JP3643087B2 - 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 - Google Patents
通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 Download PDFInfo
- Publication number
- JP3643087B2 JP3643087B2 JP2002091785A JP2002091785A JP3643087B2 JP 3643087 B2 JP3643087 B2 JP 3643087B2 JP 2002091785 A JP2002091785 A JP 2002091785A JP 2002091785 A JP2002091785 A JP 2002091785A JP 3643087 B2 JP3643087 B2 JP 3643087B2
- Authority
- JP
- Japan
- Prior art keywords
- counting
- function
- tcp
- alarm
- communication network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明はＩＰ通信網におけるＤＯＳ攻撃(Denial of Services attack)に対処するインターネットセキュリティ向上技術の分野に属する。
【０００２】
【従来の技術】
分散型サービス拒絶攻撃（ＤＤＯＳＡ:Distributed Denial of Services Attack）について、図７ないし図９を参照して説明する。図７は従来の通信網の概念図である。図８は３ウェイハンドシェークを説明するための図である。図９はＴＣＰ／ＩＰパケットのフォーマットを示す図である。１〜４は外部通信網で、外部通信網１にはルータ１０〜１２が、外部通信網２にはルータ２０〜２２が、外部通信網３にはルータ３０〜３２が、外部通信網４にはルータ４０〜４２がそれぞれ属している。
【０００３】
ボーダルータ４４〜４９が通信網５によりそれぞれ結ばれている。分散型サービス拒絶攻撃をしかける悪意のあるユーザは複数の分散したサイト端末１３および２３から外部通信網１内のルータ１０および外部通信網２内のルータ２０を経由して通信網５内のターゲットサーバ５７に、ＴＣＰ−ＳＹＮ（コネクション確立要求）パケット攻撃を一斉にしかける。
【０００４】
これらのＴＣＰ−ＳＹＮパケットがそれぞれ図８に示す３ウェイハンドシェークでＴＣＰセッション確立を試み、この３ウェイハンドシェークのセッション途中で悪意のあるユーザのサイト端末１３側あるいは２３側がセッション放棄する。すなわち、図８において悪意のあるユーザのサイト端末１３あるいは２３は▲２▼のＴＣＰ−ＡＣＫ（確認応答）＋ＳＹＮパケットを受信しても▲３▼のＴＣＰ−ＡＣＫパケットを出さない。これによりターゲットサーバ５７は、このＴＣＰ−ＡＣＫパケットの待ちの状態を続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を頻繁に多数受けるとターゲットサーバ５７は過負荷状態に陥りサーバ機能が停止してしまう。
【０００５】
ＴＣＰセッションの確立時におけるＴＣＰ−ＳＹＮパケットの働きおよびＴＣＰ／ＩＰパケットのフォーマットの概要を以下に説明する。図９はＴＣＰ／ＩＰパケットのフォーマット説明図である。ＴＣＰ／ＩＰパケットはＩＰ通信網の基本的な通信手順であるＴＣＰとＩＰのパケットであり、その詳しい構成がＩＰヘッダ(IP header）、ＴＣＰヘッダ(TCP header)として図９に示されている。ＩＰヘッダは宛先のサーバやルータのアドレス(Destination Address:以下ＤＡと略す)や発信元アドレス(Source Address:以下ＳＡと略す)などを含む２０Ｂｙｔｅで構成され、ＴＣＰヘッダはＳＹＮ（コネクション確立要求（ＳＹＮ＝１））やＡＣＫ（確認応答（ＡＣＫ＝１））などの制御フラグを含む２０Ｂｙｔｅ（オプション無し）の構成である。
【０００６】
図８の３ウェイハンドシェークによる通信確立を詳細に説明する。ＴＣＰ／ＩＰによるコネクションの確立はまずサイト端末１３がＴＣＰ−ＳＹＮパケット（図９でＳＹＮ＝１としたパケット）を送信先のターゲットサーバ５７に送ると（図８の▲１▼）、ターゲットサーバ５７はＴＣＰ−ＡＣＫ＋ＳＹＮパケット（図９でＡＣＫ＝１、ＳＹＮ＝１としたパケット）を送り返し（図８の▲２▼）、ここで端末が正常な端末であればＴＣＰ−ＡＣＫパケット（図９でＡＣＫ＝１としたパケット）を送り返し（図３の▲３▼）、この▲３▼の段階で“３ウェイハンドシェーク”が成立し、サイト端末１３とターゲットサーバ５７による通信が開始する段取りであるが、悪意のあるユーザのサイト端末１３がＴＣＰ−ＳＹＮパケット攻撃をする場合には▲３▼ＴＣＰ−ＡＣＫパケットを送り返さず、ターゲットサーバ５７はこのパケット待ちの状態を続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を頻繁に多数受けるとターゲットサーバ５７は過負荷状態に陥りサーバ機能が停止してしまう。
【０００７】
【発明が解決しようとする課題】
このように、分散型サービス拒絶攻撃は、悪意のあるユーザが複数の分散したサイト端末を踏み台にし、特定のＷｅｂサーバに無数のＴＣＰセッション確立を試みることで過負荷にする攻撃であり、ＴＣＰセッションの送信元が分散しているため、悪意のあるユーザのサイト端末を特定するのが困難であり、拒絶攻撃に対する対策を立てることも困難である。
【０００８】
本発明は、このような背景に行われたものであって、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができる通信網およびルータおよびプログラムおよび記録媒体および分散型サービス拒絶攻撃検出防御方法を提供することを目的とする。
【０００９】
【課題を解決するための手段】
本発明は、通信網における複数のボーダルータがＴＣＰ−ＳＹＮパケットを監視し、宛先毎にＴＣＰ−ＳＹＮパケットを計数および集計し、この集計結果を複数のボーダルータ相互間で交換することにより、これらのボーダルータを経由して当該通信網に流入するＴＣＰ−ＳＹＮパケットを監視し、同一宛先に対して異常な個数で流入するＴＣＰ−ＳＹＮパケットについては、これを分散型サービス拒絶攻撃を目的とするＴＣＰ−ＳＹＮパケットと判断してこの流入を抑制することを特徴とする。
【００１０】
すなわち、本発明の第一の観点は、複数の外部通信網にそれぞれ接続された複数のボーダルータを備えた通信網であって、本発明の特徴とするところは、前記ボーダルータは、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段を備え、この監視する手段は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する手段と、この計数する手段の計数結果を他ボーダルータに通知する手段と、他ボーダルータからの前記計数する手段の計数結果を受け取る手段と、この受け取る手段により受け取った他ボーダルータにおける計数結果および前記計数する手段による自ボーダルータの計数結果に基づき計数結果を集計する手段とを備え、この集計する手段は、前記計数結果の所定時間内の増加率を検出する手段と、この検出する手段の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する手段とを備えたところにある。
【００１１】
さらに、前記集計する手段は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する手段を備え、前記警報を発出する手段は、前記検出する手段の検出結果が閾値を超えるときには当該特定する手段により特定された送信元アドレスの情報を前記警報に書込む手段を備えることもできる。
【００１２】
前記警報を発出する手段から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する手段を備えることが望ましい。
【００１３】
これにより、分散型サービス拒絶攻撃を行っている悪意のあるユーザのサイト端末が特定できれば、宛先アドレスによるＴＣＰ−ＳＹＮパケット流入抑制とともに送信元アドレスによる流入抑制も行えるため、宛先アドレスのみによる流入抑制と比較してより確実な流入抑制効果を期待することができる。
【００１４】
例えば、宛先アドレスによるＴＣＰ−ＳＹＮパケットの流入抑制では、悪意のあるユーザのサイト端末以外の一般の端末からのＴＣＰ−ＳＹＮパケットも流入が抑制されてしまう可能性があるが、送信元アドレスによる流入抑制ができれば、悪意のあるユーザのサイト端末によるものとそうでないものとを区別して抑制することができる。さらに、このサイト端末のユーザに対して以後、このような行為を行わないように警告を送付することもできる。
【００１５】
前記通知する手段および前記受け取る手段は、Ｉ−ＢＧＰ(Internet-Border Gateway Protocol)を用いて前記計数結果を送受信する手段を備えることが望ましい。すなわち、ＴＣＰ−ＩＰはインターネット通信の基本である第３層、第４層に関する通信であるのに対し、Ｉ−ＢＧＰは動的経路プロトコルであり、ＡＳ（自立システム）内で使用する境界ゲートウェイプロトコルによる通信機能である。これにより、通常のデータ通信とは異なる独立した確実かつ速やかな通信を行うことができるので、分散型サービス拒絶攻撃を確実かつ速やかに検出して防御することができる。
