(57)【要約】  防御装置１０は、検知装置５０から攻撃情報を受信すると、攻撃情報から攻撃を受けているサーバ２０−１を特定した場合には、特定したサーバ２０−１に対して次の中継先となる中継装置３０−１をルーティング表から求め、防御装置１０と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−１を除いた中継装置３０−２を通知先として選択する。そして、防御装置１０は、選択した中継装置３０−２に対して、攻撃パケットを自己に経由させるための経路情報を通知し、かかる経路情報に基づいてルーティング表を変更した中継装置３０−２から自己に経由されてきた攻撃パケットの通過を制御する。【特許請求の範囲】
【請求項１】
ネットワーク上のサーバまたはドメインに対する攻撃情報に基づいて、当該サーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御装置であって、
前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択手段と、
前記中継装置選択手段によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知手段と、
前記経路情報通知手段によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御手段と、
を備えたことを特徴とする防御装置。
【請求項２】
前記中継装置選択手段は、自己に隣接する複数の中継装置のなかから前記攻撃パケットによる攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いて、前記経路情報の通知先となる中継装置を選択することを特徴とする請求項１に記載の防御装置。
【請求項３】
自己と隣接関係をもつ他の防御装置に対して前記攻撃情報を送信する攻撃情報送信手段をさらに備え、
前記中継装置選択手段は、前記他の防御装置から前記攻撃情報を受信した場合にも、当該攻撃情報に基づいて前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択することを特徴とする請求項１または２に記載の防御装置。
【請求項４】
前記経路情報通知手段によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットを監視して、当該中継装置から自己に経由される攻撃パケットの送信が終了したか否かを判定する攻撃終了判定手段をさらに備え、
前記経路情報通知手段は、前記攻撃終了判定手段によって前記攻撃パケットの送信が終了したものと判定された場合に、当該攻撃パケットを自己に経由させないための経路情報を前記中継装置に通知することを特徴とする請求項１に記載の防御装置。
【請求項５】
ネットワーク上のサーバまたはドメインに送信されるパケットを中継する複数の中継装置と、当該サーバまたはドメインに対する攻撃情報に基づいて所定の中継装置に対して経路情報を送信し、当該サーバまたはドメイン宛の攻撃パケットの通過を制御する防御装置とを有するネットワーク攻撃防御システムであって、
前記防御装置は、
前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択手段と、
前記中継装置選択手段によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知手段と、
前記経路情報通知手段によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御手段と、
を備えたことを特徴とするネットワーク攻撃防御システム。
【請求項６】
ネットワーク上のサーバまたはドメインに対する攻撃情報に基づいて、当該サーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御装置による防御方法であって、
前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択工程と、
前記中継装置選択工程によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知工程と、
前記経路情報通知工程によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御工程と、
を含んだことを特徴とする防御方法。
【請求項７】
前記中継装置選択工程は、自己に隣接する複数の中継装置のなかから前記攻撃パケットによる攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いて、前記経路情報の通知先となる中継装置を選択することを特徴とする請求項６に記載の防御方法。
【請求項８】
自己と隣接関係をもつ他の防御装置に対して前記攻撃情報を送信する攻撃情報送信工程をさらに含み、
前記中継装置選択工程は、前記他の防御装置から前記攻撃情報を受信した場合にも、当該攻撃情報に基づいて前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択することを特徴とする請求項６または７に記載の防御方法。
【請求項９】
前記経路情報通知工程によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットを監視して、当該中継装置から自己に経由される攻撃パケットの送信が終了したか否かを判定する攻撃終了判定工程をさらに含み、
前記経路情報通知工程は、前記攻撃終了判定工程によって前記攻撃パケットの送信が終了したものと判定された場合に、当該攻撃パケットを自己に経由させないための経路情報を前記中継装置に通知することを特徴とする請求項６に記載の防御方法。
【請求項１０】
ネットワーク上のサーバまたはドメインに対する攻撃情報に基づいて、当該サーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御方法を防御装置としてのコンピュータに実行させる防御プログラムであって、
前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択手順と、
前記中継装置選択手順によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知手順と、
前記経路情報通知手順によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御手順と、
をコンピュータに実行させることを特徴とする防御プログラム。
【請求項１１】
前記中継装置選択手順は、自己に隣接する複数の中継装置のなかから前記攻撃パケットによる攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いて、前記経路情報の通知先となる中継装置を選択することを特徴とする請求項１０に記載の防御プログラム。
【請求項１２】
自己と隣接関係をもつ他の防御装置に対して前記攻撃情報を送信する攻撃情報送信手順をさらにコンピュータに実行させ、
前記中継装置選択手順は、前記他の防御装置から前記攻撃情報を受信した場合にも、当該攻撃情報に基づいて前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択することを特徴とする請求項１０または１１に記載の防御プログラム。
【請求項１３】
前記経路情報通知手順によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットを監視して、当該中継装置から自己に経由される攻撃パケットの送信が終了したか否かを判定する攻撃終了判定手順をさらにコンピュータに実行させ、
前記経路情報通知手順は、前記攻撃終了判定手順によって前記攻撃パケットの送信が終了したものと判定された場合に、当該攻撃パケットを自己に経由させないための経路情報を前記中継装置に通知することを特徴とする請求項１０に記載の防御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク上のサーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システムに関する。
【背景技術】
【０００２】
