(57)【要約】攻撃が停止したときに、攻撃の対策を停止し、さらに、このとき、自ネットワーク攻撃対策装置よりも攻撃者側に位置して、連携して攻撃の対策を行っているネットワーク攻撃対策装置あるいは攻撃の再開に備えているネットワーク攻撃対策装置が存在するのか否かを判定することで、攻撃の再開に備える必要があるのか否かを判定する。この判定により、攻撃の再開に備える必要がないことを判定する場合に、その攻撃についての情報を削除して通常状態に復帰し、一方、攻撃の再開に備える必要があることを判定する場合に、その攻撃についての情報を削除しないことで攻撃の再開に備える。【特許請求の範囲】
【請求項１】
ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を複数のネットワーク攻撃対策装置と連携して防御するネットワーク攻撃対策装置で実行されるネットワーク攻撃対策方法であって、
前記攻撃の停止に応じて当該攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定する判定工程と、
前記判定工程によって攻撃の再開に備える必要がないと判定された場合に、当該攻撃についての情報を削除して通常状態に復帰する復帰工程と、
前記判定工程によって攻撃の再開に備える必要があると判定された場合に、当該攻撃についての情報を削除することなく当該攻撃の再開に備える再開備え工程と、
を含んだことを特徴とするネットワーク攻撃対策方法。
【請求項２】
前記判定工程は、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて前記攻撃の再開に備える必要があるか否かを判定することを特徴とする請求項１に記載のネットワーク攻撃対策方法。
【請求項３】
前記攻撃の対策として自装置よりも攻撃者側に位置する他のネットワーク攻撃対策装置に対して前記攻撃についての情報を通知する攻撃通知工程をさらに含み、
前記判定工程は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定することを特徴とする請求項１または２に記載のネットワーク攻撃対策方法。
【請求項４】
前記判定工程は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする請求項３に記載のネットワーク攻撃対策方法。
【請求項５】
前記攻撃についての情報を削除して通常状態に復帰する場合に、当該攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知する復帰通知工程をさらに含み、
前記判定工程は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする請求項３または４に記載のネットワーク攻撃対策方法。
【請求項６】
ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を複数のネットワーク攻撃対策装置と連携して防御するネットワーク攻撃対策装置であって、
前記攻撃の停止に応じて当該攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定する判定手段と、
前記判定手段によって攻撃の再開に備える必要がないと判定された場合に、当該攻撃についての情報を削除して通常状態に復帰する復帰手段と、
前記判定手段によって攻撃の再開に備える必要があると判定された場合に、当該攻撃についての情報を削除することなく当該攻撃の再開に備える再開備え手段と、
を備えたことを特徴とするネットワーク攻撃対策装置。
【請求項７】
前記判定手段は、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて前記攻撃の再開に備える必要があるか否かを判定することを特徴とする請求項６に記載のネットワーク攻撃対策装置。
【請求項８】
前記攻撃の対策として自装置よりも攻撃者側に位置する他のネットワーク攻撃対策装置に対して前記攻撃についての情報を通知する攻撃通知手段をさらに備え、
前記判定手段は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定することを特徴とする請求項６または７に記載のネットワーク攻撃対策装置。
【請求項９】
前記判定手段は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする請求項８に記載のネットワーク攻撃対策装置。
【請求項１０】
前記攻撃についての情報を削除して通常状態に復帰する場合に、当該攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知する復帰通知手段をさらに備え、
前記判定手段は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする請求項８または９に記載のネットワーク攻撃対策装置。
【請求項１１】
ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を複数のネットワーク攻撃対策装置と連携して防御するネットワーク攻撃対策装置で実行されるネットワーク攻撃対策プログラムであって、
前記攻撃の停止に応じて当該攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定する判定手順と、
前記判定手順によって攻撃の再開に備える必要がないと判定された場合に、当該攻撃についての情報を削除して通常状態に復帰する復帰手順と、
前記判定手順によって攻撃の再開に備える必要があると判定された場合に、当該攻撃についての情報を削除することなく当該攻撃の再開に備える再開備え手順と、
をコンピュータに実行させることを特徴とするネットワーク攻撃対策プログラム。
【請求項１２】
前記判定手順は、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて前記攻撃の再開に備える必要があるか否かを判定することを特徴とする請求項１１に記載のネットワーク攻撃対策プログラム。
【請求項１３】
前記攻撃の対策として自装置よりも攻撃者側に位置する他のネットワーク攻撃対策装置に対して前記攻撃についての情報を通知する攻撃通知手順をさらにコンピュータに実行させ、