【００１６】
本発明の第二の観点はルータであって、本発明の特徴とするところは、外部通信網に接続され、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段を備え、この監視する手段は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する手段と、この計数する手段の計数結果を他ボーダルータに通知する手段と、他ボーダルータからの前記計数する手段の計数結果を受け取る手段と、この受け取る手段により受け取った他ボーダルータにおける計数結果および前記計数する手段による自ボーダルータの計数結果に基づき計数結果を集計する手段とを備え、この集計する手段は、前記計数結果の所定時間内の増加率を検出する手段と、この検出する手段の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する手段とを備えたところにある。
【００１７】
前記集計する手段は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する手段を備え、前記警報を発出する手段は、前記検出する手段の検出結果が閾値を超えるときには当該特定する手段により特定された送信元アドレスの情報を前記警報に書込む手段を備えることもできる。
【００１８】
前記警報を発出する手段から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する手段を備えることが望ましい。
【００１９】
前記通知する手段および前記受け取る手段は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する手段を備えることが望ましい。
【００２０】
本発明の第三の観点はプログラムであって、本発明の特徴とするところは、情報処理装置にインストールすることにより、その情報処理装置に、外部通信網に接続されたルータを制御する装置に相応する機能として、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する機能を実現させ、この監視する機能として、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する機能と、この計数する機能の計数結果を他ボーダルータに通知する機能と、他ボーダルータからの前記計数する機能の計数結果を受け取る機能と、この受け取る機能により受け取った他ボーダルータにおける計数結果および前記計数する機能による自ボーダルータの計数結果に基づき計数結果を集計する機能とを実現させ、この集計する機能として、前記計数結果の所定時間内の増加率を検出する機能と、この検出する機能の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する機能とを実現させるところにある。
【００２１】
前記集計する機能として、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する機能を実現させ、前記警報を発出する機能として、前記検出する機能の検出結果が閾値を超えるときには当該特定する機能により特定された送信元アドレスの情報を前記警報に書込む機能を実現させることもできる。
【００２２】
前記警報を発出する機能から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する機能を実現させることが望ましい。
【００２３】
前記通知する機能および前記受け取る機能として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する機能を実現させることが望ましい。
【００２４】
本発明の第四の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００２５】
これにより、コンピュータ装置等の情報処理装置を用いて、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができるルータを備えた通信網を実現することができる。
【００２６】
本発明の第五の観点は、複数の外部通信網にそれぞれ接続された複数のボーダルータを備えた通信網に適用される分散型サービス拒絶攻撃検出防御方法であって、本発明の特徴とするところは、前記ボーダルータにより、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視し、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数し、この計数結果を他ボーダルータに通知するとともに他ボーダルータからの計数結果を受け取り、この受け取った他ボーダルータにおける計数結果および自ボーダルータの計数結果に基づき計数結果を集計し、この計数結果の所定時間内の増加率を検出し、この検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出するところにある。
【００２７】
集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定し、警報を発出する際には、この特定された送信元アドレスの情報を前記警報に書込むこともできる。
【００２８】
発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制することが望ましい。
【００２９】
前記ボーダルータ相互間では、Ｉ−ＢＧＰを用いて前記計数結果を送受信することが望ましい。
【００３０】
【発明の実施の形態】
本発明実施例の通信網を図１ないし図６を参照して説明する。図１は本実施例の通信網の概念図である。図２は本実施例のボーダルータの機能構成図である。図３および図４は本実施例の異常パケット検出手順を示す図である。図５は本実施例のボーダルータの動作を示すフローチャートである。図６は本実施例の図１より多くの攻撃地点を有する通信網の概念図である。
【００３１】
本実施例は、図１に示すように、複数の外部通信網１〜４にそれぞれ接続された複数のボーダルータ５１〜５６を備えた通信網５であって、本実施例の特徴とするところは、ボーダルータ５１〜５６は、図２に示すように、自通信網５に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する分散型サービス拒絶攻撃検出防御部５１５を備え、この分散型サービス拒絶攻撃検出防御部５１５は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する流入ＴＣＰ−ＳＹＮパケット計数機能５１１と、この流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を他ボーダルータに通知するとともに、他ボーダルータからの流入ＴＣＰ−ＳＹＮパケット計数機能５１１による前記計数結果を受け取るＩ−ＢＧＰ通信機能５１３と、このＩ−ＢＧＰ通信機能５１３により受け取った他ボーダルータにおける計数結果および流入ＴＣＰ−ＳＹＮパケット計数機能５１１による自ボーダルータの計数結果に基づき計数結果を集計する流入パケット異常判定機能５１２とを備え、この流入パケット異常判定機能５１２は、前記計数結果の所定時間内の増加率を検出し、この検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出するところにある。
【００３２】
また、悪意のあるユーザのサイト端末が他の端末に成り代わっていない場合には、流入パケット異常判定機能５１２は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定することができ、当該特定された送信元アドレスの情報を前記警報に書込むことができる。
【００３３】
ルータ基本機能５１０は、流入パケット異常判定機能５１２から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する。
【００３４】
また、Ｉ−ＢＧＰ通信機能５１３は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する。
【００３５】
以下では、本実施例をさらに詳細に説明する。
【００３６】
本実施例の通信網５は、図１に示すように、ボーダルータ５１〜５６が通信網５に流入するＴＣＰ−ＳＹＮパケットをモニタし、宛先毎のＴＣＰ−ＳＹＮパケットを計数および集計し、全ボーダルータ５１〜５６はＴＣＰ−ＳＹＮパケットの前記集計の結果としての情報をＩ−ＢＧＰを用いて相互に交換通知しあい、悪意呼であるＴＣＰ−ＳＹＮパケットが異常に流入すると判明したボーダルータ５１および５２は送信元のサイト端末１３および２３からのターゲットサーバ５７宛のＴＣＰ−ＳＹＮパケットの流入量を抑制するかあるいは全て廃棄することでターゲットサーバ５７は過負荷の状態から解放される。
【００３７】
