(57)【要約】ネットワーク攻撃を防止するための方法、装置及びシステムを本願に提供する。方法は、内部ネットワークデバイス宛であり外部ネットワークデバイスから送信される対象のＤＮＳ応答メッセージを受信し、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定し、対象のＤＮＳ応答メッセージが所定条件を満たす場合に対象のＤＮＳ応答メッセージを破棄することを含み、ここで、所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。本願は、異なるドメイン名を使用して本物のソースから内部デバイスを攻撃するＤＮＳ応答メッセージを除外することができる。これにより、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を軽減できる。
2018525924.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークデバイス宛であり外部ネットワークデバイスから送信される、対象のＤＮＳ応答メッセージを受信することと、
動的なホワイトリストが前記対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、前記対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定することと、
前記対象のＤＮＳ応答メッセージが前記所定条件を満たす場合に、前記対象のＤＮＳ応答メッセージを破棄することとを備え、ここで、前記所定条件は、前記対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、前記過去のドメイン名の記録内の過去のドメイン名のそれぞれは、前記外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される、
ネットワーク攻撃防御方法。
【請求項２】
前記所定条件は、前記外部ネットワークデバイスが前記対象のドメイン名に対して開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことをさらに備え、ここで、前記第１の送信時間は前記対象のＤＮＳ応答メッセージの送信時間であり、前記第２の送信時間は前記第１の送信時間より前の、前記対象のドメイン名を含む最新のＤＮＳ応答メッセージの送信時間である、請求項１に記載の方法。
【請求項３】
前記時間差が前記所定の時間差以上である状況において、前記対象のＤＮＳ応答メッセージを前記内部ネットワークデバイスに送信することをさらに備える、請求項２に記載の方法。
【請求項４】
前記対象のＤＮＳ応答メッセージ内の前記対象のドメイン名が前記過去のドメイン名の記録に含まれていない場合、前記ドメイン名及び前記対象のＤＮＳ応答メッセージの送信時間を前記過去のドメイン名の記録に記憶することをさらに備える、請求項１に記載の方法。
【請求項５】
所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算することであり、ここで、前記過去のドメイン名の記録は、前記外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージ内の全てのドメイン名及び前記ドメイン名のそれぞれのヒット率を含み、前記所定数は自然数３以上である、前記比率を計算することと、
前記比率が所定の比率より大きい場合、前記外部ネットワークデバイスのソースアドレスを前記動的なホワイトリストから削除することと、
前記外部ネットワークデバイスの前記ソースアドレスを動的なブラックリストに追加することと
をさらに備える、請求項４に記載の方法。
【請求項６】
前記過去のドメイン名の記録内の各ドメイン名のヒット率を計算することは、前記ＤＮＳ応答メッセージを受信した後、ＤＮＳ応答メッセージのドメイン名を前記過去のドメイン名の記録内に見つけることと、前記ドメイン名のヒット率を１つ増加させることとを備え、ここで、各ドメイン名の前記ヒット率の初期値は０である、請求項５に記載の方法。
【請求項７】
前記所定条件は、前記対象のＤＮＳ応答メッセージのスループット値と、前記過去のＤＮＳ応答メッセージのスループット値との合計スループット値が所定のスループット値より大きいことをさらに備え、ここで、前記過去のＤＮＳ応答メッセージは、前記対象のＤＮＳ応答メッセージが送信される前の、前記外部ネットワークデバイスによって送信された全てのＤＮＳ応答メッセージである、請求項１に記載の方法。
【請求項８】
前記合計スループット値が前記所定のスループット値より大きいことに応じて、前記動的なホワイトリストから前記ソースアドレスを削除することと、
前記ソースアドレスを動的なブラックリストに追加することと
をさらに備える、請求項７に記載の方法。
【請求項９】
前記過去のＤＮＳ応答メッセージの前記スループット値を計算することは、前記ＤＮＳ応答メッセージが前記外部ネットワークデバイスの前記ソースアドレスから送信された後に、ＤＮＳ応答メッセージのスループット値を前記過去のＤＮＳ応答メッセージの前記スループット値に加算することとを備え、前記過去のＤＮＳ応答メッセージの前記スループット値の初期値は０である、請求項８に記載の方法。
【請求項１０】
前記動的なブラックリストが前記対象のＤＮＳ応答メッセージ内の前記ソースアドレスを含む場合、前記対象のＤＮＳ応答メッセージを破棄することをさらに備える、請求項１〜８のいずれか１項に記載の方法。
【請求項１１】
内部ネットワークデバイス宛であり外部ネットワークデバイスから送信される、対象のＤＮＳ応答メッセージを受信するために使用される受信ユニットと、動的なホワイトリストが前記対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、前記対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定するために使用される判定ユニットと、
前記対象のＤＮＳ応答メッセージが前記所定条件を満たす場合に前記対象のＤＮＳ応答メッセージを破棄するために使用される第１の破棄ユニットとを備え、ここで、前記所定条件は、前記対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、前記過去のドメイン名の記録内の過去のドメイン名のそれぞれは、前記外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される、
ネットワーク攻撃防御装置。
【請求項１２】
前記所定条件は、前記外部ネットワークデバイスが前記対象のドメイン名に対して開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことをさらに備え、ここで、前記第１の送信時間は前記対象のＤＮＳ応答メッセージの送信時間であり、前記第２の送信時間は前記第１の送信時間より前の、前記対象のドメイン名を含む最新のＤＮＳ応答メッセージの送信時間である、請求項１１に記載の装置。
【請求項１３】
前記時間差が前記所定の時間差以上である場合に、前記対象のＤＮＳ応答メッセージを前記内部ネットワークデバイスに送信するために使用される送信ユニットをさらに備える、請求項１２に記載の装置。
【請求項１４】
前記対象のＤＮＳ応答メッセージ内の前記対象のドメイン名が前記過去のドメイン名の記録に含まれていない場合、前記ドメイン名及び前記対象のＤＮＳ応答メッセージの送信時間を前記過去のドメイン名の記録に記憶するために使用される記憶ユニットをさらに備える、請求項１１に記載の装置。
【請求項１５】
所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算するために使用される比率計算ユニットであり、ここで、前記過去のドメイン名の記録は、前記外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージ内の全てのドメイン名及び前記ドメイン名のそれぞれのヒット率を含み、前記所定数は自然数３以上である、前記比率計算ユニットと、
前記比率が所定の比率より大きい場合、前記外部ネットワークデバイスのソースアドレスを前記動的なホワイトリストから削除するために使用される第１の削除ユニットと、
前記外部ネットワークデバイスの前記ソースアドレスを動的なブラックリストに追加するために使用される第１の追加ユニットと
をさらに備える、請求項１４に記載の装置。
【請求項１６】
