JP4417128B2 - Communications system - Google Patents
Communications system Download PDFInfo
- Publication number
- JP4417128B2 JP4417128B2 JP2004034748A JP2004034748A JP4417128B2 JP 4417128 B2 JP4417128 B2 JP 4417128B2 JP 2004034748 A JP2004034748 A JP 2004034748A JP 2004034748 A JP2004034748 A JP 2004034748A JP 4417128 B2 JP4417128 B2 JP 4417128B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- logical address
- address
- connection destination
- transfer device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
- 238000004891 communication Methods 0.000 title claims description 37
- 230000008859 change Effects 0.000 claims description 81
- 238000012546 transfer Methods 0.000 claims description 42
- 230000005540 biological transmission Effects 0.000 claims description 7
- 238000004590 computer program Methods 0.000 claims description 3
- 238000000034 method Methods 0.000 description 41
- 230000008569 process Effects 0.000 description 23
- 238000012545 processing Methods 0.000 description 9
- 238000010586 diagram Methods 0.000 description 7
- 238000001914 filtration Methods 0.000 description 6
- 238000006243 chemical reaction Methods 0.000 description 5
- 238000007493 shaping process Methods 0.000 description 3
- 230000000694 effects Effects 0.000 description 2
- 238000007796 conventional method Methods 0.000 description 1
- 230000000593 degrading effect Effects 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 238000013507 mapping Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000009738 saturating Methods 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、高負荷型ＤｏＳ攻撃からホストを保護する通信システムに関する。 The present invention relates to a communication system for protecting a host from a high-load DoS attack.
ＩＰネットワークにおいて、セキュリティ上問題となっている高負荷型のＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅｓ：サービス拒否）攻撃には、以下の２種類が存在する。（以下、高負荷型ＤｏＳ攻撃を、単にＤｏＳ攻撃と呼ぶ。）
１つ目のＤｏＳ攻撃は、図１０の課題（１）に示すネットワーク高負荷型ＤｏＳ攻撃である。ネットワーク高負荷型ＤｏＳ攻撃は、攻撃目標に近い通信路へパケットを大量に送信し、通信路をパケットで飽和させることにより、正規の通信が通信路を通過できない状態を引き起こすことを目的としている。また、正規の通信が通過することができても大きな遅延が発生する等の事態を発生させる。２つ目のＤｏＳ攻撃は、図１０の課題（２）に示すホスト高負荷型ＤｏＳ攻撃である。ホスト高負荷型ＤｏＳ攻撃は、攻撃目標であるホストに大量のパケットを受信させ、その処理負荷を大きくすることにより、ホストが正規の通信を処理できない状態を引き起こすことを目的としている。また、正規の通信を処理できても大きな遅延が発生してしまう等の事態を発生させる。
つまり、ネットワーク高負荷型ＤｏＳ攻撃は、ＩＰネットワークにおける通信速度のパフォーマンス低下を引き起こすことを目的としている。一方、ホスト高負荷型ＤｏＳ攻撃は、サーバ等の処理パフォーマンスの低下を引き起こし、結果としてホストのシステムダウンを目的とした攻撃ということができる。図１１に大量にパケットを受信するＤｏＳ攻撃を分類した表を示す。
現状としては、以下の２つの対策がＤｏＳの防御のために一般的に採用されている。１つ目の対策は、ファイアウォールによるパケットフィルタリングである。この対策は、攻撃目標が外部ネットワーク、例えばインターネットに接続されている箇所へファイアウォールを設置し、ファイアウォールに設定されたフィルタリングルールに従って、受信する大量のパケットをフィルタリング、即ち遮断する方式である。フィルタリングルールには、プロトコル違反しているものを遮断したり、同じ送信元から大量に送りつけられてくるパケットを遮断したり、違反でないがプロトコル的に完結しないパケットを遮断するルールがある。プロトコル的に完結しないパケットとしては例えば、ＴＣＰ Ｓｙｎしか送信しないＳｙｎ Ｆｌｏｏｄ攻撃のようなものがある。この対策は、ＤｏＳ攻撃のパターンが特定できる場合に有効である。
２つ目の対策は、帯域制御装置を用いたトラフィックシェーピングである。この対策は、攻撃目標となるホストの直前に帯域制御装置を設置し、ホストの処理能力を超える流量のパケットが流れ込んだ時に、ホストが処理可能な受信量になるまで、帯域制御装置によってパケットをシェーピングする対策である。シェーピングとはパケットの送信時間間隔を大きくして遅延を発生させたり、パケットの一部を廃棄して間引いたりする方式である。この対策は、ＤｏＳ攻撃のパターンを特定できない場合に有効である。
上記２つの方法とは別に、特許文献１における不正侵入防止システムを用いた対策がある。この発明は、管理下のサーバに対するＤｏＳ攻撃を検出し、ＤｏＳ攻撃パケットを中継するルータでＤｏＳ攻撃を行っているパケットを確認できた場合に、該当するＤｏＳ攻撃パケットを経路制御することにより、攻撃目標へＤｏＳ攻撃パケットが到着しないようにする方式である。この対策は、ＤｏＳ攻撃パケットをルータが特定できる場合に有効である。
The first DoS attack is a network high-load DoS attack shown in problem (1) in FIG. The network high-load type DoS attack is intended to cause a state in which regular communication cannot pass through a communication path by transmitting a large amount of packets to a communication path close to the attack target and saturating the communication path with packets. Moreover, even if regular communication can pass, a situation such as a large delay occurs. The second DoS attack is a host high-load DoS attack shown in problem (2) in FIG. The host high-load DoS attack is intended to cause the host to be unable to process regular communication by causing the host, which is the attack target, to receive a large amount of packets and increasing the processing load. Moreover, even if regular communication can be processed, a situation such as a large delay occurs.
That is, the network high-load type DoS attack is intended to cause a reduction in communication speed performance in the IP network. On the other hand, the host high-load DoS attack causes a decrease in processing performance of the server or the like, and as a result, can be said to be an attack aimed at host system down. FIG. 11 shows a table in which DoS attacks that receive a large amount of packets are classified.
Currently, the following two measures are generally adopted for DoS protection. The first countermeasure is packet filtering by a firewall. This countermeasure is a system in which a firewall is installed at a location where the attack target is connected to an external network, for example, the Internet, and a large amount of received packets are filtered, that is, blocked according to the filtering rules set in the firewall. Filtering rules include rules that block protocol violations, block packets that are sent in large quantities from the same source, and block packets that are not violations but are not protocol-complete. An example of a packet that is not completed in terms of protocol is a Syn Flood attack that transmits only TCP Syn. This measure is effective when a DoS attack pattern can be identified.
The second countermeasure is traffic shaping using a bandwidth control device. This measure is to install a bandwidth control device just before the host that is the target of the attack. It is a measure to shape. Shaping is a method in which a packet transmission time interval is increased to cause a delay, or a part of a packet is discarded and thinned out. This measure is effective when the DoS attack pattern cannot be specified.