図２に示すように、ルータ基本機能５１０は、ＩＰパケットを宛先ホストに届けるための中継（ルーティング）機能をはじめ各種ネットワーク層（第３層）プロトコルに対応したマルチプロトコル機能を含んでいる。また、本実施例では、流入パケット異常判定機能５１２から発出される警報に基づき、ＴＣＰ−ＳＹＮパケットを廃棄する機能も備えている。
【００３８】
流入ＴＣＰ−ＳＹＮパケット計数機能５１１はＴＣＰ−ＳＹＮパケットの送信元ＩＰアドレス、宛先ＩＰアドレス、情報量、時刻に対応して当該パケット数を計数する。また、流入パケット異常判定機能５１２は、流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を時系列的に比較して単位時間当りの集計データが正常かあるいは異常かを判定する。例えば、単位時間Δｔ当り増加率が１００倍になれば異常と判定する。
【００３９】
ＴＣＰ−ＩＰ通信機能５１４はインターネット通信の基本である第３層、第４層に関する通信機能である。また、Ｉ−ＢＧＰ通信機能５１３は動的経路プロトコルであり、ＡＳ（自立システム）内で使用する境界ゲートウェイプロトコルによる通信機能である。
【００４０】
各ボーダルータ５１〜５６は通信網５に流入する全てのＴＣＰ−ＳＹＮパケットを監視しており、その監視の結果、例えば、ボーダルータ５１が悪意のあるユーザのサイト端末１３からの宛先がターゲットサーバ５７であるＴＣＰ−ＳＹＮパケットが単位時間Δｔ当り増加率で１００倍になり異常に多いと判定した場合には、当該パケットの例えば９９％を破棄し、またボーダルータ５２が悪意のあるユーザのサイト端末２３からの宛先がターゲットサーバ５７であるＴＣＰ−ＳＹＮパケットが異常に多いと判定した場合には、当該パケットの例えば９９％を破棄する。このようにしてターゲットサーバ５７が過負荷に陥ることを未然に防止できる。
【００４１】
ボーダルータ５１によるＴＣＰ−ＳＹＮパケットの監視は自らの流入ＴＣＰ−ＳＹＮパケット計数機能５１１によるデータ分とＩ−ＢＧＰ通信機能５１３により他のボーダルータ５２〜５６からＩ−ＢＧＰ動的経路プロトコルを用いて入手したデータ分とがあり、この両データ分を併せて流入パケット異常判定機能５１２で異常判定を行う。
【００４２】
図３および図４は異常パケット検出手順を示している。図３の例では、まず、流入ＴＣＰ−ＳＹＮパケット計数機能５１１により、ＴＣＰ ｆｌａｇでＳＹＮ＝１のＴＣＰ−ＳＹＮパケットを抽出し、パケットヘッダのＤＡ（宛先ＩＰアドレス）を引き出してエントリに追加し、そのエントリにマッチしたもの毎にカウントアップする。続いて、流入パケット異常判定機能５１２により、ＳＹＮパケットが集中している特定のＤＡを見つけ出す。図４の例では、ＴＣＰ−ＳＹＮパケットが集中したＤＡ＝２１８．６０．３２．１のパケットのリストアップ状況が示され、集中しているこのＤＡのリスト表上でさらに、ＳＡ（送信元ＩＰアドレス）毎に仕分けし、送信元の特定をする。このようにしてターゲットサーバがＤＡ＝２１８．６０．３２．１であり、悪意のあるユーザのサイト端末のＳＡが判明する。
【００４３】
ＤＤＯＳが巧妙な場合はＳＡ毎の仕分けは困難な場合がある。例えば悪意のあるユーザのサイト端末１３が他の外部通信網２〜３内の端末のＩＰアドレスを盗用して成り代わり端末攻撃をする場合にはＳＡ毎の仕分けは無意味となる。
【００４４】
図５は本実施例のボーダルータの動作を示すフローチャートである。
【００４５】
ステップ１：各ボーダルータ５１〜５６において流入するＴＣＰ−ＳＹＮパケットを流入ＴＣＰ−ＳＹＮパケット計数機能５１１がモニタし、ＤＡのリストを作成して計数する（図３）。モニタ計数時間は時刻（Ｔ０＋ｎΔｔ）から時刻（Ｔ０＋（ｎ＋１）Δｔ）とする（ｎ＝０，１，２，３，…）
ステップ２：各ボーダルータの流入ＴＣＰ−ＳＹＮパケット計数機能５１１は集中しているＤＡのリスト上でＳＡ毎に仕分け計数する（図４）
ステップ３：時刻（Ｔ０＋ｎΔｔ）からの単位時間Δｔの計数情報としてステップ２の出力リストの上位５位および増加率上位５位のＤＡおよびＳＡ情報をＩ−ＢＧＰ通信機能５１３により、それぞれ他のボーダルータに通知する
ステップ４：各ボーダルータ毎に流入ＴＣＰ−ＳＹＮパケット計数機能５１１はステップ２の出力情報とステップ３の出力情報とから時刻（Ｔ０＋ｎΔｔ）のΔｔの単位時間の間に全ボーダルータから流入したＴＣＰ−ＳＹＮパケットにつき、ＳＡのＩＰアドレス、ＤＡのＩＰアドレス、情報量、時刻に対応して当該パケット数を計数し、流入パケット異常判定機能５１２は、単位時間Δｔ当りの増加パケット数を集計してランクアップする
ステップ５：流入パケット異常判定機能５１２により、単位時間当りの増加率が例えば１００倍になるＳＡまたはＤＡがあるかを判定する。“ある”場合はステップ６へ、“なし”の場合はステップ４へ
ステップ６：単位時間当りの増加率が１００倍になるＳＡまたはＤＡを有するＴＣＰ−ＳＹＮパケットが流入するボーダルータのルータ基本機能５１０は流入量を抑制あるいはこのパケットを全パケット廃棄する
このようにして悪意呼によるターゲットサーバ５７の過負荷を防ぐことが可能となる。
【００４６】
また、図６に示すように、悪意のあるユーザのサイト端末はサイト端末１３、２３に加えてサイト端末３３、４３と多くの地点からターゲットサーバ５７を攻撃する場合は、宛先ＩＰアドレスがターゲットサーバ５７である悪意呼のＴＣＰ−ＳＹＮパケットが多く検出されるのは、ボーダルータ５１、５２、５４、５５であるという判定が各ボーダルータ５１〜５６でなされ、この宛先ＩＰアドレスがターゲットサーバ５７である悪意呼のＴＣＰ−ＳＹＮパケットは例えば９９％が各ボーダルータ５１、５２、５４、５５にて破棄され、ターゲットサーバ５７は過負荷を免れる。
【００４７】
本実施例のボーダルータ５１〜５６を制御する装置は情報処理装置であるコンピュータ装置を用いて実現することができる。すなわち、コンピュータ装置にインストールすることにより、そのコンピュータ装置に、外部通信網１〜４に接続されたボーダルータ５１〜５６を制御する装置に相応する機能として、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する分散型サービス拒絶攻撃検出防御部５１５に相応する機能を実現させ、この分散型サービス拒絶攻撃検出防御部５１５に相応する機能として、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する流入ＴＣＰ−ＳＹＮパケット計数機能５１１と、この流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を他ボーダルータに通知するとともに、他ボーダルータからの流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を受け取るＩ−ＢＧＰ通信機能５１３と、このＩ−ＢＧＰ通信機能５１３により受け取った他ボーダルータにおける計数結果および流入ＴＣＰ−ＳＹＮパケット計数機能５１１による自ボーダルータの計数結果に基づき計数結果を集計する流入パケット異常判定機能５１２とを実現させ、この流入パケット異常判定機能５１２として、前記計数結果の所定時間内の増加率を検出する機能と、この検出する機能の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する機能と、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する機能とを実現させ、前記警報を発出する機能として、前記検出する機能の検出結果が閾値を超えるときには当該特定する機能により特定された送信元アドレスの情報を前記警報に書込む機能を実現させ、さらに、前記警報を発出する機能から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する機能を実現させ、さらに、Ｉ−ＢＧＰ通信機能５１３として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する機能を実現させるプログラムをコンピュータ装置にインストールすることにより、そのコンピュータ装置を本実施例のボーダルータ５１〜５６を制御する装置に相応する装置とすることができる。
【００４８】
本実施例のプログラムは本実施例の記録媒体に記録されることにより、コンピュータ装置は、この記録媒体を用いて本実施例のプログラムをインストールすることができる。あるいは、本実施例のプログラムを保持するサーバからネットワークを介して直接コンピュータ装置に本実施例のプログラムをインストールすることもできる。
【００４９】
これにより、コンピュータ装置を用いて、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができるボーダルータ５１〜５６を備えた通信網５を実現することができる。
【００５０】
（実施例まとめ）
ＥＣ(Electric Commerce)が発展するにつれて、Ｗｅｂサイトの保護はセキュリティの観点から今後ますます重要となる。本実施例によれば分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の通信網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができる。
【００５１】
【発明の効果】
