JP2003289337A - 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 - Google Patents
通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法Info
- Publication number
- JP2003289337A JP2003289337A JP2002091785A JP2002091785A JP2003289337A JP 2003289337 A JP2003289337 A JP 2003289337A JP 2002091785 A JP2002091785 A JP 2002091785A JP 2002091785 A JP2002091785 A JP 2002091785A JP 2003289337 A JP2003289337 A JP 2003289337A
- Authority
- JP
- Japan
- Prior art keywords
- function
- counting
- tcp
- alarm
- communication network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】 分散型サービス拒絶攻撃のような悪意のある
ユーザからの高度な攻撃を検出し、悪意呼の網流入の制
限や停止を行う。 【解決手段】 通信網における複数のボーダルータがＴ
ＣＰ−ＳＹＮパケットを監視し、宛先毎にＴＣＰ−ＳＹ
Ｎパケットを計数および集計し、この集計結果を複数の
ボーダルータ相互間で交換することにより、これらのボ
ーダルータを経由して当該通信網に流入するＴＣＰ−Ｓ
ＹＮパケットを監視し、同一宛先に対して異常な個数で
流入するＴＣＰ−ＳＹＮパケットについては、これを分
散型サービス拒絶攻撃を目的とするＴＣＰ−ＳＹＮパケ
ットと判断してこの流入を抑制する。
ユーザからの高度な攻撃を検出し、悪意呼の網流入の制
限や停止を行う。 【解決手段】 通信網における複数のボーダルータがＴ
ＣＰ−ＳＹＮパケットを監視し、宛先毎にＴＣＰ−ＳＹ
Ｎパケットを計数および集計し、この集計結果を複数の
ボーダルータ相互間で交換することにより、これらのボ
ーダルータを経由して当該通信網に流入するＴＣＰ−Ｓ
ＹＮパケットを監視し、同一宛先に対して異常な個数で
流入するＴＣＰ−ＳＹＮパケットについては、これを分
散型サービス拒絶攻撃を目的とするＴＣＰ−ＳＹＮパケ
ットと判断してこの流入を抑制する。
Description
【０００１】
【発明の属する技術分野】本発明はＩＰ通信網における
ＤＯＳ攻撃(Denial of Services attack)に対処するイ
ンターネットセキュリティ向上技術の分野に属する。
ＤＯＳ攻撃(Denial of Services attack)に対処するイ
ンターネットセキュリティ向上技術の分野に属する。
【０００２】
【従来の技術】分散型サービス拒絶攻撃（ＤＤＯＳＡ:D
istributed Denial of Services Attack）について、図
７ないし図９を参照して説明する。図７は従来の通信網
の概念図である。図８は３ウェイハンドシェークを説明
するための図である。図９はＴＣＰ／ＩＰパケットのフ
ォーマットを示す図である。１〜４は外部通信網で、外
部通信網１にはルータ１０〜１２が、外部通信網２には
ルータ２０〜２２が、外部通信網３にはルータ３０〜３
２が、外部通信網４にはルータ４０〜４２がそれぞれ属
している。
istributed Denial of Services Attack）について、図
７ないし図９を参照して説明する。図７は従来の通信網
の概念図である。図８は３ウェイハンドシェークを説明
するための図である。図９はＴＣＰ／ＩＰパケットのフ
ォーマットを示す図である。１〜４は外部通信網で、外
部通信網１にはルータ１０〜１２が、外部通信網２には
ルータ２０〜２２が、外部通信網３にはルータ３０〜３
２が、外部通信網４にはルータ４０〜４２がそれぞれ属
している。
【０００３】ボーダルータ４４〜４９が通信網５により
それぞれ結ばれている。分散型サービス拒絶攻撃をしか
ける悪意のあるユーザは複数の分散したサイト端末１３
および２３から外部通信網１内のルータ１０および外部
通信網２内のルータ２０を経由して通信網５内のターゲ
ットサーバ５７に、ＴＣＰ−ＳＹＮ（コネクション確立
要求）パケット攻撃を一斉にしかける。
それぞれ結ばれている。分散型サービス拒絶攻撃をしか
ける悪意のあるユーザは複数の分散したサイト端末１３
および２３から外部通信網１内のルータ１０および外部
通信網２内のルータ２０を経由して通信網５内のターゲ
ットサーバ５７に、ＴＣＰ−ＳＹＮ（コネクション確立
要求）パケット攻撃を一斉にしかける。
【０００４】これらのＴＣＰ−ＳＹＮパケットがそれぞ
れ図８に示す３ウェイハンドシェークでＴＣＰセッショ
ン確立を試み、この３ウェイハンドシェークのセッショ
ン途中で悪意のあるユーザのサイト端末１３側あるいは
２３側がセッション放棄する。すなわち、図８において
悪意のあるユーザのサイト端末１３あるいは２３はの
ＴＣＰ−ＡＣＫ（確認応答）＋ＳＹＮパケットを受信し
てものＴＣＰ−ＡＣＫパケットを出さない。これによ
りターゲットサーバ５７は、このＴＣＰ−ＡＣＫパケッ
トの待ちの状態を続けるので、このようなＴＣＰ−ＳＹ
Ｎパケット攻撃を頻繁に多数受けるとターゲットサーバ
５７は過負荷状態に陥りサーバ機能が停止してしまう。
れ図８に示す３ウェイハンドシェークでＴＣＰセッショ
ン確立を試み、この３ウェイハンドシェークのセッショ
ン途中で悪意のあるユーザのサイト端末１３側あるいは
２３側がセッション放棄する。すなわち、図８において
悪意のあるユーザのサイト端末１３あるいは２３はの
ＴＣＰ−ＡＣＫ（確認応答）＋ＳＹＮパケットを受信し
てものＴＣＰ−ＡＣＫパケットを出さない。これによ
りターゲットサーバ５７は、このＴＣＰ−ＡＣＫパケッ
トの待ちの状態を続けるので、このようなＴＣＰ−ＳＹ
Ｎパケット攻撃を頻繁に多数受けるとターゲットサーバ
５７は過負荷状態に陥りサーバ機能が停止してしまう。
【０００５】ＴＣＰセッションの確立時におけるＴＣＰ
−ＳＹＮパケットの働きおよびＴＣＰ／ＩＰパケットの
フォーマットの概要を以下に説明する。図９はＴＣＰ／
ＩＰパケットのフォーマット説明図である。ＴＣＰ／Ｉ
ＰパケットはＩＰ通信網の基本的な通信手順であるＴＣ
ＰとＩＰのパケットであり、その詳しい構成がＩＰヘッ
ダ(IP header）、ＴＣＰヘッダ(TCP header)として図９
に示されている。ＩＰヘッダは宛先のサーバやルータの
アドレス(Destination Address:以下ＤＡと略す)や発信
元アドレス(Source Address:以下ＳＡと略す)などを含
む２０Ｂｙｔｅで構成され、ＴＣＰヘッダはＳＹＮ（コ
ネクション確立要求（ＳＹＮ＝１））やＡＣＫ（確認応
答（ＡＣＫ＝１））などの制御フラグを含む２０Ｂｙｔ
ｅ（オプション無し）の構成である。
−ＳＹＮパケットの働きおよびＴＣＰ／ＩＰパケットの
フォーマットの概要を以下に説明する。図９はＴＣＰ／
ＩＰパケットのフォーマット説明図である。ＴＣＰ／Ｉ
ＰパケットはＩＰ通信網の基本的な通信手順であるＴＣ
ＰとＩＰのパケットであり、その詳しい構成がＩＰヘッ
ダ(IP header）、ＴＣＰヘッダ(TCP header)として図９
に示されている。ＩＰヘッダは宛先のサーバやルータの
アドレス(Destination Address:以下ＤＡと略す)や発信
元アドレス(Source Address:以下ＳＡと略す)などを含
む２０Ｂｙｔｅで構成され、ＴＣＰヘッダはＳＹＮ（コ
ネクション確立要求（ＳＹＮ＝１））やＡＣＫ（確認応
答（ＡＣＫ＝１））などの制御フラグを含む２０Ｂｙｔ
ｅ（オプション無し）の構成である。
【０００６】図８の３ウェイハンドシェークによる通信
確立を詳細に説明する。ＴＣＰ／ＩＰによるコネクショ
ンの確立はまずサイト端末１３がＴＣＰ−ＳＹＮパケッ
ト（図９でＳＹＮ＝１としたパケット）を送信先のター
ゲットサーバ５７に送ると（図８の）、ターゲットサ
ーバ５７はＴＣＰ−ＡＣＫ＋ＳＹＮパケット（図９でＡ
ＣＫ＝１、ＳＹＮ＝１としたパケット）を送り返し（図
８の）、ここで端末が正常な端末であればＴＣＰ−Ａ
ＣＫパケット（図９でＡＣＫ＝１としたパケット）を送
り返し（図３の）、このの段階で“３ウェイハンド
シェーク”が成立し、サイト端末１３とターゲットサー
バ５７による通信が開始する段取りであるが、悪意のあ
るユーザのサイト端末１３がＴＣＰ−ＳＹＮパケット攻
撃をする場合にはＴＣＰ−ＡＣＫパケットを送り返さ
ず、ターゲットサーバ５７はこのパケット待ちの状態を
続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を
頻繁に多数受けるとターゲットサーバ５７は過負荷状態
に陥りサーバ機能が停止してしまう。
確立を詳細に説明する。ＴＣＰ／ＩＰによるコネクショ
ンの確立はまずサイト端末１３がＴＣＰ−ＳＹＮパケッ
ト（図９でＳＹＮ＝１としたパケット）を送信先のター
ゲットサーバ５７に送ると（図８の）、ターゲットサ
ーバ５７はＴＣＰ−ＡＣＫ＋ＳＹＮパケット（図９でＡ
ＣＫ＝１、ＳＹＮ＝１としたパケット）を送り返し（図
８の）、ここで端末が正常な端末であればＴＣＰ−Ａ
ＣＫパケット（図９でＡＣＫ＝１としたパケット）を送
り返し（図３の）、このの段階で“３ウェイハンド
シェーク”が成立し、サイト端末１３とターゲットサー
バ５７による通信が開始する段取りであるが、悪意のあ
るユーザのサイト端末１３がＴＣＰ−ＳＹＮパケット攻
撃をする場合にはＴＣＰ−ＡＣＫパケットを送り返さ
ず、ターゲットサーバ５７はこのパケット待ちの状態を
続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を
頻繁に多数受けるとターゲットサーバ５７は過負荷状態
に陥りサーバ機能が停止してしまう。
【０００７】
【発明が解決しようとする課題】このように、分散型サ
