JP4278593B2 - アプリケーション型サービス不能攻撃に対する防御方法およびエッジ・ルータ - Google Patents

Description

本発明は、ＩＰ(Internet Protocol)ネットワークにおけるＤｏＳ(Denial of Service)攻撃あるいはＤＤｏＳ(Distributed Denial of Service)攻撃に対する防御に利用する。特に、インターネット・セキュリティを向上させる技術に関する。

ＳＩＰ(Session initiation Protocol)サーバなどの各種エンドノードのレイヤ５以上の処理に対し行われるＤｏＳ／ＤＤｏＳ攻撃から当該サーバを保護する対策としては、従来、（１）当該サーバ自身が当該攻撃を検知し、検知したトラヒックを排除する、（２）当該保護対象のサーバの手前にファイヤウォールまたはＩＤＳ(Intrusion Detection System)、ＩＤＰ(Intrusion Detection Prevention)を設置し、レイヤ５以上の情報を分析することにより、当該攻撃を検知し、検知したトラヒックを排除する方策が採られている。

このような従来の技術には、以下の問題がある。（１）当該サーバマシン自身で攻撃を防御する場合には、その防御処理自身に負荷がかかるだけでなく、当該サーバに繋がるシステムおよび回線においても攻撃トラヒックの負荷がかかり、正当なユーザのサービスの妨げになる。

また、（２）当該サーバの手前に設置するファイヤウォールやＩＤＳ、ＩＤＰについては、コストがかかるばかりでなく、装置自体のスループットに影響される可能性がある。さらに、（３）加入者収容ルータにおいて攻撃を防御する際には、帯域制限（通信速度の制限）に基づいた制御方式であり、ネットワークサーバの防御に有効となる単位時間あたりのＩＰパケット数による制御方式ではない。

このような従来の問題を解決するため、例えば、特許文献１では、サーバが攻撃された場合に、攻撃者に近いルータにて攻撃パケットを廃棄するため、ネットワーク内の各拠点に専用装置を設置し、専用装置間で逐次攻撃情報を伝播し、攻撃トラヒックを上流で排除する旨提案されている。

また、特許文献２では、攻撃をネットワークで検知し、専用の攻撃遮断機器にて防御を行い、攻撃からネットワークを防御する旨提案している。ただし、特許文献２の提案はレイヤ４以下の攻撃を対象としており、また攻撃の検知後、ネットワーク管理者の指示により、防御を実施する形態となっている。

さらに、特許文献３では、ネットワークの特定箇所、具体的にはゲートウェイ装置で受信ＩＰパケット数をカウントし、所定の受信数を越えた場合には、通信を終了させる方法を提案しているが、ゲートウェイ装置に限定した方法となっており、不正パケット送信者の直近での防御方法ではない。

特開２００３−２８３５７１号公報 特開２００２−１５８６６０号公報 特開２００２−２４７１１４号公報

特許文献１および２の提案では、いずれも専用装置あるいは専用の攻撃遮断機器の設置が必要になり、これらの専用装置間の通信あるいは専用の遮断機器に指示を与えるための通信が必要になる。したがって、新たな専用装置あるいは専用の攻撃遮断機器の追加設置が必要になり、現行のネットワーク構成を変更する必要がある。

また、特許文献３の提案は、ゲートウェイ装置に攻撃の検出および防御機能を持たせ、攻撃を防御する提案であるが、ゲートウェイ装置に繋がる回線やシステムの攻撃の影響を受ける可能性がある。

本発明は、このような背景に行われたものであって、本発明は、サーバ自身に負荷がかからず、現行のネットワーク構成を変更せずに、攻撃者となりうる加入者を収容するルータへの機能追加により、ＤｏＳ／ＤＤｏＳ攻撃に対する防御を実現するものであり、攻撃者の直近で攻撃を防御し、ネットワークのリソースを不正利用させないことを目的とする。また、本発明は、防御の対象となるネットワークサーバにとって有効な、単位時間あたりのＩＰパケット数による制限をエッジルータで行うことを提案するものである。

前提として、ＤｏＳ／ＤＤｏＳ攻撃は、サーバなどの各種エンドノードが処理を行うレイヤ５以上のＴＣＰあるいはＵＤＰ上のウェルノウンポート番号を持つプロトコル処理に対する攻撃であるとする。

このレイヤ５以上の所謂アプリケーションレイヤへのフラッド型の攻撃は、このアプリケーションレイヤの情報を運ぶサーバのウェルノウンポート宛てのＴＣＰあるいはＵＤＰパケットのトラヒック量を監視することによりアプリケーションレイヤに対するＤｏＳ／ＤＤｏＳ攻撃を検出することが可能である。