以上説明したように、本発明によれば、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができる。
【図面の簡単な説明】
【図１】本実施例の通信網の概念図。
【図２】本実施例のボーダルータの機能構成図。
【図３】本実施例の異常パケット検出手順を示す図。
【図４】本実施例の異常パケット検出手順を示す図。
【図５】本実施例のボーダルータの動作を示すフローチャート。
【図６】本実施例の図１より多くの攻撃地点を有する通信網の概念図。
【図７】従来の通信網の概念図。
【図８】３ウェイハンドシェークを説明するための図。
【図９】ＴＣＰ／ＩＰパケットのフォーマットを示す図。
【符号の説明】
１〜４ 外部通信網
５ 通信網
１０〜１２、２０〜２２、３０〜３２、４０〜４２ ルータ
１３、２３、３３、４３ サイト端末
４４〜４９、５１〜５６ ボーダルータ
５７ ターゲットサーバ
５１０ ルータ基本機能
５１１ 流入ＴＣＰ−ＳＹＮパケット計数機能
５１２ 流入パケット異常判定機能
５１３ Ｉ−ＢＧＰ通信機能
５１４ ＴＣＰ−ＩＰ通信機能
５１５ 分散型サービス拒絶攻撃検出防御部
【発明の属する技術分野】
本発明はＩＰ通信網におけるＤＯＳ攻撃(Denial of Services attack)に対処するインターネットセキュリティ向上技術の分野に属する。
【０００２】
【従来の技術】
分散型サービス拒絶攻撃（ＤＤＯＳＡ:Distributed Denial of Services Attack）について、図７ないし図９を参照して説明する。図７は従来の通信網の概念図である。図８は３ウェイハンドシェークを説明するための図である。図９はＴＣＰ／ＩＰパケットのフォーマットを示す図である。１〜４は外部通信網で、外部通信網１にはルータ１０〜１２が、外部通信網２にはルータ２０〜２２が、外部通信網３にはルータ３０〜３２が、外部通信網４にはルータ４０〜４２がそれぞれ属している。
【０００３】
ボーダルータ４４〜４９が通信網５によりそれぞれ結ばれている。分散型サービス拒絶攻撃をしかける悪意のあるユーザは複数の分散したサイト端末１３および２３から外部通信網１内のルータ１０および外部通信網２内のルータ２０を経由して通信網５内のターゲットサーバ５７に、ＴＣＰ−ＳＹＮ（コネクション確立要求）パケット攻撃を一斉にしかける。
【０００４】
これらのＴＣＰ−ＳＹＮパケットがそれぞれ図８に示す３ウェイハンドシェークでＴＣＰセッション確立を試み、この３ウェイハンドシェークのセッション途中で悪意のあるユーザのサイト端末１３側あるいは２３側がセッション放棄する。すなわち、図８において悪意のあるユーザのサイト端末１３あるいは２３は▲２▼のＴＣＰ−ＡＣＫ（確認応答）＋ＳＹＮパケットを受信しても▲３▼のＴＣＰ−ＡＣＫパケットを出さない。これによりターゲットサーバ５７は、このＴＣＰ−ＡＣＫパケットの待ちの状態を続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を頻繁に多数受けるとターゲットサーバ５７は過負荷状態に陥りサーバ機能が停止してしまう。
【０００５】
ＴＣＰセッションの確立時におけるＴＣＰ−ＳＹＮパケットの働きおよびＴＣＰ／ＩＰパケットのフォーマットの概要を以下に説明する。図９はＴＣＰ／ＩＰパケットのフォーマット説明図である。ＴＣＰ／ＩＰパケットはＩＰ通信網の基本的な通信手順であるＴＣＰとＩＰのパケットであり、その詳しい構成がＩＰヘッダ(IP header）、ＴＣＰヘッダ(TCP header)として図９に示されている。ＩＰヘッダは宛先のサーバやルータのアドレス(Destination Address:以下ＤＡと略す)や発信元アドレス(Source Address:以下ＳＡと略す)などを含む２０Ｂｙｔｅで構成され、ＴＣＰヘッダはＳＹＮ（コネクション確立要求（ＳＹＮ＝１））やＡＣＫ（確認応答（ＡＣＫ＝１））などの制御フラグを含む２０Ｂｙｔｅ（オプション無し）の構成である。
【０００６】
図８の３ウェイハンドシェークによる通信確立を詳細に説明する。ＴＣＰ／ＩＰによるコネクションの確立はまずサイト端末１３がＴＣＰ−ＳＹＮパケット（図９でＳＹＮ＝１としたパケット）を送信先のターゲットサーバ５７に送ると（図８の▲１▼）、ターゲットサーバ５７はＴＣＰ−ＡＣＫ＋ＳＹＮパケット（図９でＡＣＫ＝１、ＳＹＮ＝１としたパケット）を送り返し（図８の▲２▼）、ここで端末が正常な端末であればＴＣＰ−ＡＣＫパケット（図９でＡＣＫ＝１としたパケット）を送り返し（図３の▲３▼）、この▲３▼の段階で“３ウェイハンドシェーク”が成立し、サイト端末１３とターゲットサーバ５７による通信が開始する段取りであるが、悪意のあるユーザのサイト端末１３がＴＣＰ−ＳＹＮパケット攻撃をする場合には▲３▼ＴＣＰ−ＡＣＫパケットを送り返さず、ターゲットサーバ５７はこのパケット待ちの状態を続けるので、このようなＴＣＰ−ＳＹＮパケット攻撃を頻繁に多数受けるとターゲットサーバ５７は過負荷状態に陥りサーバ機能が停止してしまう。
【０００７】
【発明が解決しようとする課題】
このように、分散型サービス拒絶攻撃は、悪意のあるユーザが複数の分散したサイト端末を踏み台にし、特定のＷｅｂサーバに無数のＴＣＰセッション確立を試みることで過負荷にする攻撃であり、ＴＣＰセッションの送信元が分散しているため、悪意のあるユーザのサイト端末を特定するのが困難であり、拒絶攻撃に対する対策を立てることも困難である。
【０００８】
本発明は、このような背景に行われたものであって、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができる通信網およびルータおよびプログラムおよび記録媒体および分散型サービス拒絶攻撃検出防御方法を提供することを目的とする。
【０００９】
【課題を解決するための手段】
本発明は、通信網における複数のボーダルータがＴＣＰ−ＳＹＮパケットを監視し、宛先毎にＴＣＰ−ＳＹＮパケットを計数および集計し、この集計結果を複数のボーダルータ相互間で交換することにより、これらのボーダルータを経由して当該通信網に流入するＴＣＰ−ＳＹＮパケットを監視し、同一宛先に対して異常な個数で流入するＴＣＰ−ＳＹＮパケットについては、これを分散型サービス拒絶攻撃を目的とするＴＣＰ−ＳＹＮパケットと判断してこの流入を抑制することを特徴とする。
【００１０】
すなわち、本発明の第一の観点は、複数の外部通信網にそれぞれ接続された複数のボーダルータを備えた通信網であって、本発明の特徴とするところは、前記ボーダルータは、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段を備え、この監視する手段は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する手段と、この計数する手段の計数結果を他ボーダルータに通知する手段と、他ボーダルータからの前記計数する手段の計数結果を受け取る手段と、この受け取る手段により受け取った他ボーダルータにおける計数結果および前記計数する手段による自ボーダルータの計数結果に基づき計数結果を集計する手段とを備え、この集計する手段は、前記計数結果の所定時間内の増加率を検出する手段と、この検出する手段の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する手段とを備えたところにある。
【００１１】
さらに、前記集計する手段は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する手段を備え、前記警報を発出する手段は、前記検出する手段の検出結果が閾値を超えるときには当該特定する手段により特定された送信元アドレスの情報を前記警報に書込む手段を備えることもできる。
【００１２】
前記警報を発出する手段から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する手段を備えることが望ましい。
【００１３】
これにより、分散型サービス拒絶攻撃を行っている悪意のあるユーザのサイト端末が特定できれば、宛先アドレスによるＴＣＰ−ＳＹＮパケット流入抑制とともに送信元アドレスによる流入抑制も行えるため、宛先アドレスのみによる流入抑制と比較してより確実な流入抑制効果を期待することができる。
【００１４】
例えば、宛先アドレスによるＴＣＰ−ＳＹＮパケットの流入抑制では、悪意のあるユーザのサイト端末以外の一般の端末からのＴＣＰ−ＳＹＮパケットも流入が抑制されてしまう可能性があるが、送信元アドレスによる流入抑制ができれば、悪意のあるユーザのサイト端末によるものとそうでないものとを区別して抑制することができる。さらに、このサイト端末のユーザに対して以後、このような行為を行わないように警告を送付することもできる。
【００１５】
前記通知する手段および前記受け取る手段は、Ｉ−ＢＧＰ(Internet-Border Gateway Protocol)を用いて前記計数結果を送受信する手段を備えることが望ましい。すなわち、ＴＣＰ−ＩＰはインターネット通信の基本である第３層、第４層に関する通信であるのに対し、Ｉ−ＢＧＰは動的経路プロトコルであり、ＡＳ（自立システム）内で使用する境界ゲートウェイプロトコルによる通信機能である。これにより、通常のデータ通信とは異なる独立した確実かつ速やかな通信を行うことができるので、分散型サービス拒絶攻撃を確実かつ速やかに検出して防御することができる。
