(57)【特許請求の範囲】
【請求項１】
互いに接続された複数の攻撃トラヒック対処装置のうちいずれかに接続され、トンネルベース検出・対処指示装置を通るようにトラヒックを迂回させる迂回装置と、
前記迂回装置が迂回させた前記トラヒックを監視し、攻撃トラヒックを検出したとき、該迂回装置と、それぞれの前記攻撃トラヒック対処装置との間のパスのうち、該迂回装置から該攻撃トラヒックの侵入位置までの距離が最短となるパスを求め、該パスの端点に位置する攻撃トラヒック対処装置に対し、該攻撃トラヒックの対処を指示するトンネルベース検出・対処指示装置と、
前記トンネルベース検出・対処指示装置の指示に従って、前記攻撃トラヒックに対処する複数の攻撃トラヒック対処装置と、
を有する攻撃トラヒック防御システム。
【請求項２】
前記迂回装置は、前記トンネルベース検出・対処指示装置と自身との間に設定された仮想パスを通じて前記トラヒックを迂回させる、請求項１に記載の攻撃トラヒック防御システム。
【請求項３】
前記仮想パスは、ＩＰトンネルである、請求項２に記載の攻撃トラヒック防御システム。
【請求項４】
互いに接続された複数の攻撃トラヒック対処装置のうちいずれかに接続され、トンネルベース検出・対処指示装置を通るようにトラヒックを迂回させる迂回装置が迂回させた前記トラヒックを監視し、攻撃トラヒックを検出する攻撃トラヒック検出手段と、
前記攻撃トラヒック検出手段により前記攻撃トラヒックが検出されたとき、該迂回装置と、それぞれの前記攻撃トラヒック対処装置との間のパスのうち、該迂回装置から該攻撃トラヒックの侵入位置までの距離が最短となるパスを求め、該パスの端点に位置する攻撃トラヒック対処装置に対し、該攻撃トラヒックの対処を指示する指示手段と、
有するトンネルベース検出・対処指示装置。
【請求項５】
互いに接続された複数の攻撃トラヒック対処装置のうちいずれかに接続された迂回装置が、トンネルベース検出・対処指示装置を通るようにトラヒックを迂回させ、
前記トンネルベース検出・対処指示装置が、
前記迂回装置が迂回させた前記トラヒックを監視し、
攻撃トラヒックを検出したとき、該迂回装置と、それぞれの前記攻撃トラヒック対処装置との間のパスのうち、該迂回装置から該攻撃トラヒックの侵入位置までの距離が最短となるパスを求め、
該パスの端点に位置する攻撃トラヒック対処装置に対し、該攻撃トラヒックの対処を指示し、
攻撃トラヒック対処装置が、前記トンネルベース・検出対処指示装置の指示に従って、前記攻撃トラヒックに対処する、攻撃トラヒック防御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）のようなあるユーザに対し過度のトラヒックを送信することによりそのユーザのサービス停止を狙った攻撃を防御するシステムに関する。
【背景技術】
【０００２】
攻撃トラヒックを防御する方法として、攻撃トラヒックが疎通しているネットワーク内の装置が、その攻撃トラヒックをネットワーク外部の対処装置に転送し、その装置において、攻撃トラヒックを処理する方式が提案されている（例えば、特許文献１、非特許文献１参照）。
【０００３】
特許文献１の請求項１，１２，４９において記述されている攻撃トラヒック防御システム構成を図１２に示す。図１２のシステムは、攻撃トラヒックを検出し迂回を指示する攻撃トラヒック迂回指示装置３１と検出・対処装置に疎通トラヒックを迂回させるトラヒック迂回装置３２，３３から構成される迂回装置群３と、攻撃トラヒックを検出し、対処する検出・対処装置４１から構成される攻撃トラヒック対処装置群４から構成されている。
【０００４】
