JP5596626B2

JP5596626B2 - ＤｏＳ攻撃検出方法及びＤｏＳ攻撃検出装置

Info

Publication number: JP5596626B2
Application number: JP2011129288A
Authority: JP
Inventors: 光俊前村; 昌幸日野
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2011-06-09
Filing date: 2011-06-09
Publication date: 2014-09-24
Anticipated expiration: 2031-06-09
Also published as: JP2012257102A

Description

本発明は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを検出する技術に関する。

従来より、インターネット上のウェブサーバ等が提供するサービスを妨害する方法として、ＤｏＳ攻撃（Denial of Service attack）がある。近年では、ＳＩＰ（Session Initiation Protocol）を用いたＩＰ（Internet Protocol）電話サービスの普及に伴い、ＳＩＰサーバへのＤｏＳ攻撃の発生が懸念され、このＤｏＳ攻撃の検出および防御機能が必要となっている。

従来のＤｏＳ攻撃の検出機能としては、ＳＩＰサーバの稼働状況を収集し、その稼働状況が閾値を超えた場合にＤｏＳ攻撃が発生したことを検出し、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するものがある。この時、セッション継続のための再送ＳＩＰメッセージや、受付済みＳＩＰメッセージの後続信号は受付ける。

これにより、ＳＩＰメッセージを大量に送りつけることによってＳＩＰサーバのシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させることなく、ＳＩＰによるサービスを提供できる（特許文献１参照）。

しかしながら、ＤｏＳ攻撃として検出された場合に一定比率で新規のＳＩＰメッセージを破棄すると、悪意のないユーザがサービスを受けられなくなる可能性がある。そのため、原因となるＳＩＰメッセージの送信元アドレスを元に破棄することが必要である。この場合でも、従来、ＤｏＳ攻撃の検出閾値はシステム内で１つであり、ユーザ毎に閾値を保持していない。そのため、ＩＰ電話サービスの加入者の接続形態によって、一般ユーザと大規模ユーザでは利用可能なセッション数（最大ＳＩＰセッション数）が異なり、この違いにより同一の閾値ではＤｏＳ攻撃の誤検出になる可能性がある。

また、他のＤｏＳ攻撃の検出機能としては、ＳＩＰトランザクションで処理されるＳＩＰパケットを監視し、ＳＩＰトランザクション処理の状態と監視されるＳＩＰパケットから異常パケットを検出し、ＤｏＳ攻撃として検出するものがある。ＳＩＰトランザクション処理の状態は、ＳＩＰパケットのヘッダから取得し、当該の処理状態では意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検出する。また、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超えた場合に、ＳＩＰパケットを異常パケットとして検出する。検出した異常パケットの数が予め設定した閾値を超えた場合に、ＤｏＳ攻撃として検出する。

これにより、何らかの原因で突発的に発生した異常パケットを直ちにＤｏＳ攻撃と判断しない等、より正確にＤｏＳ攻撃を検出できる（特許文献２参照）。

しかしながら、ＤｏＳ攻撃の中には、正常なＳＩＰパケットとの違いが見られないケースがあり、この場合に対処することができない。このため、ＳＩＰパケットの通信量により判定する必要がある。この場合、従来、ＤｏＳ攻撃の検出閾値はシステム内で１つであり、ユーザ毎に閾値を保持していない。そのため、ＩＰ電話サービスの加入者の接続形態によって、一般ユーザと大規模ユーザでは利用可能なセッション数（最大ＳＩＰセッション数）が異なり、この違いにより同一の閾値ではＤｏＳ攻撃の誤検出になる可能性がある。

特開２００４−３４３５８０号公報特開２００７−２６７１５１号公報

以上説明したように、従来のＳＩＰ信号によるＤｏＳ攻撃対策では、ＳＩＰサーバの稼働状況によりその閾値を超えた場合にＤｏＳ攻撃として検出し、一定の比率で新規のＳＩＰメッセージを規制する方法があるが、悪意のないユーザがサービスを受けられなくなる可能性がある。

