(57)【要約】【課題】第３者のサーバと通信を行わなくてもＤｏｓ攻撃を回避可能な技術を提供することを目的とする。【解決手段】負荷判定部１３は、受信部１１が受信した送信情報に対する通信機器１の処理状況に基づいて、Ｄｏｓ攻撃が通信機器に行われているか否かを判定する。制御部１６は、Ｄｏｓ攻撃が行われていると負荷判定部１３で判定された場合に、当該判定された送信情報を送信した他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信部１５から送信することにより、当該他通信機器において通信機器１に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる制御を行う。【選択図】図１
2017005519.tif 000002
【特許請求の範囲】
【請求項１】
通信機器であって、
前記通信機器と通信可能な他通信機器が送信した送信情報を受信する受信部と、
前記受信部が受信した前記送信情報に対する前記通信機器の処理状況に基づいて、Ｄｏｓ攻撃が前記通信機器に行われているか否かを判定する負荷判定部と、
前記通信機器に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択する選択部と、
Ｄｏｓ攻撃が行われていると前記負荷判定部で判定された場合に、当該判定された送信情報を送信した前記他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信部から送信することにより、当該他通信機器において前記通信機器に割り当てられている前記ＭＡＣアドレスを前記ダミーＭＡＣアドレスに変更させる制御を行う制御部と
を備える、通信機器。
【請求項２】
請求項１に記載の通信機器であって、
前記受信部は、前記他通信機器に割り当てられているＭＡＣアドレスをさらに受信し、
前記選択部は、
前記通信機器が所属するセグメントで使用可能な複数のＭＡＣアドレスのうち、前記受信部で受信したＭＡＣアドレス以外のＭＡＣアドレスを、前記ダミーＭＡＣアドレスとして選択する、通信機器。
【請求項３】
請求項１または請求項２に記載の通信機器であって、
前記負荷判定部は、
前記通信機器が前記送信情報を処理することによって、負荷が予め定められた閾値以上となった場合、負荷率が予め定められた閾値以上となった場合、及び、処理が不要なパケットが連続した個数が予め定められた個数以上となった場合、の少なくともいずれか一つの場合に、Ｄｏｓ攻撃が行われていると判定する、通信機器。
【請求項４】
請求項１に記載の通信機器であって、
前記予め定められた通信プロトコルは、ＧＡＲＰ（Gratuitous ARP）を含み、
前記規定情報は、前記通信機器のＩＰアドレスと、前記ダミーＭＡＣアドレスとを含む、通信機器。
【請求項５】
通信機器における通信方法であって、
前記通信機器と通信可能な他通信機器が送信した送信情報を受信し、
前記受信した送信情報に対する前記通信機器の処理状況に基づいて、Ｄｏｓ攻撃が前記通信機器に行われているか否かを判定し、
前記通信機器に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択し、
Ｄｏｓ攻撃が行われていると判定された場合に、当該判定された送信情報を送信した前記他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信することにより、当該他通信機器において前記通信機器に割り当てられている前記ＭＡＣアドレスを前記ダミーＭＡＣアドレスに変更させる制御を行う、通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、Ｄｏｓ攻撃（Denial of service attack）に対処する通信機器及び通信方法に関する。
【背景技術】
【０００２】
通信ネットワークにおいて、攻撃を実施する通信機器（以下「攻撃機器」と記す）が、攻撃対象の通信機器（以下「被攻撃機器」と記す）に対して大量のパケットを送信する行為、すなわちＤｏｓ攻撃が行われることがある。このＤｏｓ攻撃が行われると、被攻撃機器において通信遮断及びＯＳハングアップなどの被害が発生することがある。
【０００３】
このようなＤｏｓ攻撃を回避するための技術が、これまでに様々に提案されている。例えば特許文献１に開示された技術では、第３者のサーバ（コントローラサーバ及び通信妨害サーバ）が、攻撃機器から被攻撃機器へのＤｏｓ攻撃を検出した場合に、被攻撃機器のＡＲＰ（Address Resolution Protocol）テーブルを変更する。このような技術によれば、被攻撃機器へのＤｏｓ攻撃を回避することが可能となっている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−２８６８７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら特許文献１の技術では、通信機器が、ＬＡＮ（Local Area Network）などを用いて第３者のサーバと通信することが前提となっている。このため、例えば車載機器などに組み込まれる通信機器などのように、第３者のサーバと通信せずに他通信機器と直接通信を行う通信機器には、Ｄｏｓ攻撃を回避可能な特許文献１などの技術を適用することができないという問題があった。
