(57)【要約】  ネットワーク２上に所在する正当な装置（アドレス発行サーバ１０）により送信された非攻撃パケットの送信元を示す正規アドレス情報をゲート装置８が取得し、取得した正規アドレス情報に基づいてゲート装置８が非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器７へ攻撃をおこなうパケットの通過を制限するよう構成する。【特許請求の範囲】
【請求項１】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法であって、
前記ネットワーク上に所在する正当な装置が非攻撃パケットの送信元を示す正規アドレス情報を発行し、前記ゲート装置が前記正当な装置が発行した正規アドレス情報に基づいて前記通信機器へ攻撃をおこなうパケットの通過を制限する
ことを特徴とするサービス不能攻撃防御方法。
【請求項２】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法であって、
前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を前記ゲート装置が取得する正規アドレス情報取得工程と、
前記正規アドレス情報取得工程により取得された正規アドレス情報に基づいて前記ゲート装置が非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成工程と、
前記ゲート装置が前記ネットワークから受信したパケットのうち前記正規条件情報生成工程により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限工程と
を含んだことを特徴とする請求項１に記載のサービス不能攻撃防御方法。
【請求項３】
前記正規アドレス情報取得工程は、前記ゲート装置が前記中継装置に対して自装置のアドレス情報を通知するアドレス情報通知工程と、前記中継装置が前記正当な装置からの正規アドレス情報を受信した場合に、前記アドレス情報通知工程により通知された前記アドレス情報に基づいて当該正規アドレス情報を前記ゲート装置に対して中継する正規アドレス情報中継工程と、前記ゲート装置が前記正規アドレス情報を受信する受信工程とを含んだことを特徴とする請求項２に記載のサービス不能攻撃防御方法。
【請求項４】
前記アドレス情報通知工程は、前記ゲート装置のアドレス情報を通知された中継装置が隣接する他の中継装置に前記ゲート装置のアドレス情報を中継し、前記正規アドレス情報中継工程は、前記他の中継装置が前記正当な装置からの正規アドレス情報を受信した場合に、前記ゲート装置のアドレス情報に基づいて隣接する中継装置若しくは前記ゲート装置に前記正規アドレス情報を中継することを特徴とする請求項３に記載のサービス不能攻撃防御方法。
【請求項５】
前記正規アドレス情報取得工程は、正規アドレス情報を一括管理する正規アドレス情報提供装置が前記正規アドレス情報を各正当な装置から受信して格納する正規アドレス情報格納工程と、前記正規アドレス情報提供装置が前記ゲート装置から前記正規アドレス情報の送信要求を受け付けた場合に、送信要求された正規アドレス情報を前記ゲート装置に対して通知する正規アドレス情報通知工程と、前記ゲート装置が前記正規アドレス情報を受信する受信工程とを含んだことを特徴とする請求項２に記載のサービス不能攻撃防御方法。
【請求項６】
前記正規アドレス情報取得工程は、アドレスを発行するアドレス発行装置若しくは正当な認証を受けた通信機器により送信された前記正規アドレス情報を前記ゲート装置が取得することを特徴とする請求項２〜５のいずれか一つに記載のサービス不能攻撃防御方法。
【請求項７】
前記ゲート装置が前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知工程と、前記攻撃検知工程により攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成工程と、前記正規条件情報生成工程により生成された正規条件情報を正規条件情報記憶部に格納する正規条件情報格納工程と、前記容疑シグネチャ生成工程により生成された容疑シグネチャに該当するパケットのうち、前記正規条件情報に示された条件に適合するパケットの特徴を表す正規シグネチャを生成する正規シグネチャ生成工程とをさらに含み、前記パケット制限工程は、前記容疑シグネチャ生成工程により生成された容疑シグネチャおよび前記正規シグネチャ生成工程により生成された正規シグネチャに基づいて前記ネットワークから受信したパケットの通過を制限することを特徴とする請求項２に記載のサービス不能攻撃防御方法。
【請求項８】
前記容疑シグネチャ生成工程により生成された容疑シグネチャおよび前記正規シグネチャ生成工程により生成された正規シグネチャを前記ゲート装置が前記中継装置に通知するシグネチャ通知工程と、前記中継装置が前記シグネチャ通知工程により通知された容疑シグネチャおよび正規シグネチャに基づいてパケットの通過を制限制御するパケット制限制御工程とをさらに含んだことを特徴とする請求項７に記載のサービス不能攻撃防御方法。
【請求項９】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法であって、
前記ネットワークから受信されたパケットによる攻撃を前記ゲート装置が検知する攻撃検知工程と、
前記攻撃検知工程により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記ゲート装置が前記中継装置から取得する正規アドレス情報取得工程と、
前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御を前記ゲート装置がおこなう通過制御工程とを含んだことを特徴とする請求項１に記載のサービス不能攻撃防御方法。
【請求項１０】
前記攻撃検知工程により攻撃が検知されたパケットの特徴を表す容疑シグネチャを前記ゲート装置が生成する容疑シグネチャ生成工程をさらに含み、
前記正規アドレス情報取得工程は、
前記容疑シグネチャ生成工程により生成された容疑シグネチャを前記中継装置に送信し、その結果返信された正規アドレス情報を取得することを特徴とする請求項９に記載のサービス不能攻撃防御方法。
【請求項１１】
前記通過制御工程は、前記正規アドレス情報取得工程により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成工程と、前記ネットワークから受信したパケットのうち前記正規条件情報生成工程により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限工程とを含んだことを特徴とする請求項１０に記載のサービス不能攻撃防御方法。
【請求項１２】
前記容疑シグネチャ生成工程により生成された容疑シグネチャに該当するパケットのうち、前記正規条件情報生成工程により生成された正規条件情報に示される条件に適合するパケットの特徴を表す正規シグネチャを生成する正規シグネチャ生成工程をさらに含み、
前記パケット制限工程は、前記容疑シグネチャ生成工程により生成された容疑シグネチャおよび前記正規シグネチャ生成工程により生成された正規シグネチャに基づいて前記ネットワークから受信したパケットの通過を制限することを特徴とする請求項１１に記載のサービス不能攻撃防御方法。
【請求項１３】
前記正規シグネチャ生成工程により生成された正規シグネチャを前記ゲート装置が前記中継装置に転送するシグネチャ転送工程をさらに含んだことを特徴とする請求項１２に記載のサービス不能攻撃防御方法。
【請求項１４】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御システムであって、
前記ゲート装置は、
前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得する正規アドレス情報取得手段と、
前記正規アドレス情報取得手段により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手段と、
前記ネットワークから受信したパケットのうち前記正規条件情報生成手段により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手段と
を備えたことを特徴とするサービス不能攻撃防御システム。
【請求項１５】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御システムであって、
前記ゲート装置は、
前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知手段と、
前記攻撃検知手段により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記中継装置から取得する正規アドレス情報取得手段と、
前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなう通過制御手段とを備えたことを特徴とするサービス不能攻撃防御システム。
【請求項１６】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置であって、
前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得する正規アドレス情報取得手段と、
前記正規アドレス情報取得手段により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手段と、
前記ネットワークから受信したパケットのうち前記正規条件情報生成手段により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手段と
を備えたことを特徴とするゲート装置。
【請求項１７】
前記正規アドレス情報取得手段は、前記中継装置に対して自装置のアドレス情報を通知するアドレス情報通知手段と、前記アドレス情報通知手段により通知した自装置のアドレス情報に応答して前記中継装置が返送した前記正当な装置からの正規アドレス情報を受信する受信手段とを備えたことを特徴とする請求項１６に記載のゲート装置。
【請求項１８】
前記正規アドレス情報取得手段は、正規アドレス情報を一括管理する正規アドレス情報提供装置に対して前記正規アドレス情報の送信要求をおこなう正規アドレス情報送信要求手段と、前記正規アドレス情報の送信要求に応答して返送された正規アドレス情報を受信する受信手段とを備えたことを特徴とする請求項１７に記載のゲート装置。
【請求項１９】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置であって、
前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知手段と、
前記攻撃検知手段により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記中継装置から取得する正規アドレス情報取得手段と、
前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなう通過制御手段とを備えたことを特徴とするゲート装置。
【請求項２０】
前記攻撃検知手段により攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成手段をさらに備え、
前記正規アドレス情報取得手段は、
前記容疑シグネチャ生成手段により生成された容疑シグネチャを前記中継装置に送信し、その結果返信された正規アドレス情報を取得することを特徴とする請求項１９に記載のゲート装置。
【請求項２１】
前記通過制御手段は、前記正規アドレス情報取得手段により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手段と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手段により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手段と備えたことを特徴とする請求項２０に記載のゲート装置。
【請求項２２】
サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置であって、
前記ゲート装置のアドレス情報を取得するアドレス情報取得手段と、
前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、前記アドレス情報取得手段により取得されたアドレス情報に基づいて、前記ゲート装置または隣接する他の中継装置に前記正規アドレス情報を中継する正規アドレス情報中継手段と
を備えたことを特徴とする中継装置。
【請求項２３】
サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置であって、
前記ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶する正規アドレス情報記憶手段と、
前記ゲート装置により前記通信機器への攻撃が検知された場合に、前記正規アドレス情報記憶手段に記憶した正規アドレス情報を当該ゲート装置に転送する転送手段と
を備えたことを特徴とする中継装置。
【請求項２４】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置に用いるゲート装置用プログラムであって、
前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得する正規アドレス情報取得手順と、
前記正規アドレス情報取得手順により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手順と、
前記ネットワークから受信したパケットのうち前記正規条件情報生成手順により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手順と
をコンピュータに実行させることを特徴とするゲート装置用プログラム。
【請求項２５】
前記正規アドレス情報取得手順は、前記中継装置に対して自装置のアドレス情報を通知するアドレス情報通知手順と、前記アドレス情報通知手順により通知した自装置のアドレス情報に応答して前記中継装置が返送した前記正当な装置からの正規アドレス情報を受信する受信手順とを含んだことを特徴とする請求項２４に記載のゲート装置用プログラム。
【請求項２６】
前記正規アドレス情報取得手順は、正規アドレス情報を一括管理する正規アドレス情報提供装置に対して前記正規アドレス情報の送信要求をおこなう正規アドレス情報送信要求手順と、前記正規アドレス情報の送信要求に応答して返送された正規アドレス情報を受信する受信手順とを含んだことを特徴とする請求項２４に記載のゲート装置用プログラム。
【請求項２７】
ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置に用いるゲート装置用プログラムであって、
前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知手順と、