ービス拒絶攻撃は、悪意のあるユーザが複数の分散した
サイト端末を踏み台にし、特定のＷｅｂサーバに無数の
ＴＣＰセッション確立を試みることで過負荷にする攻撃
であり、ＴＣＰセッションの送信元が分散しているた
め、悪意のあるユーザのサイト端末を特定するのが困難
であり、拒絶攻撃に対する対策を立てることも困難であ
る。
ービス拒絶攻撃は、悪意のあるユーザが複数の分散した
サイト端末を踏み台にし、特定のＷｅｂサーバに無数の
ＴＣＰセッション確立を試みることで過負荷にする攻撃
であり、ＴＣＰセッションの送信元が分散しているた
め、悪意のあるユーザのサイト端末を特定するのが困難
であり、拒絶攻撃に対する対策を立てることも困難であ
る。
【０００８】本発明は、このような背景に行われたもの
であって、分散型サービス拒絶攻撃のような悪意のある
ユーザからの高度な攻撃を検出し、悪意呼の網流入の制
限や停止を行うなど的確なアクションをとることにより
ターゲットサーバが過負荷に陥ることを免れることがで
きる通信網およびルータおよびプログラムおよび記録媒
体および分散型サービス拒絶攻撃検出防御方法を提供す
ることを目的とする。
であって、分散型サービス拒絶攻撃のような悪意のある
ユーザからの高度な攻撃を検出し、悪意呼の網流入の制
限や停止を行うなど的確なアクションをとることにより
ターゲットサーバが過負荷に陥ることを免れることがで
きる通信網およびルータおよびプログラムおよび記録媒
体および分散型サービス拒絶攻撃検出防御方法を提供す
ることを目的とする。
【０００９】
【課題を解決するための手段】本発明は、通信網におけ
る複数のボーダルータがＴＣＰ−ＳＹＮパケットを監視
し、宛先毎にＴＣＰ−ＳＹＮパケットを計数および集計
し、この集計結果を複数のボーダルータ相互間で交換す
ることにより、これらのボーダルータを経由して当該通
信網に流入するＴＣＰ−ＳＹＮパケットを監視し、同一
宛先に対して異常な個数で流入するＴＣＰ−ＳＹＮパケ
ットについては、これを分散型サービス拒絶攻撃を目的
とするＴＣＰ−ＳＹＮパケットと判断してこの流入を抑
制することを特徴とする。
る複数のボーダルータがＴＣＰ−ＳＹＮパケットを監視
し、宛先毎にＴＣＰ−ＳＹＮパケットを計数および集計
し、この集計結果を複数のボーダルータ相互間で交換す
ることにより、これらのボーダルータを経由して当該通
信網に流入するＴＣＰ−ＳＹＮパケットを監視し、同一
宛先に対して異常な個数で流入するＴＣＰ−ＳＹＮパケ
ットについては、これを分散型サービス拒絶攻撃を目的
とするＴＣＰ−ＳＹＮパケットと判断してこの流入を抑
制することを特徴とする。
【００１０】すなわち、本発明の第一の観点は、複数の
外部通信網にそれぞれ接続された複数のボーダルータを
備えた通信網であって、本発明の特徴とするところは、
前記ボーダルータは、自通信網に流入するコネクション
確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段
を備え、この監視する手段は、同一宛先アドレスを有す
るＴＣＰ−ＳＹＮパケットの個数を計数する手段と、こ
の計数する手段の計数結果を他ボーダルータに通知する
手段と、他ボーダルータからの前記計数する手段の計数
結果を受け取る手段と、この受け取る手段により受け取
った他ボーダルータにおける計数結果および前記計数す
る手段による自ボーダルータの計数結果に基づき計数結
果を集計する手段とを備え、この集計する手段は、前記
計数結果の所定時間内の増加率を検出する手段と、この
検出する手段の検出結果が閾値を超えるときには前記同
一宛先アドレスの情報を含む警報を発出する手段とを備
えたところにある。
外部通信網にそれぞれ接続された複数のボーダルータを
備えた通信網であって、本発明の特徴とするところは、
前記ボーダルータは、自通信網に流入するコネクション
確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段
を備え、この監視する手段は、同一宛先アドレスを有す
るＴＣＰ−ＳＹＮパケットの個数を計数する手段と、こ
の計数する手段の計数結果を他ボーダルータに通知する
手段と、他ボーダルータからの前記計数する手段の計数
結果を受け取る手段と、この受け取る手段により受け取
った他ボーダルータにおける計数結果および前記計数す
る手段による自ボーダルータの計数結果に基づき計数結
果を集計する手段とを備え、この集計する手段は、前記
計数結果の所定時間内の増加率を検出する手段と、この
検出する手段の検出結果が閾値を超えるときには前記同
一宛先アドレスの情報を含む警報を発出する手段とを備
えたところにある。
【００１１】さらに、前記集計する手段は、集計された
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送
信元アドレスを特定する手段を備え、前記警報を発出す
る手段は、前記検出する手段の検出結果が閾値を超える
ときには当該特定する手段により特定された送信元アド
レスの情報を前記警報に書込む手段を備えることもでき
る。
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送
信元アドレスを特定する手段を備え、前記警報を発出す
る手段は、前記検出する手段の検出結果が閾値を超える
ときには当該特定する手段により特定された送信元アド
レスの情報を前記警報に書込む手段を備えることもでき
る。
【００１２】前記警報を発出する手段から発出された警
報に基づき当該警報に含まれる前記同一宛先アドレスま
たは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケッ
トの当該通信網への流入を抑制する手段を備えることが
望ましい。
報に基づき当該警報に含まれる前記同一宛先アドレスま
たは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケッ
トの当該通信網への流入を抑制する手段を備えることが
望ましい。
【００１３】これにより、分散型サービス拒絶攻撃を行
っている悪意のあるユーザのサイト端末が特定できれ
ば、宛先アドレスによるＴＣＰ−ＳＹＮパケット流入抑
制とともに送信元アドレスによる流入抑制も行えるた
め、宛先アドレスのみによる流入抑制と比較してより確
実な流入抑制効果を期待することができる。
っている悪意のあるユーザのサイト端末が特定できれ
ば、宛先アドレスによるＴＣＰ−ＳＹＮパケット流入抑
制とともに送信元アドレスによる流入抑制も行えるた
め、宛先アドレスのみによる流入抑制と比較してより確
実な流入抑制効果を期待することができる。
【００１４】例えば、宛先アドレスによるＴＣＰ−ＳＹ
Ｎパケットの流入抑制では、悪意のあるユーザのサイト
端末以外の一般の端末からのＴＣＰ−ＳＹＮパケットも
流入が抑制されてしまう可能性があるが、送信元アドレ
スによる流入抑制ができれば、悪意のあるユーザのサイ
ト端末によるものとそうでないものとを区別して抑制す
ることができる。さらに、このサイト端末のユーザに対
して以後、このような行為を行わないように警告を送付
することもできる。
Ｎパケットの流入抑制では、悪意のあるユーザのサイト
端末以外の一般の端末からのＴＣＰ−ＳＹＮパケットも
流入が抑制されてしまう可能性があるが、送信元アドレ
スによる流入抑制ができれば、悪意のあるユーザのサイ
ト端末によるものとそうでないものとを区別して抑制す
ることができる。さらに、このサイト端末のユーザに対
して以後、このような行為を行わないように警告を送付
することもできる。
【００１５】前記通知する手段および前記受け取る手段
は、Ｉ−ＢＧＰ(Internet-Border Gateway Protocol)を
用いて前記計数結果を送受信する手段を備えることが望
ましい。すなわち、ＴＣＰ−ＩＰはインターネット通信
の基本である第３層、第４層に関する通信であるのに対
し、Ｉ−ＢＧＰは動的経路プロトコルであり、ＡＳ（自
立システム）内で使用する境界ゲートウェイプロトコル
による通信機能である。これにより、通常のデータ通信
とは異なる独立した確実かつ速やかな通信を行うことが
できるので、分散型サービス拒絶攻撃を確実かつ速やか
に検出して防御することができる。
は、Ｉ−ＢＧＰ(Internet-Border Gateway Protocol)を
用いて前記計数結果を送受信する手段を備えることが望
ましい。すなわち、ＴＣＰ−ＩＰはインターネット通信
の基本である第３層、第４層に関する通信であるのに対
し、Ｉ−ＢＧＰは動的経路プロトコルであり、ＡＳ（自
立システム）内で使用する境界ゲートウェイプロトコル
による通信機能である。これにより、通常のデータ通信
とは異なる独立した確実かつ速やかな通信を行うことが
できるので、分散型サービス拒絶攻撃を確実かつ速やか
に検出して防御することができる。
【００１６】本発明の第二の観点はルータであって、本
発明の特徴とするところは、外部通信網に接続され、自
通信網に流入するコネクション確立要求を含むＴＣＰ−
ＳＹＮパケットを監視する手段を備え、この監視する手
段は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケッ
トの個数を計数する手段と、この計数する手段の計数結
果を他ボーダルータに通知する手段と、他ボーダルータ
からの前記計数する手段の計数結果を受け取る手段と、
この受け取る手段により受け取った他ボーダルータにお
ける計数結果および前記計数する手段による自ボーダル
ータの計数結果に基づき計数結果を集計する手段とを備
え、この集計する手段は、前記計数結果の所定時間内の
増加率を検出する手段と、この検出する手段の検出結果
が閾値を超えるときには前記同一宛先アドレスの情報を
含む警報を発出する手段とを備えたところにある。
発明の特徴とするところは、外部通信網に接続され、自
通信網に流入するコネクション確立要求を含むＴＣＰ−
ＳＹＮパケットを監視する手段を備え、この監視する手
段は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケッ
トの個数を計数する手段と、この計数する手段の計数結
果を他ボーダルータに通知する手段と、他ボーダルータ
からの前記計数する手段の計数結果を受け取る手段と、
この受け取る手段により受け取った他ボーダルータにお
ける計数結果および前記計数する手段による自ボーダル
ータの計数結果に基づき計数結果を集計する手段とを備
え、この集計する手段は、前記計数結果の所定時間内の
増加率を検出する手段と、この検出する手段の検出結果
が閾値を超えるときには前記同一宛先アドレスの情報を
含む警報を発出する手段とを備えたところにある。
【００１７】前記集計する手段は、集計された同一宛先
アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アド
レスを特定する手段を備え、前記警報を発出する手段
は、前記検出する手段の検出結果が閾値を超えるときに
は当該特定する手段により特定された送信元アドレスの
情報を前記警報に書込む手段を備えることもできる。
アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アド
レスを特定する手段を備え、前記警報を発出する手段
は、前記検出する手段の検出結果が閾値を超えるときに
は当該特定する手段により特定された送信元アドレスの
情報を前記警報に書込む手段を備えることもできる。
【００１８】前記警報を発出する手段から発出された警
報に基づき当該警報に含まれる前記同一宛先アドレスま
たは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケッ
トの当該通信網への流入を抑制する手段を備えることが
望ましい。
報に基づき当該警報に含まれる前記同一宛先アドレスま
たは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケッ
トの当該通信網への流入を抑制する手段を備えることが
望ましい。
【００１９】前記通知する手段および前記受け取る手段
は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する手段
を備えることが望ましい。
は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する手段
を備えることが望ましい。
【００２０】本発明の第三の観点はプログラムであっ
て、本発明の特徴とするところは、情報処理装置にイン
ストールすることにより、その情報処理装置に、外部通
信網に接続されたルータを制御する装置に相応する機能
として、自通信網に流入するコネクション確立要求を含
むＴＣＰ−ＳＹＮパケットを監視する機能を実現させ、
この監視する機能として、同一宛先アドレスを有するＴ
ＣＰ−ＳＹＮパケットの個数を計数する機能と、この計
数する機能の計数結果を他ボーダルータに通知する機能
と、他ボーダルータからの前記計数する機能の計数結果
を受け取る機能と、この受け取る機能により受け取った
他ボーダルータにおける計数結果および前記計数する機
能による自ボーダルータの計数結果に基づき計数結果を
集計する機能とを実現させ、この集計する機能として、
前記計数結果の所定時間内の増加率を検出する機能と、
この検出する機能の検出結果が閾値を超えるときには前
記同一宛先アドレスの情報を含む警報を発出する機能と
を実現させるところにある。
て、本発明の特徴とするところは、情報処理装置にイン
ストールすることにより、その情報処理装置に、外部通
信網に接続されたルータを制御する装置に相応する機能
として、自通信網に流入するコネクション確立要求を含
むＴＣＰ−ＳＹＮパケットを監視する機能を実現させ、
この監視する機能として、同一宛先アドレスを有するＴ
ＣＰ−ＳＹＮパケットの個数を計数する機能と、この計
数する機能の計数結果を他ボーダルータに通知する機能
と、他ボーダルータからの前記計数する機能の計数結果
を受け取る機能と、この受け取る機能により受け取った
他ボーダルータにおける計数結果および前記計数する機
能による自ボーダルータの計数結果に基づき計数結果を
集計する機能とを実現させ、この集計する機能として、
前記計数結果の所定時間内の増加率を検出する機能と、
この検出する機能の検出結果が閾値を超えるときには前
記同一宛先アドレスの情報を含む警報を発出する機能と
を実現させるところにある。
【００２１】前記集計する機能として、集計された同一
宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元
アドレスを特定する機能を実現させ、前記警報を発出す
る機能として、前記検出する機能の検出結果が閾値を超
えるときには当該特定する機能により特定された送信元
アドレスの情報を前記警報に書込む機能を実現させるこ
ともできる。
宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元
アドレスを特定する機能を実現させ、前記警報を発出す
る機能として、前記検出する機能の検出結果が閾値を超
えるときには当該特定する機能により特定された送信元
アドレスの情報を前記警報に書込む機能を実現させるこ
ともできる。
【００２２】前記警報を発出する機能から発出された警
報に基づき当該警報に含まれる前記同一宛先アドレスま
たは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケッ
トの当該通信網への流入を抑制する機能を実現させるこ
とが望ましい。
報に基づき当該警報に含まれる前記同一宛先アドレスま
たは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケッ
トの当該通信網への流入を抑制する機能を実現させるこ
とが望ましい。
【００２３】前記通知する機能および前記受け取る機能
として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する
機能を実現させることが望ましい。
として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する
機能を実現させることが望ましい。
【００２４】本発明の第四の観点は、本発明のプログラ
ムが記録された前記情報処理装置読取可能な記録媒体で
ある。本発明のプログラムは本発明の記録媒体に記録さ
れることにより、前記情報処理装置は、この記録媒体を
用いて本発明のプログラムをインストールすることがで
きる。あるいは、本発明のプログラムを保持するサーバ
からネットワークを介して直接前記情報処理装置に本発
明のプログラムをインストールすることもできる。
ムが記録された前記情報処理装置読取可能な記録媒体で
ある。本発明のプログラムは本発明の記録媒体に記録さ
れることにより、前記情報処理装置は、この記録媒体を
用いて本発明のプログラムをインストールすることがで
きる。あるいは、本発明のプログラムを保持するサーバ
からネットワークを介して直接前記情報処理装置に本発
明のプログラムをインストールすることもできる。
【００２５】これにより、コンピュータ装置等の情報処
理装置を用いて、分散型サービス拒絶攻撃のような悪意
のあるユーザからの高度な攻撃を検出し、悪意呼の網流
入の制限や停止を行うなど的確なアクションをとること
によりターゲットサーバが過負荷に陥ることを免れるこ
とができるルータを備えた通信網を実現することができ
る。
理装置を用いて、分散型サービス拒絶攻撃のような悪意
のあるユーザからの高度な攻撃を検出し、悪意呼の網流
入の制限や停止を行うなど的確なアクションをとること
によりターゲットサーバが過負荷に陥ることを免れるこ
とができるルータを備えた通信網を実現することができ
る。
【００２６】本発明の第五の観点は、複数の外部通信網
にそれぞれ接続された複数のボーダルータを備えた通信
網に適用される分散型サービス拒絶攻撃検出防御方法で
あって、本発明の特徴とするところは、前記ボーダルー
タにより、自通信網に流入するコネクション確立要求を
含むＴＣＰ−ＳＹＮパケットを監視し、同一宛先アドレ
スを有するＴＣＰ−ＳＹＮパケットの個数を計数し、こ
の計数結果を他ボーダルータに通知するとともに他ボー
ダルータからの計数結果を受け取り、この受け取った他
ボーダルータにおける計数結果および自ボーダルータの
計数結果に基づき計数結果を集計し、この計数結果の所
定時間内の増加率を検出し、この検出結果が閾値を超え
るときには前記同一宛先アドレスの情報を含む警報を発
出するところにある。
にそれぞれ接続された複数のボーダルータを備えた通信
網に適用される分散型サービス拒絶攻撃検出防御方法で
あって、本発明の特徴とするところは、前記ボーダルー
タにより、自通信網に流入するコネクション確立要求を
含むＴＣＰ−ＳＹＮパケットを監視し、同一宛先アドレ
スを有するＴＣＰ−ＳＹＮパケットの個数を計数し、こ
の計数結果を他ボーダルータに通知するとともに他ボー
ダルータからの計数結果を受け取り、この受け取った他
ボーダルータにおける計数結果および自ボーダルータの
計数結果に基づき計数結果を集計し、この計数結果の所
定時間内の増加率を検出し、この検出結果が閾値を超え
るときには前記同一宛先アドレスの情報を含む警報を発
出するところにある。
【００２７】集計された同一宛先アドレスを有するＴＣ
Ｐ−ＳＹＮパケットの送信元アドレスを特定し、警報を
発出する際には、この特定された送信元アドレスの情報
を前記警報に書込むこともできる。
Ｐ−ＳＹＮパケットの送信元アドレスを特定し、警報を
発出する際には、この特定された送信元アドレスの情報
を前記警報に書込むこともできる。
【００２８】発出された警報に基づき当該警報に含まれ
る前記同一宛先アドレスまたは前記送信元アドレスを有
するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑
制することが望ましい。
る前記同一宛先アドレスまたは前記送信元アドレスを有
するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑
制することが望ましい。