Apart from the above two methods, there is a countermeasure using the unauthorized intrusion prevention system in
しかしながら、上記の従来の技術による対策を用いても、以下のような問題がある。１つ目のファイアウォールによるパケットフィルタリングの対策では、攻撃目標へ到達する高負荷型ＤｏＳ攻撃のパケットを削除することはできる。しかし、パケットフィルタしている側とは逆のネットワークの負荷は下がっても、パケットフィルタしている側のネットワークは高負荷のままであるため、その通信路を通る正規ユーザの通信のパフォーマンスは低いままであるという問題がある。
２つ目の帯域制御装置による対策では、攻撃目標へ到達する高負荷型ＤｏＳ攻撃のパケットを削減することができる。しかし、シェーピングは正規ユーザのパケットも含んでおり、正規ユーザの通信パフォーマンスも同様に低下することになる。
３つ目の特許文献１におけるルータによる経路変更による対策では、攻撃目標へ到達する高負荷型ＤｏＳ攻撃のパケットを削減、若しくは無くすことはできる。しかし、高負荷型ＤｏＳ攻撃のパケットをルータで特定するのは困難であり、特に発信元アドレスを偽っている場合は、さらに特定が困難となる。この対策では、高負荷型ＤｏＳ攻撃のパケットがサーバへ到達することを防ぐことはできるが、ルータに対して帯域を圧迫させるような高負荷型ＤｏＳ攻撃を避けることはできないという問題がある。
However, there are the following problems even if the measures according to the above-described conventional technique are used. With the first packet filtering countermeasure by the firewall, it is possible to delete a high-load DoS attack packet that reaches the attack target. However, even though the load on the network opposite to the packet filtering side is reduced, the network on the packet filtering side remains highly loaded. There is a problem that there is so far.
With the countermeasure by the second bandwidth control device, it is possible to reduce the packet of the high load DoS attack that reaches the attack target. However, the shaping includes the packet of the regular user, and the communication performance of the regular user is similarly lowered.
According to the countermeasure by the route change by the router in the
本発明は、上記問題を解決するためになされたもので、その目的は、正規ユーザの通信パフォーマンスを低下させることなく、ＤｏＳ攻撃のパケットの発信元アドレスが偽られている場合でも、攻撃目標のホストを高負荷型ＤｏＳ攻撃から保護する通信システムを提供することにある。 The present invention has been made in order to solve the above-described problem, and the purpose of the present invention is to improve the attack target even when the source address of the packet of the DoS attack is falsified without degrading the communication performance of the authorized user. An object of the present invention is to provide a communication system that protects a host from a high-load DoS attack.
上述した課題を解決するために、請求項１に記載の発明は、パケットを送受信する端末装置（クライアント端末２５、２５ａ、２５ｂ）と、パケットを中継するパケット転送装置（ルータ３）と、前記パケット転送装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置（対外向けサーバ４）と、前記端末装置と前記パケット転送装置を収容するネットワーク（インターネット２０）と、を備えた通信システムにおいて、前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケット（ＢｉｎｄｉｎｇＵｐｄａｔｅパケット）を生成し、前記接続先変更指示パケットの情報要素に特定の前記コンテンツサーバ装置の論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置（ホームエージェント１）を備え、前記端末装置はさらに前記接続先変更指示パケットを受信し、該パケットに記載された特定の前記コンテンツサーバ装置の論理アドレスに対して通信を行うことを特徴とする通信システム（ＤｏＳ攻撃回避システム１０）である。
In order to solve the above-described problem, the invention described in
請求項２に記載の発明は、パケットを送受信する端末装置（クライアント端末２５、２５ａ、２５ｂ）と、パケットを中継するパケット転送装置（ルータ３）と、前記パケット転送装置に接続され、受信した前記パケットを予め設定されている中継先の論理アドレスに従って中継する代理サーバ装置（ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２）と、前記代理サーバ装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置（対外向けサーバ４）と、前記端末装置と前記パケット転送装置を収容するネットワーク（インターネット２０）と、を備えた通信システムにおいて、前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケット（ＢｉｎｄｉｎｇＵｐｄａｔｅパケット）を生成し、前記接続先変更指示パケットの情報要素に前記代理サーバ装置の前記論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置（ホームエージェント１）を備え、前記代理サーバ装置は、予め決められた状態を検出した場合に、自論理アドレス情報を予め設定されている別の論理アドレス情報に変更し、中継している前記端末装置の前記論理アドレスを検出し、該論理アドレスを着信先論理アドレスに設定した前記接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に変更後の自論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信することを特徴とする通信システム（ＤｏＳ攻撃回避システム１０）である。
The invention according to
請求項３に記載の発明は、請求項２に記載の発明において、前記代理サーバ装置は、自論理アドレス情報を予め設定されている別の論理アドレス情報に変更した際に、変更後の自論理アドレス情報を含む論理アドレス変更通知（ルーティング情報変更通知）を前記パケット転送装置と前記公開サーバ装置に通知し、前記パケット転送装置は、前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って経路情報を変更し、変更前の前記代理サーバの論理アドレス情報の転送先を前記公開サーバ装置に変更し、前記公開サーバ装置は、前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って前記公開サーバ装置の前記論理アドレス情報と前記代理サーバ装置の前記論理アドレス情報の対応付け情報を更新することを特徴とする。
The invention according to
請求項４に記載の発明は、請求項１乃至３のいずれか１つに記載の発明において、前記端末装置は、前記ネットワークから前記接続先変更指示パケットを受信した場合には、前記代理サーバ装置に送信している前記パケットの着信先論理アドレスを前記接続先変更指示パケットの情報要素に含まれている前記論理アドレス情報に変更することを特徴とする。
The invention according to claim 4 is the proxy server device according to any one of
請求項５に記載の発明は、請求項１乃至４のいずれか１つに記載の発明において、前記接続先変更指示パケットの情報要素とは、発信元論理アドレスであることを特徴とする。
The invention according to
請求項６に記載の発明は、パケットを送受信する端末装置と、パケットを中継するパケット転送装置と、前記パケット転送装置に接続され、コンテンツ等を格納しているコンテンツサーバ装置と、前記端末装置と前記パケット転送装置を収容するネットワークとを備えた通信システムに含まれ、前記パケット転送装置に接続されたコンピュータに対し、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成するステップと、前記接続先変更指示パケットの情報要素に特定の前記コンテンツサーバ装置の論理アドレス情報を設定するステップと、前記端末装置が前記接続先変更指示パケットを受信し該パケットに記載された特定の前記コンテンツサーバ装置の論理アドレスに対して通信を行うために、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信するステップと、を実行させるためのコンピュータプログラムである。
The invention according to
この発明によれば、端末装置からコンテンツサーバ装置に対して送信するパケットを公開サーバ装置、即ちホームエージェントで受信して、受信したパケットの発信元ＩＰアドレスに対して、真のコンテンツサーバ装置のＩＰアドレスを通知する構成を取っている。そのため、攻撃を目的として発信元ＩＰアドレスを偽っている端末装置には真のＩＰアドレスの情報を含んだパケットが到達せず、当該端末装置はコンテンツサーバ装置に接続することができない。それによって、攻撃を目的とした端末装置のみを排除し、攻撃を目的としていない正規の端末装置からのパケットのみを受け入れることできる効果がある。 According to the present invention, the packet transmitted from the terminal device to the content server device is received by the public server device, that is, the home agent, and the IP of the true content server device is compared with the source IP address of the received packet. It is configured to notify the address. For this reason, a packet containing information on the true IP address does not reach the terminal device that is disguised as the source IP address for the purpose of attack, and the terminal device cannot connect to the content server device. Accordingly, there is an effect that only the terminal device intended for the attack is excluded, and only the packet from the regular terminal device not intended for the attack can be accepted.
