(57)【要約】【課題】パケットを複数の中継装置を介してターゲットに送信することによる攻撃を適切に抑制する。【解決手段】パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置において、前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域を取得する取得手段と、前記ターゲットに対する攻撃を検知した場合に、前記取得手段により取得した各中継装置の使用帯域と、前記ターゲットに対する帯域の上限値とに基づいて、各中継装置における前記ターゲット宛ての通信の帯域制限値を計算し、計算された各帯域制限値を、対応する中継装置に設定する計算手段とを備える。【選択図】図１
2017098605.tif 000002
【特許請求の範囲】
【請求項１】
パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置であって、
前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域を取得する取得手段と、
前記ターゲットに対する攻撃を検知した場合に、前記取得手段により取得した各中継装置の使用帯域と、前記ターゲットに対する帯域の上限値とに基づいて、各中継装置における前記ターゲット宛ての通信の帯域制限値を計算し、計算された各帯域制限値を、対応する中継装置に設定する計算手段と
を備えることを特徴とする通信制御装置。
【請求項２】
前記計算手段は、中継装置における前記ターゲット宛ての通信の使用帯域が大きいほど、当該中継装置の帯域制限値が大きくなり、かつ、各中継装置の帯域制限値の合計が前記上限値を超えないように、各中継装置の帯域制限値を計算する
ことを特徴とする請求項１に記載の通信制御装置。
【請求項３】
前記計算手段は、各中継装置の帯域制限値が各中継装置における前記ターゲット宛ての通信の使用帯域に比例し、かつ、各中継装置の帯域制限値の合計が前記上限値になるように、各中継装置の帯域制限値を計算する
ことを特徴とする請求項１又は２に記載の通信制御装置。
【請求項４】
前記計算手段は、ある中継装置における前記ターゲット宛ての通信の使用帯域が０である場合でも、当該中継装置の帯域制限値が０にならないように、各中継装置の帯域制限値に予め定めた下限値を含める
ことを特徴とする請求項３に記載の通信制御装置。
【請求項５】
パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置が実行する通信制御方法であって、
前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域を取得する取得ステップと、
前記ターゲットに対する攻撃を検知した場合に、前記取得ステップにより取得した各中継装置の使用帯域と、前記ターゲットに対する帯域の上限値とに基づいて、各中継装置における前記ターゲット宛ての通信の帯域制限値を計算し、計算された各帯域制限値を、対応する中継装置に設定する計算ステップと
を備えることを特徴とする通信制御方法。
【請求項６】
前記計算ステップにおいて、前記通信制御装置は、中継装置における前記ターゲット宛ての通信の使用帯域が大きいほど、当該中継装置の帯域制限値が大きくなり、かつ、各中継装置の帯域制限値の合計が前記上限値を超えないように、各中継装置の帯域制限値を計算する
ことを特徴とする請求項５に記載の通信制御方法。
【請求項７】
前記計算ステップにおいて、前記通信制御装置は、各中継装置の帯域制限値が各中継装置における前記ターゲット宛ての通信の使用帯域に比例し、かつ、各中継装置の帯域制限値の合計が前記上限値になるように、各中継装置の帯域制限値を計算する
ことを特徴とする請求項５又は６に記載の通信制御方法。
【請求項８】
コンピュータを、請求項１ないし４のうちいずれか１項に記載の前記通信制御装置における各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための技術に関連するものである。
【背景技術】
【０００２】
