JP3609381B2 - Distributed denial of service attack prevention method, gate device, communication device, and program - Google Patents
Distributed denial of service attack prevention method, gate device, communication device, and program Download PDFInfo
- Publication number
- JP3609381B2 JP3609381B2 JP2002081905A JP2002081905A JP3609381B2 JP 3609381 B2 JP3609381 B2 JP 3609381B2 JP 2002081905 A JP2002081905 A JP 2002081905A JP 2002081905 A JP2002081905 A JP 2002081905A JP 3609381 B2 JP3609381 B2 JP 3609381B2
- Authority
- JP
- Japan
- Prior art keywords
- communication device
- upstream
- attack
- gate
- traffic
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続された機器をネットワーク経由での攻撃から防御するための、サービス不能攻撃の防止方法およびその装置ならびにそのコンピュータプログラムに関するものである。
【０００２】
【従来の技術】
従来、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）などのネットワークプロトコルは、オープンとなっており、互いに信用されるグループで使われるように設計されている。このため、コンピュータのオペレーティングシステムでは、大量の通信トラフィック（データ等）を攻撃目標のサーバに送信することによって、ネットワークの伝送帯域やサーバの資源を消費して正当な利用者の利用を妨げようとするサービス不能攻撃（以下、「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」と記す）を防ぐことは考慮されていない。このようなＤｏＳ攻撃に対する防御の方法は増えてきているが、複数箇所から同時に連携してＤｏＳ攻撃を行う「ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」に対する防御の方法は未だ効果的な方法が開発されていない。
【０００３】
このＤＤｏＳ攻撃に対する一防御の方法として、ＵＵＮＥＴ社のＣｅｎｔｅｒＴｒａｃｋがある。これは、インターネットのルータに診断機能を付加し、ＤＤｏＳ攻撃の送信元を追跡する技術である。
【０００４】
また、ＤＤｏＳ攻撃を検出したノードより攻撃元に近い上流ノードで攻撃トラヒックを制限するための技術としては、本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法（特願２００１−２７４０１６）、ＡＴ＆Ｔ社論文（Ｒ．Ｍａｈａｊａｎ， Ｓ．Ｍ．Ｂｅｌｌｏｖｉｎ， Ｓ．Ｆｌｏｙｄ， Ｊ．Ｉｏａｎｎｉｄｉｓ， Ｖ．Ｐａｘｓｏｎ ａｎｄ Ｓ．Ｓｈｅｎｋｅｒ： “Ｃｏｎｔｒｏｌｌｉｎｇ ｈｉｇｈ ｂａｎｄｗｉｄｔｈ ａｇｇｒｅｇａｔｅｓ ｉｎ ｔｈｅ ｎｅｔｗｏｒｋ − ｅｘｔｅｎｄｅｄ ｖｅｒｓｉｏｎ”（２００１））、ＩＤＩＰ（Ｉｎｔｒｕｄｅｒ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｉｓｏｌａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）（Ｄ．Ｓｃｈｎａｃｋｅｎｂｅｒｇ， Ｋ．Ｄｊａｈａｎｄａｒｉ ａｎｄ Ｄ．Ｓｔｅｒｎｅ： “Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ｆｏｒ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ”， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＤＡＲＰＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｕｒｖｉｖａｂｉｌｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ ａｎｄ Ｅｘｐｏｓｉｔｉｏｎ（ＤＩＳＣＥＸ）， Ｓｏｕｔｈ Ｃａｒｏｌｉｎａ（２０００））などがある。ＡＴ＆Ｔ社論文及びＩＤＩＰは、攻撃検出イベントを攻撃経路の上流ノードへ伝達し、上流ノードで伝送帯域制限を行うための方式やプロトコルである。本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法は、ルータにインストールされている移動型パケットフィルタリングプログラムが、自らのプログラムの複製を作成し、その複製を上流ルータ移動させ、各上流ルータへ移動してきた移動型パケットフィルタリングプログラムは、それぞれＤＤｏＳ攻撃者のホストからサーバに向けて送られているトラフィック全てを通過させないようする技術である。
【０００５】
【発明が解決しようとする課題】
Ｃｅｎｔｅｒ Ｔｒａｃｋは、攻撃を受けた被害者が攻撃者を特定することを助ける技術ではあるが、実際に攻撃を受けているときにその攻撃を防御することはできない。加えて、複数箇所に分散された分散型ＤｏＳの攻撃元になっているコンピュータやそのコンピュータが接続されているネットワークの管理者に連絡をしないと、攻撃そのものを止めることはできないため、実質的には攻撃を止めるまでに何時間、あるいは何日もの時間がかかってしまうという問題点がある。
【０００６】
また、この出願の同発明者等が出願済みの分散型サービス不能攻撃の防止方法、ＡＴ＆Ｔ論文及びＩＤＩＰにおては、攻撃パケットと特定されたパケットを次ノードへ送出せず、全て破棄してまう。よって、標的となるサーバのダウンやルータ装置の過負荷等によりサービスが停止する一次被害を防止することはできるが、正規利用者からのパケットを攻撃パケットと識別する方法がないため、誤って正規利用者からの正規パケットも攻撃パケットとして破棄してしまう可能性があり、正規利用者の利用性が低下するといった二次被害を引き起こしてしまうという問題がある。
【０００７】
本発明は、上記事情を考慮してなされたものであり、その目的は、正規利用者へのサービス性を低下させる被害を軽減しながらＤＤｏＳ攻撃を防御できる、分散型サービス不能攻撃防止方法及び装置ならびにプログラムを提供することにある。
【０００８】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、前記ゲート装置は、入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、前記ゲート装置は、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理を行い、前記上流の通信装置は、前記下流のゲート装置または通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問合せを受信して、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置または通信装置へ送信する処理を行い、前記ゲート装置は、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理と、前記下流の通信装置から受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、ことを特徴とする分散型サービス不能攻撃防止方法である。
【０００９】
請求項２に記載の発明は、請求項１に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１１】
【００１０】
請求項３に記載の発明は、請求項１または請求項２に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１２】
【００１１】
請求項４に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とするゲート装置である。
【００１２】
請求項５に記載の発明は、請求項４に記載のゲート装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１３】
【数１４】
【００１３】
請求項６に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記下流のゲート装置あるいは通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問い合わせを受信し、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置あるいは通信装置へ送信する帯域通知手段と、前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値と前記受信した伝送帯域制限調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とする通信装置である。
【００１４】
請求項７に記載の発明は、請求項６に記載の通信装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１５】
【数１６】
【００１５】
請求項８に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１６】
請求項９に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されるたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１７】
請求項１０に記載の発明は、請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラムであって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１７】
【数１８】
【００１８】
請求項１１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００１９】
請求項１２に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００２０】
請求項１３に記載の発明は、請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１９】
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数２０】
【００２１】
【発明の実施の形態】
以下図面を参照し、この発明の一実施の形態について説明する。図１は、同実施の形態を適用したネットワークの構成図である。この図において、２０００はサーバ、２００１はこの発明の一実施形態によるゲート装置（ゲートウェイ）、２００２〜２００６はこの発明の一実施形態による通信装置（ルータ）、２００７〜２０１０は端末装置である。ＤＤｏＳ攻撃の被攻撃者のサーバ２０００が収容されているＬＡＮ（ローカルエリアネットワーク）は、ゲート装置２００１によって外部のネットワークに接続されている。そして、ネットワークは通信装置２００２、２００３、２００４、２００５、２００６を有している。ＤＤｏＳ攻撃者によって操作された端末装置２００７、２００８が、攻撃パケットを被攻撃者のサーバ２０００に向かって送信すると、攻撃パケットが被攻撃者収容ＬＡＮに集中して混雑が発生することにより、ゲート装置２００１の資源を消費してしまい、ＤＤｏＳ攻撃者とは無関係な正規利用者の端末２００９、２０１０からサーバ２０００に接続できなくなるという現象が起こる。
【００２２】
ゲート装置２００１は、予めサーバ２０００を保有する利用者が設定した攻撃容疑検出条件を記憶している。図２に攻撃容疑検出条件の設定の例を示す。さらに、ゲート装置２００１は、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を記憶している。
【００２３】
図２における攻撃容疑検出条件は、検出属性、検出閾値及び検出間隔の組からなる３組のレコードで構成される。ここでは、番号はレコードを特定するために便宜上使用される。攻撃容疑検出条件は、受信パケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用され、３組のレコードの内のいずれかのレコードの条件にトラヒックが一致した場合、このトラヒックの通信パケットは攻撃容疑パケットであると認識される。検出属性は、ＩＰパケットの第３／４層属性種別とそれら属性値の組を指定するが、第３層属性であるＩＰの「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」という属性種別は必ず指定される。図２において、番号１のレコードの検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．１／３２」であり（ｄｓｔ＝１９２．１６８．１．１／３２）、ＩＰの上位層（第４層）のプロトコル種別を示す「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＴＣＰ」であり（Ｐｒｏｔｏｃｏｌ＝ＴＣＰ）、かつ、第４層プロトコルがどのアプリケーションの情報かを示す「Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ（宛先ポート番号）」が「８０」である（Ｐｏｒｔ＝８０）という属性種別とそれら属性値の組で指定される。番号２のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．２／３２」であり（ｄｓｔ＝１９２．１６８．１．２／３２）、かつ、「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ ｐｒｏｔｏｃｏｌ）」である（Ｐｒｏｔｏｃｏｌ＝ＵＤＰ）という属性種別とそれら属性値の組で指定される。また、番号３のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．０／２４」である属性種別とその属性値で指定される。検出閾値は、同じレコードで指定される検出属性を持つ受信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を、検出間隔は同じく最低の連続時間を示している。
【００２４】
また、ゲート装置２００１及び通信装置２００２〜２００６は、攻撃容疑パケットのトラヒックを分析し、不正トラヒックを検出するための不正トラヒック検出条件を保有する。図３に不正トラヒック検出条件の設定の例を示す。ここでは、番号はレコードを特定するために便宜上使用される。不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。図３の番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、第３層プロトコルであるＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）上のエコー応答（Ｅｃｈｏ Ｒｅｐｌｙ）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。
【００２５】
ここで、ゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを説明する。図４は本実施の形態におけるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを示す。帯域制御モデルは、入力パケットをクラス別に分類し、このクラスに従ってパケットの出力帯域制御を実現するためのモデルを示す。フィルタ２０２１は、入力されたパケットを正規クラス２０２２、容疑クラス２０２６、不正クラス２０２４の３つのクラスに分類する。なお、このフィルタ２０２１の分類アルゴリズムは後述する。正規クラス２０２２はデフォルトクラスであり、正規クラス２０２２に分類されたパケットは正規キュー２０２３につながれ、伝送帯域を制限せずに出力される。容疑クラス２０２６に分類されたパケットは、容疑パケットか否かを判断するための防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮ毎に発生する容疑キュー２０２７につながれ、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に出力伝送帯域が制限される。なお、容疑シグネチャの生成については後述する。サーバ２０００を収容しているゲート装置２００１の容疑キューの伝送帯域制限値は防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を使用するが、上流の通信装置２００２〜２００６では、下流の通信装置から受信した伝送帯域制限値を使用する。不正クラス２０２４に分類されたパケットは、不正キュー２０２５につながれ、サーバ所有者やネットワークのポリシーに関わらず、０または０に近い伝送帯域に制限される。