また、ＳＩＰトランザクション処理の状態により異常パケットを判定し、ＤｏＳ攻撃として検出する方法があるが、ＤｏＳ攻撃の中には、正常なＳＩＰパケットとの違いが見られないケースがあり、この場合に対処できない。

更に、規定秒間のＳＩＰ信号数（ＩＰパケット数）によるＤｏＳ攻撃検出を実施している方法があるが、大規模ユーザを収容している場合等では、一般のユーザに比べて利用可能セッション数が多いため、通常使用の範囲内であっても誤ってＤｏＳ攻撃として検出し、規制機能が動作してしまう場合がある。

すなわち、加入者系ＳＩＰサーバにおけるＳＩＰ信号のＤｏＳ攻撃の検出に際して、上記に述べた従来の技術では、ユーザ分類について、大規模ユーザを識別する仕組み、大規模ユーザの検出閾値の設定の仕組みが備わっていないため、一般ユーザと同じ一律の閾値でＤｏＳ攻撃検出が動作し、一般ユーザに比べ利用可能なＳＩＰセッション数が多い大規模ユーザでは、通常使用の範囲内であっても誤ってＤｏＳ攻撃として検出し、規制機能が動作してしまう課題があった。

本発明は、上記課題を鑑みてなされたものであり、その課題とするところは、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことにある。

請求項１記載のＤｏＳ攻撃検出方法は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置で行うＤｏＳ攻撃検出方法において、大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定するステップと、前記ＳＩＰ信号の送信元識別子が規制管理テーブルに含まれているか否かを判定し、前記規制管理テーブルに含まれている場合に、前記ＳＩＰ信号を破棄するステップと、前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定するステップと、大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するステップと、前記ＳＩＰ信号の受信数が前記大規模ユーザ用のＤｏＳ攻撃検出閾値を超える場合に、前記ＳＩＰ信号の送信元識別子を前記規制管理テーブルに登録し、当該ＳＩＰ信号を破棄するステップと、前記規制管理テーブルに登録してから規定時間を経過したＳＩＰ信号の送信元識別子を当該規制管理テーブルから削除するステップと、を有することを特徴とする。

本発明によれば、ＳＩＰサーバに送信されたＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較して、ＳＩＰ信号の受信数がＤｏＳ攻撃検出閾値を超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するため、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。

請求項３記載のＤｏＳ攻撃検出装置は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置において、大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する手段と、前記ＳＩＰ信号の送信元識別子が規制管理テーブルに含まれているか否かを判定し、前記規制管理テーブルに含まれている場合に、前記ＳＩＰ信号を破棄する手段と、前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定する手段と、大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する手段と、前記ＳＩＰ信号の受信数が前記大規模ユーザ用のＤｏＳ攻撃検出閾値を超える場合に、前記ＳＩＰ信号の送信元識別子を前記規制管理テーブルに登録し、当該ＳＩＰ信号を破棄する手段と、前記規制管理テーブルに登録してから規定時間を経過したＳＩＰ信号の送信元識別子を当該規制管理テーブルから削除する手段と、を有することを特徴とする。

本発明によれば、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。

本発明を適用するシステムの全体接続構成を示す図である。一実施例に係るシステムの接続構成を示す図である。ＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。ＤｏＳ攻撃検出装置の動作処理の流れを示すフローチャートである。

本発明は、ユーザ分類毎にＤｏＳ攻撃検出閾値を設けて検出を行うことを特徴としている。特に、大規模ユーザの適用を想定した大規模ユーザ用のＤｏＳ攻撃検出閾値を一般ユーザ（小規模ユーザ用のＤｏＳ攻撃検出閾値）と区別して設定することを可能とし、そのＤｏＳ攻撃検出閾値に基づいてＤｏＳ攻撃検出および規制を行う。但し、大規模ユーザ用のＤｏＳ攻撃検出閾値は、加入者の最大ＳＩＰセッション数を元に決定する。

