JP4371905B2 - 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置 - Google Patents

Description

本発明は不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラム、および分散型サービス不能化攻撃検知装置に関し、特に将来発生する恐れのある不正アクセスを検出するための不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラムと、将来発生する恐れのある分散型サービス不能化攻撃を検知する分散型サービス不能化攻撃検知装置に関する。

近年の情報通信技術の発展に伴い、インターネットを介したサービスが広く提供されている。サービスの提供者は、たとえば、インターネットを介してアクセス可能なサーバを設置し、インターネット経由で接続されたクライアント装置に対して各種サービスを提供する。このようなサービスを提供するサーバは、インターネットを介してアクセス可能であることから、不正アクセスによる攻撃の対象となりやすく、不正アクセスを早期に発見するための技術が必要となっている。

基本的には、通信パケットを監視し、不正目的のコマンドを含むアクセス要求を検出することで、不正アクセスを検出することができる。ところが、複数の正規なコマンドを組み合わせることで攻撃する不正アクセスも存在し、このような不正アクセスは、単独のパケット監視では検出できない。

特に、数年前より、多くのウェブサイトが分散型サービス不能化（Distributed Denial of Service；以下、ＤＤｏＳとする）攻撃によって被害を受けている。
ＤＤｏＳ攻撃とは、複数の踏み台（ネットワークを介して悪者に乗っ取られた装置）から１つのターゲット・サーバに向けて一斉に大量のパケットを送りつける攻撃を言う。ＤＤｏＳ攻撃を受けたターゲット・サーバは、一斉に大量のパケットを送りつけられることによって過負荷状態に陥り、最悪の場合にはサーバ機能が停止してしまう。

しかしながら、このとき送られるパケットは、正規のパケットであり、単独のパケットの監視だけでは、ＤＤｏＳ攻撃を検出することができない。また、ＤＤｏＳ攻撃は、複数の踏み台を介して行われるため、攻撃者のサイト端末の特定が困難であり、攻撃に対する対策を立てることも難しかった。

そこで、ＤＤｏＳ攻撃に対し、複数のボーダルータが同一宛先のパケットを計数し、その集計結果をボーダルータ相互間で交換することにより、ボーダルータを経由して流入するパケットを監視し、同一宛先に対して異常な個数で流入するパケットをＤＤｏＳ攻撃によるものと判断し、この流入を抑制するという不正アクセスの検出および防御方法がとられている（たとえば、特許文献１参照）。
特開２００３−２８９３３７号公報（段落番号〔００３１〕〜〔００４７〕、図１）

しかしながら、従来の不正アクセス検出方法では、将来発生する恐れのある不正アクセスの全容を予測することが難しいという問題がある。すなわち、従来の不正アクセス検出では、単独のパケットを監視することによって不正アクセスを検出するが、単独のパケットからでは、ＤＤｏＳ攻撃に代表される複数の踏み台で構成される不正装置群による不正アクセスの全容を把握することができない。したがって、攻撃規模や被害規模の予測ができず、効果的な対策を行うことを難しくしている。

特に、ＤＤｏＳ攻撃は、踏み台の数が多くなるほど、その被害規模が大きくなるため、攻撃前にその全容を検知することができれば、有効な対策をとることができる。しかしながら、従来の不正アクセスの検出では、全容を把握することができないため、攻撃規模、被害規模の予測ができず、有効な対策がとれない。

また、従来のＤＤｏＳ攻撃の検出では、複数の地点からＤＤｏＳ攻撃に該当するパケットを計数・集計することによって、現在発生しているＤＤｏＳ攻撃の検出を可能としている。このため、ＤＤｏＳ攻撃が検出された時点では、ＤＤｏＳ攻撃は既に開始されており、大量のパケットがネットワークへ流入している状態になっている。このため、その時点で流入するパケットを抑制しても、既に通常のパケットの伝達が遅延するなどの被害が発生している場合があるという問題点もある。そして、不正アクセスが既に開始された時点では、有効な対策をとることも難しい。

本発明はこのような点に鑑みてなされたものであり、攻撃が開始される前に発生する恐れのある攻撃の全容を把握することの可能な不正アクセス検知装置、不正アクセス検知方法、および不正アクセス検知プログラムを提供することを目的とする。さらに、本発明の目的は、発生する恐れのある分散型サービス不能化攻撃の全容を把握することを可能にすることにある。

本発明では上記課題を解決するために、図１に示すような不正アクセス検知装置１が提供される。本発明に係る不正アクセス検知装置１は、ネットワークを介した不正アクセスを検出するためのものである。ネットワークは、局所的なネットワーク２ａ、２ｂ、・・・などの集合体で構成される。不正アクセス検知装置１は、以下の要素で構成される。

イベント情報記憶手段１ａは、準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報を格納する。不正装置群記憶手段１ｂは、不正装置群導出手段１ｄによって導出された現在進行中のネットワークイベントに関わった不正装置群の情報を格納する。監視情報収集手段１ｃは、それぞれのネットワーク２ａ、２ｂ、・・・の監視を行う監視装置３ａ、３ｂ、・・・から監視情報を収集する。監視装置３ａ、３ｂ、・・・は、各ネットワーク２ａ、２ｂ、・・・を流れるトラフィックを監視し、所定のネットワークイベントを検出するごとに、その監視情報を記録している。不正装置群導出手段１ｄは、収集された監視情報のネットワークイベントをキーとしてイベント情報記憶手段１ａから対応するイベント情報を検索する。イベント情報が検索された場合、そのイベント情報の定義に基づき、ネットワークイベントに繋がる不正アクセスの種類が同じでかつネットワークイベントの発信元もしくは宛先のアドレスが同じ装置をまとめあげ、不正アクセスに関わった不正装置群として不正装置群記憶手段１ｂに格納する。出力手段１ｅは、不正装置群導出手段１ｄによって導出された不正装置群のリスト４を出力する。

このような不正アクセス検知装置１によれば、監視情報収集手段１ｃは、各ネットワーク２ａ、２ｂ、・・・の監視装置３ａ、３ｂ、・・・が検出した所定のネットワークイベントに関する監視情報を取得する。次に、不正装置群導出手段１ｄは、収集した監視情報のネットワークイベントをキーとして、イベント情報記憶手段１ａからネットワークイベントを定義したイベント情報を検索する。そして、イベント情報に基づき、ネットワークイベントに繋がる不正アクセスの種類が同じで、ネットワークイベントの発信元もしくは宛先が同じ装置をまとめ、これら装置をこの不正アクセスに関わった１つのグループ（不正装置群）とみなし、不正装置群記憶手段１ｂに格納する。次に、出力手段１ｅは、不正装置群導出手段１ｄによって導出された不正装置群のリスト４を出力する。

また、上記課題を解決するために、各ネットワークを監視する監視装置が検出したネットワークイベントを含む監視情報を収集し、準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段から収集した前記監視情報の前記ネットワークイベントをキーとして対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として導出し、前記不正装置群に関する不正装置群リストを出力する不正アクセス検知方法が提供される。

このような不正アクセス検知方法によれば、各ネットワークを監視する監視装置から監視情報が収集され、収集された監視情報のネットワークイベントをキーとしてネットワークイベントを定義したイベント情報が検索される。そして、イベント情報に基づき、同じ不正アクセスに関連し、かつ発信元もしくは宛先アドレスが同じ装置がまとめあげられ、この不正アクセスに関わった不正装置群として導出される。そして、導出された所定の不正アクセスに関わった不正装置群のリストが出力される。

さらに、上記課題を解決するために、コンピュータを、準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段、現在進行中の前記ネットワークイベントに関わった不正装置群を格納する不正装置群記憶手段、各ネットワークを監視する監視装置が検出した前記ネットワークイベントを含む監視情報を収集する監視情報収集手段、収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として前記不正装置群記憶手段に格納する不正装置群導出手段、前記不正装置群導出手段により導出された前記不正装置群のリストを出力する出力手段、として機能させるための不正アクセス検知プログラムが提供される。

このような不正アクセス検知プログラムをコンピュータに実行させることで、コンピュータが上記不正アクセス検知装置として機能する。
また、上記課題を解決するために、ＤＤｏＳ攻撃を行うＤＤｏＳネットワーク構築の準備動作から前記ＤＤｏＳ攻撃の開始までに実行されるネットワークイベントを定義したイベント情報を格納するイベント情報記憶手段と、現在進行中の前記ＤＤｏＳ攻撃のための前記ＤＤｏＳネットワークを構成する不正装置群を格納するＤＤｏＳネットワーク記憶手段と、各ネットワークを監視する監視装置が検出した前記ネットワークイベントに関する監視情報を収集する監視情報収集手段と、収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記ＤＤｏＳ攻撃ツールの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記ＤＤｏＳ攻撃に繋がる不正装置群として前記ＤＤｏＳネットワーク記憶手段に格納するＤＤｏＳネットワーク導出手段と、前記ＤＤｏＳネットワーク導出手段により導出された前記ＤＤｏＳネットワークを構成する前記不正装置群のリストを出力する出力手段と、を具備するＤＤｏＳ攻撃検知装置が提供される。

