JP2003283572A - 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム - Google Patents

Abstract

(57)【要約】 【課題】 正規利用者の通信トラヒックを確保しなが
ら、分散型サービス不能攻撃（ＤＤｏＳ攻撃）の攻撃ト
ラヒックの伝送帯域を制限することを可能とする。 【解決手段】 ゲート装置２００１は、ＤＤｏＳ攻撃の
攻撃容疑パケットを検出すると、上流の通信装置２００
２、２００３に攻撃容疑パケットの伝送帯域制限値を通
知する。上流の通信装置２００２、２００３は、攻撃容
疑パケットの伝送帯域を受信した伝送帯域制限値に制限
しながら、さらに上流の通信装置に伝送帯域制限値の通
知を最上流まで繰り返し、各通信装置が攻撃容疑パケッ
トの伝送帯域を制限する。一定時間経過後、上流の通信
装置は下流の通信装置まで攻撃容疑パケットの入力伝送
帯域値を再帰的に通知する。ゲート装置２００１は合計
入力伝送帯域の比率により伝送帯域制限調整値を算出
し、各通信装置は再帰的に最下流の通信装置まで伝送帯
域制限調整値を通知し、伝送帯域制限を調整する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークに接
続された機器をネットワーク経由での攻撃から防御する
ための、サービス不能攻撃の防止方法およびその装置な
らびにそのコンピュータプログラムに関するものであ
る。

【０００２】

【従来の技術】従来、ＴＣＰ／ＩＰ（Transmission con
trol protocol/internet protocol）などのネットワー
クプロトコルは、オープンとなっており、互いに信用さ
れるグループで使われるように設計されている。このた
め、コンピュータのオペレーティングシステムでは、大
量の通信トラフィック（データ等）を攻撃目標のサーバ
に送信することによって、ネットワークの伝送帯域やサ
ーバの資源を消費して正当な利用者の利用を妨げようと
するサービス不能攻撃（以下、「ＤｏＳ（Denialof Ser
vice）攻撃」と記す）を防ぐことは考慮されていない。
このようなＤｏＳ攻撃に対する防御の方法は増えてきて
いるが、複数箇所から同時に連携してＤｏＳ攻撃を行う
「ＤＤｏＳ（Distributed Denial of Service）攻撃」
に対する防御の方法は未だ効果的な方法が開発されてい
ない。

【０００３】このＤＤｏＳ攻撃に対する一防御の方法と
して、ＵＵＮＥＴ社のＣｅｎｔｅｒＴｒａｃｋがある。
これは、インターネットのルータに診断機能を付加し、
ＤＤｏＳ攻撃の送信元を追跡する技術である。

【０００４】また、ＤＤｏＳ攻撃を検出したノードより
攻撃元に近い上流ノードで攻撃トラヒックを制限するた
めの技術としては、本出願の発明者等が出願済みの分散
型サービス不能攻撃の防止方法（特願２００１−２７４
０１６）、ＡＴ＆Ｔ社論文（R.Mahajan, S.M.Bellovin,
S.Floyd, J.Ioannidis, V.Paxson and S.Shenker:“Co
ntrolling high bandwidth aggregates in the network
- extended version”(2001)）、ＩＤＩＰ（Intruder
Detection and Isolation Protocol）（D.Schnackenber
g, K.Djahandari and D.Sterne: “Infrastructure for
intrusion detection and response”, Proceedings o
f the DARPA Information Survivability Conference a
nd Exposition(DISCEX), South Carolina(2000)）など
がある。ＡＴ＆Ｔ社論文及びＩＤＩＰは、攻撃検出イベ
ントを攻撃経路の上流ノードへ伝達し、上流ノードで伝
送帯域制限を行うための方式やプロトコルである。本出
願の発明者等が出願済みの分散型サービス不能攻撃の防
止方法は、ルータにインストールされている移動型パケ
ットフィルタリングプログラムが、自らのプログラムの
複製を作成し、その複製を上流ルータ移動させ、各上流
ルータへ移動してきた移動型パケットフィルタリングプ
ログラムは、それぞれＤＤｏＳ攻撃者のホストからサー
バに向けて送られているトラフィック全てを通過させな
いようする技術である。

【０００５】

【発明が解決しようとする課題】Ｃｅｎｔｅｒ Ｔｒａ
ｃｋは、攻撃を受けた被害者が攻撃者を特定することを
助ける技術ではあるが、実際に攻撃を受けているときに
その攻撃を防御することはできない。加えて、複数箇所
に分散された分散型ＤｏＳの攻撃元になっているコンピ
ュータやそのコンピュータが接続されているネットワー
クの管理者に連絡をしないと、攻撃そのものを止めるこ
とはできないため、実質的には攻撃を止めるまでに何時
間、あるいは何日もの時間がかかってしまうという問題
点がある。

【０００６】また、この出願の発明者等が出願済みの分
散型サービス不能攻撃の防止方法、ＡＴ＆Ｔ論文及びＩ
ＤＩＰにおては、攻撃パケットと特定されたパケットを
次ノードへ送出せず、全て破棄してまう。よって、標的
となるサーバのダウンやルータ装置の過負荷等によりサ
ービスが停止する一次被害を防止することはできるが、
正規利用者からのパケットを攻撃パケットと識別する方
法がないため、誤って正規利用者からの正規パケットも
攻撃パケットとして破棄してしまう可能性があり、正規
利用者の利用性が低下するといった二次被害を引き起こ
してしまうという問題がある。

【０００７】本発明は、上記事情を考慮してなされたも
のであり、その目的は、正規利用者へのサービス性を低
下させる被害を軽減しながらＤＤｏＳ攻撃を防御でき
る、分散型サービス不能攻撃防止方法及び装置ならびに
プログラムを提供することにある。

【０００８】

【課題を解決するための手段】この発明は、上記の課題
を解決すべくなされたもので、請求項１に記載の発明
は、複数の通信装置を網目状に接続してなるネットワー
クと、防御対象であるコンピュータおよびＬＡＮと、前
記ＬＡＮおよびネットワークの間に介挿されたゲート装
置とを有するネットワークシステムにおいて、前記ゲー
ト装置は、入力される通信トラヒックから攻撃容疑トラ
ヒックを検出した場合に、当該ゲート装置における前記
攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装
置の１つ上流にある通信装置数とを基に、上流の前記通
信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制
限値を算出して上流の前記通信装置へ送信する処理を行
い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯
域を下流のゲート装置または通信装置から受信した前記
伝送帯域制限値に制限すると共に、前記受信した伝送帯
域制限値と、当該通信装置の１つ上流にある通信装置数
とを基に、上流の前記通信装置へ通知する前記攻撃容疑
トラヒックの伝送帯域制限値を算出して上流の通信装置
へ送信する処理を行い、前記攻撃容疑パケット送出元の
最上流の前記通信装置に達するまで再帰的に、前記攻撃
容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒ
ックの伝送帯域制限値送信との処理を行い、前記最上流
の通信装置は、当該通信装置に入力される前記攻撃容疑
トラヒックの合計入力伝送帯域値を下流の通信装置へ送
信する処理を行い、前記合計入力伝送帯域値を受信した
下流の通信装置は、上流の前記通信装置を介さずに当該
通信装置に入力される前記攻撃容疑トラヒックの伝送帯
域値と、受信した前記攻撃容疑トラヒックの合計入力伝
送帯域値とを合計した、当該通信装置における前記攻撃
容疑トラヒックの合計入力伝送帯域値を下流の通信装置
または前記ゲート装置へ送信し、前記ゲート装置に達す
るまで再帰的に前記攻撃容疑トラヒックの合計入力伝送
帯域値の送信する処理を行い、前記ゲート装置は、当該
ゲート装置における前記攻撃容疑トラヒックの伝送帯域
制限調整値と、前記上流の通信装置を介さずに当該ゲー
ト装置に入力される前記攻撃容疑トラヒックの伝送帯域
値と、前記上流の通信装置から受信した前記攻撃容疑ト
ラヒックの合計入力伝送帯域値とを基に、上流の通信装
置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調
整値を算出して前記上流の通信装置へ送信する処理を行
い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯
域を下流のゲート装置または通信装置から受信した前記
伝送帯域制限調整値に制限すると共に、前記受信した伝
送帯域制限調整値と、前記上流の通信装置を介さずに当
該通信装置に入力される前記攻撃容疑トラヒックの伝送
帯域値と、前記上流の通信装置から受信した前記攻撃容
疑トラヒックの合計入力伝送帯域値とを基に、上流の通
信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制
限調整値を算出して前記上流の通信装置へ送信する処理
とを行い、前記攻撃容疑パケット送出元の最上流の前記
通信装置に達するまで再帰的に、伝送帯域制限調整値に
前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻
撃容疑トラヒックの伝送帯域制限調整値の送信との処理
を行う、ことを特徴とする分散型サービス不能攻撃防止
方法である。

【０００９】請求項２に記載の発明は、請求項１に記載
の分散型サービス不能攻撃防止方法であって、前記伝送
帯域制限値は、ゲート装置または通信装置がゲート装置
から何ホップ目に存在するかを示す階層の深さをｄ、同
一の深さｄにおいてゲート装置または通信装置を識別す
る番号をｉ、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の攻撃容疑パケットの伝送帯域制限値をＳ
ｓ(d,i)、深さｄにあるｉで識別されるゲート装置また
は通信装置の１つ上流にある通信装置数をnu(d,i)、深
さｄにあるｉで識別されるゲート装置または通信装置の
１つ上流にある通信装置を識別するための番号をｋ、深
さｄにあるｉで識別されるゲート装置または通信装置の
１つ上流にあるｋで識別される通信装置の攻撃容疑トラ
ヒックの伝送帯域制限値をＳｓ(d+1,i,k)とすると、

【数１１】 により算出されることを特徴とする。

【００１０】請求項３に記載の発明は、請求項１または
請求項２に記載の分散型サービス不能攻撃防止方法であ
って、前記伝送帯域制限調整値は、ゲート装置または通
信装置がゲート装置から何ホップ目に存在するかを示す
階層の深さをｄ、同一の深さｄにおいてゲート装置また
は通信装置を識別する番号をｉ、深さｄにあるｉで識別
されるゲート装置または通信装置の攻撃容疑パケットの
伝送帯域調整値をＳｓ’(d,i)、深さｄにあるｉで識別
されるゲート装置または通信装置の攻撃容疑トラヒック
の合計入力伝送帯域値をＴ(d,i)、深さｄにあるｉで識
別されるゲート装置または通信装置の１つ上流にある通
信装置を識別するための番号をｋ、深さｄにあるｉで識
別されるゲート装置または通信装置の１つ上流にあるｋ
で識別される通信装置から通知された攻撃容疑トラヒッ
クの合計入力伝送帯域値をＢ(d+1,i,k)、深さｄにある
ｉで識別されるゲート装置または通信装置の１つ上流に
あるｋで識別される通信装置の攻撃容疑トラヒックの伝
送帯域制限調整値をＳｓ’(d+1,i,k)とすると、

【数１２】 により算出されることを特徴とする。

【００１１】請求項４に記載の発明は、複数の通信装置
を網目状に接続してなるネットワークと、防御対象であ
るコンピュータおよびＬＡＮとの間に介挿されたゲート
装置において、入力される通信トラヒックをチェック
し、分散型サービス不能攻撃の攻撃容疑トラヒックを検
出するトラヒック監視手段と、当該ゲート装置における
前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲー
ト装置の１つ上流にある通信装置数とを基に、上流の前
記通信装置へ通知する前記トラヒック監視手段によって
検出された攻撃容疑トラヒックの伝送帯域制限値を算出
して上流の通信装置へ送信する帯域制限指示手段と、当
該ゲート装置における前記攻撃容疑トラヒックの伝送帯
域制限調整値と、前記上流の通信装置を介さずに当該ゲ
ート装置に入力される前記攻撃容疑トラヒックの伝送帯
域値と、前記上流の通信装置から受信した前記攻撃容疑
トラヒックの合計入力伝送帯域値とを基に、前記攻撃容
疑トラヒックの伝送帯域制限調整値を算出して前記上流
の通信装置へ送信する帯域制限調整手段と、を備えるこ
とを特徴とするゲート装置である。

【００１２】請求項５に記載の発明は、請求項４に記載
のゲート装置であって、前記帯域制限指示手段は、前記
伝送帯域制限値を、ゲート装置または通信装置がゲート
装置から何ホップ目に存在するかを示す階層の深さを
ｄ、同一の深さｄにおいてゲート装置または通信装置を
識別する番号をｉ、深さｄにあるｉで識別されるゲート
装置または通信装置の攻撃容疑パケットの伝送帯域制限
値をＳｓ(d,i)、深さｄにあるｉで識別されるゲート装
置または通信装置の１つ上流にある通信装置数をnu(d,
i)、深さｄにあるｉで識別されるゲート装置または通信
装置の１つ上流にある通信装置を識別するための番号を
ｋ、深さｄにあるｉで識別されるゲート装置または通信
装置の１つ上流にあるｋで識別される通信装置の攻撃容
疑トラヒックの伝送帯域制限値をＳｓ(d+1,i,k)とする
と、