また、本発明によれば、当該代理サーバ装置は、端末装置とコンテンツサーバ装置の間の通信を代理サーバ装置で中継している状態で、予め決められた状態を検出した場合に、自らのＩＰアドレスを変更し、変更後のＩＰアドレスを端末装置に通知する構成を取っている。そのため、攻撃を目的として発信元ＩＰアドレスを偽っている端末装置には真のＩＰアドレスの情報を含んだパケットが到達せず、当該端末装置がコンテンツサーバに接続できない。また、ＩＰアドレスを変更して通知する際に、攻撃を行っている端末装置に対しては通知を行わない構成を取ることで、当該端末装置をコンテンツサーバ装置に接続させないようにすることもできる。それによって、攻撃を目的とした端末装置のみを排除し、攻撃と目的としていない正規の端末装置からのパケットのみを受け入れることできる効果がある。 According to the present invention, when the proxy server device detects a predetermined state in a state where the proxy server device relays communication between the terminal device and the content server device, the proxy server device The address is changed, and the changed IP address is notified to the terminal device. For this reason, a packet containing information on the true IP address does not reach the terminal device that is disguised as the source IP address for the purpose of attack, and the terminal device cannot connect to the content server. In addition, when the IP address is changed and notified, it is possible to prevent the terminal device from being connected to the content server device by adopting a configuration that does not notify the terminal device performing the attack. . Accordingly, there is an effect that only the terminal device intended for the attack is excluded, and only the packet from the legitimate terminal device not intended for the attack can be accepted.
以下、本発明の一実施形態による高負荷型ＤｏＳ攻撃回避システム（以下、ＤｏＳ攻撃回避システムと呼ぶ）を図面を参照して説明する。
図１は、この発明の一実施形態によるＤｏＳ攻撃回避システム１０及びＤｏＳ攻撃を行うクライアント端末２５との接続構成を示した図である。
同図において、ＤｏＳ攻撃回避システム１０及びクライアント端末２５はインターネット２０に接続されている。ＤｏＳ攻撃回避システム１０において、ルータ３はインターネット２０を介して、クライアント端末２５からパケットの受信を行い、予め設定されているルーティング情報に基づいてパケットを転送する。対外向けサーバ４は、ウェブページのコンテンツ等を格納しているサーバである。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＩＰアドレスをインターネット２０に公開しており、対外向けサーバ４の代理サーバとしての通信を中継する。また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、予め決められた状態を検出した場合に、自ＩＰアドレスを変更し、変更後のＩＰアドレスを含んだＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを対外向けサーバ４に接続中のパケットの発信元ＩＰアドレスに対して送信する。予め決められた状態とは、例えば、一定の時間が経過した状態や、攻撃を目的とした接続要求を検出した状態である。ホームエージェント１は、ＩＰアドレスをインターネット２０に公開しており、インターネット２０に接続している端末から最初に接続要求を受信する。そして、真の接続先のＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２のＩＰアドレスを含む接続先変更通知を受信したパケットの発信元ＩＰアドレスに対して送信する。この仕組みにより、クライアント端末２５が発信元ＩＰアドレスを偽って接続要求を送信する場合には、クライアント端末２５はホームエージェント１から真の接続先ＩＰアドレスを受信することができず、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２を介して対外向けサーバ４に接続することができない。また、何らかの手段でクライアント端末２５がＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２に接続し、対外向けサーバ４をＤｏＳ攻撃しても、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が予め決められた状態で変更するＩＰアドレスの情報を受信することができず、対外向けサーバ４へ接続させないようにすることができる。なお、以下モバイルＩＰ方式の名称に合わせて接続先変更通知をＢｉｎｄｉｎｇＵｐｄａｔｅメッセージと呼び、ＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを含むパケットをＢｉｎｄｉｎｇＵｐｄａｔｅパケットと呼ぶ。
Hereinafter, a high-load DoS attack avoidance system (hereinafter referred to as a DoS attack avoidance system) according to an embodiment of the present invention will be described with reference to the drawings.
FIG. 1 is a diagram showing a connection configuration between a DoS
In the figure, the DoS
図２は、この発明の一実施形態によるＤｏＳ攻撃回避システム１０を実際に利用するネットワーク構成を示す概略ブロック図である。
同図において、ＤｏＳ攻撃回避システム１０は、一般的な企業の社内ネットワークである企業内ネットワーク４０とインターネット接続をサービスとして提供するＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）２１の間に設置される。
ＤｏＳ攻撃回避システム１０において、ファイアウォール６は、一定のルールに従ったパケットのみをホームエージェント１に送信し、条件に合わないパケットはフィルタリングして破棄する。ファイアウォール６とホームエージェント１から構成されるおとりネットワーク７は、ＤｏＳ攻撃を最初に受信する領域である。また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２がＩＰアドレスを変更した際に、変更前のＩＰアドレスが設定されたパケットを受信して破棄する役目も持つ。ルータ３は受信したＩＰアドレスを予め設定されているルーティング情報に従ってパケットを転送する。同図に示すようにＩＳＰ２１を接続する位置にあってもよいし、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２からのＩＰアドレス変更の通知を受信できる場合にはＩＳＰ２１の内部に存在していてもよい。ファイアウォール５は、ルータ３を介して受信するパケットのうち一定のルールを満たすものだけを企業内ネットワーク４０に送信する。ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）３０は、インターネット上の端末装置等にウェブページ等を公開するサーバ等を配置する領域であり、インターネット２０からの接続を許容するルールをファイアウォール５で設定することにより構築される。そのため、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２及び対外向けサーバ４は、ＤＭＺ３０にも属する。
また、同図において、一般的な企業内ネットワークに設置されるＩＤＳ３２（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は、ＤＭＺ３０内の装置が受信する接続のうち不正な接続を検出し、システム管理者等に通知する機能を有する。同じくＩＤＳ４２は、ルータ４１を介して企業内ネットワーク４０が受信する接続から不正な接続を検出し、システム管理者等に通知する機能を有する。
サーバ３１は、ＤｏＳ攻撃回避システム１０には含まれないが、ＤＭＺ３０に配置されているサーバであり、対外向けサーバ４に比べてＤｏＳ回避の必要がないもの等が該当する。
FIG. 2 is a schematic block diagram showing a network configuration that actually uses the DoS
In FIG. 1, a DoS
In the DoS
Also, in the figure, an IDS 32 (Intrusion Detection System) installed in a general corporate network has a function of detecting an unauthorized connection among the connections received by the devices in the
The server 31 is not included in the DoS
図３は、ＤｏＳ攻撃回避システム１０において主な装置であるホームエージェント１及びＢｉｎｄｉｎｇＵｐｄａｔｅエージェントにおいて必要な手段を示したものである。
ホームエージェント１には公開ＩＰアドレスであるＰＩＰ（ＰｕｂｌｉｃＩＰ）アドレスが設定されており、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２にはモバイルＩＰ方式における移動ＩＰアドレスであるＭＩＰ（Ｍｏｂｉｌｅ ＩＰ）アドレスが設定されている。ＰＩＰとＭＩＰの詳細については後述する。
