JP2009528797A

JP2009528797A - インターネットプロトコル（ｉｐ）トレースバックのための、自律システムベースのエッジマーキング（ａｓｅｍ）

Info

Publication number: JP2009528797A
Application number: JP2008557497A
Authority: JP
Inventors: ナアワンアンサリ，; チーチャンガオ，
Original assignee: ニュージャージーインスティテュートオブテクノロジー
Priority date: 2006-03-01
Filing date: 2007-03-01
Publication date: 2009-08-06
Also published as: WO2008042453A9; CN101518017A; WO2008042453A2; WO2008042453A3; EP1989839A2; EP1989839A4; US20070206605A1

Abstract

【課題】インターネットプロトコル（ＩＰ）トレースバックのための、自律システムベースのエッジマーキング（ＡＳＥＭ）の提供。
【解決手段】実施形態は、インターネットプロトコル（ＩＰ）トレースバックのための、自律システムベースのエッジマーキング（ＡＳＥＭ）に関する。特に、本実施形態は、ルータにおいて１つ以上のパケットを受信し、マーキングルータにおけるパケットにのみ自律システム（ＡＳ）レベルとマーキング情報とを書き込み、マーキングされたパケットをエッジルータ及びその他のルータに検証のために転送する、ＩＰトレースバックのためのシステム及び方法である。さらに、パケットは確率測度に基づいてマーキングされ、ボーダ・ゲートウェイ・プロトコル（ＢＧＰ）ルーティングテーブル情報は、マーキング及び検証のために使用されるＡＳレベル情報である。
【選択図】図１

Description

本発明は、インターネットプロトコル（ＩＰ）トレースバックのための、自律システムベースのエッジマーキング（ＡＳＥＭ）に関する。

ユビキタス・インターネットにより、我々の生活様式は大きく変わった。日常活動（例えば、オンラインバンキング、株式取引、及び遠隔会議）は、インターネットの性能にますます依存している。インターネット上での軍事通信及び金融取引のためのネットワークセキュリティは、特に重大な懸案事項である。致命的なサービス妨害（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ：ＤｏＳ）攻撃や、その進化形である分散ＤｏＳ（ＤｉｓｔｒｉｂｕｔｅｄＤｏＳ：ＤＤｏＳ）攻撃の出現によって、我々のインターネットの利用やインターネットへの信頼が迷惑にも侵害されている。Ｙａｈｏｏ、ＣＮＮ、Ｅｂａｙ、及びＡｍａｚｏｎ等の知名度の高いサイトにおいてでさえ、ＤｏＳ／ＤＤｏＳ攻撃の悪影響が何度も生じている。

特に、ＤＤｏＳ攻撃は、ネットワークセキュリティに深刻な脅威を与える。ＤＤｏＳ攻撃において、アタッカーは大量の悪質なトラフィックを被害者に送信する。例えば、ＤＤｏＳアタッカーは、インターネットに接続されたコンピュータシステムを介して、様々なデータセンターにおける１つ又は複数のコンピュータに侵入することもある。多くの場合、アタッカーはインターネットサービスプロバイダ（ＩＳＰ）を介してインターネットにアクセスするだろう。その後、アタッカーは、悪質なソフトウェアプログラムを用いてデータセンターの複数のコンピュータを制御下に置くことができる。アタッカーがコマンドを出すと、これらのコンピュータは様々なタイミングで大量のデータを一斉に被害者に送信できるため、被害者は正規のインターネットトラフィックやメッセージに応答できなくなってしまう。

インターネットプロトコル（ＩＰ）トレースバック方式は、ＤＤｏＳに対抗するために用いられる。ＩＰトレースバック方式としては、インターネット上のパケットの送信元を確実に突き止めるための任意の方法が挙げられる。しかしながら、ＩＰパケット内で供給される送信元ＩＤは、上述のＤＤｏＳ攻撃用に偽造（即ち、ＩＰスプーフィング）されている可能性があるため、インターネットのデータグラムの性質上、パケットの送信元ホストを突き止めることは困難である。

ＩＰトレースバックは、攻撃フローを、ターゲット（即ち、被害者）から、ことによっては本質的に異なる、アタッカーによって使用される送信元までさかのぼってトレースしようとするものである。考えられるペナルティを回避し、且つよりいっそう効果的に攻撃を実行できるように、アタッカーは自身のマシンからではなく、何百ものゾンビ（即ち、乗っ取られた（ｓｕｂｖｅｒｔｅｄ）ホスト）から被害者を襲撃する。次に、多くのゾンビからの攻撃トラフィックが被害者の所に集中する。従って、被害者が悪質なトラフィックをインターネット上の正規のトラフィックから区別することは、不可能ではないにしても非常に困難である。

背景技術のＩＰトレースバック方式の欠点としては、以下に限定されないが、高い計算負荷、高い誤報率、及びスケーラビリティが挙げられる。少なくとも上述の理由により、背景技術のＩＰトレースバック方式は非効率的であり、且つ多くの場合非実用的である。従って、ＤＤｏＳ攻撃発信元を識別し、インターネットを保護する手段を確立するために、ＩＰトレースバックの技術分野での改良が求められている。

実施形態は、背景技術が直面する上記問題、及びその他の問題を克服することを目的とする。特に実施形態は、非常に短い時間内で、且つ低い複雑性で、何千もの攻撃発信元を効果的且つ堅牢にトレースする方法を提供する。

実施形態としては、以下に限定されないが、インターネットプロトコルトレースバックのための、自律システムベースのエッジマーキング（ＡＳＥＭ）が挙げられる。インターネットにおいて、自律システム（ＡＳ）は、共通のルーティングポリシーをインターネットに提示する１つ以上のエンティティの制御下にあるインターネットプロトコル（ＩＰ）ネットワークやルータの集まりである。インターネットプロトコル（ＩＰ）は、パケット交換インターネットワークにわたってデータを伝達するのに使用されるデータ指向プロトコルである。

ＡＳＥＭの実施形態は、背景技術の高い計算負荷と高い誤報率とを低減することができるように十分に最適化されている。更に、背景技術とは対照的に、実施形態は、ＩＰスプーフィングや乗っ取られたルータに対してより堅牢である。実施形態では、背景技術と比較してトレース手順が簡略化されているが、その理由は、（１）リンケージ情報の使用により、経路再構築を迅速且つ正確に完了することができ、（２）攻撃発信元を突き止めるために必要なパケットがはるかに少ないためである。

実施形態は、自律システム（ＡＳ）レベルでのＩＰトレースバックのための新たなマーキング方式を提供し、上述のように、ＩＰトレースバックのための、ＡＳベースのエッジマーキング（ＡＳＥＭ）と呼ばれる。文献：Ｍ．Ｇｏｏｄｒｉｃｈ，Ｅｆｆｉｃｉｅｎｔｐａｃｋｅｔｍａｒｋｉｎｇｆｏｒｌａｒｇｅ−ｓｃａｌｅＩＰｔｒａｃｅｂａｃｋ，９^ｔｈＡＣＭｃｏｎｆ．ｏｎｃｏｍｐｕｔｅｒａｎｄｃｏｍｍｕｎｉｃａｔｉｏｎｓｓｅｃｕｒｉｔｙ，２００２，ｐｐ．１１７−１２６で開示されているような、背景技術のＩＰトレースバック方式は、各ルータのＩＰアドレス情報を使用して、攻撃経路をホップバイホップで再構築する。

確率的パケットマーキング（ＰｒｏｂａｂｉｌｉｓｔｉｃＰａｃｋｅｔＭａｒｋｉｎｇ：ＰＰＭ）と呼ばれる、背景技術のＩＰトレースバック方式と同様に、ＡＳＥＭの実施形態では、攻撃経路に沿ったルータが、所定の確率に従ってパケットをマーキングする。しかしながら背景技術とは異なり、ＡＳＥＭ方法は、ＰＰＭに優る以下のような利点を有する：（１）各ＡＳの入口（ｉｎｇｒｅｓｓ）エッジルータのみがマーキングを行う;（２）全てのルータにおいて、上流のルータのいずれかによって既にマーキングされたパケットをリマーキングすることは禁止されている;（３）マーキング情報は、通過した各ルータのＩＰアドレスではなく、ＡＳ番号（ＡＳＮ）である。