【数１３】 により算出し、前記帯域制限調整手段は、前記伝送帯域
制限調整値を、ゲート装置または通信装置がゲート装置
から何ホップ目に存在するかを示す階層の深さをｄ、同
一の深さｄにおいてゲート装置または通信装置を識別す
る番号をｉ、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の攻撃容疑パケットの伝送帯域調整値をＳ
ｓ’(d,i)、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の攻撃容疑トラヒックの合計入力伝送帯域
値をＴ(d,i)、深さｄにあるｉで識別されるゲート装置
または通信装置の１つ上流にある通信装置を識別するた
めの番号をｋ、深さｄにあるｉで識別されるゲート装置
または通信装置の１つ上流にあるｋで識別される通信装
置から通知された攻撃容疑トラヒックの合計入力伝送帯
域値をＢ(d+1,i,k)、深さｄにあるｉで識別されるゲー
ト装置または通信装置の１つ上流にあるｋで識別される
通信装置の攻撃容疑トラヒックの伝送帯域制限調整値を
Ｓｓ’(d+1,i,k)とすると、

【数１４】 により算出することを特徴とする。

【００１３】請求項６に記載の発明は、防御対象である
コンピュータおよびＬＡＮを防御するゲート装置が接続
されたネットワークのノードを構成する通信装置におい
て、下流のゲート装置あるいは通信装置から攻撃容疑ト
ラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラ
ヒックの伝送帯域を前記伝送帯域制限値に制限する帯域
制御手段と、前記受信した伝送帯域制限値と、当該通信
装置の１つ上流にある通信装置数とを基に、上流の前記
通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域
制限値を算出して上流の通信装置へ送信する帯域制限指
示手段と、前記上流の通信装置を介さずに当該通信装置
に入力される前記攻撃容疑トラヒックの伝送帯域値と、
前記上流の通信装置から受信した前記攻撃容疑トラヒッ
クの合計入力伝送帯域値とを合計した当該通信装置にお
ける前記攻撃容疑トラヒックの合計入力伝送帯域値を前
記下流のゲート装置または通信装置に通知する帯域通知
手段と、前記下流のゲート装置あるいは通信装置から攻
撃容疑トラヒックの伝送帯域制限調整値を受信し、前記
攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整
値に制限する帯域制御調整手段と、前記上流の通信装置
から受信した前記攻撃容疑トラヒックの合計入力伝送帯
域値と、前記上流の通信装置を介さずに当該通信装置に
入力される攻撃容疑トラヒックの伝送帯域値と、前記受
信した伝送帯域調整値とを基に、上流の通信装置へ通知
する前記攻撃容疑トラヒックの伝送帯域制限調整値を算
出して、前記上流の通信装置へ送信する帯域制限調整手
段と、を備えることを特徴とする通信装置である。

【００１４】請求項７に記載の発明は、請求項６に記載
の通信装置であって、前記帯域制限指示手段は、前記伝
送帯域制限値を、ゲート装置または通信装置がゲート装
置から何ホップ目に存在するかを示す階層の深さをｄ、
同一の深さｄにおいてゲート装置または通信装置を識別
する番号をｉ、深さｄにあるｉで識別されるゲート装置
または通信装置の攻撃容疑パケットの伝送帯域制限値を
Ｓｓ(d,i)、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の１つ上流にある通信装置数をnu(d,i)、
深さｄにあるｉで識別されるゲート装置または通信装置
の１つ上流にある通信装置を識別するための番号をｋ、
深さｄにあるｉで識別されるゲート装置または通信装置
の１つ上流にあるｋで識別される通信装置の攻撃容疑ト
ラヒックの伝送帯域制限値をＳｓ(d+1,i,k)とすると、

【数１５】 により算出し、前記帯域制限調整手段は、前記伝送帯域
制限調整値を、ゲート装置または通信装置がゲート装置
から何ホップ目に存在するかを示す階層の深さをｄ、同
一の深さｄにおいてゲート装置または通信装置を識別す
る番号をｉ、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の攻撃容疑パケットの伝送帯域調整値をＳ
ｓ’(d,i)、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の攻撃容疑トラヒックの合計入力伝送帯域
値をＴ(d,i)、深さｄにあるｉで識別されるゲート装置
または通信装置の１つ上流にある通信装置を識別するた
めの番号をｋ、深さｄにあるｉで識別されるゲート装置
または通信装置の１つ上流にあるｋで識別される通信装
置から通知された攻撃容疑トラヒックの合計入力伝送帯
域値をＢ(d+1,i,k)、深さｄにあるｉで識別されるゲー
ト装置または通信装置の１つ上流にあるｋで識別される
通信装置の攻撃容疑トラヒックの伝送帯域制限調整値を
Ｓｓ’(d+1,i,k)とすると、

【数１６】 により算出することを特徴とする。

【００１５】請求項８に記載の発明は、複数の通信装置
を網目状に接続してなるネットワークと、防御対象であ
るコンピュータおよびＬＡＮとの間に介挿されたゲート
装置上で実行されるコンピュータプログラムであって、
入力される通信トラヒックをチェックし、分散型サービ
ス不能攻撃の攻撃容疑トラヒックを検出した場合に、当
該ゲート装置における前記攻撃容疑トラヒックの伝送帯
域制限値と、当該ゲート装置の１つ上流にある通信装置
数とを基に、上流の前記通信装置へ通知する前記攻撃容
疑トラヒックの伝送帯域制限値を算出して上流の通信装
置へ送信するステップと、前記上流の通信装置を介さず
に当該ゲート装置に入力される前記攻撃容疑トラヒック
の伝送帯域値と、前記上流の通信装置から受信した前記
攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前
記攻撃容疑トラヒックの伝送帯域制限調整値を算出して
前記上流の通信装置へ送信するステップと、をコンピュ
ータに実行させることを特徴とする分散型サービス不能
攻撃防止プログラムである。

【００１６】請求項９に記載の発明は、防御対象である
コンピュータおよびＬＡＮを防御するゲート装置が接続
されたネットワークのノードを構成する通信装置上で実
行されるコンピュータプログラムであって、下流のゲー
ト装置又は通信装置から攻撃容疑トラヒックの伝送帯域
制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を
前記伝送帯域制限値に制限するステップと、前記受信し
た伝送帯域制限値と、当該通信装置の１つ上流にある通
信装置数とを基に、上流の前記通信装置へ通知する前記
攻撃容疑トラヒックの伝送帯域制限値を算出して、上流
の通信装置へ送信するステップと、前記上流の通信装置
を介さずに当該通信装置に入力される攻撃容疑トラヒッ
クの伝送帯域値と、前記上流の通信装置から受信した合
計入力伝送帯域値とを合計した、当該通信装置における
前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下
流のゲート装置又は通信装置に送信するステップと、前
記下流のゲート装置又は通信装置から伝送帯域制限調整
値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記
伝送帯域制限調整値に制限するステップと、前記受信し
た伝送帯域制限調整値と、前記上流の通信装置を介さず
に当該通信装置に入力される前記攻撃容疑トラヒックの
伝送帯域値と、前記上流の通信装置から受信した前記攻
撃容疑トラヒックの合計入力伝送帯域値とを基に、上流
の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯
域制限調整値を算出して、前記１つ上流の通信装置へ送
信するステップと、をコンピュータに実行させることを
特徴とする分散型サービス不能攻撃防止プログラムであ
る。

【００１７】請求項１０に記載の発明は、請求項８また
は請求項９に記載の分散型サービス不能攻撃防止プログ
ラムであって、前記伝送帯域制限値は、ゲート装置また
は通信装置がゲート装置から何ホップ目に存在するかを
示す階層の深さをｄ、同一の深さｄにおいてゲート装置
または通信装置を識別する番号をｉ、深さｄにあるｉで
識別されるゲート装置または通信装置の攻撃容疑パケッ
トの伝送帯域制限値をＳｓ(d,i)、深さｄにあるｉで識
別されるゲート装置または通信装置の１つ上流にある通
信装置数をnu(d,i)、深さｄにあるｉで識別されるゲー
ト装置または通信装置の１つ上流にある通信装置を識別
するための番号をｋ、深さｄにあるｉで識別されるゲー
ト装置または通信装置の１つ上流にあるｋで識別される
通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ
(d+1,i,k)とすると、

【数１７】 により算出され、前記伝送帯域制限調整値は、ゲート装
置または通信装置がゲート装置から何ホップ目に存在す
るかを示す階層の深さをｄ、同一の深さｄにおいてゲー
ト装置または通信装置を識別する番号をｉ、深さｄにあ
るｉで識別されるゲート装置または通信装置の攻撃容疑
パケットの伝送帯域調整値をＳｓ’(d,i)、深さｄにあ
るｉで識別されるゲート装置または通信装置の攻撃容疑
トラヒックの合計入力伝送帯域値をＴ(d,i)、深さｄに
あるｉで識別されるゲート装置または通信装置の１つ上
流にある通信装置を識別するための番号をｋ、深さｄに
あるｉで識別されるゲート装置または通信装置の１つ上
流にあるｋで識別される通信装置から通知された攻撃容
疑トラヒックの合計入力伝送帯域値をＢ(d+1,i,k)、深
さｄにあるｉで識別されるゲート装置または通信装置の
１つ上流にあるｋで識別される通信装置の攻撃容疑トラ
ヒックの伝送帯域制限調整値をＳｓ’(d+1,i,k)とする
と、

【数１８】 により算出されることを特徴とする。

【００１８】請求項１１に記載の発明は、複数の通信装
置を網目状に接続してなるネットワークと、防御対象で
あるコンピュータおよびＬＡＮとの間に介挿されたゲー
ト装置上で実行されるコンピュータプログラムを記緑し
たコンピュータ読み取り可能な記録媒体であって、入力
される通信トラヒックをチェックし、分散型サービス不
能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲ
ート装置における前記攻撃容疑トラヒックの伝送帯域制
限値と、当該ゲート装置の１つ上流にある通信装置数と
を基に、上流の前記通信装置へ通知する前記攻撃容疑ト
ラヒックの伝送帯域制限値を算出して上流の通信装置へ
送信するステップと、前記上流の通信装置を介さずに当
該ゲート装置に入力される前記攻撃容疑トラヒックの伝
送帯域値と、前記上流の通信装置から受信した前記攻撃
容疑トラヒックの合計入力伝送帯域値とを基に、前記攻
撃容疑トラヒックの伝送帯域制限調整値を算出して前記
上流の通信装置へ送信するステップと、の各処理をコン
ピュータに実行させる分散型サービス不能攻撃防止プロ
グラムを記録することを特徴とする記録媒体である。

【００１９】請求項１２に記載の発明は、防御対象であ
るコンピュータおよびＬＡＮを防御するゲート装置が接
続されたネットワークのノードを構成する通信装置上で
実行されるコンピュータプログラムを記録したコンピュ
ータ読み取り可能な記録媒体であって、下流のゲート装
置又は通信装置から攻撃容疑トラヒックの伝送帯域制限
値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記
伝送帯域制限値に制限するステップと、前記受信した伝
送帯域制限値と、当該通信装置の１つ上流にある通信装
置数とを基に、上流の前記通信装置へ通知する前記攻撃
容疑トラヒックの伝送帯域制限値を算出して、上流の通
信装置へ送信するステップと、前記上流の通信装置を介
さずに当該通信装置に入力される攻撃容疑トラヒックの
伝送帯域値と、前記上流の通信装置から受信した合計入
力伝送帯域値とを合計した、当該通信装置における前記
攻撃容疑トラヒックの合計入力伝送帯域値を前記下流の
ゲート装置又は通信装置に送信するステップと、前記下
流のゲート装置又は通信装置から伝送帯域制限調整値を
受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送
帯域制限調整値に制限するステップと、前記受信した伝
送帯域制限調整値と、前記上流の通信装置を介さずに当
該通信装置に入力される前記攻撃容疑トラヒックの伝送
帯域値と、前記上流の通信装置から受信した前記攻撃容
疑トラヒックの合計入力伝送帯域値とを基に、上流の通
信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制
限調整値を算出して、前記１つ上流の通信装置へ送信す
るステップと、の各処理をコンピュータに実行させる分
散型サービス不能攻撃防止プログラムを記録することを
特徴とする記録媒体である。

【００２０】請求項１３に記載の発明は、請求項１１ま
たは請求項１２に記載の分散型サービス不能攻撃防止プ
ログラムを記録することを特徴とする記録媒体であっ
て、前記伝送帯域制限値は、ゲート装置または通信装置
がゲート装置から何ホップ目に存在するかを示す階層の
深さをｄ、同一の深さｄにおいてゲート装置または通信
装置を識別する番号をｉ、深さｄにあるｉで識別される
ゲート装置または通信装置の攻撃容疑パケットの伝送帯
域制限値をＳｓ(d,i)、深さｄにあるｉで識別されるゲ
ート装置または通信装置の１つ上流にある通信装置数を
nu(d,i)、深さｄにあるｉで識別されるゲート装置また
は通信装置の１つ上流にある通信装置を識別するための
番号をｋ、深さｄにあるｉで識別されるゲート装置また
は通信装置の１つ上流にあるｋで識別される通信装置の
攻撃容疑トラヒックの伝送帯域制限値をＳｓ(d+1,i,k)
とすると、

【数１９】 により算出され、前記伝送帯域制限調整値は、ゲート装
置または通信装置がゲート装置から何ホップ目に存在す
るかを示す階層の深さをｄ、同一の深さｄにおいてゲー
ト装置または通信装置を識別する番号をｉ、深さｄにあ
るｉで識別されるゲート装置または通信装置の攻撃容疑
パケットの伝送帯域調整値をＳｓ’(d,i)、深さｄにあ
るｉで識別されるゲート装置または通信装置の攻撃容疑
トラヒックの合計入力伝送帯域値をＴ(d,i)、深さｄに
あるｉで識別されるゲート装置または通信装置の１つ上
流にある通信装置を識別するための番号をｋ、深さｄに
あるｉで識別されるゲート装置または通信装置の１つ上
流にあるｋで識別される通信装置から通知された攻撃容
疑トラヒックの合計入力伝送帯域値をＢ(d+1,i,k)、深
さｄにあるｉで識別されるゲート装置または通信装置の
１つ上流にあるｋで識別される通信装置の攻撃容疑トラ
ヒックの伝送帯域制限調整値をＳｓ’(d+1,i,k)とする
と、