ホームエージェント１において、ＢｉｎｄｉｎｇＵｐｄａｔｅ手段１ａは、クライアント端末２５から接続要求を受信し、受信した接続要求のパケットの発信元ＩＰアドレスに対してＭＩＰアドレスを含んだＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。また、モジュールダウンロード者ＩＤ管理テーブル１１からＢｉｎｄｉｎｇＵｐｄａｔｅに非対応のクライアント端末２５を判断し、対応していないクライアント端末２５の場合には、独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。
ＰＩＰ：ＭＩＰマップ管理手段１ｂは、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２からのＭＩＰアドレスの変更通知を受けてＰＩＰアドレス、ＭＩＰアドレスマッピングテーブル１ｃを更新する。モバイルＩＰｖ６（ＩＰｖｅｒｓｉｏｎ６）対応可否判定手段１ｄは、クライアントの端末２５がモバイルＩＰｖ６対応であるかを判定する。モバイルＩＰｖ６非対応クライアント用モジュールダウンロード指示手段１ｅは、モバイルＩＰｖ６対応可否判定手段１ｄが非対応と判断した場合に、モバイルＩＰｖ６に非対応のクライアント端末２５にモバイルＩＰｖ６非対応クライアント用モジュール２６を送信する。モジュールダウンロード者ＩＤ管理手段１ｆは、モバイルＩＰｖ６非対応クライアント用モジュールダウンロード指示手段１ｅからのダウンロード者ＩＤの通知を受信して、モジュールダウンロード者ＩＤ管理テーブル１１を更新する。モジュールダウンロード者ＩＤ管理テーブル１１は、ホームエージェント１やＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２で管理されていてもよいし、それ以外のサーバで管理されていてもよい。
モバイルＩＰｖ６非対応クライアント用モジュール２６は、ＢｉｎｄｉｎｇＵｐｄａｔｅ受信手段２６ａ及びＰＩＰ：ＭＩＰプロキシ手段２６ｂを備えている。具体的には、ダウンロードアプレットやインストールモジュールでモバイルＩＰｖ６非対応のクライアント端末２５に提供する。
ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２において、対外向けサーバプロキシ手段２ａは、コネクション管理テーブル２ｂを参照し、対外向けサーバ４とクライアント端末２５の間の通信において、ＩＰアドレスを振り替えて中継する。対外向けサーバＩＰアドレス変更手段２ｄは、予め決められた状態を検出した場合にＭＩＰアドレスを変更する。ＢｉｎｄｉｎｇＵｐｄａｔｅ手段２ｃは、対外向けサーバＩＰアドレス変更手段２ｄから新しいＭＩＰアドレスを受信し、コネクション管理テーブル２ｂを参照して、接続中のクライアント端末２５にＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。また、モジュールダウンロード者ＩＤ管理テーブル１１からＢｉｎｄｉｎｇＵｐｄａｔｅに非対応のクライアント端末２５を判断し、対応していないクライアント端末２５の場合には、独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する。変更後新ＭＩＰ通知手段２ｅは、対外向けサーバＩＰアドレス変更手段２ｄから新しいＭＩＰアドレスを受信し、ルータ３及びホームエージェント１に変更後のＭＩＰアドレスを通知する。
ルータ３のルーティングテーブル書き換え手段３ａは、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２からＭＩＰの変更通知を受信してＰＩＰ及びＭＩＰに関するルーティングテーブルを更新する。
FIG. 3 shows necessary means in the
A PIP (PublicIP) address that is a public IP address is set in the
In the
The PIP: MIP map management means 1b updates the PIP address / MIP address mapping table 1c in response to the MIP address change notification from the
The mobile IPv6
In the
The routing table rewriting means 3a of the
図４は、ＤｏＳ攻撃回避システム１０におけるホームエージェント１の処理を示した図である。ＤｏＳ攻撃回避システム１０の特徴は、モバイルＩＰ方式で用いられている接続先の移動に対応してＩＰアドレスを変更する方式を応用し、攻撃の回避を図ったものである。同図では、その特徴のうち、接続先ＩＰアドレス変更処理について説明する。接続先ＩＰアドレス変更処理とは、接続先のＩＰアドレスを発信元に通知し、端末装置に接続先を変更させ、不正な接続に対しては真の接続先に接続させないようにする処理である。
同図において、おとりネットワーク７は、名称の通り真の接続先のおとりとなるネットワークであり、インターネット２０からの接続を最初に受信するためのネットワークである。そのため、ホームエージェント１に設定するＩＰアドレスは、公開ＩＰアドレス、即ちＰＩＰアドレスとなる。ＰＩＰアドレスはモバイルＩＰ方式におけるホームアドレスに対応する。このＰＩＰアドレスを対外向けサーバ４のＵＲＬ（Ｕｎｉｖｅｒｓａｌ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）等とＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）において関連付けすることによって、ＰＩＰアドレスは、対外向けサーバ４のインターネット上で公開されるＩＰアドレスとなる。対外向けサーバ４にはＰＩＰアドレスとは別に真のＩＰアドレスが設定される。その真のＩＰアドレスは、モバイルＩＰ方式における気付けアドレスである移動ＩＰアドレス、即ちＭＩＰアドレスに対応する。ＰＩＰアドレスもＭＩＰアドレスもインターネット２０において接続が可能なグローバルＩＰアドレスである。
まず、インターネット２０に接続しているＤｏＳ攻撃者端末２５ｂと正規ユーザ端末２５ａは、公開されているウェブサイトのＵＲＬ等へ接続を行う。コンテンツが存在する真の装置は対外向けサーバ４であるが、上記した通り、最初にＵＲＬにＤＮＳによって関連付けられているＩＰアドレスはホームエージェント１のＰＩＰアドレスである。そのため、攻撃者端末２５ｂと正規ユーザ端末２５ａからの接続要求のパケットはホームエージェント１が受信する（ステップＳ４−１）。パケットを受信したホームエージェント１は、モバイルＩＰ方式で規定されているＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを含むパケット（以下、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットと呼ぶ）を生成し、対外向けサーバ４のＩＰアドレスであるＭＩＰアドレスをＢｉｎｄｉｎｇＵｐｄａｔｅパケットに設定する。そして、端末から受信したパケットの発信元ＩＰアドレス（同図におけるソースＩＰアドレス）をＢｉｎｄｉｎｇＵｐｄａｔｅパケットの着信先ＩＰアドレスに設定し、インターネットに送信する。正規ユーザ端末２５ａから受信したパケットの場合には発信元ＩＰアドレスも実在するＩＰアドレスであるため、パケットは正規ユーザ端末２５ａに到達する（ステップＳ４−２）。一方、受信したパケットがＤｏＳ攻撃者端末２５ｂからの攻撃を目的としたパケットであって、発信元ＩＰアドレスが偽られたものである場合には、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットはＤｏＳ攻撃者２５ｂには到達せず、転送の途中で破棄される。（ステップＳ４−３）。それによって、ＤｏＳ攻撃者端末２５ｂは、対外向けサーバ４のＭＩＰアドレスを知ることができず、対外向けサーバ４へは接続できないことになる。一方、正規ユーザ端末２５ａは、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信して、ＰＩＰアドレスとＭＩＰアドレスの対応付けを行っているＢｉｎｄｉｎｇキャッシュの更新を行う。そして、ＰＩＰアドレス向けの通信パケットをＭＩＰアドレス向けに変更する（ステップＳ４−４）。この処理によって、対外向けサーバ４は、正規ユーザ端末２５ａからの接続のみを受信することができ、攻撃を回避することが可能となる。
また、ステップＳ４−３において、ＤｏＳ攻撃端末に対してＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信する際に、既にその接続がＤｏＳ攻撃だと判別できる場合には、ＢｉｎｄｉｎｇＵｐｄａｔｅパケット自体を送信しないようにしてもよい。そうすることで、より確実にＤｏＳ攻撃を回避することが可能となる。
なお、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットはモバイルＩＰ対応の装置でなければ受信できないため、対応していない装置の場合には独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケット相当の情報を含んだ通知を行い、正規ユーザ端末２５ａ側にも当該独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信して接続を切り替えるモジュール等を予めインストールしておく必要がある。
FIG. 4 is a diagram illustrating processing of the
In the figure, a decoy network 7 is a network that is a decoy of a true connection destination as the name indicates, and is a network for receiving a connection from the
First, the
In step S4-3, when a BindingUpdate packet is transmitted to the DoS attack terminal, if it can be determined that the connection is already a DoS attack, the BindingUpdate packet itself may not be transmitted. By doing so, a DoS attack can be avoided more reliably.