以下、本発明について図面を用いて説明する。但し、本発明は多くの異なる様態で実施することが可能であり、本実施の形態の記載内容に限定して解釈すべきではない。

図１は、本発明を適用するシステムの全体接続構成を示す図である。本システムは、中継系ＳＩＰサーバ１と、加入者系ＳＩＰサーバ２ａ，２ｂと、アプリケーションサーバ収容ルータ３ａと、加入者収容ルータ３ｂ，３ｃと、アプリケーションサーバ４ａａ〜４ａｃと、一般ユーザ端末装置４ｂａ，４ｂｂ，４ｃａ，４ｃｂと、大規模ユーザ端末装置４ｂｃ，４ｃｃとで主に構成される。

加入者系ＳＩＰサーバ２ａおよび加入者系ＳＩＰサーバ２ｂは、中継ルータ（不図示）を介して相互に接続され、かつ中継系ＳＩＰサーバ１に接続されている。アプリケーションサーバ収容ルータ３ａおよび加入者収容ルータ３ｂは、加入者系ＳＩＰサーバ２ａに接続され、加入者収容ルータ３ｃは、加入者系ＳＩＰサーバ２ｂに接続されている。

また、アプリケーションサーバ４ａａ〜４ａｃはアプリケーションサーバ収容ルータ３ａに接続され、一般ユーザ端末装置４ｂａ，４ｂｂおよび大規模ユーザ端末装置４ｂｃは、加入者収容ルータ３ｂに接続され、一般ユーザ端末装置４ｃａ，４ｃｂおよび大規模ユーザ端末装置４ｃｃは、加入者収容ルータ３ｃに接続されている。以下、それら各サーバ等の機能について説明する。

中継系ＳＩＰサーバ１は、ＳＩＰによる中継系のセッション制御機能や、他の通信ネットワークとの接続制御機能を有するサーバである。

加入者系ＳＩＰサーバ２ａ，２ｂは、本発明が適用される装置であり、ＳＩＰによる加入者系のセッション制御機能や、ＤｏＳ攻撃の検出および規制を実施する機能を有するサーバである。

アプリケーションサーバ収容ルータ３ａは、アプリケーションサーバ４ａａ〜４ａｃを収容するルータである。加入者収容ルータ３ｂは、一般ユーザ端末装置４ｂａ，４ｂｂおよび大規模ユーザ端末装置４ｂｃを収容するルータである。加入者収容ルータ３ｃは、一般ユーザ端末装置４ｃａ，４ｃｂおよび大規模ユーザ端末装置４ｃｃを収容するルータである。

アプリケーションサーバ４ａａ〜４ａｃは、高度なアプリケーションサービス（付加サービス）を提供する機能を有するサーバである。一般ユーザ端末装置４ｂａ，４ｂｂ，４ｃａ，４ｃｂ、大規模ユーザ端末装置４ｂｃ，４ｃｃは、ユーザが操作する端末装置である。

このような全体構成を有するシステムにおいて、本発明では、加入者系ＳＩＰサーバ２ａおよび加入者系ＳＩＰサーバ２ｂに、ユーザ分類毎に区別したＤｏＳ攻撃検出閾値を設けて検出機能を適用する。以下、それを実現する一例について説明する。

最初に、本実施例のシステム概要について説明する。図２は、本実施例に係るシステムの接続構成例を示す図である。同図は、図１の一部分を示しており、本発明に関係する部分のみを概念的に示している。

同図は、本システムが、加入者系ＳＩＰサーバ２ａと、アプリケーションサーバ収容ルータ３ａと、加入者収容ルータ３ｂと、アプリケーションサーバ４ａａと、一般ユーザ端末装置４ｂａと、大規模ユーザ端末装置４ｂｃとを有して構成されることを示している。

加入者系ＳＩＰサーバ２ａは、アプリケーションサーバ収容ルータ３ａおよび加入者収容ルータ３ｂに接続され、アプリケーションサーバ４ａａは、アプリケーションサーバ収容ルータ３ａに接続され、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃは、ホームゲートウェイ（不図示）を介して加入者収容ルータ３ｂに接続されている。

加入者系ＳＩＰサーバ２ａは、ＳＩＰによる加入者系のセッション制御機能を有するサーバである。ユーザの分類に応じたＤｏＳ攻撃検出閾値を保持し、各分類のユーザからのＳＩＰパケットＰ１〜Ｐ３を識別して、ＤｏＳ攻撃の検出および規制を行う機能を有している。