【数２０】 により算出されることを特徴とする。

【００２１】

【発明の実施の形態】以下図面を参照し、この発明の一
実施の形態について説明する。図１は、同実施の形態を
適用したネットワークの構成図である。この図におい
て、２０００はサーバ、２００１はこの発明の一実施形
態によるゲート装置（ゲートウェイ）、２００２〜２０
０６はこの発明の一実施形態による通信装置（ルー
タ）、２００７〜２０１１は端末装置、２０１２はこの
発明の技術を適用したものではない一般通信装置（ルー
タ）である。ＤＤｏＳ攻撃の被攻撃者のサーバ２０００
が収容されているＬＡＮ（ローカルエリアネットワー
ク）は、ゲート装置２００１によって外部のネットワー
クに接続されている。そして、ネットワークは通信装置
２００２、２００３、２００４、２００５、２００６及
び一般通信装置２０１２を有している。ＤＤｏＳ攻撃者
によって操作された端末装置２００７、２００８、２０
０９、２０１０が、攻撃パケットを被攻撃者のサーバ２
０００に向かって送信すると、攻撃パケットが被攻撃者
収容ＬＡＮに集中して混雑が発生することにより、ゲー
ト装置２００１の資源を消費してしまい、ＤＤｏＳ攻撃
者とは無関係な正規利用者の端末２０１１からサーバ２
０００に接続できなくなるという現象が起こる。

【００２２】ゲート装置２００１は、予めサーバ２００
０を保有する利用者が設定した攻撃容疑検出条件を記憶
している。図２に攻撃容疑検出条件の設定の例を示す。
さらに、ゲート装置２００１は、防御対象のサーバ２０
００及びサーバ２０００が収容されているＬＡＮの所有
者によって予め設定された伝送帯域制限値を記憶してい
る。

【００２３】図２における攻撃容疑検出条件は、検出属
性、検出閾値及び検出間隔の組からなる３組のレコード
で構成される。ここでは、番号はレコードを特定するた
めに便宜上使用される。攻撃容疑検出条件は、受信パケ
ットが攻撃パケットである可能性がある攻撃容疑パケッ
トを検出するために使用され、３組のレコードの内のい
ずれかのレコードの条件にトラヒックが一致した場合、
このトラヒックの通信パケットは攻撃容疑パケットであ
ると認識される。検出属性は、ＩＰパケットの第３／４
層属性種別とそれら属性値の組を指定するが、第３層属
性であるＩＰの「Destination IP Address（宛先ＩＰア
ドレス）」という属性種別は必ず指定される。図２にお
いて、番号１のレコードの検出属性は、「Destination
IP Address（宛先ＩＰアドレス）」が「192.168.1.1/3
2」であり（dst=192.168.1.1/32）、ＩＰの上位層（第
４層）のプロトコル種別を示す「Protocol（プロトコ
ル）」が「ＴＣＰ」であり（Protocol=TCP）、かつ、第
４層プロトコルがどのアプリケーションの情報かを示す
「Destination Port（宛先ポート番号）」が「８０」で
ある（Port=80）という属性種別とそれら属性値の組で
指定される。番号２のレコード検出属性は、「Destinat
ion IP Address（宛先ＩＰアドレス）」が「192.168.1.
2/32」であり（dst=192.168.1.2/32）、かつ、「Protoc
ol（プロトコル）」が「ＵＤＰ（User Datagram protoc
ol）」である（Protocol=UDP）という属性種別とそれら
属性値の組で指定される。また、番号３のレコード検出
属性は、「Destination IP Address（宛先ＩＰアドレ
ス）」が「192.168.1.0/24」である属性種別とその属性
値で指定される。検出閾値は、同じレコードで指定され
る検出属性を持つ受信パケットのトラヒックを攻撃容疑
トラヒックとして検出するための最低の伝送帯域を、検
出間隔は同じく最低の連続時間を示している。

【００２４】また、ゲート装置２００１及び通信装置２
００２〜２００６は、攻撃容疑パケットのトラヒックを
分析し、不正トラヒックを検出するための不正トラヒッ
ク検出条件を保有する。図３に不正トラヒック検出条件
の設定の例を示す。ここでは、番号はレコードを特定す
るために便宜上使用される。不正トラヒック条件は、既
知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成
され、攻撃容疑パケットのトラヒックがいずれかのトラ
ヒックパターンに合致した場合に、不正トラヒックであ
ると認識される。図３の番号１の不正トラヒック条件
は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以
上連続送信されている」というトラヒックパターンを示
している。また、番号２の不正トラヒック条件は、「伝
送帯域Ｔ２Ｋｂｐｓ以上、第３層プロトコルであるＩＣ
ＭＰ（Internet Control Message Protocol）上のエコ
ー応答（Echo Reply）メッセージのパケットがＳ２秒以
上連続送信されている」というトラヒックパターンを示
している。番号３の不正トラヒック条件は、「伝送帯域
Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含
まれるデータは複数ＩＰパケットに分割して送信してい
ることを示すフラグメントパケットがＳ３秒以上連続送
信されている」というトラヒックパターンを示してい
る。

【００２５】ここで、ゲート装置２００１及び通信装置
２００２〜２００６が備える帯域制御モデルを説明す
る。図４は本実施の形態におけるゲート装置２００１及
び通信装置２００２〜２００６が備える帯域制御モデル
を示す。帯域制御モデルは、入力パケットをクラス別に
分類し、このクラスに従ってパケットの出力帯域制御を
実現するためのモデルを示す。フィルタ２０２１は、入
力されたパケットを正規クラス２０２２、容疑クラス２
０２６、不正クラス２０２４の３つのクラスに分類す
る。なお、このフィルタ２０２１の分類アルゴリズムは
後述する。正規クラス２０２２はデフォルトクラスであ
り、正規クラス２０２２に分類されたパケットは正規キ
ュー２０２３につながれ、伝送帯域を制限せずに出力さ
れる。容疑クラス２０２６に分類されたパケットは、容
疑パケットか否かを判断するための防御対象のサーバ２
０００及びサーバ２０００が収容されているＬＡＮ毎に
発生する容疑キュー２０２７につながれ、防御対象のサ
ーバ２０００及びサーバ２０００が収容されているＬＡ
Ｎの所有者によって予め設定された伝送帯域制限値に出
力伝送帯域が制限される。なお、容疑シグネチャの生成
については後述する。サーバ２０００を収容しているゲ
ート装置２００１の容疑キューの伝送帯域制限値は防御
対象のサーバ２０００及びサーバ２０００が収容されて
いるＬＡＮの所有者によって予め設定された伝送帯域制
限値を使用するが、上流の通信装置２００２〜２００６
では、下流の通信装置から受信した伝送帯域制限値を使
用する。不正クラス２０２４に分類されたパケットは、
不正キュー２０２５につながれ、サーバ所有者やネット
ワークのポリシーに関わらず、０または０に近い伝送帯
域に制限される。

【００２６】続いて、ゲート装置２００１及び通信装置
２００２〜２００６が伝送帯域制限を実行するための、
フィルタ２０２１の分類アルゴリズムについて説明す
る。ゲート装置２００１及び通信装置２００２〜２００
６は、当該通信装置に入力される全ての通信パケットを
この分類アルゴリズムで分類する。図５はフィルタ２０
２１における分類アルゴリズムを示す。まず、ステップ
Ｓ３００３において、フィルタ２０２１は、入力された
パケットが不正シグネチャと合致するか判断する。不正
シグネチャに合致した場合、パケットは不正クラス２０
２４に分類される（ステップＳ３００４）。不正シグネ
チャに合致しなかった場合は、ステップＳ３００５に進
み、パケットが容疑シグネチャであるか判断し、容疑シ
グネチャに合致すれば容疑クラス２０２６へ分類され
（ステップＳ３００６）、合致しない場合には正規クラ
ス２０２２へ分類される（ステップＳ３００７）。この
ようにして各クラスに分類されたパケットは、正規キュ
ーであれば伝送帯域を制限せずに出力され、容疑キュー
及び不正キューであればそれぞれの伝送帯域制限値に従
って伝送帯域が制限されて出力される。なお、容疑シグ
ネチャ及び不正シグネチャの生成については後述する。

【００２７】次に、ＤＤｏＳ攻撃に対する対策方式の処
理手順を示す。まず、図６のゲート装置２００１の攻撃
容疑パケット検出時の動作を示すフローチャート、図８
の通信装置２００２、２００３の伝送帯域制限指示受信
時の動作を示すフローチャート及び図９のゲート装置２
００１及び通信装置２００２〜２００６の不正トラヒッ
ク検出時の動作を示すフローチャートを用いてＤＤｏＳ
攻撃発生と同時に初期の伝送帯域制限を実施する処理手
順を説明する。

【００２８】図６のステップＳ３０１１において、ゲー
ト装置２００１は、攻撃容疑検出条件（図２）に従っ
て、検出間隔で指定されているより長い時間連続して、
検出閾値で指定されている以上の伝送帯域を使用してい
る、検出属性に合致するトラヒックをチェックし、３組
のレコードの内のいずれかのレコードに合致した場合、
このトラヒックを攻撃容疑トラヒックとして検出する。
すると、ステップＳ３０１２において、この検出された
攻撃容疑トラヒックが満たしている攻撃容疑検出条件の
レコードの検出属性を、容疑シグネチャとして生成す
る。容疑シグネチャは、攻撃容疑トラヒックの通信パケ
ット、すなわち攻撃容疑パケットを識別するために用い
られる。例えば、図２の設定例を用いて説明すると、番
号１のレコードの条件で検出されるパケットの容疑シグ
ネチャは{dst=192.168.1.1/32, Protocol=TCP, Port=8
0}となる。

【００２９】次いで、ステップＳ３０１３において、ゲ
ート装置２００１は、ステップＳ３０１２において生成
した容疑シグネチャをフィルタ２０２１に登録する。次
に、防御対象のサーバ２０００及びサーバ２０００が収
容されているＬＡＮの所有者によって予め設定された伝
送帯域制限値に攻撃容疑トラヒックの伝送帯域を制限す
るための容疑キュー２０２７を生成する。なお、同一防
御対象に関する容疑キューが既に生成済みの場合は、新
たな容疑キューの生成は行わない。これにより、以後、
図４に示す帯域制御モデルと図５に示すフィルタ２０２
１の分類アルゴリズムに従って、容疑シグネチャに合致
する攻撃容疑パケットの伝送帯域の制限が実行される。

【００３０】そして、ゲート装置２００１は、ステップ
Ｓ３０１４において、容疑シグネチャと算出した攻撃容
疑パケットの伝送帯域制限値とを含んだ伝送帯域制限指
示を１つ上流にある通信装置２００２、２００３に送信
する。ここで、伝送帯域制限値の算出方法を説明する。
なお、本明細書においては、ゲート装置あるいは通信装
置を識別するための添え字を持つ

【数２１】 などの変数を便宜上Ｓｓ(d+1,i,k)、Ｓｓ(d,i)、nu(d,
i)のように記述する。ネットワークにおいて、ゲート装
置２００１の存在する階層を初期値０として通信装置が
ゲート装置２００１から何ホップ目に存在するかを示す
階層の深さをｄ、同一の深さｄにおいてゲート装置また
は通信装置を識別する番号をｉ、深さｄにあるｉで識別
される通信装置の攻撃容疑パケットの伝送帯域制限値を
Ｓｓ(d,i)、深さｄにあるｉで識別されるゲート装置ま
たは通信装置の１つ上流（すなわち深さｄ＋１）にある
通信装置数をnu(d,i)、深さｄにあるｉで識別されるゲ
ート装置または通信装置の１つ上流（深さｄ＋１）にあ
る通信装置を識別するための番号をｋ、深さｄにあるｉ
で識別されるゲート装置または通信装置の１つ上流（深
さｄ＋１）にあるｋで識別される通信装置の攻撃容疑ト
ラヒックの伝送帯域制限値をＳｓ(d+1,i,k)とする。こ
のとき、伝送帯域制限値は、以下の式で算出される。

【数２２】 よって、ゲート装置２００１は、上記の式により、通信
装置２００２、２００３に指示する伝送帯域制限値を算
出する。これは、ゲート装置２００１は、自身が持つ伝
送帯域制限値を１つ上流の通信装置全てに均等に割り当
てることを示す。図７は図１の構成における伝送帯域制
限値の算出の例を示す図である。この図において、ゲー
ト装置２００１は深さｄ＝０であり、この深さｄ＝０に
は１つの装置のみが存在するためゲート装置２００１の
ｉは１である。ゲート装置２００１の伝送帯域制限値の
初期値Ｓｓ(0,1)は、攻撃容疑トラヒックを検出したと
きのレコードに対応した伝送帯域制限値である。ここで
は例として、伝送帯域制限値が８００ｋｂｐｓであった
とする。そして、ゲート装置２００１には２つの１つ上
流の通信装置２００２、２００３が存在するため、１つ
上流の通信装置数nu(0,1)は２である。よって、ゲート
装置２００１には、１番目の１つ上流の通信装置２００
２の伝送帯域制限値Ｓｓ(1,1,1)及び２番目の１つ上流
の通信装置２００３の伝送帯域制限値Ｓｓ(1,1,2)は、
Ｓｓ(0,1)＝８００ｋｂｐｓをnu(0,1)＝２で除算した４
００ｋｂｐｓとなる。