【００２６】
続いて、ゲート装置２００１及び通信装置２００２〜２００６が伝送帯域制限を実行するための、フィルタ２０２１の分類アルゴリズムについて説明する。ゲート装置２００１及び通信装置２００２〜２００６は、当該通信装置に入力される全ての通信パケットをこの分類アルゴリズムで分類する。図５はフィルタ２０２１における分類アルゴリズムを示す。まず、ステップＳ３００３において、フィルタ２０２１は、入力されたパケットが不正シグネチャと合致するか判断する。不正シグネチャに合致した場合、パケットは不正クラス２０２４に分類される（ステップＳ３００４）。不正シグネチャに合致しなかった場合は、ステップＳ３００５に進み、パケットが容疑シグネチャであるか判断し、容疑シグネチャに合致すれば容疑クラス２０２６へ分類され（ステップＳ３００６）、合致しない場合には正規クラス２０２２へ分類される（ステップＳ３００７）。このようにして各クラスに分類されたパケットは、正規キューであれば伝送帯域を制限せずに出力され、容疑キュー及び不正キューであればそれぞれの伝送帯域制限値に従って伝送帯域が制限されて出力される。なお、容疑シグネチャ及び不正シグネチャの生成については後述する。
【００２７】
次に、ＤＤｏＳ攻撃に対する対策方式の処理手順を示す。まず、図６のゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャート、図８の通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャート及び図９のゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートを用いてＤＤｏＳ攻撃発生と同時に初期の伝送帯域制限を実施する処理手順を説明する。
【００２８】
図６のステップＳ３０１１において、ゲート装置２００１は、攻撃容疑検出条件（図２）に従って、検出間隔で指定されているより長い時間連続して、検出閾値で指定されている以上の伝送帯域を使用している、検出属性に合致するトラヒックをチェックし、３組のレコードの内のいずれかのレコードに合致した場合、このトラヒックを攻撃容疑トラヒックとして検出する。すると、ステップＳ３０１２において、この検出された攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を、容疑シグネチャとして生成する。容疑シグネチャは、攻撃容疑トラヒックの通信パケット、すなわち攻撃容疑パケットを識別するために用いられる。例えば、図２の設定例を用いて説明すると、番号１のレコードの条件で検出されるパケットの容疑シグネチャは｛ｄｓｔ＝１９２．１６８．１．１／３２， Ｐｒｏｔｏｃｏｌ＝ＴＣＰ， Ｐｏｒｔ＝８０｝となる。
【００２９】
次いで、ステップＳ３０１３において、ゲート装置２００１は、ステップＳ３０１２において生成した容疑シグネチャをフィルタ２０２１に登録する。次に、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に攻撃容疑トラヒックの伝送帯域を制限するための容疑キュー２０２７を生成する。なお、同一防御対象に関する容疑キューが既に生成済みの場合は、新たな容疑キューの生成は行わない。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って、容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３０】
そして、ゲート装置２００１は、ステップＳ３０１４において、容疑シグネチャと算出した攻撃容疑パケットの伝送帯域制限値とを含んだ伝送帯域制限指示を１つ上流にある通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２１】
【数２２】
【００３１】
次に、伝送帯域制限指示受信時の通信装置２００２、２００３の動作を説明する。図８のステップＳ３０２１において、通信装置２００２、２００３は、ゲート装置２００１が送信した（ステップＳ３０１４）伝送帯域制限指示を受信する。次に、ステップＳ３０２２に進み、通信装置２００２、２００３は、受信した伝送帯域制限指示に含まれる容疑シグネチャをフィルタ２０２１に登録し、容疑シグネチャ及び攻撃容疑パケットの伝送帯域制限値に対応した容疑キュー２０２７を生成する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３２】
通信装置２００２はステップＳ３０２３において、その上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に、受信した容疑シグネチャと、受信した伝送帯域制限値から算出した伝送帯域制限値とを含んだ伝送帯域制限指示を送信する。このときの算出方法は、ゲート装置２００１のステップＳ３００３と同様である。すなわち、通信装置２００２、２００３は、ゲート装置２００１から受信した伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てる。図７を用いて説明すると、通信装置２００２、２００３の深さｄは１であり、この深さｄ＝１には２つの通信装置が存在し、その１番目の通信装置２００２のｉは１、２番目の通信装置２００３のｉは２である。通信装置２００２の伝送帯域制限値Ｓｓ（１，１）及び通信装置２００３の伝送帯域制限値Ｓｓ（１，２）は、それぞれゲート装置２００１から受信した伝送帯域制限値Ｓｓ（１，１，１）、Ｓｓ（１，１，２）であり、すなわち４００ｋｂｐｓである。そして、通信装置２００２には１つの上流の通信装置２００４が存在するため、１つ上流の通信装置数ｎｕ（１，１）は１である。よって、通信装置２００４の伝送帯域制限値Ｓｓ（２，１，１）は、Ｓｓ（１，１）＝４００ｋｂｐｓをｎｕ（１，１）＝１で除算した４００ｋｂｐｓとなる。一方、通信装置２００３には２つの上流の通信装置２００５、２００６が存在するため１つ上流の通信装置数ｎｕ（１，２）は２である。よって、通信装置２００５の伝送帯域制限値Ｓｓ（２，２，１）及び通信装置２００６の伝送帯域制限値Ｓｓ（２，２，２）は、Ｓｓ（１，２）＝４００ｋｂｐｓをｎｕ（１，２）＝２で除算した２００ｋｂｐｓとなる。
【００３３】
そして、通信装置２００４は通信装置２００２から、通信装置２００５、２００６は通信装置２００３から伝送帯域制限指示を受信し、通信装置２００２、２００３におけるステップＳ３０２１〜Ｓ３０２２と同様に動作する。通信装置２００４〜２００６は、ルーチングテーブルなどにより上流に通信装置がないと判断できるため、ステップＳ３０２３は実行しない。
【００３４】
次に、ゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を説明する。図９のステップＳ３０３１において、ゲート装置２００１及び通信装置２００２〜２００６は、ＤＤｏＳ攻撃者がパケットを送出しているネットワークを特定するため入力パケットを分析して、不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出する。すると、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３２において、この検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとする。そして、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３３においてこの不正シグネチャをフィルタ２０２１に登録する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って不正シグネチャで識別される攻撃パケットの伝送帯域はさらに制限される。すなわち、攻撃パケットは不正クラス２０２４に分類され、正規利用者からのパケットである正規パケットのみが攻撃容疑パケットとして容疑クラス２０２６に分類される。
【００３５】
以上説明した初期の伝送帯域制限を実施することにより、早期にネットワークの伝送帯域の溢れを防いだ後、攻撃容疑パケットの入力トラヒックに応じて、伝送帯域制限値の調整を実施する処理手順を説明する。図１０は伝送帯域制限調整値の算出の例、図１１はゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【００３６】
図１０において、図７に示す初期の伝送帯域制限後、端末装置２００７から２Ｍｂｐｓ、端末装置２００８から２Ｍｂｐｓの攻撃パケットが送信されており、また、端末装置２００９から６００ｋｂｐｓ、端末装置２０１０からは１００ｋｂｐｓの攻撃容疑パケットが送信されている。
【００３７】
通信装置２００４は、端末装置２００７から入力される攻撃パケットを不正クラス２０２４に分類しており、当該通信装置２００４に入力される全攻撃容疑トラヒックは端末装置２００９から受信される６００ｋｂｐｓである。これは、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（２，１，１）＝４００ｋｂｐｓより大きいため、下流の通信装置２００２には、攻撃容疑トラヒックを４００ｋｂｐｓに帯域制限して出力している。通信装置２００２は、上流の通信装置２００４から入力される攻撃容疑トラヒックの伝送帯域が４００ｋｂｐｓであり、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（１，１，１）＝４００ｋｂｐｓ以下であるため、下流のゲート装置２００１には４００ｋｂｐｓの攻撃容疑トラヒックを出力している。
【００３８】
一方、通信装置２００５は、端末装置２００８から入力される攻撃パケットを不正クラス２０２４に分類しているため、下流の通信装置２００３に出力している攻撃容疑トラヒックは０ｋｂｐｓである。また、通信装置２００６に入力される攻撃容疑トラヒックは、端末装置２０１０から受信される１００ｋｂｐｓである。これは初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（２，２，２）＝２００ｋｂｐｓ以下であるため、下流の通信装置２００３には、そのまま１００ｋｂｐｓの攻撃容疑トラヒックを出力している。よって、通信装置２００３は、上流の通信装置２００５、２００６から入力される攻撃容疑トラヒックの伝送帯域の合計が１００ｋｂｐｓと、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（１，１，２）＝４００ｋｂｐｓ以下であるため、下流のゲート装置２００１には１００ｋｂｐｓの攻撃容疑トラヒックを出力している。
【００３９】
図１１のステップＳ３０４１において、ゲート装置２００１は、初期伝送帯域制限実施から一定時間後、全上流の通信装置２００２、２００３に当該ゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる。すると、ステップＳ３０５１において、通信装置２００２、２００３は、平均入力伝送帯域の問合せを受信する。そして、ステップＳ３０５２において、通信装置２００２、２００３は、自身の攻撃容疑トラヒックの平均入力伝送帯域値をゲート装置２００１に通知する。
【００４０】
次に、ステップＳ３０４２においてゲート装置２００１は、通信装置２００２，２００３から攻撃容疑トラヒックの平均入力伝送帯域値を受信する。すると、ステップＳ３０４３において、ゲート装置２００１は、受信した平均入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、全上流の通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２３】
【数２４】
【００４１】
図１０の送帯域制限調整値の算出の例を用いて説明する。ゲート装置２００１の１番目の１つ上流の通信装置２００２からゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（１，１，１）は４００ｋｂｐｓ、２番目の１つ上流の通信装置２００３からゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（１，１，２）は１００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（１，１，１）＋Ｂ（１，１，２）＝５００ｋｂｐｓと算出される。また、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝Ｓｓ（０，１）であるため、図７の例より、Ｓｓ’（０，１）は８００ｋｂｐｓである。従って、１番目の１つ上流の通信装置２００２の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（１，１，１）は、Ｂ（１，１，１）＝４００ｋｂｐｓを分母５００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した６４０ｋｂｐｓとなる。一方、２番目の１つ上流の通信装置２００３の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（１，１，２）は、Ｂ（１，１，２）＝１００ｋｂｐｓを分母５００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した１６０ｋｂｐｓとなる。
【００４２】
そして、図１１のステップＳ３０５３において、通信装置２００２、２００３は、ゲート装置２００１から伝送帯域制限調整指示を受信する。すると、ステップＳ３０５４に進み、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整指示に含まれる伝送帯域制限調整値に変更する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域は伝送帯域制限調整値に制限される。
【００４３】
次に、図１１のステップ３０５５へ進み、通信装置２００２はその上流にある通信装置２００４に当該通信装置２００２に入力される攻撃容疑トラヒックの平均入力伝送帯域を、通信装置２００３はその上流にある通信装置２００５及び２００６に当該通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる。通信装置２００４〜２００６は、ステップＳ３０６１において、平均入力伝送帯域の問合せを受信する。するとステップＳ３０６２において、通信装置２００４は、通信装置２００２に、通信装置２００５、２００６は、通信装置２００３に自身の攻撃容疑トラヒックの平均入力伝送帯域値を通知する。
【００４４】
続いて、ステップＳ３０５６において、通信装置２００２、２００３は、通信装置２００４〜２００６から受信した平均入力伝送帯域値を受信する。すると、ステップＳ３０５７において、通信装置２００２、２００３は、受信した平均入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、全上流の通信装置、すなわち、通信装置２００２はその上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に送信する。このときの算出方法は、ゲート装置２００１のステップＳ３０４３と同様である。
【００４５】
図１０の送帯域制限調整の算出の例を用いて説明する。通信装置２００２の１番目の１つ上流の通信装置２００４の平均入力伝送帯域値Ｂ（２，１，１）は４００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（２，１，１）と同値になる。また、通信装置２００２の伝送帯域制限調整値の初期値Ｓｓ’（１，１）＝Ｓｓ’（１，１，１）であるため、ステップＳ３０４３より、Ｓｓ’（１，１）は６４０ｋｂｐｓである。よって、通信装置２００２の１番目の１つ上流の通信装置２００４の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，１，１）は、Ｂ（２，１，１）＝４００ｋｂｐｓを分母４００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，１）＝６４０ｋｂｐｓを乗算した６４０ｋｂｐｓとなる。
【００４６】
一方、通信装置２００３の１番目の１つ上流の通信装置２００５から通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（２，２，１）は０ｋｂｐｓ、２番目の１つ上流の通信装置２００６から通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（２，２，２）は１００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（２，２，１）＋Ｂ（２，２，２）＝１００ｋｂｐｓと算出される。また、通信装置２００３の伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝Ｓｓ’（１，１，２）であるため、ステップＳ３０４３より、Ｓｓ’（１，２）は１６０ｋｂｐｓである。従って、通信装置２００５の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，２，１）は、Ｂ（２，２，１）＝０ｋｂｐｓを分母１００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝１６０ｋｂｐｓを乗算した０ｋｂｐｓとなり、通信装置２００６の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，２，２）は、Ｂ（２，２，２）＝１００ｋｂｐｓを分母１００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝１６０ｋｂｐｓを乗算した１６０ｋｂｐｓとなる。