図１３にシーケンス図を示す。攻撃コンピュータ１は被攻撃コンピュータ２に攻撃トラヒック５の送信を開始したとする（ステップ２０１）。攻撃トラヒック迂回指示装置３１は、攻撃トラヒック５を受信し、被攻撃コンピュータ２宛への攻撃を検出する（ステップ２０２）。被攻撃コンピュータ２宛への攻撃を検出した攻撃トラヒック迂回指示装置３１は、トラヒック迂回装置３２に対し被攻撃コンピュータ２宛へのトラヒックを検出・対処装置４１に迂回するよう指示する（ステップ２０３）。迂回指示を受けたトラヒック迂回装置３２は、被攻撃コンピュータ２宛へのトラヒックを検出・対処装置４１に迂回する（ステップ２０４）。迂回トラヒック６を受信した検出・対処装置４１は、攻撃トラヒックを検出するために、そのトラヒックを分析する。もし、攻撃トラヒックを検出した場合、その攻撃トラヒックをフィルターし、正常トラヒックは通過トラヒック７として、被攻撃コンピュータ２へ戻す（ステップ２０５）。
【０００５】
図１４に検出・対処装置４１の機能ブロック図を示す。検出・対処装置４１は、迂回装置群３からの迂回トラヒックを受信するトラヒック入力部１０１と、迂回トラヒックから攻撃トラヒックを検出する攻撃トラヒック検出部１０２と、攻撃トラヒック検出部１０２により検出された攻撃トラヒックを選択的にブロックするフィルタ部１０３と、フィルタ部１０３によってブロックされないトラヒックを通過トラヒック７として、迂回装置群３に戻すトラヒック出力部１０４から構成される。
【０００６】
非特許文献１では、トラヒックを迂回する方式として、ＢＧＰ（Ｂｏｒｄｅｒ  Ｇａｔｅｗａｙ  Ｐｒｏｔｏｃｏｌ）を使った方式、Ｌ２ＴＰ（Ｌａｙｅｒ  ２  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）、ＧＲＥ（Ｇｅｎｅｒｉｃ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｏｎ）、ＭＰＬＳ（Ｍｕｌｔｉ−ｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈｉｎｇ）などのプロトコルを使ってトラヒック迂回装置３２，３３と検出・対処装置４１との間で仮想パスを設定してその仮想パスを使って転送する方式が記載されている。
【０００７】
例えば図１２のシステム構成では、トラヒック迂回装置３２，３３と検出・対処装置４１との間で、それぞれ仮想パス１１，１２が設定されている。トラヒック迂回装置３２，３３は、攻撃トラヒック迂回指示装置３１から指定されたトラヒックを迂回する指示を受けた場合、それぞれ仮想パス１１，１２を使って、トラヒックを迂回させる。
【０００８】
図１５に従来のトラヒック迂回装置３２の機能ブロックを示す。トラヒック迂回装置３２は、アクセス制御リスト３０２と、アクセス制御リスト３０２にしたがってルーティング処理を行うルーティング部３０１と、攻撃トラヒック迂回指示装置３１からの指示にしたがいアクセス制御リスト３０２を更新するアクセス制御リスト更新部３０３から構成される。アクセス制御リスト３０２の例を表１に示す。この設定により、被攻撃コンピュータ２宛のトラヒックは仮想パス１１を使って転送される。
【０００９】
【表１】
0004373352.tif 000002
【特許文献１】Methods and apparatus for protecting against overload conditions on nodes of a distributed network: United States Patent Applications Publication, Pub. No.: US 2002/0083175 A1, Pub. Date: Jun. 27, 2002
【非特許文献２】米国ＳＰＲＩＮＴ社の技術資料“DDoS Mitigation via Regional Cleaning Centers”，S. Agarwal他著（http://ipmon.sprint.com/pubs#trs/trs/RR04-ATL-013177.pdf）