【００３１】次に、伝送帯域制限指示受信時の通信装置
２００２、２００３の動作を説明する。図８のステップ
Ｓ３０２１において、通信装置２００２、２００３は、
ゲート装置２００１が送信した（ステップＳ３０１４）
伝送帯域制限指示を受信する。次に、ステップＳ３０２
２に進み、通信装置２００２、２００３は、受信した伝
送帯域制限指示に含まれる容疑シグネチャをフィルタ２
０２１に登録し、容疑シグネチャ及び攻撃容疑パケット
の伝送帯域制限値に対応した容疑キュー２０２７を生成
する。これにより、以後、図４に示す帯域制御モデルと
図５に示すフィルタ２０２１の分類アルゴリズムに従っ
て容疑シグネチャに合致する攻撃容疑パケットの伝送帯
域の制限が実行される。

【００３２】通信装置２００２はステップＳ３０２３に
おいて、その上流にある通信装置２００４に、通信装置
２００３はその上流にある通信装置２００５及び２００
６に、受信した容疑シグネチャと、受信した伝送帯域制
限値から算出した伝送帯域制限値とを含んだ伝送帯域制
限指示を送信する。このときの算出方法は、ゲート装置
２００１のステップＳ３００３と同様である。すなわ
ち、通信装置２００２、２００３は、ゲート装置２００
１から受信した伝送帯域制限値を１つ上流の通信装置全
てに均等に割り当てる。図７を用いて説明すると、通信
装置２００２、２００３の深さｄは１であり、この深さ
ｄ＝１には２つの通信装置が存在し、その１番目の通信
装置２００２のｉは１、２番目の通信装置２００３のｉ
は２である。通信装置２００２の伝送帯域制限値Ｓｓ
(1,1)及び通信装置２００３の伝送帯域制限値Ｓｓ(1,2)
は、それぞれゲート装置２００１から受信した伝送帯域
制限値Ｓｓ(1,1,1)、Ｓｓ(1,1,2)であり、すなわち４０
０ｋｂｐｓである。そして、通信装置２００２には１つ
の上流の通信装置２００４が存在するため、１つ上流の
通信装置数nu(1,1)は１である。よって、通信装置２０
０４の伝送帯域制限値Ｓｓ(2,1,1)は、Ｓｓ(1,1)＝４０
０ｋｂｐｓをnu(1,1)＝１で除算した４００ｋｂｐｓと
なる。一方、通信装置２００３には２つの上流の通信装
置２００５、２００６が存在するため１つ上流の通信装
置数nu(1,2)は２である。よって、通信装置２００５の
伝送帯域制限値Ｓｓ(2,2,1)及び通信装置２００６の伝
送帯域制限値Ｓｓ(2,2,2)は、Ｓｓ(1,2)＝４００ｋｂｐ
ｓをnu(1,2)＝２で除算した２００ｋｂｐｓとなる。

【００３３】そして、通信装置２００４は通信装置２０
０２から、通信装置２００５、２００６は通信装置２０
０３から伝送帯域制限指示を受信し、通信装置２００
２、２００３におけるステップＳ３０２１〜Ｓ３０２２
と同様に動作する。通信装置２００４〜２００６は、ル
ーチングテーブルなどにより上流に通信装置がないと判
断できるため、ステップＳ３０２３は実行しない。

【００３４】次に、ゲート装置２００１及び通信装置２
００２〜２００６の不正トラヒック検出時の動作を説明
する。図９のステップＳ３０３１において、ゲート装置
２００１及び通信装置２００２〜２００６は、ＤＤｏＳ
攻撃者がパケットを送出しているネットワークを特定す
るため入力パケットを分析して、不正トラヒック条件の
いずれかのパターンに合致するトラヒックを検出する。
すると、ゲート装置２００１及び通信装置２００２〜２
００６は、ステップＳ３０３２において、この検出され
た不正トラヒック条件を満たすパケットの送信元ＩＰア
ドレスを不正アドレス範囲として特定し、この不正アド
レス範囲であり、かつ、容疑シグネチャに合致するとい
う条件を不正シグネチャとする。そして、ゲート装置２
００１及び通信装置２００２〜２００６は、ステップＳ
３０３３においてこの不正シグネチャをフィルタ２０２
１に登録する。これにより、以後、図４に示す帯域制御
モデルと図５に示すフィルタ２０２１の分類アルゴリズ
ムに従って不正シグネチャで識別される攻撃パケットの
伝送帯域はさらに制限される。すなわち、攻撃パケット
は不正クラス２０２４に分類され、正規利用者からのパ
ケットである正規パケットのみが攻撃容疑パケットとし
て容疑クラス２０２６に分類される。

【００３５】以上説明した初期の伝送帯域制限を実施す
ることにより、早期にネットワークの伝送帯域の溢れを
防いだ後、攻撃容疑パケットの入力トラヒックに応じ
て、伝送帯域制限値の調整を実施する処理手順を説明す
る。図１０はゲート装置２００１及び通信装置２００２
〜２００６の伝送帯域制限値の調整の動作を示すフロー
チャートである。

【００３６】ステップＳ３０４１において、最上流の通
信装置２００４〜２００６は、攻撃容疑パケットの伝送
帯域制限開始後一定時間、攻撃容疑パケットの入力トラ
ヒックを計測する。次に、ステップＳ３０４２に進み、
通信装置２００４〜２００６は、この計測した攻撃容疑
パケットの入力トラヒックである入力伝送帯域値を１つ
上流の通信装置へ、すなわち、通信装置２００４は通信
装置２００２へ、通信装置２００５、２００６は通信装
置２００３へ通知する。例えば、図１１の図１の構成に
おける伝送帯域調整値の算出の例を用いて説明すると、
端末装置２００７、２００８から併せて２０００ｋｂｐ
ｓの攻撃容疑パケットの入力トラヒックがあった場合
は、通信装置２００４は通信装置２００２に入力伝送帯
域値２０００ｋｂｐｓを、端末装置２０１０から２００
０ｋｂｐｓ、端末装置２０１１から３０００ｋｂｐｓの
攻撃容疑パケットの入力トラヒックがあった場合は、通
信装置２００５は入力伝送帯域値２０００ｋｂｐｓを、
通信装置２００６は入力伝送帯域値３０００ｋｂｐｓを
通信装置２００３に通知する。

【００３７】次に、図１０のステップＳ３０５１におい
て、通信装置２００２、２００３は、１つ上流の全ての
通信装置から攻撃容疑パケットの入力伝送帯域値の通知
を受信する。すると、ステップＳ３０５２に進み、通信
装置２００２は上流の通信装置２００４以外から、通信
装置２００３は上流の通信装置２００５、２００６以外
から当該通信装置に直接入力される攻撃容疑トラヒック
があればこれを計測する。例えば、通信装置２００２
は、一般通信装置２０１２からの攻撃容疑トラヒックを
計測する。そしてステップＳ３０５３において、通信装
置２００２、２００３は、ステップＳ３０５１で全ての
上流の通信装置から受信した攻撃容疑パケットの入力伝
送帯域値と、ステップＳ３０５２で計測した当該通信装
置における攻撃容疑パケットの直接入力伝送帯域値とを
加算して、当該通信装置における攻撃容疑パケットの合
計入力伝送帯域値を１つ下流の通信装置、すなわちゲー
ト装置２００１に通知する。図１１の例を用いて説明す
る。端末装置２００９は、一般ルータ２０１２に１００
０ｋｂｐｓの攻撃容疑パケットを送信しており、一般ル
ータ２０１２は、この攻撃容疑パケットを通信装置２０
０２に送出している。通信装置２００２は、上流の通信
装置２００４から受信した攻撃容疑パケットの入力伝送
帯域値２０００ｋｂｐｓと一般通信装置２０１２から直
接入力される攻撃容疑トラヒック１０００ｋｂｐｓを合
計した３０００ｋｂｐｓをゲート装置２００１に通知
し、通信装置２００３は、上流の通信装置２００５、２
００６から受信した攻撃容疑パケットの入力伝送帯域値
を合計した５０００ｋｂｐｓをゲート装置２００１に通
知する。

【００３８】すると、図１０のステップＳ３０６１にお
いて、ゲート装置２００１は、１つ上流の全ての通信装
置、すなわち、通信装置２００２、２００３から攻撃容
疑パケットの合計入力伝送帯域値の通知を受ける。する
と、ステップＳ３０６２に進み、ゲート装置２００１は
上流の通信装置２００２、２００３以外から直接入力さ
れる攻撃容疑トラヒックがあればこれを計測する。ステ
ップＳ３０６３において、ステップＳ３０６１で全ての
上流の通信装置２００２、２００３から受信した攻撃容
疑パケットの合計入力伝送帯域値と、ステップＳ３０６
２で計測した当該通信装置における攻撃容疑パケットの
直接入力トラヒックとを加算し、ゲート装置２００１に
おける攻撃容疑パケットの合計入力伝送帯域値を算出す
る。そして、この算出した合計入力伝送帯域値を基に算
出した攻撃容疑パケットの伝送帯域制限調整値を含んだ
伝送帯域制限調整指示を、上流の通信装置２００２、２
００３に送信する。ここで、伝送帯域制限調整値の算出
方法を説明する。なお、本明細書においては、ゲート装
置あるいは通信装置を識別するための添え字を持つ

【数２３】 などの変数を便宜上Ｓｓ’(d+1,i,k)、Ｂ(d+1,i,k)、Ｔ
(d,i)、Ｓｓ’(d,i)のように記述する。ネットワークに
おいて、ゲート装置２００１の存在する階層を初期値０
として通信装置がゲート装置２００１から何ホップ目に
存在するかを示す階層の深さをｄ、同一の深さｄにおい
て通信装置を識別する番号をｉ、深さｄにあるｉで識別
されるゲート装置または通信装置の攻撃容疑パケットの
伝送帯域調整値をＳｓ’(d,i)、深さｄにあるｉで識別
されるゲート装置または通信装置の攻撃容疑トラヒック
の合計入力伝送帯域値をＴ(d,i)、深さｄにあるｉで識
別されるゲート装置または通信装置の１つ上流（深さｄ
＋１）にある通信装置を識別するための番号をｋ、深さ
ｄにあるｉで識別されるゲート装置または通信装置の１
つ上流（深さｄ＋１）にあるｋで識別される通信装置か
ら通知された攻撃容疑トラヒックの合計入力伝送帯域値
をＢ(d+1,i,k)、そして、深さｄにあるｉで識別される
ゲート装置または通信装置の１つ上流（深さｄ＋１）に
あるｋで識別される通信装置の攻撃容疑トラヒックの伝
送帯域制限調整値をＳｓ’(d+1,i,k)とする。このと
き、伝送帯域制限調整値は、以下の式で算出される。

【数２４】 よって、ゲート装置２００１は、上記の式により、通信
装置２００２、２００３に指示する伝送帯域制限調整値
を算出する。これは、当該通信装置における合計攻撃容
疑トラヒック量に占める１つ上流の通信装置における合
計攻撃容疑トラヒック量の比率に従って、その１つ上流
の通信装置の攻撃容疑トラヒックの伝送帯域を調整する
ことを示している。ただし、ゲート装置２００１の伝送
帯域制限調整値の初期値Ｓｓ’(0,1)は伝送帯域制限値
の初期値Ｓｓ(0,1)と同じである。図１１の送帯域制限
調整調整値の算出の例を用いて説明する。ゲート装置２
００１の合計入力伝送帯域値Ｔ(0,1)は、通信装置２０
０２の合計入力伝送帯域値Ｂ(1,1,1)＝３０００ｋｂｐ
ｓと通信装置２００３の合計入力伝送帯域値Ｂ(1,1,2)
＝５０００ｋｂｐｓとの合計値８０００ｋｂｐｓであ
る。また、伝送帯域制限調整値の初期値Ｓｓ’(0,1)＝
Ｓｓ(0,1)であるため、図７の例より、Ｓｓ’(0,1)は８
００ｂｋｐｓとなる。よって、通信装置２００２伝送帯
域制限調整値Ｓｓ’(1,1,1)は、通信装置２００２の合
計入力伝送帯域値Ｂ(1,1,1)＝３０００ｋｂｐｓをゲー
ト装置２００１の合計入力伝送帯域値Ｔ(0,1)＝８００
０ｋｂｐｓで除算し、ゲート装置２００１の伝送帯域制
限調整値Ｓｓ’(0,1)＝８００ｋｂｐｓを乗算した３０
０ｋｂｐｓとなり、一方、通信装置２００３の伝送帯域
制限調整値Ｓｓ’(1,1,2)は、通信装置２００３の合計
入力伝送帯域値Ｂ(1,1,2)＝５０００ｋｂｐｓをゲート
装置２００１の合計入力伝送帯域値Ｔ(0,1)＝８０００
ｋｂｐｓで除算し、ゲート装置２００１の伝送帯域制限
調整値Ｓｓ’(0,1)＝８００ｋｂｐｓを乗算した５００
ｋｂｐｓとなる。