アプリケーションサーバ収容ルータ３ａは、アプリケーションサーバ４ａａを収容するルータである。また、加入者収容ルータ３ｂは、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃを収容するルータである。

アプリケーションサーバ４ａａは、高度なアプリケーションサービス（付加サービス）を提供する機能を有するサーバである。また、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃは、ユーザが操作する端末装置である。

次に、システムの機能について説明する。前述したように、本発明に係るＤｏＳ攻撃検出装置は、加入者系ＳＩＰサーバ２ａで動作し、その加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出する装置である。

図３は、図２に示したＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。なお、同図は、本発明に関係する部分のみを概念的に示している。

ＤｏＳ攻撃検出装置２ａは、ＳＩＰメッセージ送受信部２１ａと、規制処理部２２ａと、セッション制御部２３ａと、データ蓄積部２４ａと、データ設定部２５ａとで主に構成される。以下、それら各部の機能について詳述する。

ＳＩＰメッセージ送受信部２１ａは、一般ユーザ端末装置４ｂａや大規模ユーザ端末装置４ｂｃ（以下、単に端末装置という場合もある）、アプリケーションサーバ４ａａから送信されるＳＩＰメッセージ（ＳＩＰ信号）を受信して、後段の規制処理部２２ａに渡す機能を有している。また、セッション制御部２３ａからの情報に基づいて、端末装置やアプリケーションサーバにＳＩＰメッセージを送信する機能を有している。

規制処理部２２ａは、ＳＩＰメッセージ送受信部２１ａから受け取ったＳＩＰメッセージの送信元アドレス（例えば、ＩＰアドレス等）を使用して、規制中の送信元アドレスを管理している規制管理テーブル（不図示）を検索し、検索でヒットすることにより当該の送信元アドレスが規制中である場合には、当該のＳＩＰメッセージを破棄する機能を有している。

一方、検索でヒットしないことにより規制中でない場合には、内部に具備されたＤｏＳ攻撃検出部２２１ａにＳＩＰメッセージ情報を渡し、そのＤｏＳ攻撃検出部２２１ａにより、ＤｏＳ攻撃検出を実行させる機能を有している。

また、規制処理部２２ａは、ＤｏＳ攻撃検出部２２１ａによって、送信されたＳＩＰメッセージがＤｏＳ攻撃として検出された場合に、当該のＳＩＰメッセージを破棄し、ＤｏＳ攻撃として検出されなかったＳＩＰメッセージについては、セッション制御部２３ａに通知する機能を有している。

更に、規制処理部２２ａは、規制対象中の加入者について規制時間を測定し、設定された規制時間を過ぎた場合には、上記規制管理テーブルから当該の送信元アドレスを削除することにより規制を解除し、該当の送信元アドレスのＳＩＰメッセージの破棄を停止する機能を有している。

規制処理部２２ａ内で動作するＤｏＳ攻撃検出部２２１ａは、ＳＩＰメッセージ送受信部２１ａから受け取ったＳＩＰメッセージの送信元アドレスを使用して、単位時間当たりのＳＩＰメッセージの受信回数をカウントし、カウント中の送信元アドレステーブル（不図示）を更新する機能を有している。この送信元アドレステーブルには、ＳＩＰメッセージの送信元アドレスと、単位時間当たりのＳＩＰメッセージの受信回数とが対応付けて保持されている。

また、ＤｏＳ攻撃検出部２２１ａは、当該の送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａをデータ蓄積部２４ａから取得し、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを更に取得して、加入者データ毎最大ＳＩＰセッション数２４１ａが大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越えるか否かに基づいて、ＳＩＰメッセージの送信元が大規模ユーザであるか否かを判定する機能を有している。

更に、ＤｏＳ攻撃検出部２２１ａは、ＳＩＰメッセージの送信元が大規模ユーザであると判定された場合に、大規模ユーザ用として設定されたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａをデータ蓄積部２４ａから取得し、単位時間当たりのＳＩＰメッセージの受信回数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かを判定して、ＤｏＳ攻撃／非ＤｏＳ攻撃であると検出する機能を有している。

