JP2018029303A - 通知システムおよび通知方法 - Google Patents

Abstract

【課題】要求元ルータ側で攻撃が継続されているかどうかの状況を確認することができること。【解決手段】通知システムでは、要求元ルータ１０が、特定のパケットを遮断したカウンタ数を通知するように要求先ルータ２０に対して要求する。そして、要求先ルータ２０が、特定のパケットを受信した場合に、該特定のパケットを遮断し、特定のパケットが遮断された回数をカウントする。そして、要求先ルータ２０が、カウントしたカウンタ数を要求元ルータ１０に通知する。【選択図】図１

Description

本発明は、通知システムおよび通知方法に関する。

インターネットでは、通信経路を構成するＡＳ（Autonomous System，自律システム）間の経路制御はＢＧＰ（Border Gateway Protocol）に従って行われている。このようなＢＧＰが適用されたＢＧＰルータには、フロースペックという機能がある。

このようなフロースペックの機能を利用して、要求元ルータが、ＢＧＰピアを張った要求先ルータに対してフロー特定条件と該フロー特定条件に合致した場合に実行する処理とを通知し、パケットドロップフィルタを発動させる。例えば、要求元ルータは、遮断したパケットの送信先ＩＰアドレスや送信元ＩＰアドレスをフロー特定条件として指定し、該フロー特定条件に合致した場合に実行する処理としてパケットの遮断を指定する。これにより、要求先ルータは、指定されたフロー特定条件に合致するパケットを受信した場合には、該パケットを破棄することで、フロー特定条件に合致したパケットを遮断する。

"Dissemination of Flow Specification Rules"、［online］、［平成２８年８月９日検索］、インターネット＜https://tools.ietf.org/html/rfc5575＞ "Clarification of the Flowspec Redirect Extended Community"、［online］、［平成２８年８月９日検索］、インターネット＜https://tools.ietf.org/html/rfc7674＞ "BGP Extended Communities Attribute"、［online］、［平成２８年８月９日検索］、 インターネット＜https://tools.ietf.org/html/rfc4360＞

しかしながら、従来の技術では、要求元ルータ側では攻撃が継続されているかどうかの状況を確認することができない場合があるという課題があった。例えば、要求先ルータが攻撃パケットを遮断しているため、要求先ルータを経由して要求元ルータへ攻撃パケットが届くことがないため、要求元ルータと要求先ルータとで運用主体が異なる場合には、要求元ルータ側では攻撃の継続と停止を判別できない。

上述した課題を解決し、目的を達成するために、本発明の通知システムは、特定の条件と特定の処理とを要求先ルータに対して通知する要求元ルータと、前記特定の条件に合致する通信が発生した場合に前記特定の処理を実行する要求先ルータとを有する通知システムであって、前記要求元ルータは、特定のパケットを遮断したカウンタ数を通知するように前記要求先ルータに対して要求する要求部を有し、前記要求先ルータは、前記特定のパケットを受信した場合に、該特定のパケットを遮断する遮断部と、前記遮断部によって前記特定のパケットが遮断された回数をカウントするカウント部と、前記カウント部によってカウントされたカウンタ数を前記要求元ルータに通知する通知部とを有することを特徴とする。

また、本発明の通知方法は、特定の条件と特定の処理とを要求先ルータに対して通知する要求元ルータと、前記特定の条件に合致する通信が発生した場合に前記特定の処理を実行する要求先ルータとを有する通知システムで実行される通知方法であって、前記要求元ルータが、特定のパケットを遮断したカウンタ数を通知するように前記要求先ルータに対して要求する要求工程と、前記要求先ルータが、前記特定のパケットを受信した場合に、該特定のパケットを遮断する遮断工程と、前記要求先ルータが、前記遮断工程によって前記特定のパケットが遮断された回数をカウントするカウント工程と、前記要求先ルータが、前記カウント工程によってカウントされたカウンタ数を前記要求元ルータに通知する通知工程とを含んだことを特徴とする。

