにより実行されるコンピュータで実行可能な命令、例えば、プログラムモジュールの共通の文脈で説明され得る。一般に、プログラムモジュールは、特定のタスクを実行する又は特定の抽象データ型を実装するのに用いられるルーチン、プログラム、オブジェクト、アセンブリ、データ構造などを含む。本出願はまた、分散コンピューティング環境で実装されてよく、分散コンピュータ環境では、タスクは、通信ネットワークを通じて接続されるリモート処理デバイスを用いることにより実行される。分散コンピュータ環境では、プログラムモジュールは、ストレージデバイスを含むローカル又はリモートコンピュータ記憶媒体に存在し得る。
【００９６】
本明細書での実施形態は順次に説明されており、実施形態の同一の又は類似の部分は互いを参照して得られる場合があり、各実施形態は他の実施形態とは異なる部分を強調している。特に、システムの実施形態は、方法の実施形態と基本的に類似しており、ゆえに、簡単に説明される。関連する部分に関しては、方法の実施形態での部分の説明への参照がなされる場合がある。
【００９７】
上記の説明は、本出願の単なる実施形態にすぎず、本出願を限定することを意図していない。当業者に向けて、本出願は種々の修正及び変形を有し得る。本出願の精神及び原理から逸脱せずになされる任意の修正、等価な置き換え、改良などが本出願の請求項の範囲内に入るはずである。
【図１】
2018536351.tif 000009
【図２】
2018536351.tif 000010
【図３】
2018536351.tif 000011
【図４】
2018536351.tif 000012
【図５】
2018536351.tif 000013
【図６】
2018536351.tif 000014
【国際調査報告】
2018536351.tif 000015
2018536351.tif 000016
2018536351.tif 000017
2018536351.tif 000018