Since a BindingUpdate packet can be received only by a device that supports Mobile IP, in the case of a device that does not support it, a notification including information equivalent to a unique BindingUpdate packet is sent, and the
図５は、ＤｏＳ攻撃回避システム１０におけるＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２及びホームエージェント１の処理を示した図である。同図では、ＤｏＳ攻撃回避システム１０のもう１つの特徴である、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２の自ＩＰアドレス変更処理を示したものである。自ＩＰアドレス変更処理とは、仮にＤｏＳ攻撃端末が真の対外向けサーバ４へ接続できた場合にも、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が自らのＩＰアドレスを予め決められた状態で変更し、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを正規な端末のみに送信することによってＤｏＳ攻撃を回避する処理である。
同図では、対外向けサーバ４に移動ＩＰアドレスであるＭＩＰアドレスを設定するのではなく、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２にＭＩＰアドレスを設定する。また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、対外向けサーバ４のプロキシサーバとしての機能を有し、ＭＩＰアドレスへ接続があった場合には、一度その接続をＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が中継する。即ち、正規ユーザ端末２５ａ及びＤｏＳ攻撃者端末２５ｂの接続先ＩＰアドレスはＭＩＰアドレスであり、対外向けサーバ４のＩＰアドレスは直接インターネット２０に対して公開されず、ＭＩＰアドレスが公開される。そのため、対外向けサーバ４が外部からの接続を直接受信しない場合には、プライベートＩＰアドレスを設定してもよい。
前提として、正規ユーザ端末２５ａ及びＤｏＳ攻撃者端末２５ｂは既に、ＢｉｎｄｉｎｇＵＰｄａｔｅエージェント２を介して対外向けサーバ４に接続しているものとする。つまり、ＤｏＳ攻撃者端末２５ｂは、何らかの手段でＭＩＰアドレスを手に入れて接続しているものとする（ステップＳ５−１及びステップＳ５−２）。次に、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が予め設定されているＩＰアドレスの中から１つのＩＰアドレスを選択し、ＭＩＰアドレスを選択したＩＰアドレスに変更する（ステップＳ５−３）。ＭＩＰアドレスを変更したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２はＢｉｎｄｉｎｇＵｐｄａｔｅメッセージを含むＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する。そして、ＭＩＰアドレスの情報を含むＢｉｎｄｉｎｇＵｐｄａｔｅパケットを接続中の通信の発信元ＩＰアドレス全てについて送信する（ステップＳ５−４）。発信元ＩＰアドレスを偽っていない正規ユーザ端末２５ａにはＢｉｎｄｉｎｇＵｐｄａｔｅパケットが到達し、新しいＭＩＰアドレスへ接続を切り替えることができる。一方、発信元ＩＰアドレスを偽っているＤｏＳ攻撃者端末２５ｂへはＢｉｎｄｉｎｇＵｐｄａｔｅパケットは到達せず、途中で破棄され、変更後のＭＩＰアドレスを受信することができない。ＢｉｎｄｉｎｇＵｐｄａｔｅパケット送信時に既にＤｏＳ攻撃者端末２５ｂからの接続が攻撃だと判別できる場合には、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを送信しないようにしてもよい。
また、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレスを変更したルーティング情報変更通知をルータ３とホームエージェント１に通知する。ルーティング情報変更通知に従って、経路制御のためのルーティングテーブルを変更し、ルータ３は以前のＭＩＰアドレスに対する接続を受信した場合には、おとりネットワーク７へ転送されるように設定する。ホームエージェント１は、ルーティング情報変更通知を受信して、ＰＩＰアドレスとＭＩＰアドレスの対応付けを更新する（ステップＳ５−５）。ルータ３のルーティングテーブルが変更されたことにより、ＭＩＰからＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信できなかったＤｏＳ攻撃者端末２５ｂは以前のＭＩＰアドレスでパケットを送信する。しかし、ルーティングテーブルが変更されているためそのパケットはおとりネットワーク７に転送され、破棄されることとなる（ステップＳ５−６）。
一方、正規ユーザ端末２５ａは、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信して、新しいＭＩＰアドレスへ接続を変更し（ステップＳ５−７）、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２が中継して対外向けサーバ４からウェブページ等をダウンロードすることが可能となる。
それによって、ＤｏＳ攻撃者端末２５ｂの接続を受け入れてしまった場合でも、その接続の途中でＩＰアドレスを変更することができるため、他の正規ユーザ端末２５ａの接続を維持したままで、ＤｏＳ攻撃者端末２５ｂのみを対外向けサーバ４への接続から排除することが可能となる。
FIG. 5 is a diagram illustrating processing of the
In the figure, the MIP address that is the mobile IP address is not set in the server 4 for the outside, but the MIP address is set in the
As a premise, it is assumed that the authorized
In addition, the
On the other hand, the
Thereby, even when the connection of the
図６は、クライアント端末２５がモバイルＩＰｖ６に対応している場合の接続先ＩＰアドレス変更処理を示したものである。同図において、クライアント端末２５は、インターネット上の端末であり、既にＤＮＳにより対外向けサーバ４の公開ＩＰアドレス、即ちＰＩＰアドレスを受信している。また、クライアント端末２５がモバイルＩＰｖ６に対応しているため、クライアントは標準でＢｉｎｄｉｎｇＵｐｄａｔｅパケットを受信することが可能であり、新たにソフトウェアを導入する必要はない。
まず、クライアント端末２５がＰＩＰアドレス宛のパケットを送信する。この時、パケットの発信元ＩＰアドレス（同図中のＳｒｃ：）にはＣＩＰ（Ｃｌｉｅｎｔ ＩＰ）アドレスを設定し、着信先ＩＰアドレス（同図中のＤｓｔ：）にはＰＩＰアドレスを設定して送信する。ここで、送信するパケットにはＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）の設定の最初に送信されるＴＣＰ Ｓｙｎ等も含まれる（ステップＳ６−１）。ＰＩＰアドレス宛のパケットを受信したホームエージェント１は、ＢｉｎｄｉｎｇＵｐｄａｔｅパケットを含むパケットを生成する（ステップＳ６−２）。そして、当該パケットの着信先ＩＰアドレスにＣＩＰアドレスを設定し、発信元ＩＰアドレスにＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２のＩＰアドレスであるＭＩＰアドレスを設定する。また、ホームアドレスオプションヘッダにはＰＩＰアドレスを設定し、モビリティヘッダにはＢｉｎｄｉｎｇＵｐｄａｔｅを設定する。そして、ＩＰｖ６では標準で備わっているＩＰｓｅｃの認証ヘッダを必要に応じて設定し、インターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、ＭＩＰアドレスの情報を受信することができない（ステップＳ６−３）。パケットを受信したクライアント端末２５は、パケットにＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。次に、ＰＩＰアドレスとＭＩＰアドレスを関連付けているテーブルであるＢｉｎｄｉｎｇキャッシュを更新し、それ以降のＰＩＰアドレス向けの送信パケットを全てＭＩＰアドレス向けに変換する。この変換処理はモバイルＩＰのプロトコルスタックのソフトウェア内で行われるため、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見える（ステップＳ６−４）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ６−５）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を開始し、プロキシサーバとして対外向けサーバ４とクライアント端末２５の間の通信の中継を行う（ステップＳ６−６）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ６−７）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