【００４７】
そして、図１１のステップ３０６３において、通信装置２００４〜２００６は、通信装置２００２、２００３から伝送帯域制限調整指示を受信する。ステップＳ３０６４に進み、通信装置２００４〜２００６は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限指示に含まれる伝送帯域制限調整値に変更する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域は伝送帯域制限調整値に制限される。
【００４８】
一方、ステップＳ３０４４において、ゲート装置２００１は、上記の伝送帯域制限調整から一定時間後、あるいは、受信する攻撃容疑パケットの伝送帯域が伝送帯域調整前と調整後である一定の割合変化した場合などのトリガを検出すると、再び伝送帯域調整を実行するステップＳ３０４１から伝送帯域制限調整値の調整を繰り返す。
【００４９】
ところで、以上説明した動作は、以下に記述するアクティブネットワーク上で実行される。
【００５０】
以下、図面を参照しこの発明の一実施形態を実行できるアクティブネットワークについて説明する。
図１２は、本実施形態が前提とするネットワークの構成である。図１２に示すように、通信ネットワークは、複数の通信装置７００１によって接続されている。そして、通信装置７００１には１台または複数台のユーザのコンピュータ７０００を接続することができるようになっている。ユーザのコンピュータ７０００相互間で通信データのやりとりを行う際には、送信元のユーザのコンピュータ７０００が送信したパケットを通信ネットワーク上の各ノードに位置する通信装置７００１が順次転送することにより、そのパケットを宛先のユーザのコンピュータ７０００に届けるようにする。
【００５１】
次に、通信装置の構成について説明する。図１３は、通信装置７００１の内部の構成を示すブロック図である。図１３に示すように、通信装置７００１には通信線７０２４ａ、７０２４ｂ、７０２４ｃ、７０２４ｄが接続されており、通信装置７００１はこれらの通信線を介して隣接する他の通信装置との間でパケットを交換することができるようになっている。また、通信装置７００１には、上記の各通信線７０２４ａ〜７０２４ｄに対応したインタフェース部７０２３ａ〜７０２３ｄと、パケットを転送する処理を行うための転送処理部７０２１と、パケットの転送の際の転送先の情報を記憶する転送先テーブル７０２２と、アクティブパケットに対する処理を行うためのアクティブネットワーク実行環境（Ａｃｔｉｖｅ Ｎｅｔｗｏｒｋ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）７０１０とが設けられている。なお、アクティブネットワーク実行環境７０１０は、内部に、アクティブコード（プログラム）を実行するためのコード実行部７０１１と、アクティブコードを記憶しておくためのコード記憶部７０１２とを備えている。なお、ここでアクティブコードとは、アクティブネットワークにおいてパケットに対する作用を行うコンピュータプログラムのコードである。
【００５２】
ここで、図１３を参照しながら、この通信装置７００１の動作例の概要を説明する。隣接する他の通信装置から通信線７０２４ｄを介してパケットが到着すると、インタフェース部７０２３ｄがそのパケットを受信し転送処理部７０２１に渡す。転送処理部７０２１は、渡されたパケットのヘッダ部分に格納されている送信元（ｓｏｕｒｃｅ）アドレスと宛先（ｄｅｓｔｉｎａｔｉｏｎ）アドレスとを読み取り、さらにそれらのアドレスをキーとして転送先テーブル記憶部７０２２に記憶されている転送先テーブルを参照することによって、そのパケットにどう対処するかを決定する。
【００５３】
パケットへの対処は大きく２通りに分けられる。そのパケットに対してアクティブコードを適用する場合と、そのパケットをそのまま他の通信装置に転送する場合とである。
転送先テーブルを参照した結果、そのパケットに対してアクティブコードを適用すべきものである場合には、転送処理部７０２１は、そのパケットをアクティブネットワーク実行環境７０１０に渡す。アクティブネットワーク実行環境７０１０においては、コード実行部７０１１がそのパケットを受け取り、そのパケットに対して適用すべきアクティブコードをコード記憶部７０１２から読み出して実行する。なお、コード実行部７０１１は、アクティブコードを実行した結果、必要な場合には処理対象となったパケットを再び転送処理部７０２１に渡して他の通信装置に対して転送することもある。
転送先テーブルを参照した結果、そのパケットにアクティブコードを適用せずそのまま他の転送装置に転送するべきものである場合には、転送処理部７０２１は、適切な転送先に対応したインタフェース部（７０２３ａや７０２３ｂや７０２３ｃなど）に渡し、そのインタフェース部が通信線（７０２４ａや７０２４ｂや７０２４ｃなど）を介してパケットを他の通信装置に転送する。
【００５４】
なお、ここでは通信線７０２４ｄを介して他の通信装置からパケットが到着した場合を例として説明したが、他の通信線を介してパケットが到着した場合の処理も同様である。
【００５５】
次に、通信装置７００１内の転送処理部７０２１がいかにしてパケットに対する処置（アクティブコードを適用するか、単純に他の通信装置に転送するか）を決定するかを具体的に説明する。
【００５６】
本実施形態が基礎とするフレームワークでは、アクティブネットワーク実行環境はパケットの中において指定されているＩＰアドレスに基づいて起動される。ここで、全ての（グローバル）ＩＰアドレスの集合をＩと表わすものとする。また、送信元ＩＰアドレスがｓであり宛先ＩＰアドレスがｄであるようなパケットを（ｓ，ｄ）と表わすものとする。また、通信装置のアクティブネットワーク実行環境に格納されているすべてのアクティブコードはそれぞれ特定のユーザに属するものとし、ある特定のユーザの所有するＩＰアドレスの集合をＯと表わすものとする。
【００５７】
本フレームワークでは、上記特定のユーザに属する個々のアクティブコードは、次に示す式による集合Ａで表されるパケットであって、かつ当該アクティブネットワーク実行環境を備えた通信装置（ノード）によって受信されたパケットに対してアクセスする権限を持つ。すなわち、
Ａ＝｛（ｓ，ｄ）∈［（Ｏ×Ｉ）∪（Ｉ×Ｏ）］｜ｓ≠ｄ｝
である。つまり、この式が意味するところの概略は、特定のユーザに属するアクティブコードは、当該ユーザが所有する全てのＩＰアドレスのいずれかを送信元または宛先のアドレスとするようなパケットに対してアクセス権を有するということである。
【００５８】
当該ユーザに属するｎ個のアクティブコードがある通信装置（ノード）に格納されているとき、ｉ番目（１≦ｉ≦ｎ）のアクティブコードは、集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）に属するパケットをキャプチャーして処理することをアクティブネットワーク実行環境に対して予め要求しておく。つまり、当該ユーザに関して、アクティブネットワーク実行環境は、ｃ（１）∪ｃ（２）∪・・・・・・∪ｃ（ｎ）なる和集合の要素であるパケット（ｓ，ｄ）によって起動されるものであり、このようなパケットを「アクティブパケット」と呼ぶことができる。
【００５９】
図１４は、図１３に示した転送先テーブル記憶部７０２２に記憶されている転送先テーブルの一例を示す概略図である。上記のフレームワークを実現するために必要な情報は、このような転送先テーブルに格納することが可能である。
【００６０】
図１４に示すように、転送先テーブルは、タイプ（Ｔｙｐｅ）と宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ）と送信元アドレス（Ｓｏｕｒｃｅ）と転送先（Ｓｅｎｄ ｔｏ）の各項目を含んでいる。タイプの項目は、テーブルのエントリーのタイプを表わすものであり、「アクティブ（Ａｃｔｉｖｅ）」あるいは「通常（Ｒｅｇｕｌａｒ）」のいずれかの値をとる。宛先アドレスおよび送信元アドレスの項目は、転送対象のパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスにそれぞれ対応するものである。転送先の項目はは、宛先アドレスと送信元アドレスの組み合せがマッチしたパケットに関して、適用すべきアクティブコードの識別情報あるいは転送先の通信装置のＩＰアドレスを表わすものである。
【００６１】
タイプの値が「アクティブ」であるエントリーは、対象のパケットに適用するアクティブコードを指定するものであり、その転送先の項目にはアクティブコードを識別する情報が書かれている。
タイプの値が「通常」であるエントリーは、対象のパケットの転送先の通信装置のアドレスを指定するものであり、その転送先の項目には転送先の通信装置のＩＰアドレスが書かれている。
【００６２】
図１４に示す転送先テーブルの例において、第１のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１．２．３．４」であり、送信元アドレスが「Ａｎｙ（何でもよい）」であり、転送先が「アクティブコードＡ」となっている。これは、送信元アドレスがいかなるアドレスであっても、宛先アドレスが「１．２．３．４」にマッチする場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＡが実行されることを表わしている。
また、第２のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１０．５０．０．０」であり、送信元アドレスが「１１．１２．１３．１４」であり、転送先が「アクティブコードＢ」となっている。これは、宛先アドレスと送信元アドレスの両方がそれぞれ上記の値にマッチした場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＢが実行されることを表わしている。
また、第３のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「Ａｎｙ（何でもよい）」であり、送信元アドレスが「１５７．２．３．０」であり、転送先が「アクティブコードＣ」となっている。これは、宛先アドレスがいかなるアドレスであっても、送信元アドレスが「１５７．２．３．０」にマッチする場合には該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＣが実行されることを表している。
【００６３】
なお、図１４に示すように、転送先テーブルにおいては、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも上に存在している。そして、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも優先的に適用される。また、各エントリーは、通信装置へ到着したパケットのみに対して適用され、転送のために送出されるパケットに対しては適用されない。
【００６４】
以上説明した通信装置の構成をまとめる。
図１３に示したインタフェース部は、通信線毎に設けられており、当該通信線から到着するパケットを受信するとともに当該通信線に対してパケットを送出する処理を行う。
また、転送先テーブル記憶部は、パケットの送信元アドレスまたは宛先アドレスまたはそれら両方のアドレスのパターンと、該パターンに対応するプログラム（アクティブコード）の情報あるいは該パターンに対応する転送先アドレスの情報とが登録された転送先テーブルを記憶する。
また、アクティブネットワーク実行環境は、前記プログラムを予め記憶しているとともに、このプログラムを実行する。
また、転送処理部は、通信線から到着した受信パケットを前記インタフェース部から渡された際に、当該受信パケットの送信元アドレスまたは宛先アドレスに基づいて前記転送先テーブルを参照し、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応する転送先アドレスの情報が登録されていた場合には当該受信パケットを所定の転送先アドレスに向けて送出するように当該転送先アドレスに対応したインタフェース部に渡すとともに、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応するプログラムの情報が登録されていた場合には前記アクティブネットワーク実行環境部において当該プログラムを起動させるとともに当該プログラムに当該受信パケットを渡す。
【００６５】
次に、本実施形態におけるアクティブコードのセキュリティに関するモデルについて説明する。このセキュリティのモデルは、各々のアクティブコードが、アクティブコードの所有者に関わるパケットのみに対して作用することを保証するためのものである。そのために、このセキュリティのモデルは、公開鍵のインフラストラクチャの存在を前提として、それを利用することとする。
【００６６】
図１５は、上記のセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。図１５において、符号７０５１はユーザＡのユーザ端末装置、７０６１は認証局（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ ）装置である。この認証局の機能は、公の機関によって提供されるものであっても良いし、あるいはＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ，インターネット接続サービス提供者）などによって提供されるものであっても良い。
なお、図１５に示す例では、ユーザ端末装置７０５１のＩＰアドレスは「１．２．３．４」である。以下では、ユーザＡが、アクティブコードＡを通信装置７００１に登録するための処理の手順を説明する。なお、以下において、ユーザＡはアクティブコードＡの開発者であっても良いが、その必然性はなく、他の開発者が開発したアクティブコードＡをユーザＡが入手し、それを通信装置７００１に登録するものでも良い。
【００６７】
まず（１）で示すように、ユーザＡのユーザ端末装置７０５１は、周知技術を用いて鍵のペアすなわち公開鍵と秘密鍵とを生成する。
そして（２）で示すように、ユーザ端末装置７０５１は、上で生成された公開鍵を認証局装置７０６１に登録する。このとき、認証局装置７０６１は、ユーザ端末装置７０５１のＩＰアドレスを検証する。この検証が正しく行なわれると、公開鍵そのものと、ユーザＡを識別するための情報と、ユーザ端末装置７０５１のＩＰアドレス「１．２．３．４」が認証局装置７０６１に記憶される。
【００６８】
次に（３）で示すように、ユーザ端末装置７０５１は、上で生成された秘密鍵を用いてアクティブコードＡに電子署名する処理を行う。
そして（４）で示すように、ユーザ端末装置７０５１は、秘密鍵で署名されたアクティブコードＡを通信装置７００１に登録する処理を行う。
【００６９】
これを受けて通信装置７００１は、（５）で示すように、アクティブコードＡの登録を行ったユーザＡの電子証明書を認証局装置７０６１から取得する。この電子証明書には、ユーザＡを識別する情報と、そのＩＰアドレス「１．２．３．４」と、上の（２）において登録された公開鍵そのものとが含まれている。
そして（６）で示すように、通信装置７００１は、上記の電子証明書から取り出したユーザＡの公開鍵を用いて、上の（４）において登録されたアクティブコードＡの電子署名を検証する。そして、これが正しく検証された場合には、通信装置７００１は、アクティブコードＡをアクティブネットワーク実行環境に導入する処理を行う。また、これに応じて、転送先テーブルに必要なエントリーが追加される。
【００７０】
なお、この（１）および（２）の処理が行われて一旦ユーザＡの公開鍵が認証局装置７０６１に登録されると、ユーザ端末装置７０５１はその公開鍵に対応する秘密鍵を用いてアクティブモジュールをいくつでも通信装置７００１に登録することも可能である。
【００７１】
つまり、通信装置７００１は登録部（図示せず）を備えており、この登録部は、ユーザの端末装置から当該ユーザの秘密鍵で電子署名されたプログラムを受信し、当該ユーザの電子証明書を認証局装置から受信し、受信した電子証明書に含まれる当該ユーザの公開鍵を用いて前記電子署名されたプログラムの検証を行い、この検証が成功した場合には当該プログラムに対応するアドレスのパターンと当該プログラムの情報とを前記転送先テーブルに登録し、この検証が失敗した場合には当該プログラムの情報の前記転送先テーブルへの登録は行わないようにするものである。
【００７２】
なお、上で説明した通信装置へのアクティブコードの登録の手順が有効に機能するためには、次の２点が前提となる。
第１の前提として、ユーザがどの通信装置（ノード）にアクティブコードを登録すれば良いかは事前にわかっている。あるいは、どの通信装置（ノード）にアクティブコードを登録すればよいかがわかるためのディレクトリサービスが提供されている。