更に、ＡＳＥＭは、被害者にかかる圧倒的な計算負荷を大幅に軽減する。ＡＳＥＭのこの利点を数値化するため、本発明における解析では、それぞれ本質的に異なるトレースバック方式を評価する際に、経路再構築に必要なマーキングされたパケットの数という測定基準を使用する。この測定基準を以下の実験例においてガイドラインとして使用し、計算オーバヘッドを軽減するための２つの異なる方法を比較する。

上述のＡＳＥＭの利点によって、再構築のために必要なパケットの数が減少するだけでなく、スプーフィングされたマーキングがアタッカーによって書き込まれるという脅威もまた完全に取り除かれる。更にＡＳＥＭでは、下流のＡＳ内の入口エッジルータが、それらに隣接する、上流のＡＳ内の入口エッジルータからのマーキング情報の正当性を検査することができるので、乗っ取られたルータによってもたらされるスプーフィングされたマーキングに対処することが可能である。更に、誤検出は効果的に抑制され、ＡＳＥＭの実施形態は、ＩＰトレースバックのためのＡＳＥＭが大規模なＤＤｏＳ攻撃に対処することができるという点で、ＰＰＭより性能が優れている。その上、インターネットの、べき乗則の関係により、ＡＳＥＭの実施形態は部分的に導入された場合でも効果を奏する。

ＡＳＥＭの実施形態において、経路長は、攻撃発信元と被害者との間でマーキングを行う資格のあるルータの数として定義される。ＰＰＭでは、攻撃経路に沿った全てのルータが、通過していくパケットをマーキングすることができるため、経路に沿った全てのルータに資格があることに留意されたい。対照的に、ＡＳＥＭの実施形態では、各ＡＳの入口エッジルータのみに、マーキングを実行する許可（即ち、資格）が与えられ、本発明の方式における経路長は、ＰＰＭにおけるようなホップバイホップではなく、ＡＳレベルのものである。

ＡＳＥＭの実施形態は、ＩＰトレースバックにおいてインターネット階層がほとんど使用されないということに着目して開発することができる。自律システム（ＡＳ）は、そのインターネット階層の重要な構成要素である。通常、ＡＳは、全管理ドメイン内で一貫したルーティングポリシーを強制可能な単一のエンティティによって統制される。しかしながら、各種ＡＳ間では、管理ポリシーは著しく異なっていることがある。

ボーダ・ゲートウェイ・プロトコル（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ：ＢＧＰ）は、インターネットのコアルーティングプロトコルである。特に、ＢＧＰルーティングは、ＡＳ間ルーティングの事実上の標準である。ＢＧＰは、自律システム間のネットワーク到達可能性を指定するＩＰネットワーク、即ち「プレフィックス」のテーブルを維持することで動作する。ＢＧＰルーティングにおいて使用するために、各ＡＳには一意のＡＳ番号（ＡＳＮ）が割り当てられる。ＡＳ番号はインターネット上の各ネットワークを一意的に識別できるため、ＢＧＰではＡＳＮが重要である。複数の自律システム（ＡＳ）が、経路到達可能情報を交換する上でＢＧＰに依存しており、このタスクはＢＧＰスピーカと呼ばれる少数のルータによって行われる。ＢＧＰルーティングを用いるＡＳの３つの有利な特性について、以下のパラグラフで説明する。

図１に示されるように、複数の自律システムＡＳ１、ＡＳ２、ＡＳ３、ＡＳ４は、アタッカーＡ１、Ａ２、Ａ３、Ａ４の配下にあり、被害者Ｖを有している。エッジルータ、マーキングルータ、その他のルータ、ＡＳ経路、及びホップバイホップ経路は、図１の凡例に表される記号により示されている。ＡＳの第１の有利な特性は、ＡＳ経路が、対応するＩＰ経路よりもはるかに短いということである。例えば、図１に示されるように、被害者Ｖに到達するのに、Ａ１からの攻撃ＩＰ経路は８ホップを要し、Ａ２からの攻撃ＩＰ経路は７ホップを要する。対照的に、攻撃ＡＳ経路は、各場合においてわずか３「ホップ」である。

上記例において、ＡＳレベルでのルーティングホップでは経路長がはるかに安定しているという点で、ＡＳの第２の有利な特性が更に示される。即ち、各場合でのＡＳレベル経路についての経路長が、３「ホップ」であったのに対して、ＩＰレベルの場合は、８及び７「ホップ」が必要とされた。

ＢＧＰルーティングを使用するＡＳの第３の有利な特性は、上記ＢＧＰルーティングがＡＳＰＡＴＨ属性と呼ばれるメッセージを生成することである。ＡＳＰＡＴＨは、所与の宛先に到達する前に通過したＡＳの順序付きリストを提供する。図２は、複数の自律システムＡＳ１２３９、ＡＳ１１２９、ＡＳ１７５５、ＡＳ３５４９、ＡＳ６３４１、ＡＳ７０１８、ＡＳ１２６５４を示す。ＡＳＰＡＴＨ属性メッセージの一例が、図２において、ＡＳ６３４１に属するＩＰアドレス（即ち、１３５．２０７．０．０／１６）とともに示されている。図２に示されるように、ＡＳ１２６５４内のＢＧＰスピーカが、ＩＰアドレスプレフィックス１３５．２０７．０．０／１６についての２組のルーティング情報を受信すると仮定する。即ち、ＡＳ１１２９から所与の宛先へのＢＧＰルーティング情報の一組は、ＡＳＰＡＴＨ属性「１１２９１７５５１２３９７０１８６３４１」を有し、もう一組のＢＧＰルーティング情報は、ＡＳＰＡＴＨ属性「３５４９７０１８６３４１」を有する。更に、後者の組のほうが短いため、ＡＳ１２６５４内のＢＧＰスピーカは、そのルーティングテーブル内に後者のＡＳＰＡＴＨを保持してもよい。

上記の特性は、（１）ＡＳＰＡＴＨ属性は「６３４１」で終わっているため、ＩＰアドレスプレフィックス１３５．２０７．０．０／１６はＡＳ６３４１内に位置しているということ、及び（２）１３５．２０７．０．０〜１３５．２０７．２５５．２５５の範囲の宛先アドレスを有するパケットは、ＡＳ３５４９を経由してＡＳ７０１８に渡り、そしてＡＳ７０１８を経由してＡＳ６３４１に渡る（即ち、この範囲内に他のいかなるプレフィックスも存在しないと仮定する。つまり、１３５．２０７．１．０／２４等のプレフィックスが、同じＢＧＰルーティングテーブル内に存在しないと仮定する）ということを意味している。

上記の３つの特性は、ＡＳＥＭの実施形態によって活用される。第１の有利な特性は、送信元から宛先までの「ホップ」数が少ないことを意味し、よってＡＳＥＭにおける経路再構築に必要なマーキングされたパケット数が少なくなる。即ち、ＡＳＥＭを使用して攻撃経路を復元する上で、ＡＳＥＭを使用する被害者Ｖは、ＰＰＭを使用する場合よりも少ない数のマーキングされたパケットを受信すれば済む。従ってＡＳＥＭは、背景技術のＰＰＭ方式の性能を大幅に上回ることができる。

ＡＳＥＭでは考慮される必要がある経路が少なくて済むことから、第２の特性により経路再構築が簡略化される。従ってＡＳＥＭにおいて被害者Ｖは、背景技術のＰＰＭ方式においては避けられない、組み合わせ爆発（ｃｏｍｂｉｎａｔｏｒｉａｌｅｘｐｌｏｓｉｏｎ）の問題から解放される。