前記ＤＮＳ応答メッセージを受信した後、ＤＮＳ応答メッセージのドメイン名を前記過去のドメイン名の記録内に見つけ、前記ドメイン名のヒット率を１つ増加させるために使用されるヒット率計算ユニットをさらに備え、ここで、各ドメイン名の前記ヒット率の初期値は０である、請求項１５に記載の装置。
【請求項１７】
前記所定条件は、前記対象のＤＮＳ応答メッセージのスループット値と、過去のＤＮＳ応答メッセージのスループット値との合計スループット値が所定のスループット値より大きいことをさらに備え、ここで、前記過去のＤＮＳ応答メッセージは、前記対象のＤＮＳ応答メッセージが送信される前の、前記外部ネットワークデバイスによって送信された全てのＤＮＳ応答メッセージである、請求項１１に記載の装置。
【請求項１８】
前記合計スループット値が前記所定のスループット値より大きい場合、前記動的なホワイトリストから前記ソースアドレスを削除するために使用される第２の削除ユニットと、
前記ソースアドレスを動的なブラックリストに追加するために使用される第２の追加ユニットとをさらに備える、請求項１７に記載の装置。
【請求項１９】
前記ＤＮＳ応答メッセージが前記外部ネットワークデバイスの前記ソースアドレスから送信された後に、ＤＮＳ応答メッセージのスループット値を前記過去のＤＮＳ応答メッセージの前記スループット値に加算するために使用されるスループット計算ユニットをさらに備え、前記過去のＤＮＳ応答メッセージの前記スループット値の初期値は０である、請求項１８に記載の装置。
【請求項２０】
前記動的なブラックリストが前記対象のＤＮＳ応答メッセージ内の前記ソースアドレスを含む場合、前記対象のＤＮＳ応答メッセージを破棄するために使用される第２の破棄ユニットをさらに備える、請求項１１〜１８のいずれか１項に記載の装置。
【請求項２１】
外部ネットワークデバイスと、除外デバイスと、内部ネットワークデバイスとを備え、
前記外部ネットワークデバイスは、前記内部ネットワークデバイス宛の対象のＤＮＳ応答メッセージを前記除外デバイスに送信するために使用され、
前記除外デバイスは、前記内部ネットワークデバイス宛の前記対象のＤＮＳ応答メッセージを前記外部ネットワークデバイスから受信し、動的なホワイトリストが前記対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、前記対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定し、前記対象のＤＮＳ応答メッセージが前記所定条件を満たす場合に前記対象のＤＮＳ応答メッセージを破棄するために使用され、ここで、前記所定条件は、前記対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、前記過去のドメイン名の記録内の過去のドメイン名のそれぞれは、前記外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出され、
前記内部ネットワークデバイスは、除外を受けた後のＤＮＳ応答メッセージを前記除外デバイスから受信するために使用される、ネットワーク攻撃防御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本願は、「Ｎｅｔｗｏｒｋ  Ａｔｔａｃｋ  Ｐｒｅｖｅｎｔｉｏｎ  Ｍｅｔｈｏｄ，  Ａｐｐａｒａｔｕｓ  ａｎｄ  Ｓｙｓｔｅｍ」を名称とする、２０１５年８月１４日出願の中国特許出願第２０１５１０４９７２２６．１号の優先権を主張し、参照によりその全体が本明細書に組み込まれる。
【０００２】
本発明は、ネットワーキング技術に関し、特にネットワーク攻撃防止方法、装置及びシステムに関する。
【背景技術】
【０００３】
ネットワーク技術の絶え間ない進歩に伴い、ネットワーク分野におけるネットワーク攻撃数は増加している。現在、分散型サービス妨害攻撃（ＤＤｏＳ）は多数のネットワーク攻撃の中でも比較的重大な攻撃法となっている。ＤＤｏＳにおけるＤＮＳ応答攻撃は主流の攻撃タイプとなっている。ＤＮＳ応答攻撃はドメインネームシステム（ＤＮＳ）応答攻撃とも呼ばれ得る。
【０００４】
ＤＮＳ応答攻撃を防止するために、元のシステムに除外デバイスを追加して防止システムを形成する。図１は、防止システムの模式構造図である。この図では、除外デバイスのバイパスがルータの片側に配置されていることが分かる。
【０００５】
除外デバイスのバイパスを配置する状況では、ソース検出方法を使用して、外部ネットワークデバイスから内部ネットワークデバイスに送信される侵入目的のＤＮＳ応答メッセージを除外することができる。除外の具体的な処理は、外部ネットワークデバイスから内部ネットワークデバイスに送信されるＤＮＳ応答メッセージを除外デバイスが受信した後、ソースアドレスを抽出し、ソースアドレスが動的なホワイトリストに含まれているかどうかを判定することであり得る。ソースアドレスが動的なホワイトリストに含まれていない場合、ＤＮＳ要求メッセージはプローブメッセージとして外部ネットワークデバイスに送信される。外部ネットワークデバイスから返送されるＤＮＳ応答メッセージを受信しない場合、外部ネットワークデバイスは偽のソースと判定され、ＤＮＳ応答メッセージは破棄される。外部ネットワークデバイスから返送されるＤＮＳ応答メッセージを受信し、ＤＮＳ応答メッセージ内のドメインが特定の要件を満たす場合、外部ネットワークデバイスは本物のソースと判定され、外部ネットワークデバイスのＩＰアドレスを動的なホワイトリストに追加する。ソースアドレスが動的なホワイトリストに含まれている場合、外部ネットワークデバイスは本物のソースであり、ＤＮＳ応答メッセージは送信される。
【０００６】
ＤＮＳ応答攻撃はさらに、攻撃タイプに応じて本物のソース攻撃と偽のソース攻撃とに分類することができる。動的なホワイトリストは本物のソースのＩＰアドレスのみを含み偽のソースのＩＰアドレスは含まないため、ソース検出方法は偽のソースから開始されたＤＮＳ応答攻撃のみを除外することができ、本物のソースから開始されたＤＮＳ応答攻撃は除外できない。
【０００７】
これに応じて、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を低減するには、本物のソースから開始されたＤＮＳ応答攻撃を除外する方法が現在必要である。
【発明の概要】
【０００８】
本願は、本物のソースから開始されたＤＮＳ応答攻撃を除外するための、ネットワーク攻撃防止方法、装置及びシステムを提供し、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を低減する。
【０００９】
上記の目的を達成するには、本願は以下の技術的手段を提供する。
【００１０】
ネットワーク攻撃防止方法は、内部ネットワークデバイス宛であり外部ネットワークデバイスから送信される対象のＤＮＳ応答メッセージを受信することと、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定することと、対象のＤＮＳ応答メッセージが所定条件を満たす場合に対象のＤＮＳ応答メッセージを破棄することとを含み、ここで、所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。
【００１１】
好ましくは、所定条件は、外部ネットワークデバイスが対象のドメイン名に対して開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことをさらに含み、ここで、第１の送信時間は対象のＤＮＳ応答メッセージの送信時間であり、第２の送信時間は第１の送信時間より前の、対象のドメイン名を含む最新のＤＮＳ応答メッセージの送信時間である。
【００１２】
好ましくは、方法は、時間差が所定の時間差以上である状況において、対象のＤＮＳ応答メッセージを内部ネットワークデバイスに送信することをさらに含む。
【００１３】
好ましくは、方法は、対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていない場合、ドメイン名及び対象のＤＮＳ応答メッセージの送信時間を過去のドメイン名の記録に記憶することをさらに含む。
【００１４】
好ましくは、方法は、所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算することであり、ここで、過去のドメイン名の記録は、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージ内の全てのドメイン名及びドメイン名のそれぞれのヒット率を含み、所定数は自然数３以上である、比率を計算することと、比率が所定の比率より大きい場合、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除すること及び外部ネットワークデバイスのソースアドレスを動的なブラックリストに追加することとをさらに含む。