【００１６】
本発明の第二の観点はルータであって、本発明の特徴とするところは、外部通信網に接続され、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段を備え、この監視する手段は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する手段と、この計数する手段の計数結果を他ボーダルータに通知する手段と、他ボーダルータからの前記計数する手段の計数結果を受け取る手段と、この受け取る手段により受け取った他ボーダルータにおける計数結果および前記計数する手段による自ボーダルータの計数結果に基づき計数結果を集計する手段とを備え、この集計する手段は、前記計数結果の所定時間内の増加率を検出する手段と、この検出する手段の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する手段とを備えたところにある。
【００１７】
前記集計する手段は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する手段を備え、前記警報を発出する手段は、前記検出する手段の検出結果が閾値を超えるときには当該特定する手段により特定された送信元アドレスの情報を前記警報に書込む手段を備えることもできる。
【００１８】
前記警報を発出する手段から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する手段を備えることが望ましい。
【００１９】
前記通知する手段および前記受け取る手段は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する手段を備えることが望ましい。
【００２０】
本発明の第三の観点はプログラムであって、本発明の特徴とするところは、情報処理装置にインストールすることにより、その情報処理装置に、外部通信網に接続されたルータを制御する装置に相応する機能として、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する機能を実現させ、この監視する機能として、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する機能と、この計数する機能の計数結果を他ボーダルータに通知する機能と、他ボーダルータからの前記計数する機能の計数結果を受け取る機能と、この受け取る機能により受け取った他ボーダルータにおける計数結果および前記計数する機能による自ボーダルータの計数結果に基づき計数結果を集計する機能とを実現させ、この集計する機能として、前記計数結果の所定時間内の増加率を検出する機能と、この検出する機能の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する機能とを実現させるところにある。
【００２１】
前記集計する機能として、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する機能を実現させ、前記警報を発出する機能として、前記検出する機能の検出結果が閾値を超えるときには当該特定する機能により特定された送信元アドレスの情報を前記警報に書込む機能を実現させることもできる。
【００２２】
前記警報を発出する機能から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する機能を実現させることが望ましい。
【００２３】
前記通知する機能および前記受け取る機能として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する機能を実現させることが望ましい。
【００２４】
本発明の第四の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００２５】
これにより、コンピュータ装置等の情報処理装置を用いて、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができるルータを備えた通信網を実現することができる。
【００２６】
本発明の第五の観点は、複数の外部通信網にそれぞれ接続された複数のボーダルータを備えた通信網に適用される分散型サービス拒絶攻撃検出防御方法であって、本発明の特徴とするところは、前記ボーダルータにより、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視し、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数し、この計数結果を他ボーダルータに通知するとともに他ボーダルータからの計数結果を受け取り、この受け取った他ボーダルータにおける計数結果および自ボーダルータの計数結果に基づき計数結果を集計し、この計数結果の所定時間内の増加率を検出し、この検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出するところにある。
【００２７】
集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定し、警報を発出する際には、この特定された送信元アドレスの情報を前記警報に書込むこともできる。
【００２８】
発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制することが望ましい。
【００２９】
前記ボーダルータ相互間では、Ｉ−ＢＧＰを用いて前記計数結果を送受信することが望ましい。
【００３０】
【発明の実施の形態】
本発明実施例の通信網を図１ないし図６を参照して説明する。図１は本実施例の通信網の概念図である。図２は本実施例のボーダルータの機能構成図である。図３および図４は本実施例の異常パケット検出手順を示す図である。図５は本実施例のボーダルータの動作を示すフローチャートである。図６は本実施例の図１より多くの攻撃地点を有する通信網の概念図である。
【００３１】
本実施例は、図１に示すように、複数の外部通信網１〜４にそれぞれ接続された複数のボーダルータ５１〜５６を備えた通信網５であって、本実施例の特徴とするところは、ボーダルータ５１〜５６は、図２に示すように、自通信網５に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する分散型サービス拒絶攻撃検出防御部５１５を備え、この分散型サービス拒絶攻撃検出防御部５１５は、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する流入ＴＣＰ−ＳＹＮパケット計数機能５１１と、この流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を他ボーダルータに通知するとともに、他ボーダルータからの流入ＴＣＰ−ＳＹＮパケット計数機能５１１による前記計数結果を受け取るＩ−ＢＧＰ通信機能５１３と、このＩ−ＢＧＰ通信機能５１３により受け取った他ボーダルータにおける計数結果および流入ＴＣＰ−ＳＹＮパケット計数機能５１１による自ボーダルータの計数結果に基づき計数結果を集計する流入パケット異常判定機能５１２とを備え、この流入パケット異常判定機能５１２は、前記計数結果の所定時間内の増加率を検出し、この検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出するところにある。
【００３２】
また、悪意のあるユーザのサイト端末が他の端末に成り代わっていない場合には、流入パケット異常判定機能５１２は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定することができ、当該特定された送信元アドレスの情報を前記警報に書込むことができる。
【００３３】
ルータ基本機能５１０は、流入パケット異常判定機能５１２から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する。
【００３４】
また、Ｉ−ＢＧＰ通信機能５１３は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する。
【００３５】
以下では、本実施例をさらに詳細に説明する。
【００３６】
本実施例の通信網５は、図１に示すように、ボーダルータ５１〜５６が通信網５に流入するＴＣＰ−ＳＹＮパケットをモニタし、宛先毎のＴＣＰ−ＳＹＮパケットを計数および集計し、全ボーダルータ５１〜５６はＴＣＰ−ＳＹＮパケットの前記集計の結果としての情報をＩ−ＢＧＰを用いて相互に交換通知しあい、悪意呼であるＴＣＰ−ＳＹＮパケットが異常に流入すると判明したボーダルータ５１および５２は送信元のサイト端末１３および２３からのターゲットサーバ５７宛のＴＣＰ−ＳＹＮパケットの流入量を抑制するかあるいは全て廃棄することでターゲットサーバ５７は過負荷の状態から解放される。
【００３７】
図２に示すように、ルータ基本機能５１０は、ＩＰパケットを宛先ホストに届けるための中継（ルーティング）機能をはじめ各種ネットワーク層（第３層）プロトコルに対応したマルチプロトコル機能を含んでいる。また、本実施例では、流入パケット異常判定機能５１２から発出される警報に基づき、ＴＣＰ−ＳＹＮパケットを廃棄する機能も備えている。