具体的には、ユーザ端末を収容するエッジルータにおいてエンドノードがユーザ端末からの要求に対して、アプリケーションを実行するにあたり、通常の動作で十分なユーザ端末からの単位時間あたりのＩＰパケット送信数をサーバのＩＰ
Ａｄｄｒｅｓｓと、ｐｒｏｔｏｃｏｌ番号と、ウェルノウンポート番号毎に事前設定する。これをユーザ端末からエッジルータが受信可能な閾値とする。

次にユーザ端末を収容するエッジルータが、例えば「ＩＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓがこのサーバのＩＰ
Ａｄｄｒｅｓｓ、Ｐｒｏｔｏｃｏｌ番号がＴＣＰあるいはＵＤＰを示す６あるいは１７、ＴＣＰあるいはＵＤＰ
ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ番号が、このサーバが司るレイヤ５以上のプロトコルに割当てられたウェルノウンポート番号」であるパケットを発ＩＰアドレス毎に検査する。

ユーザ端末から受信するＩＰパケットを検査しこのサーバ宛のＩＰパケットであることを判定し、事前に設定した閾値未満に単位時間あたりの受信ＩＰパケット数を制限することにより、通常のユーザ端末が使用するレベルまで、このサーバ向けのトラヒックを抑えることができ、ユーザ端末からこのサーバ向けの攻撃パケットを前記レベルにまで、抑えることが可能である。

例えば、特許文献１では、サーバが攻撃された場合に、攻撃者に近いルータにて攻撃パケットを廃棄するため、ネットワーク内の各拠点に専用装置を設置し、専用装置間で逐次攻撃情報を伝播し、攻撃トラヒックを上流で排除する旨提案されているが、本発明のアプリケーション型サービス不能攻撃防御方法はノード間で攻撃情報を伝播することはせず、攻撃トラヒックを発するユーザ端末収容ノードにて、事前の機能追加および静的設定により、攻撃を防御することを特徴とする。

また、特許文献２では、攻撃をネットワークにて検出し、専用の攻撃遮断機器にて防御を行い、攻撃からネットワークを防御する旨を提案しているが、本発明のアプリケーション型サービス不能攻撃防御方法は、ユーザ端末収容ルータでの攻撃検知および防御の方法である点が異なる。

さらに、特許文献３では、ゲートウェイ装置に検出機能を配備し、攻撃を排除する旨を提案しているが、本発明は、攻撃元を収容するユーザ端末収容ルータでの攻撃検知および防御の方法であり、攻撃者の直近で攻撃を防御するという点が異なる。

加えて、本発明のアプリケーション型サービス不能攻撃防御の方法は、新たに専用装置をネットワーク構成を変更し付加することはせず、ネットワークに備えられているエッジルータに機能を追加配備し、利用することができる。

すなわち、本発明の第一の観点は、コアネットワークと、ユーザ端末を収容するエッジルータと、ユーザ端末から送信される信号を処理するサーバとから構成されるネットワークシステムに適用されるアプリケーション型サービス不能攻撃に対する防御方法である。

ここで、本発明の特徴とするところは、前記ユーザ端末毎および宛先となる前記サーバ毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値条件があらかじめ設定され、前記ユーザ端末を収容する前記エッジルータが実行するステップとして、前記ユーザ端末から前記サーバに対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別するステップと、この識別するステップによる識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定するステップと、この判定するステップにより当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータが当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数するステップと、この計数するステップにより計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された前記閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄するステップとを実行するところにある。

さらに、前記エッジルータが実行するステップとして、前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録するステップと、前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録するステップとを実行することができる。

さらに、前記エッジルータが実行するステップとして、前記廃棄時刻を記録するステップによる記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認するステップと、この確認するステップにより確認された前記攻撃対象の攻撃パケット受信状況を確認するステップと、この確認するステップにより確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断するステップと、この判断するステップの判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定するステップとを実行することができる。

前記攻撃パケット受信状況を確認するステップは、前記受信時刻を記録するステップによる記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定するステップを含むことができる。

これによれば、攻撃対象に攻撃パケット受信状況の報告を要求することなく、エッジルータ独自で攻撃対象の攻撃パケット受信状況を推定することができるため、ネットワークリソースを有効利用することができる。

すなわち、エッジルータが攻撃を実際に抑止した場合には、ＩＰパケット受信の記録およびＩＰパケットの廃棄の記録を当該エッジルータが収集し、ＳＩＰサーバ側の攻撃パケット受信状況と比較確認し、ＳＩＰサーバで受信した当該ユーザからのパケットが全て攻撃パケットと判断される場合には、このユーザからＳＩＰサーバ向けのパケットを全て廃棄するように閾値を再設定し攻撃パケットを全て廃棄することができるため、防御パターンを能動的に最適化することができる。