前記攻撃検知手順により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記中継装置から取得する正規アドレス情報取得手順と、
前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなう通過制御手順と
をコンピュータに実行させることを特徴とするゲート装置用プログラム。
【請求項２８】
前記攻撃検知手順により攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成手順をさらに含み、
前記正規アドレス情報取得手順は、
前記容疑シグネチャ生成手順により生成された容疑シグネチャを前記中継装置に送信し、その結果返信された正規アドレス情報を取得することを特徴とする請求項２７に記載のゲート装置用プログラム。
【請求項２９】
前記通過制御手順は、前記正規アドレス情報取得手順により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手順と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手順により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手順とを含んだことを特徴とする請求項２８に記載のゲート装置用プログラム。
【請求項３０】
サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置に用いる中継装置用プログラムであって、
前記ゲート装置のアドレス情報を取得するアドレス情報取得手順と、
前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、前記アドレス情報取得手順により取得されたアドレス情報に基づいて、前記ゲート装置または隣接する他の中継装置に前記正規アドレス情報を中継する正規アドレス情報中継手順と
をコンピュータに実行させることを特徴とする中継装置用プログラム。
【請求項３１】
サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置に用いる中継装置用プログラムであって、
前記ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶する正規アドレス情報記憶手順と、
前記ゲート装置により前記通信機器への攻撃が検知された場合に、前記正規アドレス情報記憶手順に記憶した正規アドレス情報を当該ゲート装置に転送する転送手順と
をコンピュータに実行させることを特徴とする中継装置用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくはこの中継装置で通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法、サービス不能攻撃防御システム、サービス不能攻撃防御装置、中継装置、サービス不能攻撃防御プログラムおよび中継装置用プログラムに関し、特に、防御対象の通信機器に対して攻撃をおこなわない非攻撃パケットの条件を表す正規条件情報を容易に管理することができるサービス不能攻撃防御方法、サービス不能攻撃防御システム、サービス不能攻撃防御装置、中継装置、サービス不能攻撃防御プログラムおよび中継装置用プログラムに関する。
【背景技術】
【０００２】
従来、ネットワークを介した攻撃としてサービス不能攻撃および分散型サービス不能攻撃（DistributedDenialofServiceAttack、以下単に「ＤＤｏｓ攻撃」と言う）が知られている。かかるＤＤｏｓ攻撃から通信機器を防御する分散型サービス不能攻撃防御システムでは、攻撃対象となる通信機器とネットワークとの間に設けられたゲートウェイ装置やネットワークを構成するルータ装置がパケットを制限することになる。具体的には、ネットワークを介して通信機器に向けて送信されたパケットを正規パケット、容疑パケットまたは不正パケットに分類し、通信機器に送信されるパケットを制限していた（例えば、特許文献１参照）。【０００３】
このような従来の分散型サービス不能攻撃防御システムにおいては、あらかじめ登録された攻撃検知条件に基づいてゲートウェイ装置が攻撃を検知すると、攻撃検知されたパケットの特徴を示す容疑シグネチャが生成され、生成された容疑シグネチャがネットワークを構成するルータ装置等の中継装置に通知される。【０００４】
一方、容疑シグネチャに当てはまるパケットのうち通信機器に対する攻撃とみなされないパケット（以下「非攻撃パケット」と言う）の特徴を表す正規シグネチャが、あらかじめ登録された正規条件情報に基づいてゲートウェイ装置によって生成され、生成された正規シグネチャがネットワークを構成するルータ装置等の中継装置に通知される。【０００５】
容疑シグネチャおよび正規シグネチャが通知された中継装置並びにゲートウェイ装置によって中継されるパケットは、容疑シグネチャおよび正規シグネチャに基づいてシェーピングやフィルタリング等の処理が施される。【０００６】
このように、従来の分散型サービス不能攻撃防御システムは、攻撃を行うパケットの通過を出来るだけ攻撃元の近くで制限することによって、攻撃を行うパケット（以下「攻撃パケット」と言う）による悪影響を出来るだけ小さくするようになっている。【０００７】
【特許文献１】特開２００３−２８３５５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来の分散型サービス不能攻撃防御システムにおいては、攻撃から防御する対象の通信機器に対する非攻撃パケットの条件を表す正規条件情報の追加や変更等の管理がゲートウェイ装置のオペレータによって行われるため、正規条件情報の管理が煩雑になるといった課題があった。【０００９】
本発明は、上述した従来技術による問題点を解消するためになされたものであり、防御対象の通信機器に対して攻撃をおこなわない非攻撃パケットの条件を表す正規条件情報を容易に管理することができるサービス不能攻撃防御方法、サービス不能攻撃防御システム、サービス不能攻撃防御装置、中継装置、サービス不能攻撃防御プログラムおよび中継装置用プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法であって、前記ネットワーク上に所在する正当な装置が非攻撃パケットの送信元を示す正規アドレス情報を発行し、前記ゲート装置が前記正当な装置が発行した正規アドレス情報に基づいて前記通信機器へ攻撃をおこなうパケットの通過を制限することを特徴とする。【００１１】
この発明によれば、ネットワーク上に所在する正当な装置が非攻撃パケットの送信元を示す正規アドレス情報を発行し、ゲート装置が正当な装置が発行した正規アドレス情報に基づいて通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、通信機器に対するサービス不能攻撃を効率的に防御することができる。【００１２】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法であって、前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を前記ゲート装置が取得する正規アドレス情報取得工程と、前記正規アドレス情報取得工程により取得された正規アドレス情報に基づいて前記ゲート装置が非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成工程と、前記ゲート装置が前記ネットワークから受信したパケットのうち前記正規条件情報生成工程により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限工程とを含んだことを特徴とする。【００１３】
この発明によれば、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報をゲート装置が取得し、取得した正規アドレス情報に基づいてゲート装置が非攻撃パケットの条件を示す正規条件情報を生成し、ゲート装置がネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、正規条件情報を効率良く生成することができる。【００１４】
また、本発明は、上記発明において、前記正規アドレス情報取得工程は、前記ゲート装置が前記中継装置に対して自装置のアドレス情報を通知するアドレス情報通知工程と、前記中継装置が前記正当な装置からの正規アドレス情報を受信した場合に、前記アドレス情報通知工程により通知された前記アドレス情報に基づいて当該正規アドレス情報を前記ゲート装置に対して中継する正規アドレス情報中継工程と、前記ゲート装置が前記正規アドレス情報を受信する受信工程とを含んだことを特徴とする。【００１５】
この発明によれば、ゲート装置が中継装置に対して自装置のアドレス情報を通知し、中継装置が正当な装置からの正規アドレス情報を受信した場合に、通知されたアドレス情報に基づいて当該正規アドレス情報をゲート装置に対して中継し、ゲート装置が正規アドレス情報を受信することとしたので、ゲート装置が中継装置に自装置のアドレス情報を通知するだけで、中継装置を介して正当な装置から送信された正規アドレス情報を入手することができる。【００１６】
また、本発明は、上記発明において、前記アドレス情報通知工程は、前記ゲート装置のアドレス情報を通知された中継装置が隣接する他の中継装置に前記ゲート装置のアドレス情報を中継し、前記正規アドレス情報中継工程は、前記他の中継装置が前記正当な装置からの正規アドレス情報を受信した場合に、前記ゲート装置のアドレス情報に基づいて隣接する中継装置若しくは前記ゲート装置に前記正規アドレス情報を中継することを特徴とする。【００１７】
この発明によれば、ゲート装置のアドレス情報を通知された中継装置が隣接する他の中継装置にゲート装置のアドレス情報を中継し、他の中継装置が正当な装置からの正規アドレス情報を受信した場合に、ゲート装置のアドレス情報に基づいて隣接する中継装置若しくはゲート装置に前記正規アドレス情報を中継することとしたので、必要な各中継装置を経由しつつ効率良く正規アドレス情報をゲート装置まで中継することができる。【００１８】
また、本発明は、上記発明において、前記正規アドレス情報取得工程は、正規アドレス情報を一括管理する正規アドレス情報提供装置が前記正規アドレス情報を各正当な装置から受信して格納する正規アドレス情報格納工程と、前記正規アドレス情報提供装置が前記ゲート装置から前記正規アドレス情報の送信要求を受け付けた場合に、送信要求された正規アドレス情報を前記ゲート装置に対して通知する正規アドレス情報通知工程と、前記ゲート装置が前記正規アドレス情報を受信する受信工程とを含んだことを特徴とする。【００１９】
この発明によれば、正規アドレス情報を一括管理する正規アドレス情報提供装置が正規アドレス情報を各正当な装置から受信して格納しておき、この正規アドレス情報提供装置がゲート装置から正規アドレス情報の送信要求を受け付けた場合に、送信要求された正規アドレス情報をゲート装置に対して通知し、ゲート装置が正規アドレス情報を受信することとしたので、ゲート装置が自装置のアドレス情報を事前に通知しなくても、必要の都度正規アドレス情報提供装置から正規アドレス情報を取得することができる。【００２０】
また、本発明は、上記発明において、前記正規アドレス情報取得工程は、アドレスを発行するアドレス発行装置若しくは正当な認証を受けた通信機器により送信された前記正規アドレス情報を前記ゲート装置が取得することを特徴とする。【００２１】
この発明によれば、アドレスを発行するアドレス発行装置若しくは正当な認証を受けた通信機器をネットワーク上に所在する正当な装置とみなして、これらから送信された正規アドレス情報をゲート装置が取得することとしたので、正当な装置から受信した正しい正規アドレス情報に基づく正規条件情報を生成でき、不正な攻撃を看過する事態を防ぐことができる。【００２２】
また、本発明は、上記発明において、前記ゲート装置が前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知工程と、前記攻撃検知工程により攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成工程と、前記正規条件情報生成工程により生成された正規条件情報を正規条件情報記憶部に格納する正規条件情報格納工程と、前記容疑シグネチャ生成工程により生成された容疑シグネチャに該当するパケットのうち、前記正規条件情報に示された条件に適合するパケットの特徴を表す正規シグネチャを生成する正規シグネチャ生成工程とをさらに含み、前記パケット制限工程は、前記容疑シグネチャ生成工程により生成された容疑シグネチャおよび前記正規シグネチャ生成工程により生成された正規シグネチャに基づいて前記ネットワークから受信したパケットの通過を制限することを特徴とする。【００２３】
この発明によれば、ゲート装置がネットワークから受信されたパケットによる攻撃を検知し、攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成し、正規条件情報を正規条件情報記憶部に格納し、容疑シグネチャに該当するパケットのうち正規条件情報に示された条件に適合するパケットの特徴を表す正規シグネチャを生成し、生成された容疑シグネチャおよび正規シグネチャに基づいてネットワークから受信したパケットの通過を制限することとしたので、容疑シグネチャおよび正規シグネチャという従来の指標を利用しつつ効率良く攻撃パケットの通過を制限することができる。【００２４】
また、本発明は、上記発明において、前記容疑シグネチャ生成工程により生成された容疑シグネチャおよび前記正規シグネチャ生成工程により生成された正規シグネチャを前記ゲート装置が前記中継装置に通知するシグネチャ通知工程と、前記中継装置が前記シグネチャ通知工程により通知された容疑シグネチャおよび正規シグネチャに基づいてパケットの通過を制限制御するパケット制限制御工程とをさらに含んだことを特徴とする。【００２５】
この発明によれば、容疑シグネチャおよび正規シグネチャをゲート装置が中継装置に通知し、通知された容疑シグネチャおよび正規シグネチャに基づいて中継装置がパケットの通過を制限制御することとしたので、中継装置においても効率良く攻撃パケットの通過を制限することができる。【００２６】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御方法であって、前記ネットワークから受信されたパケットによる攻撃を前記ゲート装置が検知する攻撃検知工程と、前記攻撃検知工程により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記ゲート装置が前記中継装置から取得する正規アドレス情報取得工程と、前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御を前記ゲート装置がおこなう通過制御工程とを含んだことを特徴とする。【００２７】
この発明によれば、ネットワークから受信されたパケットによる攻撃をゲート装置が検知し、通信機器への攻撃が検知された場合に、ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報をゲート装置が中継装置から取得し、中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなうこととしたので、各中継装置が保持する正規アドレス情報を、攻撃を検出したゲート装置に自動的に送信することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。【００２８】