【００３９】図１０のステップＳ３０５４において、通
信装置２００２、２００３は、ゲート装置２００１から
伝送帯域制限調整指示を受信する。すると、ステップＳ
３０５５において、通信装置２００２、２００３は、容
疑キュー２０２７の伝送帯域制限値を受信した伝送帯域
制限調整指示に含まれる伝送帯域制限調整値に変更し、
攻撃容疑パケットの伝送帯域を制限する。次いで、ステ
ップＳ３０５６に進み、ステップＳ３０５１で通信装置
２００２は通信装置２００４から、通信装置２００３は
通信装置２００５、２００６から受信した入力伝送帯域
値、ステップＳ３０５２で計測した当該通信装置に直接
入力される伝送帯域値及びステップＳ３０５３でゲート
装置２００１から受信した伝送帯域制限調整値を基に算
出した攻撃容疑パケットの伝送帯域制限調整値を含んだ
伝送帯域制限調整指示を算出する。そして、この算出し
た伝送帯域制限値を含んだ伝送帯域調整指示を通信装置
２００２は通信装置２００４に、通信装置２００３は通
信装置２００５、２００６に送信する。このときの算出
方法は、ゲート装置２００１のステップＳ３０６３と同
様である。

【００４０】例えば、図１１の例を用いて説明すると、
通信装置２００２の伝送帯域制限調整値Ｓｓ’(1,1)
は、ゲート装置２００１から受信した伝送帯域制限調整
値Ｓｓ’(1,1,1)である３００ｋｂｐｓ、同様に通信装
置２００３の伝送帯域制限調整値Ｓｓ’(1,2)は、ゲー
ト装置２００１から受信した伝送帯域制限調整値Ｓｓ’
(1,1,2)である５００ｋｂｐｓとなる。そして、通信装
置２００２における合計入力伝送帯域値Ｔ(1,1)は、通
信装置２００４の合計入力伝送帯域値Ｂ(2,1,1)＝２０
００ｋｂｐｓと直接入力の１０００ｋｂｐｓとの合計値
３０００ｋｂｐｓである。よって、通信装置２００４の
伝送帯域制限調整値Ｓｓ’(2,1,1)は、通信装置２００
４の合計入力伝送帯域値Ｂ(2,1,1)＝２０００ｋｂｐｓ
を通信装置２００２における合計入力伝送帯域値Ｔ(1,
1)＝３０００ｋｂｐｓで除算し、通信装置２００２の伝
送帯域制限調整値Ｓｓ’(1,1)＝３００ｋｂｐｓを乗算
した、２００ｋｂｐｓとなる。また、通信装置２００３
における合計入力伝送帯域値Ｔ(1,2)は、通信装置２０
０５の合計入力伝送帯域値Ｂ(2,2,1)＝２０００ｋｂｐ
ｓと通信装置２００６の合計入力伝送帯域値Ｂ(2,2,2)
＝３０００ｋｂｐｓとの合計値５０００ｋｂｐｓである
ため、２００５の伝送帯域制限調整値Ｓｓ’(2,2,1)
は、通信装置２００４の伝送帯域制限調整値はＢ(2,2,
1)＝２０００ｋｂｐｓを合計入力伝送帯域値Ｔ(1,2)＝
５０００ｋｂｐｓで除算し、通信装置２００３の伝送帯
域制限調整値Ｓｓ’(1,2)＝５００ｋｂｐｓを乗算した
２００ｋｂｐｓとなり、２００６の伝送帯域制限調整値
Ｓｓ’(2,2,2)は、通信装置２００６の伝送帯域制限調
整値はＢ(2,2,2)＝３０００ｋｂｐｓを通信装置２００
３における合計入力伝送帯域値Ｔ(1,2)＝５０００ｋｂ
ｐｓで除算し、通信装置２００３の伝送帯域制限調整値
Ｓｓ’(1,2)＝５００ｋｂｐｓを乗算した、３００ｋｂ
ｐｓとなる。

【００４１】通信装置２００４〜２００６は、ステップ
Ｓ３０４３において通信装置２００２、２００３から伝
送帯域制限調整指示を受信する。すると、ステップＳ３
０４４において、通信装置２００２、２００３は、容疑
キュー２０２７の伝送帯域制限値を受信した伝送帯域制
限調整値に変更し、攻撃容疑パケットの伝送帯域を制限
する。

【００４２】この後、通信装置２００２、２００３はス
テップＳ３０５７において、あるいは、通信装置２００
４〜２００６は、ステップＳ３０４５において、上記の
伝送帯域制限調整から一定時間した、あるいは、受信す
る攻撃容疑パケットの伝送帯域が伝送帯域調整前と調整
後である一定の割合変化した、などのトリガを監視し、
これを検出すると、当該通信装置に直接入力される攻撃
容疑トラヒックを計測し（ステップＳ３０４１、Ｓ３０
５２）、下流の通信装置へ合計入力伝送帯域値を送信し
て（ステップＳ３０４２、Ｓ３０５３）、再び伝送帯域
調整の処理の起動を繰り返す。ここでは、このトリガ条
件に合致した通信装置だけが最下流の通信装置まで攻撃
容疑パケットの入力伝送帯域値を通知し、トリガ条件に
合致しなかった通信装置については、最初の伝送帯域調
整手順で通知された入力伝送帯域値を使用する。なお、
トリガ条件に合致した通信装置がその上流に位置する通
信装置に再調整の開始を要求することで、トリガ条件に
合致した通信装置の最上流の通信装置までの全ての通信
装置が一斉に再調整を開始する第二の方法をとってもよ
い。

【００４３】ところで、以上説明した動作は、以下に記
述するアクティブネットワーク上で実行される。

【００４４】以下、図面を参照しこの発明の一実施形態
を実行できるアクティブネットワークについて説明す
る。図１２は、本実施形態が前提とするネットワークの
構成である。図１２に示すように、通信ネットワーク
は、複数の通信装置７００１によって接続されている。
そして、通信装置７００１には１台または複数台のユー
ザのコンピュータ７０００を接続することができるよう
になっている。ユーザのコンピュータ７０００相互間で
通信データのやりとりを行う際には、送信元のユーザの
コンピュータ７０００が送信したパケットを通信ネット
ワーク上の各ノードに位置する通信装置７００１が順次
転送することにより、そのパケットを宛先のユーザのコ
ンピュータ７０００に届けるようにする。

【００４５】次に、通信装置の構成について説明する。
図１３は、通信装置７００１の内部の構成を示すブロッ
ク図である。図１３に示すように、通信装置７００１に
は通信線７０２４ａ、７０２４ｂ、７０２４ｃ、７０２
４ｄが接続されており、通信装置７００１はこれらの通
信線を介して隣接する他の通信装置との間でパケットを
交換することができるようになっている。また、通信装
置７００１には、上記の各通信線７０２４ａ〜７０２４
ｄに対応したインタフェース部７０２３ａ〜７０２３ｄ
と、パケットを転送する処理を行うための転送処理部７
０２１と、パケットの転送の際の転送先の情報を記憶す
る転送先テーブル７０２２と、アクティブパケットに対
する処理を行うためのアクティブネットワーク実行環境
（ActiveNetwork Execution Environment）７０１０と
が設けられている。なお、アクティブネットワーク実行
環境７０１０は、内部に、アクティブコード（プログラ
ム）を実行するためのコード実行部７０１１と、アクテ
ィブコードを記憶しておくためのコード記憶部７０１２
とを備えている。なお、ここでアクティブコードとは、
アクティブネットワークにおいてパケットに対する作用
を行うコンピュータプログラムのコードである。

【００４６】ここで、図１３を参照しながら、この通信
装置７００１の動作例の概要を説明する。隣接する他の
通信装置から通信線７０２４ｄを介してパケットが到着
すると、インタフェース部７０２３ｄがそのパケットを
受信し転送処理部７０２１に渡す。転送処理部７０２１
は、渡されたパケットのヘッダ部分に格納されている送
信元（source）アドレスと宛先（destination）アドレ
スとを読み取り、さらにそれらのアドレスをキーとして
転送先テーブル記憶部７０２２に記憶されている転送先
テーブルを参照することによって、そのパケットにどう
対処するかを決定する。

【００４７】パケットへの対処は大きく２通りに分けら
れる。そのパケットに対してアクティブコードを適用す
る場合と、そのパケットをそのまま他の通信装置に転送
する場合とである。転送先テーブルを参照した結果、そ
のパケットに対してアクティブコードを適用すべきもの
である場合には、転送処理部７０２１は、そのパケット
をアクティブネットワーク実行環境７０１０に渡す。ア
クティブネットワーク実行環境７０１０においては、コ
ード実行部７０１１がそのパケットを受け取り、そのパ
ケットに対して適用すべきアクティブコードをコード記
憶部７０１２から読み出して実行する。なお、コード実
行部７０１１は、アクティブコードを実行した結果、必
要な場合には処理対象となったパケットを再び転送処理
部７０２１に渡して他の通信装置に対して転送すること
もある。転送先テーブルを参照した結果、そのパケット
にアクティブコードを適用せずそのまま他の転送装置に
転送するべきものである場合には、転送処理部７０２１
は、適切な転送先に対応したインタフェース部（７０２
３ａや７０２３ｂや７０２３ｃなど）に渡し、そのイン
タフェース部が通信線（７０２４ａや７０２４ｂや７０
２４ｃなど）を介してパケットを他の通信装置に転送す
る。

【００４８】なお、ここでは通信線７０２４ｄを介して
他の通信装置からパケットが到着した場合を例として説
明したが、他の通信線を介してパケットが到着した場合
の処理も同様である。

【００４９】次に、通信装置７００１内の転送処理部７
０２１がいかにしてパケットに対する処置（アクティブ
コードを適用するか、単純に他の通信装置に転送する
か）を決定するかを具体的に説明する。

【００５０】本実施形態が基礎とするフレームワークで
は、アクティブネットワーク実行環境はパケットの中に
おいて指定されているＩＰアドレスに基づいて起動され
る。ここで、全ての（グローバル）ＩＰアドレスの集合
をＩと表わすものとする。また、送信元ＩＰアドレスが
ｓであり宛先ＩＰアドレスがｄであるようなパケットを
（ｓ，ｄ）と表わすものとする。また、通信装置のアク
ティブネットワーク実行環境に格納されているすべての
アクティブコードはそれぞれ特定のユーザに属するもの
とし、ある特定のユーザの所有するＩＰアドレスの集合
をＯと表わすものとする。

【００５１】本フレームワークでは、上記特定のユーザ
に属する個々のアクティブコードは、次に示す式による
集合Ａで表されるパケットであって、かつ当該アクティ
ブネットワーク実行環境を備えた通信装置（ノード）に
よって受信されたパケットに対してアクセスする権限を
持つ。すなわち、 Ａ＝｛（ｓ，ｄ）∈［（Ｏ×Ｉ）∪（Ｉ×Ｏ）］｜ｓ≠
ｄ｝ である。つまり、この式が意味するところの概略は、特
定のユーザに属するアクティブコードは、当該ユーザが
所有する全てのＩＰアドレスのいずれかを送信元または
宛先のアドレスとするようなパケットに対してアクセス
権を有するということである。

【００５２】当該ユーザに属するｎ個のアクティブコー
ドがある通信装置（ノード）に格納されているとき、ｉ
番目（１≦ｉ≦ｎ）のアクティブコードは、集合Ｃ
（ｉ）（Ｃ（ｉ）⊆Ａ）に属するパケットをキャプチャ
ーして処理することをアクティブネットワーク実行環境
に対して予め要求しておく。つまり、当該ユーザに関し
て、アクティブネットワーク実行環境は、ｃ（１）∪ｃ
（２）∪・・・・・・∪ｃ（ｎ）なる和集合の要素であ
るパケット（ｓ，ｄ）によって起動されるものであり、
このようなパケットを「アクティブパケット」と呼ぶこ
とができる。

【００５３】図１４は、図１３に示した転送先テーブル
記憶部７０２２に記憶されている転送先テーブルの一例
を示す概略図である。上記のフレームワークを実現する
ために必要な情報は、このような転送先テーブルに格納
することが可能である。

【００５４】図１４に示すように、転送先テーブルは、
タイプ（Type）と宛先アドレス（Destination）と送信
元アドレス（Source）と転送先（Send to）の各項目を
含んでいる。タイプの項目は、テーブルのエントリーの
タイプを表わすものであり、「アクティブ（Active）」
あるいは「通常（Regular）」のいずれかの値をとる。
宛先アドレスおよび送信元アドレスの項目は、転送対象
のパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレ
スにそれぞれ対応するものである。転送先の項目はは、
宛先アドレスと送信元アドレスの組み合せがマッチした
パケットに関して、適用すべきアクティブコードの識別
情報あるいは転送先の通信装置のＩＰアドレスを表わす
ものである。

【００５５】タイプの値が「アクティブ」であるエント
リーは、対象のパケットに適用するアクティブコードを
指定するものであり、その転送先の項目にはアクティブ
コードを識別する情報が書かれている。タイプの値が
「通常」であるエントリーは、対象のパケットの転送先
の通信装置のアドレスを指定するものであり、その転送
先の項目には転送先の通信装置のＩＰアドレスが書かれ
ている。

【００５６】図１４に示す転送先テーブルの例におい
て、第１のエントリーでは、タイプが「アクティブ」で
あり、宛先アドレスが「１．２．３．４」であり、送信
元アドレスが「Ａｎｙ（何でもよい）」であり、転送先
が「アクティブコードＡ」となっている。これは、送信
元アドレスがいかなるアドレスであっても、宛先アドレ
スが「１．２．３．４」にマッチする場合には、該当す
るパケットをトリガーとしてアクティブネットワーク実
行環境が起動され、アクティブコードＡが実行されるこ
とを表わしている。また、第２のエントリーでは、タイ
プが「アクティブ」であり、宛先アドレスが「１０．５
０．０．０」であり、送信元アドレスが「１１．１２．
１３．１４」であり、転送先が「アクティブコードＢ」
となっている。これは、宛先アドレスと送信元アドレス
の両方がそれぞれ上記の値にマッチした場合には、該当
するパケットをトリガーとしてアクティブネットワーク
実行環境が起動され、アクティブコードＢが実行される
ことを表わしている。また、第３のエントリーでは、タ
イプが「アクティブ」であり、宛先アドレスが「Ａｎｙ
（何でもよい）」であり、送信元アドレスが「１５７．
２．３．０」であり、転送先が「アクティブコードＣ」
となっている。これは、宛先アドレスがいかなるアドレ
スであっても、送信元アドレスが「１５７．２．３．
０」にマッチする場合には該当するパケットをトリガー
としてアクティブネットワーク実行環境が起動され、ア
クティブコードＣが実行されることを表している。