【０００６】
そこで、本発明は、上記のような問題点を鑑みてなされたものであり、第３者のサーバと通信を行わなくてもＤｏｓ攻撃を回避可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の第１局面に係る通信機器は、通信機器と通信可能な他通信機器が送信した送信情報を受信する受信部と、受信部が受信した送信情報に対する通信機器の処理状況に基づいて、Ｄｏｓ攻撃が通信機器に行われているか否かを判定する負荷判定部と、通信機器に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択する選択部と、Ｄｏｓ攻撃が行われていると負荷判定部で判定された場合に、当該判定された送信情報を送信した他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信部から送信することにより、当該他通信機器において通信機器に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる制御を行う制御部とを備える。
【０００８】
本発明の第２局面に係る通信方法は、通信機器における通信方法であって、通信機器と通信可能な他通信機器が送信した送信情報を受信し、受信した送信情報に対する通信機器の処理状況に基づいて、Ｄｏｓ攻撃が通信機器に行われているか否かを判定し、通信機器に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択し、Ｄｏｓ攻撃が行われていると判定された場合に、当該判定された送信情報を送信した他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信することにより、当該他通信機器において通信機器に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる制御を行う。
【発明の効果】
【０００９】
本発明によれば、Ｄｏｓ攻撃が行われていると判定された場合に、当該判定された送信情報を送信した他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信することにより、当該他通信機器において通信機器に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる。これにより、第３者のサーバと通信を行わなくても、Ｄｏｓ攻撃を回避することができる。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係る通信機器の構成を示すブロック図である。
【図２】実施の形態１に係る通信機器の動作を示すフローチャートである。
【図３】実施の形態１に係る通信機器の動作の概要を説明するための図である。
【図４】実施の形態１に係る通信機器の動作の概要を説明するための図である。
【図５】実施の形態１に係る通信機器の実験結果を示す図である。
【図６】通信機器のハードウェア構成の一例を示すブロック図である。
【図７】通信機器のハードウェア構成の別例を示すブロック図である。
【発明を実施するための形態】
【００１１】
＜実施の形態１＞
以下、本発明の実施の形態１に係る通信機器が、車載機器に組み込まれている場合を例にして説明する。
【００１２】
図１は、本実施の形態１に係る通信機器１の構成を示すブロック図である。図１の通信機器１は、受信部１１と、ＭＡＣアドレス管理データベース１２と、負荷判定部１３と、選択部１４と、送信部１５と、通信機器１の各構成要素を統括的に制御する制御部１６とを備えている。
【００１３】
受信部１１及び送信部１５は、例えば、有線または無線を介して、通信機器１外部の通信端末（携帯電話、スマートフォン、及びタブレットなど）と接続され、当該通信端末の通信ネットワークを利用することによって他通信機器と通信することが可能となっている。ここで有線には、ＵＳＢ（Universal Serial Bus）などが適用され、無線には、Ｂｌｕｅｔｏｏｔｈ（登録商標）及びＷｉＦｉ（登録商標）などが適用される。
【００１４】
受信部１１は、通信機器１と通信可能な他通信機器が送信した送信情報を受信する。ここでいう通信機器１と通信可能な他通信機器には、例えば、通信機器１周辺の通信機器、または、中継器などを経由して通信機器１と通信可能な通信機器などが想定される。
【００１５】
なお本実施の形態１では、受信部１１は、通信機器から送信情報を受信するだけでなく、他通信機器に割り当てられているＭＡＣアドレスも受信する。受信部１１で受信したＭＡＣアドレスは、ＭＡＣアドレス管理データベース１２に記憶される。
【００１６】