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述した、攻撃トラヒックをある装置へ迂回させて、迂回先での装置で攻撃トラヒックを対処する従来の技術では、
１．設備コスト抑制のため、検出・対処装置数が少ない場合、迂回トラヒックが検出・対処装置に集中し、その装置で輻輳が発生する場合がある。
【００１１】
２．攻撃トラヒックはトラヒック迂回装置まで進入するため、迂回装置群内のネットワークを無駄に使用してしまう。
の問題点があった。
【００１２】
本発明の目的は、検出・対処装置へのトラヒックを抑制でき、したがって検出・対処装置の輻輳発生を抑制でき、また迂回装置群内のネットワークでの攻撃トラヒックによる消費を抑制できる攻撃トラヒック防御システムを提供することにある。
【課題を解決するための手段】
【００１３】
前記問題点１、２を解決するために、本発明の攻撃トラヒック防御システムは、互いに接続された複数の攻撃トラヒック対処装置のうちいずれかに接続され、トンネルベース検出・対処指示装置を通るようにトラヒックを迂回させる迂回装置と、前記迂回装置が迂回させた前記トラヒックを監視し、攻撃トラヒックを検出したとき、該迂回装置と、それぞれの前記攻撃トラヒック対処装置との間のパスのうち、該迂回装置から該攻撃トラヒックの侵入位置までの距離が最短となるパスを求め、該パスの端点に位置する攻撃トラヒック対処装置に対し、該攻撃トラヒックの対処を指示するトンネルベース検出・対処指示装置と、前記トンネルベース検出・対処指示装置の指示に従って、前記攻撃トラヒックに対処する複数の攻撃トラヒック対処装置と、を有する。
【００１４】
具体的には、
前記迂回装置は、前記トンネルベース検出・対処指示装置と自身との間に設定された仮想パスを通じて前記トラヒックを迂回させる。
【００１５】
さらに、具体的には、前記仮想パスは、ＩＰトンネルである。
【００１６】
本発明のトンネルベース検出・対処指示装置は、互いに接続された複数の攻撃トラヒック対処装置のうちいずれかに接続され、トンネルベース検出・対処指示装置を通るようにトラヒックを迂回させる迂回装置が迂回させた前記トラヒックを監視し、攻撃トラヒックを検出する攻撃トラヒック検出手段と、前記攻撃トラヒック検出手段により前記攻撃トラヒックが検出されたとき、該迂回装置と、それぞれの前記攻撃トラヒック対処装置との間のパスのうち、該迂回装置から該攻撃トラヒックの侵入位置までの距離が最短となるパスを求め、該パスの端点に位置する攻撃トラヒック対処装置に対し、該攻撃トラヒックの対処を指示する指示手段と、有する。
【００１７】
本発明の攻撃トラヒック防御方法は、互いに接続された複数の攻撃トラヒック対処装置のうちいずれかに接続された迂回装置が、トンネルベース検出・対処指示装置を通るようにトラヒックを迂回させ、前記トンネルベース検出・対処指示装置が、前記迂回装置が迂回させた前記トラヒックを監視し、攻撃トラヒックを検出したとき、該迂回装置と、それぞれの前記攻撃トラヒック対処装置との間のパスのうち、該迂回装置から該攻撃トラヒックの侵入位置までの距離が最短となるパスを求め、該パスの端点に位置する攻撃トラヒック対処装置に対し、該攻撃トラヒックの対処を指示し、攻撃トラヒック対処装置が、前記トンネルベース・検出対処指示装置の指示に従って、前記攻撃トラヒックに対処する、方法である。
【発明の効果】
【００２０】
本発明は下記の効果がある。
【００２１】
１．迂回装置群で攻撃トラヒックを対処できるため、検出装置へのトラヒックを抑制でき、検出装置の輻輳発生を抑制できる。
【００２２】
２．攻撃トラヒック進入位置に最も近い攻撃トラヒック対処装置により攻撃トラヒックを対処できるため、迂回装置群内のネットワークでの攻撃トラヒックによる消費を抑制できる。
【発明を実施するための最良の形態】
【００２３】
次に、本発明の実施の形態について図面を参照して説明する。