このようなＤＤｏＳ攻撃検知装置によれば、監視情報収集手段は、各ネットワークの監視装置から監視情報を収集する。次に、ＤＤｏＳネットワーク導出手段は、監視情報のネットワークイベントをキーとして、イベント情報記憶手段からＤＤｏＳ攻撃に繋がるネットワークイベントの定義を検索する。そして、イベント情報に基づき、ネットワークイベントに繋がるＤＤｏＳ攻撃ツールの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置をまとめあげ、前記ＤＤｏＳ攻撃に繋がる不正装置群としてＤＤｏＳネットワーク記憶手段に格納する。出力手段は、ＤＤｏＳネットワーク導出手段により導出されたＤＤｏＳネットワークを構成する不正装置群のリストを出力する。

以上説明したように、本発明では、ネットワークの監視情報から所定の不正アクセスに関わった不正装置群を導出し、その不正装置群のリストを作成するようにした。これにより、将来発生する恐れのある不正アクセスの全容を把握することが可能となる。

また、本発明では、ＤＤｏＳ攻撃に繋がるネットワークイベントに関する監視情報を用いてＤＤｏＳネットワークを構成する不正装置群を導出し、そのリストを作成するようにした。これにより、将来発生する恐れのあるＤＤｏＳ攻撃の全容を把握することが可能となり、ＤＤｏＳ攻撃が開始された際の攻撃規模や被害規模を予測することができる。

以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
図１は、本発明の実施の形態に適用される発明の概念図である。不正アクセス検知装置１は、イベント情報を記憶するイベント情報記憶手段１ａ、不正装置群を記憶する不正装置群記憶手段１ｂ、監視情報を収集する監視情報収集手段１ｃ、監視情報から不正装置群を導出する不正装置群導出手段１ｄおよび検出された不正装置群のリストを出力する出力手段１ｅを具備する。

イベント情報記憶手段１ａには、ネットワークイベント（以下、イベントとする）を定義するイベント情報が格納されている。通常、不正アクセスは、準備動作を経て不正アクセスを実行するまでの間に、所定のイベントを行う。イベントは、ネットワークを介して悪者に乗っ取られた装置（以下、これを不正装置とする）間、あるいは、不正アクセスを指示する攻撃者装置との間の通信メッセージとして発生する。実行されるイベントは、不正アクセスの種類ごとに異なるので、不正アクセスの種類に応じてイベントの定義を設定する。また、イベントに応じて発信元と宛先の装置の役割が決まるので、イベント情報にイベントに応じた役割も定義しておく。

不正装置群記憶手段１ｂには、現在進行中の不正アクセスに関わった不正装置群のアドレスが格納される。
監視情報収集手段１ｃは、各ネットワーク２ａ、２ｂ、・・・を監視する監視装置３ａ、３ｂ、・・・から監視情報を収集する。監視情報には、少なくとも、監視装置３ａ、３ｂが検出したイベントと、その発信元と宛先のアドレスが設定されている。

不正装置群導出手段１ｄは、監視情報収集手段１ｃによって収集された監視情報とイベント情報を用いてイベントに関わった不正装置が属する不正装置群を判定し、不正装置群記憶手段１ｂの該当する不正装置群登録領域にその不正装置情報を設定する。具体的には、まず、監視情報のイベントをキーとしてイベント情報記憶手段１ａから対応するイベント情報を検索する。次に、検索されたイベント情報に基づき、イベントに繋がる不正アクセスの種類を特定する。そして、同じ種類の不正アクセスに関わり、かつイベントの発信元もしくは宛先が同じ装置を１つのグループと見なす。すなわち、不正装置群記憶手段１ｂを検索し、該当する不正アクセスの不正装置群に登録されたアドレスと、今回の監視情報のイベントの発信元もしくは宛先のアドレスと照合し、同一の不正装置群があれば、今回導出された不正装置群をこの不正装置群に加える。ない場合は、新たな不正装置群として不正装置群記憶手段１ｂに格納する。このとき、イベント情報に基づき、このイベントに関わった不正装置の役割を参照し、検出された役割ごとに不正装置を振り分ける。

出力手段１ｅは、不正装置群導出手段１ｄによって導出された不正装置群のリスト４を出力する。
なお、上記の説明の各手段は、コンピュータに不正アクセス検知プログラムを実行させることにより実現する。

このような不正アクセス検知装置１によれば、監視情報収集手段１ｃは、各ネットワーク２ａ、２ｂの監視装置３ａ、３ｂが生成する監視情報が収集される。次に、不正装置群導出手段１ｄにより、監視情報のイベントをキーとしてイベント情報記憶手段１ａからイベント情報が検索される。そして、検索されたイベント情報に基づき特定される不正アクセスの種類が同じで、かつイベントの発信元もしくは宛先のアドレスが同じ装置をまとめあげ、これらの装置をこの不正アクセスに関わった不正装置群として導出し、不正装置群記憶手段１ｂに格納する。すなわち、イベントごとにイベント種類に対応する不正アクセスの種類を判定し、判定された不正アクセスの種類で、このイベントの発信元もしくは宛先のアドレスと同じ不正装置が登録されている不正装置群が不正装置群記憶手段１ｂに格納されているかどうかを判定し、格納されていれば既に格納されている不正装置群に今回導出された不正装置（発信元もしくは宛先）を加え、なければ新たな不正装置群として発信元と宛先アドレスを格納する。このような処理を監視情報取得ごとに繰り返すことによって、不正装置群記憶手段１ｂに、検出された不正装置群のアドレスが蓄積される。出力手段１ｅは、不正装置群導出手段１ｄにより導出された不正装置群のアドレスを示したリスト４を出力する。

不正装置群のリスト４には、不正アクセス種別４ａごとに、その不正アクセスに関わったイベントの発信元と宛先として検出された不正装置群４ｂのアドレスがリストアップされる。アドレスは、役割に応じたグループごとにリストアップされる。

以上のように、本発明によれば、不正アクセスを発生させる前の準備段階のイベントが記録された監視情報を収集し、この監視情報に基づき不正装置群を検出するので、事前に不正装置群を導出することができる。このため、不正アクセス発生前に、その攻撃規模および被害規模を予測することが可能となり、これにより有効な対策を施すことができる。

以下に、本発明の実施の形態を具体的に説明する。
図２は、本発明の実施の形態に係るネットワークシステムの構成例を示す図である。
本発明の実施の形態が適用されるネットワークシステムは、たとえば、インターネットプロバイダにより構築されるＩＳＰ（Internet Service Provider）ネットワークなど、局所的ＩＳＰネットワーク２１、２２、・・・の集合体で構成される。

ＩＳＰネットワーク２１を流れる通信パケットは、ＩＤＳ（Instrusion Detection System；侵入検出ツール）３１ａ、３１ｂ、３１ｃ、３１ｄ、３１ｅが監視し、監視ログを生成する。ＩＤＳは、セキュリティ対策として広く用いられており、ネットワークワークを流れるパケットを監視しながら、不正アクセスパターンに合致するパケットを見つける。すなわち、何らかのイベントを発見し、それを監視ログに出力する。不正アクセスパターンの検出は、予め不正アクセスパターンを定義したデータベース（ＤＢ）をＩＤＳに持たせることによって機能させる。監視ログには、一般に、監視時刻と検出したイベント（不正アクセスパターン）、イベントの送受信者のＩＰアドレスなどが記録される。そして、ＩＤＳ３１ａ、３１ｂ、３１ｃ、３１ｄ、３１ｅが生成した監視ログは、サーバ２１ｆに集約され、セキュリティを管理するＳＯＣ（SDecurity Operation Center）１０の不正アクセス検知装置１００に送られる。同様に、ＩＳＰネットワーク２２を流れる通信パケットは、ＩＤＳ３２ａ、３２ｂ、３２ｃ、３２ｄが監視し、監視ログを生成する。生成された監視ログは、サーバ２２ｅに集約され、不正アクセス検知装置１００に送られる。

ここで、このネットワークに攻撃者がクライアント５１を利用して接続し、乗っ取った踏み台６１、６２、６３に対し指示を行うとする。たとえば、攻撃者のクライアント５１から流入する通信パケットの監視情報は、ＩＤＳ３１ｂによって生成される。また、踏み台６１、６２、６３から流入する通信パケットは、それぞれＩＤＳ３１ａ、３１ｃ、３２ｃによって監視情報が生成される。

図３は、本発明の実施の形態に用いる不正アクセス検知装置のハードウェア構成例を示した図である。
不正アクセス検知装置１００は、ＣＰＵ（Central Processing Unit）１０１によって装置全体が制御されている。ＣＰＵ１０１には、バス１０７を介してＲＡＭ（Random Access Memory）１０２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、通信インタフェース１０６が接続されている。