最後に、ＡＳＰＡＴＨ属性がマーキングのために使用される場合、第３の特性を使用して、ＡＳＥＭの実施形態におけるマーキング及びマーキング検証（ｍａｒｋｉｎｇｖｅｒｉｆｉｃａｔｉｏｎ）手順を背景技術のＰＰＭ方式よりも簡略化することが可能である。即ち、ＢＧＰルーティングを用いることで、下流のマーキングルータである、ＡＳ_ｂのＲ_ｂ（例えば、図２のＡＳ７０１８）からのマーキング情報は、その隣接する上流のマーキングルータである、ＡＳ_ａのＲ_ａ（例えば、図２のＡＳ３５４９）により埋め込まれたマーキングの正当性を検証することができる。これは、上流のマーキングルータＲ_ａのＡＳＰＡＴＨ属性が、下流のマーキングルータＲ_ｂのＡＳＮと、下流のマーキングルータＲ_ｂのＡＳＰＡＴＨ属性との連結となるはずだからである（即ち、ＡＳＰＡＴＨ（ＡＳ_ａ）＝Ｃｏｎｃａｔｅｎａｔｅ（ＡＳ_ｂ，ＡＳＰＡＴＨ（ＡＳ_ｂ））。

例えば、図２に示されるように、ＡＳ_ｂ（ＡＳ７０１８）は、ＡＳ_ａ（ＡＳ３５４９）の下流側で隣接している。不一致が見つかった場合、上流のマーキングルータは、スプーフィングされたマーキングを有するそれらのパケットをフィルタリングするか、又は破棄することができる。つまり、送信元ｓｒｃから宛先ｄｓｔへの経路が、ＡＳレベルでＡＳ_ａ、ＡＳ_ｂ、ＡＳ_ｃ、ＡＳ_ｄ、ＡＳ_ｅを通過すると仮定する。ｄｓｔまでの、上記の各ＡＳのＡＳＰＡＴＨ属性は、それぞれ「ＡＳ_ｂＡＳ_ｃＡＳ_ｄＡＳ_ｅ」、「ＡＳ_ｃＡＳ_ｄＡＳ_ｅ」、「ＡＳ_ｄＡＳ_ｅ」、「ＡＳ_ｅ」、「・」である。宛先ｄｓｔは最後のＡＳ_ｅ内にあり、そこではＥＧＰルーティングプロトコル（例えば、ＢＧＰ）ではなく、ＩＧＰルーティングプロトコルのみが使用されるため、「・」を使用することで最後のＡＳを示す。

ＡＳＥＭの実施形態では、各ＡＳにおけるマーキング情報としてＡＳＰＡＴＨ属性が使用される場合、下流のマーキングルータＡＳ_ｂからのマーキング情報を使用して、その上流の隣接するＡＳ_ａのマーキングルータのマーキング情報の正当性を検証することができる。ＡＳＥＭの実施形態では、ＡＳＰＡＴＨ属性を記憶するのに、１６ビットしか使用されないため、現在のＡＳのＡＳＮとＡＳＰＡＴＨ属性内の全てのＡＳＮとにＸＯＲ演算を使用し、最終結果をＡＳ＿ＰＡＴＨ内に記録する。ＡＳ_ａ上流マーキングルータにおいて、ｄｓｔについてのマーキング情報は、

であり、ここで、

は排他的ＯＲ演算子である。下流マーキングルータＡＳ_ｂにおいて、ｄｓｔについてのマーキング情報は、

である。従って、ＡＳＥＭの実施形態は、

という関係を有する。この関係は、全ての隣接するＡＳについて成り立つ。

上記の例として、パケットのフローが、１３５．２０７．ｘ．ｙにおけるホストを攻撃していると仮定する。図２に示されるように、上流のマーキングルータＡＳ３５４９におけるマーキングは、その場合、「３５４９７０１８６３４１」であり、下流のマーキングルータＡＳ７０１８におけるマーキングは「７０１８６３４１」である。従って、上流のマーキングルータＡＳ３５４９にとって、その下流の隣接するＡＳ７０１８からのマーキング情報が正しいか、（例えば、スプーフィングが原因で）正しくないかを判定するのは容易である。なぜなら、これら２つのＡＳのマーキングにおける違いは、現在のルータＡＳ３５４９のＡＳ番号（ＡＳＮ）のみであるはずだからである。ＡＳＰＡＴＨ属性を記録するのに、１６ビットしか使用しないため、何らかの変換が含まれてもよい。

図３は、第１の入口エッジ又はマーキングルータＲにおけるマーキング手順についての疑似コードのフローチャートを示す。疑似コードは、以下のように表される：

図４は、エッジルータ及びその他のルータＳにおける、マーキング及びマーキング検証の方法についての疑似コードのフローチャートを示す。疑似コードは、以下のように表される：

以下に、ＡＳＥＭの実施形態について可能ないくつかの仮定を挙げる。
（１）アタッカーは任意のパケットを生成する可能性がある；
（２）アタッカーはトレース方式を知っている可能性がある；
（３）攻撃は、少なくとも数十のパケットで構成される；
（４）乗っ取られるルータがあるとしても、乗っ取られる可能性があるのは少数のみであり、且つ、乗っ取られたルータは隣接していない；
（５）ＡＳの入口エッジルータのいずれもが、そのドメインのＢＧＰルーティング情報を共有する；
（６）ＡＳ経路はかなり安定している；
（７）いかなるＡＳ経路の長さも限られている。

仮定（１）及び（２）は、アタッカーはゾンビに対してルート特権を有する可能性があり、且つ、アタッカーが望む任意のパケット（スプーフィングされたマーキングを含む）を意図的に生成する可能性があるという事実を表している。仮定（３）は、ＡＳＥＭの実施形態が、主流のＤｏＳ／ＤＤｏＳ攻撃パターンであるフラッドベースの攻撃に対して考案されていることを示す。

背景技術とは対照的に、ＡＳＥＭの実施形態は、アタッカー、及び危殆化した（ｃｏｍｐｒｏｍｉｓｅｄ）ルータの両方からのスプーフィングされたマーキングという難題に対処する。（４）では、危殆化したルータは隣接していないと仮定している。ルータを乗っ取る技術的ハードルを考慮すると、この仮定は許容可能である。（５）では、各ＡＳ内の全ての入口エッジルータが、同じドメイン内のＢＧＰスピーカのＢＧＰルーティングテーブルを共有すると仮定されている。この仮定は、ＢＧＰルーティングテーブルを記憶するために、各入口エッジルータで多少の追加メモリを要することを意味する。しかし、ＡＳの総数は約２０，０００にすぎないので、この追加メモリは大きな問題ではない。

ＡＳＥＭの実施形態では、入口エッジルータは、パケットを受信すると、ＢＧＰルーティングテーブルを使用してマーキング及びマーキング検査を行う。仮定（６）及び（７）は、インターネット計測によって支持されている。主要なＡＳ経路長は３〜５であり、平均値は４である。実施形態では、ＡＳ経路長は８よりも大きくはないと仮定しており、全ＡＳ経路の約９９．５％がこれを満たしている。

ＡＳＥＭの実施形態では、各ＡＳの入口エッジルータ（図１ではマーキングルータと呼ばれる）は、所定の確率に従って、通過するパケットに何らかのマーキング情報を書き込む。各ＡＳにおいて、マーキング及び／又はマーキング検査を行うのはマーキングルータのみであり、その他全てのルータは行わないだろうということに留意されたい。

マーキングルータによってパケット上に書き込まれるマーキング情報は、４つの部分からなり、合計３２ビットである。マーキング情報の第１の部分は長さ１６ビットで、ＡＳ＿ＰＡＴＨと呼ばれ、ＡＳ＿ＰＡＴＨは、変換されたＡＳＰＡＴＨ属性情報を記憶する。ＡＳＰＡＴＨ属性全体が、１６ビット内で記憶される。マーキング情報の第２の部分は、ＦＡＬＧと呼ばれるフラグであり、これは、現在のパケットがマーキングされているか（ＦＡＬＧ＝“１”）、又はマーキングされていないか（ＦＡＬＧ＝“０”）を下流のマーキングルータに伝える。

マーキング情報の第３の部分は、３ビットから成り、これはＡＳＰＡＴＨ属性の長さを記録する。ＡＳＥＭでは、ＡＳＰＡＴＨ属性の長さを計算する際に、パディングは無視する。即ち、ＡＳＰＡＴＨが「１１０２２２２３１７」（ＡＳ２をパディング）であると仮定すると、その長さはやはり３で、ＡＳＰＡＴＨ「１１０２３１７」の長さと同じである。この長さ情報は、最適マーキング確率を決定するために、さらにマーキング検証のために使用できる。