同図において、通常のモバイルＩＰ方式と本実施形態のＤｏＳ攻撃回避システムの相違点は以下の２点である。１点目は、モバイルＩＰ方式では公開ＩＰアドレス宛のパケットをホームエージェント１がＭＩＰアドレスへフォワードするが、ＤｏＳ攻撃回避システムではフォワードしない。２点目は、モバイルＩＰ方式ではホームエージェント１がＢｉｎｄｉｎｇＵｐｄａｔｅパケットをクライアント端末２５に送信しないが、ＤｏＳ攻撃回避システムでは送信する。
つまり、ネットワーク上のパケットやクライアント端末２５に求める動作としてはモバイルＩＰｖ６の機能のままであるが、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２はＤｏＳ攻撃回避システム特有の機能を有することとなる。
FIG. 6 shows a connection destination IP address change process when the
First, the
In the figure, the difference between the normal mobile IP system and the DoS attack avoidance system of this embodiment is the following two points. The first point is that the
That is, the operation required for the packet on the network and the
図７は、クライアント端末２５がモバイルＩＰｖ６に対応していない場合の接続先ＩＰドレス変更処理を示したものである。同図において、クライアント端末２５は、インターネット上の端末であり、既にＤＮＳにより対外向けサーバ４の公開ＩＰアドレス、即ちＰＩＰアドレスを受信している。また、クライアント端末２５がモバイルＩＰｖ６に対応していない、即ちＩＰｖ４の環境での実施となるため独自のＢｉｎｄｉｎｇＵｐｄａｔｅ受信用モジュール及びＰＩＰアドレスとＭＩＰアドレスの変換モジュールが必要となる。モジュールをインストールする方法としては、ＣＤ−ＲＯＭ等の記録媒体で行う方法のほかに、ダウンロードアプレット等を利用してホームエージェント１から自動ダウンロードする方法が考えられる。
まず、クライアント端末２５がＰＩＰアドレス宛のパケットを送信する。この時、パケットの発信元ＩＰアドレスにはＣＩＰアドレスを設定し、着信先ＩＰアドレスにはＰＩＰアドレスを設定して送信する。ここで、送信するパケットにはＴＣＰの設定の最初に送信されるＴＣＰ Ｓｙｎ等も含まれる（ステップＳ７−１）。ＰＩＰアドレス宛のパケットを受信したホームエージェント１は、独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する（ステップＳ７−２）。着信先ＩＰアドレスにＣＩＰアドレスを設定し、発信元ＩＰアドレスにＰＩＰアドレスを設定する。また、ＩＰｓｅｃに対応している場合で、クライアント端末２５でホームエージェント１からのパケットか否かを認証する場合には、認証ヘッダも設定する。そして、クライアント端末２５のＰＩＰアドレスのＢｉｎｄｉｎｇ情報をＭＩＰアドレスへ変更するための指示情報をオプションヘッダ等に設定し、パケットをインターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、ＭＩＰアドレスの情報を受信することができない（ステップＳ７−３）。パケットを受信したクライアント端末２５は、パケットにＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。そして、それ以降のＰＩＰアドレス向けのパケットを全てＭＩＰアドレス向けに変換する。変換処理の際、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見える（ステップＳ７−４）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ７−５）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を開始し、プロキシサーバとして対外向けサーバ４とクライアント端末２５の中継を行う（ステップＳ７−６）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ７−７）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
FIG. 7 shows a connection destination IP address change process when the
First, the
図８は、クライアント端末２５がモバイルＩＰｖ６に対応している場合のＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２の自ＩＰアドレス変更処理を示したものである。
同図において、クライアント端末２５は、既に上記したホームエージェント１からＭＩＰアドレスを取得している。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２をプロキシサーバとして対外向けサーバ４との間で通信を開始している（ステップＳ８−１）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２がＭＩＰアドレスを変更する（ステップＳ８−２）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェントはホームエージェント１宛に新しいＭＩＰアドレスを通知する。通知する方法はＢｉｎｄｉｎｇＵｐｄａｔｅパケットを用いた方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ８−３）。ＭＩＰアドレスの変更通知を受信したホームエージェント１は、ＰＩＰアドレスとＭＩＰアドレスの対応付けテーブルを新しいＭＩＰアドレスに更新する（ステップＳ８−４）。同様に、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ルータ３に新しいＭＩＰアドレスを通知する。通知はＢｉｎｄｉｎｇＵｐｄａｔｅパケットによる方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ８−５）。ＭＩＰアドレスの変更通知を受信したルータ３は、旧ＭＩＰアドレスと新ＭＩＰアドレスのルーティングテーブルを更新する（ステップＳ８−６）。次に、ＢｉｄｉｎｇＵｐｄａｔｅエージェント２は、クライアント端末２５に新しいＭＩＰアドレスを通知するためＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する。パケットの着信先にはＣＩＰアドレス、発信元ＩＰアドレスにはＭＩＰアドレス、ホームアドレスにはＰＩＰを設定し、モビリティヘッダにはＢｉｎｄｉｎｇＵｐｄａｔｅを設定する。そして、ＩＰｖ６では標準で備わっているＩＰｓｅｃの認証ヘッダを必要に応じて設定し、パケットをインターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、変更後の新しいＭＩＰアドレスを受信することができない（ステップＳ８−７）。パケットを受信したクライアント端末２５は、パケットがＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。そして、ＰＩＰアドレスへのパケットを全てＭＩＰアドレス向けのパケットに変換する。この変換処理はモバイルＩＰのプロトコルスタックのソフトウェア内で行われるため、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見える（ステップＳ８−８）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ８−９）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を行う（ステップＳ８−１０）。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、プロキシサーバとして対外向けサーバ４とクライアント端末２５の中継を行う（ステップＳ８−１１）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ８−１２）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
FIG. 8 shows the own IP address changing process of the
In the figure, the
図９は、クライアント端末２５がモバイルＩＰｖ６に対応していない場合の自ＩＰアドレス変更処理を示したものである。