第２の前提として、通信装置（ノード）は、目的の認証局の公開鍵を事前にオフラインで取得しているか、他の認証局から取得するか、あるいは他の何らかの手段で取得できる。
【００７３】
次に、矛盾の解消のための制御について説明する。
ある通信装置（ノード）において、ｎ個のアクティブコードが登録されており、ｉ番目（１≦ｉ≦ｎ）とｊ番目（１≦ｊ≦ｎ）のアクティブコードが、それぞれ集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）と集合Ｃ（ｊ）（Ｃ（ｊ）⊆Ａ）に属するパケットに対するものであると定義されているとき、集合（ｃ（ｉ）∩ｃ（ｊ））が空集合ではないようなｉおよびｊの組み合せ（但しｉ≠ｊ）が存在する場合があり得る。つまり、あるパケットがｉ番目のアクティブコードにもｊ番目のアクティブコードにも適用されるような定義が行われている場合である。このような矛盾は、次の２通りのシナリオのいずれかによって解消することとする。
【００７４】
第１の矛盾の解消のシナリオは、パケット（ｓ，ｄ）に関して、
（ｓ∈Ｏ（ｋ）Λｄ∈Ｏ（ｌ））Λ（ｋ≠ｌ）
であるために、
（ｓ，ｄ）∈ｃ（ｉ）∩ｃ（ｊ）
となる場合に関するものである。但し、Ｏ（ｋ）およびＯ（ｌ）は、それぞれユーザｋおよびｌによって所有されるＩＰアドレスの集合である。
つまり、あるパケットに関して、送信元のユーザ用のアクティブコードと宛先のユーザ用のアクティブコードとの両方が通信装置に登録されており、そのような通信装置にこのパケット（ｓ，ｄ）が到着した場合である。このような場合には、宛先のユーザのアクティブコードを優先的に適用することが望ましいと考えられる。
【００７５】
つまり、転送先テーブルに登録されているパターンに、送信元アドレスのみが指定されていて宛先アドレスが何でもよいとされている第１のエントリーと、宛先アドレスのみが指定されていて送信元アドレスが何でもよいとされている第２のエントリーとが含まれており、受信パケットがこれら第１のエントリーと第２のエントリーとの両方にマッチしたときには、第１のエントリーよりも第２のエントリーを優先させて、当該第２のエントリーのパターンに対応するプログラムを起動するようにする。
【００７６】
このように、送信元のユーザのアクティブコードよりも宛先のユーザのアクティブコードを優先させることは、アクティブネットワークの機能を用いてＤＤｏＳ（分散型ＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ）攻撃を防御するメカニズムを構築する場合に特に重要となる。そのようにすることによって、宛先のユーザつまり被攻撃者となり得る者のアクティブコードが、攻撃者となる可能性があるもののアクティブコードよりも優先されるためである。
【００７７】
第２の矛盾の解消のシナリオは、あるパケット（ｓ，ｄ）に関して適用されるべき２つ以上のアクティブコードが同一のユーザによって登録されている場合に関するものである。このような場合には、該当するアクティブコードのうちの最も古く登録されたものが、他のものよりも優先的に適用されるようにすることが望ましいと考えられる。こうすることにより、ユーザが新しいアクティブコードを登録しようとする際には、新しいアクティブコードを有効にするために事前に古いアクティブコードを削除することが保証されるからである。
【００７８】
次に、これまでに述べたようなアクティブネットワークのノードとして機能する通信装置のインプリメンテーションの例について説明する。図１６は、Ｌｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行う通信装置を実現した場合の概略図である。
【００７９】
図１６に示す例では、専用のＩＰスタックを処理（ｐｒｏｃｅｓｓ）の一部として構築している。これによって、図１４に示したような転送先テーブルを実現し、実行環境（アクティブネットワーク実行環境）からこの転送先テーブルにエントリーの追加や削除を行えるようにしている。また、これに伴い、カーネル（ｋｅｒｎｅｌ）内のＩＰスタックは不要となるため、カーネルにおけるルーティングを不活性化している。そして、到着パケットのコピーがデータリンク部分から作成され、そのパケットがライブラリｌｉｂｐｃａｐを通してＪａｖａ（登録商標）仮想マシンで補足できるようにしている。
【００８０】
処理の一部として構築した専用のＩＰスタックは、アクティブパケット、つまり転送先テーブル上での所定の定義にマッチするＩＰアドレス（宛先ＩＰアドレス、送信元ＩＰアドレス、あるいはそれらの組み合せ）を有するパケットは、実行環境上で起動されるアクティブコードに対して渡される。一方、アクティブパケット以外の通常のパケットは、カーネルにおけるＩＰスタックと同様の方法で隣接する通信装置等へ向けた転送が行われる。アクティブパケットであれ通常パケットであれ、この通信装置から送出されるすべてのパケットは、ライブラリｌｉｂｎｅｔを通して送出される。こうすることにより、各々処理されたパケットのヘッダに記録された送信元アドレスは、元々の送信元アドレスのままの状態で、ネットワークに送出されることとなる。
【００８１】
また、標準のＪａｖａ（登録商標）のＡＰＩ（アプリケーションプログラムインタフェース）である「ｊａｖａ．ｓｅｃｕｒｉｔｙ 」を用いることによってセキュリティモデルをインプリメンテーションすることが可能である。この標準ＡＰＩは、セキュリティモデルを構築するために必要な機能のほとんどを提供している。また、証明書のための形式としては「Ｘ．５０９」証明書形式を用いることが可能であり、アクティブコードの所有者のＩＰアドレスを「Ｘ．５０９」の識別名（ＤＮ， ｄｉｓｔｉｎｇｕｉｓｈｅｄ ｎａｍｅ）の一部に含めることにより、本実施形態のセキュリティモデルを実現することができる。
【００８２】
なお、言うまでもなく、上記インプリメンテーションではコンピュータシステムを用いることによってアクティブネットワーク実行環境を備えた通信装置を構築している。そして、上述した一連の処理、すなわち到着パケットの複製の作成とその捕捉や、転送先テーブルを参照しながらのアクティブパケットおよび通常パケットの転送の処理や、アクティブネットワーク実行環境上でのアクティブコードの起動とその処理の実行や、処理されたパケットのネットワークへの送出などの各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。
【００８３】
なお、上述した各コンピュータプログラムは、コンピュータ読取可能な記録媒体に記録されており、通信装置等に搭載されたＣＰＵ（中央処理装置）がこの記録媒体からコンピュータプログラムを読み取って、攻撃防御あるいはサービスモジュール提供等のための各処理を実行する。また、「コンピュータ読み取り可能な記録媒体」とは、磁気ディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００８４】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００８５】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００８６】
また、下流のゲート装置または通信装置から上流の通信装置へのデータの送信は、アクティブネットワークの使用に限定するものではなく、任意の通信プロトコルの使用が可能である。
【００８７】
また、ゲート装置及び通信装置はゲートウェイやルータに限られるものではなく、ブリッジ、イーサネット（登録商標）、インタフェース変換装置など、ＩＰアドレスを持つ任意の通信ノードであっても良い。
【００８８】
以上、図面を参照してこの発明の実施形態を詳述してきたが、具体的な構成はこれらの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８９】
【発明の効果】
以上説明したように、ＤＤｏＳ攻撃の被攻撃者の通信装置がＤＤｏＳ攻撃の攻撃の容疑トラヒックを検出すると、初期の伝送帯域制御により、その上流の各通信装置で攻撃容疑トラヒックの伝送帯域を制限することが可能になるため、早期にネットワークの輻輳を改善することが可能となり、ＤＤｏＳ被攻撃者のサービスの停止を抑止することが可能になるとともに、正規利用者からの通信パケットの割合を増加させることが可能になる。
【００９０】
また、初期の伝送帯域制御による攻撃容疑パケットの帯域制限後は、各通信装置の攻撃容疑パケットの入力伝送帯域に応じて伝送帯域制限値が調整することが可能になるため、伝送帯域をネットワーク上の各通信装置に有効に分配することが可能となり、攻撃容疑パケットとして分類された正規パケットの伝送帯域を増加させ、正規ユーザのサービス性の低下を段階的に改善することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態を適用できるネットワークの構成図である。
【図２】同実施の形態による攻撃容疑検出条件の設定の例である。
【図３】同実施の形態による不正トラヒック検出条件の設定の例である。
【図４】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルである。
【図５】同実施の形態によるフィルタ２０２１における分類アルゴリズムである。
【図６】同実施の形態によるゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャートである。
【図７】同実施の形態による図１の構成における伝送帯域制限値の算出の例である。
【図８】同実施の形態による通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャートである。
【図９】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートである。
【図１０】同実施の形態による図１の構成における伝送帯域制限調整値の算出の例である。
【図１１】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【図１２】同実施の形態を実行できるアクティブネットワークが前提とするネットワークの構成である。
【図１３】同実施の形態を実行できるアクティブネットワークによる通信装置内部の構成を示すブロック図である。
【図１４】同実施の形態を実行できるアクティブネットワークによる転送先テーブル記憶部に記憶されている転送先テーブルの一例を示す概略図である。
【図１５】同実施の形態を実行できるアクティブネットワークによるセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。
【図１６】同実施の形態を実行できるアクティブネットワークの通信装置をＬｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行うように実現した場合の概略図である。
【符号の説明】
２０００…サーバ
２００１…ゲート装置
２００２〜２００６…通信装置
２００７〜２０１０…端末装置
２０２１…フィルタ
２０２２…正規クラス
２０２３…正規キュー
２０２４…不正クラス
２０２５…不正キュー
２０２６…容疑クラス
２０２７…容疑キュー
７０００…ユーザのコンピュータ
７００１…通信装置
７０１０…アクティブネットワーク実行環境
７０１１…コード実行部
７０１２…コード記憶部
７０２１…転送処理部
７０２２…転送先テーブル記憶部
７０２３ａ、７０２３ｂ…インタフェース部
７０２４ａ、７０２４ｂ…通信線
７０５１…ユーザ端末装置
７０６１…認証局装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a method of preventing a denial-of-service attack, an apparatus thereof, and a computer program thereof for protecting a device connected to a network from an attack via the network.
[0002]
[Prior art]
Conventionally, network protocols such as TCP / IP (Transmission control protocol / internet protocol) are open and designed to be used in groups trusted by each other. For this reason, in a computer operating system, a large amount of communication traffic (data, etc.) is sent to the attack target server, thereby consuming network transmission bandwidth and server resources to prevent the use of legitimate users. It is not considered to prevent denial of service attacks (hereinafter referred to as “DoS (Denial of Service) attacks”). Although the defense method against such a DoS attack is increasing, an effective method has been developed as a defense method against a “DDoS (Distributed Denial of Service) attack” in which a DoS attack is performed simultaneously in cooperation with a plurality of locations. Not.
[0003]
As a method of defense against this DDoS attack, there is a CenterTrack of UUNET. This is a technique for adding a diagnostic function to an Internet router and tracking the source of a DDoS attack.
[0004]
As a technique for restricting attack traffic at an upstream node closer to the attack source than the node that detected the DDoS attack, a method for preventing a distributed denial-of-service attack filed by the inventors of the present application (Japanese Patent Application No. 2001-2001). 274016), AT & T company paper (R. Mahajan, SM Bellovin, S. Floyd, J. Ioannidis, V. Paxson and S. Schenker: “Controlling high bandwidth index”. IDIP (Intruder Detection and Isolation Protocol) (D. Schackenberg, K. Djahandari and D. Stern) : "Infrastructure for intrusion detection and response", Proceedings of the DARPA Information Survivability Conference and Exposition (DISCEX), South Carolina (2000)), and the like. The AT & T paper and IDIP are methods and protocols for transmitting an attack detection event to an upstream node in the attack path and limiting the transmission bandwidth at the upstream node. In the distributed denial of service attack prevention method filed by the inventors of the present application, the mobile packet filtering program installed in the router creates a copy of its own program, moves the copy to the upstream router, The mobile packet filtering program that has moved to each upstream router is a technique that prevents all traffic sent from the host of the DDoS attacker to the server from passing through.