前記判定手順は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定することを特徴とする請求項１１または１２に記載のネットワーク攻撃対策プログラム。
【請求項１４】
前記判定手順は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする請求項１３に記載のネットワーク攻撃対策プログラム。
【請求項１５】
前記攻撃についての情報を削除して通常状態に復帰する場合に、当該攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知する復帰通知手順をさらにコンピュータに実行させ、
前記判定手順は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする請求項１３または１４に記載のネットワーク攻撃対策プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を防御するネットワーク攻撃対策方法及びその装置と、そのネットワーク攻撃対策方法の実現に用いられるネットワーク攻撃対策プログラムとに関する。【０００２】  さらに詳しく説明するならば、本発明は、ネットワークに接続されている一つ以上の端末が、別の一つ以上の端末やサーバなどに不必要なパケットを送信することにより、パケットの送信先の端末がネットワークに接続して行っているサービスなどを妨害するネットワーク攻撃に対して、その対策を複数の装置で行っている場合に、それらの各装置が自律的に攻撃対策を停止し、かつ、対策範囲を収束させる技術に関するものである。
【背景技術】
【０００３】  不必要なパケットを大量に送りつけてくるネットワーク攻撃（ＤＤｏＳ攻撃）は、ネットワークの複数地点から攻撃パケットが送られてくるため、ネットワークの複数地点で攻撃の対策を行うことで効果的にネットワークを守ることができる。【０００４】  この観点に立ったネットワーク攻撃の対策システムとして、Ａｒｂｏｒ  ｎｅｔｗｏｒｋｓ社のＰｅａｋＦｌｏｗや日本電信電話株式会社のＭｏｖｉｎｇＦｉｒｅｗａｌｌがある。【０００５】  Ａｒｂｏｒ  ｎｅｔｗｏｒｋｓ社のＰｅａｋＦｌｏｗ（例えば、非特許文献１参照）は、複数地点でトラヒックを観測することでネットワーク攻撃を検知して、ネットワーク内に存在するルータや対策装置等で対策を行う。【０００６】  ただし、このシステムでは、攻撃が収まったら、システムの管理者が対策を停止する必要がある。【０００７】  一方、日本電信電話株式会社のＭｏｖｉｎｇＦｉｒｅｗａｌｌは、防御対象の近くで攻撃を検知し複数の攻撃端末に向かってファイアウォール機能を動かしていくことで防御するネットワークを広げていく。【０００８】  このシステムでは、ネットワーク内の各装置が自律的に攻撃の停止を判断して対策を止める。このとき、攻撃の情報は保持し続けて攻撃が再開したときのために備える。最終的に全ての装置で攻撃が停止したと判断された場合、各装置の情報を知ることができる管理装置によって、各装置は初期化され攻撃の情報も削除される。【０００９】  このように、このシステムでは、攻撃が収まったら、システムの管理者によらずに、各装置が初期化されることになる。なお、システム管理者が各装置の初期化の命令を出すこともできるようになっている。
【非特許文献１】ＰＥＡＫＦＬＯＷ  ＳＰ、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ａｒｂｏｒｎｅｔｗｏｒｋｓ．ｃｏｍ＞
【発明の開示】
【発明が解決しようとする課題】
【００１０】  日本電信電話株式会社のＭｏｖｉｎｇＦｉｒｅｗａｌｌはＤＤｏＳ攻撃に対して極めて有効な対策システムを構築するものの、管理装置が必要になる。【００１１】  一方、ネットワーク攻撃対策装置には、システムが攻撃停止の判断を行い自動で通常時の状態に戻るものもある。【００１２】  このようなシステムにおいて各装置が独立に攻撃対策の停止を行う場合、各装置で攻撃が停止したと判断すると同時に攻撃の情報を即座に消去するという方法がある。【００１３】  しかし、この方法を用いると、他の装置において攻撃の対策を続けているのであれば攻撃再開の可能性があるため、攻撃が再開した際に攻撃の情報を保持していない装置は即座に対応できず、そこが穴となり、防げるはずであった攻撃トラヒックが防御していたネットワークに流入してしまうという問題がある（問題１）。【００１４】  そこで、攻撃再開時に即座に対応するために、過去の情報を保持し続けるという方法もある。【００１５】  しかし、攻撃の情報を保持し続けると、過去の攻撃情報が飽和してしまい検知処理や対策処理を圧迫してしまう。そのため、ある時点においてこれらの情報を削除する必要があるが、独立にこの削除処理が行われていると適切な削除の契機が判断できないという問題がある（問題２）。【００１６】  また、上述したように、管理システムを設置することで全ての装置で対策が停止したことを判断し、対策の最終停止を行うという方法がある。【００１７】  しかし、この方法では管理装置が必要になるという問題がある（問題３）。また、各装置の対策停止後に攻撃が再開した場合に即座に対応するための情報も、全ての装置が対策を停止するまで削除されないため、（問題２）の解決策としては不十分である。【００１８】  本発明はかかる事情に鑑みてなされたものであって、本発明を適用した複数のネットワーク攻撃対策装置において、各装置が自律的に判断して攻撃対策を停止する際に、これらの問題を解決しながら攻撃対策の停止処理を行うことを可能にする新たなネットワーク攻撃対策技術の提供を目的とする。
【課題を解決するための手段】