マーキング情報の第４の部分は、経路に沿った第１のマーキングルータの、ＩＰアドレスのハッシュ関数（ＨＡＳＨＩＰ）である。ＨＡＳＨＩＰは、被害者Ｖが同じ送信元からのパケットを容易に識別できるようにリンケージ情報として使用され、これにより、経路再構築は著しく容易になり、誤検出の割合は減少する。第１のステップである、各ルータの３２ビット・ＩＰアドレスを復元するステップは、ＡＳＥＭにおいて不要であるため、経路再構築の手順は既に大幅に簡略化されているということに注目されたい。

更に、ＨＡＳＨＩＰは、本質的に異なる攻撃発信元を区別する際にも使用可能であることから、今日のインターネット環境において主流となっている大規模ＤＤｏＳへの対応が容易になる。更に、ＨＡＳＨＩＰの使用により、被害者Ｖは、そのＩＳＰの応答に依存するのではなく、攻撃トラフィックをプロアクティブにブロックすることができる。注目すべきは、これが、ＩＰトレースバックのための、背景技術のＰＰＭ方式では不可能であり、なぜなら、１つのルータのマーキング情報はセグメント化されて、いくつかのパケットとして伝送されなければならないからである。

ＡＳ内のＢＧＰルーティング情報をマーキング情報として使用することにより、下流のマーキングルータは、その隣接する上流のマーキングの正当性を検査することができる（即ち、上述のＡＳＰＡＴＨの属性によって）。従って、スプーフィングされたマーキングが見つかった場合、下流のマーキングルータは、スプーフィングされたマーキングを有するそれらのパケットをフィルタリングするか、又は破棄することができる。この方法に関する追加情報を、以下で更に述べる。

アタッカーによって注入された偽造マーキングに対処するために、実施形態は「リマーキング」禁止のポリシーを強制する。即ち、全ての後続のマーキングルータは、上流の任意のマーキングルータによってマーキングされたパケットには、全くリマーキングすることができない。これらの２つのアプローチを統合し、導き出された最適マーキング確率を使用することにより、実施形態は経路再構築に必要なパケット数を最小化し、同時に堅牢性を著しく向上させ、誤検出を大幅に抑制する。

実施形態は、以下のパラグラフで述べるように計算負荷を減少させる。特に、計算負荷は主として経路再構築の方法に存在する。従って、経路再構築に必要なマーキングされたパケットの総数を減らすことが肝心である。第１に、実施形態は最適マーキング確率を求めようとし、第２に、マーキングメカニズムが強化され、第３に、経路長を「短縮する」可能性が検討される。

ｋは、被害者ｖへの攻撃経路の数を表す。

である経路ｊにおいて、攻撃発信元とｖとの間のルータの数はｄ_ｊである。

は、経路ｊに沿った、

であるルータｉのマーキング確率であるとし、

は、ｖによって認識される、経路ｊに沿ったルータｉのマーキング確率であるとする。

は、

と異なっていることもあり、例えばＰＰＭの場合、

及び

である。

Ｎ_ｊは、経路ｊを通過するパケットの数を表し、

は、経路ｊに沿ったｉ番目のルータによってマーキングされ、且つｖによって受信されるパケットの数を表す。言い換えると、最初にｉ番目のルータによってマーキングされるものの、いずれかの後続ルータによってリマーキングされるパケットは、

に算入されない。Ｍ_ｊは、経路ｊに沿ったいずれかのルータによってマーキングされ、且つｖによって受信されるパケットの数を表す。ＰＰＭ及びＡＳＥＭでは、確率的にパケットをマーキングするので、

及びＭ_ｊはランダム変数である。明らかに、

及びＭ_ｊの期待値はそれぞれ、

及び

である。

ＰＰＭ及びＡＳＥＭの下でマーキングされたパケットの数を、直接比較することは困難である。しかしながら、攻撃パケットの数が同じであり、且つ攻撃経路が同じであると仮定すれば、それらの性能を比較できる。使用される２つの測定基準は次のようになる。
（１）マーキングされたパケットの総数の期待値

、及び（２）被害者が各ルータから少なくとも１つのマーキングされたパケットを受信する確率

である。

以下のパラグラフでは、経路再構築のためのマーキングされたパケットの数について更に述べる。特に、このパラグラフでは、経路ｊに沿ったマーキングされたパケットの総数の期待値について述べる。ＰＰＭでは、

である。（２）から、以下が得られる：

ＡＳＥＭの設計は、全てのパケットが経路のどこかでマーキングされることを保証する。従って、スプーフィングされたマーキングを有するパケットをアタッカーが意図的に送信した場合でも、それらのスプーフィングされたマーキングは、マーキングルータの正確なマーキングによって上書きされよう。よって、アタッカーからのスプーフィングされたマーキングは、ＡＳＥＭにとって問題ではない。

であるので、ＡＳＥＭの場合、次のようになる：

即ち、攻撃パケットの数が同じであり、且つ経路が同じであると仮定すれば、平均して、ＰＰＭよりもＡＳＥＭにおいて、被害者はより多くのマーキングされたパケットを得ることができる。その後、被害者が攻撃経路を再構築できる可能性は、ＰＰＭよりもＡＳＥＭにおいての方が高い。

以下のパラグラフでは、各ルータから少なくとも１つのマーキングされたパケットを受信する確率について述べる。ＰＰＭでは、各ルータが独立してマーキングを行い、従って、

である。

即ち、

である。

であるので、

である。

（７）と組み合わせることにより、次が得られる：

不等式（９）は、任意のｐ（０＜ｐ＜１）について成り立つ。他方、式（７）の最大値は、式（７）のｐについての導関数を求めることで得ることができ、次のようになる：
ｐ＝１／ｄ_ｊ（１０）

よって、式（７）の最大値は、式（１０）が満たされれば、到達可能である。

ＰＰＭとは異なり、被害者に関しての各ルータのマーキング確率はＡＳＥＭにおいて同じであり、即ち、

である。

同様の導出に従えば、ＡＳＥＭの場合、

である。

不等式（９）、並びに式（１０）及び（１２）から得ることができる結論は、攻撃パケットの数が同じであり、且つ経路が同じであると仮定すれば、被害者が各ルータから少なくとも１つのマーキングされたパケットを受信する確率は、ＰＰＭよりもＡＳＥＭにおいての方が高いということである。

以下のパラグラフでは、経路再構築のために必要な攻撃パケットの数の推定について更に述べる。先のサブセクションでは、攻撃パケットの数が与えられた場合の、ＡＳＥＭ及びＰＰＭにおける、マーキングされたパケットの数と、被害者が各ルータから少なくとも１つのマーキングされたパケットを受信する確率とについて検討している。以下では、経路再構築を成功させるために必要な攻撃パケットの数について更に検討する。

被害者が各ルータから少なくとも１つのマーキングされたパケットを受信しさえすれば、経路再構築が完了すると仮定する。このサブセクションでは、解析を簡略化するため、マーキングされたパケットの数について述べる際はそれらの期待値を指している。背景技術のＩＰトレースバック方式のほとんどに、同様の簡略化が見受けられる。

と仮定すれば、ＰＰＭにおいて、

はｉの単調増加関数、即ち、

であるので、式（１３）は次のように簡略化できる：

即ち、

である。

ＰＰＭの場合、Ｎ_ｊの最小値は、式（１５）のｐについての導関数を求めることにより得ることができ、従って、ｐ＝１／ｄ_ｊとなる。

この場合、ＰＰＭについてのＮ_ｊは、

ほど低い値もあり得る。

ＰＰＭとは異なり、ＡＳＥＭでは、被害者に関してのマーキング確率が各ルータにおいて同じである。式（４）を不等式（１３）と組み合わせることによって、式（１１）が成り立ちさえすればＮ_ｊはその最小値に到達可能であるということが容易にわかる。この場合、

である。

実際、ＡＳＥＭにおいて式（１１）は常に成り立ち、従ってＡＳＥＭは常に最適マーキング確率を使用する。不等式（１８）：

は理論的に常に成り立つので、ＡＳＥＭ及びＰＰＭの両者が最適マーキング確率を使用する場合でさえ、経路再構築のために必要な攻撃パケットの最小数はＰＰＭよりもＡＳＥＭにおいての方が小さい。