ＲＡＭ１０２には、ＣＰＵ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０２には、ＣＰＵ１０１による処理に必要な各種データが格納される。ＨＤＤ１０３には、ＯＳやアプリケーションのプログラムが格納される。グラフィック処理装置１０４には、モニタ１１が接続されており、ＣＰＵ１０１からの命令に従って画像をモニタ１１の画面に表示させる。入力インタフェース１０５には、キーボード１２やマウス１３が接続されており、キーボード１２やマウス１３から送られてくる信号を、バス１０７を介してＣＰＵ１０１に送信する。通信インタフェース１０６は、ネットワーク２０に接続されており、ネットワーク２０を介して端末装置との間でデータの送受信を行う。

このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図３には、不正アクセス検知装置のハードウェア構成を示したが、ＩＤＳも同様のハードウェア構成で実現することができる。

以下、本発明の実施の形態をＤＤｏＳ攻撃の検出と防御に適用する場合で説明する。本発明に係る不正アクセス検知では、不正アクセスに関わる不正装置の一群を導出することができるので、不正装置群が一斉に不正処理を行うような攻撃、たとえば、ＤＤｏＳ攻撃などからの防御に特に有効である。

図４は、ＤＤｏＳ攻撃の発生メカニズムを示す概念図である。図４の例では、クライアント５１を利用して、ウェブサーバ２３０に攻撃を加える場合を想定している。以下、攻撃者の利用するクライアントをアタッカと呼ぶ。

アタッカ５１を使用する攻撃者は、インターネット２００を介してアクセス可能なコンピュータをエージェント装置２２１、２２２、２２３、・・・として機能させる。アタッカ５１から各エージェント装置２２１、２２２、２２３、・・・へは、ハンドラ装置２１１を経由して指示を送る。

ここで、「エージェント」とは、ＤＤｏＳ攻撃の目標（任意の装置あるいはネットワーク）に向けて大量のパケットを送りつける処理機能を実行させるプログラムの一種である。すなわち、「エージェント」が送り込まれたコンピュータは、ターゲットに直接被害を及ぼすホストとなる。

また、「ハンドラ」とは、攻撃者の使用するアタッカ５１と、エージェント装置２２１、２２２、２２３、・・・とのインタフェースに相当し、攻撃者がエージェントを操作するための機能を実行させるためのプログラムの一種である。「ハンドラ」が送り込まれたコンピュータは、エージェント装置に対して外部から指令を出すホストとなる。

エージェントやハンドラは、一般にネットワーク越しに攻撃者によって乗っ取られた脆弱なマシンにインストールされる。エージェントやハンドラがインストールされることにより、このマシンはエージェント装置やハンドラ装置になる。通常、ハンドラ装置およびエージェント装置は、ネットワーク上に複数台設けられる。

攻撃者はアタッカ５１を操作し、ハンドラ装置２１１にコマンドを与える。ハンドラ装置２１１は、コマンドが与えられると、それをエージェント装置２２１、２２２、２２３、・・・に対する操作・設定コマンドに変換し、各エージェント装置２２１、２２２、２２３、・・・に送信する。エージェント装置２２１、２２２、２２３、・・・は一種のサーバソフトウェアによる処理機能を行っており、ハンドラ装置２１１からコマンドを受信すると、その内容に応じた攻撃を実行する。たとえば、攻撃対象のウェブサーバ２３０に対して、大量のパケットを送信する（パケットフラッド）。

これらのハンドラやエージェントをネットワーク上のコンピュータに導入するためのソフトウェアのインストールおよび設定は、ネットワークを介して行われる。よって、これらに係る通信は（暗号化されていない限り）ネットワーク上で検出可能である。また、ＤＤｏＳ攻撃は専用のツール（ＤＤｏＳ攻撃発生ツール）を用いて行われることが多く、それには様々な種類がある。それぞれのツールは、所定のＤＤｏＳ攻撃シナリオに沿った処理手順によってイベントを発生させる。

そこで、本発明の実施の形態では、ネットワーク上に設けられた監視装置（ＩＤＳ）の監視情報を収集し、監視情報に含まれるイベントを用いて、ＤＤｏＳ攻撃に関わる不正装置群（ＤＤｏＳネットワーク）の全容を解析する。以下の説明では、ハンドラやエージェントがインストールされた装置もそれぞれハンドラ、エージェントと呼ぶ。

［第１の実施の形態］
まず、第１の実施の形態について説明する。図５は、第１の実施の形態のＤＤｏＳ攻撃検知装置の内部構成を示すブロック図である。各機能ブロックは、コンピュータにＤＤｏＳ攻撃検知プログラムを実行させることにより実現する。

本発明に係るＤＤｏＳ攻撃検知装置３００は、インターネット２００に接続し、イベント情報データベース（ＤＢ）３１０、ＤＤｏＳネットワークデータベース（ＤＢ）３２０、監視ログ収集部３３０、ＤＤｏＳネットワーク導出部３４０および出力部３５０を有する。ＤＤｏＳネットワーク導出部３４０は、イベント情報検索部３４１とＤＤｏＳネットワーク更新部３４２を有する。

イベント情報ＤＢ３１０は、アタッカによってＤＤｏＳネットワークが形成される準備動作からＤＤｏＳ攻撃開始までに実行されるイベントが定義されたイベント情報が格納されるイベント情報記憶手段である。イベント情報には、ＤＤｏＳ攻撃ツールの種類ごとに、発生するイベントの種類と、そのイベントの発信元と宛先の役割（アタッカ、ハンドラ、エージェント）などが定義されている。なお、ＤＤｏＳ攻撃は、ＤＤｏＳ攻撃発生ツール（以下、ツールとする）によって行われるが、ツールによって発生するイベントが異なるので、ここでいうＤＤｏＳ攻撃ツールの種類は、ツールの種類であるとする。

ＤＤｏＳネットワークＤＢ３２０は、現在進行中のＤＤｏＳ攻撃のためのＤＤｏＳネットワークを形成しているアタッカ、ハンドラ、エージェントから成るグループ（不正装置群）に属する装置が格納されるＤＤｏＳネットワーク記憶手段である。

監視ログ収集部３３０は、各ネットワークを監視する監視装置から監視ログをインターネット２００を介して取得する。監視ログには、少なくとも検出されたイベントと、発信元と宛先のアドレスが登録されている。取得した監視ログは、ＤＤｏＳネットワーク導出部３４０へ送る。

ＤＤｏＳネットワーク導出部３４０のイベント情報検索部３４１は、取得した監視ログのイベントをキーとしてイベント情報ＤＢ３１０から対応するイベント情報を検索する。ＤＤｏＳネットワーク更新部３４２は、検索されたイベント情報に基づき、監視ログのイベントに関連するツール種類を特定し、特定されたツール種類に該当するＤＤｏＳネットワークがＤＤｏＳネットワークＤＢ３２０に存在し、さらに、登録されている装置のアドレスがイベントの発信元もしくは宛先と同じであるかどうかを判定する。ツール種類が同一で、発信元もしくは宛先のアドレスと同一であれば、このイベントの発信元と宛先はこのＤＤｏＳネットワークに属すると見なし、このＤＤｏＳネットワークに発信元と宛先アドレスによって特定される装置を加える。なければ、新たなＤＤｏＳネットワークとして発信元と宛先のアドレスを登録する。このとき、イベント情報によって定義された発信元と宛先の役割により、発信元と宛先の装置を分類する。

監視ログごとに上記の処理を繰り返すことにより、ＤＤｏＳネットワークＤＢ３２０には、進行中のＤＤｏＳネットワークの全容が登録されるようになる。
出力部３５０は、ＤＤｏＳネットワーク導出部３４０によって導出されたＤＤｏＳネットワークを構成する不正装置群を記したＤＤｏＳネットワークリスト４００を出力する。

以下、このようなＤＤｏＳ攻撃検知装置３００の動作について説明する。図４で説明したように、ＤＤｏＳ攻撃はシナリオに沿った段階を経て実行される。すなわち、ホストへのハンドラやエージェントの送り込み（デプロイ）、プログラムの起動（インストール）、各種設定（カスタマイズ）の段階を経て、攻撃指令が出される。

第１段階のデプロイについて説明する。図６は、デプロイにおいて発生するイベントを示した図である。デプロイの段階では、攻撃者の利用するアタッカ５１からインターネット２００経由で脆弱なホスト６０１、６０２、６０３、６０４、６０５に対してプログラムの一種であり、ファイルとして存在するハンドラ２１０ａやエージェント２２０ａ、２２０ｂを送り込む。そのため、デプロイ段階で発生するイベントの発信元はアタッカ５１で、宛先はハンドラもしくはエージェントを送り込まれるホスト群になる。図の例では、イベント５０１によりハンドラ２１０がアタッカ５１（発信元）からホスト６０２（宛先）に送られる。同様に、イベント５０２によりエージェント２２０ａがアタッカ５１からホスト６０３に送られ、イベント５０３によりエージェント２２０ｂがアタッカ５１からホスト６０５に送られる。以下、ハンドラが送り込まれたホストをハンドラ、エージェントが送り込まれたホストをエージェントとする。