【００１９】  上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を複数のネットワーク攻撃対策装置と連携して防御するネットワーク攻撃対策装置で実行されるネットワーク攻撃対策方法であって、前記攻撃の停止に応じて当該攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定する判定工程と、前記判定工程によって攻撃の再開に備える必要がないと判定された場合に、当該攻撃についての情報を削除して通常状態に復帰する復帰工程と、前記判定工程によって攻撃の再開に備える必要があると判定された場合に、当該攻撃についての情報を削除することなく当該攻撃の再開に備える再開備え工程と、を含んだことを特徴とする。【００２０】  また、請求項２に係る発明は、上記の発明において、前記判定工程は、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて攻撃の再開に備える必要があるか否かを判定することを特徴とする。【００２１】  また、請求項３に係る発明は、上記の発明において、前記攻撃の対策として自装置よりも攻撃者側に位置する他のネットワーク攻撃対策装置に対して前記攻撃についての情報を通知する攻撃通知工程をさらに含み、前記判定工程は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定することを特徴とする。【００２２】  また、請求項４に係る発明は、上記の発明において、前記判定工程は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする。【００２３】  また、請求項５に係る発明は、上記の発明において、前記攻撃についての情報を削除して通常状態に復帰する場合に、当該攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知する復帰通知工程をさらに含み、前記判定工程は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする。【００２４】  また、請求項６に係る発明は、ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を複数のネットワーク攻撃対策装置と連携して防御するネットワーク攻撃対策装置であって、前記攻撃の停止に応じて当該攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定する判定手段と、前記判定手段によって攻撃の再開に備える必要がないと判定された場合に、当該攻撃についての情報を削除して通常状態に復帰する復帰手段と、前記判定手段によって攻撃の再開に備える必要があると判定された場合に、当該攻撃についての情報を削除することなく当該攻撃の再開に備える再開備え手段と、を備えたことを特徴とする。【００２５】  また、請求項７に係る発明は、上記の発明において、前記判定手段は、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて前記攻撃の再開に備える必要があるか否かを判定することを特徴とする。【００２６】  また、請求項８に係る発明は、上記の発明において、前記攻撃の対策として自装置よりも攻撃者側に位置する他のネットワーク攻撃対策装置に対して前記攻撃についての情報を通知する攻撃通知手段をさらに備え、前記判定手段は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定することを特徴とする。【００２７】  また、請求項９に係る発明は、上記の発明において、前記判定手段は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする。【００２８】  また、請求項１０に係る発明は、上記の発明において、前記攻撃についての情報を削除して通常状態に復帰する場合に、当該攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知する復帰通知手段をさらに備え、前記判定手段は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする。【００２９】  また、請求項１１に係る発明は、ネットワーク上に存在する装置あるいはネットワークに対して行われる不必要なパケットを使った攻撃を複数のネットワーク攻撃対策装置と連携して防御するネットワーク攻撃対策装置で実行されるネットワーク攻撃対策プログラムであって、前記攻撃の停止に応じて当該攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定する判定手順と、前記判定手順によって攻撃の再開に備える必要がないと判定された場合に、当該攻撃についての情報を削除して通常状態に復帰する復帰手順と、前記判定手順によって攻撃の再開に備える必要があると判定された場合に、当該攻撃についての情報を削除することなく当該攻撃の再開に備える再開備え手順と、をコンピュータに実行させることを特徴とする。【００３０】  また、請求項１２に係る発明は、上記の発明において、前記判定手順は、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて前記攻撃の再開に備える必要があるか否かを判定することを特徴とする。【００３１】  また、請求項１３に係る発明は、上記の発明において、前記攻撃の対策として自装置よりも攻撃者側に位置する他のネ���トワーク攻撃対策装置に対して前記攻撃についての情報を通知する攻撃通知手順をさらにコンピュータに実行させ、前記判定手順は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、前記攻撃の再開に備える必要があるか否かを判定することを特徴とする。【００３２】  また、請求項１４に係る発明は、上記の発明において、前記判定手順は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする。【００３３】  また、請求項１５に係る発明は、上記の発明において、前記攻撃についての情報を削除して通常状態に復帰する場合に、当該攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知する復帰通知手順をさらにコンピュータに実行させ、前記判定手順は、前記攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、前記攻撃の再開に備える必要がないと判定することを特徴とする。
【発明の効果】