以下のパラグラフは、最適マーキング確率についてのさらなる説明を含む。上記の説明では、被害者ｖの観点からの経路再構築について検討した。次に、攻撃経路に沿った各ルータの観点から、問題を考慮する。次の２つの疑問が自然に生じる：（１）最適な

を得るための、各ルータにおけるマーキング確率

はどのようなものか；及び（２）導き出された最適マーキング確率は、各ルータにおいて実際に実装可能か。

ＰＰＭにおいては、各ルータにおけるマーキング確率

は同じである。

である。更に、各ルータが経路長（ｄ_ｊ）を何らかの方法で事前に知ることができる場合、ルータはマーキング確率を最適値に設定可能である。この場合には、経路再構築に必要なパケットの数は、式（１６）に示される値まで低減され得る。しかし、ＰＰＭはＩＰレベルで動作するので、各ルータに経路長を前もって提供するための実行可能な方法は、現在のインターネットにおいて存在しない。従って、導き出された最適マーキング確率は、現実的な観点からＰＰＭでは実現不可能である。

ＡＳＥＭの実施形態においては、各ルータにおけるマーキング確率

は同じではない。各ルータはそのマーキング確率を被害者までの距離に従って決定する。経路ｊについて、ｉ番目のルータはそのマーキング確率を

に設定する。この式中、（ｄ_ｊ−ｉ＋１）は、現在のルータとｖとの間の距離（経路長）である。ＡＳＰＡＴＨ属性が正確な長さ情報を提供するために、これが実現可能である。第１のルータについて、マーキング確率は１／ｄ_ｊであり、第２のルータについて、マーキング確率は１／（ｄ_ｊ−１）であって、以下同様である。

しかしながら、ＡＳＥＭでは、「リマーキング」禁止というポリシーが課されるため、第１のルータがマーキングしたものには、後続のルータはリマーキングすることができない。従って、第２のルータがマーキングできるのは、（１−１／ｄ_ｊ）Ｎ_ｊ個のパケット（平均数）のみである。被害者に関して、

である。

同様に、

である。

即ち、ＡＳＥＭにおける各ルータは、常に最適マーキング確率を使用してパケットにマーキングする。従って、計算負荷は最小化される。表１に、背景技術のＰＰＭ及びＡＳＥＭでの各ルータにおけるマーキングされたパケット及び元のままの（マーキングされていない）パケットの平均数を示す。簡略化のため、Ｎ_ｊを表すのにＳを使用し、

を表すのにｐを使用する。

要約すると、計算負荷に関して、ＡＳＥＭは２つの態様によってＰＰＭから区別される。第１に、導き出された最適マーキング確率はＡＳＥＭにおいて実現可能であり、実際的に使用されるが、ＰＰＭにおいては、全経路長を認識していないため、最適マーキング確率の使用が実際的ではない。第２に、ＰＰＭにおける全てのルータが最適マーキング確率を常に使用すると仮定しても、不等式（１８）により、経路再構築に必要なパケットの数はやはりＡＳＥＭの方が少ないということが示される。

以下のパラグラフでは、経路長の短縮について更に述べる。式（１７）を考慮すると、ＡＳＥＭにおけるＮ_ｊは、ｄ_ｊの値を低減することによって、更に減らすこともできる。ｄ_ｊのルータのうちｄ’_ｊ（ｄ’_ｊ＜ｄ_ｊ）のみが、攻撃経路を復元するのに使用されると仮定する。ｄ’_ｊが小さくなるほど、Ｎ_ｊも小さくなる。

である。

本発明では、ホップバイホップのＩＰ経路の代わりに、はるかに短いＡＳ経路を使用する。経路に沿ったマーキングルータのみがマーキングを行うため、これは、経路再構築に関して経路長がさらに短くなるということに等しい。ＩＰトレースバックのために最も重要な情報は、経路に沿った第１のルータの情報であるということに留意されたい。ＡＳＥＭはＡＳレベルに基づいているが、経路に沿った第１のルータの情報も記録するため、ＡＳＥＭは攻撃発信元を効率的にトレースできる。

以下のパラグラフでは、堅牢なマーキングについて述べる。優良なマーキング方式は、効率と堅牢さとのバランスをとるものである。更に、先のパラグラフでは、最適マーキングの問題を調べた。ここでは、アタッカー及び／又は乗っ取られたルータからの偽のマーキングの問題について取り組む。

アタッカーによって埋め込まれたスプーフィングされたマーキングについて以下で述べる。アタッカーは、偽造されたマーキングを書き込むことによって、トレースを効果的に阻止する場合がある。背景技術のＰＰＭ方式においては、ｖに関して、最も遠いルータによってパケットがマーキングされる可能性は、経路ｊに沿って

である。パケットが、経路ｊに沿ったどのルータにも全くマーキングされていない確率をｑ_ｊとすると、

である。

明らかに、ｐ＜０．５ならば、

である。即ち、アタッカーは、各経路の最も遠いルータをｖが突き止めることができないよう、マーキングされていないパケット上に偽の情報を埋め込むことでｖを混乱させる場合がある。更に悪いことに、スプーフィングされたマーキングの悪影響は、最も遠いルータ、即ち、攻撃発信元に最も近いルータに限定されない。平均経路長が１５の場合、最適マーキング確率はｐ＝０．０６６７である。従って、ｑ_ｊ＝０．３５５３である。ｖに最も近いルータについてさえ、

であるので、その他任意の、より遠いルータについては尚更であることに留意されたい（ＰＰＭにおいて、

がｉの単調増加関数であることを思い出されたい）。この例は、ＰＰＭにおいてアタッカーが偽のマーキング情報を埋め込んだ場合、被害者ｖを騙すことがいかに容易かを表している。しかしながら、本発明の「リマーキング」禁止戦略と、導き出された最適マーキング確率ｐ＝１／（（ｄ_ｊ−ｉ）＋１）とを使用すれば、ｑ_ｊは０になるため、ＡＳＥＭにおいては、これはもはや問題ではなくなる。

乗っ取られたルータによってもたらされるスプーフィングされたマーキングについて以下で述べる。偽のマーキングの別の送信元として、乗っ取られたルータがある。これまでに、この問題を考察した、背景技術における研究はほとんどない。認証（ａｕｔｈｅｎｔｉｃａｔｉｏｎ）は、信頼できるマーキングを保証する目的で背景技術において提案されている方法の１つである。対照的に、ＡＳＥＭの実施形態では、より単純な方法でこの問題に取り組もう。

上述のように、ＢＧＰルーティングの使用によって、下流のマーキングルータである、ＡＳ_ｂのＲ_ｂは、その上流の隣接するマーキングルータである、ＡＳ_ａのＲ_ａにより埋め込まれたマーキングの正当性を検査することができる。これは、Ｒ_ａのＡＳＰＡＴＨ属性が、Ｒ_ｂのＡＳＮとＲ_ｂのＡＳＰＡＴＨ属性との連結となるはずだからである。不一致が見つかった場合、下流のマーキングルータは、スプーフィングされたマーキングを有するそれらのパケットをフィルタリングするか、又は破棄することができる。その後、各ＡＳにおけるマーキング情報としてＡＳＰＡＴＨ属性が使用される場合には、ＡＳ_ｂにおけるマーキングルータは、その上流の隣接するＡＳ_ａのマーキングルータからのマーキング情報の正当性を検査することができる。

大規模ＤＤｏＳ攻撃に対する有効性について、以下で述べる。ＰＰＭについての背景技術の方式は、大規模ＤＤｏＳ攻撃に対して効果がない。これは、ＩＰヘッダにおいて、マーキングのためのビット数が不十分であることに起因する。上述のように、ＰＰＭにおける経路再構築には２つのステップが必要とされる。１つは、各ルータの完全なＩＰアドレスの復元であり、もう１つは、各経路全体の復元である。多数のルータの被害者までの距離が同じである場合があり、また、完全なＩＰアドレスに統合する上で、同じルータからのパケットについてヒントが存在しないため、第１のステップの性能が著しく低下する場合がある。同様に、被害者が経路を効果的に再構築する上で、同じ送信元からのパケットについての手がかりは何も提示されない。