[0005]
[Problems to be solved by the invention]
Center Track is a technology that helps victims who have been attacked to identify attackers, but cannot protect against attacks when they are actually under attack. In addition, the attack itself cannot be stopped without contacting the administrator of the computer that is the attack source of the distributed DoS distributed in multiple locations or the network to which the computer is connected. Has the problem that it takes hours or days to stop the attack.
[0006]
In addition, in the distributed denial-of-service prevention method, AT & T paper and IDIP filed by the same inventors of this application, the packet identified as the attack packet is not sent to the next node, but all are discarded. Mae. Therefore, it is possible to prevent the primary damage that the service is stopped due to the target server being down or the router device being overloaded, but there is no way to identify the packet from the legitimate user as the attack packet. There is a possibility that a regular packet from a user may be discarded as an attack packet, causing secondary damage such as a decrease in the usability of the regular user.
[0007]
The present invention has been made in view of the above circumstances, and an object of the present invention is to provide a distributed denial-of-service attack prevention method and apparatus that can prevent a DDoS attack while reducing damage that reduces serviceability to authorized users. As well as providing a program.
[0008]
[Means for Solving the Problems]
The present invention has been made to solve the above-mentioned problems. The invention according to
[0009]
The invention according to
[Expression 11]
[0010]
A third aspect of the present invention is the distributed denial of service attack prevention method according to the first or second aspect, wherein the transmission band limit adjustment value is a number of hops from the gate device by the gate device or the communication device. Is the depth of the hierarchy indicating whether or not the packet exists, i is the number identifying the gate device or communication device at the same depth d, and the suspected attack packet of the gate device or communication device identified by i at the depth d The transmission band adjustment value is Ss ′ (d, i), the gate device identified by i at the depth d or the number of communication devices one upstream of the communication device is nu (d, i), and the depth is d. K is a number for identifying a communication device upstream of the gate device or communication device identified by i, and k is one upstream of the gate device or communication device identified by i at the depth d. Notified from the communication device identified by The attack input of the communication device identified by k that is one upstream of the gate device or communication device that is identified by i at the depth d and B (d + 1, i, k) and the average input transmission bandwidth value of the traffic that is suspected of attack When the traffic transmission band limit adjustment value is Ss ′ (d + 1, i, k),
[Expression 12]
[0011]
The invention according to claim 4 checks the input communication traffic in a gate device inserted between a network formed by connecting a plurality of communication devices in a mesh pattern and a computer and LAN that are to be protected. Based on the traffic monitoring means for detecting the suspected traffic of the distributed denial of service attack, the transmission bandwidth limit value of the suspected traffic in the gate device, and the number of communication devices one upstream of the gate device A bandwidth limit instruction means for calculating a transmission bandwidth limit value of the suspected attack traffic detected by the traffic monitoring means for notifying the upstream communication apparatus and transmitting it to the upstream communication apparatus; and the attack to the upstream communication apparatus Transmission band inquiry means for inquiring an average input transmission band of suspected traffic, and said attack suspect from the upstream communication device Transmission band value receiving means for receiving the average input transmission band value of the traffic, transmission band limit adjustment value of the attack suspected traffic in the gate device, and average input transmission band of the attack suspected traffic received from the upstream communication device Band limiting adjustment means for calculating a transmission band limit adjustment value of the suspected traffic to be notified to the upstream communication device based on the value and transmitting the calculated value to the upstream communication device. It is.
[0012]
The invention according to claim 5 is the gate device according to claim 4, wherein the bandwidth limitation instructing means indicates the transmission bandwidth limit value at the hop number of the gate device or the communication device from the gate device. The transmission band of the suspected attack packet of the gate device or communication device identified by i, the number identifying the gate device or communication device at the same depth d, i, and i at the depth d The limit value is Ss (d, i), the gate device identified by i at the depth d or the number of communication devices one upstream of the communication device is identified by nu (d, i) and i at the depth d. K is a number for identifying a communication device that is one upstream of the gate device or communication device to be identified, and k is one upstream of the gate device or communication device that is identified by i at the depth d Transmission band for suspected traffic on communication equipment The limit value Ss (d + 1, i, k) and when,
[Formula 13]
[Expression 14]
[0013]
According to a sixth aspect of the present invention, there is provided a communication device constituting a network node connected to a defense target computer and a gate device that protects the LAN, and transmission bandwidth limitation of attack suspected traffic from a downstream gate device or communication device. A bandwidth control means for receiving a value and limiting the transmission bandwidth of the attack suspected traffic to the transmission bandwidth limit value, the received transmission bandwidth limit value, and the number of communication devices one upstream of the communication device. A bandwidth limit instruction means for calculating the transmission bandwidth limit value of the suspected traffic to be notified to the upstream communication device and transmitting it to the upstream communication device, and the attack suspected traffic from the downstream gate device or communication device. An average input transmission band inquiry is received, and an average input transmission band value of the attack suspected traffic in the communication device is A bandwidth notification means for transmitting to a downstream gate device or communication device, and a transmission bandwidth limit adjustment value of attack suspected traffic from the downstream gate device or communication device, and adjusting the transmission bandwidth limit adjustment of the transmission bandwidth of the attack suspected traffic Band control adjustment means for limiting the value, transmission band inquiry means for querying the upstream communication apparatus for an average input transmission band of the attack suspected traffic, and an average input transmission band value of the attack suspected traffic from the upstream communication apparatus. The attack to be notified to the upstream communication device based on the received transmission bandwidth value receiving means, and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device and the received transmission bandwidth limit adjustment value A bandwidth limit adjustment means for calculating a transmission bandwidth limit adjustment value of suspected traffic and transmitting to the upstream communication device; A communication apparatus characterized by obtaining.
[0014]
The invention according to claim 7 is the communication apparatus according to claim 6, wherein the band limitation instruction means indicates the transmission band limitation value at a hop number of the gate apparatus or the communication apparatus from the gate apparatus. The transmission band of the suspected attack packet of the gate device or communication device identified by i, the number identifying the gate device or communication device at the same depth d, i, and i at the depth d The limit value is Ss (d, i), the gate device identified by i at the depth d or the number of communication devices one upstream of the communication device is identified by nu (d, i) and i at the depth d. K is a number for identifying a communication device that is one upstream of the gate device or communication device to be identified, and k is one upstream of the gate device or communication device that is identified by i at the depth d Transmission bandwidth for suspected traffic on communication equipment The limit value Ss (d + 1, i, k) and when,
[Expression 15]
[Expression 16]
[0015]
The invention according to claim 8 is a computer program that is executed on a gate device interposed between a network formed by connecting a plurality of communication devices in a mesh pattern, a computer to be protected, and a LAN. When the input communication traffic is checked and the attack suspected traffic of the distributed denial of service attack is detected, the transmission bandwidth limit value of the attack suspected traffic in the gate device and one upstream of the gate device are present. Based on the number of communication devices, a step of calculating a transmission bandwidth limit value of the attack suspected traffic to be notified to the upstream communication device and transmitting it to the upstream communication device; and the attack suspected traffic to the upstream communication device Transmitting an inquiry about an average input transmission band; and an average input transmission band value of the attack suspected traffic from the upstream communication device The upstream communication device is notified based on the receiving step, the transmission bandwidth limit adjustment value of the attack suspected traffic in the gate device, and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device And a step of calculating a transmission band limit adjustment value of the suspected traffic to be transmitted to the upstream communication device, and causing the computer to execute the distributed denial-of-service attack prevention program.
[0016]
The invention according to
[0017]
A tenth aspect of the present invention is the distributed denial-of-service attack prevention program according to the eighth or ninth aspect, wherein the transmission band limit value is determined by a hop number of the gate device or the communication device from the gate device. The depth of the hierarchy indicating whether it exists, the number identifying the gate device or communication device at the same depth d, i, the attack suspected packet of the gate device or communication device identified by i at the depth d The transmission band limit value is Ss (d, i), the number of communication devices upstream of the gate device or communication device identified by i at depth d is nu (d, i), and i is at depth d. The number for identifying a communication device upstream of the gate device or communication device identified by k is identified by k, and identified by k at the upstream of the gate device or communication device identified by i at the depth d. Alleged communication device attack Ss transmission bandwidth limit Rahikku (d + 1, i, k) and when,
[Expression 17]
[Expression 18]
[0018]
According to an eleventh aspect of the present invention, there is provided a computer program to be executed on a gate device interposed between a network formed by connecting a plurality of communication devices in a mesh pattern, a computer to be protected, and a LAN. A green computer-readable recording medium that checks input communication traffic and detects attack suspected traffic of a distributed denial of service attack, and transmission bandwidth limit value of the suspected attack traffic in the gate device Calculating the transmission bandwidth limit value of the suspected traffic to be notified to the upstream communication device based on the number of communication devices upstream of the gate device and transmitting the transmission bandwidth limit value to the upstream communication device; and Sending an inquiry to the upstream communication device about the average input transmission bandwidth of the suspected attack traffic; and the upstream communication device Receiving an average input transmission band value of the attack suspected traffic, a transmission band limit adjustment value of the attack suspected traffic in the gate device, and an average input transmission band of the attack suspected traffic received from the upstream communication device And calculating the transmission bandwidth limit adjustment value of the suspected traffic to be notified to the upstream communication device based on the value, and transmitting to the upstream communication device, and causing the computer to execute each processing of the distributed service inability A recording medium for recording an attack prevention program.
[0019]
According to a twelfth aspect of the present invention, there is provided a computer-readable recording medium storing a computer program executed on a communication device constituting a node of a network to which a computer to be protected and a gate device for protecting the LAN are connected. Receiving a transmission band limit value of attack suspected traffic from a downstream gate device or communication device, limiting the transmission band of the suspected attack traffic to the transmission band limit value, and the received transmission band limit value And calculating a transmission bandwidth limit value of the suspected traffic to be notified to the upstream communication device based on the number of communication devices one upstream of the communication device, and transmitting to the upstream communication device; Inquiry about the average input transmission band of the suspected attack traffic from the downstream gate device or communication device Receiving and transmitting an average input transmission bandwidth value of the attack suspected traffic to the downstream gate device or communication device; receiving a transmission band limit adjustment value from the downstream gate device or communication device; and receiving the attack suspected traffic Limiting the transmission bandwidth to the transmission bandwidth limit adjustment value, sending an inquiry to the upstream communication device about the average input transmission bandwidth of the attack suspected traffic, and sending the attack suspected traffic from the upstream communication device. An upstream communication device is notified based on the step of receiving an average input transmission bandwidth value, the received transmission bandwidth restriction adjustment value, and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device. Calculating a transmission band limit adjustment value of the suspected traffic to be transmitted and transmitting it to the upstream communication device A recording medium characterized by recording a distributed denial of service attack prevention program executed by a computer.