【００１５】
好ましくは、過去のドメイン名の記録内の各ドメイン名のヒット率を計算する方法は、ＤＮＳ応答メッセージを受信した後、ＤＮＳ応答メッセージのドメイン名を過去のドメイン名の記録内に見つけることと、ドメイン名のヒット率を１つ増加させることとを含み、ここで、各ドメイン名のヒット率の初期値は０である。
【００１６】
好ましくは、所定条件は、対象のＤＮＳ応答メッセージのスループット値と、過去のＤＮＳ応答メッセージのスループット値との合計スループット値が所定のスループット値より大きいことをさらに含み、ここで、過去のＤＮＳ応答メッセージは、対象のＤＮＳ応答メッセージが送信される前の、外部ネットワークデバイスによって送信された全てのＤＮＳ応答メッセージである。
【００１７】
好ましくは、方法は、合計スループット値が所定のスループット値より大きいことに応じて、動的なホワイトリストからソースアドレスを削除することと、ソースアドレスを動的なブラックリストに追加することとをさらに含む。
【００１８】
好ましくは、過去のＤＮＳ応答メッセージのスループット値を計算する処理は、ＤＮＳ応答メッセージが外部ネットワークデバイスのソースアドレスから送信された後に、ＤＮＳ応答メッセージのスループット値を過去のＤＮＳ応答メッセージのスループット値に加算することとを含み、過去のＤＮＳ応答メッセージのスループット値の初期値は０である。
【００１９】
好ましくは、方法は、動的なブラックリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む場合、対象のＤＮＳ応答メッセージを破棄することをさらに含む。
【００２０】
ネットワーク攻撃防止装置は、内部ネットワークデバイス宛であり外部ネットワークデバイスから送信される対象のＤＮＳ応答メッセージを受信するために使用される受信ユニットと、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定するために使用される判定ユニットと、対象のＤＮＳ応答メッセージが所定条件を満たす場合に対象のＤＮＳ応答メッセージを破棄するために使用される第１の破棄ユニットとを含み、ここで、所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。
【００２１】
好ましくは、所定条件は、外部ネットワークデバイスが対象のドメイン名に対して開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことをさらに含み、ここで、第１の送信時間は対象のＤＮＳ応答メッセージの送信時間であり、第２の送信時間は第１の送信時間より前の、対象のドメイン名を含む最新のＤＮＳ応答メッセージの送信時間である。
【００２２】
好ましくは、装置は、時間差が所定の時間差以上である場合に、対象のＤＮＳ応答メッセージを内部ネットワークデバイスに送信するために使用される送信ユニットをさらに含む。
【００２３】
好ましくは、装置は、対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていない場合、ドメイン名及び対象のＤＮＳ応答メッセージの送信時間を過去のドメイン名の記録に記憶するために使用される記憶ユニットをさらに含む。
【００２４】
好ましくは、装置は、所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算するために使用される比率計算ユニットであり、ここで、過去のドメイン名の記録は、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージ内の全てのドメイン名及びドメイン名のそれぞれのヒット率を含み、所定数は自然数３以上である、比率計算ユニットと、比率が所定の比率より大きい場合、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除するために使用される第１の削除ユニットと、外部ネットワークデバイスのソースアドレスを動的なブラックリストに追加するために使用される第１の追加ユニットとをさらに含む。
【００２５】
好ましくは、装置は、ＤＮＳ応答メッセージを受信した後、ＤＮＳ応答メッセージのドメイン名を過去のドメイン名の記録内に見つけ、ドメイン名のヒット率を１つ増加させるために使用されるヒット率計算ユニットをさらに含み、ここで、各ドメイン名のヒット率の初期値は０である。
【００２６】
好ましくは、所定条件は、対象のＤＮＳ応答メッセージのスループット値と、過去のＤＮＳ応答メッセージのスループット値との合計スループット値が所定のスループット値より大きいことをさらに含み、ここで、過去のＤＮＳ応答メッセージは、対象のＤＮＳ応答メッセージが送信される前の、外部ネットワークデバイスによって送信された全てのＤＮＳ応答メッセージである。
【００２７】
好ましくは、装置は、合計スループット値が所定のスループット値より大きい場合、動的なホワイトリストからソースアドレスを削除するために使用される第２の削除ユニットと、ソースアドレスを動的なブラックリストに追加するために使用される第２の追加ユニットとをさらに含む。
【００２８】
好ましくは、装置は、ＤＮＳ応答メッセージが外部ネットワークデバイスのソースアドレスから送信された後に、ＤＮＳ応答メッセージのスループット値を過去のＤＮＳ応答メッセージのスループット値に加算するために使用されるスループット計算ユニットをさらに含み、過去のＤＮＳ応答メッセージのスループット値の初期値は０である。
【００２９】
好ましくは、装置は、動的なブラックリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む場合、対象のＤＮＳ応答メッセージを破棄するために使用される第２の破棄ユニットをさらに含む。
【００３０】
ネットワーク攻撃防止システムは、外部ネットワークデバイスと、除外デバイスと、内部ネットワークデバイスとを含む。
【００３１】
外部ネットワークデバイスは、内部ネットワークデバイス宛の対象のＤＮＳ応答メッセージを除外デバイスに送信するために使用される。
【００３２】
除外デバイスは、内部ネットワークデバイス宛の対象のＤＮＳ応答メッセージを外部ネットワークデバイスから受信し、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定し、対象のＤＮＳ応答メッセージが所定条件を満たす場合に対象のＤＮＳ応答メッセージを破棄するために使用され、ここで、所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。
【００３３】
内部ネットワークデバイスは、除外を受けた後のＤＮＳ応答メッセージを除外デバイスから受信するために使用される。
【００３４】
上記の技術内容から分かる通り、本願は以下の有益な効果を有する。
【００３５】
対象のＤＮＳ応答メッセージ内のソースアドレスが動的なホワイトリストに含まれていると判定した後、本願の実施形態は、対象のＤＮＳ応答メッセージを開始する外部ネットワークデバイスが偽のソースではなく本物のソースであると判定することができる。本物のソースから開始されるＤＮＳ応答攻撃の１つのタイプは、内部ネットワークデバイスを攻撃するために、異なるドメイン名を有するＤＮＳ応答メッセージを頻繁に送信することである。したがって、本願は過去のドメイン名の記録を設定し、この中に外部ネットワークデバイスによって送信された全てのドメイン名を記録する。
【００３６】
対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていない場合、これは、外部ネットワークデバイスがこのドメイン名を含むＤＮＳ応答メッセージを初めて送信することを示す。この状況では、対象のＤＮＳ応答メッセージは、外部ネットワークデバイスが異なるドメイン名を使用して開始したＤＮＳ応答攻撃であり得る。内部ネットワークデバイスへの攻撃を防止するために、対象のＤＮＳ応答メッセージは破棄される。
【００３７】
正常な外部ネットワークデバイスは自動再送メカニズムを備えているため、正常な外部ネットワークデバイスによって送信されたＤＮＳ応答メッセージが破棄された場合、内部ネットワークデバイスから再送されたＤＮＳ要求メッセージを外部ネットワークデバイスが受信した後、対象のＤＮＳ応答メッセージは再送される。したがって、本願は、内部ネットワークデバイスへの正常なＤＮＳ応答メッセージの送信に影響を及ぼさない。しかしながら、侵入目的の外部ネットワークデバイスはこの再送メカニズムを備えていない。したがって、本願は、異なるドメイン名を使用して本物のソースから内部デバイスを攻撃するＤＮＳ応答メッセージを除外することができる。これにより、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を軽減できる。
【００３８】
本願の実施形態または既存技術の技術スキームをより良い方式で理解するために、実施形態または既存技術の説明に必要な図面を本明細書に簡潔に説明する。当然ながら、本明細書に説明する図面は本願の一部の実施形態を表すにすぎない。当業者であれば、これらの図面を基に、創造的な努力なしに他の図面を取得することができる。
【図面の簡単な説明】
【００３９】
【図１】防止システムの模式構造図である。
【図２】本願の実施形態による、ネットワーク攻撃防止方法のフローチャートである。
【図３】本願の実施形態による、別のネットワーク攻撃防止方法のフローチャートである。
【図４】本願の実施形態による、ネットワーク攻撃防止方法における動的なホワイトリストを変更するフローチャートである。
【図５】本願の実施形態による、別のネットワーク攻撃防止方法のフローチャートである。
【図６】本願の実施形態による、ネットワーク攻撃防止方法の模式構造図である。
【図７】本願の実施形態による、別のネットワーク攻撃防止方法の模式構造図である。
【図８】本願の実施形態による、別のネットワーク攻撃防止方法の模式構造図である。
【発明を実施するための形態】
【００４０】
本願の実施形態の技術的解決策は、本願の実施形態の図面に関連して、明瞭かつ包括的な方式で説明される。当然ながら、説明する実施形態は本願の実施形態の一部を表すに過ぎず、全てを表すわけではない。当業者が本願の実施形態を基に創造的な努力を要することなく取得する全ての他の実施形態は、本願の保護範囲内に含まれるものとする。
【００４１】
本願の適用シナリオをより良い方式で説明するために、ネットワーク攻撃の防止システムである図１を参照する。システムは、外部ネットワークデバイス１００、ルーティングデバイス２００、内部ネットワークデバイス３００及びルーティングデバイス２００のバイパスとして配置される除外デバイス４００を含む。
【００４２】
外部ネットワークデバイス１００は、内部ネットワークデバイス３００宛のＤＮＳ応答メッセージを除外デバイス４００に送信するために使用される。外部ネットワークデバイスによって送信されるＤＮＳ応答メッセージは、正常なＤＮＳ応答メッセージの中に侵入目的のＤＮＳ応答メッセージ（複数可）を含み得る。したがって、侵入目的のＤＮＳ応答メッセージを外部ネットワークデバイスの正常なＤＮＳ応答メッセージから除外し、侵入目的のＤＮＳ応答メッセージ（複数可）を削除した後、正常なＤＮＳ応答メッセージを内部ネットワークデバイス３００に送信するために除外デバイス４００を使用する。
【００４３】
本願は、図１に示すようなネットワーク攻撃の防止システムに基づき、ネットワーク攻撃防止方法を提供する。本願は、詳細に説明するために、外部ネットワークデバイス及び外部ネットワークデバイスがアクセスしようとする内部ネットワークデバイスのみを使用する。他の外部ネットワークデバイス及び内部ネットワークデバイスの実施態様は、本願に提供する方法に矛盾しないことが理解できる。
【００４４】
図２に示す通り、本願はネットワーク攻撃防止方法を提供し、この方法は除外デバイスに適用される。方法は、以下の動作Ｓ２０１〜Ｓ２０３を含む。
【００４５】
Ｓ２０１では、内部ネットワークデバイス宛であり外部ネットワークデバイスによって送信される、対象のＤＮＳ応答メッセージを受信する。
【００４６】
対象のＤＮＳ応答メッセージの送信コマンドを受信した後、外部ネットワークデバイスは内部ネットワークデバイスに対する対象のＤＮＳ応答メッセージを除外デバイスに送信する。対象のＤＮＳ応答メッセージは、対象のＤＮＳ応答メッセージを送信する外部ネットワークデバイスのソースアドレス（ＩＰアドレス）及び外部ネットワークデバイスによるアクセスが必要な内部ネットワークデバイスの対象のドメイン名を含む。対象のＤＮＳ応答メッセージの受信に応じて、除外デバイスは対象のＤＮＳ応答メッセージの判定を行い、対象のＤＮＳ応答メッセージが侵入目的のＤＮＳ応答メッセージかどうかを判定することができる。
【００４７】
Ｓ２０２では、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む場合、対象のＤＮＳ応答メッセージが所定条件（複数可）を満たすかどうかを判定する。
【００４８】
動的なホワイトリストは除外デバイスに設定される。動的なホワイトリストは現在の時点で侵入目的のない本物のソースのＩＰアドレスを記憶する。動的なホワイトリスト内の侵入目的のないＩＰアドレスは一時的なものである。あるＩＰアドレスが本願の判定条件に従って侵入目的のＩＰアドレスに変化した場合、このＩＰアドレスは動的なホワイトリストから削除される。換言すると、本願の動的なホワイトリスト内のＩＰアドレスは不変的なものではなく、動的に変化する。したがって、動的なホワイトリストと呼ばれる。対象のＤＮＳ応答メッセージを受信した後、除外デバイスは対象のＤＮＳ応答メッセージから外部ネットワークデバイスのソースアドレスを抽出し、動的なホワイトリストが外部ネットワークデバイスのソースアドレスを含むかどうかを判定する。
【００４９】
動的なホワイトリストが外部ネットワークデバイスのソースアドレスを含まない場合、ソース検出方法を使用して、ソースアドレスに対応する外部ネットワークデバイスが偽のソースかどうかの判定を行う。外部ネットワークデバイスが偽のソースの場合、対象のＤＮＳ応答メッセージは偽のソースによって送信された侵入目的のＤＮＳ応答メッセージであり、したがって、対象のＤＮＳ応答メッセージは破棄される。
【００５０】
動的なホワイトリストが外部ネットワークデバイスのソースアドレスを含む場合、これは、外部ネットワークデバイスが本物のソースであることを示す。対象のＤＮＳ応答メッセージは、本物のソースによって送信されたＤＮＳ応答メッセージである。攻撃技術の進歩に伴い、本物のソースは攻撃者によって攻撃用ソースとして使用されることもある。したがって、外部ネットワークデバイスが本物のソースであることを判定した後で、対象のＤＮＳ応答メッセージが侵入目的のメッセージかどうかを判定するために、さらなる判定を行う必要がある。
【００５１】
本物のソースからＤＮＳ応答攻撃を開始する第１の方法は、異なるドメイン名を有するＤＮＳ応答メッセージを頻繁に送信して内部ネットワークデバイスを攻撃するため、本願の除外デバイスは動的なホワイトリスト内の各ＩＰアドレスに対して、過去のドメイン名の記録を作成する。過去のドメイン名の記録は、ドメイン名を記録するために使用され、これには各ＩＰアドレスから送信されたＤＮＳ応答メッセージが含まれる。図示の通り、本実施形態の除外デバイスは、外部ネットワークデバイスに対応する過去のドメイン名の記録も有し、この記録は、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージに表示されるドメイン名を記録する。
【００５２】
対象のＤＮＳ応答メッセージが侵入目的のメッセージかどうかをさらに判定するために、本実施形態は事前に所定条件（複数可）を設定する。所定条件（複数可）は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。
【００５３】
動的なホワイトリストが対象のＤＮＳ応答メッセージのソースアドレスを含むと判定した後、対象のＤＮＳ応答メッセージ内の対象のドメイン名が抽出される。ソースアドレスに対応する過去のドメイン名の記録が対象のドメイン名を含むかどうかについて、さらなる判定が行われる、つまり、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかが判定される。
【００５４】
Ｓ２０３では、対象のＤＮＳ応答メッセージが所定条件（複数可）を満たす場合には対象のＤＮＳ応答メッセージを破棄し、対象のＤＮＳ応答メッセージが所定条件（複数可）を満たさない場合には他の処理を行う。
【００５５】
過去のドメイン名の記録が対象のドメイン名を含まない場合、これは、外部ネットワークデバイスが対象のドメイン名を有するＤＮＳ応答メッセージを初めて送信することを示す。この状況では、対象のＤＮＳ応答メッセージは、外部ネットワークデバイスが異なるドメイン名の方式を使用して開始したＤＮＳ応答攻撃であり得る。したがって、対象のドメイン名は過去のドメイン名の記録に存在しない。この状況では、内部ネットワークデバイスへの攻撃を防止するために、対象のＤＮＳ応答メッセージは破棄される。この処理は「第１のパケット破棄メカニズム」と呼ばれる場合もある。
【００５６】
対象のＤＮＳ応答メッセージは正常な外部ネットワークデバイスによって開始され得る（外部ネットワークデバイスが対象のドメイン名に対応する内部ネットワークデバイスに初めてアクセスする）ことが理解できる。対象のＤＮＳ応答メッセージが本願において正常と考えられる場合、対象のＤＮＳ応答メッセージは本動作で破棄される。これに応じて、対象のＤＮＳ応答メッセージが破棄された後、対象のドメイン名は過去のドメイン名の記録に記憶され、これにより、再送メカニズムに従って正常な外部ネットワークデバイスによって再送された、対象のＤＮＳ応答メッセージ内の対象のドメイン名は、過去のドメイン名の記録に含まれる。換言すると、過去のドメイン名の記録内の対象のドメイン名がヒットし、これにより、「第１のパケット破棄メカニズム」により正常なＤＮＳメッセージが破棄されることは確実になくなる。
【００５７】
正常な外部ネットワークデバイスは再送メカニズムを備えているため、内部ネットワークデバイスが外部ネットワークデバイスにＤＮＳ要求を送信した後、ＤＮＳ応答メッセージを外部ネットワークデバイスから受信しない場合、内部ネットワークデバイスはＤＮＳ要求メッセージを外部ネットワークに送信する。ＤＮＳ要求メッセージの発生により、正常な外部ネットワークデバイスは対象のＤＮＳ応答メッセージを再送することになる。除外デバイスが対象のドメイン名を再度受信する場合、「第１のパケット破棄メカニズムにより対象のＤＮＳ応答メッセージが再度破棄されることはない。これは、過去のドメイン名の記録に対象のドメイン名が含まれているためであり、ゆえに、正常なＤＮＳ応答メッセージが影響を受けることは確実になくなる。
【００５８】
侵入目的の外部ネットワークデバイスは再送メカニズムを備えていない。したがって、本願は、異なるドメイン名の方式を使用して、本物のソースによって内部ネットワークデバイスを攻撃するＤＮＳ応答メッセージを正確に除外することができる。これにより、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を低減できる。
【００５９】
本願が提供するネットワーク攻撃の防止方法の第２の実施形態を以下に説明する。図３に示す通り、方法は動作Ｓ３０１〜Ｓ３０４を含む。
【００６０】
Ｓ３０１では、内部ネットワークデバイス宛の外部ネットワークデバイスから送信される対象の応答メッセージを受信する。
【００６１】
Ｓ３０２では、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む場合、対象のＤＮＳ応答メッセージが第１の所定条件を満たすかどうかを判定する。第１の所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていないことを含む。第１の所定条件を満たさない場合には方法はＳ３０３に進み、第１の所定条件を満たす場合にはＳ３０４に進む。
【００６２】
本動作を行う特定の処理は、図２に示す実施形態において詳細を説明しており、本明細書では繰り返して説明はしない。
【００６３】
Ｓ３０３では、対象のＤＮＳ応答メッセージが第２の所定条件を満たすかどうかを判定する。第２の所定条件は、外部ネットワークデバイスが対象のドメイン名に対して開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことを含み、ここで、第１の送信時間は対象のＤＮＳ応答メッセージの送信時間であり、第２の送信時間は第１の送信時間より前の、対象のドメイン名を含む最新のＤＮＳ応答メッセージの送信時間である。第２の所定条件を満たす場合には、Ｓ３０４に入る。第２の所定条件を満たさない場合には、Ｓ３０５に入る。
【００６４】
本物のソースからＤＮＳ応答攻撃を開始する第２の方法は、限られた数のドメイン名または同じドメイン名を使用して、ＤＮＳ応答メッセージを頻繁に送信することである。本物のソースからＤＮＳ応答メッセージを送信する頻度は比較的高いため、この状況では、同じドメイン名を有するＤＮＳ応答メッセージ間の時間差は非常に短くなる。したがって、本願は、所定の時間差、例えば１秒を設定する。所定の時間差は、同じドメイン名を有しており、正常な外部ネットワークデバイスから送信される２つの連続したＤＮＳ応答メッセージ間に必要な時間差である。
【００６５】
過去のドメイン名の記録が対象のドメイン名を含む場合、対象のＤＮＳ応答メッセージを判定するための所定条件は、対象のドメイン名に対して外部ネットワークデバイスが開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことをさらに含む。
【００６６】
対象のＤＮＳ応答メッセージを受信する際に、除外デバイスは現在の時間を対象のＤＮＳ応答メッセージの送信時間、つまり第１の送信時間として使用する。対象のドメイン名を含み、除外デバイスの過去のドメイン名の記録に記録されているＤＮＳ応答メッセージの最新の送信時間が第２の送信時間である。
【００６７】
第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短い場合、これは、外部ネットワークデバイスが同じドメイン名を有するＤＮＳ応答メッセージを頻繁に送信していることを示す。換言すると、同じドメイン名を有するＤＮＳ応答メッセージの外部ネットワークデバイスによる送信頻度は極めて高い。この場合、限られた数のドメイン名または同じドメイン名を有するＤＮＳ応答メッセージを頻繁に送信する攻撃方式を通じて、外部ネットワークデバイスが内部ネットワークデバイスを攻撃している可能性がある。したがって、除外デバイスは対象のＤＮＳ応答メッセージを破棄し、内部ネットワークデバイスを攻撃から保護する。
【００６８】
Ｓ３０４では、対象のＤＮＳ応答メッセージを破棄する。
【００６９】
Ｓ３０５では、対象のＤＮＳ応答メッセージを内部ネットワークデバイスに送信する。
【００７０】
第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短い場合、これは、対象のＤＮＳ応答メッセージが現在の時点で正常な外部ネットワークデバイスによって送信されたＤＮＳ応答メッセージであることを示す。したがって、ＤＮＳ応答メッセージは内部ネットワークデバイスに送信される。
【００７１】
図２及び図３の実施形態が使用する動的なホワイトリスト内のＩＰアドレスは、現在の時点でのみ侵入目的のないデバイスを表す。したがって、動的なホワイトリストを更新するには、動的なホワイトリスト内のＩＰアドレスが侵入目的のデバイスに変化したかどうかを定期的に検証する必要がある。具体的には、以下の手法を使用し得る。
【００７２】
動的なホワイトリスト内の本物のソースからＤＮＳ応答攻撃を開始する第３の方法は、定期的に変化する比較的多数のドメイン名を有するＤＮＳ応答メッセージを送信することである場合があり、同じドメイン名を攻撃するメッセージ間の時間差は１秒より長くなる。この場合、上記の２つの所定条件ではこのタイプの侵入目的のＤＮＳ応答メッセージを除外できない。したがって、第３の攻撃方法を解決するには以下の方法を使用する。
【００７３】
図２及び図３に示す実施形態を基に、本願が提供する実施形態は、外部ネットワークデバイスによって送信されるＤＮＳ応答メッセージに対して、ＤＮＳ応答メッセージを受信した後、ＤＮＳ応答メッセージ内のドメイン名に対する過去のドメイン名の記録を検索し、ＤＮＳ応答メッセージ内のドメイン名が過去のドメイン名の記録に見つかった場合（これは、ドメイン名がヒットしたことを示す）に、ドメイン名のヒット率を１つ増加させる除外デバイスをさらに含み、ここで、各ドメイン名のヒット率の初期値は０である。したがって、外部ネットワークデバイスによって送信された全てのドメイン名及び各ドメイン名のそれぞれの合計ヒット率が過去のドメイン名の記録に記録される。
【００７４】
本願は所定のヒット率を設定し、このヒット率は少なくとも３である。これは、正常なＤＮＳ応答メッセージは、正常な状況下において、同じドメイン名を有するＤＮＳ応答メッセージを最大でも２つ送信するためである。ドメイン名に対応するＤＮＳ応答メッセージのヒット率が所定のヒット率を超過すると、これは、ＤＮＳ応答メッセージを内部ネットワークデバイスに送信するために、このドメイン名が頻繁に使用されていることを示す。したがって、このドメイン名は、内部ネットワークデバイスを攻撃するための攻撃用ドメイン名とみなすことができる。
【００７５】
図２及び図３に示す実施形態を基に、除外デバイスは、図４に示すような以下の動作を定期的に行う。
【００７６】
Ｓ４０１では、外部ネットワークデバイスのソースアドレスに対応する過去のドメイン名の記録を基に、所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算し、ここで、過去のドメイン名の記録は、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージ内の、全てのドメイン名と各ドメイン名に関連付けられたそれぞれのヒット率とを含む。
【００７７】
所定数より大きいヒット率を有するドメイン名の数（第１の数）は、過去のドメイン名の記録からカウントされる。これを行う目的は、外部ネットワークデバイスによって送信された攻撃用ドメイン名の数をカウントすることである。外部ネットワークデバイスによって送信されたドメイン名の合計数（第２の数）もカウントされる。第１の数と第２の数との間の比率を計算し、外部ネットワークデバイスによって送信された、攻撃用ドメイン名と全てのドメイン名との間の比率を決定する。
【００７８】
Ｓ４０２では、比率が所定の比率より大きいかどうかを判定し、大きい場合はＳ４０３に進み、大きくない場合は他の処理を行う。
【００７９】
本願では、所定の比率を０．５などに設定する場合があるが、これは、正常な状況下での全てのドメイン名の中の攻撃用ドメイン名の割合を表すために使用する。
【００８０】
Ｓ４０３では、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除する。
【００８１】
Ｓ４０１で、計算した比率が所定の比率より大きい場合、これは、外部ネットワークデバイスが攻撃用ドメイン名（複数可）を含むＤＮＳ応答メッセージを頻繁に送信していることを示す。換言すると、外部ネットワークデバイスは侵入目的の外部ネットワークデバイスに変化したということである。したがって、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除する。
【００８２】
Ｓ４０４では、外部ネットワークデバイスのソースアドレスを動的なブラックリストに追加する。
【００８３】
動的なホワイトリスト内の侵入目的の外部ネットワークデバイスのソースアドレスは、動的なブラックリストに追加され、これにより、外部ネットワークデバイスがＤＮＳ応答メッセージを再度送信する際、外部ネットワークデバイスによって送信されたＤＮＳ応答メッセージは破棄される。ゆえに、内部ネットワークデバイスを攻撃から保護できる。
【００８４】
図４に示す実施形態は、外部ネットワークデバイスによって送信された対象のＤＮＳ応答メッセージに侵入目的があるかどうかを判定するために、対象のＤＮＳ応答メッセージ内の対象のドメイン名を起点として使用しており、これにより、動的なホワイトリストを更新するという目的を達成できる。ドメイン名を使用する方法以外に、本願は、動的なホワイトリストを更新するために、スループットを使用する方法も提供する。
【００８５】
具体的には、ＤＮＳ応答メッセージは外部ネットワークデバイスのソースアドレスから送信されており、ソースアドレスは動的なホワイトリストに含まれている。ＤＮＳ応答メッセージのスループット値は、過去のＤＮＳ応答メッセージのスループット値に追加される。過去のＤＮＳ応答メッセージのスループット値の初期値は０である。これを行う目的は、外部ネットワークデバイスによって送信されるＤＮＳ応答メッセージのスループット値を継続的に計算することである。
【００８６】
この場合、所定条件は、対象のＤＮＳ応答メッセージのスループット値と、過去のＤＮＳ応答メッセージのスループット値との合計スループット値が所定のスループット値より大きいことをさらに含み、ここで、過去のＤＮＳ応答メッセージは、対象のＤＮＳ応答メッセージが送信される前の、外部ネットワークデバイスによって送信された全てのＤＮＳ応答メッセージである。
【００８７】
本願は、所定のスループット値を設定しており、これは、ある期間内に外部ネットワークデバイスによって送信された合計スループット値を表すために使用される。ある期間内に外部ネットワークデバイスによって送信されたＤＮＳ応答メッセージのスループット値が所定のスループット値より大きいことは、外部ネットワークデバイスが頻繁にＤＮＳ応答メッセージを送信していることを意味する。この場合、これは、動的なホワイトリスト内の外部ネットワークデバイスが侵入目的の外部ネットワークデバイスに変化したことを表す。したがって、合計スループット値が所定のスループット値より大きい場合、ソースアドレスは動的なホワイトリストから削除され、ソースアドレスは動的なブラックリストに追加される。
【００８８】
本物のソースからＤＮＳ応答攻撃を開始する第３の手法（定期的に変化する多数のドメイン名を有するＤＮＳ応答メッセージの送信であり、同じドメイン名を攻撃するメッセージ間の時間差が１秒より長い）に関して、図２及び図３に示す実施形態はこのＤＮＳ応答メッセージを除外し損なうが、外部ネットワークデバイスによって送信された合計スループット値を定期的に検証すること、または攻撃を受けるドメイン名に関連付けられた所定の比率より大きいヒット率を使用することで、外部ネットワークデバイスが侵入目的の外部ネットワークデバイスかどうかを判定することができる。デバイスが侵入目的の場合、外部ネットワークデバイスのソースアドレスは動的なブラックリストに追加され、これにより、外部ネットワークデバイスがメッセージを再度送信する際、ＤＮＳ応答メッセージをすぐに破棄することができる。
【００８９】
本願が提供するネットワーク攻撃の防止方法の第３の実施形態を以降に説明する。図５に示す通り、方法は動作Ｓ５０１〜Ｓ５０４を含む。
【００９０】
Ｓ５０１では、内部ネットワークデバイス宛の外部ネットワークデバイスによって送信される対象のＤＮＳ応答メッセージを受信する。
【００９１】
Ｓ５０２では、動的なブラックリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含むかどうかを判定し、含む場合はＳ５１２に進み、含まない場合はＳ５０３に進む。
【００９２】
外部ネットワークデバイスから送信されるＤＮＳ応答メッセージを受信した後、除外デバイスは、メッセージの宛先アドレス（ＩＰアドレス）を基に、宛先アドレスに対応する内部ネットワークデバイスが防御状態にあるかどうかの問い合わせを行う。内部ネットワークデバイスが防御状態にある場合、本実施形態の処理を行うことができる。
【００９３】
動的なブラックリストは、侵入目的の外部ネットワークデバイスのソースアドレスを記憶する。外部ネットワークデバイスのソースアドレスが動的なブラックリスト内に見つかった場合、対象のＤＮＳ応答メッセージは侵入目的のメッセージであると判定される。この場合、対象のＤＮＳ応答メッセージは破棄される。
【００９４】
Ｓ５０３では、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含むかどうかを判定し、含む場合はＳ５０８及びＳ５１４に進み、含まない場合はＳ５０４に進む。
【００９５】
Ｓ５０４では、特別なドメイン名を含むＤＮＳ要求メッセージをプローブメッセージとして外部ネットワークデバイスに送信する。
【００９６】
除外デバイスは、外部ネットワークデバイスに送信するためのプローブメッセージとしてＤＮＳ要求メッセージを作成する。ＤＮＳ要求メッセージ内のドメイン名は、対象のＤＮＳ応答メッセージ内の５つ組情報及びドメイン名情報からハッシュ法を通じて作成することができ、作成されたドメイン名は確実に現在のネットワークには存在しないドメイン名となる。
【００９７】
Ｓ５０５では、外部ネットワークデバイスによって返送された特別なドメイン名を含むＤＮＳ応答メッセージを除外デバイスが受信するかどうかを判定し、受信する場合にはＳ５０６に進み、受信しない場合にはＳ５０７に進む。
【００９８】
外部ネットワークデバイスによって再度送信されたＤＮＳ応答メッセージを受信した後、除外デバイスはメッセージ内のドメイン名がＳ５０４で作成されたものであるかどうかを検証する。正常な外部ネットワークデバイスは、ＤＮＳ要求メッセージを受信した場合、ＤＮＳ要求メッセージを基に生成されたＤＮＳ応答メッセージにドメイン名を追加することになる。したがって、再度受信されたＤＮＳ応答メッセージが特別なドメイン名を含む場合、これは、外部ネットワークデバイスが正常な外部ネットワークデバイスであることを示す。それ以外の場合、これは、外部ネットワークデバイスが侵入目的の外部ネットワークデバイスであることを示す。
【００９９】
Ｓ５０６では、外部ネットワークデバイスのＩＰアドレスを動的なホワイトリストに追加し、外部ネットワークデバイスのＩＰアドレスに対して過去のドメイン名の記録及びスループット監視テーブルを作成する。
【０１００】
Ｓ５０７では、外部ネットワークデバイスのＩＰアドレスを動的なブラックリストに追加する。
【０１０１】
Ｓ５０８では、対象のＤＮＳ応答メッセージが第１の所定条件を満たすかどうかを判定し、第１の所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていないことであり、第１の所定条件を満たさない場合にはＳ５０９に進み、第１の所定条件を満たす場合にはＳ５１１に進む。
【０１０２】
Ｓ５０９では、過去のドメイン名の記録内の対象のＤＮＳ応答メッセージの対象のドメイン名に関連付けられるヒット率を１つ増加させる。
【０１０３】
Ｓ５１０では、対象のＤＮＳ応答メッセージが第２の所定条件を満たすかどうかを判定し、第２の所定条件は、外部ネットワークデバイスが対象のドメイン名へのアクセスのために開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことであり、第２の所定条件を満たさない場合にはＳ５１２に進み、第２の所定条件を満たす場合にはＳ５１３に進む。
【０１０４】
Ｓ５１１では、対象のドメイン名及び対象のドメイン名の送信時間を、外部ネットワークデバイスに関連付けられている過去のドメイン名の記録に追加し、対象のドメイン名のヒット率を１に設定する。
【０１０５】
Ｓ５１２では、対象のＤＮＳ応答メッセージを破棄する。
【０１０６】
Ｓ５１３では、対象のＤＮＳ応答メッセージを内部ネットワークデバイスに送信する。
【０１０７】
Ｓ５１４では、対象のＤＮＳ応答メッセージのスループット値をスループット監視テーブルに追加する。
【０１０８】
Ｓ５１５では、スループット監視テーブルのスループット値が所定のスループット値より大きい場合、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除し、外部ネットワークデバイスのソースアドレスを動的なブラックリストに追加する。
【０１０９】
Ｓ５１６では、所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算する。
【０１１０】
Ｓ５１７では、比率が所定の比率より大きい場合、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除し、外部ネットワークデバイスのソースアドレスを動的なブラックリストに追加する。
【０１１１】
図５に示す実施形態を使用すると、全タイプのＤＮＳ応答攻撃をフィルタリングすることができる。
【０１１２】
Ｓ５０３で動的なホワイトリストを使用する方法は、偽のソースからのＤＮＳ応答攻撃をフィルタリングすることができる。Ｓ５０８の動作（ドメイン名の第１のパケット破棄メカニズム）は、本物のソースからのＤＮＳ応答攻撃である第１の手法（攻撃メッセージのドメイン名がランダムに変化する）をフィルタリングすることができる。Ｓ５１０での動作の判定は、本物のソースからのＤＮＳ応答攻撃である第２の手法（攻撃メッセージのドメイン名の数は限られているか、または不変）をフィルタリングすることができる。Ｓ５１５〜Ｓ５１７の動作は、本物のソースからのＤＮＳ応答攻撃である第３の手法（攻撃メッセージの多数のドメイン名は定期的に変化し、同じドメイン名を攻撃するメッセージ間の時間差は１秒より長い）をフィルタリングすることができる。
【０１１３】
これに応じて、本願は全タイプのＤＮＳ応答攻撃をフィルタリングすることができ、これにより、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を軽減できる。
【０１１４】
本願が提供するネットワーク攻撃の防止方法に対応して、本願はさらにネットワーク攻撃の防止装置を提供する。図６に示す通り、装置は、内部ネットワークデバイス宛であり外部ネットワークデバイスから送信される対象のＤＮＳ応答メッセージを受信するために使用される受信ユニット６１と、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む状況において、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定するために使用される判定ユニット６２と、対象のＤＮＳ応答メッセージが所定条件を満たす場合に対象のＤＮＳ応答メッセージを破棄するために使用される第１の破棄ユニット６３とを含み、ここで、所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。
【０１１５】
所定条件は、外部ネットワークデバイスが対象のドメイン名に対して開始した第１の送信時間と第２の送信時間との間の時間差が所定の時間差より短いことをさらに含み、ここで、第１の送信時間は対象のＤＮＳ応答メッセージの送信時間であり、第２の送信時間は第１の送信時間より前の、対象のドメイン名を含む最新のＤＮＳ応答メッセージの送信時間である。
【０１１６】
所定条件は、対象のＤＮＳ応答メッセージのスループット値と、過去のＤＮＳ応答メッセージのスループット値との合計スループット値が所定のスループット値より大きいことをさらに含み、ここで、過去のＤＮＳ応答メッセージは、対象のＤＮＳ応答メッセージが送信される前の、外部ネットワークデバイスによって送信された全てのＤＮＳ応答メッセージである。
【０１１７】
図７に示す通り、本願はさらにネットワーク攻撃の防止装置を提供し、これは、時間差が所定の時間差以上である場合に、対象のＤＮＳ応答メッセージを内部ネットワークデバイスに送信するために使用される送信ユニット６４と、対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていない場合、ドメイン名及び対象のＤＮＳ応答メッセージの送信時間を過去のドメイン名の記録に記憶するために使用される記憶ユニット６５と、所定数より大きいヒット率を有するドメイン名の数と、ドメイン名の合計数との間の比率を計算するために使用される比率計算ユニット６６であり、ここで、過去のドメイン名の記録は、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージ内の全てのドメイン名及びドメイン名のそれぞれのヒット率を含む、比率計算ユニット６６と、比率が所定の比率より大きい場合、外部ネットワークデバイスのソースアドレスを動的なホワイトリストから削除するために使用される第１の削除ユニット６７と、外部ネットワークデバイスのソースアドレスを動的なブラックリストに追加するために使用される第１の追加ユニット６８と、ＤＮＳ応答メッセージを受信した後、ＤＮＳ応答メッセージのドメイン名を過去のドメイン名の記録内に見つけ、ドメイン名のヒット率を１つ増加させるために使用されるヒット率計算ユニット６９であり、ここで、各ドメイン名のヒット率の初期値は０であるヒット率計算ユニット６９とをさらに含む。
【０１１８】
上記の内容から分かる通り、本願は以下の有益な効果を有する。
【０１１９】
対象のＤＮＳ応答メッセージ内のソースアドレスが動的なホワイトリストに含まれていると判定した後、本願の実施形態は、対象のＤＮＳ応答メッセージを開始する外部ネットワークデバイスが偽のソースではなく本物のソースであるかどうかを判定することができる。本物のソースからＤＮＳ応答攻撃を開始するタイプは、内部ネットワークデバイスを攻撃するために、異なるドメイン名を含むＤＮＳ応答メッセージを頻繁に送信する。したがって、本願は過去のドメイン名の記録を設定し、この中に外部ネットワークデバイスによって送信された全てのドメイン名を記録する。
【０１２０】
対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていない場合、これは、外部ネットワークデバイスが対象のドメイン名を有するＤＮＳ応答メッセージを初めて送信することを示す。この場合、対象のＤＮＳ応答メッセージは、外部ネットワークデバイスが異なるドメイン名の手法を使用して開始したＤＮＳ応答攻撃であり得る。内部ネットワークデバイスへの攻撃を防止するために、対象のＤＮＳ応答メッセージは破棄される。
【０１２１】
正常な外部ネットワークデバイスは自動再送メカニズムを備えているため、正常な外部ネットワークデバイスによって送信されたＤＮＳ応答メッセージが破棄される場合、正常な外部ネットワークデバイスは新しい対象のＤＮＳ応答メッセージを再送し、これにより、内部ネットワークデバイスへの正常なＤＮＳ応答メッセージの送信は影響を受けない。しかしながら、侵入目的の外部ネットワークデバイスはこの再送メカニズムを備えていない。したがって、本願は、異なるドメイン名の手法を使用して本物のソースから内部デバイスを攻撃するＤＮＳ応答メッセージを除外することができる。これにより、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を軽減できる。
【０１２２】
図８に示す通り、本願はさらにネットワーク攻撃の防止装置を提供し、装置は、ＤＮＳ応答メッセージが外部ネットワークデバイスのソースアドレスから送信された後、ＤＮＳ応答メッセージのスループット値を、過去のＤＮＳ応答メッセージのスループット値に追加するために使用されるスループット計算ユニット７１であり、過去のＤＮＳ応答メッセージのスループット値の初期値が０であるスループット計算ユニット７１と、合計スループット値が所定のスループット値より大きい場合、ソースアドレスを動的なホワイトリストから削除するために使用される第２の削除ユニット７２と、ソースアドレスを動的なブラックリストに追加するために使用される第２の追加ユニット７３と、動的なブラックリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む場合、対象のＤＮＳ応答メッセージを破棄するために使用される第２の破棄ユニット７４とをさらに含む。
【０１２３】
図１を参照すると、本願はネットワーク攻撃の防止システムを提供し、システムは、外部ネットワークデバイス１００、ルーティングデバイス２００、除外デバイス４００及び内部ネットワークデバイス３００を含む。
【０１２４】
外部ネットワークデバイス１００は、内部ネットワークデバイス３００宛の対象のＤＮＳ応答メッセージを除外デバイス４００に送信するために使用される。
【０１２５】
除外デバイス４００は、内部ネットワークデバイス宛の対象のＤＮＳ応答メッセージを外部ネットワークデバイスから受信し、動的なホワイトリストが対象のＤＮＳ応答メッセージ内のソースアドレスを含む場合、対象のＤＮＳ応答メッセージが所定条件を満たすかどうかを判定し、対象のＤＮＳ応答メッセージが所定条件を満たす場合に対象のＤＮＳ応答メッセージを破棄するために使用され、ここで、所定条件は、対象のＤＮＳ応答メッセージ内の対象のドメインが過去のドメインの記録に含まれていないことを少なくとも含み、過去のドメイン名の記録内の過去のドメイン名のそれぞれは、外部ネットワークデバイスによって送信された過去のＤＮＳ応答メッセージから抽出される。
【０１２６】
内部ネットワークデバイス３００は、除外後のＤＮＳ応答メッセージ（複数可）を除外デバイスから受信するために使用される。
【０１２７】
本システムは、以下の有益な効果を有する。
【０１２８】
対象のＤＮＳ応答メッセージ内のソースアドレスが動的なホワイトリストに含まれていると判定した後、本願の実施形態は、対象のＤＮＳ応答メッセージを開始する外部ネットワークデバイスが偽のソースではなく本物のソースであるかどうかを判定することができる。本物のソースからＤＮＳ応答攻撃を開始するタイプは、内部ネットワークデバイスを攻撃するために、異なるドメイン名を含むＤＮＳ応答メッセージを頻繁に送信する。したがって、本願は過去のドメイン名の記録を設定し、この中に外部ネットワークデバイスによって送信された全てのドメイン名を記録する。
【０１２９】
対象のＤＮＳ応答メッセージ内の対象のドメイン名が過去のドメイン名の記録に含まれていない場合、これは、外部ネットワークデバイスが対象のドメイン名を有するＤＮＳ応答メッセージを初めて送信することを示す。この場合、対象のＤＮＳ応答メッセージは、外部ネットワークデバイスが異なるドメイン名の手法を使用して開始したＤＮＳ応答攻撃であり得る。内部ネットワークデバイスへの攻撃を防止するために、対象のＤＮＳ応答メッセージは破棄される。
【０１３０】
正常な外部ネットワークデバイスは自動再送メカニズムを有するため、正常な外部ネットワークデバイスによって送信されたＤＮＳ応答メッセージが破棄される場合、正常な外部ネットワークデバイスは新しい対象のＤＮＳ応答メッセージを再送し、これにより、正常なＤＮＳ応答メッセージの内部ネットワークデバイスへの送信は影響を受けない。しかしながら、侵入目的の外部ネットワークデバイスはこの再送メカニズムを備えていない。したがって、本願は、異なるドメイン名の手法を使用して本物のソースから内部デバイスを攻撃するＤＮＳ応答メッセージを除外することができる。これにより、ＤＮＳ応答攻撃が引き起こすサービス及びネットワークへの影響を軽減できる。
【０１３１】
実施形態方法に説明した機能は、ソフトウェア機能ユニット（複数可）の形態で実装されている場合、計算デバイスが読み取り可能な記憶媒体に記憶することができ、独立した製品として使用または販売される。この理解に基づいて、既存の技術または技術的解決策の部分に寄与する本願の実施形態の部分は、ソフトウェア製品の形態で実装することができる。ソフトウェア製品は記憶媒体に記憶され、計算デバイス（パーソナルコンピュータ、サーバ、モバイル計算デバイスまたはネットワークデバイスなどであってよい）に本願の各実施形態で説明した方法の全てまたは一部を実行させるための命令を含む。記憶媒体は、プログラムモードを記憶できる様々なタイプの媒体を含み、例えば、Ｕディスク、可動式ハードドライブ、読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、磁気ディスクまたは光学ディスクなどである。
【０１３２】
本願の実施形態は、進歩的な方式で説明されている。相互に異なる焦点を有する実施形態は、実施形態の同一または類似部分に対して参照することができる。
【０１３３】
上記の開示された実施形態の説明により、当業者は本願を実施及び使用することができる。当業者にはこれらの実施形態に対する多数の様々な変更形態が明らかである。本明細書に定義される一般原則は、本願の精神及び範囲から逸脱することなく、他の実施形態で実装することができる。したがって、本願は、本明細書に説明したこれらの実施形態に制限されることなく、本明細書に開示した原則及び新規機能に矛盾しない広範囲で実現される。
【図１】
2018525924.tif 000003
【図２】
2018525924.tif 000004
【図３】
2018525924.tif 000005
【図４】
2018525924.tif 000006
【図５】
2018525924.tif 000007
【図６】
2018525924.tif 000008
【図７】
2018525924.tif 000009
【図８】
2018525924.tif 000010
【手続補正書】
【提出日】平成30年4月10日(2018.4.10)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
関連出願の相互参照
本願は、「Ｎｅｔｗｏｒｋ  Ａｔｔａｃｋ  Ｐｒｅｖｅｎｔｉｏｎ  Ｍｅｔｈｏｄ，  Ａｐｐａｒａｔｕｓ  ａｎｄ  Ｓｙｓｔｅｍ」を名称とする、２０１５年８月１３日出願の中国特許出願第２０１５１０４９７２２６．１号の優先権を主張し、参照によりその全体が本明細書に組み込まれる。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００５９
【補正方法】変更
【補正の内容】
【００５９】
本願が提供するネットワーク攻撃の防止方法の第２の実施形態を以下に説明する。図３に示す通り、方法は動作Ｓ３０１〜Ｓ３０５を含む。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００８９
【補正方法】変更
【補正の内容】
【００８９】
本願が提供するネットワーク攻撃の防止方法の第３の実施形態を以降に説明する。図５に示す通り、方法は動作Ｓ５０１〜Ｓ５１７を含む。
【国際調査報告】
2018525924.tif 000011
2018525924.tif 000012
2018525924.tif 000013
2018525924.tif 000014