【００３４】  請求項１、６または１１の発明によれば、攻撃の停止に応じて攻撃の対策を停止した場合に、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が現に攻撃の対策を行っているか、攻撃の再開に備えているか、あるいは攻撃の対策を停止して通常状態に復帰しているかに応じて、攻撃の再開に備える必要があるか否かを判定し、攻撃の再開に備える必要がないと判定された場合に、攻撃についての情報を削除して通常状態に復帰し、攻撃の再開に備える必要があると判定された場合に、攻撃についての情報を削除することなく攻撃の再開に備えるよう構成したので、複数のネットワーク攻撃対策装置を使ってネットワークを保護するシステムにおいて、管理装置を用いないで各装置が自律的に攻撃停止と対策停止の判定を行う場合でも、攻撃の再開に備えつつ効率的に対策範囲を収束することができるという効果を奏する。【００３５】  また、請求項２、７または１２の発明によれば、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在するかに応じて攻撃の再開に備える必要があるか否かを判定するよう構成したので、自装置よりも攻撃者側に位置するネットワーク攻撃対策装置が存在しない場合であっても、攻撃の再開に備えつつ効率的に対策範囲を収束することができるという効果を奏する。【００３６】  また、請求項３、８または１３の発明によれば、攻撃の対策として自装置よりも攻撃者側に位置する他のネットワーク攻撃対策装置に対して攻撃についての情報を通知することとし、攻撃についての情報の通知先である他のネットワーク攻撃対策装置が通常状態に復帰しているかに応じて、攻撃の再開に備える必要があるか否かを判定するよう構成したので、自装置が攻撃通知を行った他のネットワーク攻撃対策装置が通常状態に戻ったか否かに基づいて自装置で行われている攻撃対策を継続するべきか否かを判定することによって、攻撃対策を継続すべきか否かを効率的に判定することができる。したがって、攻撃の再開に備えつつ効率的に対策範囲を収束することができるという効果を奏する。【００３７】  また、請求項４、９または１４の発明によれば、攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てが通常状態に復帰している場合に、攻撃の再開に備える必要がないと判定するよう構成したので、自装置が攻撃通知を行った他のネットワーク攻撃対策装置が全て通常状態に戻った場合、すなわち、自装置が攻撃者側に最も近い最前線ノードであることを検出した場合に、攻撃対策を停止することができる。したがって、効率的に対策範囲を収束することができるという効果を奏する。【００３８】  また、請求項５、１０または１５の発明によれば、攻撃についての情報を削除して通常状態に復帰する場合に、攻撃についての情報の通知元である他のネットワーク攻撃対策装置に対して通常状態への復帰を通知することとし、攻撃についての情報の通知先である他のネットワーク攻撃対策装置の全てから通常状態に復帰した旨の通知を受け取った場合に、攻撃の再開に備える必要がないと判定するよう構成したので、復帰通知を用いることによって、自装置が攻撃通知を行った他のネットワーク攻撃対策装置が全て通常状態に戻ったことを確実��把握することが可能となる。したがって、効率的に対策範囲を収束することができるという効果を奏する。
【図面の簡単な説明】
【００３９】［図１］図１は、ＤＤｏＳ防御装置の連携による攻撃対象の防御の一例を示す図である。
［図２］図２は、本発明を具備するＤＤｏＳ防御装置の装置構成の一例を示す図である。
［図３］図３は、攻撃パケット情報ＤＢのデータ構造の一例を示す図である。
［図４］図４は、装置連携情報ＤＢのデータ構造の一例を示す図である。
［図５］図５は、パケット振分部の実行する処理フローの一例を示す図である。
［図６］図６は、攻撃検出部の実行する処理フローの一例を示す図である。
［図７］図７は、攻撃パケット対処部の実行する処理フローの一例を示す図である。
［図８］図８は、停止・再起動判定部の実行する処理フローの一例を示す図である。
［図９］図９は、装置連携部の実行する処理フローの一例を示す図である。
［図１０］図１０は、装置連携部の実行する処理フローの一例を示す図である。
【符号の説明】
【００４０】  １０１  ネットワークインタフェース部
１０２  パケット振分部
１０３  攻撃検出部
１０４  攻撃パケット情報ＤＢ
１０５  攻撃パケット対処部
１０６  停止・再起動判定部
１０７  装置連携部
１０８  装置連携情報ＤＢ
【発明を実施するための最良の形態】
【００４１】  まず、本発明をネットワーク攻撃対策装置に適用した場合の処理について説明する。なお、以下の説明では、特定の攻撃への対策を停止した場合に、ネットワーク攻撃対策装置の対策状態が、攻撃の対策を停止して通常状態に復帰している状態である「通常状態」にあるか否かに応じて攻撃の再開に備える必要があるか否かを判定する場合について説明する。しかしながら、これに限らず、かかる対策状態が、攻撃対策を実行している「対策中状態」であるか否か、あるいは、攻撃対策は停止しているものの攻撃についての情報を保持している「再開備え状態」であるか否かに応じ、攻撃の再開に備える必要があるか否かを判定することとしてもよい。【００４２】  本発明のネットワーク攻撃対策装置は、他の装置（ネットワーク攻撃対策装置）と連携しつつネットワーク攻撃を防御するものであり、他の装置から攻撃情報を通知されたら、その装置の情報を記憶する。もし、自装置で攻撃を検知したのであるならば、検知したのが自装置であることを記憶する。そして、攻撃情報を他の装置に通知する際には、どの装置に通知したのかを記憶する。【００４３】  次に、本発明のネットワーク攻撃対策装置において、攻撃対策中に、監視しているネットワーク内の攻撃トラヒックが収まったと判断したら、攻撃対策を停止する。【００４４】  この際に、収まったと判断した攻撃情報を他の装置に通知していた場合には、この攻撃情報を削除せずに保持し続けて攻撃の再開に備える。【００４５】  一方、収まったと判断した攻撃情報を他の装置に通知していなかった場合には、この攻撃情報を削除して、通常時の状態に戻る。【００４６】  このとき、この削除する攻撃情報が他の装置から通知された情報であった場合には、その装置に対して、攻撃が収まり攻撃情報を削除したことを通知（通常状態への復帰通知）し、また、この削除する攻撃情報の攻撃が自装置で検知したものであった場合には、攻撃情報を削除したことを通知する必要はないので、そのまま通常時の状態に戻る。