また、本発明は、上記発明において、前記攻撃検知工程により攻撃が検知されたパケットの特徴を表す容疑シグネチャを前記ゲート装置が生成する容疑シグネチャ生成工程をさらに含み、前記正規アドレス情報取得工程は、前記容疑シグネチャ生成工程により生成された容疑シグネチャを前記中継装置に送信し、その結果返信された正規アドレス情報を取得することを特徴とする。【００２９】
この発明によれば、攻撃が検知されたパケットの特徴を表す容疑シグネチャをゲート装置が生成し、生成された容疑シグネチャを中継装置に送信し、その結果返信された正規アドレス情報を取得するよう構成したので、容疑シグネチャの送信を契機として必要なゲート装置が効率良く正規アドレス情報を取得することができる。【００３０】
また、本発明は、上記発明において、前記通過制御工程は、前記正規アドレス情報取得工程により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成工程と、前記ネットワークから受信したパケットのうち前記正規条件情報生成工程により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限工程とを含んだことを特徴とする。【００３１】
この発明によれば、取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち、生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限するよう構成したので、正規アドレス情報から生成した正規条件情報に基づいて適正なパケットの通過制御をおこなうことができる。【００３２】
また、本発明は、上記発明において、前記容疑シグネチャ生成工程により生成された容疑シグネチャに該当するパケットのうち、前記正規条件情報生成工程により生成された正規条件情報に示される条件に適合するパケットの特徴を表す正規シグネチャを生成する正規シグネチャ生成工程をさらに含み、前記パケット制限工程は、前記容疑シグネチャ生成工程により生成された容疑シグネチャおよび前記正規シグネチャ生成工程により生成された正規シグネチャに基づいて前記ネットワークから受信したパケットの通過を制限することを特徴とする。【００３３】
この発明によれば、容疑シグネチャに該当するパケットのうち、生成された正規条件情報に示される条件に適合するパケットの特徴を表す正規シグネチャを生成し、生成した容疑シグネチャおよび正規シグネチャに基づいてネットワークから受信したパケットの通過を制限するよう構成したので、容疑シグネチャおよび正規シグネチャという指標を用いて効率良くパケットの通過制御をおこなうことができる。【００３４】
また、本発明は、上記発明において、前記正規シグネチャ生成工程により生成された正規シグネチャを前記ゲート装置が前記中継装置に転送するシグネチャ転送工程をさらに含んだことを特徴とする。【００３５】
この発明によれば、生成された正規シグネチャをゲート装置が中継装置に転送することとしたので、ゲート装置のみならず中継装置においても効率良くパケットの通過制御をおこなうことができる。【００３６】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御システムであって、前記ゲート装置は、前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得する正規アドレス情報取得手段と、前記正規アドレス情報取得手段により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手段と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手段により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手段とを備えたことを特徴とする。【００３７】
この発明によれば、ゲート装置は、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得し、取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、正規条件情報を効率良く生成することができる。【００３８】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在するゲート装置若しくは前記中継装置で前記通信機器に対するサービス不能攻撃を防御するサービス不能攻撃防御システムであって、前記ゲート装置は、前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知手段と、前記攻撃検知手段により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記中継装置から取得する正規アドレス情報取得手段と、前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなう通過制御手段とを備えたことを特徴とする。【００３９】
この発明によれば、ゲート装置は、ネットワークから受信されたパケットによる攻撃を検知し、攻撃が検知された場合に、ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を中継装置から取得し、前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなうこととしたので、各中継装置が保持する正規アドレス情報を、攻撃を検出したゲート装置に自動的に送信することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。【００４０】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置であって、前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得する正規アドレス情報取得手段と、前記正規アドレス情報取得手段により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手段と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手段により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手段とを備えたことを特徴とする。【００４１】
この発明によれば、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得し、取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、正規条件情報を効率良く生成することができる。【００４２】
また、本発明は、上記発明において、前記正規アドレス情報取得手段は、前記中継装置に対して自装置のアドレス情報を通知するアドレス情報通知手段と、前記アドレス情報通知手段により通知した自装置のアドレス情報に応答して前記中継装置が返送した前記正当な装置からの正規アドレス情報を受信する受信手段とを備えたことを特徴とする。【００４３】
この発明によれば、中継装置に対して自装置のアドレス情報を通知し、通知した自装置のアドレス情報に応答して中継装置が返送した正当な装置からの正規アドレス情報を受信することとしたので、ゲート装置が中継装置に自装置のアドレス情報を通知するだけで、中継装置を介して正当な装置から送信された正規アドレス情報を入手することができる。【００４４】
また、本発明は、上記発明において、前記正規アドレス情報取得手段は、正規アドレス情報を一括管理する正規アドレス情報提供装置に対して前記正規アドレス情報の送信要求をおこなう正規アドレス情報送信要求手段と、前記正規アドレス情報の送信要求に応答して返送された正規アドレス情報を受信する受信手段とを備えたことを特徴とする。【００４５】
この発明によれば、正規アドレス情報を一括管理する正規アドレス情報提供装置に対して正規アドレス情報の送信要求をおこない、この正規アドレス情報の送信要求に応答して返送された正規アドレス情報を受信することとしたので、ゲート装置が自装置のアドレス情報を事前に通知しなくても、必要の都度正規アドレス情報提供装置から正規アドレス情報を取得することができる。【００４６】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置であって、前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知手段と、前記攻撃検知手段により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記中継装置から取得する正規アドレス情報取得手段と、前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなう通過制御手段とを備えたことを特徴とする。【００４７】
この発明によれば、ネットワークから受信されたパケットによる攻撃を検知し、通信機器への攻撃が検知された場合に、ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を中継装置から取得し、中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなうこととしたので、ゲート装置が攻撃を検知すると各中継装置が保持する正規アドレス情報を自動的に取得することができるので、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。【００４８】
また、本発明は、上記発明において、前記攻撃検知手段により攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成手段をさらに備え、前記正規アドレス情報取得手段は、前記容疑シグネチャ生成手段により生成された容疑シグネチャを前記中継装置に送信し、その結果返信された正規アドレス情報を取得することを特徴とする。【００４９】
この発明によれば、攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成し、生成された容疑シグネチャを中継装置に送信し、その結果返信された正規アドレス情報を取得することとしたので、容疑シグネチャの送信を契機として必要なゲート装置が効率良く正規アドレス情報を取得することができる。【００５０】
また、本発明は、上記発明において、前記通過制御手段は、前記正規アドレス情報取得手段により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手段と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手段により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手段と備えたことを特徴とする。【００５１】
この発明によれば、取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、正規アドレス情報から生成した正規条件情報に基づいて適正なパケットの通過制御をおこなうことができる。【００５２】
また、本発明は、サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置であって、前記ゲート装置のアドレス情報を取得するアドレス情報取得手段と、前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、前記アドレス情報取得手段により取得されたアドレス情報に基づいて、前記ゲート装置または隣接する他の中継装置に前記正規アドレス情報を中継する正規アドレス情報中継手段とを備えたことを特徴とする。【００５３】
この発明によれば、ゲート装置のアドレス情報を取得しておき、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、取得されたアドレス情報に基づいて、ゲート装置または隣接する他の中継装置に正規アドレス情報を中継することとしたので、効率良く正規アドレス情報をゲート装置まで中継することができる。【００５４】
また、本発明は、サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置であって、前記ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶する正規アドレス情報記憶手段と、前記ゲート装置により前記通信機器への攻撃が検知された場合に、前記正規アドレス情報記憶手段に記憶した正規アドレス情報を当該ゲート装置に転送する転送手段とを備えたことを特徴とする。【００５５】
この発明によれば、ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶し、ゲート装置により通信機器への攻撃が検知された場合に、記憶した正規アドレス情報を攻撃を検知したゲート装置に転送することとしたので、各中継装置が保持する正規アドレス情報を、攻撃を検出したゲート装置に自動的に送信することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。【００５６】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置に用いるゲート装置用プログラムであって、前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得する正規アドレス情報取得手順と、前記正規アドレス情報取得手順により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手順と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手順により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手順とをコンピュータに実行させることを特徴とする。【００５７】
この発明によれば、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を取得し、取得した正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、正規条件情報を効率良く生成することができる。【００５８】
また、本発明は、上記発明において、前記正規アドレス情報取得手順は、前記中継装置に対して自装置のアドレス情報を通知するアドレス情報通知手順と、前記アドレス情報通知手順により通知した自装置のアドレス情報に応答して前記中継装置が返送した前記正当な装置からの正規アドレス情報を受信する受信手順とを含んだことを特徴とする。【００５９】