【００２４】
［第１の実施形態］
図１は本発明の第１の実施形態の攻撃トラヒック防御システムの構成図である。
【００２５】
本実施形態は、図１２に示した従来の攻撃トラヒック防御システムにおいて、トラヒック迂回装置３２，３３をそれぞれトンネルベーストラヒック迂回装置１０３２，１０３３に、また、検出・対処装置４１をトンネルベース検出装置１０４１に置き換えたものである。
また、本実施形態では、迂回先への仮想パスとして、ＧＲＥを使ったＩＰ−ｉｎ−ＩＰトンネルを使用している。また、トンネルベーストラヒック迂回装置１０３２、１０３３では、入力物理回線ごとにＩＰ−ｉｎ−ＩＰトンネルを設定している。すなわち、図１の例では、トンネルベーストラヒック迂回装置１０３２は入力物理回線１０５１，１０５２を収容し、各物理回線にはそれぞれＩＰ−ｉｎ−ＩＰトンネル１０１１，１０１２が対応し設定されている。また、これらのトンネルは物理回線１０２１を疎通している。さらに、ＩＰ−ｉｎ−ＩＰトンネル１０１１，１０１２の発信元ＩＰアドレスは、それぞれＡ．Ｂ．Ｃ．Ｄ，Ｅ．Ｆ．Ｇ．Ｈとする。また、トンネルベーストラヒック迂回装置１０３３は入力物理回線１０５３を収容し、その物理回線にはＩＰ−ｉｎ−ＩＰトンネル１０１３が設定されている。ＩＰ−ｉｎ−ＩＰトンネル１０１３の発信元ＩＰアドレスは、Ｉ．Ｊ．Ｋ．Ｌとする。
【００２６】
図２はトンネルベーストラヒック迂回装置１０３２の機能ブロックである。
【００２７】
この装置は、図１５の従来のトラヒック迂回装置３２に、カプセル化処理を行うカプセル化処理部１３０４と、トンネル情報テーブル１３０５が追加されている。また、入力物理回線対応にルーティング処理ができるように、ルーティング部３０１とアクセス制御リスト３０３がそれぞれルーティング部１３０１とアクセス制御リスト１３０２して改変されている。
【００２８】
表２、表３はそれぞれアクセス制御リスト１３０２、トンネル情報テーブル１３０５の例を示している。アクセス制御リスト１３０２は、入力物理回線識別子と宛先アドレスと出力物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子で構成されている。トンネル情報テーブル１３０５は出力物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子と送信元ＩＰアドレスで構成されている。
【００２９】
【表２】
0004373352.tif 000003
【００３０】
【表３】
0004373352.tif 000004
【００３１】
次に、攻撃コンピュータ１からパケットを受信した時のトンネルベーストラヒック迂回装置１０３２の処理を示す。ルーティング部１３０１では、アクセス制御リスト１３０２に従い転送すべき出力物理回線（この例では１０２１）とＩＰ−ｉｎ−ＩＰトンネル（この例では１０１１）を特定する。カプセル化処理部１３０４は、トンネル情報テーブル１３０４から、出力物理回線１０２１、ＩＰ−ｉｎ−ＩＰトンネル１０１１に関連する物理回線識別子１０２１、その送信元ＩＰアドレス（この例ではＡ．Ｂ．Ｃ．Ｄ）を取得する。次に、その送信元ＩＰアドレスを外側ＩＰヘッダの送信元ＩＰアドレスとして、該当する物理回線へ受信パケットを送信する。
【００３２】
図３はトンネルベース検出装置１０４１の機能ブロックである。
【００３３】
この装置１０４１は、トンネルベーストラヒック迂回装置１０３２と１０３３から、それぞれ物理回線１０２１、１０２２を疎通しているＩＰ−ｉｎ−ＩＰトンネル１０１１と１０１２、１０１３を収容している。
【００３４】
この装置１０４１は、図１３の従来の検出・対処装置４１に、デカプセル化処理を行うデカプセル化処理部１１０１と、迂回装置の特定を行う迂回装置特定部１１０２と、トンネル情報テーブル１１０３が追加されて構成されている。