【００２９】前記ボーダルータ相互間では、Ｉ−ＢＧＰ
を用いて前記計数結果を送受信することが望ましい。
を用いて前記計数結果を送受信することが望ましい。
【００３０】
【発明の実施の形態】本発明実施例の通信網を図１ない
し図６を参照して説明する。図１は本実施例の通信網の
概念図である。図２は本実施例のボーダルータの機能構
成図である。図３および図４は本実施例の異常パケット
検出手順を示す図である。図５は本実施例のボーダルー
タの動作を示すフローチャートである。図６は本実施例
の図１より多くの攻撃地点を有する通信網の概念図であ
る。
し図６を参照して説明する。図１は本実施例の通信網の
概念図である。図２は本実施例のボーダルータの機能構
成図である。図３および図４は本実施例の異常パケット
検出手順を示す図である。図５は本実施例のボーダルー
タの動作を示すフローチャートである。図６は本実施例
の図１より多くの攻撃地点を有する通信網の概念図であ
る。
【００３１】本実施例は、図１に示すように、複数の外
部通信網１〜４にそれぞれ接続された複数のボーダルー
タ５１〜５６を備えた通信網５であって、本実施例の特
徴とするところは、ボーダルータ５１〜５６は、図２に
示すように、自通信網５に流入するコネクション確立要
求を含むＴＣＰ−ＳＹＮパケットを監視する分散型サー
ビス拒絶攻撃検出防御部５１５を備え、この分散型サー
ビス拒絶攻撃検出防御部５１５は、同一宛先アドレスを
有するＴＣＰ−ＳＹＮパケットの個数を計数する流入Ｔ
ＣＰ−ＳＹＮパケット計数機能５１１と、この流入ＴＣ
Ｐ−ＳＹＮパケット計数機能５１１の計数結果を他ボー
ダルータに通知するとともに、他ボーダルータからの流
入ＴＣＰ−ＳＹＮパケット計数機能５１１による前記計
数結果を受け取るＩ−ＢＧＰ通信機能５１３と、このＩ
−ＢＧＰ通信機能５１３により受け取った他ボーダルー
タにおける計数結果および流入ＴＣＰ−ＳＹＮパケット
計数機能５１１による自ボーダルータの計数結果に基づ
き計数結果を集計する流入パケット異常判定機能５１２
とを備え、この流入パケット異常判定機能５１２は、前
記計数結果の所定時間内の増加率を検出し、この検出結
果が閾値を超えるときには前記同一宛先アドレスの情報
を含む警報を発出するところにある。
部通信網１〜４にそれぞれ接続された複数のボーダルー
タ５１〜５６を備えた通信網５であって、本実施例の特
徴とするところは、ボーダルータ５１〜５６は、図２に
示すように、自通信網５に流入するコネクション確立要
求を含むＴＣＰ−ＳＹＮパケットを監視する分散型サー
ビス拒絶攻撃検出防御部５１５を備え、この分散型サー
ビス拒絶攻撃検出防御部５１５は、同一宛先アドレスを
有するＴＣＰ−ＳＹＮパケットの個数を計数する流入Ｔ
ＣＰ−ＳＹＮパケット計数機能５１１と、この流入ＴＣ
Ｐ−ＳＹＮパケット計数機能５１１の計数結果を他ボー
ダルータに通知するとともに、他ボーダルータからの流
入ＴＣＰ−ＳＹＮパケット計数機能５１１による前記計
数結果を受け取るＩ−ＢＧＰ通信機能５１３と、このＩ
−ＢＧＰ通信機能５１３により受け取った他ボーダルー
タにおける計数結果および流入ＴＣＰ−ＳＹＮパケット
計数機能５１１による自ボーダルータの計数結果に基づ
き計数結果を集計する流入パケット異常判定機能５１２
とを備え、この流入パケット異常判定機能５１２は、前
記計数結果の所定時間内の増加率を検出し、この検出結
果が閾値を超えるときには前記同一宛先アドレスの情報
を含む警報を発出するところにある。
【００３２】また、悪意のあるユーザのサイト端末が他
の端末に成り代わっていない場合には、流入パケット異
常判定機能５１２は、集計された同一宛先アドレスを有
するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定す
ることができ、当該特定された送信元アドレスの情報を
前記警報に書込むことができる。
の端末に成り代わっていない場合には、流入パケット異
常判定機能５１２は、集計された同一宛先アドレスを有
するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定す
ることができ、当該特定された送信元アドレスの情報を
前記警報に書込むことができる。
【００３３】ルータ基本機能５１０は、流入パケット異
常判定機能５１２から発出された警報に基づき当該警報
に含まれる前記同一宛先アドレスまたは前記送信元アド
レスを有するＴＣＰ−ＳＹＮパケットの当該通信網への
流入を抑制する。
常判定機能５１２から発出された警報に基づき当該警報
に含まれる前記同一宛先アドレスまたは前記送信元アド
レスを有するＴＣＰ−ＳＹＮパケットの当該通信網への
流入を抑制する。
【００３４】また、Ｉ−ＢＧＰ通信機能５１３は、Ｉ−
ＢＧＰを用いて前記計数結果を送受信する。
ＢＧＰを用いて前記計数結果を送受信する。
【００３５】以下では、本実施例をさらに詳細に説明す
る。
る。
【００３６】本実施例の通信網５は、図１に示すよう
に、ボーダルータ５１〜５６が通信網５に流入するＴＣ
Ｐ−ＳＹＮパケットをモニタし、宛先毎のＴＣＰ−ＳＹ
Ｎパケットを計数および集計し、全ボーダルータ５１〜
５６はＴＣＰ−ＳＹＮパケットの前記集計の結果として
の情報をＩ−ＢＧＰを用いて相互に交換通知しあい、悪
意呼であるＴＣＰ−ＳＹＮパケットが異常に流入すると
判明したボーダルータ５１および５２は送信元のサイト
端末１３および２３からのターゲットサーバ５７宛のＴ
ＣＰ−ＳＹＮパケットの流入量を抑制するかあるいは全
て廃棄することでターゲットサーバ５７は過負荷の状態
から解放される。
に、ボーダルータ５１〜５６が通信網５に流入するＴＣ
Ｐ−ＳＹＮパケットをモニタし、宛先毎のＴＣＰ−ＳＹ
Ｎパケットを計数および集計し、全ボーダルータ５１〜
５６はＴＣＰ−ＳＹＮパケットの前記集計の結果として
の情報をＩ−ＢＧＰを用いて相互に交換通知しあい、悪
意呼であるＴＣＰ−ＳＹＮパケットが異常に流入すると
判明したボーダルータ５１および５２は送信元のサイト
端末１３および２３からのターゲットサーバ５７宛のＴ
ＣＰ−ＳＹＮパケットの流入量を抑制するかあるいは全
て廃棄することでターゲットサーバ５７は過負荷の状態
から解放される。
【００３７】図２に示すように、ルータ基本機能５１０
は、ＩＰパケットを宛先ホストに届けるための中継（ル
ーティング）機能をはじめ各種ネットワーク層（第３
層）プロトコルに対応したマルチプロトコル機能を含ん
でいる。また、本実施例では、流入パケット異常判定機
能５１２から発出される警報に基づき、ＴＣＰ−ＳＹＮ
パケットを廃棄する機能も備えている。
は、ＩＰパケットを宛先ホストに届けるための中継（ル
ーティング）機能をはじめ各種ネットワーク層（第３
層）プロトコルに対応したマルチプロトコル機能を含ん
でいる。また、本実施例では、流入パケット異常判定機
能５１２から発出される警報に基づき、ＴＣＰ−ＳＹＮ
パケットを廃棄する機能も備えている。
【００３８】流入ＴＣＰ−ＳＹＮパケット計数機能５１
１はＴＣＰ−ＳＹＮパケットの送信元ＩＰアドレス、宛
先ＩＰアドレス、情報量、時刻に対応して当該パケット
数を計数する。また、流入パケット異常判定機能５１２
は、流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数
結果を時系列的に比較して単位時間当りの集計データが
正常かあるいは異常かを判定する。例えば、単位時間Δ
ｔ当り増加率が１００倍になれば異常と判定する。
１はＴＣＰ−ＳＹＮパケットの送信元ＩＰアドレス、宛
先ＩＰアドレス、情報量、時刻に対応して当該パケット
数を計数する。また、流入パケット異常判定機能５１２
は、流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数
結果を時系列的に比較して単位時間当りの集計データが
正常かあるいは異常かを判定する。例えば、単位時間Δ
ｔ当り増加率が１００倍になれば異常と判定する。
【００３９】ＴＣＰ−ＩＰ通信機能５１４はインターネ
ット通信の基本である第３層、第４層に関する通信機能
である。また、Ｉ−ＢＧＰ通信機能５１３は動的経路プ
ロトコルであり、ＡＳ（自立システム）内で使用する境
界ゲートウェイプロトコルによる通信機能である。
ット通信の基本である第３層、第４層に関する通信機能
である。また、Ｉ−ＢＧＰ通信機能５１３は動的経路プ
ロトコルであり、ＡＳ（自立システム）内で使用する境
界ゲートウェイプロトコルによる通信機能である。
【００４０】各ボーダルータ５１〜５６は通信網５に流
入する全てのＴＣＰ−ＳＹＮパケットを監視しており、
その監視の結果、例えば、ボーダルータ５１が悪意のあ
るユーザのサイト端末１３からの宛先がターゲットサー
バ５７であるＴＣＰ−ＳＹＮパケットが単位時間Δｔ当
り増加率で１００倍になり異常に多いと判定した場合に
は、当該パケットの例えば９９％を破棄し、またボーダ
ルータ５２が悪意のあるユーザのサイト端末２３からの
宛先がターゲットサーバ５７であるＴＣＰ−ＳＹＮパケ
ットが異常に多いと判定した場合には、当該パケットの
例えば９９％を破棄する。このようにしてターゲットサ
ーバ５７が過負荷に陥ることを未然に防止できる。
入する全てのＴＣＰ−ＳＹＮパケットを監視しており、
その監視の結果、例えば、ボーダルータ５１が悪意のあ
るユーザのサイト端末１３からの宛先がターゲットサー
バ５７であるＴＣＰ−ＳＹＮパケットが単位時間Δｔ当
り増加率で１００倍になり異常に多いと判定した場合に
は、当該パケットの例えば９９％を破棄し、またボーダ
ルータ５２が悪意のあるユーザのサイト端末２３からの
宛先がターゲットサーバ５７であるＴＣＰ−ＳＹＮパケ
ットが異常に多いと判定した場合には、当該パケットの
例えば９９％を破棄する。このようにしてターゲットサ
ーバ５７が過負荷に陥ることを未然に防止できる。
【００４１】ボーダルータ５１によるＴＣＰ−ＳＹＮパ
ケットの監視は自らの流入ＴＣＰ−ＳＹＮパケット計数
機能５１１によるデータ分とＩ−ＢＧＰ通信機能５１３
により他のボーダルータ５２〜５６からＩ−ＢＧＰ動的
経路プロトコルを用いて入手したデータ分とがあり、こ