【００４７】  次に、本発明のネットワーク攻撃対策装置は、他の装置から攻撃情報の削除の通知を受けたら、通知をしてきた装置を記憶する。このとき、自装置において攻撃対策を停止しているのかということと、自装置が攻撃情報を通知した全ての装置から攻撃情報削除の通知がきているのかということを調べる。【００４８】  この調査により、自装置において攻撃対策を停止していないなら対策を続行し、一方、自装置において攻撃対策を停止しているものの、１つでも攻撃情報削除の通知を送ってきていない装置があったら、そのまま攻撃の再開に備える。【００４９】  そして、自装置において攻撃対策を停止していて、かつ、自装置が攻撃情報を通知した全ての装置から攻撃情報削除の通知がきていたら、自装置においても攻撃情報を削除して、通常時の状態に戻る。【００５０】  このとき、この削除する攻撃情報が他の装置から通知された情報であった場合には、その装置に対して、攻撃が収まり攻撃情報を削除したことを通知し、また、この削除する攻撃情報の攻撃が自装置で検知したものであった場合には、攻撃情報を削除したことを通知する必要はないので、そのまま通常時の状態に戻る。【００５１】  こ��規則に従って、本発明のネットワーク攻撃対策装置のそれぞれの装置が攻撃対策の停止処理を行うことにより、各装置が自律的に判断して攻撃対策を停止する場合でも、防御しているネットワークに対して穴を作ることなく、攻撃対策を行っている装置および攻撃の再開に備えている装置の存在する範囲を収束していくことが可能である。そして、攻撃が再開した場合にも、収束途中の装置において即座に対処可能であり、その装置から攻撃情報を再通知することにより防御範囲を拡大することができる。【００５２】  このようにして、本発明によれば、攻撃にあわせて、攻撃対策を行っている装置および攻撃の再開に備えている装置の存在する範囲を柔軟に変化させることができるので、各装置は攻撃情報の飽和により処理が圧迫される可能性は従来よりも低くなる。そして、各装置が自律的に判断を行って攻撃対策を停止したり、通常時の状態に戻ったりできるため、これらの処理を実現するための管理装置を用意する必要がない。【００５３】  次に、実施の形態に従って本発明を詳細に説明する。
【実施例】
【００５４】  図１に、本発明の一実施形態例として、ＤＤｏＳ攻撃発生時における複数のＤＤｏＳ防御装置の連携による攻撃対象の防御を示した接続例を図示する。【００５５】  図１において、ＤＤｏＳ攻撃端末３１〜３５が攻撃対象１１および攻撃対象１２へ攻撃パケットを送信しており、また、各ＤＤｏＳ攻撃端末３１〜３５と攻撃対象１１，１２との間には複数のＤＤｏＳ防御装置２１〜２７が接続されており、これらのＤＤｏＳ防御装置２１〜２７が連携してＤＤｏＳ攻撃から攻撃対象１１，１２を防御している。【００５６】  これらのＤＤｏＳ防御装置２１〜２７は、攻撃対象１１，１２に対するＤＤｏＳ攻撃が発生すると、具体的には、攻撃対象１１，１２に近いＤＤｏＳ防御装置２１，２２から攻撃に対する防御に入り、
ＤＤｏＳ防御装置２１，２２→ＤＤｏＳ防御装置２３
→ＤＤｏＳ防御装置２４→ＤＤｏＳ防御装置２５〜２６
→ＤＤｏＳ防御装置２７
というように、ＤＤｏＳ攻撃端末３１〜３５の側へと防御ラインを広げていって、ＤＤｏＳ攻撃が終了すると、攻撃対象１１，１２から遠いＤＤｏＳ防御装置２５〜２７から攻撃に対する防御の停止を行って、
ＤＤｏＳ防御装置２５〜２６→ＤＤｏＳ防御装置２４→ＤＤｏＳ防御装置２３
ＤＤｏＳ防御装置２７      →ＤＤｏＳ防御装置２３
→ＤＤｏＳ防御装置２１，２２
というように、防御ラインを収束させていくことになる。【００５７】  図２に、本発明を具備するＤＤｏＳ防御装置２１〜２７の装置構成の一例を図示する。【００５８】  この図に示すように、本実施形態例のＤＤｏＳ防御装置２１〜２７は、ネットワークインタフェース部１０１と、パケット振分部１０２と、攻撃検出部１０３と、攻撃パケット情報ＤＢ１０４と、攻撃パケット対処部１０５と、停止・再起動判定部１０６と、装置連携部１０７と、装置連携情報ＤＢ１０８とを備える。【００５９】  ＤＤｏＳ防御装置２１〜２７は、ＤＤｏＳ攻撃が発生していない状態では、パケットをネットワークインタフェース部１０１で受信すると、パケット振分部１０２を経由させてネットワークインタフェース部１０１へ転送する。【００６０】  一方、ＤＤｏＳ防御装置２１〜２７は、ＤＤｏＳ攻撃の状態では、攻撃パケットをネットワークインタフェース部１０１で受信すると、その攻撃パケットを停止・再起動判定部１０６や攻撃検出部１０３を経由させて、攻撃パケット対処部１０５で攻撃対策処理を施してからネットワークインタフェース部１０１へと転送することによって、ＤＤｏＳ攻撃から攻撃対象１１，１２を保護することを実現する。【００６１】  図３に、攻撃パケット情報ＤＢ１０４のデータ構造の一例を図示し、図４に、装置連携情報ＤＢ１０８のデータ構造の一例を図示する。【００６２】  攻撃パケット情報ＤＢ１０４は、攻撃パケット情報を管理するものであって、図３に示すように、攻撃パケットの識別情報に対応付けて、その攻撃パケットへの対処方法と、その対処方法の実施停止の条件と、その対処方法の再起動の条件と、その対処方法を起動中であるのか停止中（停止は終了と同義）であるのかを示す状態情報とを管理する。【００６３】  また、装置連携情報ＤＢ１０８は、連携して攻撃に対しての対策を実施する装置の連携情報を管理するものであって、図４に示すように、攻撃パケット情報に対応付けて、その攻撃パケット情報を送信してきた装置の情報（送信元の装置の情報）と、その攻撃パケット情報を送信した装置の情報（送信先の装置の情報）と、その送信先の装置の状態情報とを管理する。ここで、送信先の装置の中に自装置を含めるようになっており、その送信先の装置の状態情報で、自装置の状態情報を管理するようにしている。【００６４】  例えば、図４に示す装置連携情報ＤＢ１０８は、装置″３″の備える装置連携情報ＤＢ１０８の一例を示すものであり、装置″１″のＤＤｏＳ防御装置から、ＩＰアドレスが″１．１．１．