また、前記判断するステップの判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元に対して警告通知を行うステップを実行することができる。

これにより、エッジルータから踏み台となったユーザに対し、当該ユーザが攻撃を実行していた事実を提示でき、ユーザへのウィルス感染等の警告を発することができる。本警告により、ユーザは自端末のウィルス感染や踏み台になった事実を確認し、対処することで、被害の拡散を防止することが可能となる。

さらに、前記閾値を再設定するステップにより設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数するステップと、この計数するステップの計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換えるステップとを実行することができる。

すなわち、攻撃を回避した後に、攻撃回避用として設定された非通常の閾値がそのまま残っていると、以降に送信される正当なＩＰパケットまでも廃棄されてしまう可能性があるので、攻撃が終了したことが推定された後には、閾値を通常の値に置き換えることが望ましい。

本発明の第二の観点は、コアネットワークと、ユーザ端末から送信される信号を処理するサーバとから構成されるネットワークシステムに備えられ前記ユーザ端末を収容するエッジルータである。

ここで、本発明の特徴とするところは、前記ユーザ端末毎および宛先となる前記サーバ毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値があらかじめ設定され、前記ユーザ端末から前記サーバに対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別する手段と、この識別する手段による識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定する手段と、この判定する手段により当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータが当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数する手段と、この計数する手段により計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄する手段とを備えたところにある。

さらに、前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録する手段と、前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録する手段とを備えることができる。

さらに、前記廃棄時刻を記録する手段による記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認する手段と、この確認する手段により確認された前記攻撃対象の攻撃パケット受信状況を確認する手段と、この確認する手段により確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断する手段と、この判断する手段の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定する手段とを備えることができる。

前記攻撃パケット受信状況を確認する手段は、前記受信時刻を記録する手段による記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定する手段を含むことができる。

さらに、前記判断する手段の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元に対して警告通知を行う手段を備えることができる。

さらに、前記閾値を再設定する手段により設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数する手段と、この計数する手段の計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換える手段とを備えることができる。

本発明の第三の観点は、情報処理装置にインストールすることにより、その情報処理装置に、コアネットワークと、ユーザ端末から送信される信号を処理するサーバとから構成されるネットワークシステムに備えられ前記ユーザ端末を収容するエッジルータに相応する機能を実現させるプログラムである。

ここで、本発明の特徴とするところは、前記ユーザ端末毎および宛先となる前記サーバ毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値があらかじめ設定され、前記ユーザ端末から前記サーバに対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別する機能と、この識別する機能による識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定する機能と、この判定する機能により当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータが当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数する機能と、この計数する機能により計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄する機能とを備えたところにある。

さらに、前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録する機能と、前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録する機能とを実現させることができる。

さらに、前記廃棄時刻を記録するステップによる記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認する機能と、この確認する機能により確認された前記攻撃対象の攻撃パケット受信状況を確認する機能と、この確認する機能により確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断する機能と、この判断する機能に判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定する機能とを実現させることができる。

前記攻撃パケット受信状況を確認する機能として、前記受信時刻を記録する機能による記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定する機能を実現させることができる。

さらに、前記判断する機能の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元に対して警告通知を行う機能を実現させることができる。

さらに、前記閾値を再設定する機能により設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数する機能と、この計数する機能の計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換える機能とを実現させることができる。

本発明の第四の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。

これにより、汎用の情報処理装置を用いて、サーバ自身に負荷がかからず、攻撃者の直近で攻撃を防御し、ネットワークのリソースを不正利用させず、また、防御の対象となるネットワークサーバにとって有効な、単位時間あたりのＩＰパケット数による制限を実現することができるエッジルータを実現することができる。

本発明によれば、サーバにて、攻撃の検出および攻撃トラヒックの検出および排除を行う場合と比べて、サーバには負荷がかからず、また、検出から排除までのタイムラグも無いため、サーバが高負荷となるリスクが軽減される。

さらに、現行のネットワーク構成を変えることなく、新たな装置を設置することなく、ユーザ収容エッジノードに機能追加することにより、本発明のアプリケーション型サービス不能攻撃防御方法を実現することができる。

また、通常、エッジルータでは帯域制限（通信速度の制限）により攻撃の防御を行うが本発明の制限方法は、単位時間当りのＩＰパケット数の制限であり、攻撃パケットのパケットサイズに依存せず、防御が可能である。

さらに、本発明の攻撃防御位置は、攻撃者になりうるユーザ端末収容ノードであるため、他の正当ユーザおよび攻撃によるネットワークの負荷に対しての影響を効率良く軽減することが可能となる。