【００５７】なお、図１４に示すように、転送先テーブ
ルにおいては、タイプが「アクティブ」であるエントリ
ーのほうが、タイプが「通常」であるエントリーよりも
上に存在している。そして、タイプが「アクティブ」で
あるエントリーのほうが、タイプが「通常」であるエン
トリーよりも優先的に適用される。また、各エントリー
は、通信装置へ到着したパケットのみに対して適用さ
れ、転送のために送出されるパケットに対しては適用さ
れない。

【００５８】以上説明した通信装置の構成をまとめる。
図１３に示したインタフェース部は、通信線毎に設けら
れており、当該通信線から到着するパケットを受信する
とともに当該通信線に対してパケットを送出する処理を
行う。また、転送先テーブル記憶部は、パケットの送信
元アドレスまたは宛先アドレスまたはそれら両方のアド
レスのパターンと、該パターンに対応するプログラム
（アクティブコード）の情報あるいは該パターンに対応
する転送先アドレスの情報とが登録された転送先テーブ
ルを記憶する。また、アクティブネットワーク実行環境
は、前記プログラムを予め記憶しているとともに、この
プログラムを実行する。また、転送処理部は、通信線か
ら到着した受信パケットを前記インタフェース部から渡
された際に、当該受信パケットの送信元アドレスまたは
宛先アドレスに基づいて前記転送先テーブルを参照し、
前記転送先テーブルに当該受信パケットのアドレスのパ
ターンに対応する転送先アドレスの情報が登録されてい
た場合には当該受信パケットを所定の転送先アドレスに
向けて送出するように当該転送先アドレスに対応したイ
ンタフェース部に渡すとともに、前記転送先テーブルに
当該受信パケットのアドレスのパターンに対応するプロ
グラムの情報が登録されていた場合には前記アクティブ
ネットワーク実行環境部において当該プログラムを起動
させるとともに当該プログラムに当該受信パケットを渡
す。

【００５９】次に、本実施形態におけるアクティブコー
ドのセキュリティに関するモデルについて説明する。こ
のセキュリティのモデルは、各々のアクティブコード
が、アクティブコードの所有者に関わるパケットのみに
対して作用することを保証するためのものである。その
ために、このセキュリティのモデルは、公開鍵のインフ
ラストラクチャの存在を前提として、それを利用するこ
ととする。

【００６０】図１５は、上記のセキュリティモデルとそ
のモデルにおける処理の手順を示す概略図である。図１
５において、符号７０５１はユーザＡのユーザ端末装
置、７０６１は認証局（Certification Authority ）装
置である。この認証局の機能は、公の機関によって提供
されるものであっても良いし、あるいはＩＳＰ（Intern
et Service Provider,インターネット接続サービス提供
者）などによって提供されるものであっても良い。な
お、図１５に示す例では、ユーザ端末装置７０５１のＩ
Ｐアドレスは「１．２．３．４」である。以下では、ユ
ーザＡが、アクティブコードＡを通信装置７００１に登
録するための処理の手順を説明する。なお、以下におい
て、ユーザＡはアクティブコードＡの開発者であっても
良いが、その必然性はなく、他の開発者が開発したアク
ティブコードＡをユーザＡが入手し、それを通信装置７
００１に登録するものでも良い。

【００６１】まず（１）で示すように、ユーザＡのユー
ザ端末装置７０５１は、周知技術を用いて鍵のペアすな
わち公開鍵と秘密鍵とを生成する。そして（２）で示す
ように、ユーザ端末装置７０５１は、上で生成された公
開鍵を認証局装置７０６１に登録する。このとき、認証
局装置７０６１は、ユーザ端末装置７０５１のＩＰアド
レスを検証する。この検証が正しく行なわれると、公開
鍵そのものと、ユーザＡを識別するための情報と、ユー
ザ端末装置７０５１のＩＰアドレス「１．２．３．４」
が認証局装置７０６１に記憶される。

【００６２】次に（３）で示すように、ユーザ端末装置
７０５１は、上で生成された秘密鍵を用いてアクティブ
コードＡに電子署名する処理を行う。そして（４）で示
すように、ユーザ端末装置７０５１は、秘密鍵で署名さ
れたアクティブコードＡを通信装置７００１に登録する
処理を行う。

【００６３】これを受けて通信装置７００１は、（５）
で示すように、アクティブコードＡの登録を行ったユー
ザＡの電子証明書を認証局装置７０６１から取得する。
この電子証明書には、ユーザＡを識別する情報と、その
ＩＰアドレス「１．２．３．４」と、上の（２）におい
て登録された公開鍵そのものとが含まれている。そして
（６）で示すように、通信装置７００１は、上記の電子
証明書から取り出したユーザＡの公開鍵を用いて、上の
（４）において登録されたアクティブコードＡの電子署
名を検証する。そして、これが正しく検証された場合に
は、通信装置７００１は、アクティブコードＡをアクテ
ィブネットワーク実行環境に導入する処理を行う。ま
た、これに応じて、転送先テーブルに必要なエントリー
が追加される。

【００６４】なお、この（１）および（２）の処理が行
われて一旦ユーザＡの公開鍵が認証局装置７０６１に登
録されると、ユーザ端末装置７０５１はその公開鍵に対
応する秘密鍵を用いてアクティブモジュールをいくつで
も通信装置７００１に登録することも可能である。

【００６５】つまり、通信装置７００１は登録部（図示
せず）を備えており、この登録部は、ユーザの端末装置
から当該ユーザの秘密鍵で電子署名されたプログラムを
受信し、当該ユーザの電子証明書を認証局装置から受信
し、受信した電子証明書に含まれる当該ユーザの公開鍵
を用いて前記電子署名されたプログラムの検証を行い、
この検証が成功した場合には当該プログラムに対応する
アドレスのパターンと当該プログラムの情報とを前記転
送先テーブルに登録し、この検証が失敗した場合には当
該プログラムの情報の前記転送先テーブルへの登録は行
わないようにするものである。

【００６６】なお、上で説明した通信装置へのアクティ
ブコードの登録の手順が有効に機能するためには、次の
２点が前提となる。第１の前提として、ユーザがどの通
信装置（ノード）にアクティブコードを登録すれば良い
かは事前にわかっている。あるいは、どの通信装置（ノ
ード）にアクティブコードを登録すればよいかがわかる
ためのディレクトリサービスが提供されている。第２の
前提として、通信装置（ノード）は、目的の認証局の公
開鍵を事前にオフラインで取得しているか、他の認証局
から取得するか、あるいは他の何らかの手段で取得でき
る。

【００６７】次に、矛盾の解消のための制御について説
明する。ある通信装置（ノード）において、ｎ個のアク
ティブコードが登録されており、ｉ番目（１≦ｉ≦ｎ）
とｊ番目（１≦ｊ≦ｎ）のアクティブコードが、それぞ
れ集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）と集合Ｃ（ｊ）（Ｃ
（ｊ）⊆Ａ）に属するパケットに対するものであると定
義されているとき、集合（ｃ（ｉ）∩ｃ（ｊ））が空集
合ではないようなｉおよびｊの組み合せ（但しｉ≠ｊ）
が存在する場合があり得る。つまり、あるパケットがｉ
番目のアクティブコードにもｊ番目のアクティブコード
にも適用されるような定義が行われている場合である。
このような矛盾は、次の２通りのシナリオのいずれかに
よって解消することとする。

【００６８】第１の矛盾の解消のシナリオは、パケット
（ｓ，ｄ）に関して、 （ｓ∈Ｏ（ｋ）Λｄ∈Ｏ（ｌ））Λ（ｋ≠ｌ） であるために、 （ｓ，ｄ）∈ｃ（ｉ）∩ｃ（ｊ） となる場合に関するものである。但し、Ｏ（ｋ）および
Ｏ（ｌ）は、それぞれユーザｋおよびｌによって所有さ
れるＩＰアドレスの集合である。つまり、あるパケット
に関して、送信元のユーザ用のアクティブコードと宛先
のユーザ用のアクティブコードとの両方が通信装置に登
録されており、そのような通信装置にこのパケット
（ｓ，ｄ）が到着した場合である。このような場合に
は、宛先のユーザのアクティブコードを優先的に適用す
ることが望ましいと考えられる。

【００６９】つまり、転送先テーブルに登録されている
パターンに、送信元アドレスのみが指定されていて宛先
アドレスが何でもよいとされている第１のエントリー
と、宛先アドレスのみが指定されていて送信元アドレス
が何でもよいとされている第２のエントリーとが含まれ
ており、受信パケットがこれら第１のエントリーと第２
のエントリーとの両方にマッチしたときには、第１のエ
ントリーよりも第２のエントリーを優先させて、当該第
２のエントリーのパターンに対応するプログラムを起動
するようにする。

【００７０】このように、送信元のユーザのアクティブ
コードよりも宛先のユーザのアクティブコードを優先さ
せることは、アクティブネットワークの機能を用いてＤ
ＤｏＳ（分散型ＤｏＳ，Distributed Denial of Servic
e ）攻撃を防御するメカニズムを構築する場合に特に重
要となる。そのようにすることによって、宛先のユーザ
つまり被攻撃者となり得る者のアクティブコードが、攻
撃者となる可能性があるもののアクティブコードよりも
優先されるためである。

【００７１】第２の矛盾の解消のシナリオは、あるパケ
ット（ｓ，ｄ）に関して適用されるべき２つ以上のアク
ティブコードが同一のユーザによって登録されている場
合に関するものである。このような場合には、該当する
アクティブコードのうちの最も古く登録されたものが、
他のものよりも優先的に適用されるようにすることが望
ましいと考えられる。こうすることにより、ユーザが新
しいアクティブコードを登録しようとする際には、新し
いアクティブコードを有効にするために事前に古いアク
ティブコードを削除することが保証されるからである。

【００７２】次に、これまでに述べたようなアクティブ
ネットワークのノードとして機能する通信装置のインプ
リメンテーションの例について説明する。図１６は、Ｌ
ｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶ
Ｍ）を用いてアクティブパケットの処理を行う通信装置
を実現した場合の概略図である。

【００７３】図１６に示す例では、専用のＩＰスタック
を処理（process）の一部として構築している。これに
よって、図１４に示したような転送先テーブルを実現
し、実行環境（アクティブネットワーク実行環境）から
この転送先テーブルにエントリーの追加や削除を行える
ようにしている。また、これに伴い、カーネル（kerne
l）内のＩＰスタックは不要となるため、カーネルにお
けるルーティングを不活性化している。そして、到着パ
ケットのコピーがデータリンク部分から作成され、その
パケットがライブラリｌｉｂｐｃａｐを通してＪａｖａ
（登録商標）仮想マシンで補足できるようにしている。

【００７４】処理の一部として構築した専用のＩＰスタ
ックは、アクティブパケット、つまり転送先テーブル上
での所定の定義にマッチするＩＰアドレス（宛先ＩＰア
ドレス、送信元ＩＰアドレス、あるいはそれらの組み合
せ）を有するパケットは、実行環境上で起動されるアク
ティブコードに対して渡される。一方、アクティブパケ
ット以外の通常のパケットは、カーネルにおけるＩＰス
タックと同様の方法で隣接する通信装置等へ向けた転送
が行われる。アクティブパケットであれ通常パケットで
あれ、この通信装置から送出されるすべてのパケット
は、ライブラリｌｉｂｎｅｔを通して送出される。こう
することにより、各々処理されたパケットのヘッダに記
録された送信元アドレスは、元々の送信元アドレスのま
まの状態で、ネットワークに送出されることとなる。

【００７５】また、標準のＪａｖａ（登録商標）のＡＰ
Ｉ（アプリケーションプログラムインタフェース）であ
る「java.security 」を用いることによってセキュリテ
ィモデルをインプリメンテーションすることが可能であ
る。この標準ＡＰＩは、セキュリティモデルを構築する
ために必要な機能のほとんどを提供している。また、証
明書のための形式としては「Ｘ．５０９」証明書形式を
用いることが可能であり、アクティブコードの所有者の
ＩＰアドレスを「Ｘ．５０９」の識別名（ＤＮ, distin
guished name）の一部に含めることにより、本実施形態
のセキュリティモデルを実現することができる。

【００７６】なお、言うまでもなく、上記インプリメン
テーションではコンピュータシステムを用いることによ
ってアクティブネットワーク実行環境を備えた通信装置
を構築している。そして、上述した一連の処理、すなわ
ち到着パケットの複製の作成とその捕捉や、転送先テー
ブルを参照しながらのアクティブパケットおよび通常パ
ケットの転送の処理や、アクティブネットワーク実行環
境上でのアクティブコードの起動とその処理の実行や、
処理されたパケットのネットワークへの送出などの各処
理の過程は、プログラムの形式でコンピュータ読み取り
可能な記録媒体に記憶されており、このプログラムをコ
ンピュータが読み出して実行することによって、上記処
理が行われる。