同図において、クライアント端末２５は、既に上記したホームエージェント１からＭＩＰアドレスを取得している。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２をプロキシサーバとして対外向けサーバ４との間で通信を開始している（ステップＳ９−１）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２がＭＩＰアドレスを変更する（ステップＳ９−２）。ＢｉｎｄｉｎｇＵｐｄａｔｅエージェントはホームエージェント１宛に新しいＭＩＰアドレスを通知する。通知する方法はＢｉｎｄｉｎｇＵｐｄａｔｅパケットを用いた方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ９−３）。ＭＩＰアドレスの変更通知を受信したホームエージェント１は、ＰＩＰアドレスとＭＩＰアドレスの対応付けテーブルを新しいＭＩＰアドレスに更新する（ステップＳ９−４）。同様に、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ルータ３に新しいＭＩＰアドレスを通知する。この通知はＢｉｎｄｉｎｇＵｐｄａｔｅパケットによる方法でも、それ以外の通知方法、例えば上述のルーティング情報変更通知でもよい（ステップＳ９−５）。ＭＩＰアドレスの変更通知を受信したルータ３は、旧ＭＩＰアドレスと新ＭＩＰアドレスのルーティングテーブルを更新する（ステップＳ９−６）。次に、ＢｉｄｉｎｇＵｐｄａｔｅエージェント２は、クライアント端末２５に新しいＭＩＰアドレスを通知するため独自のＢｉｎｄｉｎｇＵｐｄａｔｅパケットを生成する。パケットの着信先にはＣＩＰアドレス、発信元ＩＰアドレスにはＭＩＰアドレスを設定する。また、ＩＰｓｅｃに対応している場合で、クライアント端末２５でホームエージェント１からのパケットか否かを認証する場合には、認証ヘッダも設定する。そして、クライアント端末２５のＰＩＰアドレスのＢｉｎｄｉｎｇ情報をＭＩＰアドレスへ変更するための指示情報をオプションヘッダ等に設定し、パケットをインターネットに送信する。この時、クライアント端末２５が攻撃を意図してＣＩＰアドレスを偽っている場合には、パケットはクライアント端末２５に到達せず、クライアント端末２５は、変更後の新しいＭＩＰアドレスを受信することができない（ステップＳ９−７）。パケットを受信したクライアント端末２５は、パケットにＩＰｓｅｃの設定がされている場合には、ホームエージェント１からのパケットであるかを認証する。そして、ＰＩＰアドレスへのパケットを全てＭＩＰアドレス向けのパケットに変換する。変換処理の際、クライアント端末２５の上位のアプリケーションからはＰＩＰアドレスと通信しているように見せかける（ステップＳ９−８）。クライアント端末２５は、着信先ＩＰアドレスにＭＩＰアドレスを設定し、発信元ＩＰアドレスにＣＩＰを設定し、ホームアドレスにはＰＩＰアドレスを設定してインターネットにパケットを送信する（ステップＳ９−９）。パケットを受信したＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、ＭＩＰアドレス宛のパケットとして通常の処理を行う（ステップＳ９−１０）。そして、ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２は、プロキシサーバとして対外向けサーバ４とクライアント端末２５の中継を行う（ステップＳ９−１１）。クライアント端末２５から対外向けサーバ４への通信を受信した場合には、着信先ＩＰアドレスに対外向けサーバ４のＩＰアドレスを設定し、発信元ＩＰアドレスにはＭＩＰアドレスを設定して対外向けサーバ４に送信する。一方、対外向けサーバ４からクライアント端末２５へのパケットを受信した場合には、着信先ＩＰアドレスにＣＩＰアドレス、発信元ＩＰアドレスにＭＩＰアドレス、ホームアドレスにはＰＩＰアドレスを設定し、データには対外向けサーバ４から受信したデータを設定してインターネットに送信する（ステップＳ９−１２）。クライアント端末２５はパケットを受信して、例えばウェブページの場合には、対外向けサーバ４内の所定のウェブページのコンテンツを画面に表示する。
FIG. 9 shows the own IP address changing process when the
In the figure, the
なお、本発明のＤｏＳ攻撃回避システムにおいて、ホームエージェント１とＢｉｎｄｉｎｇＵｐｄａｔｅエージェント２用にそれぞれ別にルータを設けてもよい。このような構成にすることで、ルータの負荷を低減することが可能である。
In the DoS attack avoidance system of the present invention, separate routers may be provided for the
上述のＤｏＳ攻撃回避システムは内部に、コンピュータシステムを有している。そして、上述した接続先ＩＰアドレス変更及び自ＩＰアドレス変更の処理過程は、プログラム形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。 The DoS attack avoidance system described above has a computer system inside. The above-described process of changing the connection destination IP address and the self IP address is stored in a computer-readable recording medium in a program format, and the above process is performed by the computer reading and executing this program. Is called. Here, the computer-readable recording medium means a magnetic disk, a magneto-optical disk, a CD-ROM, a DVD-ROM, a semiconductor memory, or the like. Alternatively, the computer program may be distributed to the computer via a communication line, and the computer that has received the distribution may execute the program.
１ ホームエージェント
２ ＢｉｎｄｉｎｇＵｐｄａｔｅエージェント
３ ルータ
４ 対外向けサーバ
１０ ＤｏＳ攻撃回避システム
２０ インターネット
２５ クライアント端末
DESCRIPTION OF
Claims (6)
前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に特定の前記コンテンツサーバ装置の論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置を備え、
前記端末装置はさらに前記接続先変更指示パケットを受信し、該パケットに記載された特定の前記コンテンツサーバ装置の論理アドレスに対して通信を行うことを特徴とする通信システム。 A terminal device that transmits and receives packets; a packet transfer device that relays packets; a content server device that is connected to the packet transfer device and stores content; a network that houses the terminal device and the packet transfer device; In a communication system comprising
When the packet is received from the terminal device via the packet transfer device and connected to the packet transfer device, the logical address information set in the source logical address of the received packet is the destination logical address. A connection destination change instruction packet is generated, logical address information of the specific content server device is set in an information element of the connection destination change instruction packet, and the connection destination change instruction packet is transmitted to the network via the packet transfer device. includes a public server apparatus transmitting to,
The terminal device further receives the connection destination change instruction packet, and communicates with a specific logical address of the content server device described in the packet .