また、ＤｏＳ攻撃検出部２２１ａは、ＤｏＳ攻撃と判定された場合に、そのＳＩＰメッセージの送信元アドレスを上記規制管理テーブルに追加し、当該の送信元アドレスからのＳＩＰメッセージを以降破棄するように規制処理部２２ａに通知する機能を有している。

セッション制御部２３ａは、規制されていない加入者からのＳＩＰメッセージを受け取り、セッション制御の処理を実施し、送信する応答メッセージをＳＩＰメッセージ送受信部２１ａに通知する機能を有している。

データ蓄積部２４ａは、送信元毎に区別して設定された加入者データ毎最大ＳＩＰセッション数２４１ａと、大規模ユーザに分類するか否かを識別する大規模ユーザ分類対象ＳＩＰセッション数２４２ａ（基準ＳＩＰセッション数）と、大規模ユーザ用と一般ユーザ用とで区別して設定されたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとの各データを蓄積する機能を有し、ＤｏＳ攻撃検出部２２１ａから参照される。

データ設定部２５ａは、保守運用装置（不図示）から送信された最大ＳＩＰセッション数，ＳＩＰセッション数，ＤｏＳ攻撃検出閾値の各値を用いて、データ蓄積部２４ａの各データの値を設定および変更する機能を有している。すなわち、加入者データ毎最大ＳＩＰセッション数２４１ａに応じた大規模ユーザ分類対象ＳＩＰセッション数２４２ａの設定や、加入者データ毎最大ＳＩＰセッション数２４１ａに応じたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを設定等する。

なお、ＳＩＰメッセージ送受信部２１ａと、規制処理部２２ａと、ＤｏＳ攻撃検出部２２１ａと、セッション制御部２３ａと、データ設定部２５ａとは、ＣＰＵ等の制御手段により実現でき、データ蓄積部２４ａは、メモリ等の記憶手段により実現できる。また、それら各部で行う各処理は、コンピュータプログラムにより実現可能に実行される。

次に、上述した機能を有するＤｏＳ攻撃機能装置の動作処理の流れについて説明する。図４は、ＤｏＳ攻撃機能装置の動作処理の流れを示すフローチャートである。なお、同図は、本発明に関係する部分のみを概念的に示している。

まず、ＳＩＰメッセージ送受信部２１ａにより、端末装置及び／又はアプリケーションサーバから送信されたＳＩＰメッセージが受信され（Ｓ１）、そのＳＩＰメッセージの送信元アドレスが規制管理テーブルに含まれているか否かに基づいて、その送信元アドレスからのＳＩＰメッセージが規制中であるか否かが判定される（Ｓ２）。

次に、Ｓ２の判定で規制中と判定された場合には、そのＳＩＰメッセージは破棄され（Ｓ８）、規制中でないと判定された場合には、ＤｏＳ攻撃検出部２２１ａにより、送信元アドレス毎に単位時間当たりのメッセージ受信数がカウントアップされて、送信元アドレステーブルが更新される（Ｓ３）。

引き続き、ＤｏＳ攻撃検出部２２１ａにより、受信したＳＩＰメッセージの送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａがデータ蓄積部２４ａから取得され、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを用いて、そのＳＩＰメッセージの送信元が大規模ユーザであるか否かが判定される（Ｓ４）。

すなわち、当該の送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを超える場合には、大規模ユーザであると判定され、一方、超えない場合には、大規模ユーザ以外（一般ユーザ）であると判定される。

その後、Ｓ４で大規模ユーザと判定された場合には、大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａが取得され（Ｓ５）、Ｓ３でカウントした単位時間当たりのメッセージ受信数が大規模ユーザ用の当該閾値を超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かが判定され、ＤｏＳ攻撃／非ＤｏＳ攻撃が検出される（Ｓ７）。

すなわち、単位時間当たりのメッセージ受信数が大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えている場合には、ＤｏＳ攻撃であると判定され、ＤｏＳ攻撃として検出され、一方、超えない場合には、ＤｏＳ攻撃でないと判定され、非ＤｏＳ攻撃として検出される。