本発明の実施形態は、同じルータからのパケットを識別するために「リンケージ」情報を使用するという着想を実行する。ＡＳＥＭにおいて経路再構築に必要なステップは１ステップのみであること、また、同じリンケージを有するパケットのみが、経路全体を成すものとして統合され得るということに留意されたい。

具体的には、ＡＳＥＭの実施形態は、ＩＰヘッダ内のＩＤフィールドの、次の１６ビット（即ち、３ビット・フラグメント・フラグ・フィールド＋１３ビット・フラグメント・オフセット・フィールド）を、リンケージ情報を記憶するために使用する。これらの２つのフィールドは、今日のインターネットにおいては非常にまれな（全トラフィックの約０．２５％）フラグメント化されたトラフィックを処理するために当初設計されたものである。

宛先における再組み立てを確実に成功させるために、全てのフラグメントは同じＩＤを有する。ＡＳＥＭの実施形態において、ＩＤフィールドがＩＰトレースバックにおけるマーキングのために使用されている場合、フラグメント・フラグ・フィールド及びフラグメント・オフセット・フィールドを無変更のままにしておくことは無意味である。上述のように、「リマーキング禁止」フラグは、フラグメント・フラグ・フィールドの第１のビットを占有し、このビットはデフォルト値０を有する予約ビットである。次の３ビットは、ＡＳ経路の長さを記録するために使用される。

ＡＳＥＭの実施形態では、ハッシュ関数を使用して、第１のルータの３２ビット・ＩＰアドレスを、ＨＡＳＨＩＰと呼ばれる１２ビットのハッシュ値にマッピングする。このフィールドをガイドとして使用するため、ＡＳＥＭは同じ送信元からのパケットの判別において非常に効果的である。それにより、ＡＳＥＭでは、今日主流となっている大規模ＤＤｏＳ攻撃に対応し得る。

以下は、ＨＡＳＨＩＰフィールドを使用する利点である。

（１）ＨＡＳＨＩＰをガイドとして使用することにより、経路を復元する上で、ノードのブラインドコンビネーション（ｂｌｉｎｄｃｏｍｂｉｎａｔｉｏｎ）が効果的に回避されるため、経路再構築手順は大幅に簡略化される。

（２）ＨＡＳＨＩＰフィールドを、被害者が攻撃トラフィックをブロックするための識別子として単独で使用することもできるのだが、これは、ＰＰＭ（及びその他ほとんどの方式）の場合には、ＰＰＭにおけるルータのマーキング情報がセグメント化され、いくつかのパケットとして伝送されるために、実現不可能である。

（３）ＨＡＳＨＩＰ及びＡＳ＿ＰＡＴＨを活用して、ＡＳＥＭにより大規模ＤＤｏＳ攻撃に対応することもできる。ＡＳ＿ＰＡＴＨを使用して、各種ＡＳを通過する攻撃フローを区別することもできる。ＨＡＳＨＩＰを使用して、同じＡＳにおける異なる送信元から発信された攻撃フローを見分けることができるので、ＡＳＥＭは大規模ＤＤｏＳ攻撃に対処し易くなる。

（４）攻撃パケットが通過したＡＳ経路を特定した後、攻撃経路に沿った第１のＡＳのシステム管理者は、ＡＳの入口エッジルータの数が４０９６（２^１２、ここでは理想的なハッシュ関数が使用されていると仮定する）未満でありさえすれば、攻撃パケットが放たれた入口エッジルータを識別できる。

ＰＰＭの場合、被害者が経路に沿った入口エッジルータのＩＰアドレスを再構成可能であっても、被害者にはそのルータを管理する権利がないため、やはり、対応するＡＳのシステム管理者が行動をとる必要がある。故に、対応するシステム管理者に、入口エッジルータの完全なＩＰアドレスか、又はＨＡＳＨＩＰを伝えるということは等価である。なぜなら、システム管理者は、ルックアップテーブルを保持して、ＨＡＳＨＩＰ値からＩＰアドレスを決定できるからである。

以下のパラグラフでは、マーキングアルゴリズムについて述べる。マーキング及び経路再構築のアルゴリズムは、ＰＰＭのものに非常に類似している。１つの違いは、ＡＳＥＭにおけるリンケージ情報によって各攻撃経路の復元におけるブラインドコンビネーションが回避されるため、経路再構築が高速且つ効率的になるということである。ここで、マーキングアルゴリズムを提示する唯一の理由は、本発明のマーキングアルゴリズムがマーキング検証という付加的なジョブを実行するからである。

マーキングアルゴリズムは、図３に示されるような、第１のマーキングルータのためのものと、その他のマーキングルータのためのもの（図４に示される）とに更に分けられる。従って、マーキングルータが同じＡＳからパケットを受信する場合、それは第１のマーキングルータである。一方、マーキングルータが他のＡＳからパケットを得る場合、それは第１のマーキングルータではない。第１のマーキングルータの場合には、ＦＬＡＧフィールドの値を検査することが重要であるが、これは、巧妙なアタッカーがこのフィールドを１にあらかじめ設定して、さらなる任意のマーキングをブロックすることがあるためである。その他全てのマーキングルータの場合には、偽造されたマーキングに対応するために、ＡＳ＿ＰＡＴＨフィールドを検査する必要がある。

ＡＳＥＭの実施形態の性能解析の実験結果について、以下のパラグラフで述べる。以下では、計算負荷について述べよう。実際的な経路長分布を考慮した場合と考慮しない場合との２つの観点から、ＡＳＥＭの計算負荷とＰＰＭの計算負荷とが比較される。

このパラグラフでは、実際の経路長分布を考慮しない、各種異なる経路長の場合の性能比較について述べる。ＰＰＭでは、ルータは各経路長を事前に認識していない。解析を簡略化するために、ＰＰＭが、推奨されるマーキング確率、０．０４を使用すると仮定する。実験結果として、最初に、実施形態によって提供される利点１つ１つの効果を示し、次に相乗効果を示す。図５〜図７に示されたＮ_ｊと表２〜表３の結果とにおいて、端数が、最も近い大きい方の整数に切り上げられていること、即ち

であることに留意されたい。

このパラグラフでは、最適マーキング確率について述べる。ＡＳＥＭが背景技術に優る第１の利点は、式（１１）に示されるような最適マーキング確率を使用することにより実現される。

ＰＰＭでのＮ_ｊの値は、（１５）にｐ＝０．０４を代入することによって得られる。本発明のＡＳＥＭの第１の利点として、Ｎ_ｊの値は式（１７）を使用して計算される。結果は図５に示されている。

より短い経路長について、以下で述べる。図６は、ＰＰＭに優る本発明のＡＳＥＭの第２の利点の有利性を示す。ＡＳＥＭとＰＰＭとは、異なる粒度で動作することに留意されたい。ＡＳＥＭはＡＳレベルで動作し、且つ各経路に沿ったマーキングルータのみにマーキングの実行が許可されるため、同じ経路についてでさえ、経路長の値がＰＰＭと本発明のアプローチとでは異なる。よって、ＡＳＥＭは「より短い」経路長を有する。最近のインターネット計測によれば、ＩＰレベルにおける経路長は、平均して、ＡＳレベルにおける対応する経路長の約３倍である。故に、簡略化のため、ＡＳレベルにおける経路長２、３、４、．．．、１０に対応する経路長６、９、１２、．．．、３０を有するＩＰ経路のみを考慮する。この簡略化は、比較において本発明の利点２が含まれる場合には必ず用いられよう。