負荷判定部１３は、受信部１１が受信した送信情報に対する通信機器１の処理状況に基づいて、Ｄｏｓ攻撃が通信機器１に行われているか否かを随時（例えば定期的に）判定する。本実施の形態１では、通信機器１が上述の送信情報を処理することによって、負荷が予め定められた閾値以上となった場合、負荷率が予め定められた閾値以上となった場合、及び、処理が不要なパケットが連続した個数が予め定められた個数以上となった場合、の少なくともいずれか一つの場合に、Ｄｏｓ攻撃が行われていると判定する。
【００１７】
例えば、一般的にネットワーク処理が、ＣＰＵ（Central Processing Unit）と異なるハードウェア（以下「ネットワーク処理装置」と記す）で行われることに鑑みて、負荷判定部１３は、ＣＰＵ及びネットワーク処理装置のそれぞれの負荷または負荷率に基づいて上記判定を行ってもよい。具体的には、上記送信情報の処理によるＣＰＵまたはネットワーク処理装置の負荷率が予め定められた閾値（例えば９０〜１００％）以上となった場合などに、負荷判定部１３はＤｏｓ攻撃が行われていると判定してもよい。また、待ち受け状態のアプリケーションにとって無効なパケットを処理することによって、ネットワーク処理装置の負荷率が予め定められた閾値（例えば９０〜１００％）以上となった場合などに、負荷判定部１３はＤｏｓ攻撃が行われていると判定してもよい。
【００１８】
また例えば、処理が不要なパケット（例えばペイロード部分が存在しないパケット、チェックサムエラーが生じるパケット、各プロトコルレイヤでパースエラーが生じるパケットなど）が連続した個数が、予め定められた個数（例えば数百〜数千）以上となった場合に、負荷判定部１３はＤｏｓ攻撃が行われていると判定してもよい。
【００１９】
選択部１４は、通信機器１に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択する。本実施の形態１では、選択部１４は、通信機器１が所属するセグメントで使用可能な複数のＭＡＣアドレスのうち、受信部１１で受信したＭＡＣアドレス（ＭＡＣアドレス管理データベース１２に記憶されたＭＡＣアドレス）以外のＭＡＣアドレスを、ダミーＭＡＣアドレスとして選択する。これにより、他通信機器にすでに割り当てられているＭＡＣアドレス以外のアドレスが、ダミーＭＡＣアドレスとして選択されることになる。
【００２０】
送信部１５は、制御部１６の制御により各種情報を送信する。
【００２１】
制御部１６は、Ｄｏｓ攻撃が行われていると負荷判定部１３で判定された場合に、当該判定された送信情報を送信した他通信機器、つまりＤｏｓ攻撃を行っている蓋然性が高い他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信部１５から送信する。ここでは、予め定められた通信プロトコルは、ＧＡＲＰ（Gratuitous ARP）であり、規定情報は、通信機器１のＩＰアドレスと、ダミーＭＡＣアドレスとを含むものとする。ただしこれに限ったものではなく、予め定められた通信プロトコルは、例えばＤＮＳ（Domain Name System）プロトコルであってもよい。
【００２２】
制御部１６は、以上のように規定情報を、Ｄｏｓ攻撃を行っている蓋然性が高い他通信機器に送信することにより、当該他通信機器において通信機器１に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる制御を行う。
【００２３】
＜動作＞
図２は、本実施の形態１に係る通信機器１の動作を示すフローチャートである。なお図２に示される動作は、例えば通信機器１が通信ネットワークに接続された際に行われる。
【００２４】
まずステップＳ１にて、通信機器１は他通信機器に割り当てられているＭＡＣアドレスを確認する。具体的には、送信部１５は、通信機器１と同じセグメントの他通信機器に対して、ＡＲＰ（Address Resolution Protocol）で規定された情報を送信する。例えば、通信機器１が、「１９２．１６８．１．０／２４」のセグメントに所属する場合には、送信部１５は、通信機器１のＩＰアドレスを除く、「１９２．１６８．１．１」から「１９２．１６８．１．２５４」までの全ホストのＩＰアドレスに対して、ＡＲＰで規定された情報を送信する。
【００２５】
ＡＲＰを受信した他通信機器は、当該他通信機器に割り当てられているＭＡＣアドレスを通信機器１に送信する。これにより、受信部１１（通信機器１）は、通信機器１が所属するセグメントで使用可能な複数のＭＡＣアドレスのうち、他通信機器に割り当てられているＭＡＣアドレスを受信（確認）する。受信部１１で受信したＭＡＣアドレスは、ＭＡＣアドレス管理データベース１２に記憶される。これ以降、通信機器１と、ＭＡＣアドレスを送信した他通信機器との間で、各種情報を送受信することが可能となる。
【００２６】
ステップＳ２にて、受信部１１は、他通信機器が送信した送信情報を受信し、負荷判定部１３は、当該送信情報に対する通信機器１の処理状況に基づいて、Ｄｏｓ攻撃が通信機器１に行われているか否かを判定する。Ｄｏｓ攻撃が行われていると判定した場合にはステップＳ３に進み、そうでない場合にはステップＳ１に戻る（またはステップＳ２を再度行う）。
【００２７】