第２段階のインストールについて説明する。図７は、インストールにおいて発生するイベントを示した図である。インストールの段階では、攻撃者は、アタッカ５１からインターネット２００を経由してエージェント６０６に対し、プログラムを起動するインストール指令を行う。インストール指令を受けたエージェント６０６は、プログラムを起動させると、すべてのハンドラにメッセージを一斉に送信する。そのため、インストール段階で発生するイベント５０４、５０５、５０６の発信元は、エージェント６０６で、宛先はハンドラ６０７、６０８、６０９になる。

第３段階のカスタマイズについて説明する。図８は、カスタマイズにおいて発生するイベントを示した図である。カスタマイズの段階では、攻撃者は、アタッカ５１からインターネット２００経由でハンドラ６１０にエージェントの操作・管理を指示する。ハンドラ６１０は、エージェント６１１、６１２、６１３に対し、指令メッセージを送信する。そのため、カスタマイズ段階で発生するイベント５０７、５０８、５０９の発信元は、ハンドラ６１０で、宛先はエージェント６１１、６１２、６１３になる。

このように、ＤＤｏＳ攻撃の各段階で発生するイベントに応じて、発信元と宛先の役割（アタッカ、ハンドラ、エージェント）が特定できるとともに、同一のＤＤｏＳネットワークに属するマシンを検出することができる。

たとえば、デプロイ段階のイベントについて、発信元のアタッカのアドレスが一致する場合には、宛先は同一のアタッカによってプログラムが送り込まれたハンドラとエージェントであり、同じＤＤｏＳネットワークに属すると見なせる。また、インストール段階のイベントについて発信元のエージェントが一致する場合には、宛先は同一のエージェントによって同時に制御通信が送信されたハンドラであり、同じＤＤｏＳネットワークに属する。同様に、カスタマイズ段階のイベントについては発信元のハンドラが一致する場合には、宛先は同一のハンドラによって同時に制御通信が送信されたエージェントであり、同じＤＤｏＳネットワークに属する。

以上のイベントおよび発信元と宛先の関係を定義することにより、イベント情報が設定される。
図９は、イベント情報ＤＢのデータ構造例を示す図である。イベント情報ＤＢ３１０は、ツール種類ごとに、そのツールで実行されるイベントの種類と、そのイベントの発信元と宛先の役割およびイベントの発信元と宛先をＤＤｏＳネットワークに関連付ける際の関連付けのキーが互いに関連付けられ、登録されている。たとえば、ツール種類「Trinoo」で発生するイベントの種類「trinoo agent deploy」に関する定義３１１では、そのイベントの発信元は「アタッカ」、宛先は「エージェント」として機能するという定義がされている。また、関連付けキーとして「アタッカ」を用いることが定義されている。

上記の説明のイベント情報がイベント情報ＤＢ３１０に格納され、処理が開始される。監視ログ収集部３３０は、インターネット２００経由で監視ログを収集する。図１０は、監視ログの一例を示す図である。監視ログ２４０は、監視装置がイベントを検出した日時と、検出したイベント名と、イベントの発信元アドレスと宛先アドレスとが記録されている。たとえば、ログ２４１には、検出日時が「2004/04/23 16:32:09」、検出イベント名が「trinoo agent deploy」、発信元アドレスが「xxx.10.20.30」、宛先アドレスが「xxx.30.40.50」であることが記録されている。

ＤＤｏＳネットワーク導出部３４０のイベント情報検索部３４１で、このログ２４１の検出イベント名「trinoo agent deploy」をキーとしてイベント情報ＤＢ３１０を検索する。検索によって、イベント種類「trinoo agent deploy」の定義３１１、すなわち、ツール種類「Trinoo」、発信元の役割「アタッカ」、宛先の役割「エージェント」、関連付けのキー「アタッカ」が得られる。そこで、ＤＤｏＳネットワーク更新部３４２は、検索されたイベント種類「trinoo agent deploy」の定義３１１に基づき、ログ２４１は、ツール種類「Trinoo」によって、「アタッカ」（発信元）から「エージェント」（宛先）に送られたメッセージであることがわかる。次に、ＤＤｏＳネットワークＤＢ３２０をツール種類「Trinoo」と関連付けのキー「アタッカ」で検索する。検出できない場合は、ツール種類「Trinoo」に対応付けて、「アタッカ」の発信元アドレス「xxx.10.20.30」と「エージェント」の宛先アドレス「xxx.30.40.50」をエントリする。

図１１は、ＤＤｏＳネットワークＤＢのデータ構造例を示す図である。ＤＤｏＳネットワークＤＢ３２０には、検出されたＤＤｏＳネットワークのエントリごとに、ツール種類と、アタッカ、ハンドラ、エージェントのアドレスが互いに関連付けられて登録される。

上記のログ２４１の場合、ＤＤｏＳネットワークＤＢ３２０に該当するＤＤｏＳネットワークが検出されなかった場合、ＤＤｏＳネットワークとして、ツール種類「Trinoo」、「アタッカ」の発信元アドレス「xxx.10.20.30」および「エージェント」の宛先アドレス「xxx.30.40.50」がエントリされる。

同様にしてログ２４２「検出日時＝2004/04/23 19:05:47、検出イベント名＝Trinoo agent deploy、発信元アドレス＝xxx.10.20.30、宛先アドレス＝xxx.80.70.60」について、イベント種類「trinoo agent deploy」の定義３１１が検索される。次に、ＤＤｏＳネットワークＤＢ３２０をツール種類「Trinoo」と関連付けのキー「アタッカ」で検索し、先ほどエントリされた「アタッカ＝xxx.10.20.30」のエントリが検出される。そこで、宛先アドレス「xxx.80.70.60」を同じＤＤｏＳネットワークの「エージェント」にエントリする。

関連付けのキーがハンドラあるいはエージェントの場合も同様に、関連付けのキーに基づいて、監視ログと同じハンドラあるいはエージェントのアドレスを検索し、存在した場合はそのＤＤｏＳネットワークの所定の役割に宛先のアドレスをエントリする。

以上の処理手順が繰り返されることにより、同じＤＤｏＳネットワークに属するアタッカ、ハンドラおよびエージェントのアドレスが検出され、ＤＤｏＳネットワークＤＢ３２０に蓄積される。図から明らかなように、各エントリに対して、ハンドラやエージェントは複数個のアドレスがリスト化される。

次に、ＤＤｏＳネットワーク検出の処理手順について、フローチャートを用いて説明する。以下、アタッカをキーとしてＤＤｏＳネットワークを検出する場合、ハンドラをキーとしてＤＤｏＳネットワークを検出する場合およびエージェントをキーとしてＤＤｏＳネットワークを検出する場合について、順に説明する。

まず、アタッカをキーとしてＤＤｏＳネットワークを検出する場合について説明する。図１２は、アタッカをキーとするＤＤｏＳネットワーク検出処理手順を示したフローチャートである。

［ステップＳ０１］ 監視ログ２４０から、「検出イベント名」、「発信元」および「宛先」の各データを抽出する。
［ステップＳ０２］ ステップＳ０１で抽出した「検出イベント名」をキーとしてイベント情報ＤＢ３１０を検索し、対応するイベント情報を抽出する。そして、「ツール種類」、「宛先の役割」および「関連付けのキー」を取得する。

［ステップＳ０３］ 「イベント情報」がＤＤｏＳ攻撃関連であるかどうかを判定する。具体的には、ステップＳ０２の検索によって対応するイベント情報が検出されたかどうかで判断する。すなわち、イベント情報ＤＢ３１０に存在すればＤＤｏＳ攻撃関連である。存在しなければＤＤｏＳ攻撃関連ではないので、処理を終了する。

［ステップＳ０４］ 「イベント情報」がＤＤｏＳ攻撃関連であるので、抽出された「イベント情報」の「ツール情報」をキーとして、進行中のＤＤｏＳネットワークが格納されるＤＤｏＳネットワークＤＢ３２０を検索する。

［ステップＳ０５］ ＤＤｏＳネットワークＤＢ３２０に「ツール種類」が同一のＤＤｏＳネットワークのエントリがあるかどうかを判定する。検出されなければ、処理をステップＳ０８へ進める。

［ステップＳ０６］ ＤＤｏＳネットワークＤＢ３２０に同一の「ツール種類」のエントリが検出されたので、このエントリにおける「アタッカ」と監視ログの発信元を照合し、同一であるかどうかを判定する。同一でなければ、処理をステップＳ０８へ進める。

［ステップＳ０７］ 検出されたＤＤｏＳネットワークのエントリ（「ツール種類」と「アタッカ」が同一）に「宛先」を「ハンドラ」か「エージェント」に追加する。「ハンドラ」と「エージェント」のどちらにエントリするかは、検索されたイベント情報の「宛先の役割」により決定する。エントリした後、処理を終了する。

［ステップＳ０８］ ＤＤｏＳネットワークのエントリ（「ツール種類」と「アタッカ」が同一）が検出されなかった場合、新規のエントリを作成し、「アタッカ」として「発信元」、宛先を「ハンドラ」または「エージェント」に登録する。「ハンドラ」か「エージェント」の判別はステップＳ０７と同様に行う。エントリした後、処理を終了する。