【００３５】
表４にトンネル情報テーブル１１０３の例を示す。トンネル情報テーブル１１０３は物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子と送信元ＩＰアドレス送信元迂回装置識別子と送信元迂回装置入力物理回線識別子で構成されている。
【００３６】
【表４】
0004373352.tif 000005
【００３７】
次に、トンネルベーストラヒック迂回装置１０３２，１０３３からのパケットを受信した時のトンネルベース検出装置１０４１の処理を示す。トラヒック入力部１０１のデカプセル化処理部１１０１では、受信パケットの物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子、外側ＩＰヘッダの送信元ＩＰアドレスを調べる。次に、トンネル情報テーブル１１０３から、それらにマッチする送信元迂回装置識別子、送信元迂回装置入力物理回線識別子を取得する。これにより、迂回装置ならびに入力物理回線を特定することが可能となる。
【００３８】
［第２の実施形態］
図４は攻撃トラヒックが疎通するトラヒックを迂回させた迂回装置を特定する機能を追加したトンネルベース検出装置の機能ブロックである。
【００３９】
この装置は、第１の実施形態のトンネルベース検出装置１０４１（図３）に、集約したＩＰ−ｉｎ−ＩＰトンネルから流入するトラヒックを格納するトンネルフローテーブル１１０６と、該テーブル１１０６から攻撃トラヒックが疎通しているトンネルを検出する攻撃トンネル検出部１１０１と、その攻撃トンネルの発信基である迂回装置を特定する攻撃迂回装置特定部１１０５と、攻撃トラヒック迂回装置テーブル１１０７が追加されている。
【００４０】
表５と表６に、それぞれトンネルフローテーブル１１０６、攻撃トラヒック迂回装置情報テーブル１１０７の例を示す。トンネルフローテーブル１１０６は物理回線識別子とＩＰ−ｉｎ−ＩＰトンネル識別子とからなり、それぞれ、フロー識別子、フロー状態、宛先ＩＰアドレス、パケットレートから構成される。攻撃トラヒック迂回装置情報テーブル１１０７は攻撃トラヒック迂回装置識別子と攻撃トラヒック入力物理回線識別子とＩＰアドレスで構成される。
【００４１】
【表５】
0004373352.tif 000006
【００４２】
【表６】
0004373352.tif 000007
【００４３】
次に、この装置の処理を説明する。
【００４４】
トラヒック入力部１０１は、受信したパケットを物理回線・ＩＰ−ｉｎ−ＩＰトンネルごとにフロー（ここでは宛先アドレス単位のパケットの流れ）単位でレート（単位時間当たりに疎通したパケット数）を計測し、その結果をトンネル情報テーブル１１０３に格納する。
【００４５】
攻撃トンネル検出部１１０１では、攻撃パケット検出アルゴリズムにしたがってフローが攻撃であるかどうか調べる。ここでは文献ＡＣＭ  ＳＩＧＣＯＭＭ  Ｃｏｍｐｕｔｅｒ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｒｅｖｉｅｗ，Ｖｏｌｕｍｅ  ３４，Ｉｓｓｕｅ  ２（Ａｐｒｉｌ  ２００４）Ｐａｇｅｓ：３９−５３“Ａ  Ｔａｘｏｎｏｍｙ  ｏｆ  ＤＤｏＳ  Ａｔｔａｃｋｓ  ａｎｄ  ＤＤｏＳ  Ｄｅｆｅｎｓｅ  Ｍｅｃｈａｎｉｓｍｓ”、Ｊ．Ｍｉｒｋｏｖｉｃら著において記述されているアルゴリズムである「宛先ＩＰアドレスごとに集約したフローのレートが閾値を超えた場合被疑攻撃フローと判断する」を使用しているとする。
【００４６】
表５の宛先ＩＰアドレスα．β．γ．ε宛のパケットレートの総和が閾値を超えていた場合、その宛先ＩＰアドレスのフローの状態を「攻撃」とする。
【００４７】
攻撃トンネル検出部１１０１は、新たに攻撃フローを検出した場合、攻撃トラヒック迂回装置特定部１１０５に通知する。
【００４８】