両方の利点をＡＳＥＭの実施形態として統合した最終結果が、図７に示されている。図から、ＡＳＥＭの実施形態がＰＰＭよりも大幅に性能が優れていることは明白である。

実際の経路長分布を考慮した性能比較について、以下で述べる。実際的な経路長分布を考慮に入れることにより、ＡＳＥＭの性能がより正確に描写される。

本発明では２つのデータセットを使用する。１つは、ＣＡＩＤＡのＳｋｉｔｔｅｒプロジェクトからのものであり、もう１つは、ＬｕｍｅｔａからのＩｎｔｅｒｎｅｔＭａｐｐｉｎｇデータであって、それぞれ、ｈｔｔｐ：／／ｒｅｓｅａｒｃｈ．ｌｕｍｅｔａ．ｃｏｍ／ｃｈｅｓ／ｍａｐ／から入手可能なＩｎｔｅｒｎｅｔＭａｐｐｉｎｇＰｒｏｊｅｃｔ、及びｈｔｔｐ：／／ｗｗｗ．ｃａｉｄａ．ｏｒｇ／ｔｏｏｌｓ／ｍｅａｓｕｒｅｍｅｎｔ／ｓｋｉｔｔｅｒ／から入手可能なＣＡＩＤＡ，Ｓｋｉｔｔｅｒを参照されたい。各経路長について、両方のデータセットからの経路数を単純に平均し、結果を本発明のデータセットとして使用することによって解析結果を得た。ＩＰ経路長の大部分は６以上３０以下であるため、この範囲外の長さの経路は全て除外することが可能である。本発明のデータセットの残りの部分から、合計９８０４個の経路が選択された。９８０４個の経路のうち、ＩＰ経路長６、９、１２、．．．、又は３０を有する３４４８個の経路が、本発明の第２の改良点を含めた比較に使用されよう。

９８０４個の経路（セットＳ_１として示される）を全て再構築するために、次の２つの関連するパラメータを考慮する：（１）全ての経路を再構築するために必要なパケットの総数Ｎ；及び（２）１個の経路を再構築するために必要なパケットの平均数ｎ。同様に、選択された３４４８個の経路（セットＳ_２として示される）について、Ｎ’及びｎ’を使用して、それぞれ、全ての経路を再構築するために必要なパケットの総数、及び１つの経路についての平均を表す。

Ｎ、Ｎ’、ｎ、及びｎ’はそれぞれ、式（２３）、（２４）、（２５）、及び（２６）に従って計算される。結果は、以下の表２及び表３に示される。

ｎ＝Ｎ／９８０４（２５）
ｎ’＝Ｎ’／３４４８（２６）

表２では、先に説明したように、長さが３の倍数であり、６以上３０以下であるＩＰ経路のみを使用する。この概算による、結果への影響は一見した限りではそれ程見受けられないことに留意されたい。ＰＰＭを考えると、９８０４個の経路及び３４４８個の経路からの、１個の経路を再構築するために必要なマーキングされたパケットの数は、平均して、それぞれ５４４及び５２０である。これらの２つの値は非常に近い（差はわずか４．４１％である）。ＡＳＥＭの場合には、１個の経路を再構築するために必要なパケットの総数について、平均して９８．８５％の節減を達成することもできる。

実施形態の堅牢さについて、以下で述べる。ＡＳＥＭは、アタッカー及び乗っ取られたルータからのスプーフィングされたマーキングに対処できる。ＰＰＭの場合、パケットが触れられずに（即ち、マーキングされずに）被害者に到達する確率は、経路ｊに沿って

である。被害者を完全に混乱させるためには、次の不等式が満たされるはずである。

この場合、

である。

平均経路長１５の場合、式（２８）は、ｐ≦０．０４５１６ならば成り立つ。従って、推奨される値ｐ＝０．０４を使用すれば、再構築が著しく妨害され、誤検出が増加してしまう。一方、ＡＳＥＭでは、ｑ_ｊ＝０である。言い換えると、アタッカーによって組み込まれる全てのパケットに偽のマーキングが書き込まれていても、そのような偽のマーキング情報は、パケットが攻撃経路に沿って通過する際に、ルータからの正確なマーキング情報によって完全に置き換えられてしまうだろう。従って、ＡＳＥＭのこの利点によって、本発明はアタッカーからのスプーフィングされたマーキングを皆無にし、一方でＮ_ｊを最適化する。

乗っ取られたルータについて、ＡＳＥＭはマーキング情報の正当性を検査することによって、上記ルータの悪影響を阻止する。認証を使用する背景技術の方式と比較して、ＡＳＥＭでは、導入されるオーバヘッドがはるかに少ない。

誤検出に対する、ＡＳＥＭの実施形態の性能について以下で述べる。背景技術と比較して、ＡＳＥＭの実施形態では、特に、マーキングビットを少なくすることが可能である。

誤検出率が高い理由の１つとして、マーキングビットの不足がある。ＰＰＭでは、被害者は３２ビット・ＩＰアドレスを特定するために８つのフラグメントを使用してパケットを統合しなければならないのだが、一方ＡＳＥＭではこのステップは不要である。更に、１つのルータについてのマーキング情報は、ＡＳＥＭでは１６ビットであり、ＰＰＭにおいて必要なビットのわずか半分である。従って、組み合わせ爆発によってもたらされる誤検出が、両方の要因によって著しく軽減される。

リンケージ情報について、以下で述べる。ＡＳＥＭにおけるリンケージ情報によって、経路再構築におけるブラインドコンビネーションを効果的に回避することができる。これは、今日主流の攻撃パターンである大規模ＤＤｏＳ攻撃においては特に、非常に重要である。１２ビット・リンケージ情報は、経路再構築におけるガイドとして使用可能である。

短縮された経路長について、以下で述べる。被害者により近いルータによって引き起こされる誤検出の「なだれ」効果にも留意されたい。経路再構築中に、被害者からｈホップ離れたルータＲが誤って攻撃経路に追加された場合、これにより、ｈ＋１ホップ離れたルータを突き止めるのに影響が出てしまうだろう。ｈが小さくなるほど、それだけ誤検出は増加する。一般的に、経路長のデクリメントにより誤検出を指数関数的に低減できるので、ＡＳＥＭ方法には好都合である。

実施形態は、ＩＰトレースバックのための、堅牢且つ最適なマーキング方式を提供する。第１に、実施形態は経路再構築の最適化のための測定基準を提供する。経路再構築はパケットマーキングの基本目標であることに留意されたい。この測定基準をガイドラインとして使用して、ＡＳＥＭが背景技術に優る２つの利点を上述した。両方の利点を統合することで、ＡＳＥＭは背景技術に優る付加的利点をいくつも有することが分かる。第１には、最適マーキング確率である：先のパラグラフで、最適マーキング確率を導き出して、実際の実装を提示した。従来のＰＰＭと比較して、平均で９８．８５％ものマーキングされたパケットを低減することができる。第２には、堅牢なマーキングである：ＡＳＥＭは、アタッカーによるスプーフィングされたマーキングだけでなく、乗っ取られたルータによりもたらされた偽のマーキングにも対処することができる。第３には、今日のインターネット環境において主流である大規模ＤＤｏＳ攻撃への対処の有効性である。第４には、誤検出の減少である：高い誤検出率は、上記利点により効果的に抑制される。第５には、部分的な導入である。第６に、べき乗則インターネットによって、ＡＳＥＭの部分的な導入は効果的なものとなり易い。

特定の実施形態について説明したが、特許請求の範囲に記載の主題の範囲は、特定の実施形態又は実装には限定されないということが、当然、理解されよう。例えば、一実施形態は、例えばデバイス又はデバイスを組み合わせたものにおいて動作するよう実装されるような、ハードウェアにおけるものであってもよく、別の実施形態に関しては、ソフトウェアにおけるものであってもよい。同様に、実施形態はファームウェアにおいて、或いは例えばハードウェア、ソフトウェア及び／又はファームウェアを任意に組み合わせたものとして実装されてもよい。同様に、一実施形態は１つ又は複数の記憶媒体等の１つ以上の物品から成っていてもよいが、特許請求の範囲に記載の主題の範囲はこの点において限定されない。例えば１つ以上のＣＤ−ＲＯＭ及び／又はディスクといった上記記憶媒体はそこに命令を記憶していてもよく、この命令が、例えばコンピュータシステム、コンピューティングプラットフォーム、又はその他のシステムといったシステムで実行された場合、特許請求の範囲に記載の主題に係る方法の一実施形態、例えば上述の実施形態の１つが実施されてもよい。考えられる一例として、コンピューティングプラットフォームは、１つ以上の処理装置若しくはプロセッサ、１つ以上の入／出力デバイス（ディスプレイ、キーボード、及び／又はマウス等）、及び／又は１つ以上のメモリ（スタティックランダムアクセスメモリ、ダイナミックランダムアクセスメモリ、フラッシュメモリ、及び／又はハードドライブ等）を含んでもよい。例えば、ディスプレイを用いて、１つ以上のクエリ（相関を持ったもの等）及び／又は１つ以上の木表現を表示してもよいが、やはり特許請求の範囲に記載の主題の範囲はこの例に限定されない。同様に、実施形態はシステムとして実装されてもよいし、或いはコンピュータシステム、移動通信システム及び／又はその他の種類の通信システム、及びその他周知の電子システム等の構成要素を任意に組み合わせたものとして実装されてもよい。

先の記載には、特許請求の範囲に記載の主題の様々な態様が記載されている。特許請求の範囲に記載の主題が十分に理解されるように、説明上、特定の数、システム及び／又は構成を示した。しかしながら、上記の具体的な詳細通りでなくとも特許請求の範囲に記載の主題が実施されることは、本開示の恩恵を受ける当業者にとって明白であろう。その他、特許請求の範囲に記載の主題が不明確にならないように、周知の特徴を省略及び／又は簡略化した場合もある。特定の特徴が本明細書において図示及び／又は説明されているが、多くの変形例、置換例、変更例、及び／又は均等物が当業者には想到されよう。従って、添付の特許請求の範囲は、そのような変形及び／又は変更の全てを、特許請求の範囲に記載の主題の趣旨に入るものとして包含するものであると理解されたい。

ホップバイホップ経路に対し、ＡＳ経路を有する、自律システムベースのエッジマーキング（ＡＳＥＭ）の実施形態のシステム図の一例である。ＡＳＰＡＴＨ属性に起因するプレフィックスを有するＡＳＥＭのシステム図及び実施形態の一例である。ＡＳＥＭの一実施形態の第１のマーキングルータにおけるマーキング方法のフローチャート例である。ＡＳＥＭの一実施形態のルータにおけるマーキング及び検証アルゴリズムの方法のフローチャート例である。ＰＰＭにおけるＮ_ｊ、対、ＡＳＥＭの実施形態が背景技術に優る第１の利点におけるＮ_ｊについての解析結果のグラフ例である。ＰＰＭにおけるＮ_ｊ、対、ＡＳＥＭの実施形態が背景技術に優る第２の利点を示すものにおけるＮ_ｊについての解析結果のグラフ例である。ＰＰＭにおけるＮ_ｊ、対、背景技術に優る第１及び第２の利点の統合を示すＡＳＥＭの実施形態におけるＮ_ｊについての解析結果のグラフ例である。

Claims

インターネットプロトコル（ＩＰ）トレースバックのための方法であって、
前記方法は、
ルータにおいて１つ以上のパケットを受信するステップと;
自律システム（ＡＳ）レベルのマーキングルータにおけるパケットにのみマーキング情報を書き込むステップと;
マーキングされたパケットをエッジルータ及びその他のルータに検証のために転送するステップとを含み、
前記パケットは、確率測度に基づいてマーキングされ、且つ
ボーダ・ゲートウェイ・プロトコル（ＢＧＰ）ルーティングテーブル情報は、マーキング及び検証のために使用される前記ＡＳレベル情報である
方法。
前記確率測度は、乱数が最適マーキング確率より小さいか否かによって決定される、
請求項１に記載のＩＰトレースバックのための方法。
ＢＧＰルーティングテーブル情報は、マーキング及び検証のために使用され、自律システム番号（ＡＳＮ）及びＡＳＰＡＴＨ属性である、
請求項２に記載のＩＰトレースバックのための方法。
マーキング及び検証のために使用される前記ＢＧＰルーティングテーブル情報は、自律システム番号（ＡＳＮ）及びＡＳＰＡＴＨ属性のうちの少なくとも１つを更に含む、
請求項３に記載のＩＰトレースバックのための方法。
マーキング情報は、マーキングされたパケットを識別するフラグと；経路長属性と；前記マーキングルータのＩＰアドレスのハッシュ関数とを更に含む、
請求項４に記載のＩＰトレースバックのための方法。
検証において、上流及び下流のマーキング情報を比較して、上流のマーキング情報と下流のマーキング情報との差が、前記上流のルータのＡＳＮのみであると確認するステップが更に含まれる、
請求項５に記載のＩＰトレースバックのための方法。
プロセッサによって実行された場合、ＩＰトレースバックのための方法を前記プロセッサに実施させるソフトウェアコードを含むプロセッサ可読媒体であって、
前記ＩＰトレースバックのための方法は、
ルータにおいて１つ以上のパケットを受信するステップと;
自律システム（ＡＳ）レベルのマーキングルータにおけるパケットにのみマーキング情報を書き込むステップと;
マーキングされたパケットをエッジルータ及びその他のルータに検証のために転送するステップとを含み、
前記パケットは、確率測度に基づいてマーキングされ、且つ
ボーダ・ゲートウェイ・プロトコル（ＢＧＰ）ルーティングテーブル情報は、マーキング及び検証のために使用される前記ＡＳレベル情報である、
プロセッサ可読媒体。
前記確率測度は、乱数が最適マーキング確率より小さいか否かによって決定される、
請求項７に記載のプロセッサ可読媒体。
ＢＧＰルーティングテーブル情報は、マーキング及び検証のために使用され、自律システム番号（ＡＳＮ）及びＡＳＰＡＴＨ属性である、
請求項８に記載のプロセッサ可読媒体。
マーキング及び検証のために使用される前記ＢＧＰルーティングテーブル情報は、自律システム番号（ＡＳＮ）及びＡＳＰＡＴＨ属性のうちの少なくとも１つを更に含む、
請求項９に記載のプロセッサ可読媒体。
マーキング情報は、マーキングされたパケットを識別するフラグと；経路長属性と；前記マーキングルータのＩＰアドレスのハッシュ関数とを更に含む、
請求項１０に記載のプロセッサ可読媒体。
検証において、上流及び下流のマーキング情報を比較して、上流のマーキング情報と下流のマーキング情報との差が、前記上流のルータのＡＳＮのみであると確認するステップが更に含まれる、
請求項１１に記載のプロセッサ可読媒体。
乗っ取られたルータ、及び危殆化したルータは隣接していない、
請求項１２に記載のプロセッサ可読媒体。
攻撃は、少なくとも数十のパケットで構成される、
請求項１３に記載のプロセッサ可読媒体。
ＩＰトレースバックのためのシステムであって、
前記システムは、
複数の自律システムと、
前記複数の自律システムを相互接続するように構成されたルータとを備え、
前記ルータは、
前記複数の自律システムによって受信されたパケットにマーキングするように構成されたマーキングルータと、
前記マーキングルータに相互接続され、且つ前記マーキングルータによりマーキングされたパケットを検証するように構成されたエッジルータ及びその他のルータとを更に含み、
前記マーキングルータ、エッジルータ及びその他のルータは、請求項７に記載のソフトウェア可読媒体を実行するように構成されたプロセッサを更に含む
システム。
ＢＧＰルーティングテーブル情報は、マーキング及び検証のために使用され、自律システム番号（ＡＳＮ）及びＡＳＰＡＴＨ属性である、
請求項１５に記載のシステム。
マーキング及び検証のために使用される前記ＢＧＰルーティングテーブル情報は、自律システム番号（ＡＳＮ）及びＡＳＰＡＴＨ属性のうちの少なくとも１つを更に含む、
請求項１６に記載のシステム。
マーキング情報は、マーキングされたパケットを識別するフラグと;経路長属性と;前記マーキングルータのＩＰアドレスのハッシュ関数とを更に含む、
請求項１７に記載のシステム。
検証において、上流及び下流のマーキング情報を比較して、上流のマーキング情報と下流のマーキング情報との差が、前記上流のルータのＡＳＮのみであると確認するステップが更に含まれる、
請求項１８に記載のシステム。
乗っ取られたルータ、及び危殆化したルータは隣接しておらず、且つ、攻撃は少なくとも数十のパケットで構成される、
請求項１９に記載のシステム。