ステップＳ３にて、選択部１４は、通信機器１が所属するセグメントで使用可能な複数のＭＡＣアドレスのうち、受信部１１で受信したＭＡＣアドレス（ＭＡＣアドレス管理データベース１２に記憶されたＭＡＣアドレス）以外のＭＡＣアドレスを、ダミーＭＡＣアドレスとして選択する。
【００２８】
ステップＳ４にて、制御部１６は、Ｄｏｓ攻撃を行っていると判定された送信情報を送信した他通信機器に、ＧＡＲＰで規定された規定情報を送信部１５から送信する。これにより、当該他通信機器のＡＲＰテーブルにおいて通信機器１に割り当てられているＭＡＣアドレスが、ダミーＭＡＣアドレスに変更される。その後、ステップＳ１に戻る（またはステップＳ２を再度行う）。
【００２９】
図３及び図４は、図２に示した動作の概要を説明するための図である。
【００３０】
図３では、攻撃機器である他通信機器３からＤｏｓ攻撃を受けている通信機器１が、他通信機器３にＧＡＲＰで規定された規定情報（通信機器１のＩＰアドレス及びダミーＭＡＣアドレス）を送信している。これにより、他通信機器３が有するＡＲＰテーブル３ａのうち、通信機器１のＩＰアドレス（図３では「１９２．１６８．１．３」）に対応付けられているＭＡＣアドレス（図３では「ａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆ」）が、ダミーＭＡＣアドレス（図３では「００：１２：３４：５６：７８：９ａ」）に変更される。この結果、図４に示されるように、他通信機器３は、通信機器１以外のダミーの通信機器にＤｏｓ攻撃を行うようになるので、通信機器１は、他通信機器３からのＤｏｓ攻撃を回避することができる。
【００３１】
図５は、本実施の形態１に係る通信機器１について実験を行った場合の負荷の結果を示す図である。実線は通信機器１の負荷を示し、破線はダミーの通信機器の負荷を示す。この図５に示されるように、本実施の形態１に係る通信機器１では、Ｄｏｓ攻撃を受けた後、しばらくしてＤｏｓ攻撃を回避することが可能となっている。
【００３２】
＜まとめ＞
以上のような本実施の形態１に係る通信機器１によれば、Ｄｏｓ攻撃が行われていると判定された場合に、Ｄｏｓ攻撃を行っている蓋然性が高い他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信することによって、当該他通信機器において通信機器１に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる。すなわち、通信機器１自身が、Ｄｏｓ攻撃を検出するとともに、Ｄｏｓ攻撃を回避する動作を行うので、第３者のサーバと通信を行わなくてもＤｏｓ攻撃を回避することができる。
【００３３】
また、本実施の形態１によれば、通信機器１が所属するセグメントで使用可能な複数のＭＡＣアドレスのうち、他通信機器に割り当てられているＭＡＣアドレス以外のＭＡＣアドレスが、ダミーＭＡＣアドレスとして選択される。これにより、通信機器１がＤｏｓ攻撃を回避する場合に、通信機器１と同一セグメントに属する他通信機器に生じる影響を抑制することができる。
【００３４】
なお以上の説明では、受信部１１で受信したＭＡＣアドレス（他通信機器に割り当てられているＭＡＣアドレス）以外のＭＡＣアドレスを、ダミーＭＡＣアドレスとして選択した。しかしこれに限ったものではなく、通信機器１と同一セグメントに属する他通信機器においてもＤｏｓ攻撃を回避することが可能となっている場合などには、ダミーＭＡＣアドレスの選択対象となるＭＡＣアドレスから、他通信機器のＭＡＣアドレスを除外しなくてもよい。
【００３５】
＜その他＞
上述した通信機器１における受信部１１、ＭＡＣアドレス管理データベース１２、負荷判定部１３、選択部１４、送信部１５及び制御部１６（以下「受信部１１等」と記す）は、図６に示す処理回路９１により実現される。すなわち、処理回路９１は、通信機器１と通信可能な他通信機器が送信した送信情報を受信する受信部１１と、受信部１１が受信した送信情報に対する通信機器１の処理状況に基づいて、Ｄｏｓ攻撃が通信機器１に行われているか否かを判定する負荷判定部１３と、通信機器１に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択する選択部１４と、Ｄｏｓ攻撃が行われていると負荷判定部１３で判定された場合に、当該判定された送信情報を送信した他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信部１５から送信することにより、当該他通信機器において通信機器１に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる制御を行う制御部１６とを備える。処理回路９１には、専用のハードウェアが適用されてもよいし、メモリに格納されるプログラムを実行するプロセッサ（ＣＰＵ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、Digital Signal Processor）が適用されてもよい。
【００３６】