【００３８】
流入ＴＣＰ−ＳＹＮパケット計数機能５１１はＴＣＰ−ＳＹＮパケットの送信元ＩＰアドレス、宛先ＩＰアドレス、情報量、時刻に対応して当該パケット数を計数する。また、流入パケット異常判定機能５１２は、流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を時系列的に比較して単位時間当りの集計データが正常かあるいは異常かを判定する。例えば、単位時間Δｔ当り増加率が１００倍になれば異常と判定する。
【００３９】
ＴＣＰ−ＩＰ通信機能５１４はインターネット通信の基本である第３層、第４層に関する通信機能である。また、Ｉ−ＢＧＰ通信機能５１３は動的経路プロトコルであり、ＡＳ（自立システム）内で使用する境界ゲートウェイプロトコルによる通信機能である。
【００４０】
各ボーダルータ５１〜５６は通信網５に流入する全てのＴＣＰ−ＳＹＮパケットを監視しており、その監視の結果、例えば、ボーダルータ５１が悪意のあるユーザのサイト端末１３からの宛先がターゲットサーバ５７であるＴＣＰ−ＳＹＮパケットが単位時間Δｔ当り増加率で１００倍になり異常に多いと判定した場合には、当該パケットの例えば９９％を破棄し、またボーダルータ５２が悪意のあるユーザのサイト端末２３からの宛先がターゲットサーバ５７であるＴＣＰ−ＳＹＮパケットが異常に多いと判定した場合には、当該パケットの例えば９９％を破棄する。このようにしてターゲットサーバ５７が過負荷に陥ることを未然に防止できる。
【００４１】
ボーダルータ５１によるＴＣＰ−ＳＹＮパケットの監視は自らの流入ＴＣＰ−ＳＹＮパケット計数機能５１１によるデータ分とＩ−ＢＧＰ通信機能５１３により他のボーダルータ５２〜５６からＩ−ＢＧＰ動的経路プロトコルを用いて入手したデータ分とがあり、この両データ分を併せて流入パケット異常判定機能５１２で異常判定を行う。
【００４２】
図３および図４は異常パケット検出手順を示している。図３の例では、まず、流入ＴＣＰ−ＳＹＮパケット計数機能５１１により、ＴＣＰ ｆｌａｇでＳＹＮ＝１のＴＣＰ−ＳＹＮパケットを抽出し、パケットヘッダのＤＡ（宛先ＩＰアドレス）を引き出してエントリに追加し、そのエントリにマッチしたもの毎にカウントアップする。続いて、流入パケット異常判定機能５１２により、ＳＹＮパケットが集中している特定のＤＡを見つけ出す。図４の例では、ＴＣＰ−ＳＹＮパケットが集中したＤＡ＝２１８．６０．３２．１のパケットのリストアップ状況が示され、集中しているこのＤＡのリスト表上でさらに、ＳＡ（送信元ＩＰアドレス）毎に仕分けし、送信元の特定をする。このようにしてターゲットサーバがＤＡ＝２１８．６０．３２．１であり、悪意のあるユーザのサイト端末のＳＡが判明する。
【００４３】
ＤＤＯＳが巧妙な場合はＳＡ毎の仕分けは困難な場合がある。例えば悪意のあるユーザのサイト端末１３が他の外部通信網２〜３内の端末のＩＰアドレスを盗用して成り代わり端末攻撃をする場合にはＳＡ毎の仕分けは無意味となる。
【００４４】
図５は本実施例のボーダルータの動作を示すフローチャートである。
【００４５】
ステップ１：各ボーダルータ５１〜５６において流入するＴＣＰ−ＳＹＮパケットを流入ＴＣＰ−ＳＹＮパケット計数機能５１１がモニタし、ＤＡのリストを作成して計数する（図３）。モニタ計数時間は時刻（Ｔ０＋ｎΔｔ）から時刻（Ｔ０＋（ｎ＋１）Δｔ）とする（ｎ＝０，１，２，３，…）
ステップ２：各ボーダルータの流入ＴＣＰ−ＳＹＮパケット計数機能５１１は集中しているＤＡのリスト上でＳＡ毎に仕分け計数する（図４）
ステップ３：時刻（Ｔ０＋ｎΔｔ）からの単位時間Δｔの計数情報としてステップ２の出力リストの上位５位および増加率上位５位のＤＡおよびＳＡ情報をＩ−ＢＧＰ通信機能５１３により、それぞれ他のボーダルータに通知する
ステップ４：各ボーダルータ毎に流入ＴＣＰ−ＳＹＮパケット計数機能５１１はステップ２の出力情報とステップ３の出力情報とから時刻（Ｔ０＋ｎΔｔ）のΔｔの単位時間の間に全ボーダルータから流入したＴＣＰ−ＳＹＮパケットにつき、ＳＡのＩＰアドレス、ＤＡのＩＰアドレス、情報量、時刻に対応して当該パケット数を計数し、流入パケット異常判定機能５１２は、単位時間Δｔ当りの増加パケット数を集計してランクアップする
ステップ５：流入パケット異常判定機能５１２により、単位時間当りの増加率が例えば１００倍になるＳＡまたはＤＡがあるかを判定する。“ある”場合はステップ６へ、“なし”の場合はステップ４へ
ステップ６：単位時間当りの増加率が１００倍になるＳＡまたはＤＡを有するＴＣＰ−ＳＹＮパケットが流入するボーダルータのルータ基本機能５１０は流入量を抑制あるいはこのパケットを全パケット廃棄する
このようにして悪意呼によるターゲットサーバ５７の過負荷を防ぐことが可能となる。
【００４６】
また、図６に示すように、悪意のあるユーザのサイト端末はサイト端末１３、２３に加えてサイト端末３３、４３と多くの地点からターゲットサーバ５７を攻撃する場合は、宛先ＩＰアドレスがターゲットサーバ５７である悪意呼のＴＣＰ−ＳＹＮパケットが多く検出されるのは、ボーダルータ５１、５２、５４、５５であるという判定が各ボーダルータ５１〜５６でなされ、この宛先ＩＰアドレスがターゲットサーバ５７である悪意呼のＴＣＰ−ＳＹＮパケットは例えば９９％が各ボーダルータ５１、５２、５４、５５にて破棄され、ターゲットサーバ５７は過負荷を免れる。
【００４７】
本実施例のボーダルータ５１〜５６を制御する装置は情報処理装置であるコンピュータ装置を用いて実現することができる。すなわち、コンピュータ装置にインストールすることにより、そのコンピュータ装置に、外部通信網１〜４に接続されたボーダルータ５１〜５６を制御する装置に相応する機能として、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する分散型サービス拒絶攻撃検出防御部５１５に相応する機能を実現させ、この分散型サービス拒絶攻撃検出防御部５１５に相応する機能として、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する流入ＴＣＰ−ＳＹＮパケット計数機能５１１と、この流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を他ボーダルータに通知するとともに、他ボーダルータからの流入ＴＣＰ−ＳＹＮパケット計数機能５１１の計数結果を受け取るＩ−ＢＧＰ通信機能５１３と、このＩ−ＢＧＰ通信機能５１３により受け取った他ボーダルータにおける計数結果および流入ＴＣＰ−ＳＹＮパケット計数機能５１１による自ボーダルータの計数結果に基づき計数結果を集計する流入パケット異常判定機能５１２とを実現させ、この流入パケット異常判定機能５１２として、前記計数結果の所定時間内の増加率を検出する機能と、この検出する機能の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する機能と、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する機能とを実現させ、前記警報を発出する機能として、前記検出する機能の検出結果が閾値を超えるときには当該特定する機能により特定された送信元アドレスの情報を前記警報に書込む機能を実現させ、さらに、前記警報を発出する機能から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する機能を実現させ、さらに、Ｉ−ＢＧＰ通信機能５１３として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する機能を実現させるプログラムをコンピュータ装置にインストールすることにより、そのコンピュータ装置を本実施例のボーダルータ５１〜５６を制御する装置に相応する装置とすることができる。
【００４８】
本実施例のプログラムは本実施例の記録媒体に記録されることにより、コンピュータ装置は、この記録媒体を用いて本実施例のプログラムをインストールすることができる。あるいは、本実施例のプログラムを保持するサーバからネットワークを介して直接コンピュータ装置に本実施例のプログラムをインストールすることもできる。
【００４９】
これにより、コンピュータ装置を用いて、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができるボーダルータ５１〜５６を備えた通信網５を実現することができる。
【００５０】
（実施例まとめ）
ＥＣ(Electric Commerce)が発展するにつれて、Ｗｅｂサイトの保護はセキュリティの観点から今後ますます重要となる。本実施例によれば分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の通信網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができる。
【００５１】
【発明の効果】
以上説明したように、本発明によれば、分散型サービス拒絶攻撃のような悪意のあるユーザからの高度な攻撃を検出し、悪意呼の網流入の制限や停止を行うなど的確なアクションをとることによりターゲットサーバが過負荷に陥ることを免れることができる。