【００７７】なお、上述した各コンピュータプログラム
は、コンピュータ読取可能な記録媒体に記録されてお
り、通信装置等に搭載されたＣＰＵ（中央処理装置）が
この記録媒体からコンピュータプログラムを読み取っ
て、攻撃防御あるいはサービスモジュール提供等のため
の各処理を実行する。また、「コンピュータ読み取り可
能な記録媒体」とは、磁気ディスク、光磁気ディスク、
ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシス
テムに内蔵されるハードディスク等の記憶装置のことを
いう。さらに「コンピュータ読み取り可能な記録媒体」
とは、インターネット等のネットワークや電話回線等の
通信回線を介してプログラムが送信された場合のサーバ
やクライアントとなるコンピュータシステム内部の揮発
性メモリ（ＲＡＭ）のように、一定時間プログラムを保
持しているものも含むものとする。

【００７８】また、上記プログラムは、このプログラム
を記憶装置等に格納したコンピュータシステムから、伝
送媒体を介して、あるいは、伝送媒体中の伝送波により
他のコンピュータシステムに伝送されても良い。ここ
で、プログラムを伝送する「伝送媒体」は、インターネ
ット等のネットワーク（通信網）や電話回線等の通信回
線（通信線）のように情報を伝送する機能を有する媒体
のことをいう。

【００７９】また、上記プログラムは、前述した機能の
一部を実現するためのものであっても良い。さらに、前
述した機能をコンピュータシステムに既に記録されてい
るプログラムとの組み合わせで実現できるもの、いわゆ
る差分ファイル（差分プログラム）であっても良い。

【００８０】また、下流のゲート装置または通信装置か
ら上流の通信装置へのデータの送信は、アクティブネッ
トワークの使用に限定するものではなく、任意の通信プ
ロトコルの使用が可能である。

【００８１】また、ゲート装置及び通信装置はゲートウ
ェイやルータに限られるものではなく、ブリッジ、イー
サネット（登録商標）、インタフェース変換装置など、
ＩＰアドレスを持つ任意の通信ノードであっても良い。

【００８２】以上、図面を参照してこの発明の実施形態
を詳述してきたが、具体的な構成はこれらの実施形態に
限られるものではなく、この発明の要旨を逸脱しない範
囲の設計等も含まれる。

【００８３】

【発明の効果】以上説明したように、ＤＤｏＳ攻撃の被
攻撃者の通信装置がＤＤｏＳ攻撃の攻撃の容疑トラヒッ
クを検出すると、初期の伝送帯域制御により、その上流
の各通信装置で攻撃容疑トラヒックの伝送帯域を制限す
ることが可能になるため、早期にネットワークの輻輳を
改善することが可能となり、ＤＤｏＳ被攻撃者のサービ
スの停止を抑止することが可能になるとともに、正規利
用者からの通信パケットの割合を増加させることが可能
になる。

【００８４】また、初期の伝送帯域制御による攻撃容疑
パケットの帯域制限後は、各通信装置の攻撃容疑パケッ
トの入力伝送帯域に応じて伝送帯域制限値が調整するこ
とが可能になるため、伝送帯域をネットワーク上の各通
信装置に有効に分配することが可能となり、攻撃容疑パ
ケットとして分類された正規パケットの伝送帯域を増加
させ、正規ユーザのサービス性の低下を段階的に改善す
ることが可能になる。

【図面の簡単な説明】

【図１】 本発明の実施の形態を適用できるネットワー
クの構成図である。

【図２】 同実施の形態による攻撃容疑検出条件の設定
の例である。

【図３】 同実施の形態による不正トラヒック検出条件
の設定の例である。

【図４】 同実施の形態によるゲート装置２００１及び
通信装置２００２〜２００６が備える帯域制御モデルで
ある。

【図５】 同実施の形態によるフィルタ２０２１におけ
る分類アルゴリズムである。

【図６】 同実施の形態によるゲート装置２００１の攻
撃容疑パケット検出時の動作を示すフローチャートであ
る。

【図７】 同実施の形態による図１の構成における伝送
帯域制限値の算出の例である。

【図８】 同実施の形態による通信装置２００２、２０
０３の伝送帯域制限指示受信時の動作を示すフローチャ
ートである。

【図９】 同実施の形態によるゲート装置２００１及び
通信装置２００２〜２００６の不正トラヒック検出時の
動作を示すフローチャートである。

【図１０】 同実施の形態によるゲート装置２００１及
び通信装置２００２〜２００６の伝送帯域制限値の調整
の動作を示すフローチャートである。

【図１１】 同実施の形態による図１の構成における伝
送帯域制限調整値の算出の例である。

【図１２】 同実施の形態を実行できるアクティブネッ
トワークが前提とするネットワークの構成である。

【図１３】 同実施の形態を実行できるアクティブネッ
トワークによる通信装置内部の構成を示すブロック図で
ある。

【図１４】 同実施の形態を実行できるアクティブネッ
トワークによる転送先テーブル記憶部に記憶されている
転送先テーブルの一例を示す概略図である。

【図１５】 同実施の形態を実行できるアクティブネッ
トワークによるセキュリティモデルとそのモデルにおけ
る処理の手順を示す概略図である。

【図１６】 同実施の形態を実行できるアクティブネッ
トワークの通信装置をＬｉｎｕｘ上のＪａｖａ（登録商
標）仮想マシン（ＪＶＭ）を用いてアクティブパケット
の処理を行うように実現した場合の概略図である。

【符号の説明】

２０００…サーバ ２００１…ゲート装置 ２００２〜２００６…通信装置 ２００７〜２０１１…端末装置 ２０１２…一般通信装置 ２０２１…フィルタ ２０２２…正規クラス ２０２３…正規キュー ２０２４…不正クラス ２０２５…不正キュー ２０２６…容疑クラス ２０２７…容疑キュー ７０００…ユーザのコンピュータ ７００１…通信装置 ７０１０…アクティブネットワーク実行環境 ７０１１…コード実行部 ７０１２…コード記憶部 ７０２１…転送処理部 ７０２２…転送先テーブル記憶部 ７０２３ａ、７０２３ｂ…インタフェース部 ７０２４ａ、７０２４ｂ…通信線 ７０５１…ユーザ端末装置 ７０６１…認証局装置

───────────────────────────────────────────────────── フロントページの続き (72)発明者 エリック・チェン 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5B089 GA04 GA31 JB16 5K030 GA13 HB19 HD03 JA07 LC11 LC18 MB09

Claims (13)