近年、ネットワークを通したサイバー攻撃が増加・多様化している。その中で、攻撃先のサーバやスイッチ（これらを総称してターゲットと呼ぶ）を高負荷状態・ダウン状態にすることで、サービスを停止させるDenial of Service（DoS）攻撃がある。特に、複数の攻撃者が同時多発的にターゲットを攻撃するDistributed DoS（DDoS）攻撃は、数100Gbpsのパケット等のより高いボリューム攻撃が可能となり、ターゲットに大きな被害をもたらすほか、ネットワーク全体に影響を与えてしまう。
【０００３】
こういった攻撃を対象に、様々な対策が考えられている。対策の例として、ターゲットに対する攻撃の帯域に閾値を設け、その閾値を超えたら攻撃と判別し、その攻撃パケットを遮断する方法がある。また、攻撃元が不明である場合に、例えば、ターゲットの前のスイッチ等に対してQoS制御を行うことでターゲットがダウンすることを防止する方法がある。また、DDoS攻撃の中でも、近年増加傾向にあるDNS増幅型のDDoS攻撃を防ぐ方法として、特許文献１に開示された技術がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2015-29207号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
攻撃の多様化に伴い、ネットワーク管理者は、常に最新の攻撃を把握し、ネットワークの管理を行う必要があるため、運用のコストや、新たな対処を打つための設備構築にコストがかかってしまう。また、そのような対策を行ったとしても、未知の攻撃に対処することは従来技術では不可能である。
【０００６】
DDoS攻撃においては、攻撃者が多数いるため攻撃者の特定が困難であり、また一人一人の攻撃者の攻撃のボリューム（攻撃の使用帯域等）を小さくすることで、トラヒックがネットワークに到着する前に各ゲートウェイで攻撃を判定することを困難にできる。あるターゲットに対する攻撃を判別できたとしても、上述の特定の攻撃に対する対策では、それ以外の攻撃があった場合にはすぐには対応ができず、またターゲット宛てのパケットを遮断してしまうと、結局サービスが停止してしまう。
【０００７】
従来のQoS制御による対策に関し、キャリアネットワークにおける複数のゲートウェイを経由し、かつ攻撃元が特定できない攻撃に対して、複数のゲートウェイに一律にQoS制御を行う方法があるが、この場合、攻撃が多く届いているゲートウェイを経由しターゲットのサーバを利用するユーザは、その他のユーザに比べて著しくサービス利用の品質が低下し、場合によっては一部のユーザのみサービスが利用できなくなる問題が発生する可能性がある。すなわち、従来技術においては、複数の中継装置を介してターゲットにパケットを送信する攻撃を適切に抑制することができなかった。
【０００８】
本発明は上記の点に鑑みてなされたものであり、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を適切に抑制することを可能とする技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明の実施の形態によれば、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置であって、
前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域を取得する取得手段と、
前記ターゲットに対する攻撃を検知した場合に、前記取得手段により取得した各中継装置の使用帯域と、前記ターゲットに対する帯域の上限値とに基づいて、各中継装置における前記ターゲット宛ての通信の帯域制限値を計算し、計算された各帯域制限値を、対応する中継装置に設定する計算手段と
を備えることを特徴とする通信制御装置が提供される。
【００１０】
また、本発明の実施の形態によれば、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置が実行する通信制御方法であって、
前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域を取得する取得ステップと、