本発明によれば、要求元ルータ側で攻撃が継続されているかどうかの状況を確認することができるという効果を奏する。

図１は、第一の実施の形態に係る通知システムの概要を示す構成図である。 図２は、ＢＧＰフロースペックについて説明する図である。 図３は、既存のアクションルールの一例を示す図である。 図４は、ｔｒａｆｆｉｃ−ｒａｔｅのフォーマット例を示す図である。 図５は、新たに定義されるアクションルールの一例を示す図である。 図６は、新たに定義されるアクションルールのフォーマット例を示す図である。 図７は、要求元ルータによる要求処理を説明する図である。 図８は、要求先ルータによる通知処理を説明する図である。 図９は、第一の実施の形態に係る通知システムにおける通知処理の流れを示すシーケンス図である。 図１０は、通知プログラムを実行するコンピュータを示す図である。

以下に、本願に係る通知システムおよび通知方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る通知システムおよび通知方法が限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る通知システムの構成、通知システムの処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［通知システムの構成］
まず、図１を用いて、要求元ルータ１０および要求先ルータ２０を含む通知システムの構成を説明する。図１は、第一の実施の形態に係る通知システムの概要を示す構成図である。図１に示すように、この通知システムは、要求元ルータ１０、要求先ルータ２０、ルータ３０、攻撃者の端末４０、通常ユーザの端末５０および複数サーバ６０Ａ〜６０Ｅを有する。

図１に示すように、通知システムでは、特定の条件と特定の処理とを要求先ルータに対して通知する要求元ルータ１０と、特定の条件に合致する通信が発生した場合に特定の処理を実行する要求先ルータ２０とを有する。要求元ルータ１０および要求先ルータ２０は、ＢＧＰルータであり、ＢＧＰフロースペックの機能を有する。

要求元ルータ１０は、ＢＧＰピアを張った要求先ルータ２０においてパケットフィルタを発動させる。例えば、トラフィックを特定する為の「Ｌ３／Ｌ４情報（例えば、ＩＰアドレス、ポート番号など）」と、特定したトラフィックの「処理方法（Action Rule）の情報（DropやRate-Limitなど）」を要求元ルータ１０に設定する。そして、要求元ルータ１０は、その情報をＢＧＰ Ｕｐｄａｔｅメッセージ（拡張コミュニティＲＦＣ４３６０）に格納し、ＢＧＰのピア先の要求先ルータ２０に通知し、そのメッセージを受け取った要求先ルータ２０にて、指定されたトラフィックに対し、指定された処理を実施させる。このような処理の主な用途は、ＤＤｏＳ等の攻撃トラフィックに対する、要求元ルータへの流入前の対処であり、要求先ルータ２０にドロップ等のMitigation処理を実施させる。

ここで、図２を用いて、ＢＧＰフロースペックによる攻撃の遮断ついて説明する。図２は、ＢＧＰフロースペックについて説明する図である。図２の例では、要求元ルータ１０は、遮断（Ｄｒｏｐ）する通信の条件であるフロー特定条件として、例えば、送信先ＩＰアドレス「１０．１０．１０．４」、送信元ＩＰアドレス「６０．６０．６０．６６」および送信先ポート「８０」と、遮断処理としてトラフィックレート「０」とを、ＢＧＰ Ｕｐｄａｔｅメッセージに格納し、ＢＧＰのピア先の要求先ルータ２０にアクションルールを通知する。なお、図２の例では、攻撃者の端末４０のＩＰアドレスが「６０．６０．６０．６６」であり、攻撃対象となるサーバ６０ＤのＩＰアドレスが「１０．１０．１０．４」であるものとして説明する。

図２に示すように、要求先ルータ２０は、攻撃者の端末４０から攻撃対象となるサーバ６０Ｄ宛てのパケットを受信した場合には、該パケットを破棄することで、ＤＤｏＳ攻撃等を遮断する。具体的には、要求先ルータ２０は、ルータ３０からパケットを受信すると、該パケットの送信先ＩＰアドレス、送信元ＩＰアドレスおよび送信先ポートを解析し、送信先ＩＰアドレス「１０．１０．１０．４」、送信元ＩＰアドレス「６０．６０．６０．６６」および送信先ポート「８０」である場合には、フロー特定条件に合致するものとして、パケットを破棄する。