の両データ分を併せて流入パケット異常判定機能５１２
で異常判定を行う。
ケットの監視は自らの流入ＴＣＰ−ＳＹＮパケット計数
機能５１１によるデータ分とＩ−ＢＧＰ通信機能５１３
により他のボーダルータ５２〜５６からＩ−ＢＧＰ動的
経路プロトコルを用いて入手したデータ分とがあり、こ
の両データ分を併せて流入パケット異常判定機能５１２
で異常判定を行う。
【００４２】図３および図４は異常パケット検出手順を
示している。図３の例では、まず、流入ＴＣＰ−ＳＹＮ
パケット計数機能５１１により、ＴＣＰ ｆｌａｇでＳ
ＹＮ＝１のＴＣＰ−ＳＹＮパケットを抽出し、パケット
ヘッダのＤＡ（宛先ＩＰアドレス）を引き出してエント
リに追加し、そのエントリにマッチしたもの毎にカウン
トアップする。続いて、流入パケット異常判定機能５１
２により、ＳＹＮパケットが集中している特定のＤＡを
見つけ出す。図４の例では、ＴＣＰ−ＳＹＮパケットが
集中したＤＡ＝２１８．６０．３２．１のパケットのリ
ストアップ状況が示され、集中しているこのＤＡのリス
ト表上でさらに、ＳＡ（送信元ＩＰアドレス）毎に仕分
けし、送信元の特定をする。このようにしてターゲット
サーバがＤＡ＝２１８．６０．３２．１であり、悪意の
あるユーザのサイト端末のＳＡが判明する。
示している。図３の例では、まず、流入ＴＣＰ−ＳＹＮ
パケット計数機能５１１により、ＴＣＰ ｆｌａｇでＳ
ＹＮ＝１のＴＣＰ−ＳＹＮパケットを抽出し、パケット
ヘッダのＤＡ（宛先ＩＰアドレス）を引き出してエント
リに追加し、そのエントリにマッチしたもの毎にカウン
トアップする。続いて、流入パケット異常判定機能５１
２により、ＳＹＮパケットが集中している特定のＤＡを
見つけ出す。図４の例では、ＴＣＰ−ＳＹＮパケットが
集中したＤＡ＝２１８．６０．３２．１のパケットのリ
ストアップ状況が示され、集中しているこのＤＡのリス
ト表上でさらに、ＳＡ（送信元ＩＰアドレス）毎に仕分
けし、送信元の特定をする。このようにしてターゲット
サーバがＤＡ＝２１８．６０．３２．１であり、悪意の
あるユーザのサイト端末のＳＡが判明する。
【００４３】ＤＤＯＳが巧妙な場合はＳＡ毎の仕分けは
困難な場合がある。例えば悪意のあるユーザのサイト端
末１３が他の外部通信網２〜３内の端末のＩＰアドレス
を盗用して成り代わり端末攻撃をする場合にはＳＡ毎の
仕分けは無意味となる。
困難な場合がある。例えば悪意のあるユーザのサイト端
末１３が他の外部通信網２〜３内の端末のＩＰアドレス
を盗用して成り代わり端末攻撃をする場合にはＳＡ毎の
仕分けは無意味となる。
【００４４】図５は本実施例のボーダルータの動作を示
すフローチャートである。
すフローチャートである。
【００４５】ステップ１：各ボーダルータ５１〜５６に
おいて流入するＴＣＰ−ＳＹＮパケットを流入ＴＣＰ−
ＳＹＮパケット計数機能５１１がモニタし、ＤＡのリス
トを作成して計数する（図３）。モニタ計数時間は時刻
（Ｔ０＋ｎΔｔ）から時刻（Ｔ０＋（ｎ＋１）Δｔ）と
する（ｎ＝０，１，２，３，…） ステップ２：各ボーダルータの流入ＴＣＰ−ＳＹＮパケ
ット計数機能５１１は集中しているＤＡのリスト上でＳ
Ａ毎に仕分け計数する（図４） ステップ３：時刻（Ｔ０＋ｎΔｔ）からの単位時間Δｔ
の計数情報としてステップ２の出力リストの上位５位お
よび増加率上位５位のＤＡおよびＳＡ情報をＩ−ＢＧＰ
通信機能５１３により、それぞれ他のボーダルータに通
知する ステップ４：各ボーダルータ毎に流入ＴＣＰ−ＳＹＮパ
ケット計数機能５１１はステップ２の出力情報とステッ
プ３の出力情報とから時刻（Ｔ０＋ｎΔｔ）のΔｔの単
位時間の間に全ボーダルータから流入したＴＣＰ−ＳＹ
Ｎパケットにつき、ＳＡのＩＰアドレス、ＤＡのＩＰア
ドレス、情報量、時刻に対応して当該パケット数を計数
し、流入パケット異常判定機能５１２は、単位時間Δｔ
当りの増加パケット数を集計してランクアップする ステップ５：流入パケット異常判定機能５１２により、
単位時間当りの増加率が例えば１００倍になるＳＡまた
はＤＡがあるかを判定する。“ある”場合はステップ６
へ、“なし”の場合はステップ４へ ステップ６：単位時間当りの増加率が１００倍になるＳ
ＡまたはＤＡを有するＴＣＰ−ＳＹＮパケットが流入す
るボーダルータのルータ基本機能５１０は流入量を抑制
あるいはこのパケットを全パケット廃棄する このようにして悪意呼によるターゲットサーバ５７の過
負荷を防ぐことが可能となる。
おいて流入するＴＣＰ−ＳＹＮパケットを流入ＴＣＰ−
ＳＹＮパケット計数機能５１１がモニタし、ＤＡのリス
トを作成して計数する（図３）。モニタ計数時間は時刻
（Ｔ０＋ｎΔｔ）から時刻（Ｔ０＋（ｎ＋１）Δｔ）と
する（ｎ＝０，１，２，３，…） ステップ２：各ボーダルータの流入ＴＣＰ−ＳＹＮパケ
ット計数機能５１１は集中しているＤＡのリスト上でＳ
Ａ毎に仕分け計数する（図４） ステップ３：時刻（Ｔ０＋ｎΔｔ）からの単位時間Δｔ
の計数情報としてステップ２の出力リストの上位５位お
よび増加率上位５位のＤＡおよびＳＡ情報をＩ−ＢＧＰ
通信機能５１３により、それぞれ他のボーダルータに通
知する ステップ４：各ボーダルータ毎に流入ＴＣＰ−ＳＹＮパ
ケット計数機能５１１はステップ２の出力情報とステッ
プ３の出力情報とから時刻（Ｔ０＋ｎΔｔ）のΔｔの単
位時間の間に全ボーダルータから流入したＴＣＰ−ＳＹ
Ｎパケットにつき、ＳＡのＩＰアドレス、ＤＡのＩＰア
ドレス、情報量、時刻に対応して当該パケット数を計数
し、流入パケット異常判定機能５１２は、単位時間Δｔ
当りの増加パケット数を集計してランクアップする ステップ５：流入パケット異常判定機能５１２により、
単位時間当りの増加率が例えば１００倍になるＳＡまた
はＤＡがあるかを判定する。“ある”場合はステップ６
へ、“なし”の場合はステップ４へ ステップ６：単位時間当りの増加率が１００倍になるＳ
ＡまたはＤＡを有するＴＣＰ−ＳＹＮパケットが流入す
るボーダルータのルータ基本機能５１０は流入量を抑制
あるいはこのパケットを全パケット廃棄する このようにして悪意呼によるターゲットサーバ５７の過
負荷を防ぐことが可能となる。
【００４６】また、図６に示すように、悪意のあるユー
ザのサイト端末はサイト端末１３、２３に加えてサイト
端末３３、４３と多くの地点からターゲットサーバ５７
を攻撃する場合は、宛先ＩＰアドレスがターゲットサー
バ５７である悪意呼のＴＣＰ−ＳＹＮパケットが多く検
出されるのは、ボーダルータ５１、５２、５４、５５で
あるという判定が各ボーダルータ５１〜５６でなされ、
この宛先ＩＰアドレスがターゲットサーバ５７である悪
意呼のＴＣＰ−ＳＹＮパケットは例えば９９％が各ボー
ダルータ５１、５２、５４、５５にて破棄され、ターゲ
ットサーバ５７は過負荷を免れる。
ザのサイト端末はサイト端末１３、２３に加えてサイト
端末３３、４３と多くの地点からターゲットサーバ５７
を攻撃する場合は、宛先ＩＰアドレスがターゲットサー
バ５７である悪意呼のＴＣＰ−ＳＹＮパケットが多く検
出されるのは、ボーダルータ５１、５２、５４、５５で
あるという判定が各ボーダルータ５１〜５６でなされ、
この宛先ＩＰアドレスがターゲットサーバ５７である悪
意呼のＴＣＰ−ＳＹＮパケットは例えば９９％が各ボー
ダルータ５１、５２、５４、５５にて破棄され、ターゲ
ットサーバ５７は過負荷を免れる。
【００４７】本実施例のボーダルータ５１〜５６を制御
する装置は情報処理装置であるコンピュータ装置を用い
て実現することができる。すなわち、コンピュータ装置
にインストールすることにより、そのコンピュータ装置
に、外部通信網１〜４に接続されたボーダルータ５１〜
５６を制御する装置に相応する機能として、自通信網に
流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパ
ケットを監視する分散型サービス拒絶攻撃検出防御部５
１５に相応する機能を実現させ、この分散型サービス拒
絶攻撃検出防御部５１５に相応する機能として、同一宛
先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計
数する流入ＴＣＰ−ＳＹＮパケット計数機能５１１と、
この流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数
結果を他ボーダルータに通知するとともに、他ボーダル
ータからの流入ＴＣＰ−ＳＹＮパケット計数機能５１１
の計数結果を受け取るＩ−ＢＧＰ通信機能５１３と、こ
のＩ−ＢＧＰ通信機能５１３により受け取った他ボーダ
ルータにおける計数結果および流入ＴＣＰ−ＳＹＮパケ
ット計数機能５１１による自ボーダルータの計数結果に
基づき計数結果を集計する流入パケット異常判定機能５
１２とを実現させ、この流入パケット異常判定機能５１
２として、前記計数結果の所定時間内の増加率を検出す
る機能と、この検出する機能の検出結果が閾値を超える
ときには前記同一宛先アドレスの情報を含む警報を発出
する機能と、集計された同一宛先アドレスを有するＴＣ
Ｐ−ＳＹＮパケットの送信元アドレスを特定する機能と
を実現させ、前記警報を発出する機能として、前記検出
する機能の検出結果が閾値を超えるときには当該特定す
る機能により特定された送信元アドレスの情報を前記警
報に書込む機能を実現させ、さらに、前記警報を発出す
る機能から発出された警報に基づき当該警報に含まれる
前記同一宛先アドレスまたは前記送信元アドレスを有す
るＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制
する機能を実現させ、さらに、Ｉ−ＢＧＰ通信機能５１
３として、Ｉ−ＢＧＰを用いて前記計数結果を送受信す
る機能を実現させるプログラムをコンピュータ装置にイ
ンストールすることにより、そのコンピュータ装置を本
実施例のボーダルータ５１〜５６を制御する装置に相応
する装置とすることができる。
する装置は情報処理装置であるコンピュータ装置を用い
て実現することができる。すなわち、コンピュータ装置
にインストールすることにより、そのコンピュータ装置
に、外部通信網１〜４に接続されたボーダルータ５１〜
５６を制御する装置に相応する機能として、自通信網に