本発明実施例のアプリケーション型サービス不能攻撃防御方法を図１を参照して説明する。図１は本実施例のアプリケーション型サービス不能攻撃に対する防御方法を説明するためのネットワーク構成図である。符号１は、各ＩＳＰ(Internet Service Provider)のコアネットワークの端の部分に位置するユーザ端末を収容するエッジルータである。符号４は各ＩＳＰのコアネットワークである。符号６はＩＳＰ内でＳＩＰプロトコルを制御するＳＩＰサーバである。ここでは、ＳＩＰサーバを例としているが、ＳＭＴＰ(Simple Mail Transfer Protocol)サーバ等他の制御サーバにおいても本発明は有効である。符号２、３はＳＩＰサーバに収容されているユーザ端末であり、それぞれ、攻撃を行う端末と正当な通信を行う端末である。

本実施例のアプリケーション型サービス不能攻撃防御方法は、図１に示すように、ＩＳＰコアネットワーク４と、ユーザ端末２、３を収容するエッジルータ１と、ユーザ端末２、３から送信される信号を処理するＳＩＰサーバ６とから構成されるネットワークシステムに適用されるアプリケーション型サービス不能攻撃に対する防御方法である。

ここで、本実施例の特徴とするところは、ユーザ端末２、３毎および宛先となるＳＩＰサーバ６毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値条件があらかじめ設定され、ユーザ端末２、３を収容するエッジルータ１が実行するステップとして、ユーザ端末２、３からＳＩＰサーバ６に対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別するステップと、この識別するステップによる識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定するステップと、この判定するステップにより当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータ１が当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数するステップと、この計数するステップにより計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された前記閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄するステップとを実行するところにある。

さらに、エッジルータ１が実行するステップとして、前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録するステップと、前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録するステップとを実行する。

さらに、エッジルータ１が実行するステップとして、前記廃棄時刻を記録するステップによる記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認するステップと、この確認するステップにより確認された前記攻撃対象の攻撃パケット受信状況を確認するステップと、この確認するステップにより確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断するステップと、この判断するステップの判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定するステップとを実行する。

前記攻撃パケット受信状況を確認するステップは、前記受信時刻を記録するステップによる記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定するステップを含む。

さらに、前記判断するステップの判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元であるユーザ端末２に対して警告通知を行うステップを実行する。

さらに、前記閾値を再設定するステップにより設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数するステップと、この計数するステップの計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換えるステップとを実行する。

次に、本実施例のエッジルータを図１および図３を参照して説明する。図３は本実施例のエッジルータにおける防御機能を提供する機能ブロック図である。

本実施例のエッジルータは、図１に示すように、ＩＳＰコアネットワーク４と、ユーザ端末２、３から送信される信号を処理するＳＩＰサーバ６とから構成されるネットワークシステムに備えられユーザ端末２、３を収容するエッジルータ１である。

ここで、本実施例の特徴とするところは、ユーザ端末２、３毎および宛先となるＳＩＰサーバ６毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値があらかじめ設定され、図３に示すように、ユーザ端末２、３からＳＩＰサーバ６に対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別するＩＰパケット受信部１０と、このＩＰパケット受信部１０による識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定するヘッダ検査部１１と、このヘッダ検査部１１により当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータ１が当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数するＩＰパケット計数部１４と、このＩＰパケット計数部１４により計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄する制御部１７およびＩＰパケット廃棄部１２とを備えたところにある。

さらに、前記閾値条件が設定されているユーザ端末２、３から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録する計数情報記録部１５と、前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録するＩＰパケット廃棄情報記録部１８とを備える。

さらに、ＩＰパケット廃棄情報記録部１８による記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認する手段と、この確認する手段により確認された前記攻撃対象の攻撃パケット受信状況を確認する手段と、この確認する手段により確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断する手段と、この判断する手段の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように閾値設定部１６の閾値を再設定する手段とを閾値再設定部１９に備える。

前記攻撃パケット受信状況を確認する手段は、計数情報記録部１５による記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定する手段を含む。

さらに、前記判断する手段の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元であるユーザ端末２に対して警告通知を行う警告通知部２０を備える。

さらに、ＩＰパケット廃棄情報記録部１８は、閾値再設定部１９により設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数する手段を備え、閾値再設定部１９は、ＩＰパケット廃棄情報記録部１８の計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、閾値設定部１６に設定されている前記新たな閾値を前記新たな閾値以前の閾値に置き換える手段を備える。

本実施例は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本実施例のエッジルータ１に相応する機能を実現させるプログラムとして実現することができる。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、ＩＰパケット受信部１０、ヘッダ検査部１１、ＩＰパケット廃棄部１２、ＩＰパケット送信部１３、ＩＰパケット計数部１４、計数情報記録部１５、閾値設定部１６、制御部１７、ＩＰパケット廃棄情報記録部１８、閾値再設定部１９、警告通知部２０にそれぞれ相応する機能を実現させることができる。