この発明によれば、中継装置に対して自装置のアドレス情報を通知し、通知した自装置のアドレス情報に応答して中継装置が返送した正当な装置からの正規アドレス情報を受信することとしたので、ゲート装置が中継装置に自装置のアドレス情報を通知するだけで、中継装置を介して正当な装置から送信された正規アドレス情報を入手することができる。【００６０】
また、本発明は、上記発明において、前記正規アドレス情報取得手順は、正規アドレス情報を一括管理する正規アドレス情報提供装置に対して前記正規アドレス情報の送信要求をおこなう正規アドレス情報送信要求手順と、前記正規アドレス情報の送信要求に応答して返送された正規アドレス情報を受信する受信手順とを含んだことを特徴とする。【００６１】
この発明によれば、正規アドレス情報を一括管理する正規アドレス情報提供装置に対して正規アドレス情報の送信要求をおこない、この正規アドレス情報の送信要求に応答して返送された正規アドレス情報を受信することとしたので、ゲート装置が自装置のアドレス情報を事前に通知しなくても、必要の都度正規アドレス情報提供装置から正規アドレス情報を取得することができる。【００６２】
また、本発明は、ネットワークの一部を形成する中継装置とサービス不能攻撃対象となる通信機器との間に介在し、前記通信機器に対するサービス不能攻撃を防御するゲート装置に用いるゲート装置用プログラムであって、前記ネットワークから受信されたパケットによる攻撃を検知する攻撃検知手順と、前記攻撃検知手順により前記通信機器への攻撃が検知された場合に、前記ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を前記中継装置から取得する正規アドレス情報取得手順と、前記中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなう通過制御手順とをコンピュータに実行させることを特徴とする。【００６３】
この発明によれば、ネットワークから受信されたパケットによる攻撃を検知し、通信機器への攻撃が検知された場合に、ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を中継装置から取得し、中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなうこととしたので、ゲート装置が攻撃を検知すると各中継装置が保持する正規アドレス情報を自動的に取得することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。【００６４】
また、本発明は、上記発明において、前記攻撃検知手順により攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成手順をさらに含み、前記正規アドレス情報取得手順は、前記容疑シグネチャ生成手順により生成された容疑シグネチャを前記中継装置に送信し、その結果返信された正規アドレス情報を取得することを特徴とする。【００６５】
この発明によれば、攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成し、生成された容疑シグネチャを中継装置に送信し、その結果返信された正規アドレス情報を取得することとしたので、容疑シグネチャの送信を契機として必要なゲート装置が効率良く正規アドレス情報を取得することができる。【００６６】
また、本発明は、上記発明において、前記通過制御手順は、前記正規アドレス情報取得手順により取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成する正規条件情報生成手順と、前記ネットワークから受信したパケットのうち前記正規条件情報生成手順により生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、前記通信機器へ攻撃をおこなうパケットの通過を制限するパケット制限手順とを含んだことを特徴とする。【００６７】
この発明によれば、取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、正規アドレス情報から生成した正規条件情報に基づいて適正なパケットの通過制御をおこなうことができる。【００６８】
また、本発明は、サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置に用いる中継装置用プログラムであって、前記ゲート装置のアドレス情報を取得するアドレス情報取得手順と、前記ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、前記アドレス情報取得手順により取得されたアドレス情報に基づいて、前記ゲート装置または隣接する他の中継装置に前記正規アドレス情報を中継する正規アドレス情報中継手順とをコンピュータに実行させることを特徴とする。【００６９】
この発明によれば、ゲート装置のアドレス情報を取得しておき、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、取得されたアドレス情報に基づいて、ゲート装置または隣接する他の中継装置に正規アドレス情報を中継することとしたので、効率良く正規アドレス情報をゲート装置まで中継することができる。【００７０】
また、本発明は、サービス不能攻撃対象となる通信機器に対するサービス不能攻撃を防御するゲート装置および／またはネットワークを形成する一または複数の中継装置と接続された中継装置に用いる中継装置用プログラムであって、前記ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶する正規アドレス情報記憶手順と、前記ゲート装置により前記通信機器への攻撃が検知された場合に、前記正規アドレス情報記憶手順に記憶した正規アドレス情報を当該ゲート装置に転送する転送手順とをコンピュータに実行させることを特徴とする。【００７１】
この発明によれば、ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶し、ゲート装置により通信機器への攻撃が検知された場合に、記憶した正規アドレス情報を攻撃を検知したゲート装置に転送することとしたので、各中継装置が保持する正規アドレス情報を、攻撃を検出したゲート装置に自動的に送信することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。
【発明の効果】
【００７２】
本発明によれば、ネットワーク上に所在する正当な装置が非攻撃パケットの送信元を示す正規アドレス情報を発行し、ゲート装置が正当な装置が発行した正規アドレス情報に基づいて通信機器へ攻撃をおこなうパケットの通過を制限することとしたので、通信機器に対するサービス不能攻撃を効率的に防御することができる。【００７３】
また、本発明によれば、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報をゲート装置が取得し、取得した正規アドレス情報に基づいてゲート装置が非攻撃パケットの条件を示す正規条件情報を生成し、ゲート装置がネットワークから受信したパケットのうち生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限するよう構成したので、正規条件情報を効率良く生成することができ、もってゲート装置のオペレータによる正規条件情報の管理負担を軽減することができる。【００７４】
また、本発明によれば、ゲート装置が中継装置に対して自装置のアドレス情報を通知し、中継装置が正当な装置からの正規アドレス情報を受信した場合に、通知されたアドレス情報に基づいて当該正規アドレス情報をゲート装置に対して中継し、ゲート装置が正規アドレス情報を受信するよう構成したので、ゲート装置が中継装置に自装置のアドレス情報を通知するだけで、中継装置を介して正当な装置から送信された正規アドレス情報を入手することができる。【００７５】
また、本発明によれば、ゲート装置のアドレス情報を通知された中継装置が隣接する他の中継装置にゲート装置のアドレス情報を中継し、他の中継装置が正当な装置からの正規アドレス情報を受信した場合に、ゲート装置のアドレス情報に基づいて隣接する中継装置若しくはゲート装置に前記正規アドレス情報を中継するよう構成したので、必要な各中継装置を経由しつつ効率良く正規アドレス情報をゲート装置まで中継することができる。【００７６】
また、本発明によれば、正規アドレス情報を一括管理する正規アドレス情報提供装置が正規アドレス情報を各正当な装置から受信して格納しておき、この正規アドレス情報提供装置がゲート装置から正規アドレス情報の送信要求を受け付けた場合に、送信要求された正規アドレス情報をゲート装置に対して通知し、ゲート装置が正規アドレス情報を受信するよう構成したので、ゲート装置が自装置のアドレス情報を事前に通知しなくても、必要の都度正規アドレス情報提供装置から正規アドレス情報を取得することができる。【００７７】
また、本発明によれば、アドレスを発行するアドレス発行装置若しくは正当な認証を受けた通信機器をネットワーク上に所在する正当な装置とみなして、これらから送信された正規アドレス情報をゲート装置が取得するよう構成したので、正当な装置から受信した正しい正規アドレス情報に基づく正規条件情報を生成でき、不正な攻撃を看過する事態を防ぐことができる。【００７８】
また、本発明によれば、ゲート装置がネットワークから受信されたパケットによる攻撃を検知し、攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成し、正規条件情報を正規条件情報記憶部に格納し、容疑シグネチャに該当するパケットのうち正規条件情報に示された条件に適合するパケットの特徴を表す正規シグネチャを生成し、生成された容疑シグネチャおよび正規シグネチャに基づいてネットワークから受信したパケットの通過を制限するよう構成したので、容疑シグネチャおよび正規シグネチャという従来の指標を利用しつつ効率良く攻撃パケットの通過を制限することができる。【００７９】
また、本発明によれば、容疑シグネチャおよび正規シグネチャをゲート装置が中継装置に通知し、通知された容疑シグネチャおよび正規シグネチャに基づいて中継装置がパケットの通過を制限制御するよう構成したので、中継装置においても効率良く攻撃パケットの通過を制限することができる。【００８０】
また、本発明によれば、ゲート装置のアドレス情報を取得しておき、ネットワーク上に所在する正当な装置により送信された非攻撃パケットの送信元を示す正規アドレス情報を受信した際に、取得されたアドレス情報に基づいて、ゲート装置または隣接する他の中継装置に正規アドレス情報を通知するよう構成したので、効率良く正規アドレス情報をゲート装置まで通知することができる。【００８１】
また、本発明によれば、ネットワークから受信されたパケットによる攻撃をゲート装置が検知し、通信機器への攻撃が検知された場合に、ネットワーク上に所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報をゲート装置が中継装置から取得し、中継装置から受け取った正規アドレス情報から生成された非攻撃パケットの条件を示す正規条件情報に基づいてパケットの通過制御をおこなうこととしたので、各中継装置が保持する正規アドレス情報を、攻撃を検出したゲート装置に自動的に送信することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。【００８２】
また、本発明によれば、攻撃が検知されたパケットの特徴を表す容疑シグネチャをゲート装置が生成し、生成された容疑シグネチャを中継装置に送信し、その結果返信された正規アドレス情報を取得するよう構成したので、容疑シグネチャの送信を契機として必要なゲート装置が効率良く正規アドレス情報を取得することができる。【００８３】
また、本発明によれば、取得された正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち、生成された正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限するよう構成したので、正規アドレス情報から生成した正規条件情報に基づいて適正なパケットの通過制御をおこなうことができる。【００８４】
また、本発明によれば、容疑シグネチャに該当するパケットのうち、生成された正規条件情報に示される条件に適合するパケットの特徴を表す正規シグネチャを生成し、生成した容疑シグネチャおよび正規シグネチャに基づいてネットワークから受信したパケットの通過を制限するよう構成したので、容疑シグネチャおよび正規シグネチャという指標を用いて効率良くパケットの通過制御をおこなうことができる。【００８５】
また、本発明によれば、生成された正規シグネチャをゲート装置が中継装置に転送することとしたので、ゲート装置のみならず中継装置においても効率良くパケットの通過制御をおこなうことができる。【００８６】
また、本発明によれば、ネットワークに所在する正当な装置から受信した非攻撃パケットの送信元を示す正規アドレス情報を記憶し、ゲート装置により通信機器への攻撃が検知された場合に、記憶した正規アドレス情報を攻撃を検知したゲート装置に転送することとしたので、各中継装置が保持する正規アドレス情報を、攻撃を検出したゲート装置に自動的に送信することができ、ネットワークを介した攻撃を行わない非攻撃パケットの送信元が追加または変更された場合に、正規条件情報を必要なゲート装置にのみ無駄なく登録することができ、またゲート装置がネットワークに追加された場合に、追加されたゲート装置に対して必要な分だけの正規条件情報を無駄なく登録することができる。
【図面の簡単な説明】
【００８７】
【図１】図１は、本実施例１に係る分散型サービス不能攻撃防御システムの構成を示すブロック図である。
【図２】図２は、図１に示したゲート装置の構成を示すブロック図である。
【図３】図３は、本実施例１に係る攻撃検知条件の一例を示す図である。
【図４】図４は、本実施例１に係る正規条件情報の一例を示す図である。
【図５】図５は、本実施例１に係る不正条件の一例を示す図である。
【図６】図６は、図１に示した中継装置の構成を示すブロック図である。
【図７】図７は、図２に示したゲート装置の攻撃検知動作を示すフローチャートである。
【図８】図８は、図６に示した中継装置のシグネチャ受信動作を示すフローチャートである。
【図９】図９は、図２に示したゲート装置のパケット制限動作を示すフローチャートである。
【図１０】図１０は、本実施例１に係る分散型サービス不能攻撃防御システムの正規条件情報更新動作を示すシーケンス図である。
【図１１】図１１は、本実施例２に係る分散型サービス不能攻撃防御システムの構成を示すブロック図である。
【図１２】図１２は、図１１に示したゲート装置の構成を示すブロック図である。
【図１３】図１３は、図１１に示した中継装置の構成を示すブロック図である。
【図１４】図１４は、本実施例２に係る分散型サービス不能攻撃防御システムの正規条件情報更新動作を示すシーケンス図である。
【図１５】図１５は、本実施例３に係る分散型サービス不能攻撃防御システムの構成を示すブロック図である。
【図１６】図１６は、図１５に示したゲート装置の構成を示すブロック図である。
【図１７】図１７は、本実施例３に係る攻撃検知条件の一例を示す図である。
【図１８】図１８は、本実施例３に係る正規条件情報の一例を示す図である。