１″で、プロトコルが″ＵＤＰ″で、ポート番号が″１４３４″で、対処方法が″遮断″で、停止条件が″１０Ｍｂｐｓのトラヒックが３秒間持続したら対処方法を停止せよ″で、再起動条件が″２０Ｍｂｐｓのトラヒックが１秒間持続したら対処方法を再起動せよ″、という攻撃パケット情報が自装置に送信されてきて、その攻撃パケット情報を、装置″４″のＤＤｏＳ防御装置（現在の状態は″起動中″）に送信したということを管理し、さらに、自装置が″終了（停止）″という状態にあることを管理している。【００６５】  図５に、パケット振分部１０２の実行する処理フローの一例を図示し、図６に、攻撃検出部１０３の実行する処理フローの一例を図示し、図７に、攻撃パケット対処部１０５の実行する処理フローの一例を図示し、図８に、停止・再起動判定部１０６の実行する処理フローの一例を図示し、図９及び図１０に、装置連携部１０７の実行する処理フローの一例を図示する。【００６６】  次に、これらの処理フローに従って、このように構成されるＤＤｏＳ防御装置２１〜２７の実行する処理について詳細に説明する。【００６７】  先ず最初に、図５の処理フローに従って、パケット振分部１０２の実行する処理について説明する。【００６８】  パケット振分部１０２は、図５の処理フローに示すように、ステップ１０で、ネットワークインタフェース部１０１からパケットを受信すると、ステップ１１に進んで、受信パケットをコピーし、そのコピーしたパケットを攻撃検出部１０３へ転送する。【００６９】  続いて、ステップ１２で、受信パケットの情報が攻撃パケット情報ＤＢ１０４に登録されているのかを判断する。【００７０】  この判断処理に従って、受信パケットが攻撃パケット情報ＤＢ１０４に登録されていることを判断する場合には、ステップ１３に進んで、受信パケットをコピーし、そのコピーしたパケットを停止・再起動判定部１０６へ転送する。【００７１】  続いて、ステップ１４で、攻撃パケット情報ＤＢ１０４に登録されているエントリ情報（受信パケットに適合するエントリ情報）に記録される状態情報が起動中かどうかを判断する。【００７２】  この判断処理に従って、受信パケットに適合するエントリ情報に記録される状態情報が起動中であることを判断する場合には、ステップ１５に進んで、受信パケットを攻撃パケット対処部１０５へ転送してから、ステップ１０に戻る。【００７３】  一方、ステップ１２で、受信パケットの情報が攻撃パケット情報ＤＢ１０４に登録されていないことを判断する場合には、ステップ１６に進んで、受信パケットをネットワークインタフェース部１０１へ転送してから、ステップ１０に戻る。【００７４】  そして、ステップ１４で、受信パケットに適合するエントリ情報に記録される状態情報が起動中でないことを判断する場合、すなわち、停止中であることを判断する場合には、ステップ１６に進んで、受信パケットをネットワークインタフェース部１０１へ転送してから、ステップ１０に戻る。【００７５】  このようにして、パケット振分部１０２は、ネットワークインタフェース部１０１からパケットを受信すると、その受信パケットのコピーを攻撃検出部１０３へ転送するとともに、その受信パケットが攻撃パケット情報ＤＢ１０４に登録されている攻撃パケットであるのか否かということや、攻撃に対して対処を施している最中であるのか否かということとに基づいて、その受信パケットのコピーを停止・再起動判定部１０６へ転送したり、その受信パケットを攻撃パケット対処部１０５へ転送したり、その受信パケットをネットワークインタフェース部１０１へ転送するように処理するのである。【００７６】  次に、図６の処理フローに従って、攻撃検出部１０３の実行する処理について説明する。【００７７】  攻撃検出部１０３は、図６の処理フローに示すように、ステップ２０で、パケット振分部１０２からパケットを受信すると、ステップ２１に進んで、受信パケットが攻撃パケット情報ＤＢ１０４に登録されているのかを判断する。【００７８】  この判断処理に従って、受信パケットが攻撃パケット情報ＤＢ１０４に登録されていることを判断する場合には、ステップ２２に進んで、登録されている情報を他装置に送るかどうかを判断し（まだ送っていない場合には″送る″と判断し、既に送ったことがある場合には″送らない″と判断することになる）、他装置へ送ると判断した場合には、ステップ２３に進んで、登録情報を含んだ連携メッセージを装置連携部１０７へ通知してから、ステップ２０に戻る。【００７９】  一方、ステップ２２で、登録されている情報を他装置に送らないと判断した場合には、ステップ２３の処理を行わずに、直ちにステップ２０に戻る。【００８０】  そして、ステップ２１で、受信パケットが攻撃パケット情報ＤＢ１０４に登録されていないことを判断する場合には、ステップ２４に進んで、受信パケットから攻撃かどうかを判断する。【００８１】  この判断処理に従って、受信パケットが攻撃パケットであることを判断する場合には、ステップ２５に進んで、攻撃パケット情報を生成して、その生成した攻撃パケット情報を攻撃パケット情報ＤＢ１０４に登録し、続くステップ２６で、攻撃パケット情報を含めた登録メッセージを装置連携部１０７へ通知してから、ステップ２０に戻る。【００８２】  一方、ステップ２４で、受信パケットが攻撃パケットでないことを判断する場合には、ステップ２５，２６の処理を行わずに、直ちにステップ２０に戻る。【００８３】  このようにして、攻撃検出部１０３は、パケット振分部１０２からパケットを受信すると、その受信パケットが攻撃パケット情報ＤＢ１０４に登録されている場合にあって、攻撃パケット情報を他の装置に送る必要がある場合には、連携メッセージを装置連携部１０７へ通知し、その受信パケットが攻撃パケット情報ＤＢ１０４に登録されていない場合にあって、その受信パケットが攻撃パケットである場合には、攻撃パケット情報を生成してそれを攻撃パケット情報ＤＢ１０４に登録してから、登録メッセージを装置連携部１０７へ通知するように処理するのである。【００８４】  次に、図７の処理フローに従って、攻撃パケット対処部１０５の実行する処理について説明する。【００８５】  攻撃パケット対処部１０５は、図７の処理フローに示すように、ステップ３０で、パケット振分部１０２からパケットを受信すると、ステップ３１に進んで、攻撃パケット情報ＤＢ１０４に格納される受信パケットに適合するエントリ情報を特定する。【００８６】  続いて、ステップ３２で、その特定したエントリ情報に記録されている対処方法を受信パケットに実施した後、続くステップ３３で、パケットを転送する必要があるのか否かを判断して、パケットを転送する必要がある場合には、ステップ３４に進んで、その対処方法を実施した受信パケットをネットワークインタフェース部１０１へ転送する。