流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパ
ケットを監視する分散型サービス拒絶攻撃検出防御部５
１５に相応する機能を実現させ、この分散型サービス拒
絶攻撃検出防御部５１５に相応する機能として、同一宛
先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計
数する流入ＴＣＰ−ＳＹＮパケット計数機能５１１と、
この流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数
結果を他ボーダルータに通知するとともに、他ボーダル
ータからの流入ＴＣＰ−ＳＹＮパケット計数機能５１１
の計数結果を受け取るＩ−ＢＧＰ通信機能５１３と、こ
のＩ−ＢＧＰ通信機能５１３により受け取った他ボーダ
ルータにおける計数結果および流入ＴＣＰ−ＳＹＮパケ
ット計数機能５１１による自ボーダルータの計数結果に
基づき計数結果を集計する流入パケット異常判定機能５
１２とを実現させ、この流入パケット異常判定機能５１
２として、前記計数結果の所定時間内の増加率を検出す
る機能と、この検出する機能の検出結果が閾値を超える
ときには前記同一宛先アドレスの情報を含む警報を発出
する機能と、集計された同一宛先アドレスを有するＴＣ
Ｐ−ＳＹＮパケットの送信元アドレスを特定する機能と
を実現させ、前記警報を発出する機能として、前記検出
する機能の検出結果が閾値を超えるときには当該特定す
る機能により特定された送信元アドレスの情報を前記警
報に書込む機能を実現させ、さらに、前記警報を発出す
る機能から発出された警報に基づき当該警報に含まれる
前記同一宛先アドレスまたは前記送信元アドレスを有す
るＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制
する機能を実現させ、さらに、Ｉ−ＢＧＰ通信機能５１
３として、Ｉ−ＢＧＰを用いて前記計数結果を送受信す
る機能を実現させるプログラムをコンピュータ装置にイ
ンストールすることにより、そのコンピュータ装置を本
実施例のボーダルータ５１〜５６を制御する装置に相応
する装置とすることができる。
【００４８】本実施例のプログラムは本実施例の記録媒
体に記録されることにより、コンピュータ装置は、この
記録媒体を用いて本実施例のプログラムをインストール
することができる。あるいは、本実施例のプログラムを
保持するサーバからネットワークを介して直接コンピュ
ータ装置に本実施例のプログラムをインストールするこ
ともできる。
体に記録されることにより、コンピュータ装置は、この
記録媒体を用いて本実施例のプログラムをインストール
することができる。あるいは、本実施例のプログラムを
保持するサーバからネットワークを介して直接コンピュ
ータ装置に本実施例のプログラムをインストールするこ
ともできる。
【００４９】これにより、コンピュータ装置を用いて、
分散型サービス拒絶攻撃のような悪意のあるユーザから
の高度な攻撃を検出し、悪意呼の網流入の制限や停止を
行うなど的確なアクションをとることによりターゲット
サーバが過負荷に陥ることを免れることができるボーダ
ルータ５１〜５６を備えた通信網５を実現することがで
きる。
分散型サービス拒絶攻撃のような悪意のあるユーザから
の高度な攻撃を検出し、悪意呼の網流入の制限や停止を
行うなど的確なアクションをとることによりターゲット
サーバが過負荷に陥ることを免れることができるボーダ
ルータ５１〜５６を備えた通信網５を実現することがで
きる。
【００５０】（実施例まとめ）ＥＣ(Electric Commerc
e)が発展するにつれて、Ｗｅｂサイトの保護はセキュリ
ティの観点から今後ますます重要となる。本実施例によ
れば分散型サービス拒絶攻撃のような悪意のあるユーザ
からの高度な攻撃を検出し、悪意呼の通信網流入の制限
や停止を行うなど的確なアクションをとることによりタ
ーゲットサーバが過負荷に陥ることを免れることができ
る。
e)が発展するにつれて、Ｗｅｂサイトの保護はセキュリ
ティの観点から今後ますます重要となる。本実施例によ
れば分散型サービス拒絶攻撃のような悪意のあるユーザ
からの高度な攻撃を検出し、悪意呼の通信網流入の制限
や停止を行うなど的確なアクションをとることによりタ
ーゲットサーバが過負荷に陥ることを免れることができ
る。
【００５１】
【発明の効果】以上説明したように、本発明によれば、
分散型サービス拒絶攻撃のような悪意のあるユーザから
の高度な攻撃を検出し、悪意呼の網流入の制限や停止を
行うなど的確なアクションをとることによりターゲット
サーバが過負荷に陥ることを免れることができる。
分散型サービス拒絶攻撃のような悪意のあるユーザから
の高度な攻撃を検出し、悪意呼の網流入の制限や停止を
行うなど的確なアクションをとることによりターゲット
サーバが過負荷に陥ることを免れることができる。
【図１】本実施例の通信網の概念図。
【図２】本実施例のボーダルータの機能構成図。
【図３】本実施例の異常パケット検出手順を示す図。
【図４】本実施例の異常パケット検出手順を示す図。
【図５】本実施例のボーダルータの動作を示すフローチ
ャート。
ャート。
【図６】本実施例の図１より多くの攻撃地点を有する通
信網の概念図。
信網の概念図。
【図７】従来の通信網の概念図。
【図８】３ウェイハンドシェークを説明するための図。
【図９】ＴＣＰ／ＩＰパケットのフォーマットを示す
図。
図。
１〜４ 外部通信網
５ 通信網
１０〜１２、２０〜２２、３０〜３２、４０〜４２ ル
ータ １３、２３、３３、４３ サイト端末 ４４〜４９、５１〜５６ ボーダルータ ５７ ターゲットサーバ ５１０ ルータ基本機能 ５１１ 流入ＴＣＰ−ＳＹＮパケット計数機能 ５１２ 流入パケット異常判定機能 ５１３ Ｉ−ＢＧＰ通信機能 ５１４ ＴＣＰ−ＩＰ通信機能 ５１５ 分散型サービス拒絶攻撃検出防御部
ータ １３、２３、３３、４３ サイト端末 ４４〜４９、５１〜５６ ボーダルータ ５７ ターゲットサーバ ５１０ ルータ基本機能 ５１１ 流入ＴＣＰ−ＳＹＮパケット計数機能 ５１２ 流入パケット異常判定機能 ５１３ Ｉ−ＢＧＰ通信機能 ５１４ ＴＣＰ−ＩＰ通信機能 ５１５ 分散型サービス拒絶攻撃検出防御部
─────────────────────────────────────────────────────
フロントページの続き
(72)発明者 山中 直明
東京都千代田区大手町二丁目３番１号 日
本電信電話株式会社内
(72)発明者 宇賀 雅則
東京都千代田区大手町二丁目３番１号 日
本電信電話株式会社内
Ｆターム(参考） 5K030 GA15 HA08 HB08 HC01 HD03
HD06 LC13 MB09
Claims (17)
- 【請求項１】 複数の外部通信網にそれぞれ接続された
複数のボーダルータを備えた通信網において、 前記ボーダルータは、自通信網に流入するコネクション
確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段
を備え、 この監視する手段は、 同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個
数を計数する手段と、 この計数する手段の計数結果を他ボーダルータに通知す
る手段と、 他ボーダルータからの前記計数する手段の計数結果を受
け取る手段と、 この受け取る手段により受け取った他ボーダルータにお
ける計数結果および前記計数する手段による自ボーダル
ータの計数結果に基づき計数結果を集計する手段とを備
え、 この集計する手段は、 前記計数結果の所定時間内の増加率を検出する手段と、 この検出する手段の検出結果が閾値を超えるときには前
記同一宛先アドレスの情報を含む警報を発出する手段と
を備えたことを特徴とする通信網。 - 【請求項２】 前記集計する手段は、集計された同一宛
先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元ア
ドレスを特定する手段を備え、 前記警報を発出する手段は、前記検出する手段の検出結
果が閾値を超えるときには当該特定する手段により特定
された送信元アドレスの情報を前記警報に書込む手段を
備えた請求項１記載の通信網。 - 【請求項３】 前記警報を発出する手段から発出された
警報に基づき当該警報に含まれる前記同一宛先アドレス
または前記送信元アドレスを有するＴＣＰ−ＳＹＮパケ
ットの当該通信網への流入を抑制する手段を備えた請求
項１または２記載の通信網。 - 【請求項４】 前記通知する手段および前記受け取る手
段は、Ｉ−ＢＧＰ(Internet-Border Gateway Protocol)
を用いて前記計数結果を送受信する手段を備えた請求項
１記載の通信網。 - 【請求項５】 外部通信網に接続され、 自通信網に流入するコネクション確立要求を含むＴＣＰ
−ＳＹＮパケットを監視する手段を備え、 この監視する手段は、 同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個
数を計数する手段と、 この計数する手段の計数結果を他ボーダルータに通知す
る手段と、 他ボーダルータからの前記計数する手段の計数結果を受
け取る手段と、 この受け取る手段により受け取った他ボーダルータにお
ける計数結果および前記計数する手段による自ボーダル
ータの計数結果に基づき計数結果を集計する手段とを備
え、 この集計する手段は、 前記計数結果の所定時間内の増加率を検出する手段と、 この検出する手段の検出結果が閾値を超えるときには前
記同一宛先アドレスの情報を含む警報を発出する手段と
を備えたことを特徴とするルータ。 - 【請求項６】 前記集計する手段は、集計された同一宛
先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元ア
ドレスを特定する手段を備え、 前記警報を発出する手段は、前記検出する手段の検出結
果が閾値を超えるときには当該特定する手段により特定
された送信元アドレスの情報を前記警報に書込む手段を