【図１９】図１９は、本実施例３に係る不正条件の一例を示す図である。
【図２０】図２０は、図１５に示した中継装置の構成を示すブロック図である。
【図２１】図２１は、図１６に示したゲート装置の攻撃検知動作を示すフローチャートである。
【図２２】図２２は、図２０に示した中継装置のシグネチャ受信動作を示すフローチャートである。
【図２３】図２３は、図１６に示したゲート装置のパケット制限動作を示すフローチャートである。
【図２４】図２４は、本実施例３に係る分散型サービス不能攻撃防御システムの正規条件情報更新動作を示すシーケンス図である。
【符号の説明】
【００８８】
１、５０  分散型サービス不能攻撃防御システム
２  ネットワーク
３、４、５、６、５３、５４、５５、５６  中継装置
７  通信機器
８、５８  ゲート装置
９  ＬＡＮ
１０、６０  アドレス発行サーバ
１１  エッジルータ
１２、１３、１５、１６  通信機器
１４  ＬＡＮ
２０  攻撃検知部
２１  容疑シグネチャ生成部
２２  正規条件情報格納部
２３、７３  正規条件情報生成部
２４  正規シグネチャ生成部
２５、３５  不正シグネチャ生成部
２６、３６  パケット制限部
２７、７７  シグネチャ通知部
３７、８７  シグネチャ中継部
２８  ネットワークインタフェイス
３０  入力ポート
３１  スイッチ
３２  出力ポート
３８  アドレス情報記憶部
３９  正規アドレス情報送信部
５９  正規アドレス情報記憶装置
１０１  分散型サービス不能攻撃防御システム
１０２  ネットワーク
１０３、１０４、１０５、１０６  中継装置
１０７  通信機器
１０８  ゲート装置
１０９  ＬＡＮ
１１０  アドレス発行サーバ
１１１  エッジルータ
１１２、１１３、１１５、１１６  通信機器
１１４  ＬＡＮ
１２０  攻撃検知部
１２１  容疑シグネチャ生成部
１２２  正規条件情報格納部
１２３  正規条件情報生成部
１２４  正規シグネチャ生成部
１２５、１３５  不正シグネチャ生成部
１２６、１３６  パケット制限部
１２７、１３７  シグネチャ転送部
１２８  ネットワークインタフェイス
１３０  入力ポート
１３１  スイッチ
１３２  出力ポート
１３８  アドレス情報記憶部
１３９  正規アドレス情報送信部
【発明を実施するための最良の形態】
【００８９】
以下に添付図面を参照して、この発明に係るサービス不能攻撃防御方法、サービス不能攻撃防御装置中継装置、サービス不能攻撃防御プログラムおよび中継装置用プログラムの好適な実施の形態を詳細に説明する。なお、下記に示す実施例１では、アドレス発行サーバ装置から中継装置に対して正規アドレス情報の送信要求をおこなう場合を示し、実施例２では正規アドレス情報を一括管理する正規アドレス情報提供サーバへゲート装置から正規アドレス情報の送信要求をおこなう場合を示すこととする。また、実施例３では、ゲート装置が中継装置に対して容疑シグネチャを送信し、その応答として正規アドレス情報を取得する場合を示すこととする。
【実施例１】
【００９０】
図１は、本実施例１に係る分散型サービス不能攻撃防御システム１の構成を示すブロック図である。同図に示す分散型サービス不能攻撃防御システム１は、通信機器７への分散型サービス不能攻撃を主としてゲート装置８で防御するシステムである。具体的には、ネットワーク２上に所在する正当な装置（アドレス発行サーバ１０）により送信された非攻撃パケットの送信元を示す正規アドレス情報をゲート装置８が取得し、取得した正規アドレス情報に基づいてゲート装置８が非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器７へ攻撃をおこなうパケットの通過を制限するようにしている。なお、このゲート装置８が正規条件情報に基づいて生成した正規シグネチャ並びに容疑シグネチャは中継装置６などに中継され、中継装置でのフィルタリングを可能ならしめている。【００９１】
従来、かかる正規アドレス情報の追加や変更等の管理は、ゲート装置８のオペレータによって行われていたため、正規条件情報の管理が煩雑になるという問題があった。このため、本実施例１では、かかる正規アドレス情報の追加をゲート装置８のオペレータに担わせるのではなく、アドレス発行サーバ１０などの正当な端末から正規アドレス情報を取得することとしている。このため、本実施例１によれば、ゲート装置８のオペレータの管理負担を軽減することができる。【００９２】
ここで、このゲート装置８が正規アドレス情報を取得する際に、本実施例１では、ゲート装置８が中継装置６に対して自装置のアドレス情報を通知し（図１のステップ１）、この中継装置６にアドレス情報を記憶させ（図１のステップ２）、アドレス発行サーバ１０から発行された正規アドレス情報送信要求（正規アドレス情報を含む）を中継装置６が受信すると、あらかじめ記憶したアドレス情報に基づいてゲート装置８に中継し（図１のステップ３）、ゲート装置８が受信した正規アドレス情報に基づいて正規条件情報を自動生成する（図１のステップ４）こととしている。【００９３】
次に、この分散型サービス不能攻撃防御システム１のシステム構成について説明する。図１に示すように、この分散型サービス不能攻撃防御システム１は、ネットワーク２を介して伝送されるパケットを中継する複数の中継装置３〜６と、ネットワーク２を介して通信機器７に送信されるパケットの通過を制限するゲート装置８とを備えている。なお、図１に示した分散型サービス不能攻撃防御システム１の構成は一例を示すものであり、中継装置およびゲート装置等の数量やネットワーク構成を限定するものではない。【００９４】
ゲート装置８は、ネットワーク間接続機器であるゲートウェイ装置などによって構成され、コンピュータ装置等によって構成される通信機器７を含む構内情報通信網（LocalAreaNetwork、以下単に「ＬＡＮ」と記載する。）１４に接続されている。また、中継装置３〜６は、ルータ装置によってそれぞれ構成されている。なお、この中継装置３〜６は、ブリッジによって構成することもできる。【００９５】
ここで、中継装置３は、中継装置４およびゲート装置８に接続され、中継装置４は、通信機器１５および中継装置３に接続され、中継装置５は、通信機器１６および中継装置６に接続され、中継装置６は、中継装置５、エッジルータ１１およびゲート装置８に接続されている。【００９６】
図２は、図１に示したゲート装置８の構成を示すブロック図である。図２に示すように、このゲート装置８は、ネットワーク２から受信されたパケットによる攻撃を検知する攻撃検知部２０と、攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成部２１と、通信機器７に対する攻撃とみなされないパケット（非攻撃パケット）の条件を表す正規条件情報を格納する正規条件情報格納部２２と、正規条件情報格納部２２に格納される正規条件情報を生成する正規条件情報生成部２３と、容疑シグネチャに当てはまるパケットのうち、正規条件情報に表された条件に合うパケットの特徴を表す正規シグネチャを生成する正規シグネチャ生成部２４と、容疑シグネチャに当てはまるパケットのうち、通信機器７に対する攻撃とみなすパケットの特徴を表す不正シグネチャを生成する不正シグネチャ生成部２５と、容疑シグネチャ、正規シグネチャおよび不正シグネチャに基づいてネットワーク２から受信されたパケットの通過を制限するパケット制限部２６と、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置３および中継装置６に通知するシグネチャ通知部２７と、ネットワーク２に接続された各装置と通信を行うネットワークインタフェイス２８とを備えている。【００９７】
攻撃検知部２０は、あらかじめ設定された攻撃検知条件に基づいて攻撃を検知する処理部である。図３は、攻撃検知条件の一例を示す図である。図３において、攻撃検知条件は、検知属性、検知閾値および検知時間の組からなる３組のレコードで構成される。検知属性は、検知対象とするパケットの属性を示し、検知閾値は、検知対象となるパケットの伝送レートの閾値を示し、検知時間は、検知対象となるパケットの伝送レートが検知閾値を超える時間の閾値を示している。【００９８】
例えば、１番目の検知条件は、宛先のアドレス情報が192.168.1.1であり（Dst=192.168.1.1/32）、トランスポート層のプロトコルがＴＣＰ（TransmissionControlProtocol）であり（Protocol=TCP）、ＴＣＰポート番号が８０である（Port=80）パケットが検知対象となり、この検知対象のパケットの伝送レートが５００kbpsを超えた状態が１０秒以上続いた場合には、検知対象のパケットによる攻撃として検知される。【００９９】
同様に、２番目の検知条件は、宛先のアドレス情報が192.168.1.2であり（Dst=192.168.1.2/32）、トランスポート層のプロトコルがＵＤＰ（Userdatagramprotocol）である（Protocol=UDP）パケットが検知対象となり、この検知対象のパケットの伝送レートが３００kbpsを超えた状態が１０秒以上続いた場合には、検知対象のパケットによる攻撃として検知される。【０１００】
また、３番目の検知条件は、宛先のアドレス情報が192.168.1.0〜192.168.1.255の範囲内である（Dst=192.168.1.0/24）パケットが検知対象となり、この検知対象のパケットの伝送レートが１Mbpsを超えた状態が２０秒以上続いた場合には、検知対象のパケットによる攻撃として検知される。【０１０１】
このように、検知対象のパケットによる攻撃が攻撃検知部２０によって検知されると、容疑シグネチャ生成部２１は、検知対象のパケットの特徴を表す容疑シグネチャを生成する。例えば、図３における攻撃検知条件の１番目の検知条件に合う攻撃が検知された場合には、容疑シグネチャ生成部２１は、宛先のアドレス情報が192.168.1.1であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が８０であるパケットを示す容疑シグネチャを生成する。なお、容疑シグネチャは、対象となるパケットに対するシェーピングやフィルタリング等の処理や、この処理に関するパラメータ等を含むようにしてもよい。【０１０２】
正規条件情報格納部２２は、フラッシュメモリなどの不揮発性の記憶媒体によって構成されている。図４は、正規条件情報格納部２２に格納される正規条件情報の一例を示す図である。図４において、正規条件情報は攻撃とみなされない条件である正規条件で構成される。【０１０３】
例えば、１番目の正規条件によって、送信元のアドレス情報が172.16.10.0〜172.16.10.255の範囲内である（Src=172.16.10.0/24）パケットは、攻撃とみなされない。同様に、２番目の正規条件によって、サービスタイプ（TypeofService）が０ｘ０１である（TOS=0x01）パケットは、攻撃とみなされない。【０１０４】
正規条件情報生成部２３は、本実施例１の最も重要な特徴部分をなす処理部であり、オペレータの処理行為を伴うことなく正規条件情報格納部２２に格納された正規条件情報の自動更新をおこなう。従来、かかる正規条件情報の管理はオペレータに委ねられていたが、本実施例１では、かかる正規条件情報を自動更新している。【０１０５】
具体的には、この正規条件情報生成部２３は、ネットワーク２を介した攻撃を行わないパケットの送信元を表す正規アドレス情報が何れかの中継装置３〜６から送信され、送信された正規アドレス情報がネットワークインタフェイス２８に受信された場合に、正規アドレス情報に基づいて正規条件情報を生成し、生成した正規条件情報を以って正規条件情報格納部２２に格納された正規条件情報を更新する。すなわち、正規アドレス情報を送信アドレスとしたパケットは、通信機器７に対する攻撃とみなされないものとなる。なお、ここでは正規条件情報の追加を自動的におこなう点を強調したが、正規条件情報格納部２２に格納された正規条件情報は、ゲート装置８のオペレータによって追加、削除、変更などの編集ができるようにしてもよい。【０１０６】
正規シグネチャ生成部２４は、容疑シグネチャ生成部２１によって生成された容疑シグネチャに当てはまるパケットのうち、正規条件情報に表された条件に合うパケットの特徴を表す正規シグネチャを生成する処理部である。【０１０７】
例えば、この正規シグネチャ生成部２４は、攻撃検知部２０によって図３に示した１番目の攻撃検知条件に合う攻撃が検知された場合には、図４に示した正規条件情報に基づいて、宛先のアドレス情報が192.168.1.1であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が８０であり、送信元のアドレス情報が172.16.10.0〜172.16.10.255の範囲内であるパケットを示す正規シグネチャと、宛先のアドレス情報が192.168.1.1であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が80であり、サービスタイプが0x01であるパケットを示す正規シグネチャとを生成する。【０１０８】
不正シグネチャ生成部２５は、容疑シグネチャ生成部２１によって生成された容疑シグネチャに当てはまるパケットのうち、不正条件に合うパケットの特徴を表す不正シグネチャを生成する処理部である。【０１０９】
図５は、不正条件の一例を示す図である。図５において、１番目の不正条件は、500kbps以上の伝送レートで３０秒以上連続送信されているパケットを示している。同様に、２番目の不正条件は、300kbps以上の伝送レートで１５秒以上連続送信されているICMP（InternetControlMessageProtocol）に準拠したエコー応答（EchoReply）パケットを示し、３番目の不正条件は、300kbps以上の伝送レートで１５秒以上連続送信されている分割送信されたフラグメントパケットを示している。【０１１０】
パケット制限部２６は、容疑シグネチャ生成部２１によって生成された容疑シグネチャと正規シグネチャ生成部２４によって生成された正規シグネチャと不正シグネチャ生成部２５によって生成された不正シグネチャに基づいてネットワークインタフェイス２８によって受信されたパケットの通過を制限するようになっている。【０１１１】
具体的には、パケット制限部２６は、不正シグネチャに当てはまるパケットを廃棄し、正規シグネチャに当てはまるパケットに対しては制限を加えずに通過させ、容疑シグネチャに当てはまるパケットに対しては容疑シグネチャに示された処理等に基づいて伝送帯域を絞った経路を介して通過させるようになっている。【０１１２】
シグネチャ通知部２７は、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置３および中継装置６に通知する処理部であり、中継装置３および中継装置６は、さらに隣接関係にある中継装置にパケットを中継する。なお、隣接関係とは、本発明に係るゲート装置および中継装置における隣接関係であり、物理的な接続関係とは異なる。【０１１３】
また、シグネチャ通知部２７は、ゲート装置８のアドレス情報を容疑シグネチャおよび正規シグネチャと同様に隣接関係にある中継装置３および中継装置６に通知し、中継装置３および中継装置６は、さらに隣接関係にある中継装置にゲート装置８のアドレス情報を中継する。なお、シグネチャ通知部２７によるゲート装置８のアドレス情報の通知は、ゲート装置８のオペレータによる起動に応じて行なうことができ、定期的に行われるようにしてもよい。【０１１４】