以下では、本実施例をさらに詳細に説明する。

本実施例のアプリケーション型サービス不能攻撃防御方法の制御手順をＳＩＰサーバ６を例にとり、図２のフローチャートを参照して説明する。図２はエッジルータにおける防御手順を示すフローチャートである。

図２に示すように、閾値設定部１６には、ＩＰアドレス毎に単位時間当りのＩＰパケット送信許可数があらかじめ設定されており（Ｓ０）、エッジルータ１のＩＰパケット受信部１０にＩＰパケットが到着すると（Ｓ１）、ヘッダ検査部１１は、そのＩＰパケットの発側ＩＰアドレスを検査し、規制の対象であるか否かを判断し、制御対象であれば、さらに、その宛先ＩＰアドレスがＳＩＰサーバのＩＰアドレスか否か、Ｐｒｏｔｏｃｏｌ番号が６あるいは１７か、宛先ポートは５０６０か否かを判断し（Ｓ２）、そうであれば、ＩＰパケット計数部１４は、発ユーザ端末毎に単位時間当りの送信ＩＰパケット数を測定し（Ｓ３）、この計数情報は計数情報記録部１５に記録される（Ｓ４）。

制御部１７は、ＩＰパケット計数部１４により計数されたＩＰパケット数と、閾値設定部１６にあらかじめ設定されているＩＰパケット数の閾値とを比較し、単位時間当りのＩＰパケット送信数が通常の量（閾値未満）か否か判定する（Ｓ５）。その結果、単位時間当りのＩＰパケット送信数が通常の量（閾値未満）であれば、通常の処理を行うが（Ｓ６）、単位時間当りのＩＰパケット送信数が通常の量以上（閾値以上）であれば（Ｓ６）、ＩＰパケット廃棄部１２により閾値以上のパケットを廃棄する（Ｓ７）。廃棄したＩＰパケットの情報をＩＰパケット廃棄情報記録部１８に記録する（Ｓ８）。

このように、あらかじめ定められた単位時間当りのＩＰパケット送信数の制限を行うことによりＤｏＳ／ＤＤｏＳ攻撃を行うユーザ端末が存在する場合でも、その攻撃パケット数は通常の処理に用いられる数まで抑制される。

以下では、ＳＩＰプロトコルにおける本実施例のアプリケーション型サービス不能攻撃防御方法を説明する。図４は本実施例のアプリケーション型サービス不能攻撃に対する防御方法を施さないネットワーク構成図である。なお、以下の用語解説として、ＩＰヘッダおよびＴＣＰヘッダ、ＵＤＰヘッダのフィールド構成図をそれぞれ、図５、図６に示す。図５はＩＰヘッダおよびＴＣＰヘッダのフィールド構成を示す図である。図６はＩＰヘッダおよびＵＤＰヘッダのフィールド構成を示す図である。図４ではＤｏＳ／ＤＤｏＳ攻撃パケットを発するユーザ端末を２、正当ユーザを３とする。

ユーザ端末２はＳＩＰサーバ６に向けて、レイヤ５以上の処理を行うＩＰパケットを多数送信し、ＳＩＰサーバ６およびそこまでのネットワークを過負荷状態にし、正当なユーザ端末３がサービスを受けるのを妨害する。

図７はＳＩＰプロトコルにおけるユーザ端末とＳＩＰサーバとの正常シーケンス例を表している。前提として、ＳＩＰサーバ６は、ＴＣＰあるいはＵＤＰ上のＳＩＰプロトコル（ＲＦＣ３２６１）のサーバとして動作するものとする。図７に示すように、ユーザ端末（発）は、ＳＩＰサーバ６を経由してユーザ端末（着）にセッションの生成要求を行う（ＩＮＶＩＴＥ）。

ＳＩＰサーバからセッションの要求を受け取ったユーザ端末（着）はＳＩＰサーバ６を経由して、ユーザ端末（発）にセッション生成を了解した旨を通知する（１８０Ｒｉｎｇｉｎｇ、２００ＯＫ）。ユーザ端末（発）とユーザ端末（着）の間にセッションが生成される（ＡＣＫ）。

これにより、ユーザ端末（発）とユーザ端末（着）との間で通信が行われる。ユーザ端末（発）がＳＩＰサーバ６を経由して、ユーザ端末（着）にセッション切断要求を行うことにより（ＢＹＥ）、ユーザ端末（発）とユーザ端末（着）との間のセッションは削除される。