前記パケット転送装置に接続され、前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に前記代理サーバ装置の前記論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信する公開サーバ装置を備え、
前記代理サーバ装置は、
予め決められた状態を検出した場合に、自論理アドレス情報を予め設定されている別の論理アドレス情報に変更し、中継している前記端末装置の前記論理アドレスを検出し、該論理アドレスを着信先論理アドレスに設定した前記接続先変更指示パケットを生成し、前記接続先変更指示パケットの情報要素に変更後の自論理アドレス情報を設定し、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信することを特徴とする通信システム。 A terminal device that transmits and receives a packet; a packet transfer device that relays a packet; a proxy server device that is connected to the packet transfer device and relays the received packet according to a preset logical address of the relay destination; and the proxy In a communication system comprising a content server device connected to a server device and storing content etc., and a network accommodating the terminal device and the packet transfer device,
When the packet is received from the terminal device via the packet transfer device and connected to the packet transfer device, the logical address information set in the source logical address of the received packet is the destination logical address. A connection destination change instruction packet to be generated, the logical address information of the proxy server device is set in an information element of the connection destination change instruction packet, and the connection destination change instruction packet is transmitted to the network via the packet transfer device. A public server device for transmission,
The proxy server device
When a predetermined state is detected, the local logical address information is changed to another logical address information set in advance, the logical address of the terminal device being relayed is detected, and the logical address is received The connection destination change instruction packet set to the destination logical address is generated, the changed own logical address information is set in the information element of the connection destination change instruction packet, and the connection destination change instruction packet is passed through the packet transfer apparatus. And transmitting to the network.
自論理アドレス情報を予め設定されている別の論理アドレス情報に変更した際に、変更後の自論理アドレス情報を含む論理アドレス変更通知を前記パケット転送装置と前記公開サーバ装置に通知し、
前記パケット転送装置は、
前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って経路情報を変更し、変更前の前記代理サーバの論理アドレス情報の転送先を前記公開サーバ装置に変更し、
前記公開サーバ装置は、
前記論理アドレス変更通知を受信した場合に、前記論理アドレス変更通知に含まれる変更後の論理アドレスに従って前記公開サーバ装置の前記論理アドレス情報と前記代理サーバ装置の前記論理アドレス情報の対応付け情報を更新することを特徴とする請求項２に記載の通信システム。 The proxy server device
When changing the own logical address information to another logical address information set in advance, notify the packet transfer device and the public server device of a logical address change notification including the changed own logical address information,
The packet transfer device includes:
When the logical address change notification is received, the routing information is changed according to the changed logical address included in the logical address change notification, and the transfer destination of the logical address information of the proxy server before the change is transferred to the public server device. change,
The public server device
When the logical address change notification is received, the correspondence information between the logical address information of the public server device and the logical address information of the proxy server device is updated according to the logical address after the change included in the logical address change notification. The communication system according to claim 2.
前記ネットワークから前記接続先変更指示パケットを受信した場合には、前記代理サーバ装置に送信している前記パケットの着信先論理アドレスを前記接続先変更指示パケットの情報要素に含まれている前記論理アドレス情報に変更することを特徴とする請求項１乃至３のいずれか１つに記載の通信システム。 The terminal device
When the connection destination change instruction packet is received from the network, the destination logical address of the packet transmitted to the proxy server device is included in the logical address included in the information element of the connection destination change instruction packet The communication system according to claim 1, wherein the communication system is changed to information.
前記パケット転送装置を介して前記端末装置から前記パケットを受信した場合に、受信した前記パケットの発信元論理アドレスに設定されている論理アドレス情報を着信先論理アドレスとする接続先変更指示パケットを生成するステップと、
前記接続先変更指示パケットの情報要素に特定の前記コンテンツサーバ装置の論理アドレス情報を設定するステップと、
前記端末装置が前記接続先変更指示パケットを受信し該パケットに記載された特定の前記コンテンツサーバ装置の論理アドレスに対して通信を行うために、前記接続先変更指示パケットを前記パケット転送装置を介して前記ネットワークに送信するステップと、
を実行させるためのコンピュータプログラム。 A terminal device that transmits and receives packets; a packet transfer device that relays packets; a content server device that is connected to the packet transfer device and stores content; a network that houses the terminal device and the packet transfer device; to be included in the communication system, connected to the packet transfer device computer with a,
When the packet is received from the terminal device via the packet transfer device, a connection destination change instruction packet is generated with the logical address information set in the source logical address of the received packet as the destination logical address And steps to
Setting a logical address information of a particular of the content server apparatus to the information element of the connection destination change instruction packet,
In order for the terminal device to receive the connection destination change instruction packet and communicate with the logical address of the specific content server device described in the packet, the terminal device changes the packet via the packet transfer device. transmitting to said network Te,
A computer program for running .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004034748A JP4417128B2 (en) | 2004-02-12 | 2004-02-12 | Communications system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004034748A JP4417128B2 (en) | 2004-02-12 | 2004-02-12 | Communications system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005229254A JP2005229254A (en) | 2005-08-25 |
| JP4417128B2 true JP4417128B2 (en) | 2010-02-17 |
Family
ID=35003640
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004034748A Expired - Lifetime JP4417128B2 (en) | 2004-02-12 | 2004-02-12 | Communications system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4417128B2 (en) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101175013B (en) * | 2006-11-03 | 2012-07-04 | 飞塔公司 | Refused service attack protection method, network system and proxy server |
| RU2496136C1 (en) * | 2012-05-14 | 2013-10-20 | Общество С Ограниченной Ответственностью "Мералабс" | Method for interaction of terminal client device with server over internet with high level of security from ddos attack and system for realising said method |
-
2004
- 2004-02-12 JP JP2004034748A patent/JP4417128B2/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2005229254A (en) | 2005-08-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7316028B2 (en) | Method and system for transmitting information across a firewall | |
| US8533780B2 (en) | Dynamic content-based routing | |
| CA2383247C (en) | External access to protected device on private network | |
| US8549646B2 (en) | Methods, media and systems for responding to a denial of service attack | |
| JP4163215B2 (en) | Communication between private network and roaming mobile terminal | |
| US9407650B2 (en) | Unauthorised/malicious redirection | |
| WO2005036831A1 (en) | Frame relay device | |
| EP1723767A1 (en) | Method and system for sending binding updates to correspondent nodes behind firewalls | |
| US11838317B2 (en) | Method for providing a connection between a communications service provider and an internet protocol, IP, server, providing a service, as well as a perimeter network, comprising the IP server, and an IP server providing the service | |
| US11533197B2 (en) | Network layer performance and security provided by a distributed cloud computing network | |
| KR101281160B1 (en) | Intrusion Prevention System using extract of HTTP request information and Method URL cutoff using the same | |
| JP4417128B2 (en) | Communications system | |
| JP3616571B2 (en) | Address resolution method for Internet relay connection | |
| CN113056896B (en) | Method for collaboration and request collaboration between protection services associated with at least one domain, corresponding agent and computer program | |
| JP2002236627A (en) | Method for changing dynamic port of firewall | |
| CA2353180C (en) | Method and apparatus for resolving a web site address when connected with a virtual private network (vpn) | |
| EP1757061A1 (en) | Extensions to filter on ipv6 header | |
| JP2004135176A (en) | Communication system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20061227 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090115 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090507 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090706 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20091117 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20091125 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4417128 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121204 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121204 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131204 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |