(57)【特許請求の範囲】
【請求項１】
ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、セッションを制御するセッション制御装置（以下、ＣＡ）に対し、ある攻撃元から機械的に連続送信してＣＡを高負荷にさせ、攻撃元以外の端末のセッション制御処理を不能にさせるＤoＳ（Ｄenial  of  Ｓervice）攻撃におけるＤoＳ攻撃元検出方法であって、
前記ＣＡに対するＩＰアドレス毎の所定監視期間の端末登録信号または／およびセッション確立要求信号数を第１カウンタによりカウントするステップと、
前記ＣＡに対する端末登録信号または／およびセッション確立要求信号数を第２カウンタによりカウントし、所定監視期間中に予め定めた閾値を超えた場合に第３カウンタを起動するステップと、
前記ＣＡに対するＩＰアドレス毎の、前記第１カウンタの監視期間よりも長い所定監視期間の端末登録信号または／およびセッション確立要求信号数を前記第３カウンタによりカウントするステップと、
前記第１カウンタおよび第３カウンタのいずれかで閾値以上（但し、第１カウンタの閾値＞第３カウンタの閾値）になったＩＰアドレス元をＤoＳ攻撃元と判断するステップと、
を有することを特徴とするＤoＳ攻撃元検出方法。
【請求項２】
請求項１に記載のＤoＳ攻撃元検出方法において、
前記第３カウンタを起動してからＤoＳ攻撃元を検出するまでの間、セッション確立要求信号の総数を制限するステップを更に有することを特徴とするＤoＳ攻撃元検出方法。
【請求項３】
請求項１もしくは２に記載のＤoＳ攻撃元検出方法において、
前記ＣＡに対するＩＰアドレス毎の所定監視期間のフォーマットやパラメータチェックが不正な信号数を第４カウンタによりカウントするステップを更に有し、
前記第１カウンタ、第３カウンタ、第４カウンタのいずれかのカウンタで閾値以上になったＩＰアドレス元をＤoＳ攻撃元と判断することを特徴とするＤoＳ攻撃元検出方法。
【請求項４】
ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、ＣＡに対し、ある攻撃元から機械的に連続送信してＣＡを高負荷にさせ、攻撃元以外の端末のセッション制御処理を不能にさせるＤoＳ攻撃におけるＤoＳ攻撃元検出方法であって、
前記ＣＡに入力される端末登録信号またはおよびセッション確率要求信号のフォーマットおよびパラメータの異常をチェックするステップと、
前記チェックで異常が検出されなかった場合、前記ＣＡに対するＩＰアドレス毎の所定監視期間の端末登録信号または／およびセッション確率要求信号数を第１カウンタによりカウントするステップと、
前記第１カウンタのカウント値が各ＩＰアドレスについて予め定めた閾値以下の場合、前記ＣＡに対する端末登録信号または／およびセッション確率要求信号数を第２カウンタによりカウントするステップと、
前記チェックで異常が検出された場合、前記ＣＡに対するＩＰアドレス毎の所定監視期間の前記フォーマットやパラメータが異常の不正な信号数を第４カウンタによりカウントするステップと、
前記第２カウンタのカウント値が所定監視期間中に予め定めた閾値以下であれば所定の呼処理を実行し、閾値を超えた場合、セッション確率要求信号の総数を制限するステップと、
前記第４カウンタのカウント値が予め定めた閾値以下の場合、当該不正な端末登録信号または／およびセッション確立要求信号のパケットを廃棄するステップと、
前記第１カウンタおよび第４カウンタのいずれかでのカウント値が閾値以上になった場合、前記閾値以上になったＩＰアドレス元をＤｏｓ攻撃元と判断し、当該ＩＰアドレスに対してロックアウト処理を行うステップと、
を有することを特徴とするＤoＳ攻撃元検出方法。
【請求項５】
請求項１ないし４のいずれか１項に記載のＤoＳ攻撃元検出方法を実現する機能を備えることを特徴とするセッション制御装置。
【請求項６】
請求項５に記載のセッション制御装置の機能をコンピュータで実行するためのプログラム。
【請求項７】
請求項５に記載のセッション制御装置の機能をコンピュータで実行するためのプログラムを記録した記録媒体。
【請求項８】
請求項１乃至４のいずれか１項に記載のＤoＳ攻撃元検出方法においてＤoＳ攻撃を検出した際に、
ＣＡがセッション制御中のサービスはそのまま処理を継続し、新規のセッション接続要求または端末登録要求はパケット廃棄により拒否するロックアウト処理を行うとともに、ＤoＳ攻撃元のＩＰアドレス情報をルータ制御装置（以下、ルータＯpＳ）へ通知するステップと、
前記ルータＯpＳがＩＰアドレス情報からＤoＳ攻撃元を収容している加入者ルータを選択し、該加入者ルータに該ＤoＳ攻撃元からのパケットを廃棄するフィルタリング規制コマンドを配布するステップと、
前記加入者ルータがフィルタリング規制コマンドに従い、ＤoＳ攻撃元からのパケットを廃棄するステップと、
を有することを特徴とするＤoＳ攻撃阻止方法。
【請求項９】
請求項８記載のＤoＳ攻撃阻止方法を実現する機能を備えることを特徴とするルータ制御装置。
【請求項１０】
請求項９に記載のルータ制御装置の機能をコンピュータで実行するためのプログラム。
【請求項１１】
請求項９に記載のルータ制御装置の機能をコンピュータで実行するためのプログラムを記録した記録媒体。
【請求項１２】
請求項１ないし4のいずれか１項に記載のＤoＳ攻撃元検出方法においてＤoＳ攻撃を検出した際、
ＣＡが、セッション制御中のサービスはそのまま処理を継続し、新規のセッション接続要求または端末登録要求はパケット廃棄により拒否するロックアウト処理を行うとともに、ＤoＳ攻撃元のＩＰアドレス情報からＤoＳ攻撃元を収容している加入者ルータを選択し、該加入者ルータにＤoＳ攻撃元からのパケットを廃棄するフィルタリング規制コマンドを配布するステップと、
前記加入者ルータがフィルタリング規制コマンドに従いＤoＳ攻撃元からのパケットを廃棄するステップと、
を有することを特徴とするＤoＳ攻撃阻止方法。
【請求項１３】
請求項１２に記載のＤoＳ攻撃阻止方法を実現する機能を備えることを特徴とするセッション制御装置。
【請求項１４】
請求項１３に記載のセッション制御装置の機能をコンピュータで実現するためのプログラム。
【請求項１５】
請求項１３に記載のセッション制御装置の機能をコンピュータで実現するためのプログラムを記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、端末などのある攻撃元からセッション制御を司どるセッション制御装置（ＣＡ：Ｃontrol Ａgent）に機械的に連続してサービス等を要求などすることによりＣＡを高負荷にさせ、攻撃元以外の端末のサービスを不能にさせるいわゆる
ＤoＳ（Ｄenial of Ｓervice）攻撃への対策技術、サイバーテロ防止対策技術に関する。
【０００２】
【従来の技術】
近年、ＩＰ網をコア網としたベアラ・制御分離型のネットワークが提唱されている。これはＩＰ網をコア網とし、制御網はセッション制御・端末制御を行うＣＡで構成し、端末間の制御信号の送受信は必ずＣＡを介して行い、ベアラ網は端末を収容する加入者ルータ及び端末間の音声または画像等のベアラ信号を中継する中継ルータから構成し、セッション確立後の端末間のベアラ信号の送受信はＣＡを介さずにベアラ網で中継する形で行う方式である。ここではＶoＩＰ（Ｖoice Ｏver ＩＰ）の場合を例にするが。ＣＡのセッション制御により端末間で画像通信を行う場合もＶoＩＰと同様である。
【０００３】
ベアラ・制御（ＶoＩＰでは呼制御）分離型のネットワークにおいて、ある特定の端末などの攻撃元からＣＡに機械的に大量のパケットを送信し続けることによりＣＡで攻撃元以外の端末の呼処理制御能力を不能に陥らせる行為（ＤoＳ攻撃）の対策には、ＤoＳ攻撃元を検出する方法とＤoＳ攻撃元を規制する方法に大別される。
【０００４】
ＤoＳ攻撃元を検出する方法については、従来、ＣＡ内で１端末あたりの単位時間あたりの発呼信号数または端末登録信号数をカウントする１種類のカウンタを用い、閾値以上のものを攻撃元とする方法が提案されている（例えば非特許文献１参照）。この方法の場合、単独攻撃元からのＤoＳ攻撃（single ＤoＳ攻撃）は検出できるが、複数の攻撃元からＤoＳ攻撃するＤＤoＳ攻撃（ＤistributedＤoＳ攻撃）の場合、１つの攻撃元あたりの送出頻度が閾値以下の場合は、攻撃元全体での送出頻度が閾値以上であっても検出できない。また、ＤＤoＳ攻撃はイベントによるアクセス集中（例：人気イベントのチケット予約）するケースとＤＤoＳ攻撃と区別がつきづらいため、イベントのためにアクセスをしている全ユーザをＤＤoＳ攻撃元と見なしてしまう恐れがある。
【０００５】
さらに従来では信号のフォーマットやパラメータに異常のある信号によるＤＳ攻撃を検出するカウンタはないため、このような攻撃を検出することはできなかった。
【０００６】
一方、ＤoＳ攻撃元を規制する方法については、従来、ＣＡにパケットが入ってくる前にファイヤウォールでＤoＳ攻撃を検出しパケット廃棄を行う方法が提案されている（例えば非特許文献２参照）。しかし、ファイヤウォールは信号の中身は見ずに廃棄するので、呼接続途中の信号を廃棄した場合は、ＣＡで接続処理が完全に終了せずメモリ・リークを起す恐れがある。
【０００７】
【非特許文献１】
寺山尚宏  外１名、「ＩＰテレフォニー提供時の輻輳制御方式」、
電子情報通信学会ネットワークシステム研究会技術研究報告、
ＮＳ2001−142、P．7−12、2001年11月14日発行
【非特許文献２】
NTTコミュニケーションズNews Release、OCN ADSLサービス（A）における
「パーソナルファイアウォールサービス」の提供について、2002年7月24日掲載、インターネット＜URL：http：//www.ntt.com/release/2002NEWS/0007    /0724.html＞
【０００８】
【発明が解決しようとする課題】
本発明の目的は、ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、ＣＡにてイベントによるアクセス集中とＤＤoＳ攻撃を区別し、ＤＤoＳ攻撃だけを検出する方法及びフォーマットやパラメータが異常な不正信号によるＤoＳ攻撃元を検出する方法、そのＣＡ並びにプログラム、記録媒体を提供することにある。
【０００９】
また、本発明のもう一つの目的は、ＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、ＣＡにＤoＳ攻撃のパケットが侵入することを防ぎ、且つ、ＣＡでメモリ・リークを起さない規制方法、そのルータＯpＳ及びＣＡ並びにプログラム、記録媒体を提供することにある。
【００１０】
【課題を解決するための手段】
本発明は、ＣＡ内において、単独攻撃元からのＤoＳ攻撃を検出するカウンタ（Ｓingle ＤoＳカウンタ）と複数攻撃元からのＤoＳ攻撃を検出するカウンタ（ＤＤoＳカウンタ）及びフォーマットやパラメータが異常な不正信号によるＤoＳ攻撃を検出する不正信号カウンタの３つを設置し、ＤＤoＳカウンタは、ＳingleＤoＳカウンタより、監視周期を長くとり且つ、閾値をＳingle ＤoＳカウンタより低くすることを主要な特徴とする。この特徴により、様々なタイプのＤoＳ攻撃に対応可能となる。
【００１１】
なお、検出機能は一部縮退するが、場合によっては不正信号カウンタは省略してもよく、あるいは不正信号カウンタとＳingle  ＤoＳカウンタとＣＡに入ってくる単位時間あたりの総呼数をカウントする呼量カウンタとの組み合わせとすることも可能である。
【００１２】
また、本発明は、ＤＤoＳカウンタでＤＤoＳ攻撃を検出するまでの期間は、呼量規制（単位時間あたりのＣＡに入ってくる総呼数を制限する規制）を掛けることによりＣＡを保護し、さらに対象とする信号はＣＡ（サーバ）が提供するサービスにおけるサービスへの登録信号および／もしくはサービスの開始要求信号に限定することを特徴とする。この特徴により、ＣＡの保護が可能となると共に、サービスの途中でのパケット廃棄を避けることができるようになる。
【００１３】
また、本発明は、Ｓingle ＤoＳカウンタ、ＤＤoＳカウンタおよび不正信号カウンタでＤoＳ攻撃を検出した後は、ＣＡでのロックアウト処理をするだけではなく、さらに攻撃元のＩＰアドレスの情報を攻撃元を収容する加入者ルータに通知し、加入者ルータでＩＰアドレスフィルタリング（該当ＩＰアドレスからのパケットを廃棄する規制）を行うことを特徴とする。この特徴により、ＣＡに
ＤoＳ攻撃のパケットが進入することを未然に防止できる。
【００１４】
【発明の実施の形態】
以下、本発明の一実施の形態について図面を用いて説明する。以下では音声サービス（ＶｏＩＰ）の場合を例に説明するが、ＣＡのセッション制御により端末間で画像通信を行う場合も同様である。
【００１５】
＜ネットワーク構成＞
図１は本発明で前提とするＩＰ網をコア網としたベアラ・制御分離型のネットワークの概念図である。先に述べたように、ＩＰ網をコア網としたベアラ・制御（ＶｏＩＰでは呼制御）分離型のネットワークでは、制御網１は、セッション制御・端末制御を行うセッション制御装置（ＣＡ：Ｃontrol Ａgent）１０で構成され、端末１１、１２間の制御信号の送受信は、必ずＣＡ１０を介して行われる。一方、ベアラ網２は、端末１１、１２を収容する加入者ルータ１３、１４及びベアラ信号（ＶｏＩＰでは音声信号）を中継する中継ルータ１５、１６から構成され、セッション確立後の端末１１、１２間のベアラ信号の送受信は、ＣＡ１０を介さずに、ベアラ網２で中継する形で行われる。
【００１６】
このようなＩＰ網をコア網としたベアラ・制御分離型のネットワークにおいて、セッションを制御するＣＡ１０に対し、単一あるいは複数の端末などの攻撃元から機械的に連続してサービス等を要求などした場合、ＣＡ１０は高負荷となり、攻撃元以外の例えば端末１１、１２のサービス制御（セッション制御処理）が不能になる。
【００１７】
以下に、本発明によるＤoＳ攻撃元検出方法及びＤoＳ攻撃阻止方法の具体的な実施例について詳述する。
【００１８】
＜ＤoＳ攻撃元検出＞
図２は、本発明によるセッション制御装置（ＣＡ）の一実施例の構成図であり、特にＤoＳ攻撃検出に関係する部分のみを示す。図２において、不正信号カウンタ１０１はフォーマットやパラメータが異常な不正信号によるＤoＳ攻撃を検出するための第４のカウンタ、ＤoＳカウンタ１０２は単独攻撃元からのＤoＳ攻撃を検出するための第１のカウンタ（Ｓingle ＤoＳカウンタ）、呼量カウンタ１０３はＣＡ１０に入ってくる単位時間あたりの総呼数をカウントする第２のカウンタ、ＤＤoＳカウンタ１０４は複数攻撃元からのＤoＳ攻撃を検出するための第３のカウンタ（Ｄistributed ＤoＳカウンタ）である。ここで、不正信号カウンタ１０１、ＤoＳカウンタ１０２及びＤＤoＳカウンタ１０４はＩＰアドレス毎に用意する。また、ＤoＳカウンタ１０２の監視期間をｔ1、閾値をｖ１、ＤＤoＳカウンタ１０４の監視期間をｔ2、閾値をｖ２とした場合、ｔ1＜ｔ2、ｖ１＞ｖ２としておく。
【００１９】
信号フォーマット・パラメータチェック部１０５は、ＣＡ１０に入ってきた信号のフォーマット及びパラメータのチェックを行う処理部である。パケット廃棄部１０６は、不正信号カウンタ１０１が所定閾値以下のＩＰアドレスに、該当する不正パケットの廃棄を行う処理部である。呼量規制処理部１０７は、呼量カウンタ１０３が所定閾値以上の場合、呼量規制（セッション確立要求信号等の総数を制限）を行う処理部である。ロックアウト処理部１０８は、不正信号カウンタ１０１、ＤoＳカウンタ１０２及びＤＤoＳカウンタ１０４のいずれか一つでも、それが所定閾値以上のＩＰアドレスについて、該当ＩＰアドレスに対しロックアウトを行う処理部であり、ＩＰアドレス通知部１０９は、該当ＩＰアドレスを後述のルータ制御装置（ルータＯpＳ）に通知する処理部である。呼処理部１１０は、正規の呼について所定の処理を実行する処理部である。
【００２０】
上記各カウンタ１０１〜１０４及び各処理部１０５〜１１０の動作は、制御部１００により制御される。
【００２１】
図３は、ＣＡにおけるＤoＳ攻撃検出の処理フローチャートである。以下、図３に基づき図２の構成例のＣＡおける動作を説明する。
【００２２】
ＣＡ１０に入ってきた正規呼及びＤoＳ攻撃呼を含んだ全ての信号は、まず、信号フォーマット・パラメータチェック部１０５で信号のフォーマット及びパラメータのチェックを受ける（Ｓ１１、Ｓ１２）。ＮＧの場合は、不正信号カウンタ１０１において、ＩＰアドレスごとに単位時間あたりの不正信号数をカウントする（Ｓ１８）。ここで、ある閾値以上であれば、不正信号によるＤoＳ攻撃と見なし、ロックアウト処理部１０８にて該当ＩＰアドレスに対するロックアウト処理を行うとともに、ＩＰアドレス通知部１０９にて該当ＩＰアドレスを外部装置（例えば、後述のルータＯpＳ）に通知する（Ｓ１９、Ｓ２０）。また、閾値以下であれば、該当パケットの廃棄だけを行う（Ｓ１９、Ｓ２１）。
【００２３】
一方、信号フォーマット・パラメータチェック部１０５でＯＫの場合は、ＤoＳカウンタ１０２において、ＩＰアドレスごとに単位時間あたりの発呼信号（ＳＩＰの場合、INVITE信号）または端末登録信号（ＳＩＰの場合、REGISTER信号）の信号数をカウントする（Ｓ１３）。ここで、閾値以上のＩＰアドレスの場合は、単独攻撃元からのＤoＳ攻撃と見なし、ロックアウト処理部１０８にて該当ＩＰアドレスに対するロックアウと処理を行うとともに、ＩＰアドレス通知部１０９にて該当ＩＰアドレスを外部装置に通知する（Ｓ１４、Ｓ２０）。
【００２４】
ＤoＳカウンタ１０２のカウント値が各ＩＰアドレスについて閾値以下の場合、呼量カウンタ１０３ではＣＡ１０に入ってくる単位時間あたりの総呼数（ＳＩＰの場合、INVITE数またはREGISTER数）をカウントする（Ｓ１５）。ここで、閾値以下であれば、呼処理部１１０において所定の呼処理を実行する（Ｓ１６、Ｓ１７）。
【００２５】
一方、呼量カウンタ１０３が閾値以上の場合は、ＤＤoＳカウンタ１０４と呼量規制処理部１０７が同時に起動する。呼量規制処理部１０７では、ＣＡ１０の呼量の規制を開始し、輻輳を防止する（Ｓ２２）。ＤＤoＳカウンタ１０４では、ＤoＳカウンタ１０２よりも長期の監視期間で且つ低い閾値（通話及び端末登録するのが目的でないほど短い送出間隔で連続的な送信を行った場合の値）で、ＩＰアドレスごとに単位時間あたりの発呼信号または端末登録信号の信号数をカウントする（Ｓ２３）。例えば、ＤoＳカウンタ１０２の閾値が５０INVITE／ｓならば、ＤＤoＳカウンタ１０４の閾値は３０INVITE／３０ｓとする。
【００２６】
ここで、ＤＤoＳカウンタ１０４が閾値以下の場合は、呼量規則処理部１０７での呼量規則をそのまま続行する（Ｓ２４、Ｓ２２）。一方、ＤＤoＳカウンタ１０４が閾値以上のＩＰアドレスがあれば、複数攻撃元からのＤoＳ攻撃と見なし、呼量規則を解除し（Ｓ２４、Ｓ２５）、ステップＳ２０に進む。先に述べたように、ステップＳ２０では、ロックアウト処理部１０８にて該当ＩＰアドレスに対するロックアウト処理を行うとともに、ＩＰアドレス通知部１０９にて該当アドレスを外部装置（例えば、後述のルータＯpＳ）に通知する。
【００２７】
＜ＤoＳ攻撃阻止＞
図４は、本発明によるＤoＳ攻撃阻止方法の一実施例の概念図、図５は動作シーケンス図である。以下、図４及び図５をもとに本発明によるＤoＳ攻撃阻止方法の一実施例の動作を説明する。なお、図４、図５では中継ルータは省略してある。
【００２８】
認証サーバ２０では、ユーザ端末が加入者ルータにアクセスし認証する際に、ユーザ端末のＩＰアドレスの情報と加入者ルータのＩＰアドレスの情報を収集している。ルータ制御装置（ルータＯpＳ）３０は、一般に加入者ルータや中継ルータの保守制御を司るが、ここでは、セッション制御装置（ＣＡ）１０から、該ＣＡ１０で検出したＤoＳ攻撃端末（図４では３１、３２、３３）のＩＰアドレス情報の通知を受けると、認証サーバ２０にアクセスし、ＤoＳ攻撃端末のＩＰアドレス情報からそれを収容している加入者ルータ（図４では３４、３５、３６）のＩＰアドレスを検索し、該当の加入者ルータ３４、３５、３６に対して、
ＤoＳ攻撃端末（厳密にはＤoＳ攻撃端末のＩＰアドレス）からのパケットを規制するＩＰアドレスフィルタリングのコマンドを配布するようにする。加入者ルータ３４、３５、３６は、ルータＯpＳ３０から規政コマンドを受信すると、該当ＤoＳ攻撃端末３４、３５、３６からのパケットを規制するＩＰフィルタリング規制を実施する。
【００２９】
先に述べたように、ＣＡ１０でＤoＳ攻撃を検出した場合、まず、ＣＡ１０では攻撃元に対するロックアウト処理を行う。これにより、ＣＡ１０にＤoＳ攻撃元から発呼信号または端末登録信号が入ってきても処理されないため、ＣＡ１０の負荷は軽減される。ただし、この時点ではＤoＳ攻撃元からのパケットの廃棄処理の負荷は残ったままである。
【００３０】
次に、ＣＡ１０は、攻撃元のＩＰアドレス情報をルータＯpＳ３０に通知する。ルータＯpＳ３０では攻撃元のＩＰアドレス情報から認証サーバ２０を使って攻撃元を収容する加入者ルータのＩＰアドレスを検索する。そしてルータＯpＳ３０該当は加入者ルータに対して攻撃元からのパケットを規制するＩＰフィルタリング規制コマンドを配布し、加入者ルータがＤoＳ攻撃元のＩＰフィルタリング規制を実行する。これにより、ＣＡにＤoＳ攻撃のパケットが侵入することが未然に防げる。
【００３１】
図６は本発明によるルータ制御装置（ルータＯpＳ）３０の一実施例の構成図である。本ルータＯpＳ３０は、ＣＡからＤoＳ攻撃端末などのＤoＳ攻撃元のＩＰアドレスを受信するＣＡ通知受信部３０１、認証サーバ２０を使って、ＤoＳ攻撃元を収容する加入者ルータのＩＰアドレスを検索する認証サーバ検索部３０２、検索結果の加入者ルータに対して規制コマンドを配布する規制コマンド配信部３０３、及び、これら各部３０１、３０２、３０３の動作を制御する制御部３００から構成される。なお、ルータＯpＳ３０は、ルータ保守等のための本来の処理手段も備えているが、ここでは省略してある。
【００３２】
図７は、本ルータＯpＳ３０の処理フローチャートである。ＣＡ通知受信部３０１が、ＣＡ１０からＤoＳ攻撃端末などのＤoＳ攻撃元のＩＰアドレスを受信すると（Ｓ３１）、認証サーバ検索部３０２を起動する。認証サーバ検索部３０２は、認証サーバ２０に対しＤoＳ攻撃元のＩＰアドレスを送信して、当該ＤoＳ攻撃元の端末等を収容している加入者ルータのＩＰアドレスの検索要求を行い、その応答として認証サーバ２０から、ＤoＳ攻撃元のＩＰアドレスと該当加入者ルータのＩＰアドレスとの対応を取得する（Ｓ３２）。規制コマンド配信部３０３は、認証サーバ検索部３０２による検索結果の加入者ルータＩＰアドレスをもとに、該当加入者ルータに対して、ＤoＳ攻撃元の端末等からのパケットを規制するＩＰフィルタリング規制コマンドを配布する（Ｓ３３）。
【００３３】
上述の実施例は、ルータＯpＳ３０がＣＡ１０からＤoＳ攻撃元端末等のＩＰアドレス情報の通知を受けて、該ルータＯpＳ３０から該当の加入者ルータに対してＤoＳ攻撃端末等からのパケットを規制するコマンドを配布する方式であったが、ＣＡ１０に上記ルータＯpＳ３０と同様の機能を実装することにより、直接ＣＡ１０が認証サーバ２０を使って、ＤoＳ攻撃端末等を収容する加入者ルータに対して規制コマンドを配布することが可能である。図８に本実施例の動作シーケンス図を示す。
【００３４】
図８の場合、ＣＡ１０は、ＤoＳ攻撃を検出すると、攻撃元に対するロックアウト処理を行うとともに、該ＣＡ１０みずから、攻撃元のＩＰアドレス情報から認証サーバ２０を使って攻撃元を収容する加入者ルータのＩＰアドレスを検索する。そして、該ＣＡ１０みずから、該当加入者ルータに対して攻撃元からのパケットを規制するＩＰフィルタリング規制コマンドを配布する。本実施例によれば、ルータＯpＳ３０が介在しないため、該当加入者ルータにおいて、より迅速に攻撃元からのパケットを規制することが可能になる。
【００３５】
本実施例のＣＡ１０の構成は、先の図２の構成に図６の認証サーバ検索部３０２及び規制コマンド配信部３０３を追加すればよく、図示は省略する。また、処理フローは、先の図３において、ステップＳ２０中の「ＩＰアドレス通知」をなくし、かわりに該ステップＳ２０の下に図７のステップＳ３２、Ｓ３３を追加すればよく、同様に図示は省略する。
【００３６】
また、いずれの実施例の場合も、ルータＯpＳ３０あるいはＣＡ１０が端末ＩＰアドレスと加入者ルータＩＰアドレスの対応表を所持していれば、これまで述べたような認証サーバ２０を検索する処理は不要である。
【００３７】
なお、図２や図６で示したＣＡ、ルータＯpＳにおける各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図３や図７で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。
【００３８】
【発明の効果】
本発明によれば、ＤＤoＳカウンタで長期的に監視することにより、通話及び端末登録するのが目的でない連続的な送信かどうかがわかるのでＤＤoＳ攻撃なのかイベントによるアクセス集中かの区別がつきＤＤoＳ攻撃だけを検出できる利点がある。また、ＤＤoＳ攻撃検出までに受ける攻撃については呼量規制を行うことにより、暫定的にＣＡを攻撃から保護することができる。次に不正信号カウンターを設置することによりフォーマットやパラメータが異常な不正信号によるＤoＳ攻撃を検出できる利点もある。
【００３９】
また、本発明によれば、ＣＡで最初にロックアウトを行うことによりメモリ・リークを起さずにＤoＳ攻撃からＣＡを保護することができる。ただし、この時点ではＣＡのパケット廃棄処理の負荷が残るが、加入者ルータでＣＡで検出した攻撃元のＩＰアドレスの情報からＩＰフィルタリング規制を掛けることにより、ＣＡに攻撃元からのパケットが入ってくることがないため、ＣＡはパケット廃棄処理の負荷から解放できる利点がある。また攻撃元のパケットだけを廃棄するため、他のユーザはＤoＳ攻撃の影響を受けずＶoＩＰを行うことができる。
【図面の簡単な説明】
【図１】本発明で前提とするベアラ・制御分離型のネットワークの概念図である。
【図２】本発明のＤoＳ攻撃元検出方法を実現するセッション制御装置（ＣＡ）の一実施例の構成図である。
【図３】図２のＣＡの処理フローチャートである。
【図４】本発明によるＤoＳ攻撃阻止方法の一実施例の概念図である。
【図５】図４の実施例の動作シーケンス図である。
【図６】本発明のＤoＳ攻撃阻止方法を実現するルータ制御装置（ルータＯpＳ）の一実施例の構成図である。
【図７】図６のルータＯpＳの処理フローチャートである。
【図８】本発明によるＤoＳ攻撃阻止方法の別の実施例の動作シーケンス図である。
【符号の説明】
１    制御網
２    ベアラ網
１０    セッション制御装置（ＣＡ）
１１、１２  端末
１３、１４、３４、３５、３６  加入者ルータ
１５、１６  中継ルータ
２０  認証ルータ
３０  ルータ制御装置（ルータＯpＳ）
３１、３２、３３  ＤoＳ攻撃端末
１００  制御部
１０１  不正信号カウンタ
１０２  ＤoＳカウンタ
１０３  呼量カウンタ
１０４  ＤＤoＳカウンタ
１０５  信号フォーマット・パラメータチェック部
１０６  パケット廃棄部
１０７  呼量規制処理部
１０８  ロクアウト処理部
１０９  ＩＰアドレス通知部
１１０  呼処理部
３００  制御部
３０１  ＣＡ通知受信部
３０２  認証サーバ検索部
３０３  規制コマンド配信部
【図１】
0003928866.tif 000002
【図２】
0003928866.tif 000003
【図３】
0003928866.tif 000004
【図４】
0003928866.tif 000005
【図５】
0003928866.tif 000006
【図６】
0003928866.tif 000007
【図７】
0003928866.tif 000008
【図８】
0003928866.tif 000009