また、例えば、要求先ルータ２０は、通常ユーザの端末５０からサーバ６０Ｄ宛てのパケットを受信した場合には、フロー特定条件に合致しないので、通常通り要求元ルータ１０にパケットを転送する。

ここで、図３および図４を用いて、既存のアクションルールについて説明する。図３は、既存のアクションルールの一例を示す図である。図４は、ｔｒａｆｆｉｃ−ｒａｔｅのフォーマット例を示す図である。図３では、既存のアクションルールとして、「ｔｒａｆｆｉｃ−ｒａｔｅ」、「ｔｒａｆｆｉｃ−ａｃｔｉｏｎ」、「ｒｅｄｉｒｅｃｔ」および「ｔｒａｆｆｉｃ−ｍａｒｋｉｎｇ」が例示されている。例えば、図４に例示するように、「ｔｒａｆｆｉｃ−ｒａｔｅ」の場合には、Ｔｙｐｅフィールド（２ｂｙｔｅｓ）に「０ｘ８００６」が設定され、ＥｎｃｏｒｄｉｎｇフィールドにＡＳ番号である「ＡＳＮ（Autonomous System Number）」と１秒当たりの通信バイト数を示す「Ｒａｔｅ」とが設定される。なお、「Ｒａｔｅ」を「０」に設定すると、Ｄｒｏｐ（廃棄）として動作する。

図１の説明に戻って、要求元ルータ１０は、要求部１１および解析部１２を有する。要求部１１は、特定のパケットを遮断したカウンタ数を通知するように要求先ルータ２０に対して要求する。具体的には、要求部１１は、ＢＧＰ拡張コミュニティを用いて、カウンタ数の通知を要求するルールを要求先ルータ２０に対して通知する。

例えば、要求部１１は、カウンタ数を通知させる時間間隔を示す情報を格納するフィールドに時間間隔を示す情報を設定する。なお、時間間隔については、予め設定されていてもよいし、ユーザが任意に設定できるようにしてもよい。

ここで、図５および図６を用いて、新しく定義されるアクションルールについて説明する。図５は、新たに定義されるアクションルールの一例を示す図である。図６は、新たに定義されるアクションルールのフォーマット例を示す図である。図５の例では、新たに定義されるルールとして、特定のトラフィックを遮断（ドロップ）し、且つ、特定のパケットを遮断した回数をカウントするＤｒｏｐ（ドロップ）カウンタの通知を要求するルールと、Ｄｒｏｐカウンタの前半部分を通知するルールと、Ｄｒｏｐカウンタの後半部分を通知するルールとが例示されている。なお、図５のでは、Ｔｙｐｅの値として、「０ｘ８＊＊＊」と記載しているが、実際には任意の値が設定されるものとする。

また、図６に示すように、Ｄｒｏｐカウンタの通知要求ルールでは、８Ｂｙｔｅの拡張コミュニティの中に２ｂｙｔｅのＡＳ番号と、４Ｂｙｔｅの通知間隔（秒）が格納される。また、Ｄｒｏｐカウンタ値の通知ルールでは、６４Ｂｉｔカウンタの値を格納するのには、１つのメッセージでは領域が不足するので、２つのメッセージを使用するものとする。

２つのメッセージは、カウンタ値の上位６４ｂｉｔから３２ｂｉｔ分を前半の値（value first half）と、上位３２ｂｉｔから１ｂｉｔ分を後半の値（value latter half）として、分割して格納する。分割されたメッセージが同一のカウンタ値情報を格納している事を判別する為に、２ＢｙｔｅのＩｄｅｎｔｉｆｉｅｒ（正数値）情報を定義し、判別する。

要求元ルータ１０は、図７に示すように、Ｄｒｏｐカウンタの通知要求ルールを、ＢＧＰ Ｕｐｄａｔｅメッセージに格納し、ＢＧＰピアを張った要求先ルータ２０に送信することで、Ｄｒｏｐカウンタの通知を要求する。図７は、要求元ルータによる要求処理を説明する図である。