前記ターゲットに対する攻撃を検知した場合に、前記取得ステップにより取得した各中継装置の使用帯域と、前記ターゲットに対する帯域の上限値とに基づいて、各中継装置における前記ターゲット宛ての通信の帯域制限値を計算し、計算された各帯域制限値を、対応する中継装置に設定する計算ステップと
を備えることを特徴とする通信制御方法が提供される。
【発明の効果】
【００１１】
本発明の実施の形態によれば、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を適切に抑制することが可能となる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施の形態におけるQoS制御システムの構成図である。
【図２】QoS制御装置１０のモニタリング情報テーブル１３に格納される情報の例を示す図である。
【図３】QoS制御装置１０の閾値情報テーブル１４に格納される情報の例を示す図である。
【図４】ゲートウェイスイッチ２０のモニタリング情報テーブル２３に格納される情報の例を示す図である。
【図５】ゲートウェイスイッチ２０の閾値情報テーブル２４に格納される情報の例を示す図である。
【図６】本実施の形態におけるQoS制御システムの動作を説明するためのシーケンス図である。
【発明を実施するための形態】
【００１３】
以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。
【００１４】
例えば、本実施の形態では、通信事業者が提供するキャリアネットワーク等のネットワーク内に備えられたサーバに対して、外部ネットワークからゲートウェイスイッチを経由して攻撃がなされる場合を例として説明するが、これは一例であり、本発明を適用できるネットワークやターゲットは特定の種類のものに限定されない。
【００１５】
また、本実施の形態では、Software Defined Networking（SDN）技術を利用し、各ゲートウェイスイッチの集中制御が可能なQoS制御装置を用いて、各ゲートウェイスイッチに対して動的に、異なる帯域制限を行うこととしているが、SDN技術を使用することは例である。
【００１６】
（システム構成、動作概要）
図１に、本実施の形態におけるQoS制御システムの構成を示す。図１に示すように、本実施の形態に係るQoS制御システムシステムには、QoS制御装置１０、ゲートウェイスイッチ２０、サーバ３０が備えられている。QoS制御装置１０、ゲートウェイスイッチ２０、サーバ３０が備えられるネットワークは、管理対象とするネットワーク（例:キャリアネットワーク）であり、当該ネットワークは、各ゲートウェイスイッチ２０により外部ネットワーク４０と接続されている。外部ネットワーク４０は、例えばインターネットである。
【００１７】
図１には、例として２つのゲートウェイスイッチ２０、及び１つのサーバ３０が示されているが、これは例に過ぎず、より多くのゲートウェイスイッチ２０、及びより多くのサーバ３０が備えられていてもよい。
【００１８】
本実施の形態では、図１に示すとおり、DDoS攻撃の対象となるサーバ３０が属するネットワークと外部ネットワーク４０との間に複数のゲートウェイスイッチ２０が存在し、かつDDoS攻撃のトラヒックが複数のゲートウェイスイッチ２０を通り、攻撃のターゲットとなるサーバ３０が攻撃を受け、一つのゲートウェイスイッチ２０へのトラヒックを見ただけではDDoS攻撃だと判別がつかないような場合を想定している。
【００１９】
QoS制御装置１０は、全てのゲートウェイスイッチ２０に対して制御（すなわち、集中制御）が可能であり、各ゲートウェイスイッチ２０から、宛先がターゲットになっているトラヒック量（使用帯域）の情報を一定期間収集し、またサーバ３０がダウンしないようにターゲット宛ての合計のトラヒック量の上限値（閾値）を設定する。
【００２０】
ターゲット（サーバ３０）からの通知に基づき、QoS制御装置１０がターゲットに対する攻撃を検知した場合には、ターゲットのサーバ３０を利用するユーザの公平性を考慮して、各ゲートウェイスイッチ２０におけるターゲット宛てのトラヒック量に比例するように、かつ、合計が上限値を超えないように、各ゲートウェイスイッチ２０におけるターゲット宛てのトラヒック量の閾値にそれぞれの値を設定する。
【００２１】