以上が正常のＳＩＰプロトコルにおけるユーザ端末（発）、ＳＩＰサーバ、ユーザ端末（着）間のやりとりである。

次に、攻撃シーケンス例を図８を参照して説明する。図８は攻撃シーケンス例を示す図である。攻撃の形態は以下のように想定される。ＳＩＰサーバに接続要求のＩＮＶＩＴＥあるいは登録要求のＲＥＧＩＳＴＥＲのリクエストを、攻撃端末より、多数発信することにより、ＳＩＰサーバの処理能力を著しく低下させ、また、ＳＩＰサーバに繋がるシステムおよび回線において輻輳を起こさせ、正当ユーザからの正規通信を妨げる。

通常、前記攻撃に対して、ユーザ端末収容ルータでは、帯域制限（通信速度の制限）を行い、防御策を講じるが、ＳＩＰサーバはユーザからのリクエストにより、そのリクエストに対する処理を起動させるため、単位時間当りのリクエスト数による制限を行うことが最も有効である。そこで、本発明においては、図２に示したように、単位時間当りのＩＰパケット数により制限を行い、攻撃を抑止する。

次に、ＩＰパケット廃棄情報記録部１８に記録された廃棄したＩＰパケットの情報および計数情報記録部１５に記録された計数情報を利用した防御パターンの最適化方法を図９を参照して説明する。図９はＩＰパケット廃棄情報記録部１８に記録された廃棄したＩＰパケットの情報および計数情報記録部１５に記録された計数情報を利用した防御パターンの最適化方法を示すフローチャートである。

エッジルータの閾値再設定部１９は、攻撃を実際に抑止した場合には、ＩＰパケット廃棄情報記録部１８に記録された廃棄したＩＰパケットの発側ＩＰアドレス（ＳＡ）、宛先ＩＰアドレス（ＤＡ）、宛先Ｐｏｒｔ番号（ＤＰ）、Ｐｒｏｔｏｃｏｌ番号に基づき攻撃元および攻撃対象を確認する（Ｓ９）。

また、攻撃対象となったＳＩＰサーバ６側の攻撃パケット受信状況を確認する（Ｓ１０）。この確認方法は、計数情報記録部１５に記録されている攻撃対象となったＳＩＰサーバ６宛のＩＰパケット数を検索することによって推定する。この他に、例えば、攻撃対象となったＳＩＰサーバ６側に攻撃パケット受信状況の報告を要求し、当該ＳＩＰサーバ６側から直接報告を受け取るなどの方法によって確認してもよい。

これにより、攻撃は継続中であり且つ攻撃元からのＳＩＰサーバ６宛のパケットは全て攻撃パケットであるか否かを判定し（Ｓ１１）、攻撃は継続中であり且つ攻撃元からのＳＩＰサーバ６宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからのＳＩＰサーバ６向けパケットを全て抑止するように閾値設定部１６の閾値を再設定する（Ｓ１３）。これにより、防御パターンを能動的に最適化することができる。

さらに、警告通知部２０は、計数情報記録部１５に記録されたＩＰパケットの計数情報を添付してユーザ端末２に警告を通知する（Ｓ１２）。これにより、踏み台となったユーザに対し、当該ユーザが攻撃を実行していた事実を提示でき、ユーザへのウィルス感染等の警告を発することができる。本警告により、ユーザは自端末のウィルス感染や踏み台になった事実を確認し、対処することで、被害の拡散を防止することが可能となる（Ｓ１５）。

また、攻撃は継続中であり且つ攻撃元からのＳＩＰサーバ６宛のパケットは全て攻撃パケットで無い場合は、監視を継続する（Ｓ１４）。

さらに、ステップＳ１３により閾値再設定部１９が閾値設定部１６に再設定した新たな閾値に基づき廃棄されたＩＰパケット数をＩＰパケット廃棄情報記録部１８により計数し（Ｓ１６）、閾値再設定部１９は、ＩＰパケット廃棄情報記録部１８の計数結果が再設定された前記新たな閾値以前の閾値未満となったときには（Ｓ１７）、閾値設定部１６に設定されている前記新たな閾値を前記新たな閾値以前の閾値に置き換える（Ｓ１８）。また、ＩＰパケット廃棄情報記録部１８の計数結果が再設定された前記新たな閾値以前の閾値以上のときには（Ｓ１７）、閾値設定部１６に設定されている閾値は前記新たな閾値のままなので、ＩＰパケット廃棄部１２によるＩＰパケットの全抑止は継続される（Ｓ１９）。

すなわち、攻撃を回避した後に、攻撃回避用として設定された非通常の閾値がそのまま残っていると、以降に送信される正当なＩＰパケットまでも廃棄されてしまう可能性があるので、攻撃が終了したことが推定された後には、閾値を通常の値に置き換える。