図１の説明に戻って、解析部１２は、要求先ルータ２０からＤｒｏｐカウンタの情報を受信すると、該Ｄｒｏｐカウンタの情報を用いて、攻撃が継続して行われているか否かを解析する。これより、要求元ルータ１０は、例えば、ＤＤｏｓ攻撃が継続されているか停止しているかを判別することができる。なお、要求元ルータ１０が解析を行う機能を有する場合に限定されるものではなく、解析部１２の機能を外部の解析装置等がもっていてもよく、このような解析装置がＤｒｏｐカウンタの値を基にＤＤｏｓ攻撃の状況等を解析するようにしてもよい。

要求先ルータ２０は、遮断部２１、カウント部２２および通知部２３を有する。遮断部２１は、特定のパケットを受信した場合に、該特定のパケットを遮断する。例えば、遮断部２１は、要求元ルータ１０により事前に通知されたフロー特定条件に合致するパケットを受信すると、該パケットを破棄する。

カウント部２２は、遮断部２１によって特定のパケットが遮断された回数をカウントする。例えば、カウント部２２は、遮断部２１によって特定のパケットが遮断されるたびに、Ｄｒｏｐカウンタの値に１を加算する。なお、カウント部２２は、後述する通知部２３によりカウンタ数が通知されると、Ｄｒｏｐカウンタの値をリセットする。

通知部２３は、カウント部２２によってカウントされたＤｒｏｐカウンタの値を要求元ルータ１０に通知する。また、通知部２３は、Ｄｒｏｐカウンタの値の情報を格納するフィールドにＤｒｏｐカウンタの値の情報を設定する。具体的には、通知部２３は、要求元ルータ１０に設定された通知間隔ごとに、カウント部２２によってカウントされたＤｒｏｐカウンタの値の情報を前半部分と後半部分に分割し、該前半部分と後半部分とを別々に要求元ルータ１０に通知する。

つまり、要求先ルータ２０は、図８に示すように、要求元ルータ１０に設定された通知間隔ごとに、Ｄｒｏｐカウンタの値を要求元ルータ１０に通知する。これにより、要求先ルータ２０は、要求元ルータ１０に対して定期的にドロップしたパケットの状況を通知することが可能となる。なお、上記の説明では、要求先ルータ２０がＤｒｏｐカウンタの値を通知する先を要求元ルータ１０としたが、これに限定されるものではなく、図示しない外部の解析装置等に送信するようにしてもよく、このような解析装置にＤｒｏｐカウンタの値を基にＤＤｏｓ攻撃の状況等を解析させてもよい。

［通知システムの処理の一例］
次に、図９を用いて、通知システムにおける処理の流れを説明する。図９は、第一の実施の形態に係る通知システムにおける通知処理の流れを示すシーケンス図である。

図９に示すように、要求元ルータ１０は、特定のトラフィックの遮断とＤｒｏｐカウンタの通知を要求する（ステップＳ１０１）。具体的には、要求元ルータ１０は、Ｄｒｏｐカウンタの通知要求ルールの情報を、ＢＧＰ Ｕｐｄａｔｅメッセージに格納し、ＢＧＰピアを張った要求先ルータ２０に通知する。

そして、要求先ルータ２０は、通知間隔を経過すると（ステップＳ１０２肯定）、Ｄｒｏｐカウンタのデータを前半部分と後半部分で分割してメッセージに格納し（ステップＳ１０３）、Ｄｒｏｐカウンタの値を要求元ルータ１０に通知する（ステップＳ１０４）。そして、要求元ルータ１０は、Ｄｒｏｐカウンタの値を要求先ルータ２０から受信すると、該Ｄｒｏｐカウンタの情報を用いて、攻撃が継続して行われているか否かを解析する（ステップＳ１０５）。なお、解析部１２が、攻撃が継続して行われていないと判定した場合には、例えば、要求先ルータ２０にＤｒｏｐカウンタを通知するルールを解除するルールを送信する等の処理を行ってもよい。

［第一の実施の形態の効果］
このように、第一の実施の形態に係る通知システムでは、要求元ルータ１０が、特定のパケットを遮断したカウンタ数を通知するように要求先ルータ２０に対して要求する。そして、要求先ルータ２０が、特定のパケットを受信した場合に、該特定のパケットを遮断し、特定のパケットが遮断された回数をカウントする。そして、要求先ルータ２０が、カウントしたカウンタ数を要求元ルータ１０に通知する。これにより、要求元ルータ１０が特定のパケットの遮断状況を把握することができるため、要求元ルータ１０側で攻撃が継続されているかどうかの状況を確認することができる。