[0020]
A thirteenth aspect of the present invention is a recording medium that records the distributed denial of service attack prevention program according to the eleventh or twelfth aspect, wherein the transmission band limit value is a gate device or The depth of the hierarchy indicating the number of hops at which the communication device exists from the gate device is identified by d, the number identifying the gate device or the communication device at the same depth d is i, and i at the depth d is identified by i. The transmission band limit value of the attack suspected packet of the gate device or communication device is Ss (d, i), and the number of communication devices upstream of the gate device or communication device identified by i at the depth d is nu (d , I), a gate device or communication identified by i at a depth d, and a number k for identifying a communication device upstream of the gate device or communication device identified by i at a depth d. One upstream of the device Transmission band limiting value Ss (d + 1, i, k) of the suspicious offensive traffic communication device identified in some k and when,
[Equation 19]
The transmission band limit adjustment value is a layer depth d indicating how many hops a gate device or communication device exists from the gate device, and a number i for identifying the gate device or communication device at the same depth d. The transmission bandwidth adjustment value of the attack suspected packet of the gate device or communication device identified by i at the depth d is Ss ′ (d, i), and the gate device or communication device identified by i at the depth d is The number of communication devices upstream one is nu (d, i), the gate device identified by i at the depth d or the number identifying the communication device upstream one of the communication devices is k, the depth B (d + 1, i, k) is the average input transmission bandwidth value of the suspected traffic notified from the gate device identified by i in d or the communication device identified by k upstream one of the communication devices, and the depth Gate identified by i in If the transmission band limit adjustment value of the attack suspected traffic of the communication device identified by k that is one upstream of the device or the communication device is Ss ′ (d + 1, i, k),
[Expression 20]
[0021]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, an embodiment of the present invention will be described with reference to the drawings. FIG. 1 is a configuration diagram of a network to which the embodiment is applied. In this figure, 2000 is a server, 2001 is a gate device (gateway) according to an embodiment of the present invention, 2002 to 2006 are communication devices (routers) according to an embodiment of the present invention, and 2007 to 2010 are terminal devices. A LAN (local area network) in which the
[0022]
The
[0023]
The attack suspect detection condition in FIG. 2 includes three sets of records each including a set of a detection attribute, a detection threshold, and a detection interval. Here, the number is used for convenience to identify the record. The attack suspect detection condition is used to detect an attack suspect packet in which the received packet may be an attack packet. If the traffic matches the condition of one of the three records, this traffic is detected. The communication packet is recognized as an attack suspect packet. The detection attribute specifies the combination of the 3/4 layer attribute type of the IP packet and those attribute values, but the attribute type “Destination IP Address” of the IP that is the 3rd layer attribute is always specified. The In FIG. 2, the detection attribute of the record of
[0024]
In addition, the
[0025]
Here, the bandwidth control model provided in the
[0026]
Subsequently, a classification algorithm of the
[0027]
Next, the processing procedure of the countermeasure method against the DDoS attack is shown. First, a flowchart showing an operation when a suspected attack packet is detected by the
[0028]
In step S3011 of FIG. 6, the
[0029]
Next, in step S3013, the
[0030]
In step S3014, the
[Expression 21]
[Expression 22]
[0031]
Next, the operation of
[0032]
In step S <b> 3023, the
[0033]
Then, the
[0034]
Next, operations of the
[0035]
Explains the procedure for adjusting the transmission bandwidth limit value according to the input traffic of the suspected attack packet after preventing the network transmission bandwidth from overflowing early by implementing the initial transmission bandwidth limitation described above. To do. FIG. 10 is an example of calculation of the transmission band limit adjustment value, and FIG. 11 is a flowchart showing the operation of adjusting the transmission band limit value of the
[0036]
In FIG. 10, after the initial transmission band limitation shown in FIG. 7, an attack packet of 2 Mbps is transmitted from the
[0037]
The
[0038]
On the other hand, since the
[0039]
In step S3041 in FIG. 11, the
[0040]
Next, in step S3042, the
[Expression 23]
[Expression 24]
[0041]
This will be described using an example of calculation of the transmission band limit adjustment value in FIG. The average input transmission bandwidth value B (1, 1, 1) of the suspected attack traffic input from the first
[0042]
In step S <b> 3053 in FIG. 11, the
[0043]
Next, the processing proceeds to step 3055 in FIG. 11. The
[0044]
Subsequently, in step S3056, the
[0045]
This will be described using an example of calculation of transmission band limitation adjustment in FIG. The average input transmission bandwidth value B (2, 1, 1) of the first
[0046]
On the other hand, the average input transmission band value B (2, 2, 1) of the suspected attack traffic input from the first one
[0047]
In
[0048]
On the other hand, in step S3044, the
[0049]
By the way, the operation described above is executed on the active network described below.
[0050]
Hereinafter, an active network capable of carrying out an embodiment of the present invention will be described with reference to the drawings.
FIG. 12 shows a network configuration premised on the present embodiment. As shown in FIG. 12, the communication network is connected by a plurality of
[0051]
Next, the configuration of the communication device will be described. FIG. 13 is a block diagram illustrating an internal configuration of the
[0052]
Here, an outline of an operation example of the
[0053]
Handling of packets can be roughly divided into two types. There are a case where an active code is applied to the packet and a case where the packet is directly transferred to another communication apparatus.
If the active code is to be applied to the packet as a result of referring to the transfer destination table, the
As a result of referring to the transfer destination table, when the active code is not applied to the packet and the packet should be transferred to another transfer device as it is, the
[0054]
Here, the case where a packet arrives from another communication device via the communication line 7024d has been described as an example, but the processing when the packet arrives via another communication line is the same.
[0055]
Next, how the
[0056]
In the framework on which this embodiment is based, the active network execution environment is activated based on the IP address specified in the packet. Here, a set of all (global) IP addresses is represented by I. A packet having a source IP address of s and a destination IP address of d is represented as (s, d). It is assumed that all active codes stored in the active network execution environment of the communication device belong to a specific user, and a set of IP addresses owned by a specific user is represented as O.
[0057]
In this framework, each active code belonging to the specific user is a packet represented by a set A according to the following expression, and is received by a communication device (node) having the active network execution environment. Has access to any packet. That is,
A = {(s, d) ε [(O × I) ∪ (I × O)] | s ≠ d}
It is. In other words, the meaning of this expression is that an active code belonging to a specific user has access rights to a packet whose source or destination address is any of all IP addresses owned by that user. It is to have.
[0058]
When n active codes belonging to the user are stored in a communication device (node), the i-th (1 ≦ i ≦ n) active code is a set C (i) (C (i) ⊆A). The active network execution environment is requested in advance to capture and process the packets belonging to. That is, for the user, the active network execution environment is activated by a packet (s, d) that is an element of the union of c (1) ∪c (2) ∪... ∪c (n). Such a packet can be called an “active packet”.
[0059]
FIG. 14 is a schematic diagram illustrating an example of a transfer destination table stored in the transfer destination
[0060]
As illustrated in FIG. 14, the transfer destination table includes items of a type (Type), a destination address (Destination), a source address (Source), and a transfer destination (Send to). The type item represents the type of entry in the table and takes a value of either “Active” or “Regular”. The items of destination address and source address correspond to the destination IP address and source IP address of the packet to be transferred, respectively. The item of transfer destination represents the identification information of the active code to be applied or the IP address of the communication device of the transfer destination to be applied to the packet whose combination of the destination address and the source address matches.
[0061]
An entry whose type value is “active” designates an active code to be applied to the target packet, and information for identifying the active code is written in the transfer destination item.
The entry whose type value is “normal” specifies the address of the communication device that is the transfer destination of the target packet, and the IP address of the communication device that is the transfer destination is written in the item of the transfer destination. .
[0062]
In the example of the transfer destination table shown in FIG. 14, in the first entry, the type is “active”, the destination address is “1.2.3.4”, and the source address is “Any” (anything is possible). "And the transfer destination is" active code A ". This is because, regardless of the source address, if the destination address matches “1.2.3.4”, the active network execution environment is activated with the corresponding packet as a trigger, and the active code A Is executed.
In the second entry, the type is “active”, the destination address is “10.50.0.0”, the source address is “11.12.13.14”, and the transfer destination is “Active code B”. This indicates that when both the destination address and the transmission source address match the above values, the active network execution environment is activated with the corresponding packet as a trigger, and the active code B is executed.
In the third entry, the type is “active”, the destination address is “Any”, the source address is “157.2.3.0”, and the transfer destination is “active”. Code C ". This is because, regardless of the destination address, if the source address matches “157.2.3.0”, the active network execution environment is started with the corresponding packet as a trigger, and the active code C is Indicates that it will be executed.
[0063]
As shown in FIG. 14, in the transfer destination table, an entry whose type is “active” exists above an entry whose type is “normal”. An entry whose type is “active” is applied with priority over an entry whose type is “normal”. Each entry is applied only to a packet arriving at the communication apparatus, and is not applied to a packet transmitted for transfer.
[0064]
The configuration of the communication apparatus described above will be summarized.
The interface unit illustrated in FIG. 13 is provided for each communication line, and receives a packet arriving from the communication line and performs processing for transmitting the packet to the communication line.
Further, the transfer destination table storage unit includes a packet source address and / or destination address pattern, a program (active code) information corresponding to the pattern, or a transfer destination address information corresponding to the pattern. Is stored in the transfer destination table.
The active network execution environment stores the program in advance and executes the program.
The transfer processing unit refers to the transfer destination table based on a source address or a destination address of the received packet when the received packet arriving from the communication line is transferred from the interface unit, and the transfer destination table If the destination address information corresponding to the address pattern of the received packet is registered in the interface unit corresponding to the destination address so that the received packet is sent to the predetermined destination address. When the information of the program corresponding to the address pattern of the received packet is registered in the transfer destination table, the active network execution environment unit starts the program and passes the received packet to the program .
[0065]
Next, a model related to active code security in this embodiment will be described. This security model is to ensure that each active code only works on packets that involve the owner of the active code. For this purpose, this security model is based on the existence of a public key infrastructure.
[0066]
FIG. 15 is a schematic diagram showing the security model and the processing procedure in the model. In FIG. 15, reference numeral 7051 denotes a user terminal device of the user A, and 7061 denotes a certification authority device. The function of the certificate authority may be provided by a public institution, or may be provided by an ISP (Internet Service Provider) or the like.
In the example illustrated in FIG. 15, the IP address of the user terminal device 7051 is “1.2.3.4”. Hereinafter, a procedure of processing for user A to register active code A in
[0067]
First, as shown in (1), the user terminal device 7051 of the user A generates a key pair, that is, a public key and a secret key, using a known technique.
Then, as shown in (2), the user terminal device 7051 registers the public key generated above in the
[0068]
Next, as shown in (3), the user terminal device 7051 performs processing for digitally signing the active code A using the secret key generated above.
Then, as shown in (4), the user terminal device 7051 performs a process of registering the active code A signed with the secret key in the
[0069]
In response to this, the
Then, as shown in (6), the
[0070]
Once the processes of (1) and (2) are performed and the public key of user A is registered in the
[0071]
In other words, the
[0072]
In order for the above-described procedure for registering the active code to the communication device to function effectively, the following two points are assumed.
As a first premise, it is known in advance to which communication device (node) the user should register the active code. Alternatively, a directory service is provided for identifying which communication device (node) should register the active code.
As a second premise, the communication device (node) can acquire the public key of the target certificate authority offline beforehand, acquire it from another certificate authority, or acquire it by some other means.
[0073]
Next, control for resolving the contradiction will be described.
In a certain communication apparatus (node), n active codes are registered, and the i-th (1 ≦ i ≦ n) and j-th (1 ≦ j ≦ n) active codes are respectively set C (i) ( Set (c (i) ∩c (j)) is an empty set when it is defined to be for packets belonging to C (i) ⊆A) and set C (j) (C (j) ⊆A) There may be a combination of i and j, where i ≠ j. That is, the definition is such that a certain packet is applied to both the i-th active code and the j-th active code. Such a contradiction is resolved by one of the following two scenarios.
[0074]
The first conflict resolution scenario is for packet (s, d):
(SεO (k) ΛdεO (l)) Λ (k ≠ l)
To be
(S, d) εc (i) ∩c (j)
It is about the case that becomes. However, O (k) and O (l) are sets of IP addresses owned by users k and l, respectively.
That is, for a certain packet, both the active code for the source user and the active code for the destination user are registered in the communication device, and this packet (s, d) has arrived at such a communication device. Is the case. In such a case, it may be desirable to preferentially apply the destination user's active code.
[0075]
That is, in the pattern registered in the transfer destination table, the first entry in which only the source address is specified and the destination address can be anything, and only the destination address is specified and the source address is whatever A second entry that is considered good, and when a received packet matches both the first entry and the second entry, the second entry takes precedence over the first entry. Thus, the program corresponding to the pattern of the second entry is started.
[0076]
In this way, prioritizing the active code of the destination user over the active code of the source user establishes a mechanism that protects against DDoS (Distributed DoS of Distributed Denial Service) attacks using the function of the active network. It is especially important when doing so. By doing so, the active code of the destination user, who can be an attacked person, is given priority over the active code of the potential attacker.
[0077]
The second conflict resolution scenario relates to the case where two or more active codes to be applied for a packet (s, d) are registered by the same user. In such a case, it may be desirable that the oldest registered one of the corresponding active codes is applied with priority over the other. This is because when the user tries to register a new active code, it is guaranteed that the old active code is deleted in advance in order to make the new active code effective.
[0078]
Next, an example of implementation of a communication device that functions as a node of an active network as described above will be described. FIG. 16 is a schematic diagram when a communication apparatus that processes an active packet using a Java (registered trademark) virtual machine (JVM) on Linux is realized.
[0079]
In the example shown in FIG. 16, a dedicated IP stack is constructed as a part of the process. Thereby, a transfer destination table as shown in FIG. 14 is realized, and an entry can be added to or deleted from the transfer destination table from the execution environment (active network execution environment). As a result, an IP stack in the kernel is not necessary, and routing in the kernel is inactivated. Then, a copy of the arrival packet is created from the data link portion, and the packet can be supplemented by the Java (registered trademark) virtual machine through the library libcap.