このような各ゲートウェイスイッチ２０に対するQoS制御により、サーバ３０のダウンを防ぎ、かつ、QoS制御を各ゲートウェイスイッチ２０のターゲット宛てのトラヒック量により動的に変化させることで、ターゲットを利用する全てのユーザのサービス停止を防ぐことを可能としている。
【００２２】
なお、ゲートウェイスイッチ２０は、攻撃トラヒックが経由する中継装置の一例である。攻撃トラヒックが経由する中継装置は、ゲートウェイスイッチ２０に限られるわけではない。
【００２３】
（各装置の構成）
以下、各装置の構成をより詳細に説明する。
【００２４】
＜QoS制御装置１０＞
図１に示すように、QoS制御装置１０は、送受信部１１、モニタリング情報収集部１２、モニタリング情報テーブル１３、閾値情報テーブル１４、及びQoS計算部１５を有する。
【００２５】
送受信部１１は、ゲートウェイスイッチ２０及びターゲットとなるサーバ３０との情報の送受信機能を有している。また、これらからの情報を理解し、ゲートウェイスイッチ２０への設定を行うために、情報をそれらの装置に合う形に変換するデータ翻訳・変換部１１１も有している。
【００２６】
モニタリング情報収集部１２は、各ゲートウェイスイッチ２０のモニタリング部２２により収集した情報を集め、集約し、モニタリング情報テーブル１３に書き込む機能を有している。
【００２７】
モニタリング情報テーブル１３は、モニタリング情報収集部１２により集められた各ゲートウェイスイッチ２０のモニタリング情報を格納している。なお、本実施の形態において、「テーブル」は情報を格納（保存）する記憶手段の例である。
【００２８】
図２に、モニタリング情報テーブル１３に格納されている情報の例を示す。図２に示すように、モニタリング情報テーブル１３には、宛先と各ゲートウェイスイッチ２０それぞれの使用帯域の情報が、宛先IPアドレス、各ゲートウェイスイッチ２０の識別子（ゲートウェイID）と使用帯域の組み合わせで格納される。例えば、図２には、ゲートウェイID＝１のゲートウェイスイッチ２０における宛先IPアドレス＝X.X.X.Xの宛先に対する使用帯域が２００Mbpsであることが示されている。なお、モニタリングの対象となる宛先は、後述するサーバ３０（ターゲット）に限らず、他のサーバの宛先も含まれてよい。
【００２９】
閾値情報テーブル１４は、ターゲットとなり得るサーバ３０毎の使用帯域の上限値である閾値の情報を格納する。図３に、閾値情報テーブル１４に格納されている情報の例を示す。図３に示すように、閾値情報テーブル１４には、各ターゲット（の候補）のIPアドレスと、使用帯域の上限値とが、宛先IPアドレスと、合計帯域制限値として格納される。
【００３０】
QoS計算部１５は、ターゲットに対するDDoS攻撃が検知された際に、モニタリング情報テーブル１３と閾値情報テーブル１４の情報に基づいて、各ゲートウェイスイッチ２０におけるターゲット宛てのパケットに対する帯域制限値を計算する機能を有する。計算方法の詳細については後述する。
【００３１】
本実施の形態に係るQoS制御装置１０は、例えば、１つ又は複数のコンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、QoS制御装置１０が有する機能は、当該コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、QoS制御装置１０で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。
【００３２】
＜ゲートウェイスイッチ２０＞
図１に示すように、各ゲートウェイスイッチ２０は、送受信部２５、QoS設定部２１、モニタリング部２２、モニタリング情報テーブル２３、閾値情報テーブル２４を有する。
【００３３】
送受信部２５は、モニタリング部２２により得た情報のQoS制御装置１０への送信、及び、QoS制御装置１０からの帯域制限設定要求の受信の機能を有する。なお、ゲートウェイスイッチ２０の送受信部２５は、QoS制御装置１０の送受信部１１と異なり、データ翻訳・変換機能を持つ必要はない。
【００３４】