また、第一の実施の形態に係る通知システムでは、要求元ルータ１０が、ＢＧＰ拡張コミュニティを用いて、カウンタ数の通知を要求するルールを要求先ルータに対して通知する。このため、ＢＧＰ拡張コミュニティを利用して、新たな処理ルールを定義することができる。

また、第一の実施の形態に係る通知システムでは、要求元ルータ１０が、カウンタ数を通知させる時間間隔を示す情報を格納するフィールドに時間間隔を示す情報を設定する。これにより、カウンタ数を通知する時間間隔を容易に設定することができる。

また、第一の実施の形態に係る通知システムでは、要求先ルータ２０が、カウンタ数の情報を格納するフィールドにカウンタ数の情報を設定する。これにより、要求元ルータ１０に対してカウンタ数の情報を容易に通知することができる。

また、第一の実施の形態に係る通知システムでは、要求先ルータ２０が、カウント部によってカウントされたカウンタ数の情報を前半部分と後半部分に分割し、該前半部分と後半部分とを別々に通知する。これにより、カウンタ数の情報が大きい場合であっても要求元ルータ１０に対してカウンタ数の情報を容易に通知することができる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施形態において説明した要求元ルータ１０および要求先ルータ２０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る要求元ルータ１０および要求先ルータ２０が実行する処理をコンピュータが実行可能な言語で記述した通知プログラムを作成することもできる。この場合、コンピュータが通知プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる通知プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された通知プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図１０は、通知プログラムを実行するコンピュータ１０００を示す図である。図１０に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１０に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１０に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１０に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１０に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１０に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図１０に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の通知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、通知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、通知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ 要求元ルータ
１１ 要求部
１２ 解析部
２０ 要求先ルータ
２１ 遮断部
２２ カウント部
２３ 通知部

Claims (6)

1. 特定の条件と特定の処理とを要求先ルータに対して通知する要求元ルータと、前記特定の条件に合致する通信が発生した場合に前記特定の処理を実行する要求先ルータとを有する通知システムであって、
   前記要求元ルータは、
   特定のパケットを遮断したカウンタ数を通知するように前記要求先ルータに対して要求する要求部を有し、
   前記要求先ルータは、
   前記特定のパケットを受信した場合に、該特定のパケットを遮断する遮断部と、
   前記遮断部によって前記特定のパケットが遮断された回数をカウントするカウント部と、
   前記カウント部によってカウントされたカウンタ数を前記要求元ルータに通知する通知部と
   を有することを特徴とする通知システム。
2. 前記要求部は、拡張コミュニティを用いて、前記カウンタ数の通知を要求するルールを前記要求先ルータに対して通知することを特徴とする請求項１に記載の通知システム。
3. 前記要求部は、前記カウンタ数を通知させる時間間隔を示す情報を格納するフィールドに前記時間間隔を示す情報を設定することを特徴とする請求項１に記載の通知システム。
4. 前記通知部は、前記カウンタ数の情報を格納するフィールドに前記カウンタ数の情報を設定することを特徴とする請求項１に記載の通知システム。
5. 前記通知部は、前記カウント部によってカウントされたカウンタ数の情報を前半部分と後半部分に分割し、該前半部分と後半部分とを別々に通知することを特徴とする請求項１に記載の通知システム。
6. 特定の条件と特定の処理とを要求先ルータに対して通知する要求元ルータと、前記特定の条件に合致する通信が発生した場合に前記特定の処理を実行する要求先ルータとを有する通知システムで実行される通知方法であって、
   前記要求元ルータが、特定のパケットを遮断したカウンタ数を通知するように前記要求先ルータに対して要求する要求工程と、
   前記要求先ルータが、前記特定のパケットを受信した場合に、該特定のパケットを遮断する遮断工程と、
   前記要求先ルータが、前記遮断工程によって前記特定のパケットが遮断された回数をカウントするカウント工程と、
   前記要求先ルータが、前記カウント工程によってカウントされたカウンタ数を前記要求元ルータに通知する通知工程と
   を含んだことを特徴とする通知方法。

Images