図６は、図１に示した中継装置６の構成を示す機能ブロック図である。なお、ここでは説明の便宜上中継装置６の構成を説明するが、他の中継装置３〜５についても中継装置６と同様に構成されている。この中継装置６は、入力ポート３０と、パケットをルーティングするためのスイッチ３１と、出力ポート３２と、不正シグネチャを生成する不正シグネチャ生成部３５と、不正シグネチャならびにゲート装置８によって通知された容疑シグネチャおよび正規シグネチャに基づいて入力ポート３０に入力されたパケットの通過を制限するパケット制限部３６と、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置５に中継するシグネチャ中継部３７と、ゲート装置８のアドレス情報を記憶するアドレス情報記憶部３８と、アドレス情報記憶部３８に記憶されたゲート装置８のアドレス情報に基づいて正規アドレス情報を送信する正規アドレス情報送信部３９とを備えている。【０１１５】
ここで、不正シグネチャ生成部３５、パケット制限部３６およびシグネチャ中継部３７は、ゲート装置８を構成する不正シグネチャ生成部２５、パケット制限部２６およびシグネチャ通知部２７とそれぞれ同様に構成されるため、詳細な説明は省略する。なお、中継装置６は、ゲート装置８と同様に、攻撃検知部、容疑シグネチャ生成部、正規条件情報格納部および正規シグネチャ生成部を備えるようにしてもよい。【０１１６】
シグネチャ中継部３７は、パケット制限部３６によってパケットの通過が制限された後、制限された伝送レートを超えた容疑シグネチャに当てはまるパケットが入力ポート３０に受信されているか否かを判断し、制限された伝送レートを超えた容疑シグネチャに当てはまるパケットが入力ポート３０に受信されていると判断した場合には、容疑シグネチャおよび正規シグネチャを中継し、制限された伝送レートを超えた容疑シグネチャに当てはまるパケットが入力ポート３０に受信されていると判断しなかった場合には、容疑シグネチャおよび正規シグネチャを中継しない。【０１１７】
また、図１に示した構成においては、中継装置４および中継装置５には、容疑シグネチャおよび正規シグネチャを中継する中継装置が存在しないため、シグネチャ中継部３７による容疑シグネチャおよび正規シグネチャの中継は行われない。【０１１８】
このように、ゲート装置８によって攻撃が検知された場合には、容疑シグネチャおよび正規シグネチャが生成され、生成された容疑シグネチャおよび正規シグネチャが各中継装置３〜６に通知され、ゲート装置８および中継装置３〜６においてパケットのシェーピングやフィルタリング等の処理が施される。このため、分散型サービス不能攻撃防御システム１においては、例えば、ゲート装置８によって検知された攻撃が通信機器１５を介して行われている場合には、攻撃を行うパケットの通過が攻撃元の近く、すなわち中継装置４で制限され、攻撃を行うパケットによる悪影響が小さくなる。【０１１９】
アドレス情報記憶部３８は、不揮発性の記憶媒体によって構成されており、ゲート装置８のシグネチャ通知部２７や各中継装置のシグネチャ中継部３７を介して通知および中継されたゲート装置８のアドレス情報を記憶する。なお、図１においては、一つゲート装置８を図示しているが、本実施例１の分散型サービス不能攻撃防御システム１は、複数のゲート装置によって構成することもでき、この場合にアドレス情報記憶部３８には、各ゲート装置のアドレス情報が記憶されることになる。【０１２０】
図１において、ＬＡＮ９は、エッジルータ１１を介してネットワーク２と接続されるとともに、コンピュータ装置等の通信機器１２、１３が接続されている。ここで、ＬＡＮ９では、ネットワーク２を介した攻撃を行わないものとする。【０１２１】
ＬＡＮ９に接続されたアドレス発行サーバ１０は、ＬＡＮ９のアドレス情報またはＬＡＮ９に接続された通信機器１２、１３のアドレス情報を含む正規アドレス情報送信要求を中継装置６に向けて送信する。なお、このアドレス発行サーバ１０は、正規アドレス情報送信要求を定期的に送信するようにしてもよく、アドレス発行サーバ１０のオペレータによる起動に応じて送信するようにしてもよい。また、正規アドレス情報送信要求を送信するものとしては、アドレス発行サーバ１０の他にエッジルータ１１等のＬＡＮ９を構成する装置であれば何れのものでもよい。【０１２２】
図６において、正規アドレス情報送信部３９は、アドレス発行サーバ１０によって送信された正規アドレス情報送信要求に応答して、正規アドレス情報送信要求に含まれるアドレス情報、すなわち正規アドレス情報をアドレス情報記憶部３８に記憶された各ゲート装置のアドレス情報に基づいて送信する。【０１２３】
以上のように構成された分散型サービス不能攻撃防御システム１について、図７〜図１０を用いてその動作を説明する。図７は、図１に示したゲート装置８の攻撃検知動作を示すフローチャートである。【０１２４】
まず、攻撃検知条件に基づいてネットワークインタフェイス２８によって受信されたパケットによる攻撃が攻撃検知部２０によって検知されると（ステップＳ１）、攻撃が検知されたパケットの特徴を表す容疑シグネチャが容疑シグネチャ生成部２１によって生成される（ステップＳ２）。【０１２５】
次に、容疑シグネチャに当てはまるパケットのうち、正規条件情報に表された条件に合うパケットの特徴を表す正規シグネチャが正規シグネチャ生成部２４によって生成されるとともに（ステップＳ３）、容疑シグネチャに当てはまるパケットのうち、不正条件に合うパケットの特徴を表す不正シグネチャが不正シグネチャ生成部２５によって生成される（ステップＳ４）。【０１２６】
次に、容疑シグネチャ、正規シグネチャおよび不正シグネチャがパケット制限部２６によるパケット通過条件として設定される（ステップＳ５）。また、容疑シグネチャおよび正規シグネチャがシグネチャ通知部２７によって隣接関係にある中継装置３および中継装置６に通知される（ステップＳ６）。【０１２７】
図８は、図１に示した中継装置６のシグネチャ受信動作を示すフローチャートである。まず、入力ポート３０に容疑シグネチャおよび正規シグネチャが受信されると（ステップＳ１０）、受信された容疑シグネチャに当てはまるパケットのうち、不正条件に合うパケットの特徴を表す不正シグネチャが不正シグネチャ生成部３５によって生成される（ステップＳ１１）。【０１２８】
次に、容疑シグネチャ、正規シグネチャおよび不正シグネチャがパケット制限部３６によるパケット通過条件として設定される（ステップＳ１２）。また、容疑シグネチャおよび正規シグネチャがシグネチャ中継部３７によって隣接関係にある中継装置５に通知される（ステップＳ１３）。【０１２９】
図９は、図１に示したゲート装置８のパケット制限動作を示すフローチャートである。まず、ネットワークインタフェイス２８にパケットが受信されると（ステップＳ２０）、受信されたパケットが不正シグネチャに当てはまるか否かがパケット制限部２６によって判断される（ステップＳ２１）。【０１３０】
パケットが不正シグネチャに当てはまると判断された場合には、パケットがパケット制限部２６によって廃棄される（ステップＳ２２）。一方、パケットが不正シグネチャに当てはまらないと判断された場合には、パケットが正規シグネチャに当てはまるか否かがパケット制限部２６によって判断される（ステップＳ２３）。【０１３１】
パケットが正規シグネチャに当てはまると判断された場合には、パケットの通過がパケット制限部２６によって許可される（ステップＳ２４）。一方、パケットが正規シグネチャに当てはまらないと判断された場合には、パケットが容疑シグネチャに当てはまるか否かがパケット制限部２６によって判断される（ステップＳ２５）。【０１３２】
パケットが容疑シグネチャに当てはまると判断された場合には、容疑シグネチャに示された処理等に基づいて伝送帯域が絞られた経路を介したパケットの通過が許可される（ステップＳ２６）。一方、パケットが容疑シグネチャに当てはまらないと判断された場合には、パケットの通過がパケット制限部２６によって許可される（ステップＳ２４）。なお、中継装置３〜６のパケット制限動作は、ゲート装置８のパケット制限動作と同様であるため説明を省略する。【０１３３】
図１０は、分散型サービス不能攻撃防御システム１の正規条件情報更新動作を示すシーケンス図である。まず、ゲート装置８のアドレス情報が、ゲート装置８のシグネチャ通知部２７によって中継装置３および中継装置６にそれぞれ通知される（ステップＳ３０、Ｓ３１）。中継装置３に通知されたゲート装置８のアドレス情報は、中継装置３のシグネチャ中継部３７によって中継装置４に中継される（ステップＳ３２）。【０１３４】
中継装置６に通知されたゲート装置８のアドレス情報は、中継装置６のシグネチャ中継部３７によって中継装置５に中継されるとともに（ステップＳ３３）、アドレス情報記憶部３８に記憶される（ステップＳ３４）。なお、中継装置３〜５においてもアドレス情報記憶部３８にゲート装置８のアドレス情報が記憶されるがここでは図示省略する。【０１３５】
ここで、ＬＡＮ９のアドレス発行サーバ１０によって正規アドレス情報送信要求が中継装置６に送信されると（ステップＳ３５）、中継装置６のアドレス情報記憶部３８に記憶されたゲート装置８のアドレス情報に基づいて正規アドレス情報送信要求に含まれる正規アドレス情報が送信される（ステップＳ３６）。【０１３６】
正規アドレス情報がゲート装置８のネットワークインタフェイス２８に受信されると、受信された正規アドレス情報に基づいて正規条件情報が正規条件情報生成部２３によって生成され（ステップＳ３７）、生成された正規条件情報を以って正規条件情報格納部２２に格納された正規条件情報が更新される（ステップＳ３８）。【０１３７】
以上説明したように、分散型サービス不能攻撃防御システム１によれば、ネットワーク２を介した攻撃を行わないパケットの送信元を表す正規アドレス情報がゲート装置８に送信され、ゲート装置８に送信された正規アドレス情報に基づいて、通信機器７に対する攻撃とみなされないパケットの条件を表す正規条件情報を更新するため、正規条件情報を容易に管理することができる。
【実施例２】
【０１３８】
ところで、上記実施例１では、ゲート装置８が正規アドレス情報を取得する際に、本実施例１では、ゲート装置８のアドレス情報を中継装置６で記憶しておき、この中継装置６がアドレス発行サーバ１０から発行された正規アドレス情報送信要求（正規アドレス情報を含む）を受信すると、あらかじめ記憶したアドレス情報に基づいてゲート装置８に中継することにより、ゲート装置８が正規アドレス情報を取得することとしたが、本発明はこれに限定されるものではない。そこで、本実施例２では、正規アドレス情報を一括管理する正規アドレス情報提供サーバを設け、この正規アドレス情報提供サーバへの要求に応答してゲート装置が正規アドレス情報を取得する場合を説明する。【０１３９】
図１１は、本発明の実施例２に係る分散型サービス不能攻撃防御システム５０の構成を示すブロック図である。なお、分散型サービス不能攻撃防御システム５０の各構成において実施例１に係る分散型サービス不能攻撃防御システム１の各構成と同様なものについては同一の符号を付して説明を省略する。【０１４０】
同図に示す分散型サービス不能攻撃防御システム５０は、正規アドレス情報を一括管理する正規アドレス情報提供サーバ５９からゲート装置５８に対して正規アドレス情報を提供している。具体的には、アドレス発行サーバ６０があらかじめ正規アドレス情報提供サーバ５９に正規アドレス情報を通知し（図１１のステップ１）、この正規アドレス情報提供サーバ５９に正規アドレス情報を記憶しておく（図１１のステップ２）。そして、ゲート装置５８から正規アドレス情報提供サーバ５９に正規アドレス情報送信要求がなされると（図１１のステップ３）、この正規アドレス情報提供サーバ５９がゲート装置５８に正規アドレス情報を送信し（図１１のステップ４）、ゲート装置５８が受信した正規アドレス情報に基づいて正規条件情報を自動生成する（図１１のステップ５）こととしている。なお、ここでは説明の便宜上、正規アドレス情報提供サーバ５９がアドレス発行サーバ６０により発行された正規アドレス情報を記憶する場合を示したが、この正規アドレス情報提供サーバ５９は、正当な端末である他のアドレス発行サーバや通信機器により発行された正規アドレス情報についても記憶する。たとえば、図中に示す通信機器１６が通信機器１７等を攻撃するパケットを送出しない正当な装置であると認証されている場合には、正規アドレス情報提供サーバ５９は、かかる通信機器１６により発行された正規アドレス情報についても記憶する。【０１４１】
次に、この分散型サービス不能攻撃防御システム５０のシステム構成について説明する。図１１に示すように、分散型サービス不能攻撃防御システム５０は、ネットワーク２を介して伝送されるパケットを中継する複数の中継装置５３〜５６と、ネットワーク２を介して通信機器７に送信されるパケットの通過を制限するゲート装置５８と、ネットワーク２を介した攻撃を行わないパケットの送信元を表す正規アドレス情報を記憶する正規アドレス情報記憶装置５９とを備えている。なお、図１１に示した分散型サービス不能攻撃防御システム５０の構成は、一例を示すものであり、中継装置、およびゲート装置等の数量やネットワーク構成を限定するものではない。【０１４２】
ゲート装置５８は、ゲートウェイ装置によって構成され、ＬＡＮ１４に接続されている。また、中継装置５３〜５６は、ルータ装置によってそれぞれ構成されている。なお、中継装置５３〜５６は、ブリッジによってそれぞれ構成されていてもよい。【０１４３】
ここで、中継装置５３は、中継装置５４およびゲート装置５８に接続され、中継装置５４は、通信機器１５、中継装置５３および正規アドレス情報記憶装置５９に接続され、中継装置５５は、通信機器１６および中継装置５６に接続され、中継装置５６は、中継装置５５、エッジルータ１１およびゲート装置５８に接続されているものとする。【０１４４】
図１２は、図１１に示したゲート装置５８の構成を示すブロック図である。このゲート装置５８は、攻撃検知部２０と、容疑シグネチャ生成部２１と、正規条件情報格納部２２と、正規条件情報格納部２２に格納される正規条件情報を生成する正規条件情報生成部７３と、正規シグネチャ生成部２４と、不正シグネチャ生成部２５と、パケット制限部２６と、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置３および中継装置６に通知するシグネチャ通知部７７と、ネットワークインタフェイス２８とを備えている。【０１４５】
正規条件情報生成部７３は、正規アドレス情報の送信を要求する正規アドレス情報送信要求を正規アドレス情報記憶装置５９に送信する。正規条件情報生成部７３は、正規アドレス情報送信要求に応じて正規アドレス情報記憶装置５９によって送信された正規アドレス情報がネットワークインタフェイス２８に受信された場合に、正規アドレス情報に基づいて正規条件情報を生成し、生成した正規条件情報を以って正規条件情報格納部２２に格納された正規条件情報を更新する。なお、正規条件情報生成部７３による正規アドレス情報送信要求の送信は、ゲート装置５８のオペレータによる起動に応じて行われるようにしてもよく、定期的に行われるようにしてもよい。シグネチャ通知部７７は、上記実施例１において説明したゲート装置８を構成するシグネチャ通知部２７に対してゲート装置のアドレス情報の通知を行わない点が相違する。【０１４６】