備えた請求項５記載のルータ。 - 【請求項７】 前記警報を発出する手段から発出された
警報に基づき当該警報に含まれる前記同一宛先アドレス
または前記送信元アドレスを有するＴＣＰ−ＳＹＮパケ
ットの当該通信網への流入を抑制する手段を備えた請求
項５または６記載のルータ。 - 【請求項８】 前記通知する手段および前記受け取る手
段は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する手
段を備えた請求項５記載のルータ。 - 【請求項９】 情報処理装置にインストールすることに
より、その情報処理装置に、 外部通信網に接続されたルータを制御する装置に相応す
る機能として、 自通信網に流入するコネクション確立要求を含むＴＣＰ
−ＳＹＮパケットを監視する機能を実現させ、 この監視する機能として、 同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個
数を計数する機能と、 この計数する機能の計数結果を他ボーダルータに通知す
る機能と、 他ボーダルータからの前記計数する機能の計数結果を受
け取る機能と、 この受け取る機能により受け取った他ボーダルータにお
ける計数結果および前記計数する機能による自ボーダル
ータの計数結果に基づき計数結果を集計する機能とを実
現させ、 この集計する機能として、 前記計数結果の所定時間内の増加率を検出する機能と、 この検出する機能の検出結果が閾値を超えるときには前
記同一宛先アドレスの情報を含む警報を発出する機能と
を実現させることを特徴とするプログラム。 - 【請求項１０】 前記集計する機能として、集計された
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送
信元アドレスを特定する機能を実現させ、 前記警報を発出する機能として、前記検出する機能の検
出結果が閾値を超えるときには当該特定する機能により
特定された送信元アドレスの情報を前記警報に書込む機
能を実現させる請求項９記載のプログラム。 - 【請求項１１】 前記警報を発出する機能から発出され
た警報に基づき当該警報に含まれる前記同一宛先アドレ
スまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパ
ケットの当該通信網への流入を抑制する機能を実現させ
る請求項９または１０記載のプログラム。 - 【請求項１２】 前記通知する機能および前記受け取る
機能として、Ｉ−ＢＧＰを用いて前記計数結果を送受信
する機能を実現させる請求項９記載のプログラム。 - 【請求項１３】 請求項９ないし１２のいずれかに記載
のプログラムが記録された前記情報処理装置読取可能な
記録媒体。 - 【請求項１４】 複数の外部通信網にそれぞれ接続され
た複数のボーダルータを備えた通信網に適用される分散
型サービス拒絶攻撃（ＤＤＯＳＡ:DistributedDenial o
f Services Attack）検出防御方法において、 前記ボーダルータにより、自通信網に流入するコネクシ
ョン確立要求を含むＴＣＰ−ＳＹＮパケットを監視し、
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個
数を計数し、この計数結果を他ボーダルータに通知する
とともに他ボーダルータからの計数結果を受け取り、こ
の受け取った他ボーダルータにおける計数結果および自
ボーダルータの計数結果に基づき計数結果を集計し、こ
の計数結果の所定時間内の増加率を検出し、この検出結
果が閾値を超えるときには前記同一宛先アドレスの情報
を含む警報を発出することを特徴とする分散型サービス
拒絶攻撃検出防御方法。 - 【請求項１５】 集計された同一宛先アドレスを有する
ＴＣＰ−ＳＹＮパケットの送信元アドレスを特定し、警
報を発出する際には、この特定された送信元アドレスの
情報を前記警報に書込む請求項１４記載の分散型サービ
ス拒絶攻撃検出防御方法。 - 【請求項１６】 発出された警報に基づき当該警報に含
まれる前記同一宛先アドレスまたは前記送信元アドレス
を有するＴＣＰ−ＳＹＮパケットの当該通信網への流入
を抑制する請求項１４または１５記載の分散型サービス
拒絶攻撃検出防御方法。 - 【請求項１７】 前記ボーダルータ相互間では、Ｉ−Ｂ
ＧＰを用いて前記計数結果を送受信する請求項１４記載
の分散型サービス拒絶攻撃検出防御方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002091785A JP3643087B2 (ja) | 2002-03-28 | 2002-03-28 | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002091785A JP3643087B2 (ja) | 2002-03-28 | 2002-03-28 | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003289337A true JP2003289337A (ja) | 2003-10-10 |
| JP3643087B2 JP3643087B2 (ja) | 2005-04-27 |
Family
ID=29236786
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002091785A Expired - Fee Related JP3643087B2 (ja) | 2002-03-28 | 2002-03-28 | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3643087B2 (ja) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005252808A (ja) * | 2004-03-05 | 2005-09-15 | Fujitsu Ltd | 不正アクセス阻止方法、装置及びシステム並びにプログラム |
| JP2006013737A (ja) * | 2004-06-24 | 2006-01-12 | Fujitsu Ltd | 異常トラヒック除去装置 |
| WO2006051594A1 (ja) * | 2004-11-11 | 2006-05-18 | Mitsubishi Denki Kabushiki Kaisha | 通信ネットワークにおけるｉｐパケット中継方法およびゲートウエイ装置 |
| JP2006238043A (ja) * | 2005-02-24 | 2006-09-07 | Mitsubishi Electric Corp | ネットワーク異常検出装置 |
| JP2008311722A (ja) * | 2007-06-12 | 2008-12-25 | Nextgen Inc | 呼制御装置及び呼制御方法 |
| US7568232B2 (en) | 2004-05-27 | 2009-07-28 | Fujitsu Limited | Malicious access-detecting apparatus, malicious access-detecting method, malicious access-detecting program, and distributed denial-of-service attack-detecting apparatus |
| US7733844B2 (en) | 2004-05-26 | 2010-06-08 | Kabushiki Kaisha Toshiba | Packet filtering apparatus, packet filtering method, and computer program product |
| KR101343693B1 (ko) | 2007-02-05 | 2013-12-20 | 주식회사 엘지씨엔에스 | 네트워크 보안시스템 및 그 처리방법 |
| JP2016163180A (ja) * | 2015-03-02 | 2016-09-05 | 日本電気株式会社 | 通信システム、通信方法、及びプログラム |
| WO2019240054A1 (ja) * | 2018-06-11 | 2019-12-19 | 国立大学法人 東京大学 | 通信装置、パケット処理方法及びプログラム |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001057554A (ja) * | 1999-08-17 | 2001-02-27 | Yoshimi Baba | クラッカー監視システム |
| JP2002073433A (ja) * | 2000-08-28 | 2002-03-12 | Mitsubishi Electric Corp | 侵入検知装置及び不正侵入対策管理システム及び侵入検知方法 |
| JP2002252654A (ja) * | 2001-02-23 | 2002-09-06 | Mitsubishi Electric Corp | 侵入検出装置およびシステムならびにルータ |
-
2002
- 2002-03-28 JP JP2002091785A patent/JP3643087B2/ja not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001057554A (ja) * | 1999-08-17 | 2001-02-27 | Yoshimi Baba | クラッカー監視システム |
| JP2002073433A (ja) * | 2000-08-28 | 2002-03-12 | Mitsubishi Electric Corp | 侵入検知装置及び不正侵入対策管理システム及び侵入検知方法 |
| JP2002252654A (ja) * | 2001-02-23 | 2002-09-06 | Mitsubishi Electric Corp | 侵入検出装置およびシステムならびにルータ |