以上の処理を実行することにより、主としてデプロイ段階で発生する発信元はアタッカで、宛先はハンドラもしくはエージェントのイベントを検出した監視ログからＤＤｏＳネットワークが検出される。

次に、ハンドラをキーとしてＤＤｏＳネットワークを検出する場合について説明する。図１３は、ハンドラをキーとするＤＤｏＳネットワーク検出処理手順を示したフローチャートである。

［ステップＳ１１］ 監視ログ２４０から、「検出イベント名」、「発信元」および「宛先」の各データを抽出する。
［ステップＳ１２］ ステップＳ１１で抽出した「検出イベント名」をキーとしてイベント情報ＤＢ３１０を検索し、対応するイベント情報を抽出する。そして、「ツール種類」、「宛先の役割」および「関連付けのキー」を取得する。

［ステップＳ１３］ 「イベント情報」がＤＤｏＳ攻撃関連であるかどうかを判定する。具体的には、ステップＳ１２の検索によって対応するイベント情報が検出されたかどうかで判断する。すなわち、イベント情報ＤＢ３１０に存在すればＤＤｏＳ攻撃関連である。存在しなければＤＤｏＳ攻撃関連ではないので、処理を終了する。

［ステップＳ１４］ 「イベント情報」がＤＤｏＳ攻撃関連であるので、抽出された「イベント情報」の「ツール情報」をキーとして、進行中のＤＤｏＳネットワークが格納されるＤＤｏＳネットワークＤＢ３２０を検索する。

［ステップＳ１５］ ＤＤｏＳネットワークＤＢ３２０に「ツール種類」が同一のＤＤｏＳネットワークのエントリがあるかどうかを判定する。検出されなければ、処理を終了する。

［ステップＳ１６］ ＤＤｏＳネットワークＤＢ３２０に同一の「ツール種類」のエントリが検出されたので、このエントリにおける「ハンドラ」と監視ログの発信元を照合し、同一であるかどうかを判定する。同一でなければ、処理をステップＳ１８へ進める。

［ステップＳ１７］ 検出されたＤＤｏＳネットワークのエントリ（「ツール種類」と「ハンドラ」が同一）に「宛先」を「エージェント」に追加する。エントリした後、処理を終了する。

［ステップＳ１８］ ＤＤｏＳネットワークのエントリ（「ツール種類」と「ハンドラ」が同一）が検出されなかった場合、新規のエントリを作成し、「ハンドラ」として「発信元」、宛先を「エージェント」に登録し、処理を終了する。

以上の処理を実行することにより、主としてカスタマイズ段階で発生する発信元はハンドラで、宛先はエージェントのイベントを検出した監視ログからＤＤｏＳネットワークが検出される。

そして、エージェントをキーとしてＤＤｏＳネットワークを検出する場合について説明する。図１４は、エージェントをキーとするＤＤｏＳネットワーク検出処理手順を示したフローチャートである。

［ステップＳ２１］ 監視ログ２４０から、「検出イベント名」、「発信元」および「宛先」の各データを抽出する。
［ステップＳ２２］ ステップＳ２１で抽出した「検出イベント名」をキーとしてイベント情報ＤＢ３１０を検索し、対応するイベント情報を抽出する。そして、「ツール種類」、「宛先の役割」および「関連付けのキー」を取得する。

［ステップＳ２３］ 「イベント情報」がＤＤｏＳ攻撃関連であるかどうかを判定する。具体的には、ステップＳ２２の検索によって対応するイベント情報が検出されたかどうかで判断する。すなわち、イベント情報ＤＢ３１０に存在すればＤＤｏＳ攻撃関連である。存在しなければＤＤｏＳ攻撃関連ではないので、処理を終了する。

［ステップＳ２４］ 「イベント情報」がＤＤｏＳ攻撃関連であるので、抽出された「イベント情報」の「ツール情報」をキーとして、進行中のＤＤｏＳネットワークが格納されるＤＤｏＳネットワークＤＢ３２０を検索する。

［ステップＳ２５］ ＤＤｏＳネットワークＤＢ３２０に「ツール種類」が同一のＤＤｏＳネットワークのエントリがあるかどうかを判定する。検出されなければ、処理をステップＳ０８へ進める。

［ステップＳ２６］ ＤＤｏＳネットワークＤＢ３２０に同一の「ツール種類」のエントリが検出されたので、このエントリにおける「エージェント」と監視ログの発信元を照合し、同一であるかどうかを判定する。同一でなければ、処理をステップＳ２８へ進める。

［ステップＳ２７］ 検出されたＤＤｏＳネットワークのエントリ（「ツール種類」と「エージェント」が同一）に「宛先」を「ハンドラ」に追加し、処理を終了する。
［ステップＳ２８］ ＤＤｏＳネットワークのエントリ（「ツール種類」と「エージェント」が同一）が検出されなかった場合、新規のエントリを作成し、「エージェント」として「発信元」、宛先を「ハンドラ」に登録し、処理を終了する。

以上の処理を実行することにより、主としてインストール段階で発生する発信元はエージェントで、宛先はハンドラのイベントを検出した監視ログからＤＤｏＳネットワークが検出される。

なお、実際の処理においては、ＤＤｏＳ攻撃の進行状況によらずＤＤｏＳネットワークを検出するため、上記の説明のすべての処理手順が行われることが望ましい。この場合、上記処理手順を順に実行することもできる。また、上記処理フローのステップＳ０５，ステップＳ１５およびステップＳ２５までの処理を共通とし、ステップＳ０６、ステップＳ１６あるいはステップＳ２６の実行前に、たとえば、イベント情報で定義された関連キーを参照し、関連キーに指定された項目でそれぞれの処理に分岐させるようにしてもよい。

以上の処理手順が実行されることにより、ＤＤｏＳ攻撃が発生する前の準備段階のイベントが記録された監視ログからＤＤｏＳネットワークを検出し、ＤＤｏＳネットワークの全容を把握することができる。このように、ＤＤｏＳ攻撃が発生するまでの監視ログにより、ＤＤｏＳ攻撃の前にＤＤｏＳネットワークの全容が把握できるため、攻撃規模や被害規模を予測し、有効な対策をとることができる。

［第２の実施の形態］
次に、第２の実施の形態について説明する。第２の実施の形態は、第１の実施の形態によって検出された不正ネットワーク（ＤＤｏＳネットワーク）による攻撃規模もしくは被害規模を予測する。

図１５は、本発明の第２の実施の形態のＤＤｏＳ攻撃検知装置の内部構成を示すブロック図である。図５と同じものには同じ番号を付し、説明は省略する。
本発明に係るＤＤｏＳ攻撃検知装置３０１は、イベント情報ＤＢ３１０、ＤＤｏＳネットワークＤＢ３２０、監視ログ収集部３３０、ＤＤｏＳネットワーク導出部３４０、出力部３５０、攻撃力情報ＤＢ３６１、攻撃規模予測部３６２、ネットワーク経路ＤＢ３７１、被害規模予測部３７２、攻撃回避策ＤＢ３８１、攻撃回避策実行部３８２および表示制御部３９０を有する。

攻撃力情報ＤＢ３６１は、ＤＤｏＳ攻撃ツール種類と攻撃の種類に対応付けて、その攻撃力が格納されている。攻撃力には、エージェントが浪費できるネットワーク帯域が設定される。

攻撃規模予測部３６２は、ＤＤｏＳネットワーク導出部３４０によって検出されたＤＤｏＳネットワークのエージェントが一斉に攻撃を行った場合の攻撃規模を予測する。
ネットワーク経路ＤＢ３７１は、ネットワークの経路（トポロジー）と、その経路の帯域などのネットワーク経路情報が格納される。

被害規模予測部３７２は、ネットワーク上の任意の点における被害規模を予測する。攻撃が発生した際のエージェントから任意の点までのネットワーク経路の帯域やトポロジーを考慮して、任意の点における被害規模を予測する。なお、任意の点は、複数とることができる。また、被害規模の予測結果から、ネットワーク経路情報を用いたグラフィカルな表示データを作成し、表示制御部３９０経由でモニタ１１に表示させる。

攻撃回避策ＤＢ３８１は、ＤＤｏＳネットワーク、攻撃規模、被害規模などに応じた適切な攻撃回避のための処理手順が格納される。
攻撃回避策実行部３８２は、被害規模予測部３７２で予測された被害規模がどの段階に相当するかを判定し、攻撃回避策ＤＢ３８１より検索された攻撃回避策の処理手順を実行する。

このようなＤＤｏＳ攻撃検知装置３０１の動作について説明する。
図１６は、攻撃力情報ＤＢのデータ構造例を示す図である。攻撃力情報ＤＢ３６１は、ツール種類ごとに、そのツールで実行される攻撃の種類と、その攻撃力が互いに関連付けられ、登録されている。攻撃力は、１台のエージェントが浪費できるネットワーク帯域が定義されている。

なお、図１６では、ツール種類ばかりではなく、攻撃の種類ごとに浪費帯域を定義している。これは、ツールによっては、設定によっていくつかの種類の攻撃を発生させることができるものがあるからである。