[0080]
The dedicated IP stack constructed as part of the processing is an active packet, that is, a packet having an IP address (destination IP address, source IP address, or a combination thereof) that matches a predetermined definition on the forwarding destination table. Passed to the active code that is run on the execution environment. On the other hand, normal packets other than active packets are transferred to adjacent communication devices or the like in the same manner as the IP stack in the kernel. All packets sent from this communication device, whether active packets or normal packets, are sent through the library library. By doing so, the transmission source address recorded in the header of each processed packet is sent to the network in the state where the original transmission source address remains unchanged.
[0081]
Further, it is possible to implement a security model by using “java.security” which is a standard Java (registered trademark) API (application program interface). This standard API provides most of the functions necessary to build a security model. Further, the certificate format “X.509” can be used, and the IP address of the owner of the active code is the DN (distinguished name) of “X.509”. By including in part, the security model of the present embodiment can be realized.
[0082]
Needless to say, in the above implementation, a communication apparatus having an active network execution environment is constructed by using a computer system. Then, the above-described series of processing, that is, creation and capture of a copy of an incoming packet, processing of transfer of an active packet and a normal packet while referring to a transfer destination table, and activation of an active code in an active network execution environment Each process such as execution of the process and transmission of the processed packet to the network is stored in a computer-readable recording medium in the form of a program, and the computer reads and executes the program Thus, the above processing is performed.
[0083]
Each computer program described above is recorded on a computer-readable recording medium, and a CPU (central processing unit) mounted on a communication device or the like reads the computer program from the recording medium to prevent attack or provide a service module. Each process for provision etc. is performed. The “computer-readable recording medium” refers to a storage device such as a portable medium such as a magnetic disk, a magneto-optical disk, a ROM, or a CD-ROM, or a hard disk built in a computer system. Further, the “computer-readable recording medium” refers to a volatile memory (RAM) in a computer system that becomes a server or a client when a program is transmitted via a network such as the Internet or a communication line such as a telephone line. In addition, those holding programs for a certain period of time are also included.
[0084]
The program may be transmitted from a computer system storing the program in a storage device or the like to another computer system via a transmission medium or by a transmission wave in the transmission medium. Here, the “transmission medium” for transmitting the program refers to a medium having a function of transmitting information, such as a network (communication network) such as the Internet or a communication line (communication line) such as a telephone line.
[0085]
The program may be for realizing a part of the functions described above. Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, and what is called a difference file (difference program) may be sufficient.
[0086]
Further, the transmission of data from the downstream gate device or communication device to the upstream communication device is not limited to the use of the active network, and any communication protocol can be used.
[0087]
The gate device and the communication device are not limited to the gateway and the router, and may be any communication node having an IP address such as a bridge, Ethernet (registered trademark), or an interface conversion device.
[0088]
The embodiments of the present invention have been described in detail above with reference to the drawings. However, the specific configuration is not limited to these embodiments, and includes a design and the like within a scope not departing from the gist of the present invention.
[0089]
【The invention's effect】
As described above, when the communication device of the attackee of the DDoS attack detects the suspected traffic of the DDoS attack, the transmission bandwidth of the attack suspected traffic is limited by each upstream communication device by the initial transmission bandwidth control. As a result, it becomes possible to improve network congestion at an early stage, and it is possible to prevent the service of the DDoS attackee from being stopped, and to increase the proportion of communication packets from authorized users. It becomes possible.
[0090]
In addition, after limiting the bandwidth of the suspected attack packet by the initial transmission bandwidth control, the transmission bandwidth limit value can be adjusted according to the input transmission bandwidth of the attack suspected packet of each communication device. Can be effectively distributed to each communication device, and the transmission bandwidth of regular packets classified as attack suspected packets can be increased, and the degradation of serviceability of regular users can be improved in stages.
[Brief description of the drawings]
FIG. 1 is a configuration diagram of a network to which an embodiment of the present invention can be applied.
FIG. 2 is an example of attack suspect detection condition setting according to the embodiment;
FIG. 3 is an example of setting illegal traffic detection conditions according to the embodiment;
4 is a bandwidth control model provided in the
FIG. 5 is a classification algorithm in the
FIG. 6 is a flowchart showing an operation when an attack suspected packet is detected by the
7 is an example of calculation of a transmission band limit value in the configuration of FIG. 1 according to the embodiment.
FIG. 8 is a flowchart showing an operation of the
FIG. 9 is a flowchart showing an operation of the
10 is an example of calculation of a transmission band limit adjustment value in the configuration of FIG. 1 according to the embodiment.
FIG. 11 is a flowchart showing an operation of adjusting a transmission band limit value of the
FIG. 12 shows a network configuration premised on an active network that can execute the embodiment;
FIG. 13 is a block diagram showing an internal configuration of a communication apparatus using an active network that can execute the embodiment;
FIG. 14 is a schematic diagram showing an example of a transfer destination table stored in a transfer destination table storage unit by an active network that can execute the embodiment;
FIG. 15 is a schematic diagram showing a security model based on an active network capable of executing the embodiment and a processing procedure in the model.
FIG. 16 is a schematic diagram when an active network communication apparatus capable of executing the embodiment is implemented to process an active packet using a Java (registered trademark) virtual machine (JVM) on Linux;
[Explanation of symbols]
2000 ... Server
2001 ... Gate device
2002-2006 ... Communication device
2007-2010 ... Terminal device
2021 ... Filter
2022 ... Regular class
2023 ... Regular queue
2024 ... Incorrect class
2025 ... Incorrect queue
2026 ... Suspect class
2027 ... Suspect queue
7000 ... User's computer
7001. Communication device
7010: Active network execution environment
7011: Code execution unit
7012: Code storage unit
7021: Transfer processing unit
7022: Transfer destination table storage unit
7023a, 7023b ... Interface unit
7024a, 7024b ... communication lines
7051 ... User terminal device
7061 ... Certificate Authority device
Claims (13)
前記ゲート装置は、
入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、
前記通信装置は、
前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、
前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、
前記ゲート装置は、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理を行い、
前記上流の通信装置は、
前記下流のゲート装置または通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問合せを受信して、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置または通信装置へ送信する処理を行い、
前記ゲート装置は、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、
前記通信装置は、
前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理と、前記下流の通信装置から受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、
前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、
ことを特徴とする分散型サービス不能攻撃防止方法。In a network system having a network formed by connecting a plurality of communication devices in a mesh shape, a computer and a LAN to be protected, and a gate device interposed between the LAN and the network,
The gate device is
When attack suspected traffic is detected from input communication traffic, based on the transmission bandwidth limit value of the attack suspected traffic in the gate device and the number of communication devices one upstream of the gate device, the upstream Calculating a transmission bandwidth limit value of the attack suspected traffic to be notified to the communication device and transmitting it to the upstream communication device;
The communication device
Limiting the transmission band of the suspected attack traffic to the transmission band limit value received from the downstream gate device or communication device, the received transmission band limit value, and the number of communication devices one upstream of the communication device, Based on the above, the transmission bandwidth limit value of the suspected traffic to be notified to the upstream communication device is calculated and transmitted to the upstream communication device,
Recursively until reaching the most upstream communication device of the attack suspected packet sender, processing the transmission bandwidth limit value of the attack suspected packet and the transmission bandwidth limit value transmission of the attack suspected traffic,
The gate device is
Processing to send an inquiry about the average input transmission bandwidth of the attack suspected traffic to the upstream communication device,
The upstream communication device is:
An average input transmission bandwidth query of the attack suspected traffic is received from the downstream gate device or communication device, and an average input transmission bandwidth value of the attack suspected traffic in the communication device is transmitted to the downstream gate device or communication device. Process,
The gate device is
The attack suspected traffic to be notified to the upstream communication device based on the transmission bandwidth limit adjustment value of the attack suspected traffic in the gate device and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device. To calculate the transmission band limit adjustment value of and transmit to the upstream communication device,
The communication device
A process of limiting the transmission bandwidth of the attack suspected traffic to the transmission bandwidth restriction adjustment value received from the downstream gate device or communication device, and sending an inquiry to the upstream communication device about the average input transmission bandwidth of the attack suspected traffic The attack suspect to be notified to the upstream communication device based on the transmission band limit adjustment value received from the downstream communication device and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device. Calculating a traffic transmission band limit adjustment value and transmitting it to the upstream communication device;
The transmission bandwidth limit adjustment value of the attack suspected traffic is transmitted to the transmission bandwidth limit adjustment value recursively until the communication device at the most upstream of the transmission source of the attack suspect packet is reached. Process
A distributed denial of service attack prevention method characterized by the above.
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、
を備えることを特徴とするゲート装置。In a gate device inserted between a network formed by connecting a plurality of communication devices in a mesh shape, a computer to be protected, and a LAN,
Traffic monitoring means for checking incoming communication traffic and detecting suspected traffic of a distributed denial of service attack;
The attack suspect detected by the traffic monitoring means notifying the upstream communication device based on the transmission bandwidth limit value of the suspected traffic traffic in the gate device and the number of communication devices one upstream of the gate device Band limit instruction means for calculating a traffic transmission band limit value and transmitting it to an upstream communication device;
Transmission band inquiry means for inquiring the upstream communication device about the average input transmission band of the suspected attack traffic,
A transmission band value receiving means for receiving an average input transmission band value of the attack suspected traffic from the upstream communication device;
The attack suspected traffic to be notified to the upstream communication device based on the transmission bandwidth limit adjustment value of the attack suspected traffic in the gate device and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device. A bandwidth limitation adjustment means for calculating a transmission bandwidth limitation adjustment value of and transmitting to the upstream communication device;
A gate device comprising:
前記帯域制限調整手段は、前記伝送帯域調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項４に記載のゲート装置。The bandwidth limitation instruction means uses the transmission bandwidth limitation value as the layer depth d indicating the hop number of the gate device or communication device existing from the gate device, and the gate device or communication device at the same depth d. Is a gate device identified by i at a depth d, a transmission bandwidth limit value of an attack suspected packet of a communication device or Ss (d, i), and a gate identified by i at a depth d Nu (d, i) is the number of communication devices upstream of the device or communication device, and a number for identifying the communication device upstream of the gate device or communication device identified by i at the depth d Is the transmission bandwidth limit value of the suspected traffic of the communication device identified by k at the upstream of the gate device or communication device identified by i at the depth d and k, and Ss (d + 1, i, k). Then
The band limitation adjustment means uses the transmission band adjustment value as the layer depth d indicating how many hops the gate device or communication device exists from the gate device, and the gate device or communication device at the same depth d. The transmission band adjustment value of the attack suspected packet of the gate device or communication device identified by i at the depth d, i is identified by i at the depth d, and is identified by i at the depth d. Nu (d, i) is the number of communication devices that are one upstream of the gate device or communication device, and a communication device that is one upstream of the gate device or communication device identified by i at the depth d The average input transmission bandwidth value of the attack suspected traffic notified from the gate device identified by i at the depth k and the communication device identified by k at the upstream of the communication device identified by i at the depth d or B (d + 1, i, k), at depth d If the transmission band limit adjustment value of the attack suspected traffic of the communication device identified by k that is one upstream of the gate device or communication device identified by i is Ss ′ (d + 1, i, k),
下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、
前記下流のゲート装置あるいは通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問い合わせを受信し、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置あるいは通信装置へ送信する帯域通知手段と、
前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、
前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値と前記受信した伝送帯域制限調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、
を備えることを特徴とする通信装置。In a communication device that constitutes a node of a network to which a gate device that protects a computer to be protected and a LAN is connected,
Band control means for receiving a transmission band limit value of attack suspected traffic from a downstream gate device or communication device, and limiting a transmission band of the attack suspected traffic to the transmission band limit value;
Based on the received transmission band limit value and the number of communication apparatuses that are one upstream of the communication apparatus, the transmission band limit value of the attack suspected traffic to be notified to the upstream communication apparatus is calculated to determine upstream communication. Bandwidth limiting instruction means for transmitting to the device;
Band that receives an average input transmission bandwidth of the attack suspected traffic from the downstream gate device or communication device and transmits the average input transmission bandwidth value of the attack suspected traffic in the communication device to the downstream gate device or communication device Notification means;
Bandwidth control adjustment means for receiving a transmission bandwidth limit adjustment value of attack suspected traffic from the downstream gate device or communication device, and limiting a transmission bandwidth of the attack suspected traffic to the transmission bandwidth limit adjustment value;
Transmission band inquiry means for inquiring the upstream communication device about the average input transmission band of the suspected attack traffic,
A transmission band value receiving means for receiving an average input transmission band value of the attack suspected traffic from the upstream communication device;
Based on the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device and the received transmission bandwidth restriction adjustment value, the transmission bandwidth restriction adjustment value of the attack suspected traffic to be notified to the upstream communication device. A bandwidth limit adjusting means for calculating and transmitting to the upstream communication device;
A communication apparatus comprising:
前記帯域制限調整手段は、前記伝送帯域調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項６に記載の通信装置。The bandwidth limitation instruction means uses the transmission bandwidth limitation value as the layer depth d indicating the hop number of the gate device or communication device existing from the gate device, and the gate device or communication device at the same depth d. Is a gate device identified by i at a depth d, a transmission bandwidth limit value of an attack suspected packet of a communication device or Ss (d, i), and a gate identified by i at a depth d Nu (d, i) is the number of communication devices upstream of the device or communication device, and a number for identifying the communication device upstream of the gate device or communication device identified by i at the depth d Is the transmission bandwidth limit value of the suspected traffic of the communication device identified by k at the upstream of the gate device or communication device identified by i at the depth d and k, and Ss (d + 1, i, k). Then
The band limitation adjustment means uses the transmission band adjustment value as the layer depth d indicating how many hops the gate device or communication device exists from the gate device, and the gate device or communication device at the same depth d. The transmission band adjustment value of the attack suspected packet of the gate device or communication device identified by i at the depth d, i is identified by i at the depth d, and is identified by i at the depth d. Nu (d, i) is the number of communication devices that are one upstream of the gate device or communication device, and a communication device that is one upstream of the gate device or communication device identified by i at the depth d The average input transmission bandwidth value of the attack suspected traffic notified from the gate device identified by i at the depth k and the communication device identified by k at the upstream of the communication device identified by i at the depth d or B (d + 1, i, k), at depth d If the transmission band limit adjustment value of the attack suspected traffic of the communication device identified by k that is one upstream of the gate device or communication device identified by i is Ss ′ (d + 1, i, k),
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラム。A computer program executed on a gate device inserted between a network formed by connecting a plurality of communication devices in a mesh shape, a computer to be protected, and a LAN,
When the input communication traffic is checked and the attack suspected traffic of the distributed denial of service attack is detected, the transmission band limit value of the attack suspected traffic in the gate device and the communication device one upstream of the gate device Calculating a transmission band limit value of the attack suspected traffic to be notified to the upstream communication device based on the number, and transmitting to the upstream communication device;
Sending an inquiry about the average input transmission bandwidth of the attack suspected traffic to the upstream communication device;
Receiving an average input transmission bandwidth value of the attack suspected traffic from the upstream communication device;
The attack suspect to be notified to the upstream communication device based on the transmission bandwidth limit adjustment value of the attack suspected traffic in the gate device and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device Calculating a traffic transmission band limit adjustment value and transmitting it to the upstream communication device; and
A distributed denial-of-service attack prevention program characterized in that a computer is executed.