なお、図６に示される処理回路９１は、別体の受信装置及び別体の送信装置とバスなどの信号線を介して接続されており、これら装置を制御することが可能となっている。受信装置には、例えば無線信号のインターフェースである無線受信装置、入力装置（例えばタッチパネルや音声入力装置など）、及び、それらの周辺装置（例えばそれらと接続されるインターフェース装置など）の少なくともいずれか１つが含まれる。送信装置には、例えば無線信号のインターフェースである無線送信装置、及び、それらの周辺装置（例えばそれらと接続されるインターフェース装置など）の少なくともいずれか１つなどが含まれる。
【００３７】
処理回路９１が専用のハードウェアである場合、処理回路９１は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、またはこれらを組み合わせたものが該当する。受信部１１等の各部の機能それぞれは、複数の処理回路９１で実現されてもよいし、各部の機能をまとめて一つの処理回路９１で実現されてもよい。
【００３８】
処理回路９１がプロセッサである場合、受信部１１等の機能は、ソフトウェア等（ソフトウェア、ファームウェア、またはソフトウェアとファームウェア）との組み合わせにより実現される。ソフトウェア等はプログラムとして記述され、メモリに格納される。図７に示すように、処理回路９１に適用されるプロセッサ９２は、メモリ９３に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。すなわち、通信機器１は、処理回路９１により実行されるときに、通信機器１と通信可能な他通信機器が送信した送信情報を受信するステップと、受信した送信情報に対する通信機器１の処理状況に基づいて、Ｄｏｓ攻撃が通信機器１に行われているか否かを判定するステップと、通信機器１に割り当てられているＭＡＣアドレスと異なるダミーＭＡＣアドレスを選択するステップと、Ｄｏｓ攻撃が行われていると判定された場合に、当該判定された送信情報を送信した他通信機器に、予め定められた通信プロトコルで規定された規定情報を送信することにより、当該他通信機器において通信機器１に割り当てられているＭＡＣアドレスをダミーＭＡＣアドレスに変更させる制御を行うステップと、が結果的に実行されることになるプログラムを格納するためのメモリ９３を備える。換言すれば、このプログラムは、受信部１１等の手順や方法をコンピュータに実行させるものであるともいえる。ここで、メモリ９３には、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリー、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）などの、不揮発性または揮発性の半導体メモリ、ＨＤＤ（Hard Disk Drive）、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disc）及びそのドライブ装置の少なくともいずれか１つが含まれる。
【００３９】
以上、受信部１１等の各機能が、ハードウェア及びソフトウェア等のいずれか一方で実現される構成について説明した。しかしこれに限ったものではなく、受信部１１等の一部を専用のハードウェアで実現し、別の一部をソフトウェア等で実現する構成であってもよい。例えば、負荷判定部１３については専用のハードウェアとしての処理回路でその機能を実現し、それ以外についてはプロセッサ９２としての処理回路９１がメモリ９３に格納されたプログラムを読み出して実行することによってその機能を実現することが可能である。
【００４０】
以上のように、処理回路９１は、ハードウェア、ソフトウェア等、またはこれらの組み合わせによって、上述の各機能を実現することができる。
【００４１】
以上で説明した通信機器１は、車両に搭載可能な備え付けられたナビゲーション装置、Portable Navigation Device、上述の通信端末、及びこれらにインストールされるアプリケーションの機能、並びにサーバなどを適宜に組み合わせてシステムとして構築される通信システムに適用することができる。この場合、以上で説明した通信機器１の各機能あるいは各構成要素は、前記システムを構築する各機器に分散して配置されてもよいし、いずれかの機器に集中して配置されてもよい。その一例として、通信機器１、すなわち図６及び図７に示した処理回路９１は、別体であった受信装置及び送信装置の少なくともいずれか１つを備えていてもよい。
【００４２】
なお、本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。
【符号の説明】
【００４３】
１  通信機器、１１  受信部、１３  負荷判定部、１４  選択部、１５  送信部、１６  制御部。
【図１】
2017005519.tif 000003
【図２】
2017005519.tif 000004
【図３】
2017005519.tif 000005
【図４】
2017005519.tif 000006
【図５】
2017005519.tif 000007
【図６】
2017005519.tif 000008
【図７】
2017005519.tif 000009