図１３は、図１１に示した中継装置５６のブロック図である。なお、ここでは説明の便宜上中継装置５６の構成を説明するが、中継装置５３〜５５についても中継装置５６と同様に構成されている。中継装置５６は、入力ポート３０と、スイッチ３１と、出力ポート３２と、不正シグネチャ生成部３５と、パケット制限部３６と、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置５に中継するシグネチャ中継部８７とを備えている。【０１４７】
ここで、シグネチャ中継部８７は、ゲート装置５８を構成するシグネチャ通知部７７と同様に構成されるため、詳細な説明は省略する。なお、中継装置５６は、ゲート装置５８と同様に、攻撃検知部、容疑シグネチャ生成部、正規条件情報格納部、および正規シグネチャ生成部を備えるようにしてもよい。【０１４８】
図１１において、ＬＡＮ９に接続されたアドレス発行サーバ６０は、ＬＡＮ９のアドレス情報、またはＬＡＮ９に接続された通信機器１２、１３のアドレス情報、すなわち正規アドレス情報を正規アドレス情報記憶装置５９に登録する。【０１４９】
なお、アドレス発行サーバ６０は、正規アドレス情報を定期的に登録するようにしてもよく、アドレス発行サーバ６０のオペレータによる起動に応じて登録するようにしてもよい。また、正規アドレス情報を登録するものとしては、アドレス発行サーバ６０の他にエッジルータ１１等のＬＡＮ９を構成する装置であれば何れのものでもよい。【０１５０】
以上のように構成された分散型サービス不能攻撃防御システム５０について、図１４を用いてその動作を説明する。なお、ゲート装置５８の攻撃検知動作、中継装置５３〜５６のシグネチャ受信動作、ゲート装置５８のパケット制限動作については、実施例１において図７〜図９を参照して説明したものと同様であるため説明を省略する。【０１５１】
図１４は、本実施例２に係る分散型サービス不能攻撃防御システム５０の正規条件情報更新動作を示すシーケンス図である。まず、アドレス発行サーバ６０から送信された正規アドレス情報が正規アドレス情報提供サーバ５９に格納される（ステップＳ４１）。ゲート装置５８の正規条件情報生成部７３によって正規アドレス情報送信要求が正規アドレス情報記憶装置５９に向けて送信されると（ステップＳ４２）、正規アドレス情報送信要求に応答して正規アドレス情報記憶装置５９から正規アドレス情報がゲート装置５８に向けて送信される（ステップＳ４３）。【０１５２】
正規アドレス情報がゲート装置５８のネットワークインタフェイス２８に受信されると、受信された正規アドレス情報に基づいて正規条件情報が正規条件情報生成部７３によって生成され（ステップＳ４４）、生成された正規条件情報を以って正規条件情報格納部２２に格納された正規条件情報が更新される（ステップＳ４５）。【０１５３】
以上説明したように、分散型サービス不能攻撃防御システム５０によれば、ネットワーク２を介した攻撃を行わないパケットの送信元を表す正規アドレス情報がゲート装置５８からの要求に応じて送信され、ゲート装置５８に送信された正規アドレス情報に基づいて、通信機器７に対する攻撃とみなされないパケットの条件を表す正規条件情報を更新するため、正規条件情報を容易に管理することができる。【０１５４】
なお、上記実施例１および２に示したゲート装置は、コンピュータにプログラムをロードして実行することにより機能発揮する。具体的には、コンピュータのＲＯＭ（ReadOnlyMemory）等に正規アドレス情報を取得するルーチン、正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成するルーチン、ネットワークから受信したパケットのうち正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限するルーチンを含むプログラムを記憶しておき、かかるプログラムをＣＰＵにロードして実行することにより、本発明に係るゲート装置を形成することができる。
【実施例３】
【０１５５】
実施例３では、ゲート装置が中継装置に対して容疑シグネチャを送信し、その応答として正規アドレス情報を取得する場合について説明する。図１５は、本実施例３に係る分散型サービス不能攻撃防御システム１０１の構成を示すブロック図である。同図に示す分散型サービス不能攻撃防御システム１０１は、通信機器１０７への分散型サービス不能攻撃を主としてゲート装置１０８で防御するシステムである。具体的には、ネットワーク１０２上に所在する正当な装置（アドレス発行サーバ１１０）により送信された非攻撃パケットの送信元を示す正規アドレス情報をゲート装置１０８が取得し、取得した正規アドレス情報に基づいてゲート装置１０８が非攻撃パケットの条件を示す正規条件情報を生成し、ネットワークから受信したパケットのうち正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器１０７へ攻撃をおこなうパケットの通過を制限するようにしている。なお、このゲート装置１０８が正規条件情報に基づいて生成した正規シグネチャ並びに容疑シグネチャは中継装置１０６などに転送され、中継装置でのフィルタリングを可能ならしめている。【０１５６】
従来、かかる正規アドレス情報の追加や変更等の管理は、ゲート装置１０８のオペレータによって行われていたため、正規条件情報の管理が煩雑になるという問題があった。このため、本実施例３では、かかる正規アドレス情報の追加をゲート装置１０８のオペレータに担わせるのではなく、アドレス発行サーバ１１０などの正当な端末から正規アドレス情報を取得することとしている。このため、本実施例３によれば、ゲート装置１０８のオペレータの管理負担を軽減することができる。【０１５７】
ここで、このゲート装置１０８が正規アドレス情報を取得する際に、本実施例３では、アドレス発行サーバ１１０が中継装置１０６に対して正規アドレス情報を送信し（図１５のステップ１)、この中継装置１０６に正規アドレス情報を記憶させ（図１５のステップ２）、ゲート装置１０８が攻撃を検知したパケットの特徴を表す容疑シグネチャを生成して生成した容疑シグネチャを中継装置１０６に送信すると（図１５のステップ３）、あらかじめ記憶した正規アドレス情報をゲート装置１０８に転送し（図１５のステップ４）、ゲート装置１０８が正規アドレス情報に基づいて正規条件情報を自動生成する（図１５のステップ５）こととしている。【０１５８】
次に、この分散型サービス不能攻撃防御システム１０１のシステム構成について説明する。図１５に示すように、この分散型サービス不能攻撃防御システム１０１は、ネットワーク１０２を介して伝送されるパケットを中継する複数の中継装置１０３〜１０６と、ネットワーク１０２を介して通信機器１０７に送信されるパケットの通過を制限するゲート装置１０８とを備えている。なお、図１５に示した分散型サービス不能攻撃防御システム１０１の構成は一例を示すものであり、中継装置およびゲート装置等の数量やネットワーク構成を限定するものではない。【０１５９】
ゲート装置１０８は、ネットワーク間接続機器であるゲートウェイ装置などによって構成され、コンピュータ装置等によって構成される通信機器１０７を含む構内情報通信網（LocalAreaNetwork、以下単に「ＬＡＮ」と記載する。）１１４に接続されている。また、中継装置１０３〜１０６は、ルータ装置によってそれぞれ構成されている。なお、この中継装置１０３〜１０６は、ブリッジによって構成することもできる。【０１６０】
ここで、中継装置１０３は、中継装置１０４およびゲート装置１０８に接続され、中継装置１０４は、通信機器１１５および中継装置１０３に接続され、中継装置１０５は、通信機器１１６および中継装置１０６に接続され、中継装置１０６は、中継装置１０５、エッジルータ１１１およびゲート装置１０８に接続されている。【０１６１】
図１６は、図１５に示したゲート装置１０８の構成を示すブロック図である。図１６に示すように、このゲート装置１０８は、ネットワーク１０２から受信されたパケットによる攻撃を検知する攻撃検知部１２０と、攻撃が検知されたパケットの特徴を表す容疑シグネチャを生成する容疑シグネチャ生成部１２１と、通信機器１０７に対する攻撃とみなされないパケット（非攻撃パケット）の条件を表す正規条件情報を格納する正規条件情報格納部１２２と、正規条件情報格納部１２２に格納される正規条件情報を生成する正規条件情報生成部１２３と、容疑シグネチャに当てはまるパケットのうち、正規条件情報に表された条件に合うパケットの特徴を表す正規シグネチャを生成する正規シグネチャ生成部１２４と、容疑シグネチャに当てはまるパケットのうち、通信機器１０７に対する攻撃とみなすパケットの特徴を表す不正シグネチャを生成する不正シグネチャ生成部１２５と、容疑シグネチャ、正規シグネチャおよび不正シグネチャに基づいてネットワーク１０２から受信されたパケットの通過を制限するパケット制限部１２６と、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置１０３および中継装置１０６に転送するシグネチャ転送部１２７と、ネットワーク１０２に接続された各装置と通信を行うネットワークインタフェイス１２８とを備えている。【０１６２】
攻撃検知部１２０は、あらかじめ設定された攻撃検知条件に基づいて攻撃を検知する処理部である。図１７は、攻撃検知条件の一例を示す図である。図１７において、攻撃検知条件は、検知属性、検知閾値および検知時間の組からなる３組のレコードで構成される。検知属性は、検知対象とするパケットの属性を示し、検知閾値は、検知対象となるパケットの伝送レートの閾値を示し、検知時間は、検知対象となるパケットの伝送レートが検知閾値を超える時間の閾値を示している。【０１６３】
例えば、１番目の検知条件は、宛先のアドレス情報が192.168.1.1であり（Dst=192.168.1.1/32）、トランスポート層のプロトコルがＴＣＰ（TransmissionControlProtocol）であり（Protocol=TCP）、ＴＣＰポート番号が８０である（Port=80）パケットが検知対象となり、この検知対象のパケットの伝送レートが５００kbpsを超えた状態が１０秒以上続いた場合には、検知対象のパケットによる攻撃として検知される。【０１６４】
同様に、２番目の検知条件は、宛先のアドレス情報が192.168.1.2であり（Dst=192.168.1.2/32）、トランスポート層のプロトコルがＵＤＰ（Userdatagramprotocol）である（Protocol=UDP）パケットが検知対象となり、この検知対象のパケットの伝送レートが３００kbpsを超えた状態が１０秒以上続いた場合には、検知対象のパケットによる攻撃として検知される。【０１６５】
また、３番目の検知条件は、宛先のアドレス情報が192.168.1.0〜192.168.1.255の範囲内である（Dst=192.168.1.0/24）パケットが検知対象となり、この検知対象のパケットの伝送レートが１Mbpsを超えた状態が２０秒以上続いた場合には、検知対象のパケットによる攻撃として検知される。【０１６６】
このように、検知対象のパケットによる攻撃が攻撃検知部１２０によって検知されると、容疑シグネチャ生成部１２１は、検知対象のパケットの特徴を表す容疑シグネチャを生成する。例えば、図１７における攻撃検知条件の１番目の検知条件に合う攻撃が検知された場合には、容疑シグネチャ生成部１２１は、宛先のアドレス情報が192.168.1.1であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が８０であるパケットを示す容疑シグネチャを生成する。なお、容疑シグネチャは、対象となるパケットに対するシェーピングやフィルタリング等の処理や、この処理に関するパラメータ等を含むようにしてもよい。【０１６７】
正規条件情報格納部１２２は、フラッシュメモリなどの不揮発性の記憶媒体によって構成されている。図１８は、正規条件情報格納部１２２に格納される正規条件情報の一例を示す図である。図１８において、正規条件情報は攻撃とみなされない条件である正規条件で構成される。【０１６８】
例えば、１番目の正規条件によって、送信元のアドレス情報が172.16.10.0〜172.16.10.255の範囲内である（Src=172.16.10.0/24）パケットは、攻撃とみなされない。同様に、２番目の正規条件によって、サービスタイプ（TypeofService）が０ｘ０１である（TOS=0x01）パケットは、攻撃とみなされない。【０１６９】
正規条件情報生成部１２３は、本実施例３の最も重要な特徴部分をなす処理部であり、オペレータの処理行為を伴うことなく正規条件情報格納部１２２に格納された正規条件情報の自動更新をおこなう。従来、かかる正規条件情報の管理はオペレータに委ねられていたが、本実施例３では、かかる正規条件情報を自動更新している。【０１７０】
具体的には、この正規条件情報生成部１２３は、ネットワーク１０２を介した攻撃を行わないパケットの送信元を表す正規アドレス情報が隣接する中継装置１０３または１０６から送信され、送信された正規アドレス情報がネットワークインタフェイス１２８に受信された場合に、この正規アドレス情報に基づいて正規条件情報を生成し、生成した正規条件情報を以って正規条件情報格納部１２２に格納された正規条件情報を更新する。すなわち、正規アドレス情報を送信アドレスとしたパケットは、通信機器１０７に対する攻撃とみなされないものとなる。なお、ここでは正規条件情報の追加を自動的におこなう点を強調したが、正規条件情報格納部１２２に格納された正規条件情報は、ゲート装置１０８のオペレータによって追加、削除、変更などの編集ができるようにしてもよい。【０１７１】
正規シグネチャ生成部１２４は、容疑シグネチャ生成部１２１によって生成された容疑シグネチャに当てはまるパケットのうち、正規条件情報に表された条件に合うパケットの特徴を表す正規シグネチャを生成する処理部である。【０１７２】
例えば、この正規シグネチャ生成部１２４は、攻撃検知部１２０によって図１７に示した１番目の攻撃検知条件に合う攻撃が検知された場合には、図１８に示した正規条件情報に基づいて、宛先のアドレス情報が192.168.1.1であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が８０であり、送信元のアドレス情報が172.16.10.0〜172.16.10.255の範囲内であるパケットを示す正規シグネチャと、宛先のアドレス情報が192.168.1.1であり、トランスポート層のプロトコルがＴＣＰであり、ＴＣＰポート番号が80であり、サービスタイプが0x01であるパケットを示す正規シグネチャとを生成する。【０１７３】
不正シグネチャ生成部１２５は、容疑シグネチャ生成部１２１によって生成された容疑シグネチャに当てはまるパケットのうち、不正条件に合うパケットの特徴を表す不正シグネチャを生成する処理部である。【０１７４】
図１９は、不正条件の一例を示す図である。図１９において、１番目の不正条件は、500kbps以上の伝送レートで３０秒以上連続送信されているパケットを示している。同様に、２番目の不正条件は、300kbps以上の伝送レートで１５秒以上連続送信されているICMP（InternetControlMessageProtocol）に準拠したエコー応答（EchoReply）パケットを示し、３番目の不正条件は、300kbps以上の伝送レートで１５秒以上連続送信されている分割送信されたフラグメントパケットを示している。【０１７５】
パケット制限部１２６は、容疑シグネチャ生成部１２１によって生成された容疑シグネチャと正規シグネチャ生成部１２４によって生成された正規シグネチャと不正シグネチャ生成部１２５によって生成された不正シグネチャに基づいてネットワークインタフェイス１２８によって受信されたパケットの通過を制限するようになっている。【０１７６】
具体的には、パケット制限部１２６は、不正シグネチャに当てはまるパケットを廃棄し、正規シグネチャに当てはまるパケットに対しては制限を加えずに通過させ、容疑シグネチャに当てはまるパケットに対しては容疑シグネチャに示された処理等に基づいて伝送帯域を絞った経路を介して通過させるようになっている。【０１７７】
シグネチャ転送部１２７は、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置１０３および中継装置１０６に転送する処理部であり、中継装置１０３および中継装置１０６は、さらに隣接関係にある中継装置にパケットを転送する。なお、隣接関係とは、本発明に係るゲート装置および中継装置における隣接関係であり、物理的な接続関係とは異なる。【０１７８】
図２０は、図１５に示した中継装置１０６の構成を示す機能ブロック図である。なお、ここでは説明の便宜上中継装置１０６の構成を説明するが、他の中継装置１０３〜１０５についても中継装置１０６と同様に構成されている。この中継装置１０６は、入力ポート１３０と、パケットをルーティングするためのスイッチ１３１と、出力ポート１３２と、不正シグネチャを生成する不正シグネチャ生成部１３５と、不正シグネチャならびにゲート装置１０８によって転送された容疑シグネチャおよび正規シグネチャに基づいて入力ポート１３０に入力されたパケットの通過を制限するパケット制限部１３６と、容疑シグネチャおよび正規シグネチャを隣接関係にある中継装置１０５に転送するシグネチャ転送部１３７と、中継装置１０６の保持する正規アドレス情報を格納する正規アドレス情報格納部１３８と、正規アドレス情報格納部１３８に格納された正規アドレス情報を送信する正規アドレス情報送信部１３９を備えている。【０１７９】
ここで、不正シグネチャ生成部１３５、パケット制限部１３６およびシグネチャ転送部１３７は、ゲート装置１０８を構成する不正シグネチャ生成部１２５、パケット制限部１２６およびシグネチャ転送部１２７とそれぞれ同様に構成されるため、詳細な説明は省略する。なお、中継装置１０６は、ゲート装置１０８と同様に、攻撃検知部、容疑シグネチャ生成部、正規条件情報格納部および正規シグネチャ生成部を備えるようにしてもよい。【０１８０】
シグネチャ転送部１３７は、パケット制限部１３６によってパケットの通過が制限された後、制限された伝送レートを超えた容疑シグネチャに当てはまるパケットが入力ポート１３０に受信されているか否かを判断し、制限された伝送レートを超えた容疑シグネチャに当てはまるパケットが入力ポート１３０に受信されていると判断した場合には、容疑シグネチャおよび正規シグネチャを転送し、制限された伝送レートを超えた容疑シグネチャに当てはまるパケットが入力ポート１３０に受信されていると判断しなかった場合には、容疑シグネチャおよび正規シグネチャを転送しない。【０１８１】
また、図１５に示した構成においては、中継装置１０４および中継装置１０５には、容疑シグネチャおよび正規シグネチャを転送する中継装置が存在しないため、シグネチャ転送部１３７による容疑シグネチャおよび正規シグネチャの転送は行われない。【０１８２】
このように、ゲート装置１０８によって攻撃が検知された場合には、容疑シグネチャおよび正規シグネチャが生成され、生成された容疑シグネチャおよび正規シグネチャが各中継装置１０３〜１０６に転送され、ゲート装置１０８および中継装置１０３〜１０６においてパケットのシェーピングやフィルタリング等の処理が施される。このため、分散型サービス不能攻撃防御システム１０１においては、例えば、ゲート装置１０８によって検知された攻撃が通信機器１１５を介して行われている場合には、攻撃を行うパケットの通過が攻撃元の近く、すなわち中継装置１０４で制限され、攻撃を行うパケットによる悪影響が小さくなる。【０１８３】
アドレス情報格納部１３８は、不揮発性の記憶媒体によって構成されており、正規アドレス情報を保持する。【０１８４】
図１５において、ＬＡＮ１０９は、エッジルータ１１１を介してネットワーク１０２と接続されるとともに、コンピュータ装置等の通信機器１１２、１１３が接続されている。ここで、ＬＡＮ１０９では、ネットワーク１０２を介した攻撃を行わないものとする。【０１８５】
ＬＡＮ１０９に接続されたアドレス発行サーバ１１０は、ＬＡＮ１０９のアドレス情報またはＬＡＮ１０９に接続された通信機器１１２、１１３のアドレス情報を含む正規アドレス情報を中継装置１０６に向けて送信する。なお、このアドレス発行サーバ１１０は、正規アドレス情報を定期的に送信するようにしてもよく、アドレス発行サーバ１１０のオペレータによる起動に応じて送信するようにしてもよい。また、正規アドレス情報を送信するものとしては、アドレス発行サーバ１１０の他にエッジルータ１１１等のＬＡＮ１０９を構成する装置であれば何れのものでもよい。【０１８６】
図２０において、正規アドレス情報格納部１３８はさらに、アドレス発行サーバ１１０によって送信された正規アドレス情報を正規アドレス情報格納部１３８に追加するようになっている。【０１８７】
以上のように構成された分散型サービス不能攻撃防御システム１０１について、図２１〜図２４を用いてその動作を説明する。図２１は、図１５に示したゲート装置１０８の攻撃検知動作を示すフローチャートである。【０１８８】
まず、攻撃検知条件に基づいてネットワークインタフェイス１２８によって受信されたパケットによる攻撃が攻撃検知部１２０によって検知されると（ステップＳ１０１）、攻撃が検知されたパケットの特徴を表す容疑シグネチャが容疑シグネチャ生成部１２１によって生成される（ステップＳ１０２）。【０１８９】
次に、容疑シグネチャに当てはまるパケットのうち、正規条件情報に表された条件に合うパケットの特徴を表す正規シグネチャが正規シグネチャ生成部１２４によって生成されるとともに（ステップＳ１０３）、容疑シグネチャに当てはまるパケットのうち、不正条件に合うパケットの特徴を表す不正シグネチャが不正シグネチャ生成部１２５によって生成される（ステップＳ１０４）。【０１９０】
次に、容疑シグネチャ、正規シグネチャおよび不正シグネチャがパケット制限部１２６によるパケット通過条件として設定される（ステップＳ１０５）。また、容疑シグネチャおよび正規シグネチャがシグネチャ転送部１２７によって隣接関係にある中継装置１０３および中継装置１０６に転送される（ステップＳ１０６）。【０１９１】
図２２は、図１５に示した中継装置１０６のシグネチャ受信動作を示すフローチャートである。まず、入力ポート１３０に容疑シグネチャおよび正規シグネチャが受信されると（ステップＳ１１０）、受信された容疑シグネチャに当てはまるパケットのうち、不正条件に合うパケットの特徴を表す不正シグネチャが不正シグネチャ生成部１３５によって生成される（ステップＳ１１１）。【０１９２】
次に、容疑シグネチャ、正規シグネチャおよび不正シグネチャがパケット制限部１３６によるパケット通過条件として設定される（ステップＳ１１２）。また、容疑シグネチャおよび正規シグネチャがシグネチャ転送部１３７によって隣接関係にある中継装置１０５に転送される（ステップＳ１１３）。さらに正規アドレス情報格納部１３８に保持している正規アドレス情報を容疑シグネチャの送信元であるゲート装置１０８に送信する（ステップＳ１１４）。【０１９３】
図２３は、図１５に示したゲート装置１０８のパケット制限動作を示すフローチャートである。まず、ネットワークインタフェイス１２８にパケットが受信されると（ステップＳ１２０）、受信されたパケットが不正シグネチャに当てはまるか否かがパケット制限部１２６によって判断される（ステップＳ１２１）。【０１９４】
パケットが不正シグネチャに当てはまると判断された場合には、パケットがパケット制限部１２６によって廃棄される（ステップＳ１２２）、一方、パケットが不正シグネチャに当てはまらないと判断された場合には、パケットが正規シグネチャに当てはまるか否かがパケット制限部１２６によって判断される（ステップＳ１２３）。【０１９５】
パケットが正規シグネチャに当てはまると判断された場合には、パケットの通過がパケット制限部１２６によって許可される（ステップＳ１２４）。一方、パケットが正規シグネチャに当てはまらないと判断された場合には、パケットが容疑シグネチャに当てはまるか否かがパケット制限部１２６によって判断される（ステップＳ１２５）。【０１９６】
パケットが容疑シグネチャに当てはまると判断された場合には、容疑シグネチャに示された処理等に基づいて伝送帯域が絞られた経路を介したパケットの通過が許可される（ステップＳ１２６）。一方、パケットが容疑シグネチャに当てはまらないと判断された場合には、パケットの通過がパケット制限部１２６によって許可される（ステップＳ１２４）。なお、中継装置１０３〜１０６のパケット制限動作は、ゲート装置１０８のパケット制限動作と同様であるため説明を省略する。【０１９７】
図２４は、分散型サービス不能攻撃防御システム１０１の正規条件情報更新動作を示すシーケンス図である。まず、ＬＡＮ１０９のアドレス発行サーバ１１０からＬＡＮ１０９内の正規アドレス情報が中継装置１０６に送信され（ステップＳ１３０）、中継装置１０６の正規アドレス情報格納部１３８に格納されるとともに（ステップＳ１３１）、通信装置１１６からの正規アドレス情報が中継装置１０５に送信され（ステップＳ１３２）、中継装置１０５の正規アドレス情報格納部１３８に格納される（ステップＳ１３３）。【０１９８】
ここでゲート装置１０８において攻撃を検知すると（ステップＳ１３４）、対応する容疑シグネチャが生成され（ステップＳ１３５）、隣接する中継装置１０３および中継装置１０６に転送される（ステップＳ１３６）。以下では、簡単のため中継装置１０３および中継装置１０４へのシグネチャの転送については記述を省略する。【０１９９】
中継装置１０６はゲート装置１０８から容疑シグネチャを受信すると、正規アドレス情報格納部１３８に格納してある正規アドレス情報をゲート装置１０８に送り返し（ステップＳ１３７）、容疑シグネチャをさらに中継装置１０５に転送する（ステップＳ１４１）。ここで、ステップＳ１３７とステップＳ１４１は順序を逆にすることが可能である。【０２００】
正規アドレス情報がゲート装置１０８のネットワークインタフェイス１２８に受信されると、受信された正規アドレス情報に基づいて正規条件情報が正規条件情報生成部１２３によって生成され、生成された正規条件情報を以って正規条件情報格納部１２２に格納された正規条件情報が更新される（ステップＳ１３８）。次いで、正規シグネチャ生成部１２４にて、対応する正規シグネチャが生成され、パケット制限と中継装置１０６への転送が行なわれる（ステップＳ１３９〜Ｓ１４０）。【０２０１】
一方、中継装置１０５は、中継装置１０６から容疑シグネチャを受信すると、正規アドレス情報格納部１３８に格納してある正規アドレス情報を容疑シグネチャの送信元である中継装置、すなわち中継装置１０６に送信する（ステップＳ１４２）。中継装置１０６は、中継装置１０５から受信した正規アドレス情報をそのままゲート装置１０８に送信する（ステップＳ１４３）。【０２０２】
正規アドレス情報がゲート装置１０８のネットワークインタフェイス１２８に受信されると、受信された正規アドレス情報に基づいて正規条件情報が正規条件情報生成部１２３によって生成され、生成された正規条件情報を以って正規条件情報格納部１２２に格納された正規条件情報が更新される（ステップＳ１４４）。次いで、正規シグネチャ生成部１２４にて、対応する正規シグネチャが生成され、パケット制限と中継装置１０６への転送が行なわれる（ステップＳ１４５〜Ｓ１４６）。【０２０３】
以上説明したように、分散型サービス不能攻撃防御システム１０１によれば、ネットワーク１０２を介した攻撃を行わないパケットの送信元を表す正規アドレス情報がゲート装置１０８に送信され、ゲート装置１０８に送信された正規アドレス情報に基づいて、通信機器１０７に対する攻撃とみなされないパケットの条件を表す正規条件情報を更新するため、正規条件情報を容易に管理することができる。【０２０４】
なお、上記実施例３に示したゲート装置１０８は、コンピュータにプログラムをロードして実行することにより機能発揮する。具体的には、コンピュータのＲＯＭ（ReadOnlyMemory）等に容疑シグネチャを送信して正規アドレス情報を取得するルーチン、正規アドレス情報に基づいて非攻撃パケットの条件を示す正規条件情報を生成するルーチン、ネットワークから受信したパケットのうち正規条件情報に示された条件に適合するパケットの通過を許容しつつ、通信機器へ攻撃をおこなうパケットの通過を制限するルーチンを含むプログラムを記憶しておき、かかるプログラムをＣＰＵにロードして実行することにより、本発明に係るゲート装置１０８を形成することができる。
【産業上の利用可能性】
【０２０５】
以上のように、本発明にかかるサービス不能攻撃防御方法、サービス不能攻撃防御システム、サービス不能攻撃防御装置、中継装置、サービス不能攻撃防御プログラムおよび中継装置用プログラムは、サービス不能攻撃および分散型サービス不能攻撃から通信機器を防御する場合に適している。
【図１】
2006040892.tif 000002
【図２】
2006040892.tif 000003
【図３】
2006040892.tif 000004
【図４】
2006040892.tif 000005
【図５】
2006040892.tif 000006
【図６】
2006040892.tif 000007
【図７】
2006040892.tif 000008
【図８】
2006040892.tif 000009
【図９】
2006040892.tif 000010
【図１０】
2006040892.tif 000011
【図１１】
2006040892.tif 000012
【図１２】
2006040892.tif 000013
【図１３】
2006040892.tif 000014
【図１４】
2006040892.tif 000015
【図１５】
2006040892.tif 000016
【図１６】
2006040892.tif 000017
【図１７】
2006040892.tif 000018
【図１８】
2006040892.tif 000019
【図１９】
2006040892.tif 000020
【図２０】
2006040892.tif 000021
【図２１】
2006040892.tif 000022
【図２２】
2006040892.tif 000023
【図２３】
2006040892.tif 000024
【図２４】
2006040892.tif 000025
【国際調査報告】
2006040892.tif 000026
2006040892.tif 000027
2006040892.tif 000028