QoS設定部２１は、QoS制御装置１０から受信した帯域制限設定要求に基づき、特定の宛先IPアドレスを持つパケットに対して、帯域を制限する機能及び閾値情報テーブル２４に帯域制限値を格納する機能を有する。具体的には、特定の宛先IPアドレスを持つパケットの使用帯域が帯域制限値以下の場合はパケットを宛先まで転送し、帯域制限値以上到着した場合はパケットを廃棄する機能である。
【００３５】
モニタリング部２２は、特定の宛先IPアドレスを持つパケットの一定時間での帯域使用量をモニタリングする機能と、モニタリングした情報をモニタリング情報テーブル２３に格納する機能を有する。なお、特定の宛先IPアドレスは、QoS制御装置１０から指定されたIPアドレスであってもよいし、QoS制御装置１０からの指定ではない方法で設定されたIPアドレスであってもよい。
【００３６】
モニタリング情報テーブル２３は、特定の宛先IPアドレスに関するモニタリング情報を有する。図４に、モニタリング情報テーブル２３に格納されている情報の例を示す。図４に示すように、モニタリング情報テーブル２３には、宛先と使用帯域の情報が、宛先IPアドレスと、使用帯域の組み合わせで格納される。
【００３７】
閾値情報テーブル２４は、ゲートウェイスイッチ２０における、ターゲットとなるサーバ３０毎の帯域制限値の情報を有している。図５に、閾値情報テーブル２４に格納されている情報の例を示す。図５に示すように、閾値情報テーブル２４には、各ターゲットの宛先IPアドレスと、帯域制限値との組み合わせが格納される。
【００３８】
なお、図５の閾値情報テーブル２４における各帯域制限値が、図４のモニタリング情報テーブル２３における対応する使用帯域よりも小さくなっているが、これは、図４のモニタリング情報を収集した時点では本実施の形態に係るQoS制御はされておらず、そのモニタリング情報の収集後にQoS制御を行い、帯域制限値を設定したと想定しているためである。収集・制御に関する手順の例については後に詳述する。
【００３９】
＜サーバ３０＞
図１に示すように、ターゲットとなるサーバ３０は、送受信部３２、及び攻撃検知部３１を有する。
【００４０】
送受信部３２は、攻撃検知部３１により得た情報のQoS制御装置１０への送信を行う機能を有する。本実施の形態では、DDoS攻撃の攻撃元がわからない状況を想定しているため、QoS制御装置１０へ送信する情報は、あるターゲットへの攻撃があったことの通知のみでよい。また、サーバ３０の送受信部３２は、QoS制御装置１０の送受信部１１と異なり、データ翻訳・変換部を持つ必要はない。
【００４１】
攻撃検知部３１は、サーバ３０の負荷状況等を見て、DoS攻撃を検知する機能を有する。DoS攻撃の検知については、既存の市中製品等が有している機能を利用することができる。
【００４２】
（QoS制御システムの動作シーケンス）
次に、本実施の形態に係るQoS制御システムの動作例を図６のシーケンス図を参照して説明する。この動作例では、QoS制御装置１０が定期的に各ゲートウェイスイッチ２０におけるサーバ３０に対するトラヒックをモニタリングし、サーバ３０での攻撃検知をトリガとして、帯域制限値を計算し、各ゲートウェイスイッチ２０にQoS設定を行うことで、QoS制御を実行する。
【００４３】
図６に示す動作において、各装置間の情報のやり取りは、全て各装置の送受信部を通して行われるが、図６及び以下の説明ではその動作を割愛している。また、モニタリング及びQoS設定は、複数のゲートウェイスイッチ２０のそれぞれに対して行われるが、図６では、図示の便宜上、１つのゲートウェイスイッチ２０に対するモニタリング及びQoS設定のシーケンスが示されている。また、事前に、QoS制御装置１０の閾値情報テーブル１４（例：図３）に、ターゲットとなり得るサーバ３０の合計帯域制限値αが設定されているものとする。
【００４４】
モニタリング情報収集部１２は、定期的に各ゲートウェイスイッチ２０に対して、１つ又は複数の特定サーバ（ここでは例として１つのサーバ３０）の宛先IPアドレスを指定することにより、サーバ３０に対するパケットのモニタリング情報の送信を要求する（ステップＳ１）。
【００４５】