攻撃規模予測部３６２は、ＤＤｏＳネットワーク導出部３４０の導出したＤＤｏＳネットワークについて、ＤＤｏＳネットワークのエージェントが一斉に攻撃を行った場合の攻撃規模を予測する。基本的な攻撃予測は、ＤＤｏＳネットワークに属するエージェントの数と１台のエージェントが浪費できるネットワーク帯域との積をとることで行う。浪費できるネットワーク帯域は、ツール種類をキーとして攻撃力ＤＢ３６１を検索して取得する。なお、攻撃の種類がいくつかある場合は、このＤＤｏＳネットワークにおけるＤＤｏＳ攻撃の経過に基づいて攻撃の種類を判定する。上記の説明のように、ＤＤｏＳ攻撃の進行状況は、シナリオとして表すことができる。そこで、攻撃のシナリオを予め作成し、監視ログと照合し、進行状況やどのようなシナリオに沿って処理を行っているのかを判定する。このような解析により、攻撃時に選択される攻撃の種類を予測することができる。得られた攻撃規模の予測結果は、出力レポートとして出力する。また、表示制御部３９０経由で予測結果をモニタ１１に表示してもよい。

さらに、以上の処理手順により予測された規模の攻撃によって、ネットワークに与える被害規模を予測する。
被害規模予測処理について説明する。図１７は、ネットワーク経路ＤＢで定義されるインターネットマップ例を示した図である。インターネットマップとは、インターネット全体のトポロジー（形状）と帯域（太さ）に関する情報をマップ上に示したものである。たとえば、ネットワーク上の点ＧＷ５について見ると、ＧＷ２、ＧＷ３およびＧＷ６に繋がる経路があり、それぞれの経路の帯域は２００ｐｐｓ（パケット／秒）、１００ｐｐｓ、３００ｐｐｓであることが示されている。実際のネットワーク経路ＤＢ３７１では、ある任意の点をキーとして、そこへ接続する経路や帯域が検索できるように各データが関連付けられている。

図の例では、ＩＳＰ Ｂ（２０２）内のターゲット７００に対し、同一ＩＳＰ内のエージェントＡ５（７０１）から発信されるパケットは、ＧＷ８（７０２）、ＧＷ９（７０３）、ＧＷ１１（７０４）という経路で伝達する。一方、異なるＩＳＰであるＩＳＰ Ａ（２０１）内のエージェントＡ４（７０５）の発信するパケットは、ＧＷ３（７０６）、ＧＷ５（７０７）、ＧＷ６（７０８）、ＧＷ７（７０９），ＧＷ１０（７１０）、ＧＷ１１（７０４）を通過する。このため、エージェントＡ４（７０５）の浪費する帯域が高い場合であっても、経路の帯域（１００ｐｐｓ）によって最大値が制限されてしまう。

このように、ある地点への被害規模（浪費される帯域）を算出する場合、エージェント１台あたりの攻撃力と、エージェントからある地点までの経路の帯域の最大値などを考慮して求められる。ネットワークのトポロジーと帯域を考慮することにより、攻撃規模からだけでは予測できない被害規模が把握できる。

なお、ある個人や団体がインターネット全体のマップを持つことは、現実的には難しいが、ＩＳＰ内など、所定の範囲内で任意のある地点とエージェントの間のネットワークの帯域を求めることはできる。これにより、被害規模を予測できる。

また、ＩＳＰ間で連携する方式も考えられる。自ＩＳＰの内部マップを他のＩＳＰ管理者に教えることは現実的ではないが、自ＩＳＰから他のＩＳＰへの最大攻撃力を教えることができると思われる。他のＩＳＰ経由で攻撃があった場合の最大値を知ることにより、自ＩＳＰ内の被害予測が可能となる。

さらに、上記の任意の点への被害予測をいくつもの点に対して求め、重ね合わせることで、被害規模の分布をえることもできる。図１８は、被害予測の重ね合わせの一例を示した図である。Ａ、Ｂ、Ｃ、・・・は、ネットワーク上の任意の点である。

被害規模予測部３７２により、各任意の点Ａ、Ｂ、Ｃがターゲットの場合における他の点の被害規模を算出する。これにより、Ａがターゲットの場合のＡ、Ｂ、Ｃ、Ｄ、Ｅ、・・・が受ける被害のレポート８０１、Ｂがターゲットの場合のＡ、Ｂ、Ｃ、Ｄ、Ｅ、・・・が受ける被害のレポート８０２、Ｃがターゲットの場合のＡ、Ｂ、Ｃ、Ｄ、Ｅ、・・・が受ける被害のレポート８０３、というように、複数のターゲットに関する被害規模レポートが得られる。これらのレポート結果をターゲットごとに重みを付けて重ね合わせることにより、最終的な予測被害規模のレポート８０４が得られる。

図１９は、予測被害規模の表示画面例を示した図である。
上記の処理により算出された被害規模の予測をまとめ、ＩＳＰやＩＸ単位の被害規模を算出する。そして、ネットワーク経路ＤＢ３７１に格納されたネットワークマップと対応付けて、ＩＳＰ、ＩＸのネットワーク構成図がモニタ１１に表示する。

予測被害規模表示画面９００では、ネットワーク経路上のＩＳＰ、ＩＸがマップ形式で表示される。さらに、各ＩＳＰ、ＩＸは、被害規模の大きさに応じた危険度によって色分けされている。このような表示画面によって、ＤＤｏＳ攻撃に対する危険度が容易に把握できるようになる。

次に、攻撃回避策の実行処理について説明する。
攻撃回避策ＤＢ３８１には、ＤＤｏＳネットワーク、攻撃規模、被害規模などに応じた適切な攻撃回避のための処理手順が、被害規模の段階に対応付けられて、格納されている。たとえば、被害規模が小さい場合には、攻撃を起こすエージェントあるいはハンドラとなったホストの管理者（管理ホスト）に連絡するというような処理手順が設定されている。また、被害規模が甚大であると予測される場合には、その経路を一定時間遮断する処理手順が設定されている。

攻撃回避策実行部３８２は、被害規模予測部３７２で予測された被害規模がどの段階に相当するかを判定し、その段階をキーとして攻撃回避策ＤＢ３８１から対応する攻撃回避策を検索する。そして、検索された攻撃回避策の処理手順を実行する。

なお、上記の処理機能は、コンピュータによって実現することができる。その場合、不正アクセス検知装置およびＤＤｏＳ攻撃検知装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ(Digital Versatile Disc)、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)、ＣＤ−Ｒ(Recordable)／ＲＷ(ReWritable)などがある。光磁気記録媒体には、ＭＯ(Magneto-Optical disk)などがある。

プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。

（付記１） ネットワークを介した不正アクセスを検出するための不正アクセス検知装置において、
準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段と、
現在進行中の前記ネットワークイベントに関わった不正装置群を格納する不正装置群記憶手段と、
各ネットワークを監視する監視装置が検出した前記ネットワークイベントを含む監視情報を収集する監視情報収集手段と、
収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として前記不正装置群記憶手段に格納する不正装置群導出手段と、
前記不正装置群導出手段により導出された前記不正装置群のリストを出力する出力手段と、
を具備することを特徴とする不正アクセス検知装置。

（付記２） 前記イベント情報記憶手段では、前記ネットワークイベントの発信元および宛先を前記不正装置群に関連付ける際のキーとなる関連キーが定義されており、
前記不正装置群導出手段では、前記監視情報から前記発信元もしくは前記宛先のアドレスを抽出し、前記イベント情報の前記関連キーを用いて前記不正装置群記憶手段の前記不正装置群から前記監視情報から抽出された前記アドレスと一致するアドレスを検索し、一致した場合に前記監視情報から検出される前記不正装置を前記不正装置群に加えることを特徴とする付記１記載の不正アクセス検知装置。

（付記３） 前記イベント情報記憶手段では、前記イベント情報に前記ネットワークイベントの発信元と宛先とのそれぞれの役割が定義されており、
前記不正装置群導出手段は、前記イベント情報に定義されたそれぞれの役割に基づき、導出された前記不正装置を前記役割に応じて分類することを特徴とする付記１記載の不正アクセス検知装置。

（付記４） 前記不正アクセス検知装置は、さらに、
前記不正装置群によって前記不正アクセスが行われた際の攻撃力を前記不正アクセスの種類ごとに格納する攻撃力情報記憶手段と、
前記不正装置群導出手段により導出された前記不正アクセスをキーとして前記攻撃力情報記憶手段から対応する攻撃力情報を検索し、検索された前記攻撃力情報を用いて前記不正装置群が前記不正アクセスを行った場合の攻撃規模を算出する攻撃規模予測手段と、
を備えたことを特徴とする付記１記載の不正アクセス検知装置。

（付記５） ネットワークを介した不正アクセスを検出するための不正アクセス検知方法において、
各ネットワークを監視する監視装置が検出したネットワークイベントを含む監視情報を監視情報収集手段で収集し、
準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段から収集した前記監視情報の前記ネットワークイベントをキーとして対応する前記イベント情報を不正装置群導出手段で検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として導出し、
前記不正装置群に関する不正装置群リストを出力手段で出力する、
ことを特徴とする不正アクセス検知方法。