【００８７】  このようにして、攻撃パケット対処部１０５は、パケット振分部１０２からパケットを受信すると、その受信パケットに対して攻撃対策の対処方法を施してから、ネットワークインタフェース部１０１へ転送するように処理す���のである。【００８８】  次に、図８の処理フローに従って、停止・再起動判定部１０６の実行する処理について説明する。【００８９】  停止・再起動判定部１０６は、図８の処理フローに示すように、ステップ４０で、パケット振分部１０２からパケット（このパケットは攻撃パケット情報ＤＢ１０４に登録されている攻撃パケット）を受信すると、ステップ４１に進んで、攻撃パケット情報ＤＢ１０４に格納される受信パケットに適合するエントリ情報を特定し、続くステップ４２で、その特定したエントリ情報に記録される状態情報が起動中であるのか否かを判断する。【００９０】  この判断処理に従って、受信パケットに適合するエントリ情報に記録される状態情報が起動中であることを判断する場合には、ステップ４３に進んで、そのエントリ情報に記録される停止条件を満たすのか否かを判断して、停止条件を満たす場合には、ステップ４４に進んで、停止メッセージを装置連携部１０７へ通知する。【００９１】  続いて、ステップ４５で、その特定したエントリ情報に記録される状態情報を起動中から停止中へ変更することで攻撃パケット情報ＤＢ１０４を更新して、処理を終了する。【００９２】  一方、ステップ４３で、受信パケットに適合するエントリ情報に記録される停止条件を満たさないことを判断する場合には、ステップ４４，４５の処理を行わずに、直ちに処理を終了する。【００９３】  そして、ステップ４２で、受信パケットに適合するエントリ情報に記録される状態情報が起動中でないことを判断する場合、すなわち、停止中であることを判断する場合には、ステップ４６に進んで、そのエントリ情報に記録される再起動条件を満たすのか否かを判断して、再起動条件を満たす場合には、ステップ４７に進んで、再起動メッセージを装置連携部１０７へ通知する。【００９４】  続いて、ステップ４８で、その特定したエントリ情報に記録される状態情報を停止中から起動中へ変更することで攻撃パケット情報ＤＢ１０４を更新して、処理を終了する。【００９５】  一方、ステップ４６で、受信パケットに適合するエントリ情報に記録される再起動条件を満たさないことを判断する場合には、ステップ４７，４８の処理を行わずに、直ちに処理を終了する。【００９６】  このようにして、停止・再起動判定部１０６は、パケット振分部１０２から攻撃パケット情報ＤＢ１０４に登録されている攻撃パケットを受信すると、対処方法を起動中（実施中）である場合には、停止条件を満たすのか否かを判断して、停止条件を満たす場合には、停止メッセージを装置連携部１０７へ通知し、一方、対処方法を停止中である場合には、再起動条件を満たすのか否かを判断して、再起動条件を満たす場合には、再起動メッセージを装置連携部１０７へ通知するように処理するのである。【００９７】  次に、図９及び図１０の処理フローに従って、装置連携部１０７の実行する処理について説明する。【００９８】  装置連携部１０７は、図９及び図１０の処理フローに示すように、ステップ５０で、他装置から終了メッセージ（他装置の備える装置連携部１０７が後述するステップ５４の処理を実行することにより送られてくる）が送られてくることを判断する場合には、ステップ５１で、その受信した終了メッセージに含まれている攻撃パケット情報を検索キーとして装置連携情報ＤＢ１０８を検索することで、装置連携情報ＤＢ１０８に格納される該当するエントリ情報を特定して、その特定したエントリ情報に記録される送信先（終了メッセージを送信してきた装置）の状態を起動中から終了（停止と同義）へ変更する。【００９９】  続いて、ステップ５２で、その特定したエントリ情報に記録される送信先の状態（自装置の状態も含む）がすべて終了になったのか否かを判断して、すべて終了になったことを判断する場合には、ステップ５３に進んで、その特定したエントリ情報に送信元情報が登録されているのか否かを判断する。【０１００】  このステップ５２，５３の判断処理に従って、特定したエントリ情報に記録される送信先の状態（自装置の状態も含む）がすべて終了になり、かつ、そのエントリ情報に送信元情報が登録されている場合には、ステップ５４に進んで、そのエントリ情報に記録される攻撃パケット情報を含めた終了メッセージを新規に生成して、その生成した終了メッセージを送信元情報に登録されている装置へ送信する。【０１０１】  そして、この終了メッセージの送信を終えると、続くステップ５５で、そのエントリ情報を装置連携情報ＤＢ１０８から削除する。【０１０２】  このようにして、装置連携部１０７は、他装置から終了メッセージが送られてくるときに、ステップ５０〜ステップ５５の処理を実行することで、自装置が攻撃パケット情報を送信したすべての装置（自装置よりも防御ラインの最前線側に位置する装置）から終了メッセージが送られてきて、かつ、自装置も対策を終了している場合には、その攻撃パケット情報を自装置に送信してきた装置（送信元装置）に対して終了メッセージを送信するとともに、その攻撃パケット情報についてのエントリ情報を装置連携情報ＤＢ１０８から削除するように処理するのである。【０１０３】  一方、装置連携部１０７は、ステップ５６で、停止・再起動判定部１０６から停止メッセージが送られてくることを判断する場合には、ステップ５７で、その受信した停止メッセージに含まれている攻撃パケット情報を検索キーとして攻撃パケット情報ＤＢ１０４を検索することで、該当するエントリ情報を特定して、その特定したエントリ情報を攻撃パケット情報ＤＢ１０４から削除する。この削除処理によって対策の停止（終了）が行われることになる。【０１０４】  続いて、ステップ５８で、その受信した停止メッセージに含まれている攻撃パケット情報を検索キーとして装置連携情報ＤＢ１０８を検索することで、装置連携情報ＤＢ１０８に格納される該当するエントリ情報を特定して、その特定したエントリ情報に記録される対応する送信先（このルートを通る場合には自装置である）の状態を起動中から終了へ変更する。