本発明によれば、ＩＰネットワークにおけるＤｏＳ／ＤＤｏＳ攻撃に対するインターネット・セキュリティの向上を図ることが可能となるため、ＩＳＰ等、ネットワークおよびサービス提供者のユーザ獲得に寄与することができる。また、ネットワーク事業者におけるインターネット・セキュリティの向上のためのネットワーク変更に要する時間および費用の節約に寄与することができる。

さらに、具体的な攻撃情報を元にウィルス感染等により攻撃者となってしまったユーザに対して、警告を発することにより、ネットワーク提供者の信頼が向上し、さらに、攻撃者となったユーザからの被害の拡大を抑えることができ、ユーザ自身も賠償等による不利益を被ることを防止できる。このユーザへの警告通知自体を、ＩＰネットワーク事業者が付加サービスとしてユーザへ提供することも可能である。

本実施例のアプリケーション型サービス不能攻撃に対する防御方法を説明するためのネットワーク構成図。 本実施例のアプリケーション型サービス不能攻撃に対するエッジルータにおける防御手順を示すフローチャート。 本実施例のアプリケーション型サービス不能攻撃に対するエッジルータにおける防御機能を提供する機能ブロック図。 本実施例のアプリケーション型サービス不能攻撃に対する防御方法を施さないネットワーク構成図。 ＩＰヘッダおよびＴＣＰヘッダのフィールド構成を示す図。 ＩＰヘッダおよびＵＤＰヘッダのフィールド構成を示す図。 正常なＳＩＰプロトコルシーケンス例を示す図。 ＳＩＰプロトコルにおける攻撃のシーケンス例を示す図。 ＩＰパケット廃棄情報記録部に記録された廃棄したＩＰパケットの情報および計数情報記録部に記録された計数情報を利用した防御パターンの最適化方法を示すフローチャート。

符号の説明

１ ユーザ端末を収容するエッジルータ
２ 攻撃を行うユーザ端末
３ 正当なユーザ端末
４ ＩＳＰコアネットワーク
５ ＳＩＰサーバを収容するエッジルータ
６ ＳＩＰサーバ
１０ ＩＰパケット受信部
１１ ヘッダ検査部
１２ ＩＰパケット廃棄部
１３ ＩＰパケット送信部
１４ ＩＰパケット計数部
１５ 計数情報記録部
１６ 閾値設定部
１７ 制御部
１８ ＩＰパケット廃棄情報記録部
１９ 閾値再設定部
２０ 警告通知部

Claims (13)