（付記６） ネットワークを介した不正アクセスを検出するための不正アクセス検知プログラムにおいて、
コンピュータを、
準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段、
現在進行中の前記ネットワークイベントに関わった不正装置群を格納する不正装置群記憶手段、
各ネットワークを監視する監視装置が検出した前記ネットワークイベントを含む監視情報を収集する監視情報収集手段、
収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として前記不正装置群記憶手段に格納する不正装置群導出手段、
前記不正装置群導出手段により導出された前記不正装置群のリストを出力する出力手段、
として機能させるための不正アクセス検知プログラム。

（付記７） ネットワークを介した分散型サービス不能化（ＤＤｏＳ：Distributed Denial of Service）攻撃を検出するためのＤＤｏＳ攻撃検知装置において、
前記ＤＤｏＳ攻撃を行うＤＤｏＳネットワーク構築の準備動作から前記ＤＤｏＳ攻撃の開始までに実行されるネットワークイベントを定義したイベント情報を格納するイベント情報記憶手段と、
現在進行中の前記ＤＤｏＳ攻撃のための前記ＤＤｏＳネットワークを構成する不正装置群を格納するＤＤｏＳネットワーク記憶手段と、
各ネットワークを監視する監視装置が検出した前記ネットワークイベントに関する監視情報を収集する監視情報収集手段と、
収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記ＤＤｏＳ攻撃ツールの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記ＤＤｏＳ攻撃に繋がる不正装置群として前記ＤＤｏＳネットワーク記憶手段に格納するＤＤｏＳネットワーク導出手段と、
前記ＤＤｏＳネットワーク導出手段により導出された前記ＤＤｏＳネットワークを構成する前記不正装置群のリストを出力する出力手段と、
を具備することを特徴とするＤＤｏＳ攻撃検知装置。

（付記８） 前記イベント情報記憶手段では、前記イベント情報に前記ネットワークイベントの発信元と宛先のそれぞれの役割が定義されており、
前記ＤＤｏＳネットワーク導出手段は、前記イベント情報に定義されたそれぞれの役割に基づき、導出された前記不正装置を前記役割に応じて分類することを特徴とする付記７記載のＤＤｏＳ攻撃検知装置。

（付記９） 前記ＤＤｏＳネットワーク導出手段は、前記監視情報ごとに、前記イベント情報に基づき判定される前記ＤＤｏＳ攻撃ツールの種類をキーとして前記ＤＤｏＳネットワーク記憶手段から同じＤＤｏＳ攻撃ツールの種類で既に検出された前記ＤＤｏＳネットワークを検索し、前記監視情報の前記発信元のアドレスと検索された前記ＤＤｏＳネットワークに既にエントリされた前記発信元と同じ役割に分類されるアドレスとを照合し、一致した場合には前記監視情報の前記宛先のアドレスを前記ＤＤｏＳネットワークにエントリして前記ＤＤｏＳネットワーク記憶手段を更新することを特徴とする付記８記載のＤＤｏＳ攻撃検知装置。

（付記１０） 前記イベント情報記憶手段では、前記イベント情報に前記ネットワークイベントの発信元と宛先とのそれぞれの役割が定義されており、
前記ＤＤｏＳネットワーク導出手段は、前記イベント情報に基づき発信元の前記役割がエージェントと判定され、かつ前記発信元のアドレスが同一の前記ネットワークイベントの宛先をまとめ、ハンドラとして同じ前記ＤＤｏＳネットワークに設定することを特徴とする付記７記載のＤＤｏＳ攻撃検知装置。

（付記１１） 前記ＤＤｏＳ攻撃ツールの種類に応じた攻撃力が定義された攻撃力情報記憶手段と、
前記ＤＤｏＳネットワーク導出手段により導出された前記ＤＤｏＳネットワークの前記ＤＤｏＳ攻撃ツールの種類をキーとして前記攻撃力情報記憶手段から対応する前記攻撃力情報を検索し、検索された前記攻撃力情報を用いて前記ＤＤｏＳネットワークによる攻撃が発生した場合の攻撃規模を算出する攻撃規模予測手段と、
をさらに有することを特徴とする付記７記載のＤＤｏＳ攻撃検知装置。

（付記１２） 前記攻撃力情報記憶手段の前記攻撃力情報で定義された攻撃力は、前記ＤＤｏＳネットワークのエージェントが浪費できるネットワーク帯域であり、
前記攻撃規模予測手段は、前記ＤＤｏＳネットワークに属する前記エージェントの数と前記エージェントが浪費できる前記ネットワーク帯域との積をとることによって攻撃規模を算出することを特徴とする付記１１記載のＤＤｏＳ攻撃検知装置。

（付記１３） 少なくとも前記ＤＤｏＳネットワークに属する前記エージェントとネットワーク上の任意の点とを含むネットワーク経路と前記経路の帯域を含むネットワーク経路情報を記憶するネットワーク経路情報記憶手段と、
前記攻撃規模予測手段により算出された前記攻撃規模による前記ＤＤｏＳ攻撃が発生した場合に、前記ＤＤｏＳ攻撃が前記ネットワーク経路を通過して前記ネットワーク上の任意の点に及ぼす被害規模を前記ネットワーク経路情報に基づき予測する被害規模予測手段と、
を有することを特徴とする付記１１記載のＤＤｏＳ攻撃検知装置。

（付記１４） 前記被害規模予測手段は、前記ネットワーク経路情報取得手段で取得した前記ネットワーク経路とともに、前記被害規模予測手段によって予測された前記ネットワーク経路上の任意の点における前記被害規模を前記ネットワーク経路に重ねて表示することを特徴とする付記１３記載のＤＤｏＳ攻撃検知装置。

（付記１５） 前記被害規模に大きさに応じて前記ＤＤｏＳ攻撃を回避する攻撃回避処理手順を格納する攻撃回避策情報記憶手段と、
前記被害規模予測手段によって算出された前記被害規模をキーとして前記回避策情報記憶手段から前記被害規模に対応する前記攻撃回避処理手順を検索し、検索された前記回避策処理手順を実行する回避策実行手段と、
を有することを特徴とする付記１３記載のＤＤｏＳ攻撃検知装置。

（付記１６） 前記イベント情報記憶手段では、前記イベント情報に前記ネットワークイベントを発生させるＤＤｏＳ攻撃発生ツールを設定しており、
前記ＤＤｏＳネットワーク導出手段は、前記イベント情報に基づき、前記ＤＤｏＳ攻撃ツールの種類が同一の前記ネットワークイベントに関し、前記発信元もしくは宛先アドレスを照合することを特徴とする付記７記載のＤＤｏＳ攻撃検知装置。

（付記１７） ネットワークを介した分散型サービス不能化（ＤＤｏＳ：Distributed Denial of Service）攻撃を検出するためのＤＤｏＳ攻撃検知方法において、
各ネットワークを監視する監視装置が検出した前記ネットワークイベントに関する監視情報を監視情報収集手段で収集し、
ＤＤｏＳネットワーク導出手段で、前記ＤＤｏＳ攻撃を行う前記不正装置群から成るＤＤｏＳネットワーク構築の準備動作から前記ＤＤｏＳ攻撃の開始までに実行されるネットワークイベントを定義したイベント情報を格納するイベント情報記憶手段から収集した前記監視情報の前記ネットワークイベントをキーとして対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記ＤＤｏＳ攻撃ツールの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記ＤＤｏＳ攻撃に繋がる不正装置群として導出し、
導出された前記ＤＤｏＳネットワークを構成する前記不正装置群のリストを出力手段で出力する、
ことを特徴とするＤＤｏＳ攻撃検知方法。

（付記１８） ネットワークを介した分散型サービス不能化（ＤＤｏＳ：Distributed Denial of Service）攻撃を検出するためのＤＤｏＳ攻撃検知プログラムにおいて、
コンピュータを、
前記ＤＤｏＳ攻撃を行う前記不正装置群から成るＤＤｏＳネットワーク構築の準備動作から前記ＤＤｏＳ攻撃の開始までに実行されるネットワークイベントを定義したイベント情報を格納するイベント情報記憶手段、
現在進行中の前記ＤＤｏＳ攻撃のための前記ＤＤｏＳネットワークを構成する前記不正装置群を格納するＤＤｏＳネットワーク記憶手段、
各ネットワークを監視する監視装置が検出した前記ネットワークイベントに関する監視情報を収集する監視情報収集手段、
収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記ＤＤｏＳ攻撃ツールの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記ＤＤｏＳ攻撃に繋がる不正装置群として前記ＤＤｏＳネットワーク記憶手段に格納するＤＤｏＳネットワーク導出手段、
前記ＤＤｏＳネットワーク導出手段により導出された前記ＤＤｏＳネットワークを構成する前記不正装置群のリストを出力する出力手段、
として機能させるためのＤＤｏＳ攻撃検知プログラム。