一方、Ｓ４で大規模ユーザ以外であると判定された場合には、インタフェースによる閾値が取得され（Ｓ６）、Ｓ３でカウントした単位時間当たりのメッセージ受信数がインタフェースによる当該閾値を超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かが判定され、ＤｏＳ攻撃／非ＤｏＳ攻撃が検出される（Ｓ７）。

Ｓ７でＤｏＳ攻撃として検出された場合には、規制処理部２２ａにより、規制管理テーブルに当該送信元のＩＰアドレスが登録され、ＳＩＰメッセージを破棄する規制中に移行する（Ｓ８）。

一方、非ＤｏＳ攻撃として検出された場合には、セッション制御部２３ａにより、セッション処理が実行され（Ｓ９）、応答すべきＳＩＰメッセージの送信が行われる（Ｓ１０）。

本実施例によれば、加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号の送信元に対して設定された加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとを比較して、ＳＩＰ信号の受信数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するので、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。

これにより、大規模ユーザにとっては、誤ってＤｏＳ攻撃として検出され、加入者系ＳＩＰサーバの提供サービスを受けられなくなることが防止されることから、加入者系ＳＩＰサーバでのサービス性や信頼性が向上する。

また、通信事業者にとっては、ユーザの規模に対応した細かなＤｏＳ攻撃対策を実施でき、システム運用性が向上する。

１…中継系サーバ
２ａ，２ｂ…加入者系ＳＩＰサーバ（ＤｏＳ攻撃検出装置）
３ａ…アプリケーションサーバ収容ルータ
３ｂ，３ｃ…加入者収容ルータ
４ａａ〜４ａｃ…アプリケーションサーバ
４ｂａ，４ｂｂ，４ｃａ，４ｃｂ…一般ユーザ端末装置
４ｂｃ，４ｃｃ…大規模ユーザ端末装置
２１ａ…ＳＩＰメッセージ送受信部
２２ａ…規制処理部
２２１ａ…ＤｏＳ攻撃検出部
２３ａ…セッション制御部
２４ａ…データ蓄積部
２４１ａ…加入者データ毎最大ＳＩＰセッション数
２４２ａ…大規模ユーザ分類対象ＳＩＰセッション数
２４３ａ…ユーザ分類別ＤｏＳ攻撃検出閾値
２５ａ…データ設定部
Ｓ１〜Ｓ１０…処理ステップ

Claims

ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置で行うＤｏＳ攻撃検出方法において、
大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定するステップと、
前記ＳＩＰ信号の送信元識別子が規制管理テーブルに含まれているか否かを判定し、前記規制管理テーブルに含まれている場合に、前記ＳＩＰ信号を破棄するステップと、
前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定するステップと、
大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するステップと、
前記ＳＩＰ信号の受信数が前記大規模ユーザ用のＤｏＳ攻撃検出閾値を超える場合に、前記ＳＩＰ信号の送信元識別子を前記規制管理テーブルに登録し、当該ＳＩＰ信号を破棄するステップと、
前記規制管理テーブルに登録してから規定時間を経過したＳＩＰ信号の送信元識別子を当該規制管理テーブルから削除するステップと、
を有することを特徴とするＤｏＳ攻撃検出方法。
ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置において、
大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する手段と、
前記ＳＩＰ信号の送信元識別子が規制管理テーブルに含まれているか否かを判定し、前記規制管理テーブルに含まれている場合に、前記ＳＩＰ信号を破棄する手段と、
前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定する手段と、
大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する手段と、
前記ＳＩＰ信号の受信数が前記大規模ユーザ用のＤｏＳ攻撃検出閾値を超える場合に、前記ＳＩＰ信号の送信元識別子を前記規制管理テーブルに登録し、当該ＳＩＰ信号を破棄する手段と、
前記規制管理テーブルに登録してから規定時間を経過したＳＩＰ信号の送信元識別子を当該規制管理テーブルから削除する手段と、
を有することを特徴とするＤｏＳ攻撃検出装置。