1. コアネットワークと、ユーザ端末を収容するエッジルータと、ユーザ端末から送信される信号を処理するサーバとから構成されるネットワークシステムに適用されるアプリケーション型サービス不能攻撃に対する防御方法において、
   前記ユーザ端末毎および宛先となる前記サーバ毎に、発側ＩＰ(Internet Protocol)アドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値条件があらかじめ設定され、
   前記ユーザ端末を収容する前記エッジルータが実行するステップとして、
   前記ユーザ端末から前記サーバに対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別するステップと、
   この識別するステップによる識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定するステップと、
   この判定するステップにより当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータが当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数するステップと、
   この計数するステップにより計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された前記閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄するステップと
   を実行し、
   前記エッジルータが実行するステップとして、
   前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録するステップと、
   前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録するステップと、
   前記廃棄時刻を記録するステップによる記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認するステップと、
   この確認するステップにより確認された前記攻撃対象の攻撃パケット受信状況を確認するステップと、
   この確認するステップにより確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断するステップと、
   この判断するステップの判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定するステップと
   を実行する
   ことを特徴とするアプリケーション型サービス不能攻撃に対する防御方法。
2. 前記攻撃パケット受信状況を確認するステップは、前記受信時刻を記録するステップによる記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定するステップを含む請求項１記載のアプリケーション型サービス不能攻撃に対する防御方法。
3. 前記判断するステップの判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元に対して警告通知を行うステップを実行する請求項１記載のアプリケーション型サービス不能攻撃に対する防御方法。
4. 前記閾値を再設定するステップにより設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数するステップと、
   この計数するステップの計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換えるステップと
   を実行する請求項１記載のアプリケーション型サービス不能攻撃に対する防御方法。
5. コアネットワークと、ユーザ端末から送信される信号を処理するサーバとから構成されるネットワークシステムに備えられ前記ユーザ端末を収容するエッジルータにおいて、
   前記ユーザ端末毎および宛先となる前記サーバ毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値があらかじめ設定され、
   前記ユーザ端末から前記サーバに対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別する手段と、
   この識別する手段による識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定する手段と、
   この判定する手段により当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータが当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数する手段と、
   この計数する手段により計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄する手段と
   を備え、
   前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録する手段と、
   前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録する手段と、
   前記廃棄時刻を記録する手段による記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認する手段と、
   この確認する手段により確認された前記攻撃対象の攻撃パケット受信状況を確認する手段と、
   この確認する手段により確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断する手段と、
   この判断する手段の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定する手段と
   を備えたことを特徴とするエッジルータ。
6. 前記攻撃パケット受信状況を確認する手段は、前記受信時刻を記録する手段による記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定する手段を含む請求項５記載のエッジルータ。
7. 前記判断する手段の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元に対して警告通知を行う手段を備えた請求項５記載のエッジルータ。
8. 前記閾値を再設定する手段により設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数する手段と、
   この計数する手段の計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換える手段と
   を備えた請求項５記載のエッジルータ。
9. 情報処理装置にインストールすることにより、その情報処理装置に、
   コアネットワークと、ユーザ端末から送信される信号を処理するサーバとから構成されるネットワークシステムに備えられ前記ユーザ端末を収容するエッジルータに相応する機能を実現させるプログラムにおいて、
   前記ユーザ端末毎および宛先となる前記サーバ毎に、発側ＩＰアドレスと、宛先ＩＰアドレスと、宛先Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号との組み合わせ毎に、正当なＩＰパケットの送信を許可するに足る単位時間当りのＩＰパケット送信数の閾値があらかじめ設定され、
   前記ユーザ端末から前記サーバに対して発信されるＩＰパケットに関し、発側ＩＰアドレスと、宛先ＩＰアドレスと、Ｐｏｒｔ番号と、Ｐｒｏｔｏｃｏｌ番号とを識別する機能と、
   この識別する機能による識別結果に基づいて、当該ＩＰパケットが発側ＩＰアドレス毎にＩＰパケット送信数の閾値が設定されている宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の組み合わせに合致するＩＰパケットか否かを判定する機能と、
   この判定する機能により当該ＩＰパケットが発側ＩＰアドレス毎に閾値が設定されている宛先ＩＰアドレス、Ｐｒｏｔｏｃｏｌ番号、Ｐｏｒｔ番号の組み合わせに合致するＩＰパケットであると判定された場合に、当該エッジルータが当該ＩＰパケットを受信した時刻を記録すると共に当該ＩＰパケット数を計数する機能と、
   この計数する機能により計数されたＩＰパケット数と発側ＩＰアドレス毎に設定された閾値条件とを比較し、単位時間当りの該当受信ＩＰパケット数が閾値を越えた場合に、前記閾値を越えた分の受信ＩＰパケットを廃棄する機能と、
   前記閾値条件が設定されている前記ユーザ端末から受信したＩＰパケットについて、当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの受信時刻を記録する機能と、
   前記閾値設定条件に基づき廃棄を行ったＩＰパケットについて当該ＩＰパケットの情報である発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号および当該ＩＰパケットの廃棄時刻を記録する機能と、
   前記廃棄時刻を記録するステップによる記録を参照し、廃棄したＩＰパケットの発側ＩＰアドレス、宛先ＩＰアドレス、Ｐｏｒｔ番号、Ｐｒｏｔｏｃｏｌ番号の情報に基づき攻撃元および攻撃対象を確認する機能と、
   この確認する機能により確認された前記攻撃対象の攻撃パケット受信状況を確認する機能と、
   この確認する機能により確認された前記攻撃パケット受信状況に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットか否かを判断する機能と、
   この判断する機能に判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、該当する発側ＩＰアドレスからの前記攻撃対象向けパケットを全て抑止するように前記閾値を再設定する機能と
   を備えたエッジルータに相応する機能を実現させることを特徴とするプログラム。
10. 前記攻撃パケット受信状況を確認する機能として、前記受信時刻を記録する機能による記録を参照し、前記攻撃対象の攻撃パケット受信状況を推定する機能を実現させる請求項９記載のプログラム。
11. 前記判断する機能の判断結果に基づき前記攻撃は継続中でありかつ前記攻撃元からの前記攻撃対象宛のパケットは全て攻撃パケットである場合には、前記攻撃元に対して警告通知を行う機能を実現させる請求項９記載のプログラム。
12. 前記閾値を再設定する機能により設定された新たな閾値に基づき廃棄されたＩＰパケット数を計数する機能と、
    この計数する機能の計数結果が再設定された前記新たな閾値以前の閾値未満となったときには、前記新たな閾値を前記新たな閾値以前の閾値に置き換える機能と
    を実現させる請求項９記載のプログラム。
13. 請求項９ないし１２のいずれか１項に記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。

Images