その通知を受け取った攻撃トラヒック迂回装置特定部１１０５は、フロー状態が「攻撃」であるフローを含む物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子を取得する。次に、トンネル情報テーブル１１０３から取得した物理回線識別子、ＩＰ−ｉｎ−ＩＰトンネル識別子と一致する送信元迂回装置識別子、送信元迂回装置入力物理回線識別子、送信元ＩＰアドレスを取得し、それぞれ攻撃トラヒック迂回装置情報テーブル１１０７の攻撃トラヒック迂回装置識別子、攻撃トラヒック入力物理回線識別子、ＩＰアドレスの値として保存する。
【００４９】
これらの値により特定される迂回装置が所望の攻撃トラヒック迂回装置となる。
【００５０】
［第３の実施形態］
図５はこの実施形態の攻撃トラヒック防御システムの構成である。
【００５１】
本実施形態は、図１の攻撃トラヒック防御システムに、攻撃トラヒックを対処する攻撃トラヒック対処装置１２４２，１２４３が追加されて構成されている。
【００５２】
図６は、攻撃トラヒック対処装置を算出機能を有するトンネルベース検出・対処指示装置１２４１の機能ブロックである。
【００５３】
この装置１２４１は、図４の装置に、迂回・対処装置関連テーブル１１０９と、該テーブル１１０９から攻撃トラヒック対処装置を算出する攻撃トラヒック対処装置特定部１１０８が追加されて構成されている。
【００５４】
表７は、各迂回装置に関連する対処装置の情報が保存されている迂回・対処装置関連テーブル１１０９の例を示している。迂回・対処装置関連テーブル１１０９は攻撃トラヒック迂回装置と攻撃トラヒック対処装置で構成されている。
【００５５】
【表７】
0004373352.tif 000008
【００５６】
次に、攻撃トラヒック対処装置特定部１１０８の処理を説明する。攻撃トラヒック迂回装置特定部１１０５から特定通知を受けた攻撃トラヒック対処装置特定部１１０８は、迂回・対処装置トポロジテーブル１１０９より特定された迂回装置に関連した攻撃トラヒック対処装置を特定する。
【００５７】
［第４の実施形態］
図７は本実施形態での実施形態の攻撃トラヒック防御システムの構成図である。
【００５８】
本実施形態では、第３の実施形態の攻撃トラヒック防御システムにおいて、攻撃トラヒック対処装置１２４２，１２４３の代わりに１３０１，１３０２，１３０３，１３０４が追加されている。
【００５９】
また、第３の実施形態での迂回・対処装置関連テーブル１１０９は図８に示すように迂回・対処装置群内の迂回装置・対処装置のトポロジーを表している。このトポロジー情報は、インターネットの場合、情報はＯＳＰＦ（Ｏｐｅｎ  Ｓｈｏｒｔｅｓｔ  Ｐａｔｈ  Ｆｉｒｓｔ）プロトコルのようなリンク状態ルーティングプロトコルが実行されているルータ内のデータベースに存在する（文献“マスタリングＴＣＰ／ＩＰ応用編”Ｐ．Ｍｉｌｌｅｒ著、平成１０年、オーム社）。
【００６０】
次に、攻撃トラヒック対処装置特定部１１０８での処理を説明する。攻撃トラヒック迂回装置特定部１１０５から特定通知を受けた攻撃トラヒック対処装置特定部１１０８では、攻撃トラヒック迂回装置を基点とし、攻撃トラヒック物理回線方向の最短パス木を作成する。最短パス木の作成手順は、前述の文献に記載されている。
【００６１】
図８の例での最短パス木を１４００に示す。最短パス木の端点にある攻撃トラヒック対処装置を所望の攻撃トラヒック対処装置とする。
【００６２】
［第５の実施形態］
図９は、攻撃トラヒック対処装置に対処指示する機能を有するトンネルベース検出・対処指示装置の機能ブロックを示す。
【００６３】
この装置は、算出された攻撃トラヒック対処装置に指示する攻撃トラヒック対処装置間通信部１１１０が図６の装置に追加されている。
【００６４】
図１０に、本実施形態のシーケンスを示す。本実施形態でのシーケンスでのトンネルベーストラヒック迂回装置がトラヒックを他装置へ迂回させるまでの手順は、従来の技術と同じである（図１０の２００１から２００４まで）。迂回トラヒック６を受信した攻撃トラヒック対処指示装置１０４１は、第２の実施形態で述べた手順により攻撃トラヒック迂回装置を特定する（図１０のステップ２００５）。
【００６５】
攻撃トラヒック迂回装置特定部１１０５から特定通知を受けた攻撃トラヒック対処装置特定部１１０８では、迂回・対処装置トポロジテーブル１１０９より特定された迂回装置に関連した攻撃トラヒック対処装置を特定する（図１０の２００６）。そして、特定された攻撃トラヒック対処装置１２４２に対し、攻撃トラヒックを対処するよう指示する（図１０のステップ２００７）。その指示を受けた攻撃対処装置１２４２では、そのトラヒックをフィルターする（図１０のステップ２００８）。
【００６６】
［第６の実施形態］
図１１に本実施形態の各事業者間のシーケンスを示す。
【００６７】
この実施形態は、攻撃トラヒックが発生するインターネットサービスを提供する事業者３０００とそのサービスの利用者３００１と攻撃対処を行う事業者３００２から構成される。
【００６８】
事業者３０００はインターネット４０００を管理する。また、事業者３０００は、転送装置４００１，４００２の転送機能を管理している。さらに、インターネットサービス利用者を管理するインターネットサービス利用者管理装置４１００とインターネットサービス利用者のデータベース４１０１を所有する。
【００６９】
利用者３００１は、図１に示した被攻撃コンピュータ２を所有している。
【００７０】
事業者３００２は、図５に示した迂回・対処装置群１２０３、攻撃トラヒック検出・対処指示装置群１２０４を所有する。さらに、攻撃対処サービスを管理する攻撃対処サービス管理装置４２００と攻撃対処サービス利用者のデータベース４２０１を所有している。
【００７１】
まず、インターネットサービス利用者３００１は、利用しているコンピュータが攻撃を受けていると認識した場合、インターネットサービス提供事業者３０００に攻撃対処依頼３０１１を行う。
【００７２】
それを受けた事業者３０００は、インターネットサービス利用者管理装置４１００を通して、インターネットサービス利用者管理データベース４１０１にそのサービス利用を記録する。また、攻撃対処事業者３００２に対し攻撃対処依頼３０１２を行う。
【００７３】
それを受けた攻撃対処事業者３００２では、攻撃対処サービス管理装置４２００を通して、攻撃対処サービス利用者のデータベース４２０１にそのサービス利用を記録する。また、攻撃対処サービス管理装置４２００を通して、第１〜第５の実施形態で説明した手段により、攻撃トラヒックを対処するとともに対処費を請求する（３０１３）。
【００７４】
それを受けたインターネットサービス提供事業者３０００は、攻撃対処結果を、インターネットサービス利用者管理装置４１００を通して、インターネットサービス利用者管理データベース４１０１に記録し、インターネットサービス利用者３００１に提供するとともに対処費を請求する（３０１４）。
【００７５】
これに従い、インターネットサービス利用者３００１は対処費をインターネットサービス事業者３０００に、事業者３０００は、攻撃対処事業者３００２に対処費を支払う（それぞれ図４での３０１５、３０１６に対応する）。
【００７６】
インターネットサービス利用者３００１から対処費を受領したインターネットサービス提供事業者３６０００は、インターネットサービス利用者管理装置４１００を通して、インターネットサービス利用者管理データベース４１０１にその支払い情報を記録する。
【００７７】
インターネットサービス提供事業者３００１から対処費を受領した攻撃対処事業者３００２では、攻撃対処サービス管理装置４２００を通して、攻撃対処サービス利用者のデータベース４２０１にその支払い情報を記録する。
【図面の簡単な説明】
【００７８】
【図１】本発明の第１の実施形態による攻撃トラヒック防御システムの構成図である。
【図２】図１中のトンネルベーストラヒック迂回装置のブロック図である。
【図３】図１中のトンネルベース検出装置のブロック図である。
【図４】本発明の第２の実施形態による攻撃トラヒック防御システムを構成するトンネルベース検出装置のブロック図である。
【図５】本発明の第３の実施形態による攻撃トラヒック防御システムの構成図である。
【図６】図５中のトンネルベース検出・対処指示装置のブロック図である。
【図７】本発明の第４の実施形態による攻撃トラヒック防御システムの構成図である。
【図８】迂回・対処装置関連テーブルの例を示す図である。
【図９】本発明の第５の実施形態による攻撃トラヒック防御システムを構成するトンネルベース検出・対処指示装置のブロック図である。
【図１０】第５の実施形態による攻撃トラヒック防御システムのシーケンス図である。
【図１１】本発明の第６の実施形態による攻撃トラヒック防御システムの構成図である。
【図１２】従来の攻撃トラヒック防御システムの構成図である。
【図１３】図１２の攻撃トラヒック防御システムのシーケンス図である。
【図１４】図１２中の検出・対処装置のブロック図である。
【図１５】図１２中のトラヒック迂回装置のブロック図である。
【符号の説明】
【００７９】
１    攻撃コンピュータ
２    被攻撃コンピュータ
５    攻撃トラヒック
６    迂回トラヒック
７    通過トラヒック
３１    攻撃トラヒック迂回指示装置
１０１１，１０１２，１０１３    ＩＰ−ｉｎ−ＩＰトンネル
１０２１，１０２２    物理回線
１０３２，１０３３    トンネルベーストラヒック迂回装置
１０４１    トンネルベース検出装置
１０５１，１０５２，１０５３    物理回線
１３０１    ルーティング部
１３０２    アクセス制御リスト
１３０３    アクセス制御リスト更新部
１３０４    カプセル化処理部
１３０５    トンネル情報テーブル
１１０１    カプセル化処理部
１１０２    迂回装置特定部
１１０３    トンネル情報テーブル
１１０５    攻撃トラヒック迂回装置特定部
１１０６    トンネルフローテーブル
１１０７    攻撃トラヒック迂回装置テーブル
１１０８    攻撃トラヒック対処装置特定部
１１０９    迂回・対処装置関連テーブル
１１１０    攻撃トラヒック対処装置間通信部
１２４１    トンネルベース検出・対処指示装置
１２４２、１２４３  攻撃トラヒック対処装置
１３０１〜１３０４  攻撃トラヒック対処装置
１４００    最短パス木
２００１〜２００８    ステップ
３０００    インターネットサービス提供事業者
３００１    インターネットサービス利用者
３００２    攻撃対処事業者
【図１】
0004373352.tif 000009
【図２】
0004373352.tif 000010
【図３】
0004373352.tif 000011
【図４】
0004373352.tif 000012
【図５】
0004373352.tif 000013
【図６】
0004373352.tif 000014
【図７】
0004373352.tif 000015
【図８】
0004373352.tif 000016
【図９】
0004373352.tif 000017
【図１０】
0004373352.tif 000018
【図１１】
0004373352.tif 000019
【図１２】
0004373352.tif 000020
【図１３】
0004373352.tif 000021
【図１４】
0004373352.tif 000022
【図１５】
0004373352.tif 000023