【０１０５】  続いて、ステップ５２で、その特定したエントリ情報に記録される送信先の状態（自装置の状態も含む）がすべて終了になったのか否かを判断して、すべて終了になったことを判断する場合には、ステップ５３に進んで、その特定したエントリ情報に送信元情報が登録されているのか否かを判断する。【０１０６】  このステップ５２，５３の判断処理に従って、特定したエントリ情��に記録される送信先の状態（自装置の状態も含む）がすべて終了になり、かつ、そのエントリ情報に送信元情報が登録されている場合には、ステップ５４に進んで、そのエントリ情報に記録される攻撃パケット情報を含めた終了メッセージを新規に生成して、その生成した終了メッセージを送信元情報に登録されている装置へ送信する。【０１０７】  そして、この終了メッセージの送信を終えると、続くステップ５５で、そのエントリ情報を装置連携情報ＤＢ１０８から削除する。【０１０８】  このようにして、装置連携部１０７は、自装置の停止・再起動判定部１０６から停止メッセージが送られてくるときに、ステップ５６〜ステップ５８／ステップ５２〜ステップ５５の処理を実行することで、自装置が攻撃パケット情報を送信したすべての装置（自装置よりも防御ラインの最前線側に位置する装置）から終了メッセージが送られてきて、かつ、自装置も対策を終了している場合には、その攻撃パケット情報を自装置に送信してきた装置（送信元装置）に対して終了メッセージを送信するとともに、その攻撃パケット情報についてのエントリ情報を装置連携情報ＤＢ１０８から削除するように処理するのである。【０１０９】  一方、装置連携部１０７は、ステップ５９で、他装置から連携メッセージ（他装置の備える装置連携部１０７が後述するステップ６５の処理を実行することにより送られてくる）が送られてくることを判断する場合には、ステップ６０で、その受信した連携メッセージに含まれている攻撃パケット情報と、その受信した連携メッセージの送信元を送信元情報として設定したものとを装置連携情報ＤＢ１０８に登録する。【０１１０】  続いて、ステップ６１で、その攻撃パケット情報を攻撃パケット情報ＤＢ１０４に登録する。【０１１１】  このようにして、装置連携部１０７は、ステップ５９〜ステップ６１の処理を実行することで、他装置から送られてくる連携メッセージに基づいて、装置連携情報ＤＢ１０８に新たな装置連携情報を登録するとともに、攻撃パケット情報ＤＢ１０４に新たな攻撃パケット情報を登録するように処理するのである。【０１１２】  一方、装置連携部１０７は、ステップ６２で、攻撃検出部１０３から登録メッセージが送られてくることを判断する場合には、ステップ６３で、その受信した登録メッセージに含まれている攻撃パケット情報を装置連携情報ＤＢ１０８に登録する。【０１１３】  このようにして、装置連携部１０７は、ステップ６２〜ステップ６３の処理を実行することで、攻撃検出部１０３から送られてくる登録メッセージに基づいて、装置連携情報ＤＢ１０８に新たな攻撃パケット情報を登録するように処理するのである。【０１１４】  一方、装置連携部１０７は、ステップ６４で、攻撃検出部１０３から連携メッセージが送られてくることを判断する場合には、ステップ６５で、その受信した連携メッセージを他装置へ送信する。【０１１５】  続いて、ステップ６６で、その受信した連携メッセージに含まれている攻撃パケット情報を検索キーとして装置連携情報ＤＢ１０８を検索することで、該当するエントリ情報を特定して、その特定したエントリ情報に記録される送信先情報に、連携メッセージを送信した他装置の情報を書き加え��ことで装置連携情報ＤＢ１０８を更新する。【０１１６】  このようにして、装置連携部１０７は、ステップ６４〜ステップ６６の処理を実行することで、攻撃検出部１０３から送られてくる連携メッセージを他装置に送信して、それに基づいて、装置連携情報ＤＢ１０８に格納される装置連携情報を更新するように処理するのである。【０１１７】  一方、装置連携部１０７は、ステップ６７で、停止・再起動判定部１０６から再起動メッセージが送られてくることを判断する場合には、ステップ６８で、その受信した再起動メッセージに含まれている攻撃パケット情報を検索キーとして装置連携情報ＤＢ１０８を検索することで、該当するエントリ情報を特定して、その特定したエントリ情報に記録される送信先情報にある自装置の状態を終了から起動中へ変更する。【０１１８】  続いて、ステップ６９で、その受信した再起動メッセージに含まれている攻撃パケット情報を攻撃パケット情報ＤＢ１０４に登録する。【０１１９】  このようにして、装置連携部１０７は、ステップ６７〜ステップ６９の処理を実行することで、攻撃に対しての対策の再実施を実行するように処理するのである。【０１２０】  このようにして、本発明によれば、各ネットワーク攻撃対策装置が攻撃対策の停止処理を行うことにより、各装置が自律的に判断して攻撃対策を停止する場合でも、防御しているネットワークに対して穴を作ることなく、攻撃対策を行っている装置および攻撃の再開に備えている装置の存在する範囲を収束していくことができるようになる。そして、攻撃が再開した場合にも、収束途中の装置において即座に対処可能であり、その装置から攻撃情報を再通知することにより防御範囲を拡大することができるようになる。【０１２１】  以上の各処理手段が動作することで実現される本発明のネットワーク攻撃対策方法はコンピュータプログラムでも実現できるものであり、このコンピュータプログラムは、適当な記録媒体に記録して提供されたり、ネットワークを介して提供され、本発明を実施する際にインストールされてＣＰＵなどの制御手段上で動作することにより本発明を実現することになる。
【図１】
2005109797.tif 000002
【図２】
2005109797.tif 000003
【図３】
2005109797.tif 000004
【図４】
2005109797.tif 000005
【図５】
2005109797.tif 000006
【図６】
2005109797.tif 000007
【図７】
2005109797.tif 000008
【図８】
2005109797.tif 000009
【図９】
2005109797.tif 000010
【図１０】
2005109797.tif 000011
【国際調査報告】
2005109797.tif 000012
2005109797.tif 000013