モニタリング情報送信要求を受けた各ゲートウェイスイッチ２０のモニタリング部２２は、モニタリングを一定時間行い、対象となる宛先（サーバ３０）とその宛先へのパケットの使用帯域が含まれたモニタリング情報をモニタリング情報テーブル２３に格納し（ステップＳ２）、モニタリング情報テーブル２３を更新する（ステップＳ３）。また、モニタリング部２２は、モニタリング情報テーブル２３に格納された情報をモニタリング情報収集部１２に送信する（ステップＳ４、Ｓ５）。
【００４６】
各ゲートウェイスイッチ２０からモニタリング情報を受信したモニタリング情報収集部１２は、その情報を適宜モニタリング情報テーブル１３に書き込み（ステップＳ６）、モニタリング情報テーブル１３を更新する（ステップＳ７）。
【００４７】
サーバ３０の攻撃検知部３１は、攻撃を検知する（ステップＳ８）と、QoS計算部１５に対してサーバ３０に対する攻撃が発生していることを通知する（ステップＳ９）。この通知には、例えば、サーバ３０のIPアドレスと、攻撃発生を示すフラグ情報が含まれている。なお、QoS計算部１５が攻撃を検知する方法は、ターゲットからの通知に限られず、他の方法で検知してもよい。例えば、サーバ３０を監視するNW監視装置からの通知で検知してもよい。
【００４８】
QoS計算部１５は、閾値情報テーブル１４（例：図３）を参照し（ステップＳ１０）、ターゲットとなっているサーバ３０の合計帯域制限値α（上限値）を取得する（ステップＳ１１）。
【００４９】
また、ステップＳ１０、Ｓ１１と並行して、QoS計算部１５は、モニタリング情報テーブル１３（例：図２）を参照し（ステップＳ１２）、ターゲットのサーバ３０が宛先となっているトラヒックの、各ゲートウェイスイッチ２０での使用帯域の情報を取得する（ステップＳ１３）。
【００５０】
QoS計算部１５は、ステップＳ１０、Ｓ１１、及びステップＳ１２、Ｓ１３で取得したデータを利用し、以下の式１の計算を行うことにより、各ゲートウェイスイッチ２０におけるターゲット（特定の宛先IPアドレス）へのパケットに対する帯域制限値を計算する（ステップＳ１４）。
【００５１】
【数１】
2017098605.tif 000003
式１において、LiはゲートウェイIDがiであるゲートウェイスイッチ２０の帯域制限値であり、BiはゲートウェイIDがiであるゲートウェイスイッチ２０におけるターゲットのサーバ３０宛てのパケットの使用帯域であり、Bminは各ゲートウェイスイッチ２０の帯域制限値の下限値であり、nはネットワーク上のゲートウェイスイッチ２０の台数を示している。なお、Bminは、モニタした期間でトラヒックが全くない場合、すなわちBi=0のときに、帯域制限値が0となり、結果としてトラヒックを遮断してしまうことを防ぐための値である。
【００５２】
式１におけるαは、閾値情報テーブル１４から取得した合計帯域制限値αであり、Biはモニタリング情報テーブル１３から取得した値である。また、Bminは、例えばQoS制御装置１０に予め格納しておいた値である。
【００５３】
式１を用いて計算を行うことで、各ゲートウェイスイッチ２０の帯域制限値は、各ゲートウェイスイッチ２０のターゲットのサーバ３０宛てのパケットの使用帯域に比例し、かつ、当該帯域制限値の合計が合計帯域制限値αになるように決定される。なお、比例すること、また、帯域制限値の合計が合計帯域制限値αになるようにすることは一例である。ゲートウェイスイッチ２０におけるターゲット宛ての通信の使用帯域が大きいほど、当該ゲートウェイスイッチ２０の帯域制限値が大きくなり、かつ、各ゲートウェイスイッチ２０の帯域制限値の合計が合計帯域制限値αを超えないように、各中継装置の帯域制限値を計算する方法であれば、他の方法で計算してもよい。
【００５４】
QoS計算部１５は、各ゲートウェイスイッチ２０に対して、ステップＳ１４で計算した帯域制限値を設定するよう、各ゲートウェイスイッチ２０のQoS設定部２１に要求する（ステップＳ１５）。
【００５５】
各ゲートウェイスイッチ２０のQoS設定部２１は、QoS計算部１５からの帯域制限設定要求に基づき、スイッチの帯域制限値を設定し、閾値情報テーブル２４（例：図５）に、帯域制限値の情報を格納する（ステップＳ１６）。QoS設定部２１は、設定が完了し次第、設定完了通知をQoS計算部１５に通知する（ステップＳ１７、Ｓ１８）。
【００５６】