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005252808A (ja) * | 2004-03-05 | 2005-09-15 | Fujitsu Ltd | 不正アクセス阻止方法、装置及びシステム並びにプログラム |
| US7457965B2 (en) | 2004-03-05 | 2008-11-25 | Fujitsu Limited | Unauthorized access blocking apparatus, method, program and system |
| JP4480422B2 (ja) * | 2004-03-05 | 2010-06-16 | 富士通株式会社 | 不正アクセス阻止方法、装置及びシステム並びにプログラム |
| US7733844B2 (en) | 2004-05-26 | 2010-06-08 | Kabushiki Kaisha Toshiba | Packet filtering apparatus, packet filtering method, and computer program product |
| US7568232B2 (en) | 2004-05-27 | 2009-07-28 | Fujitsu Limited | Malicious access-detecting apparatus, malicious access-detecting method, malicious access-detecting program, and distributed denial-of-service attack-detecting apparatus |
| JP2006013737A (ja) * | 2004-06-24 | 2006-01-12 | Fujitsu Ltd | 異常トラヒック除去装置 |
| WO2006051594A1 (ja) * | 2004-11-11 | 2006-05-18 | Mitsubishi Denki Kabushiki Kaisha | 通信ネットワークにおけるｉｐパケット中継方法およびゲートウエイ装置 |
| JP2006238043A (ja) * | 2005-02-24 | 2006-09-07 | Mitsubishi Electric Corp | ネットワーク異常検出装置 |
| JP4490307B2 (ja) * | 2005-02-24 | 2010-06-23 | 三菱電機株式会社 | ネットワーク異常検出装置及びコンピュータプログラム及びネットワーク異常検出方法 |
| KR101343693B1 (ko) | 2007-02-05 | 2013-12-20 | 주식회사 엘지씨엔에스 | 네트워크 보안시스템 및 그 처리방법 |
| JP2008311722A (ja) * | 2007-06-12 | 2008-12-25 | Nextgen Inc | 呼制御装置及び呼制御方法 |
| JP2016163180A (ja) * | 2015-03-02 | 2016-09-05 | 日本電気株式会社 | 通信システム、通信方法、及びプログラム |
| US10313238B2 (en) | 2015-03-02 | 2019-06-04 | Nec Corporation | Communication system, communication method, and non-transitiory computer readable medium storing program |
| WO2019240054A1 (ja) * | 2018-06-11 | 2019-12-19 | 国立大学法人 東京大学 | 通信装置、パケット処理方法及びプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3643087B2 (ja) | 2005-04-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7870611B2 (en) | System method and apparatus for service attack detection on a network | |
| US7921460B1 (en) | Rate limiting data traffic in a network | |
| US7246376B2 (en) | Method and apparatus for security management in a networked environment | |
| US20110138463A1 (en) | Method and system for ddos traffic detection and traffic mitigation using flow statistics | |
| US6973040B1 (en) | Method of maintaining lists of network characteristics | |
| US7930740B2 (en) | System and method for detection and mitigation of distributed denial of service attacks | |
| EP2792178B1 (en) | Method for detection of persistent malware on a network node | |
| US9083737B2 (en) | Mitigating threats in a network | |
| US20090240804A1 (en) | Method and apparatus for preventing igmp packet attack | |
| Huang et al. | Countering denial-of-service attacks using congestion triggered packet sampling and filtering | |
| KR20120060655A (ko) | 서버 공격을 탐지할 수 있는 라우팅 장치와 라우팅 방법 및 이를 이용한 네트워크 | |
| US20050120090A1 (en) | Device, method and program for band control | |
| KR101352553B1 (ko) | 플로우별 통계정보를 이용한 분산 서비스 거부 공격(ｄｄｏｓ) 탐지 및 트래픽 경감 방법 및 그 시스템 | |
| JP2003289337A (ja) | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 | |
| JP4278593B2 (ja) | アプリケーション型サービス不能攻撃に対する防御方法およびエッジ・ルータ | |
| JP2005086520A (ja) | クライアントサーバ型サービスにおける輻輳制御システム | |
| WO2019096104A1 (zh) | 攻击防范 | |
| JP2007259223A (ja) | ネットワークにおける不正アクセスに対する防御システム、方法およびそのためのプログラム | |
| US8646081B1 (en) | Method and system to detect a security event in a packet flow and block the packet flow at an egress point in a communication network | |
| JP4322179B2 (ja) | サービス拒絶攻撃防御方法およびシステム | |
| Hayashi et al. | Method for detecting low-rate attacks on basis of burst-state duration using quick packet-matching function | |
| JP4602158B2 (ja) | サーバ装置保護システム | |
| KR101466895B1 (ko) | VoIP 불법 검출 방법, 이를 수행하는 VoIP 불법 검출 장치 및 이를 저장하는 기록매체 | |
| WO2019035488A1 (ja) | 制御装置、通信システム、制御方法及びコンピュータプログラム | |
| JP2004120498A (ja) | 違法トラヒック防止システムおよびサーバおよびエッジルータ |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050119 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050125 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050126 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080204 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090204 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090204 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100204 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110204 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110204 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120204 Year of fee payment: 7 |
|
| LAPS | Cancellation because of no payment of annual fees |