下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラム。A computer program executed on a communication device constituting a node of a network to which a computer to be protected and a gate device for protecting a LAN are connected,
Receiving a transmission bandwidth limit value of attack suspected traffic from a downstream gate device or communication device, and limiting a transmission bandwidth of the attack suspected traffic to the transmission bandwidth limit value;
Based on the received transmission bandwidth limit value and the number of communication devices one upstream of the communication device, the transmission bandwidth limit value of the suspected traffic to be notified to the upstream communication device is calculated, and the upstream Transmitting to the communication device;
Receiving a transmission band inquiry for querying an average input transmission band of attack suspected traffic from the downstream gate apparatus or communication apparatus, and transmitting an average input transmission band value of the attack suspected traffic to the downstream gate apparatus or communication apparatus; ,
Receiving a transmission band limitation adjustment value from the downstream gate device or communication device, and limiting a transmission band of the attack suspected traffic to the transmission band limitation adjustment value;
Sending an inquiry about the average input transmission bandwidth of the attack suspected traffic to the upstream communication device;
Receiving an average input transmission bandwidth value of the attack suspected traffic from the upstream communication device;
Based on the received transmission band limit adjustment value and the average input transmission band value of the attack suspected traffic received from the upstream communication apparatus, the attack suspected traffic transmission band limit adjustment value to be notified to the upstream communication apparatus. Calculating and transmitting to the upstream communication device;
A distributed denial-of-service attack prevention program characterized in that a computer is executed.
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラム。The transmission band limit value is d indicating the depth of the hierarchy indicating how many hops the gate device or communication device exists from the gate device, i is a number identifying the gate device or communication device at the same depth d, Ss (d, i) is the transmission band limit value of the attack suspected packet of the gate device or communication device identified by i at depth d, and is one of the gate devices or communication devices identified by i at depth d. The number of the upstream communication devices is nu (d, i), the gate device identified by i at the depth d or the number for identifying the communication device upstream of the communication device is k, and the depth d. Ss (d + 1, i, k) is the transmission bandwidth limit value of the attack suspected traffic of the communication device identified by k that is one upstream of the gate device or communication device identified by i.
The transmission band limit adjustment value is a layer depth d indicating how many hops a gate device or communication device exists from the gate device, and a number i for identifying the gate device or communication device at the same depth d. The transmission bandwidth adjustment value of the attack suspected packet of the gate device or communication device identified by i at the depth d is Ss ′ (d, i), and the gate device or communication device identified by i at the depth d is The number of communication devices upstream one is nu (d, i), the gate device identified by i at the depth d or the number identifying the communication device upstream one of the communication devices is k, the depth B (d + 1, i, k) is the average input transmission bandwidth value of the suspected traffic notified from the gate device identified by i in d or the communication device identified by k upstream one of the communication devices, and the depth Gate identified by i in If the transmission band limit adjustment value of the attack suspected traffic of the communication device identified by k that is one upstream of the device or the communication device is Ss ′ (d + 1, i, k),
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。A computer-readable recording medium in which a computer program executed on a gate device inserted between a network formed by connecting a plurality of communication devices in a mesh pattern and a computer to be protected and a LAN is recorded. There,
When the input communication traffic is checked and the suspected traffic of the distributed denial of service attack is detected, the transmission bandwidth limit value of the suspected traffic in the gate device and the communication device one upstream of the gate device Calculating a transmission band limit value of the attack suspected traffic to be notified to the upstream communication device based on the number, and transmitting to the upstream communication device;
Sending an inquiry about the average input transmission bandwidth of the attack suspected traffic to the upstream communication device;
Receiving an average input transmission bandwidth value of the attack suspected traffic from the upstream communication device;
The attack suspected traffic to be notified to the upstream communication device based on the transmission bandwidth limit adjustment value of the attack suspected traffic in the gate device and the average input transmission bandwidth value of the attack suspected traffic received from the upstream communication device Calculating the transmission band limit adjustment value of the transmission to the upstream communication device,
A recording medium for recording a distributed denial-of-service attack prevention program that causes a computer to execute each of the above processes.
下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。A computer-readable recording medium storing a computer program to be executed on a communication device constituting a node of a network to which a computer to be protected and a gate device for protecting a LAN are connected,
Receiving a transmission bandwidth limit value of attack suspected traffic from a downstream gate device or communication device, and limiting a transmission bandwidth of the attack suspected traffic to the transmission bandwidth limit value;
Based on the received transmission bandwidth limit value and the number of communication devices one upstream of the communication device, the transmission bandwidth limit value of the suspected traffic to be notified to the upstream communication device is calculated, and the upstream Transmitting to the communication device;
Receiving a transmission band inquiry for querying an average input transmission band of attack suspected traffic from the downstream gate apparatus or communication apparatus, and transmitting an average input transmission band value of the attack suspected traffic to the downstream gate apparatus or communication apparatus; ,
Receiving a transmission band limitation adjustment value from the downstream gate device or communication device, and limiting a transmission band of the attack suspected traffic to the transmission band limitation adjustment value;
Sending an inquiry about the average input transmission bandwidth of the attack suspected traffic to the upstream communication device;
Receiving an average input transmission bandwidth value of the attack suspected traffic from the upstream communication device;
Based on the received transmission band limit adjustment value and the average input transmission band value of the attack suspected traffic received from the upstream communication apparatus, the attack suspected traffic transmission band limit adjustment value to be notified to the upstream communication apparatus. Calculating and transmitting to the upstream communication device;
A recording medium for recording a distributed denial-of-service attack prevention program that causes a computer to execute each of the above processes.
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。The transmission band limit value is d indicating the depth of the hierarchy indicating how many hops the gate device or communication device exists from the gate device, i is a number identifying the gate device or communication device at the same depth d, Ss (d, i) is the transmission band limit value of the attack suspected packet of the gate device or communication device identified by i at depth d, and is one of the gate devices or communication devices identified by i at depth d. The number of the upstream communication devices is nu (d, i), the gate device identified by i at the depth d or the number for identifying the communication device upstream of the communication device is k, and the depth d. Ss (d + 1, i, k) is the transmission bandwidth limit value of the attack suspected traffic of the communication device identified by k that is one upstream of the gate device or communication device identified by i.
The transmission band limit adjustment value is a layer depth d indicating how many hops a gate device or communication device exists from the gate device, and a number i for identifying the gate device or communication device at the same depth d. The transmission bandwidth adjustment value of the attack suspected packet of the gate device or communication device identified by i at the depth d is Ss ′ (d, i), and the gate device or communication device identified by i at the depth d is The number of communication devices upstream one is nu (d, i), the gate device identified by i at the depth d or the number identifying the communication device upstream one of the communication devices is k, the depth B (d + 1, i, k) is the average input transmission bandwidth value of the suspected traffic notified from the gate device identified by i in d or the communication device identified by k upstream one of the communication devices, and the depth Gate identified by i in If the transmission band limit adjustment value of the attack suspected traffic of the communication device identified by k that is one upstream of the device or the communication device is Ss ′ (d + 1, i, k),
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002081905A JP3609381B2 (en) | 2002-03-22 | 2002-03-22 | Distributed denial of service attack prevention method, gate device, communication device, and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002081905A JP3609381B2 (en) | 2002-03-22 | 2002-03-22 | Distributed denial of service attack prevention method, gate device, communication device, and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003283555A JP2003283555A (en) | 2003-10-03 |
| JP3609381B2 true JP3609381B2 (en) | 2005-01-12 |
Family
ID=29230352
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002081905A Expired - Fee Related JP3609381B2 (en) | 2002-03-22 | 2002-03-22 | Distributed denial of service attack prevention method, gate device, communication device, and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3609381B2 (en) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005184792A (en) | 2003-11-27 | 2005-07-07 | Nec Corp | Band control device, band control method, and program |
| CN100370757C (en) * | 2004-07-09 | 2008-02-20 | 国际商业机器公司 | Method and system for dentifying a distributed denial of service (DDOS) attack within a network and defending against such an attack |
| WO2006040880A1 (en) * | 2004-10-12 | 2006-04-20 | Nippon Telegraph And Telephone Corporation | Service disabling attack protecting system, service disabling attack protecting method, and service disabling attack protecting program |
| WO2006046345A1 (en) * | 2004-10-28 | 2006-05-04 | Nippon Telegraph And Telephone Corporation | Denial-of-service attack detecting system, and denial-of-service attack detecting method |
| JP2008199138A (en) | 2007-02-09 | 2008-08-28 | Hitachi Industrial Equipment Systems Co Ltd | Information processor, and information processing system |
| CN101060531B (en) * | 2007-05-17 | 2010-10-13 | 华为技术有限公司 | A method and device for avoiding the attack of network equipment |
-
2002
- 2002-03-22 JP JP2002081905A patent/JP3609381B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003283555A (en) | 2003-10-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Wheeler et al. | Techniques for cyber attack attribution | |
| US9094372B2 (en) | Multi-method gateway-based network security systems and methods | |
| US7076803B2 (en) | Integrated intrusion detection services | |
| Schnackengerg et al. | Cooperative intrusion traceback and response architecture (CITRA) | |
| US7409714B2 (en) | Virtual intrusion detection system and method of using same | |
| US8356349B2 (en) | Method and system for intrusion prevention and deflection | |
| US7222366B2 (en) | Intrusion event filtering | |
| EP1775910B1 (en) | Application layer ingress filtering | |
| Gonzalez et al. | A trust-based approach against IP-spoofing attacks | |
| JP3609382B2 (en) | Distributed denial of service attack prevention method, gate device, communication device, and program | |
| JPWO2015174100A1 (en) | Packet transfer device, packet transfer system, and packet transfer method | |
| JP3699941B2 (en) | Distributed denial of service attack prevention method, gate device, communication device, distributed denial of service attack prevention program, and recording medium | |
| JP3609381B2 (en) | Distributed denial of service attack prevention method, gate device, communication device, and program | |
| JP3790486B2 (en) | Packet relay device, packet relay system, and story guidance system | |
| US20060225141A1 (en) | Unauthorized access searching method and device | |
| JP3657569B2 (en) | Packet processing method and communication apparatus | |
| Pandey et al. | APTIKOM Journal on Computer Science and Information Technologies | |
| Yousif et al. | A Proposed Firewall For Viruses | |
| Sobh et al. | IP Tracing and Active Network Response | |
| Einstein et al. | Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20040123 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040908 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20041005 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20041013 |
|
| LAPS | Cancellation because of no payment of annual fees |