【図面の簡単な説明】
【図１】本実施例の通信網の概念図。
【図２】本実施例のボーダルータの機能構成図。
【図３】本実施例の異常パケット検出手順を示す図。
【図４】本実施例の異常パケット検出手順を示す図。
【図５】本実施例のボーダルータの動作を示すフローチャート。
【図６】本実施例の図１より多くの攻撃地点を有する通信網の概念図。
【図７】従来の通信網の概念図。
【図８】３ウェイハンドシェークを説明するための図。
【図９】ＴＣＰ／ＩＰパケットのフォーマットを示す図。
【符号の説明】
１〜４ 外部通信網
５ 通信網
１０〜１２、２０〜２２、３０〜３２、４０〜４２ ルータ
１３、２３、３３、４３ サイト端末
４４〜４９、５１〜５６ ボーダルータ
５７ ターゲットサーバ
５１０ ルータ基本機能
５１１ 流入ＴＣＰ−ＳＹＮパケット計数機能
５１２ 流入パケット異常判定機能
５１３ Ｉ−ＢＧＰ通信機能
５１４ ＴＣＰ−ＩＰ通信機能
５１５ 分散型サービス拒絶攻撃検出防御部
Claims (17)
- 複数の外部通信網にそれぞれ接続された複数のボーダルータを備えた通信網において、
前記ボーダルータは、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段を備え、
この監視する手段は、
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する手段と、
この計数する手段の計数結果を他ボーダルータに通知する手段と、
他ボーダルータからの前記計数する手段の計数結果を受け取る手段と、
この受け取る手段により受け取った他ボーダルータにおける計数結果および前記計数する手段による自ボーダルータの計数結果に基づき計数結果を集計する手段と
を備え、
この集計する手段は、
前記計数結果の所定時間内の増加率を検出する手段と、
この検出する手段の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する手段と
を備えたことを特徴とする通信網。 - 前記集計する手段は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する手段を備え、
前記警報を発出する手段は、前記検出する手段の検出結果が閾値を超えるときには当該特定する手段により特定された送信元アドレスの情報を前記警報に書込む手段を備えた
請求項１記載の通信網。 - 前記警報を発出する手段から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する手段を備えた請求項１または２記載の通信網。
- 前記通知する手段および前記受け取る手段は、Ｉ−ＢＧＰ(Internet-Border Gateway Protocol)を用いて前記計数結果を送受信する手段を備えた請求項１記載の通信網。
- 外部通信網に接続され、
自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する手段を備え、
この監視する手段は、
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する手段と、
この計数する手段の計数結果を他ボーダルータに通知する手段と、
他ボーダルータからの前記計数する手段の計数結果を受け取る手段と、
この受け取る手段により受け取った他ボーダルータにおける計数結果および前記計数する手段による自ボーダルータの計数結果に基づき計数結果を集計する手段と
を備え、
この集計する手段は、
前記計数結果の所定時間内の増加率を検出する手段と、
この検出する手段の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する手段と
を備えたことを特徴とするルータ。 - 前記集計する手段は、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する手段を備え、
前記警報を発出する手段は、前記検出する手段の検出結果が閾値を超えるときには当該特定する手段により特定された送信元アドレスの情報を前記警報に書込む手段を備えた
請求項５記載のルータ。 - 前記警報を発出する手段から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する手段を備えた請求項５または６記載のルータ。
- 前記通知する手段および前記受け取る手段は、Ｉ−ＢＧＰを用いて前記計数結果を送受信する手段を備えた請求項５記載のルータ。
- 情報処理装置にインストールすることにより、その情報処理装置に、
外部通信網に接続されたルータを制御する装置に相応する機能として、
自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視する機能を実現させ、
この監視する機能として、
同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数する機能と、
この計数する機能の計数結果を他ボーダルータに通知する機能と、
他ボーダルータからの前記計数する機能の計数結果を受け取る機能と、
この受け取る機能により受け取った他ボーダルータにおける計数結果および前記計数する機能による自ボーダルータの計数結果に基づき計数結果を集計する機能と
を実現させ、
この集計する機能として、
前記計数結果の所定時間内の増加率を検出する機能と、
この検出する機能の検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する機能と
を実現させることを特徴とするプログラム。 - 前記集計する機能として、集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定する機能を実現させ、
前記警報を発出する機能として、前記検出する機能の検出結果が閾値を超えるときには当該特定する機能により特定された送信元アドレスの情報を前記警報に書込む機能を実現させる
請求項９記載のプログラム。 - 前記警報を発出する機能から発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する機能を実現させる請求項９または１０記載のプログラム。
- 前記通知する機能および前記受け取る機能として、Ｉ−ＢＧＰを用いて前記計数結果を送受信する機能を実現させる請求項９記載のプログラム。
- 請求項９ないし１２のいずれかに記載のプログラムが記録された前記情報処理装置読取可能な記録媒体。
- 複数の外部通信網にそれぞれ接続された複数のボーダルータを備えた通信網に適用される分散型サービス拒絶攻撃（ＤＤＯＳＡ:Distributed Denial of Services Attack）検出防御方法において、前記ボーダルータにより、自通信網に流入するコネクション確立要求を含むＴＣＰ−ＳＹＮパケットを監視し、同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの個数を計数し、この計数結果を他ボーダルータに通知するとともに他ボーダルータからの計数結果を受け取り、この受け取った他ボーダルータにおける計数結果および自ボーダルータの計数結果に基づき計数結果を集計し、この計数結果の所定時間内の増加率を検出し、この検出結果が閾値を超えるときには前記同一宛先アドレスの情報を含む警報を発出する
ことを特徴とする分散型サービス拒絶攻撃検出防御方法。 - 集計された同一宛先アドレスを有するＴＣＰ−ＳＹＮパケットの送信元アドレスを特定し、警報を発出する際には、この特定された送信元アドレスの情報を前記警報に書込む
請求項１４記載の分散型サービス拒絶攻撃検出防御方法。 - 発出された警報に基づき当該警報に含まれる前記同一宛先アドレスまたは前記送信元アドレスを有するＴＣＰ−ＳＹＮパケットの当該通信網への流入を抑制する請求項１４または１５記載の分散型サービス拒絶攻撃検出防御方法。
- 前記ボーダルータ相互間では、Ｉ−ＢＧＰを用いて前記計数結果を送受信する請求項１４記載の分散型サービス拒絶攻撃検出防御方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002091785A JP3643087B2 (ja) | 2002-03-28 | 2002-03-28 | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002091785A JP3643087B2 (ja) | 2002-03-28 | 2002-03-28 | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003289337A JP2003289337A (ja) | 2003-10-10 |
| JP3643087B2 true JP3643087B2 (ja) | 2005-04-27 |
Family
ID=29236786
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002091785A Expired - Fee Related JP3643087B2 (ja) | 2002-03-28 | 2002-03-28 | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3643087B2 (ja) |