従来より、ＤｏＳ（DenialofService）攻撃またはＤＤｏＳ（DistributedDenialofService）攻撃を受けるネットワーク上のサーバを防御する防御装置と、サーバに送信されるパケットを中継する複数のルータとをネットワーク上に備えたネットワーク攻撃防御システムが知られている。例えば、特許文献１（米国特許出願公開第２００２／００８３１７５号明細書）に開示されたネットワーク攻撃防御システムでは、サーバに対する攻撃を検出した場合に、防御装置は、パケットを自己に経由させるための経路情報を所定のルータに通知することによって、自己を経由するパケットのフィルタリングを行い、フィルタリングを行ったパケットをサーバに転送する。【０００３】
これについて、図１３を用いて具体的に説明する。図１３は、従来技術に係るネットワーク攻撃防御システムを説明するための図である。同図に示すように、例えば、通信端末９４（攻撃者）がサーバ９２（被害者）に対して攻撃を行っている場合、攻撃検知装置９５は、ルータ８３を経由してパケットを受信するサーバ９２が攻撃を受けていることを検知すると、攻撃を検知したことを防御装置９０に通知する（図１３の（１）および（２）参照）。そして、この通知を受けた防御装置９０は、パケットを自己に経由させるための経路情報を所定のルータ９３に通知する（同図の（３）参照）。その一方、ルータ９３は、受信した経路情報に基づいてルーティング表を更新し、更新したルーティング表に従ってパケットを中継する（同図の（４）参照）。すなわち、ルータ９３は、サーバ９２向けの攻撃パケットを防御装置９０に転送するようになる。その結果、防御装置９０は、ルータ９３から転送された攻撃パケットのフィルタリングを行い、フィルタリングを行ったパケットをルータ８３を介してサーバ９２に転送する。【０００４】
【特許文献１】米国特許出願公開第２００２／００８３１７５号明細書（第１０頁−第１２頁）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記した従来の技術では、例えば、図１３に示した例のように、ルータ８３を経由してパケットを受信するサーバ９２に対する攻撃を検出した場合にだけ、防御装置９０が経路情報をルータ９３に通知することが予め決まっているため、仮にサーバ９２が攻撃者になったような場合には攻撃パケットを防御することができないという問題がある。すなわち、従来技術に係るネットワーク攻撃防御システムでは、攻撃パケットの流入方向が固定されていなければ攻撃に対応できないという問題がある。【０００６】
また、従来技術に係るネットワーク攻撃防御システムでは、防御装置９０がフィルタリングを行ったパケットをルータ９３に転送するときに、防御装置９０とルータ９３との間でパケットのループが生じてしまうという問題もある。さらに、これらの問題の他に、上記した従来の技術では、ネットワーク攻撃防御システムが複数の防御装置９０を備えるようにした場合において、所定のルータ９３に経路情報を通知することが予め決まっているため、攻撃パケットの送信元に一番近い防御装置に攻撃パケットを迂回させて攻撃パケットの通過を制御することができず、攻撃パケット送信元に一番近い防御装置だけに攻撃パケットを経由させて攻撃パケットを迂回することもできないといった問題がある。【０００７】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、攻撃パケットの流入方向に影響されることなく攻撃パケットを防御することなどが可能な防御装置、防御方法および防御プログラム防御プログラム並びにネットワーク攻撃防御システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ネットワーク上のサーバまたはドメインに対する攻撃情報に基づいて、当該サーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御装置であって、前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択手段と、前記中継装置選択手段によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知手段と、前記経路情報通知手段によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御手段と、を備えたことを特徴とする。【０００９】
また、請求項２に係る発明は、上記の発明において、前記中継装置選択手段は、自己に隣接する複数の中継装置のなかから前記攻撃パケットによる攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いて、前記経路情報の通知先となる中継装置を選択することを特徴とする。【００１０】
また、請求項３に係る発明は、上記の発明において、自己と隣接関係をもつ他の防御装置に対して前記攻撃情報を送信する攻撃情報送信手段をさらに備え、前記中継装置選択手段は、前記他の防御装置から前記攻撃情報を受信した場合にも、当該攻撃情報に基づいて前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択することを特徴とする。【００１１】
また、請求項４に係る発明は、上記の発明において、前記経路情報通知手段によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットを監視して、当該中継装置から自己に経由される攻撃パケットの送信が終了したか否かを判定する攻撃終了判定手段をさらに備え、前記経路情報通知手段は、前記攻撃終了判定手段によって前記攻撃パケットの送信が終了したものと判定された場合に、当該攻撃パケットを自己に経由させないための経路情報を前記中継装置に通知することを特徴とする。【００１２】
また、請求項５に係る発明は、ネットワーク上のサーバまたはドメインに送信されるパケットを中継する複数の中継装置と、当該サーバまたはドメインに対する攻撃情報に基づいて所定の中継装置に対して経路情報を送信し、当該サーバまたはドメイン宛の攻撃パケットの通過を制御する防御装置とを有するネットワーク攻撃防御システムであって、前記防御装置は、前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択手段と、前記中継装置選択手段によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知手段と、前記経路情報通知手段によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御手段と、を備えたことを特徴とする。【００１３】
また、請求項６に係る発明は、ネットワーク上のサーバまたはドメインに対する攻撃情報に基づいて、当該サーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御装置による防御方法であって、前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択工程と、前記中継装置選択工程によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知工程と、前記経路情報通知工程によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御工程と、を含んだことを特徴とする。【００１４】
また、請求項７に係る発明は、上記の発明において、前記中継装置選択工程は、自己に隣接する複数の中継装置のなかから前記攻撃パケットによる攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いて、前記経路情報の通知先となる中継装置を選択することを特徴とする。【００１５】
また、請求項８に係る発明は、上記の発明において、自己と隣接関係をもつ他の防御装置に対して前記攻撃情報を送信する攻撃情報送信工程をさらに含み、前記中継装置選択工程は、前記他の防御装置から前記攻撃情報を受信した場合にも、当該攻撃情報に基づいて前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択することを特徴とする。【００１６】
また、請求項９に係る発明は、上記の発明において、前記経路情報通知工程によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットを監視して、当該中継装置から自己に経由される攻撃パケットの送信が終了したか否かを判定する攻撃終了判定工程をさらに含み、前記経路情報通知工程は、前記攻撃終了判定工程によって前記攻撃パケットの送信が終了したものと判定された場合に、当該攻撃パケットを自己に経由させないための経路情報を前記中継装置に通知することを特徴とする。【００１７】
また、請求項１０に係る発明は、ネットワーク上のサーバまたはドメインに対する攻撃情報に基づいて、当該サーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して当該攻撃パケットの通過を制御する防御方法を防御装置としてのコンピュータに実行させる防御プログラムであって、前記攻撃情報に基づいて、自己に隣接する複数の中継装置のなかから前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択する中継装置選択手順と、前記中継装置選択手順によって中継装置に対して、前記攻撃パケットを自己に経由させるための経路情報を通知する経路情報通知手順と、前記経路情報通知手順によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットの通過を制御するパケット制御手順と、をコンピュータに実行させることを特徴とする。【００１８】
また、請求項１１に係る発明は、上記の発明において、前記中継装置選択手順は、自己に隣接する複数の中継装置のなかから前記攻撃パケットによる攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いて、前記経路情報の通知先となる中継装置を選択することを特徴とする。【００１９】
また、請求項１２に係る発明は、上記の発明において、自己と隣接関係をもつ他の防御装置に対して前記攻撃情報を送信する攻撃情報送信手順をさらにコンピュータに実行させ、前記中継装置選択手順は、前記他の防御装置から前記攻撃情報を受信した場合にも、当該攻撃情報に基づいて前記攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置を選択することを特徴とする。【００２０】
また、請求項１３に係る発明は、上記の発明において、前記経路情報通知手順によって経路情報が通知された中継装置から自己に経由されてきた前記攻撃パケットを監視して、当該中継装置から自己に経由される攻撃パケットの送信が終了したか否かを判定する攻撃終了判定手順をさらにコンピュータに実行させ、前記経路情報通知手順は、前記攻撃終了判定手順によって前記攻撃パケットの送信が終了したものと判定された場合に、当該攻撃パケットを自己に経由させないための経路情報を前記中継装置に通知することを特徴とする。
【発明の効果】
【００２１】
請求項１、５、６または１０の発明によれば、攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置を攻撃パケットの流入方向も考慮して選択し、当該選択した中継装置から自己に経由されてきた攻撃パケットの通過を制御するので、攻撃パケットの流入方向に影響されることなく攻撃パケットを防御することが可能になる。【００２２】
また、請求項２、７または１１の発明によれば、攻撃を受けているサーバまたはドメインに対して次の中継先となる中継装置を除いた他の中継装置に経路情報を通知し、後者の中継装置から自己に経由されてきたパケットを前者の中継装置に中継するので、パケットのループを防止することが可能になる。【００２３】
また、請求項３、８または１２の発明によれば、自己と隣接関係をもつ他の防御装置に対して攻撃情報を送信するとともに、他の防御装置から攻撃情報を受信した場合にも、当該攻撃情報に基づいて攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置を選択し、当該選択した中継装置から自己に経由されてきた攻撃パケットの通過を制御するので、攻撃発生元に近い防御装置において攻撃を防御することが可能になる。【００２４】
また、請求項４、９または１３の発明によれば、中継装置から自己に経由される攻撃パケットの送信が終了した場合に、攻撃パケットを自己に経由させないための経路情報を中継装置に改めて通知するので、防御装置を経由する攻撃パケットの迂回を効率的に切替えることが可能になる。
【図面の簡単な説明】
【００２５】
【図１】図１は、実施例１に係るネットワーク攻撃防御システムの構成を示す図である。
【図２】図２は、実施例１における防御装置の構成を示すブロック図である。
【図３】図３は、容疑シグネチャの例を示す図である。
【図４】図４は、正規条件情報の例を示す図である。
【図５】図５は、不正トラヒック検出条件の例を示す図である。
【図６】図６は、攻撃情報受信時の処理手順を示すフローチャートである。
【図７】図７は、不正パケット検出時の処理手順を示すフローチャートである。
【図８】図８は、パケット制御時の処理手順を示すフローチャートである。
【図９】図９は、実施例２に係るネットワーク攻撃防御システムの構成を示す図である。
【図１０】図１０は、実施例２における防御装置の構成を示すブロック図である。
【図１１】図１１は、攻撃情報受信時の処理手順を示すフローチャートである。
【図１２】図１２は、攻撃終了判定の処理手順を示すフローチャートである。
【図１３】図１３は、従来技術に係るネットワーク攻撃防御システムを説明するための図である。
【符号の説明】
【００２６】
１０、６０  防御装置
１１  ネットワークインタフェース部
１２  パケット制御部
１３、６３  攻撃情報処理部
１４  中継装置選択部
１５  経路情報通知部
１６  パケット取得部
１７、６７  攻撃検出部
２０  サーバ
３０  中継装置
４０  通信端末
５０  検知装置
８３  ルータ
９５  攻撃検知装置
１００、２００  ネットワーク攻撃防御システム
【発明を実施するための最良の形態】
【００２７】
以下に添付図面を参照して、この発明に係る防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システムの実施例を詳細に説明する。なお、以下では、一つの防御装置で攻撃を防御するネットワーク攻撃防御システムを実施例１として説明するとともに、複数の防御装置で攻撃を防御するネットワーク攻撃防御システムを実施例２として説明し、最後に、実施例１および２に対する種々の変形例を実施例３として説明する。
【実施例１】
【００２８】
以下の実施例１では、一つの防御装置で攻撃を防御するネットワーク攻撃防御システムについて、システムの概要および特徴を説明した後に、防御装置の構成および処理、実施例１の効果を順に説明する。【００２９】
［システムの概要および特徴（実施例１）］
最初に、図１を用いて、実施例１に係るネットワーク攻撃防御システムの概要および特徴を説明する。図１は、実施例１に係るネットワーク攻撃防御システムの構成を示すシステム構成図である。【００３０】
同図に示すように、このネットワーク攻撃防御システム１００は、ネットワーク上のサーバ２０に対するＤｏＳ攻撃またはＤＤｏＳ攻撃が検出された場合に、この攻撃を防御する防御装置１０と、サーバ２０に送信されるパケットを中継する複数の中継装置３０とをネットワーク上に備える。また、このネットワーク上には、サーバ２０や通信端末４０が接続されており、さらに、サーバ２０が攻撃を受けたことを検知する検知装置５０が設けられている。【００３１】
なお、中継装置３０は、例えば、ルータとして機能してもよく、または、ブリッジとして機能してもよい。また、以下の説明において、図示した中継装置３０の各々を区別する場合には、中継装置３０−１または中継装置３０−２とし、サーバ２０の各々を区別する場合には、サーバ２０−１またはサーバ２０−２として記載する。【００３２】
かかるネットワーク攻撃防御システム１００において、防御装置１０および中継装置３０には、パケットの宛先を規定したルーティング表が登録されている。なお、ルーティング表を登録する方法としては、例えば、ＯＳＰＦ（OpenShortestPathFirst）、ＲＩＰ（RoutingInformationProtocol）またはＢＧＰ（BorderGatewayProtocol）などの公知のルーティングプロトコルに準拠して登録するようにしてもよい。【００３３】
そして、通信端末４０がサーバ２０−１にパケットを通常に送信した場合には、この送信されたパケットは、中継装置３０−１および中継装置３０−２それぞれのルーティング表に従って、防御装置１０を中継せずに中継装置３０−２および中継装置３０−１を介してサーバ２０−１に中継される。【００３４】
ここで、通信端末４０が攻撃者であり、攻撃を行うための攻撃パケットをサーバ２０−１に送信していた場合には、検知装置５０は、サーバ２０−１に対する攻撃を検出し、攻撃を検出した旨を示す攻撃情報を防御装置１０に送信する（図１の（１）および（２）参照）。なお、この攻撃情報には、攻撃を受けているサーバ２０−１のアドレス等が含まれる。また、検知装置５０および防御装置１０は、検知装置５０および防御装置１０等を管理するための管理用ネットワークに接続されていてもよく、攻撃情報は、管理用ネットワークを介して送受されてもよい。【００３５】
一方、検知装置５０から送信された攻撃情報を受信した防御装置１０は、受信した攻撃情報に基づいて、攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置３０を選択する（同図の（３）参照）。ここで、実施例１に係るネットワーク攻撃防御システム１００では、攻撃パケットの流入方向も考慮して中継装置を選択することで、攻撃パケットの流入方向に影響されることなく攻撃パケットを防御することができるようにしている点に主たる特徴がある。【００３６】
すなわち、防御装置１０は、攻撃情報から攻撃を受けているサーバ２０を特定し、攻撃を受けているサーバ２０のアドレスが含まれるパケットに対する次の中継先となる中継装置３０をルーティング表から求め、防御装置１０と隣接する複数の中継装置３０のうち、次の中継先となる中継装置３０を除く中継装置３０を通知先として選択する。例えば、図１に示した例で言えば、攻撃情報から攻撃を受けているサーバ２０−１を特定した場合には、特定したサーバ２０−１に対して次の中継先となる中継装置３０−１をルーティング表から求め、防御装置１０と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−１を除いた中継装置３０−２を通知先として選択する。【００３７】
かかる中継装置３０の選択後、防御装置１０は、選択した中継装置３０−２に対して、攻撃パケットを自己に経由させるための経路情報を通知し（同図の（４）参照）、中継装置３０−２は、通知された経路情報に基づいてルーティング表を変更する（同図の（５）参照）。この結果、中継装置３０−２は、サーバ２０−１行きの攻撃パケットを防御装置１０に中継することになる。つまり、攻撃パケットは、中継装置３０−２、防御装置１０、中継装置３０−１を介してサーバ２０−１に中継される。【００３８】
そして、防御装置１０は、中継装置３０−２から中継された攻撃パケットの通過を攻撃情報に基づいて制御しながら、サーバ２０−１向けのパケットを中継する。仮に、攻撃の対象がサーバ２０ではなく、あるドメインであった場合に、このドメイン行きの攻撃パケットが防御装置１０に中継される。なお、防御装置１０は、攻撃パケットを監視した上で、通信端末４０からの攻撃が終了したと判断した場合には、サーバ２０−１行きのパケットを自己に経由させないための経路情報を中継装置３０−２に通知し、これを受信した中継装置３０−２は、通知された経路情報に基づいてルーティング表を変更する。【００３９】
［防御装置の構成（実施例１）］
次に、図２を用いて、図１に示した防御装置１０の構成を説明する。図２は、実施例１における防御装置１０の構成を示すブロック図である。同図に示すように、この防御装置１０は、ネットワークインタフェース部１１と、パケット制御部１２と、攻撃情報処理部１３と、中継装置選択部１４と、経路情報通知部１５と、パケット取得部１６と、攻撃検出部１７とを備えて構成される。【００４０】
ところで、防御装置１０は、ＣＰＵ（CentralProcessingUnit）やメモリ、ハードディスク等を有しており、パケット制御部１２、攻撃情報処理部１３、中継装置選択部１４、経路情報通知部１５、パケット取得部１６および攻撃検出部１７は、ＣＰＵによって処理されるプログラムのモジュールでもよい。また、このプログラムのモジュールは、１つのＣＰＵで処理されてもよく、複数のＣＰＵに分散して処理されてもよい。【００４１】
なお、パケット制御部１２は特許請求の範囲に記載の「パケット制御手段」に対応し、中継装置選択部１４は同じく「中継装置選択手段」に対応し、経路情報通知部１５は同じく「経路情報通知手段」に対応する。【００４２】
図２において、ネットワークインタフェース１１は、ネットワークと接続されている通信機器との間でパケットや攻撃情報等を送受信する手段であり、具体的には、ＬＡＮ（LocalAreaNetwork）またはＷＡＮ（WideAreaNetwork）などのネットワークと接続するためのネットワーク接続カード等によって構成される。【００４３】
パケット制御部１２は、パケットの宛先に対するルーティング表が登録されており、ルーティング表に従って、受信したパケットを中継する処理部である。また、パケット制御部１２は、パケットフィルタリングを行う図示しないフィルタ部を有し、ネットワークインタフェース部１１が受信したパケットの通過を制御し、通過させるパケットをネットワークインタフェース部１１に出力する処理部でもある。なお、かかるパケットフィルタリングについては後に図８を用いて詳述する。【００４４】
攻撃情報処理部１３は、検知装置５０がＤｏＳ攻撃またはＤＤｏＳ攻撃を検出した場合に、攻撃を検出した旨を示す攻撃情報を受信する処理部である。ここで、攻撃情報には、攻撃を受けているサーバ２０のアドレスに加えて、パケットの通過を制御するためのシグネチャ等が含まれるようにしてもよい。すなわち、攻撃情報処理部１３が、攻撃に対して容疑のかかるパケットとなる容疑パケットを制限するための容疑シグネチャや正規条件情報も受信するようにしてもよい。【００４５】
ここで、図３を用いて、容疑シグネチャについて説明する。図３は、容疑シグネチャの例を示す図である。同図に示すように、容疑シグネチャは、容疑パケットの検出条件を表す情報によって構成される。具体的には、例えば、同図に例示した番号１の容疑シグネチャは、「DestinationIPAddress（宛先ＩＰアドレス）」が「192.168.1.1/32」であり（dst=192.168.1.1/32）、ＩＰの上位層（ＴＣＰまたはＵＤＰ）のプロトコル種別を示す「Protocol（プロトコル）」が「ＴＣＰ」であり（Protocol=TCP）、かつ、ＩＰの上位層プロトコルがどのアプリケーションの情報であるかを示す「DestinationPort（宛先ポート番号）」が「８０」である（Port=80）という検出属性の組合せで構成される。【００４６】
また、同図に例示した番号２の容疑シグネチャは、「DestinationIPAddress（宛先ＩＰアドレス）」が「192.168.1.2/32」であり（dst=192.168.1.2/32）、かつ、「Protocol（プロトコル）」が「ＵＤＰ（UserDatagramprotocol）」である（Protocol=UDP）という検出属性の組合せで構成される。同様に、番号３の容疑シグネチャは、「DestinationIPAddress（宛先ＩＰアドレス）」が「192.168.1.0/24」という検出属性の組合せで構成される。なお、攻撃情報処理部１３が受信した容疑シグネチャは、上記したパケット制御部１２のフィルタ部に登録され、パケット通過の制御に用いられる。【００４７】
続いて、図４を用いて、攻撃情報処理部１３が受信する正規条件情報、すなわち、正当な利用者が利用している端末から送信されるパケットを表す正規条件情報について説明する。図４は、正規条件情報の例を示す図である。同図に示すように、正規条件情報は、ＩＰパケットにおける属性とそれら属性値の組からなる複数のレコードで構成される。なお、番号はレコード（パターン）を特定するために便宜上使用されるものである。【００４８】
具体的には、番号１のレコードの検出属性は、ＩＰの「SourceIPAddress（送信元ＩＰアドレス）」が「172.16.10.0/24」であることを指定し（src=172.16.10.0/24）、番号２のレコードの検出属性はＩＰ上のサービス品質を示す「TypeofService（サービスタイプ）」が「（１６進で）０１」であることを指定している（TOS=0x01）。このような正規条件には、例えば、サーバ所有者の会社の支店や、関連会社など、防御対象のサーバ２０等の送信元ＩＰアドレスが設定され、サーバ２０が収容されているＬＡＮの所有者が正規ユーザであると認識しているネットワークの送信元ＩＰアドレスなどが設定される。なお、後述する攻撃検出部１７は、かかる正規条件を参照し、正規条件の全てのレコード毎に、容疑シグネチャとのＡＮＤ条件をとり、これを正規シグネチャとして生成する。【００４９】
図２において、中継装置選択部１４は、攻撃情報処理部１３によって受信された攻撃情報に基づいてネットワーク上にある複数の中継装置３０のなかから攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置３０を選択する処理部である。具体的には、中継装置選択部１４は、攻撃情報から攻撃を受けているサーバ２０を特定し、攻撃を受けているサーバ２０のアドレスが含まれるパケットに対する次の中継先となる中継装置３０をルーティング表から求め、防御装置１０と隣接する複数の中継装置３０のうち、次の中継先となる中継装置３０を除く中継装置３０を通知先として選択する。【００５０】
例えば、図１に示した例で言えば、攻撃情報から攻撃を受けているサーバ２０−１を特定した場合には、特定したサーバ２０−１行きのパケットに対して次の中継先となる中継装置３０−１をルーティング表から求め、防御装置１０と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−１を除いた中継装置３０−２を通知先として選択する。一方、図１において、サーバ２０−２から攻撃を受けている通信端末４０を特定したような場合には、特定した通信端末４０行きのパケットに対して次の中継先となる中継装置３０−２をルーティング表から求め、防御装置１０と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−２を除いた中継装置３０−１を通知先として選択する。【００５１】
経路情報通知部１５は、攻撃を受けている対象に送信されるパケットを防御装置１０に経由させるための経路情報を、中継装置選択部１４によって選択された中継装置３０に通知する処理部である。具体的には、上記した例で言えば、攻撃情報から攻撃を受けているサーバ２０−１を特定した場合には、中継装置３０−２に対して、サーバ２０−１に送信されるパケットを防御装置１０に経由させるための経路情報を送信する。なお、この経路情報には、攻撃を受けている対象のＩＰアドレスやネットワークアドレス等が含まれる。また、例えば、経路情報通知部１５は、ＢＧＰに準拠して、選択された中継装置３０に経路情報を通知するようにしてもよい。【００５２】
パケット取得部１６は、ネットワークインタフェース部１１が受信したパケットを取得し、取得したパケットの統計に関する統計情報を攻撃検出部１７等に提供する処理部である。【００５３】
攻撃検出部１７は、パケット取得部１６によって提供された統計情報および攻撃情報処理部１３によって受信した攻撃情報に基づいて、攻撃の検出や分析を行い、さらには、正規シグネチャや不正シグネチャの生成を行う処理部である。【００５４】
ここで、正規シグネチャの生成を具体的に説明すると、攻撃情報処理部１３が攻撃情報（容疑シグネチャおよび正規条件情報を含む。）を受信した場合に、攻撃検出部１７は、図４に示した正規条件を参照し、正規条件の全てのレコード毎に、容疑シグネチャとのＡＮＤ条件をとり、これを正規シグネチャとして生成する。この正規シグネチャは、容疑シグネチャから正規ユーザの通信パケットである正規パケットを許可するために用いられるシグネチャであるが、例えば、図３および図４の例を用いて説明すると、図３における番号１のレコードの条件で検出されるパケットの容疑シグネチャは、[dst=192.168.1.1/32,Protocol=TCP,Port=80]となり、図４において、正規シグネチャは、[src=172.16.10.24,dst=192.168.1.1/32,Protocol=TCP,Port=80]および[TOS=0x01,dst=192.168.1.1/32,Protocol=TCP,Port=80]となる。【００５５】
また、攻撃検出部１７が不正なトラヒックを検出するようにしてもよく、その場合には、攻撃検出部１７は、不正なトラヒックを検出するための不正トラヒック検出条件を保有する。ここで、図５を用いて、不正トラヒック検出条件を説明する。図５は、不正トラヒック検出条件の一例を示す図である。同図に示すように、不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。なお、番号はレコード（パターン）を特定するために便宜上使用されるものである。【００５６】
具体的には、番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、ＩＣＭＰ（InternetControlMessageProtocol）上のエコー応答（EchoReply）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。さらに、番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。【００５７】
そして、攻撃検出部１７は、図４に示した不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出した場合に、不正トラヒックを制限するための不正シグネチャを生成する。具体的には、検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとして生成する。【００５８】
なお、上述してきた攻撃検出部１７によって生成された正規シグネチャおよび不正シグネチャは、攻撃情報処理部１３によって受信された容疑シグネチャと同様、上記したパケット制御部１２のフィルタ部に登録され、パケット通過の制御に用いられる。【００５９】
［攻撃情報受信時の処理（実施例１）］
続いて、図６を参照して、上記した防御装置１０による攻撃情報受信時の動作処理を説明する。図６は、攻撃情報受信時の処理手順を示すフローチャートである。【００６０】
同図に示すように、防御装置１０の攻撃情報処理部１３が、検知装置５０から送信された攻撃情報を受信すると（ステップＳ１）、中継装置選択部１４は、受信された攻撃情報に基づいて、攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置３０を選択する（ステップＳ２）。【００６１】
具体的には、中継装置選択部１４は、図１に示した例で言えば、攻撃情報に基づいて攻撃を受けているサーバ２０−１を特定した後に、特定したサーバ２０−１行きのパケットに対して次の中継先となる中継装置３０−１をルーティング表から求め、防御装置１０と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−１を除いた中継装置３０−２を通知先として選択する。【００６２】
その後、防御装置１０の経路情報通知部１５は、中継装置選択部１４によってステップＳ２で選択された中継装置３０に対して、攻撃を受けている対象に送信されるパケットを防御装置１０に経由させるための経路情報を通知する（ステップＳ３）。具体的には、上記した例で言えば、中継装置３０−２に対して、サーバ２０−１に送信されるパケットを防御装置１０に経由させるための経路情報を送信する。【００６３】
そして、攻撃検出部１７は、攻撃情報に含まれていた容疑シグネチャおよび正規条件情報に基づいて正規シグネチャを生成し（ステップＳ４）、さらに、攻撃情報に含まれていた容疑シグネチャおよびステップＳ４で生成した正規シグネチャをパケット制御部１２（フィルタ部）に登録する（ステップＳ５）。【００６４】
上述したステップＳ３の処理によって経路情報を受信した中継装置３０−２は、通知された経路情報に基づいてルーティング表を変更し、その結果、中継装置３０−２は、サーバ２０−１行きの攻撃パケットを防御装置１０に中継する。そして、防御装置１０は、中継装置３０−２から中継された攻撃パケットの通過を攻撃情報に基づいて制御しながらサーバ２０−１向けのパケットを中継する。【００６５】
［不正パケット検出時の処理（実施例１）］
続いて、図７を参照して、上記した防御装置１０による不正パケット検出時の動作処理を説明する。図７は、不正パケット検出時の処理手順を示すフローチャートである。【００６６】
同図に示すように、防御装置１０の攻撃検出部１７が、図５に示した不正トラヒック条件に基づいて不正トラヒックを検出すると（ステップＳ１１）、不正シグネチャを生成する（ステップＳ１２）。そして、攻撃検出部１７は、生成した不正シグネチャをパケット制御部１２（フィルタ部）に登録する（ステップＳ１３）。【００６７】
［パケット制御時の処理（実施例１）］
続いて、図８を参照して、上記した防御装置１０によるパケット制御時の動作処理を説明する。図８は、パケット制御時の処理手順を示すフローチャートである。【００６８】
同図に示すように、パケット制御部１２（フィルタ部）は、ネットワークインタフェース１１からパケットが入力されると（ステップＳ２１肯定）、登録された不正シグネチャに合致するか否かを判断する（ステップＳ２２）。そして、不正シグネチャに合致した場合には（ステップＳ２２肯定）、パケット制御部１２は、不正なパケットを処理するための不正キューにパケットを入力する（ステップＳ２３）。【００６９】
これとは反対に、不正シグネチャに合致しない場合には（ステップＳ２２否定）、パケット制御部１２は、入力されたパケットが、登録された正規シグネチャに合致するか否かを判断する（ステップＳ２４）。そして、正規シグネチャに合致した場合には（ステップＳ２４肯定）、パケット制御部１２は、正規なユーザ用の正規キューにパケットを入力する（ステップＳ２５）。【００７０】
さらに、この正規シグネチャにも合致しない場合には（ステップＳ２４否定）、パケット制御部１２は、入力されたパケットが、登録された容疑シグネチャに合致するか否かを判断する（ステップＳ２６）。そして、容疑シグネチャに合致した場合には（ステップＳ２６肯定）、パケット制御部１２は、容疑ユーザ用の容疑キューにパケットを入力する（ステップＳ２７）。これとは反対に、容疑シグネチャに合致しない場合には（ステップＳ２６否定）、パケット制御部１２は、正規キューにパケットを入力する（ステップＳ２８）。【００７１】
そして、パケット制御部１２は、それぞれのキューにあるパケットについて、正規キューであれば、伝送帯域を制限せずにネットワークインタフェース部１１から出力し、容疑キューおよび不正キューであれば、それぞれのシグネチャが示す伝送帯域制限値に従って制限して出力する。なお、不正シグネチャ、正規シグネチャ、容疑シグネチャの各シグネチャは、パケット制御部１２（フィルタ部）に複数登録されてもよい。また、登録されたシグネチャの検出属性等が所定の判断基準を満たした場合に、パケット制御部１２は、所定の判断基準を満たしたシグネチャを解除し、解除したシグネチャに基づいたパケットの通過を制御する処理を停止する。【００７２】
［実施例１の効果］
上述してきたように、上記の実施例１によれば、攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置３０を攻撃パケットの流入方向も考慮して選択し、当該選択した中継装置３０から自己に経由されてきた攻撃パケットの通過を制御するので、攻撃パケットの流入方向に影響されることなく攻撃パケットを防御することが可能になる。【００７３】
また、上記の実施例１によれば、攻撃を受けているサーバ２０−１（またはドメイン）に対して次の中継先となる中継装置３０−１を除いた他の中継装置３０−２に経路情報を通知し、後者の中継装置３０−２から自己に経由されてきたパケットを前者の中継装置３０−２に中継するので、パケットのループを防止することが可能になる。
【実施例２】
【００７４】
次に、以下の実施例２では、複数の防御装置で攻撃を防御するネットワーク攻撃防御システムについて、システムの概要および特徴を説明した後に、防御装置の構成および処理、実施例２の効果を順に説明する。【００７５】
［システムの概要および特徴（実施例２）］
最初に、図９を用いて、実施例２に係るネットワーク攻撃防御システムの概要および特徴を説明する。図９は、実施例２に係るネットワーク攻撃防御システムの構成を示すシステム構成図である。【００７６】
同図に示すように、このネットワーク攻撃防御システム２００は、ネットワーク上のサーバ２０に対するＤｏＳ攻撃またはＤＤｏＳ攻撃が検出された場合に、この攻撃を防御する防御装置６０と、サーバ２０に送信されるパケットを中継する複数の中継装置３０とをネットワーク上に備える。また、このネットワーク上には、サーバ２０や通信端末４０が接続されており、さらに、サーバ２０が攻撃を受けたことを検知する検知装置５０が設けられている。【００７７】
なお、実施例２に係るネットワーク攻撃防御システム２００を構成する構成要素のうち、上記した実施例１に係るネットワーク攻撃防御システム１００を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。また、以下の説明において、図示した中継装置３０の各々を区別する場合には、中継装置３０−１または中継装置３０−２とし、サーバ２０の各々を区別する場合には、サーバ２０−１またはサーバ２０−２として記載する。また、防御装置６０の各々を区別する場合には、防御装置６０−１または防御装置６０−２とし、通信端末４０の各々を区別する場合には、通信端末４０−１または通信端末４０−２として記載する。【００７８】
かかるネットワーク攻撃防御システム２００において、防御装置６０および中継装置３０には、パケットの宛先を規定したルーティング表が登録されている。なお、ルーティング表を登録する方法としては、例えば、ＯＳＰＦ、ＲＩＰまたはＢＧＰなどの公知のルーティングプロトコルに準拠して登録するようにしてもよい。【００７９】
そして、通信端末４０−１がサーバ２０−１にパケットを通常に送信した場合には、この送信されたパケットは、中継装置３０−１〜中継装置３０−３それぞれのルーティング表に従って、防御装置６０を中継せずに中継装置３０−３、中継装置３０−２、中継装置３０−１を介してサーバ２０−１に中継される。【００８０】
ここで、通信端末４０−１が攻撃者であり、攻撃を行うための攻撃パケットをサーバ２０−１に送信していた場合には、検知装置５０は、サーバ２０−１に対する攻撃を検出し、攻撃を検出した旨を示す攻撃情報を防御装置６０−１に送信する（図９の（１）および（２）参照）。なお、防御装置６０は、防御装置６０等を管理するための管理用ネットワークに接続されていてもよく、攻撃情報は、管理用ネットワークを介して送受されてもよい。【００８１】
一方、検知装置５０から送信された攻撃情報を受信した防御装置６０−１は、受信した攻撃情報に基づいて、攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置３０を選択する（同図の（３）参照）。具体的には、上記した実施例１と同様、攻撃情報から攻撃を受けているサーバ２０−１を特定した上で、特定したサーバ２０−１行きのパケットに対して次の中継先となる中継装置３０−１をルーティング表から求め、防御装置６０−１と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−１を除いた中継装置３０−２を通知先として選択する。【００８２】
かかる中継装置３０の選択後、防御装置６０−１は、選択した中継装置３０−２に対して、攻撃パケットを自己に経由させるための経路情報を通知し（同図の（４）参照）、中継装置３０−２は、通知された経路情報に基づいてルーティング表を変更する（同図の（５）参照）。この結果、中継装置３０−２は、サーバ２０−１行きの攻撃パケットを防御装置６０−１に中継することになる。つまり、攻撃パケットは、中継装置３０−３、中継装置３０−２、防御装置６０−１、中継装置３０−１を介してサーバ２０−１に中継される。そして、防御装置６０−１は、中継装置３０−２から中継された攻撃パケットの通過を攻撃情報に基づいて制御しながら、サーバ２０−１向けのパケットを中継する。【００８３】
このようにして、中継装置３０−２のルーティング表が変更され、攻撃パケットが中継装置３０−２から防御装置６０−１に中継されて処理されることになるが、実施例２に係るネットワーク攻撃防御システム２００の防御装置６０では、攻撃情報に基づいて所定の中継装置３０を選択してルーティング表を変更させるだけでなく、隣接関係をもつ他の防御装置６０に対して攻撃情報を送信する点にも主たる特徴がある。【００８４】
すなわち、防御装置６０−１は、経路情報を中継装置３０−２に通知した後、防御装置６０−１と隣接関係をもつ防御装置６０−２に対して攻撃情報を送信する（同図の（６）参照）。その結果、攻撃情報を受信した防御装置６０−２も、防御装置６０−１と同様、攻撃情報に基づいて、攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置３０を選択する（同図の（７）参照）。具体的には、受信した攻撃情報から攻撃を受けているサーバ２０−１を特定し、特定したサーバ２０−１行きのパケットに対して次の中継先となる中継装置３０−２をルーティング表から求め、防御装置６０−２と隣接する中継装置３０−２および中継装置３０−３のなかから、この中継装置３０−２を除いた中継装置３０−３を選択する。【００８５】
かかる中継装置３０の選択後、防御装置６０−２は、選択した中継装置３０−３に対して、攻撃パケットを自己に経由させるための経路情報を通知し（同図の（８）参照）、中継装置３０−３は、通知された経路情報に基づいてルーティング表を変更する（同図の（９）参照）。この結果、中継装置３０−３は、サーバ２０−１行きの攻撃パケットを防御装置６０−２に中継することになる。つまり、攻撃パケットは、中継装置３０−３、防御装置６０−２、中継装置３０−２、防御装置６０−１、中継装置３０−１を介してサーバ２０−１に中継される。そして、防御装置６０−２は、中継された攻撃パケットの通過を攻撃情報に基づいて制御しながら、サーバ２０−１向けのパケットを中継するようになっている。【００８６】
このようにして、中継装置３０−１よりも攻撃元に近い中継装置３０−３のルーティング表が変更され、攻撃パケットが中継装置３０−３から防御装置６０−２に中継されて処理されることになるが、実施例２に係るネットワーク攻撃防御システム２００の防御装置６０では、隣接関係をもつ他の防御装置６０に対して攻撃情報を送信するだけでなく、先にルーティング表を変更した中継装置３０による自己へのパケット中継を解除する点にも主たる特徴がある。【００８７】
すなわち、防御装置６０−２は、隣接関係をもつ他の防御装置６０に対して攻撃情報を送信した後に、自己に対する攻撃パケットの送信が終了したか否かを判定する（同図の（１０）参照）。具体的には、上記した例で言えば、防御装置６０−２が攻撃パケットの通過を制御することによって、攻撃パケットが防御装置６０−１を一定期間通過しなくなった場合には、防御装置６０−１は、通信端末４０−１からの攻撃が終了したと判断する。【００８８】
その上で、防御装置６０−１は、サーバ２０−１行きのパケットを自己に経由させないための経路情報を、先にルーティング表を変更した中継装置３０−２に通知し（同図の（１１）参照）、中継装置３０−２は、通知された経路情報に基づいてルーティング表を変更する（同図の（１２）参照）。この結果、中継装置３０−２は、サーバ２０−１行きの攻撃パケットを防御装置６０−１ではなく中継装置３０−１に中継することになる。つまり、攻撃パケットは、中継装置３０−３、防御装置６０−２、中継装置３０−２、中継装置３０−１を介してサーバ２０−１に中継される。【００８９】
［防御装置の構成（実施例２）］
次に、図１０を用いて、図９に示した防御装置６０の構成を説明する。図１０は、実施例２における防御装置６０の構成を示すブロック図である。同図に示すように、この防御装置６０は、ネットワークインタフェース部１１と、パケット制御部１２と、攻撃情報処理部６３と、中継装置選択部１４と、経路情報通知部１５と、パケット取得部１６と、攻撃検出部６７とを備えて構成される。【００９０】
ここで、パケット制御部１２は特許請求の範囲に記載の「パケット制御手段」に対応し、攻撃情報処理部６３は同じく「攻撃情報送信手段」に対応し、中継装置選択部１４は同じく「中継装置選択手段」に対応し、経路情報通知部１５は同じく「経路情報通知手段」に対応し、攻撃検出部６７は同じく「攻撃終了判定手段」に対応する。以下、実施例２における防御装置６０を構成する構成要素のうち、上記した実施例１における防御装置１０を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。【００９１】
図１０において、攻撃情報処理部６３は、検知装置５０がＤｏＳ攻撃またはＤＤｏＳ攻撃を検出した場合に、攻撃を検出した旨を示す攻撃情報を受信することに加えて、受信した攻撃情報を自己の防御装置６０と隣接関係をもつ防御装置６０である隣接防御装置に送信する処理部である。ただし、攻撃情報を自己の防御装置６０に送信した隣接中継装置には、攻撃情報処理部６３は攻撃情報を送信しない。例えば、図９に示したネットワーク攻撃防御システム２００において、防御装置６０−１が攻撃情報を防御装置６０−２に送信したような場合には、防御装置６０−２の攻撃情報処理部６３は、攻撃情報を送信した隣接中継装置である防御装置６０−１に再度、攻撃情報を送信することはない。【００９２】
攻撃検出部６７は、パケット取得部１６によって提供された統計情報および攻撃情報処理部１３によって提供された攻撃情報に基づいて、攻撃の検出や分析を行うことや、正規シグネチャや不正シグネチャの生成を行うことに加えて、攻撃が終了したか否かを判断する処理部である。具体的には、隣接関係をもつ他の防御装置６０に対して攻撃情報を送信した後に、自己に対する攻撃パケットの送信が終了したか否かを判定するが、図９に示した例で言えば、防御装置６０−２が攻撃パケットの通過を制御することによって、攻撃パケットが防御装置６０−１を一定期間通過しなくなった場合には、防御装置６０−１の攻撃検出部６７は、通信端末４０−１からの攻撃が終了したと判断する。【００９３】
また、経路情報通知部１５は、攻撃を受けている対象に送信されるパケットを自己に経由させるための経路情報を、中継装置選択部１４によって選択された中継装置３０に通知することに加えて、上記の攻撃検出部６７によって攻撃が終了したと判定された場合には、攻撃を受けている対象に送信されるパケットを自己に経由させないための経路情報を、先に中継装置選択部１４によって選択された中継装置３０に通知する。【００９４】
［攻撃情報受信時の処理（実施例２）］
続いて、図１１を参照して、上記した防御装置６０による攻撃情報受信時の動作処理を説明する。図１１は、攻撃情報受信時の処理手順を示すフローチャートである。【００９５】
同図に示すように、防御装置６０の攻撃情報処理部６３が、検知装置５０から送信された攻撃情報、または、他の隣接する防御装置６０から送信された攻撃情報を受信すると（ステップＳ３１）、中継装置選択部１４は、受信された攻撃情報に基づいて、攻撃パケットを自己に経由させるための経路情報の通知先となる少なくとも一つの中継装置３０を選択する（ステップＳ３２）。【００９６】
具体的には、図９に示した例で言えば、防御装置６０−１が検知装置５０から攻撃情報を受信した場合には、攻撃情報に基づいて攻撃を受けているサーバ２０−１を特定した後に、特定したサーバ２０−１行きのパケットに対して次の中継先となる中継装置３０−１をルーティング表から求め、防御装置６０−１と隣接する中継装置３０−１および中継装置３０−２のなかから、この中継装置３０−１を除いた中継装置３０−２を通知先として選択する。【００９７】
その一方、防御装置６０−２が防御装置６０−１から攻撃情報を受信した場合には、攻撃情報に基づいて攻撃を受けているサーバ２０−１を特定した後に、特定したサーバ２０−１行きのパケットに対して次の中継先となる中継装置３０−２をルーティング表から求め、防御装置６０−２と隣接する中継装置３０−２および中継装置３０−３のなかから、この中継装置３０−２を除いた中継装置３０−３を通知先として選択する。【００９８】
その後、防御装置６０の経路情報通知部１５は、中継装置選択部１４によってステップＳ３２で選択された中継装置３０に対して、攻撃を受けている対象に送信されるパケットを自己に経由させるための経路情報を通知する（ステップＳ３３）。具体的には、上記した例で言えば、防御装置６０−１は、中継装置３０−２に対して、サーバ２０−１に送信されるパケットを防御装置６０−１に経由させるための経路情報を送信し、防御装置６０−２は、中継装置３０−３に対して、サーバ２０−１に送信されるパケットを防御装置６０−２に経由させるための経路情報を送信する。【００９９】
そして、防御装置６０の攻撃検出部６７は、攻撃情報に含まれていた容疑シグネチャおよび正規条件情報に基づいて正規シグネチャを生成し（ステップＳ３４）、さらに、攻撃情報に含まれていた容疑シグネチャおよびステップＳ３４で生成した正規シグネチャをパケット制御部１２（フィルタ部）に登録する（ステップＳ３５）。【０１００】
さらに、防御装置６０の攻撃情報処理部６３は、自己に隣接する防御装置６０の有無を判定し（ステップＳ３６）、隣接する防御装置６０が有る場合には（ステップＳ３６肯定）、上記のステップＳ３１で受信した攻撃情報を隣接防御装置に送信する（ステップＳ３７）。具体的には、上記した例で言えば、防御装置６０−１は、隣接する防御装置６０−２があるので、この防御装置６０−２に対して攻撃情報を送信するが、防御装置６０−２は、隣接する防御装置６０がないので、攻撃情報の送信は行わない。【０１０１】
上述したステップＳ３３の処理によって経路情報を受信した中継装置３０−２や中継装置３０−３は、通知された経路情報に基づいてルーティング表を変更し、その結果、中継装置３０−２は、サーバ２０−１行きの攻撃パケットを防御装置６０−１に中継し、また、中継装置３０−３は、サーバ２０−１行きの攻撃パケットを防御装置６０−２に中継する。そして、防御装置６０−１および防御装置６０−２は、中継装置３０−２や中継装置３０−３から中継された攻撃パケットの通過を攻撃情報に基づいて制御しながらサーバ２０−１向けのパケットを中継する。【０１０２】
［攻撃終了判定の処理（実施例２）］
続いて、図１２を参照して、上記した防御装置６０による攻撃終了判定の動作処理を説明する。図１２は、攻撃終了判定の処理手順を示すフローチャートである。【０１０３】
同図に示すように、防御装置６０の攻撃検出部６７は、自己に対する攻撃パケットの送信が終了したか否かを判定する（ステップＳ４１）。具体的には、図９に示した例で言えば、防御装置６０−２が攻撃パケットの通過を制御することによって、攻撃パケットが防御装置６０−１を一定期間通過しなくなった場合には、防御装置６０−１の攻撃検出部６７は、通信端末４０−１からの攻撃が終了したと判断する。【０１０４】
そして、防御装置６０の経路情報通知部１５は、攻撃を受けている対象に送信されるパケットを自己に経由させるための経路情報を、図１１のステップＳ３２で選択された中継装置３０に対して通知する（ステップＳ４２）。具体的には、図９に示した例で言えば、防御装置６０−１は、サーバ２０−１行きのパケットを自己に経由させないための経路情報を、先にルーティング表を変更した中継装置３０−２に通知する。【０１０５】
これに続いて、パケット制御部１２（フィルタ部）は、登録していた容疑シグネチャおよび正規シグネチャ等を解除し、解除されたシグネチャに基づいたパケットの通過を制御するための処理を停止する（ステップＳ４３）。つまり、サーバ２０−１行きの攻撃パケットを制御するために登録されていた容疑シグネチャや正規シグネチャ等を削除する。【０１０６】
上述したステップＳ４２の処理によって経路情報を受信した中継装置３０−２は、通知された経路情報に基づいてルーティング表を変更し、その結果、中継装置３０−２は、サーバ２０−１行きの攻撃パケットを防御装置６０−１ではなく、中継装置３０−１に中継する。このため、通信端末４０−１から送信されている攻撃パケットは、中継装置３０−３、防御装置６０−２、中継装置３０−２、中継装置３０−１を介してサーバ２０−１に中継される。【０１０７】
なお、図１２に示したステップＳ４１の動作が開始されるタイミングは、防御装置６０に経由させるための経路情報を中継装置３０に通知した後の任意の時点、例えば、図１１に示したステップＳ３３の後などであることが望ましい。【０１０８】
［実施例２の効果］
上述してきたように、上記の実施例２によれば、自己（防御装置６０）と隣接関係をもつ他の防御装置６０に対して攻撃情報を送信するとともに、他の防御装置６０から攻撃情報を受信した場合にも、当該攻撃情報に基づいて攻撃パケットを自己に経由させるための経路情報の通知先となる中継装置３０を選択し、当該選択した中継装置３０から自己に経由されてきた攻撃パケットの通過を制御するので、攻撃発生元に近い防御装置６０において攻撃を防御することが可能になる。【０１０９】
また、上記の実施例２によれば、中継装置３０から自己に経由される攻撃パケットの送信が終了した場合に、攻撃パケットを自己に経由させないための経路情報を中継装置３０に改めて通知するので、防御装置６０を経由する攻撃パケットの迂回を効率的に切替えることが可能になる。
【実施例３】
【０１１０】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では実施例３に係るネットワーク攻撃防御システムとして、種々の異なる実施例を説明する。【０１１１】
例えば、上記の実施例では、防御装置１０（または６０）と隣接する複数の中継装置３０のなかから一つの中継装置３０を選択する例を説明したが、本発明はこれに限定されるものではなく、例えば、攻撃を受けているサーバ２０に対して次の中継先となる中継装置３０に複数の中継装置３０が接続されているような場合には、当該複数の中継装置３０を経路情報の通知先として選択するようにしてもよい。【０１１２】
また、上記の実施例で図示した各装置（例えば、図２や図１０に例示した防御装置１０や防御装置６０）の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、防御装置１０や防御装置６０の分散・統合の具体的形態は図示のものに限られず、防御装置１０や防御装置６０の全部または一部を各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、防御装置１０や防御装置６０にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。【０１１３】
また、上記の実施例で説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図３に例示した容疑シグネチャ、図４に例示した正規条件情報、図５に例示した不正トラヒック条件等）については、特記する場合を除いて任意に変更することができる。【０１１４】
また、上記の実施例では、不正シグネチャ、正規シグネチャおよび容疑シグネチャの３種類に分類されたシグネチャを利用することによってパケットの迂回を行う例を説明したが、本発明はこれに限定されるものではなく、例えば、単一のシグネチャを利用したり、３種類以外の種類数に分類されたシグネチャを利用したりすることによって迂回を行うこととしてもよい。また、シグネチャ自体を利用することなく、例えば、迂回を指示する指示情報などを用いてパケットの迂回を行うこととしてもよい。【０１１５】
なお、上記の実施例では、本発明を実現する各装置（例えば、防御装置１０や防御装置６０）を機能面から説明したが、各装置の各機能はパーソナルコンピュータやワークステーションなどのコンピュータにプログラムを実行させることによって実現することもできる。すなわち、実施例１や２で説明した各種の処理手順は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。つまり、例を挙げれば、実施例１に示したような防御装置用プログラムを格納したＣＤ−ＲＯＭを配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい。
【産業上の利用可能性】
【０１１６】
以上のように、本発明に係る防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システムは、ネットワーク上のサーバまたはドメイン宛の攻撃パケットを中継する中継装置に対して経路情報を送信して攻撃パケットの通過を制御する場合に有用であり、特に、攻撃パケットの流入方向に影響されることなく攻撃パケットを防御することなどに適する。
【図１】
2006043371.tif 000002
【図２】
2006043371.tif 000003
【図３】
2006043371.tif 000004
【図４】
2006043371.tif 000005
【図５】
2006043371.tif 000006
【図６】
2006043371.tif 000007
【図７】
2006043371.tif 000008
【図８】
2006043371.tif 000009
【図９】
2006043371.tif 000010
【図１０】
2006043371.tif 000011
【図１１】
2006043371.tif 000012
【図１２】
2006043371.tif 000013
【図１３】
2006043371.tif 000014
【国際調査報告】
2006043371.tif 000015
2006043371.tif 000016
2006043371.tif 000017
2006043371.tif 000018