本発明の実施の形態に適用される発明の概念図である。 本発明の実施の形態に係るネットワークシステムの構成例を示す図である。 本発明の実施の形態に用いる不正アクセス検知装置のハードウェア構成例を示した図である。 ＤＤｏＳ攻撃の発生メカニズムを示す概念図である。 第１の実施の形態のＤＤｏＳ攻撃検知装置の内部構成を示すブロック図である。 デプロイにおいて発生するイベントを示した図である。 インストールにおいて発生するイベントを示した図である。 カスタマイズにおいて発生するイベントを示した図である。 イベント情報ＤＢのデータ構造例を示す図である。 監視ログの一例を示す図である。 ＤＤｏＳネットワークＤＢのデータ構造例を示す図である。 アタッカをキーとするＤＤｏＳネットワーク検出処理手順を示したフローチャートである。 ハンドラをキーとするＤＤｏＳネットワーク検出処理手順を示したフローチャートである。 エージェントをキーとするＤＤｏＳネットワーク検出処理手順を示したフローチャートである。 本発明の第２の実施の形態のＤＤｏＳ攻撃検知装置の内部構成を示すブロック図である。 攻撃力情報ＤＢのデータ構造例を示す図である。 ネットワーク経路ＤＢで定義されるインターネットマップ例を示した図である。 被害予測の重ね合わせの一例を示した図である。 予測被害規模の表示画面例を示した図である。

符号の説明

１ 不正アクセス検知装置
１ａ イベント情報記憶手段
１ｂ 不正装置群記憶手段
１ｃ 監視情報収集手段
１ｄ 不正装置群導出手段
１ｅ 出力手段
２ａ、２ｂ ネットワーク
３ａ、３ｂ 監視装置
４ （不正装置群の）リスト
３００ ＤＤｏＳ攻撃検知装置
３１０ イベント情報ＤＢ
３２０ ＤＤｏＳネットワークＤＢ
３３０ 監視ログ収集部
３４０ ＤＤｏＳネットワーク導出部
３４１ イベント情報検索部
３４２ ＤＤｏＳネットワーク更新部
３５０ 出力部

Claims (10)

1. ネットワークを介した不正アクセスを検出するための不正アクセス検知装置において、
   準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段と、
   現在進行中の前記ネットワークイベントに関わった不正装置群を格納する不正装置群記憶手段と、
   各ネットワークを監視する監視装置が検出した前記ネットワークイベントを含む監視情報を収集する監視情報収集手段と、
   収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として前記不正装置群記憶手段に格納する不正装置群導出手段と、
   前記不正装置群導出手段により導出された前記不正装置群のリストを出力する出力手段と、
   を具備することを特徴とする不正アクセス検知装置。
2. 前記不正アクセス検知装置は、さらに、
   前記不正装置群によって前記不正アクセスが行われた際の攻撃力を前記不正アクセスの種類ごとに格納する攻撃力情報記憶手段と、
   前記不正装置群導出手段により導出された前記不正アクセスをキーとして前記攻撃力情報記憶手段から対応する攻撃力情報を検索し、検索された前記攻撃力情報を用いて前記不正装置群が前記不正アクセスを行った場合の攻撃規模を算出する攻撃規模予測手段と、
   を備えたことを特徴とする請求項１記載の不正アクセス検知装置。
3. ネットワークを介した不正アクセスを検出するための不正アクセス検知方法において、
   各ネットワークを監視する監視装置が検出したネットワークイベントを含む監視情報を監視情報収集手段で収集し、
   準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段から収集した前記監視情報の前記ネットワークイベントをキーとして対応する前記イベント情報を不正装置群導出手段で検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として導出し、
   前記不正装置群に関する不正装置群リストを出力手段で出力する、
   ことを特徴とする不正アクセス検知方法。
4. ネットワークを介した不正アクセスを検出するための不正アクセス検知プログラムにおいて、
   コンピュータを、
   準備動作を経て所定の不正アクセスが実行されるまでにネットワークを介して行われるネットワークイベントを定義したイベント情報が格納されたイベント情報記憶手段、
   現在進行中の前記ネットワークイベントに関わった不正装置群を格納する不正装置群記憶手段、
   各ネットワークを監視する監視装置が検出した前記ネットワークイベントを含む監視情報を収集する監視情報収集手段、
   収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記不正アクセスの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記不正アクセスに関わった不正装置群として前記不正装置群記憶手段に格納する不正装置群導出手段、
   前記不正装置群導出手段により導出された前記不正装置群のリストを出力する出力手段、
   として機能させるための不正アクセス検知プログラム。
5. ネットワークを介した分散型サービス不能化（ＤＤｏＳ：Distributed Denial of Service）攻撃を検出するためのＤＤｏＳ攻撃検知装置において、
   前記ＤＤｏＳ攻撃を行うツールであるＤＤｏｓ攻撃ツールによってＤＤｏＳネットワーク構築の準備動作から前記ＤＤｏＳ攻撃の開始までに実行されるネットワークイベントを定義したイベント情報を格納するイベント情報記憶手段と、
   現在進行中の前記ＤＤｏＳ攻撃のための前記ＤＤｏＳネットワークを構成する不正装置群を格納するＤＤｏＳネットワーク記憶手段と、
   各ネットワークを監視する監視装置が検出した前記ネットワークイベントに関する監視情報を収集する監視情報収集手段と、
   収集した前記監視情報の前記ネットワークイベントをキーとして前記イベント情報記憶手段から対応する前記イベント情報を検索し、検索された前記イベント情報に基づき前記ネットワークイベントに繋がる前記ＤＤｏＳ攻撃ツールの種類が同じでかつ前記ネットワークイベントの発信元もしくは宛先のアドレスが同じ装置を前記ＤＤｏＳ攻撃に繋がる不正装置群として前記ＤＤｏＳネットワーク記憶手段に格納するＤＤｏＳネットワーク導出手段と、
   前記ＤＤｏＳネットワーク導出手段により導出された前記ＤＤｏＳネットワークを構成する前記不正装置群のリストを出力する出力手段と、
   を具備することを特徴とするＤＤｏＳ攻撃検知装置。
6. 前記イベント情報記憶手段では、前記イベント情報に前記ネットワークイベントの発信元と宛先のそれぞれの役割が定義されており、
   前記ＤＤｏＳネットワーク導出手段は、前記イベント情報に定義されたそれぞれの役割に基づき、導出された前記不正装置を前記役割に応じて分類することを特徴とする請求項５記載のＤＤｏＳ攻撃検知装置。
7. 前記ＤＤｏＳネットワーク導出手段は、前記監視情報ごとに、前記イベント情報に基づき判定される前記ＤＤｏＳ攻撃ツールの種類をキーとして前記ＤＤｏＳネットワーク記憶手段から同じＤＤｏＳ攻撃ツールの種類で既に検出された前記ＤＤｏＳネットワークを検索し、前記監視情報の前記発信元のアドレスと検索された前記ＤＤｏＳネットワークに既にエントリされた前記発信元と同じ役割に分類されるアドレスとを照合し、一致した場合には前記監視情報の前記宛先のアドレスを前記ＤＤｏＳネットワークにエントリして前記ＤＤｏＳネットワーク記憶手段を更新することを特徴とする請求項６記載のＤＤｏＳ攻撃検知装置。
8. 前記ＤＤｏＳ攻撃ツールの種類に応じた攻撃力が定義された攻撃力情報記憶手段と、
   前記ＤＤｏＳネットワーク導出手段により導出された前記ＤＤｏＳネットワークの前記ＤＤｏＳ攻撃ツールの種類をキーとして前記攻撃力情報記憶手段から対応する攻撃力が定義された攻撃力情報を検索し、検索された前記攻撃力情報を用いて前記ＤＤｏＳネットワークによる攻撃が発生した場合の攻撃規模を算出する攻撃規模予測手段と、
   をさらに有することを特徴とする請求項５記載のＤＤｏＳ攻撃検知装置。
9. 少なくとも前記ＤＤｏＳネットワークに属しておりＤＤｏＳ攻撃のターゲットに向けてパケットを送信する不正装置とネットワーク上の任意の点とを含むネットワーク経路と前記経路の帯域を含むネットワーク経路情報を記憶するネットワーク経路情報記憶手段と、
   前記攻撃規模予測手段により算出された前記攻撃規模による前記ＤＤｏＳ攻撃が発生した場合に、前記ＤＤｏＳ攻撃が前記ネットワーク経路を通過して前記ネットワーク上の任意の点に及ぼす被害規模を前記ネットワーク経路情報に基づき予測する被害規模予測手段と、
   を有することを特徴とする請求項８記載のＤＤｏＳ攻撃検知装置。
10. 前記被害規模に大きさに応じて前記ＤＤｏＳ攻撃を回避する攻撃回避処理手順を格納する攻撃回避策情報記憶手段と、
    前記被害規模予測手段によって算出された前記被害規模をキーとして前記回避策情報記憶手段から前記被害規模に対応する前記攻撃回避処理手順を検索し、検索された前記攻撃回避処理手順を実行する回避策実行手段と、
    を有することを特徴とする請求項９記載のＤＤｏＳ攻撃検知装置。
    

Images