Families Citing this family (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4480422B2 (ja) * | 2004-03-05 | 2010-06-16 | 富士通株式会社 | 不正アクセス阻止方法、装置及びシステム並びにプログラム |
| JP4074266B2 (ja) | 2004-05-26 | 2008-04-09 | 株式会社東芝 | パケットフィルタリング装置、及びパケットフィルタリングプログラム |
| JP4371905B2 (ja) | 2004-05-27 | 2009-11-25 | 富士通株式会社 | 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置 |
| JP2006013737A (ja) * | 2004-06-24 | 2006-01-12 | Fujitsu Ltd | 異常トラヒック除去装置 |
| EP1814267B8 (en) * | 2004-11-11 | 2012-08-29 | Mitsubishi Electric Corporation | Ip packet relay method and gateway device in communication network |
| JP4490307B2 (ja) * | 2005-02-24 | 2010-06-23 | 三菱電機株式会社 | ネットワーク異常検出装置及びコンピュータプログラム及びネットワーク異常検出方法 |
| KR101343693B1 (ko) | 2007-02-05 | 2013-12-20 | 주식회사 엘지씨엔에스 | 네트워크 보안시스템 및 그 처리방법 |
| JP5216249B2 (ja) * | 2007-06-12 | 2013-06-19 | 株式会社 ネクストジェン | 呼制御装置及び呼制御方法 |
| JP2016163180A (ja) | 2015-03-02 | 2016-09-05 | 日本電気株式会社 | 通信システム、通信方法、及びプログラム |
| JP2019216305A (ja) * | 2018-06-11 | 2019-12-19 | 国立大学法人 東京大学 | 通信装置、パケット処理方法及びプログラム |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001057554A (ja) * | 1999-08-17 | 2001-02-27 | Yoshimi Baba | クラッカー監視システム |
| JP2002073433A (ja) * | 2000-08-28 | 2002-03-12 | Mitsubishi Electric Corp | 侵入検知装置及び不正侵入対策管理システム及び侵入検知方法 |
| JP3731111B2 (ja) * | 2001-02-23 | 2006-01-05 | 三菱電機株式会社 | 侵入検出装置およびシステムならびにルータ |
-
2002
- 2002-03-28 JP JP2002091785A patent/JP3643087B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003289337A (ja) | 2003-10-10 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7120934B2 (en) | System, method and apparatus for detecting, identifying and responding to fraudulent requests on a network | |
| US7624447B1 (en) | Using threshold lists for worm detection | |
| US7457965B2 (en) | Unauthorized access blocking apparatus, method, program and system | |
| US8156557B2 (en) | Protection against reflection distributed denial of service attacks | |
| US9288218B2 (en) | Securing an accessible computer system | |
| WO2016150253A1 (zh) | 基于sdn的ddos攻击防护方法、装置及系统 | |
| US20110138463A1 (en) | Method and system for ddos traffic detection and traffic mitigation using flow statistics | |
| US8320249B2 (en) | Method and system for controlling network access on a per-flow basis | |
| JP2006517066A (ja) | サービス妨害攻撃の軽減 | |
| KR20120060655A (ko) | 서버 공격을 탐지할 수 있는 라우팅 장치와 라우팅 방법 및 이를 이용한 네트워크 | |
| Huang et al. | Countering denial-of-service attacks using congestion triggered packet sampling and filtering | |
| JP3643087B2 (ja) | 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法 | |
| WO2002025402A2 (en) | Systems and methods that protect networks and devices against denial of service attacks | |
| KR101352553B1 (ko) | 플로우별 통계정보를 이용한 분산 서비스 거부 공격(ｄｄｏｓ) 탐지 및 트래픽 경감 방법 및 그 시스템 | |
| WO2014075485A1 (zh) | 网络地址转换技术的处理方法、nat设备及bng设备 | |
| TWI657681B (zh) | 網路流分析方法及其相關系統 | |
| JP2011151514A (ja) | トラフィック量監視システム | |
| JP4278593B2 (ja) | アプリケーション型サービス不能攻撃に対する防御方法およびエッジ・ルータ | |
| JP4284248B2 (ja) | アプリケーションサービス拒絶攻撃防御方法及びシステム並びにプログラム | |
| JP4694578B2 (ja) | コンピュータネットワークをパケットフラッド（ｆｌｏｏｄ）から保護するための方法及びシステム | |
| WO2019096104A1 (zh) | 攻击防范 | |
| JP2007259223A (ja) | ネットワークにおける不正アクセスに対する防御システム、方法およびそのためのプログラム | |
| JP2008219149A (ja) | トラヒック制御システムおよびトラヒック制御方法 | |
| JP2006067078A (ja) | ネットワークシステムおよび攻撃防御方法 | |
| KR100777751B1 (ko) | 서비스 불능 공격 방어 시스템, 서비스 불능 공격 방어방법 및 서비스 불능 공격 방어 프로그램 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050119 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050125 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050126 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080204 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090204 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090204 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100204 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110204 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110204 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120204 Year of fee payment: 7 |
|
| LAPS | Cancellation because of no payment of annual fees |