QoS計算部１５は、全てのゲートウェイスイッチ２０から設定完了通知を取得後、処理を終了する。なお、攻撃の終了を検知したら、QoS制御を解除する制御を行うこととしてもよい。
【００５７】
各ゲートウェイスイッチ２０は、上記の動作手順により設定された帯域制限値により、ターゲットへのトラヒックの帯域を帯域制限値の範囲に制限する。これにより、攻撃によるサーバ３０のダウン等が防止される。また、上述したように、各ゲートウェイスイッチ２０の帯域制限値は、サーバ３０へのトラヒックの使用帯域に比例した値として設定されるので、一部のユーザがサービスを利用できなくなる状態を防ぐことができ、公平性を保つことができる。
【００５８】
（実施の形態のまとめ）
以上、説明したとおり、本実施の形態によれば、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置であって、前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域を取得する取得手段と、前記ターゲットに対する攻撃を検知した場合に、前記取得手段により取得した各中継装置の使用帯域と、前記ターゲットに対する帯域の上限値とに基づいて、各中継装置における前記ターゲット宛ての通信の帯域制限値を計算し、計算された各帯域制限値を、対応する中継装置に設定する計算手段とを備える通信制御装置が提供される。
【００５９】
前記計算手段は、例えば、中継装置における前記ターゲット宛ての通信の使用帯域が大きいほど、当該中継装置の帯域制限値が大きくなり、かつ、各中継装置の帯域制限値の合計が前記上限値を超えないように、各中継装置の帯域制限値を計算する。
【００６０】
前記計算手段は、各中継装置の帯域制限値が各中継装置における前記ターゲット宛ての通信の使用帯域に比例し、かつ、各中継装置の帯域制限値の合計が前記上限値になるように、各中継装置の帯域制限値を計算することとしてもよい。
【００６１】
前記計算手段は、ある中継装置における前記ターゲット宛ての通信の使用帯域が０である場合でも、当該中継装置の帯域制限値が０にならないように、各中継装置の帯域制限値に予め定めた下限値を含めることとしてもよい。
【００６２】
（実施の形態の効果）
本実施の形態に係る技術により、キャリアネットワークのように外部ネットワークとのゲートウェイスイッチを多数持つネットワークにおいて、DDoS攻撃がネットワーク内のサーバになされた場合に、攻撃元が不明で、かつ一つ一つの攻撃が小さく各ゲートウェイで検知不可能であっても、サーバをサービス停止状態にすることなく、かつ公平性を考慮することで、一部のユーザがサービスを利用できなくなる状態を防ぐことができる。これにより、DDoS攻撃に対するネットワークとサービスの可用性を向上させることが可能となる。
【００６３】
なお、上記の公平性とは、各ユーザのQoSの公平性、すなわち、攻撃対象となるサーバで提供されるサービスをユーザが利用する際の利用帯域の公平性である。本実施の形態では、各ゲートウェイスイッチ２０に対して、サーバへの使用帯域（攻撃トラヒック量）に比例した帯域制限値が設定されるので、サーバを利用する複数のユーザが、異なるゲートウェイスイッチ２０を経由してサーバを利用する場合でも、攻撃トラヒック量に見合った公平な帯域制限の下で帯域を利用できる。
【００６４】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【００６５】
１０  QoS制御装置
１１  送受信部
１２  モニタリング情報収集部
１３  モニタリング情報テーブル
１４  閾値情報テーブル
１５  QoS計算部
２０  ゲートウェイスイッチ
２１  QoS設定部
２２  モニタリング部
２３  モニタリング情報テーブル
２４  閾値情報テーブル
２５  送受信部
３０  サーバ
３１  攻撃検知部
３２  送受信部
４０  外部ネットワーク
【図１】
2017098605.tif 000004
【図２】
2017098605.tif 000005
【図３】
2017098605.tif 000006
【図４】
2017098605.tif 000007
【図５】
2017098605.tif 000008
【図６】
2017098605.tif 000009