【特許請求の範囲】
1. 【請求項１】 複数の通信装置を網目状に接続してなる
   ネットワークと、防御対象であるコンピュータおよびＬ
   ＡＮと、前記ＬＡＮおよびネットワークの間に介挿され
   たゲート装置とを有するネットワークシステムにおい
   て、 前記ゲート装置は、 入力される通信トラヒックから攻撃容疑トラヒックを検
   出した場合に、当該ゲート装置における前記攻撃容疑ト
   ラヒックの伝送帯域制限値と、当該ゲート装置の１つ上
   流にある通信装置数とを基に、上流の前記通信装置へ通
   知する前記攻撃容疑トラヒックの伝送帯域制限値を算出
   して上流の前記通信装置へ送信する処理を行い、 前記通信装置は、 前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置
   または通信装置から受信した前記伝送帯域制限値に制限
   すると共に、前記受信した伝送帯域制限値と、当該通信
   装置の１つ上流にある通信装置数とを基に、上流の前記
   通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域
   制限値を算出して上流の通信装置へ送信する処理を行
   い、 前記攻撃容疑パケット送出元の最上流の前記通信装置に
   達するまで再帰的に、前記攻撃容疑パケットの伝送帯域
   の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送
   信との処理を行い、 前記最上流の通信装置は、 当該通信装置に入力される前記攻撃容疑トラヒックの合
   計入力伝送帯域値を下流の通信装置へ送信する処理を行
   い、 前記合計入力伝送帯域値を受信した下流の通信装置は、 上流の前記通信装置を介さずに当該通信装置に入力され
   る前記攻撃容疑トラヒックの伝送帯域値と、受信した前
   記攻撃容疑トラヒックの合計入力伝送帯域値とを合計し
   た、当該通信装置における前記攻撃容疑トラヒックの合
   計入力伝送帯域値を下流の通信装置または前記ゲート装
   置へ送信し、 前記ゲート装置に達するまで再帰的に前記攻撃容疑トラ
   ヒックの合計入力伝送帯域値の送信する処理を行い、 前記ゲート装置は、 当該ゲート装置における前記攻撃容疑トラヒックの伝送
   帯域制限調整値と、前記上流の通信装置を介さずに当該
   ゲート装置に入力される前記攻撃容疑トラヒックの伝送
   帯域値と、前記上流の通信装置から受信した前記攻撃容
   疑トラヒックの合計入力伝送帯域値とを基に、上流の通
   信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制
   限調整値を算出して前記上流の通信装置へ送信する処理
   を行い、 前記通信装置は、 前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置
   または通信装置から受信した前記伝送帯域制限調整値に
   制限すると共に、前記受信した伝送帯域制限調整値と、
   前記上流の通信装置を介さずに当該通信装置に入力され
   る前記攻撃容疑トラヒックの伝送帯域値と、前記上流の
   通信装置から受信した前記攻撃容疑トラヒックの合計入
   力伝送帯域値とを基に、上流の通信装置へ通知する前記
   攻撃容疑トラヒックの伝送帯域制限調整値を算出して前
   記上流の通信装置へ送信する処理とを行い、 前記攻撃容疑パケット送出元の最上流の前記通信装置に
   達するまで再帰的に、伝送帯域制限調整値に前記攻撃容
   疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラ
   ヒックの伝送帯域制限調整値の送信との処理を行う、 ことを特徴とする分散型サービス不能攻撃防止方法。
2. 【請求項２】 前記伝送帯域制限値は、ゲート装置また
   は通信装置がゲート装置から何ホップ目に存在するかを
   示す階層の深さをｄ、同一の深さｄにおいてゲート装置
   または通信装置を識別する番号をｉ、深さｄにあるｉで
   識別されるゲート装置または通信装置の攻撃容疑パケッ
   トの伝送帯域制限値をＳｓ(d,i)、深さｄにあるｉで識
   別されるゲート装置または通信装置の１つ上流にある通
   信装置数をnu(d,i)、深さｄにあるｉで識別されるゲー
   ト装置または通信装置の１つ上流にある通信装置を識別
   するための番号をｋ、深さｄにあるｉで識別されるゲー
   ト装置または通信装置の１つ上流にあるｋで識別される
   通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ
   (d+1,i,k)とすると、 【数１】 により算出されることを特徴とする請求項１に記載の分
   散型サービス不能攻撃防止方法。
3. 【請求項３】 前記伝送帯域制限調整値は、ゲート装置
   または通信装置がゲート装置から何ホップ目に存在する
   かを示す階層の深さをｄ、同一の深さｄにおいてゲート
   装置または通信装置を識別する番号をｉ、深さｄにある
   ｉで識別されるゲート装置または通信装置の攻撃容疑パ
   ケットの伝送帯域調整値をＳｓ’(d,i)、深さｄにある
   ｉで識別されるゲート装置または通信装置の攻撃容疑ト
   ラヒックの合計入力伝送帯域値をＴ(d,i)、深さｄにあ
   るｉで識別されるゲート装置または通信装置の１つ上流
   にある通信装置を識別するための番号をｋ、深さｄにあ
   るｉで識別されるゲート装置または通信装置の１つ上流
   にあるｋで識別される通信装置から通知された攻撃容疑
   トラヒックの合計入力伝送帯域値をＢ(d+1,i,k)、深さ
   ｄにあるｉで識別されるゲート装置または通信装置の１
   つ上流にあるｋで識別される通信装置の攻撃容疑トラヒ
   ックの伝送帯域制限調整値をＳｓ’(d+1,i,k)とする
   と、 【数２】 により算出されることを特徴とする請求項１または請求
   項２に記載の分散型サービス不能攻撃防止方法。
4. 【請求項４】 複数の通信装置を網目状に接続してなる
   ネットワークと、防御対象であるコンピュータおよびＬ
   ＡＮとの間に介挿されたゲート装置において、 入力される通信トラヒックをチェックし、分散型サービ
   ス不能攻撃の攻撃容疑トラヒックを検出するトラヒック
   監視手段と、 当該ゲート装置における前記攻撃容疑トラヒックの伝送
   帯域制限値と、当該ゲート装置の１つ上流にある通信装
   置数とを基に、上流の前記通信装置へ通知する前記トラ
   ヒック監視手段によって検出された攻撃容疑トラヒック
   の伝送帯域制限値を算出して上流の通信装置へ送信する
   帯域制限指示手段と、 当該ゲート装置における前記攻撃容疑トラヒックの伝送
   帯域制限調整値と、前記上流の通信装置を介さずに当該
   ゲート装置に入力される前記攻撃容疑トラヒックの伝送
   帯域値と、前記上流の通信装置から受信した前記攻撃容
   疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃
   容疑トラヒックの伝送帯域制限調整値を算出して前記上
   流の通信装置へ送信する帯域制限調整手段と、 を備えることを特徴とするゲート装置。
5. 【請求項５】 前記帯域制限指示手段は、前記伝送帯域
   制限値を、ゲート装置または通信装置がゲート装置から
   何ホップ目に存在するかを示す階層の深さをｄ、同一の
   深さｄにおいてゲート装置または通信装置を識別する番
   号をｉ、深さｄにあるｉで識別されるゲート装置または
   通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ
   (d,i)、深さｄにあるｉで識別されるゲート装置または
   通信装置の１つ上流にある通信装置数をnu(d,i)、深さ
   ｄにあるｉで識別されるゲート装置または通信装置の１
   つ上流にある通信装置を識別するための番号をｋ、深さ
   ｄにあるｉで識別されるゲート装置または通信装置の１
   つ上流にあるｋで識別される通信装置の攻撃容疑トラヒ
   ックの伝送帯域制限値をＳｓ(d+1,i,k)とすると、 【数３】 により算出し、 前記帯域制限調整手段は、前記伝送帯域制限調整値を、
   ゲート装置または通信装置がゲート装置から何ホップ目
   に存在するかを示す階層の深さをｄ、同一の深さｄにお
   いてゲート装置または通信装置を識別する番号をｉ、深
   さｄにあるｉで識別されるゲート装置または通信装置の
   攻撃容疑パケットの伝送帯域調整値をＳｓ’(d,i)、深
   さｄにあるｉで識別されるゲート装置または通信装置の
   攻撃容疑トラヒックの合計入力伝送帯域値をＴ(d,i)、
   深さｄにあるｉで識別されるゲート装置または通信装置
   の１つ上流にある通信装置を識別するための番号をｋ、
   深さｄにあるｉで識別されるゲート装置または通信装置
   の１つ上流にあるｋで識別される通信装置から通知され
   た攻撃容疑トラヒックの合計入力伝送帯域値をＢ(d+1,
   i,k)、深さｄにあるｉで識別されるゲート装置または通
   信装置の１つ上流にあるｋで識別される通信装置の攻撃
   容疑トラヒックの伝送帯域制限調整値をＳｓ’(d+1,i,
   k)とすると、 【数４】 により算出することを特徴とする請求項４に記載のゲー
   ト装置。
6. 【請求項６】 防御対象であるコンピュータおよびＬＡ
   Ｎを防御するゲート装置が接続されたネットワークのノ
   ードを構成する通信装置において、 下流のゲート装置あるいは通信装置から攻撃容疑トラヒ
   ックの伝送帯域制限値を受信し、前記攻撃容疑トラヒッ
   クの伝送帯域を前記伝送帯域制限値に制限する帯域制御
   手段と、 前記受信した伝送帯域制限値と、当該通信装置の１つ上
   流にある通信装置数とを基に、上流の前記通信装置へ通
   知する前記攻撃容疑トラヒックの伝送帯域制限値を算出
   して上流の通信装置へ送信する帯域制限指示手段と、 前記上流の通信装置を介さずに当該通信装置に入力され
   る前記攻撃容疑トラヒックの伝送帯域値と、前記上流の
   通信装置から受信した前記攻撃容疑トラヒックの合計入
   力伝送帯域値とを合計した当該通信装置における前記攻
   撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲ
   ート装置または通信装置に通知する帯域通知手段と、 前記下流のゲート装置あるいは通信装置から攻撃容疑ト
   ラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑
   トラヒックの伝送帯域を前記伝送帯域制限調整値に制限
   する帯域制御調整手段と、 前記上流の通信装置から受信した前記攻撃容疑トラヒッ
   クの合計入力伝送帯域値と、前記上流の通信装置を介さ
   ずに当該通信装置に入力される攻撃容疑トラヒックの伝
   送帯域値と、前記受信した伝送帯域調整値とを基に、上
   流の通信装置へ通知する前記攻撃容疑トラヒックの伝送
   帯域制限調整値を算出して、前記上流の通信装置へ送信
   する帯域制限調整手段と、 を備えることを特徴とする通信装置。
7. 【請求項７】 前記帯域制限指示手段は、前記伝送帯域
   制限値を、ゲート装置または通信装置がゲート装置から
   何ホップ目に存在するかを示す階層の深さをｄ、同一の
   深さｄにおいてゲート装置または通信装置を識別する番
   号をｉ、深さｄにあるｉで識別されるゲート装置または
   通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ
   (d,i)、深さｄにあるｉで識別されるゲート装置または
   通信装置の１つ上流にある通信装置数をnu(d,i)、深さ
   ｄにあるｉで識別されるゲート装置または通信装置の１
   つ上流にある通信装置を識別するための番号をｋ、深さ
   ｄにあるｉで識別されるゲート装置または通信装置の１
   つ上流にあるｋで識別される通信装置の攻撃容疑トラヒ
   ックの伝送帯域制限値をＳｓ(d+1,i,k)とすると、 【数５】 により算出し、 前記帯域制限調整手段は、前記伝送帯域制限調整値を、
   ゲート装置または通信装置がゲート装置から何ホップ目
   に存在するかを示す階層の深さをｄ、同一の深さｄにお
   いてゲート装置または通信装置を識別する番号をｉ、深
   さｄにあるｉで識別されるゲート装置または通信装置の
   攻撃容疑パケットの伝送帯域調整値をＳｓ’(d,i)、深
   さｄにあるｉで識別されるゲート装置または通信装置の
   攻撃容疑トラヒックの合計入力伝送帯域値をＴ(d,i)、
   深さｄにあるｉで識別されるゲート装置または通信装置
   の１つ上流にある通信装置を識別するための番号をｋ、
   深さｄにあるｉで識別されるゲート装置または通信装置
   の１つ上流にあるｋで識別される通信装置から通知され
   た攻撃容疑トラヒックの合計入力伝送帯域値をＢ(d+1,
   i,k)、深さｄにあるｉで識別されるゲート装置または通
   信装置の１つ上流にあるｋで識別される通信装置の攻撃
   容疑トラヒックの伝送帯域制限調整値をＳｓ’(d+1,i,
   k)とすると、 【数６】 により算出することを特徴とする請求項６に記載の通信
   装置。
8. 【請求項８】 複数の通信装置を網目状に接続してなる
   ネットワークと、防御対象であるコンピュータおよびＬ
   ＡＮとの間に介挿されたゲート装置上で実行されるコン
   ピュータプログラムであって、 入力される通信トラヒックをチェックし、分散型サービ
   ス不能攻撃の攻撃容疑トラヒックを検出した場合に、当
   該ゲート装置における前記攻撃容疑トラヒックの伝送帯
   域制限値と、当該ゲート装置の１つ上流にある通信装置
   数とを基に、上流の前記通信装置へ通知する前記攻撃容
   疑トラヒックの伝送帯域制限値を算出して上流の通信装
   置へ送信するステップと、 前記上流の通信装置を介さずに当該ゲート装置に入力さ
   れる前記攻撃容疑トラヒックの伝送帯域値と、前記上流
   の通信装置から受信した前記攻撃容疑トラヒックの合計
   入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝
   送帯域制限調整値を算出して前記上流の通信装置へ送信
   するステップと、 をコンピュータに実行させることを特徴とする分散型サ
   ービス不能攻撃防止プログラム。
9. 【請求項９】 防御対象であるコンピュータおよびＬＡ
   Ｎを防御するゲート装置が接続されたネットワークのノ
   ードを構成する通信装置上で実行されるコンピュータプ
   ログラムであって、 下流のゲート装置又は通信装置から攻撃容疑トラヒック
   の伝送帯域制限値を受信し、前記攻撃容疑トラヒックの
   伝送帯域を前記伝送帯域制限値に制限するステップと、 前記受信した伝送帯域制限値と、当該通信装置の１つ上
   流にある通信装置数とを基に、上流の前記通信装置へ通
   知する前記攻撃容疑トラヒックの伝送帯域制限値を算出
   して、上流の通信装置へ送信するステップと、 前記上流の通信装置を介さずに当該通信装置に入力され
   る攻撃容疑トラヒックの伝送帯域値と、前記上流の通信
   装置から受信した合計入力伝送帯域値とを合計した、当
   該通信装置における前記攻撃容疑トラヒックの合計入力
   伝送帯域値を前記下流のゲート装置又は通信装置に送信
   するステップと、 前記下流のゲート装置又は通信装置から伝送帯域制限調
   整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前
   記伝送帯域制限調整値に制限するステップと、 前記受信した伝送帯域制限調整値と、前記上流の通信装
   置を介さずに当該通信装置に入力される前記攻撃容疑ト
   ラヒックの伝送帯域値と、前記上流の通信装置から受信
   した前記攻撃容疑トラヒックの合計入力伝送帯域値とを
   基に、上流の通信装置へ通知する前記攻撃容疑トラヒッ
   クの伝送帯域制限調整値を算出して、前記１つ上流の通
   信装置へ送信するステップと、 をコンピュータに実行させることを特徴とする分散型サ
   ービス不能攻撃防止プログラム。
10. 【請求項１０】 前記伝送帯域制限値は、ゲート装置ま
    たは通信装置がゲート装置から何ホップ目に存在するか
    を示す階層の深さをｄ、同一の深さｄにおいてゲート装
    置または通信装置を識別する番号をｉ、深さｄにあるｉ
    で識別されるゲート装置または通信装置の攻撃容疑パケ
    ットの伝送帯域制限値をＳｓ(d,i)、深さｄにあるｉで
    識別されるゲート装置または通信装置の１つ上流にある
    通信装置数をnu(d,i)、深さｄにあるｉで識別されるゲ
    ート装置または通信装置の１つ上流にある通信装置を識
    別するための番号をｋ、深さｄにあるｉで識別されるゲ
    ート装置または通信装置の１つ上流にあるｋで識別され
    る通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳ
    ｓ(d+1,i,k)とすると、 【数７】 により算出され、 前記伝送帯域制限調整値は、ゲート装置または通信装置
    がゲート装置から何ホップ目に存在するかを示す階層の
    深さをｄ、同一の深さｄにおいてゲート装置または通信
    装置を識別する番号をｉ、深さｄにあるｉで識別される
    ゲート装置または通信装置の攻撃容疑パケットの伝送帯
    域調整値をＳｓ’(d,i)、深さｄにあるｉで識別される
    ゲート装置または通信装置の攻撃容疑トラヒックの合計
    入力伝送帯域値をＴ(d,i)、深さｄにあるｉで識別され
    るゲート装置または通信装置の１つ上流にある通信装置
    を識別するための番号をｋ、深さｄにあるｉで識別され
    るゲート装置または通信装置の１つ上流にあるｋで識別
    される通信装置から通知された攻撃容疑トラヒックの合
    計入力伝送帯域値をＢ(d+1,i,k)、深さｄにあるｉで識
    別されるゲート装置または通信装置の１つ上流にあるｋ
    で識別される通信装置の攻撃容疑トラヒックの伝送帯域
    制限調整値をＳｓ’(d+1,i,k)とすると、 【数８】 により算出されることを特徴とする請求項８または請求
    項９に記載の分散型サービス不能攻撃防止プログラム。
11. 【請求項１１】 複数の通信装置を網目状に接続してな
    るネットワークと、防御対象であるコンピュータおよび
    ＬＡＮとの間に介挿されたゲート装置上で実行されるコ
    ンピュータプログラムを記緑したコンピュータ読み取り
    可能な記録媒体であって、 入力される通信トラヒックをチェックし、分散型サービ
    ス不能攻撃の攻撃容疑トラヒックを検出した場合に、当
    該ゲート装置における前記攻撃容疑トラヒックの伝送帯
    域制限値と、当該ゲート装置の１つ上流にある通信装置
    数とを基に、上流の前記通信装置へ通知する前記攻撃容
    疑トラヒックの伝送帯域制限値を算出して上流の通信装
    置へ送信するステップと、 前記上流の通信装置を介さずに当該ゲート装置に入力さ
    れる前記攻撃容疑トラヒックの伝送帯域値と、前記上流
    の通信装置から受信した前記攻撃容疑トラヒックの合計
    入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝
    送帯域制限調整値を算出して前記上流の通信装置へ送信
    するステップと、 の各処理をコンピュータに実行させる分散型サービス不
    能攻撃防止プログラムを記録することを特徴とする記録
    媒体。
12. 【請求項１２】 防御対象であるコンピュータおよびＬ
    ＡＮを防御するゲート装置が接続されたネットワークの
    ノードを構成する通信装置上で実行されるコンピュータ
    プログラムを記録したコンピュータ読み取り可能な記録
    媒体であって、 下流のゲート装置又は通信装置から攻撃容疑トラヒック
    の伝送帯域制限値を受信し、前記攻撃容疑トラヒックの
    伝送帯域を前記伝送帯域制限値に制限するステップと、 前記受信した伝送帯域制限値と、当該通信装置の１つ上
    流にある通信装置数とを基に、上流の前記通信装置へ通
    知する前記攻撃容疑トラヒックの伝送帯域制限値を算出
    して、上流の通信装置へ送信するステップと、 前記上流の通信装置を介さずに当該通信装置に入力され
    る攻撃容疑トラヒックの伝送帯域値と、前記上流の通信
    装置から受信した合計入力伝送帯域値とを合計した、当
    該通信装置における前記攻撃容疑トラヒックの合計入力
    伝送帯域値を前記下流のゲート装置又は通信装置に送信
    するステップと、 前記下流のゲート装置又は通信装置から伝送帯域制限調
    整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前
    記伝送帯域制限調整値に制限するステップと、 前記受信した伝送帯域制限調整値と、前記上流の通信装
    置を介さずに当該通信装置に入力される前記攻撃容疑ト
    ラヒックの伝送帯域値と、前記上流の通信装置から受信
    した前記攻撃容疑トラヒックの合計入力伝送帯域値とを
    基に、上流の通信装置へ通知する前記攻撃容疑トラヒッ
    クの伝送帯域制限調整値を算出して、前記１つ上流の通
    信装置へ送信するステップと、 の各処理をコンピュータに実行させる分散型サービス不
    能攻撃防止プログラムを記録することを特徴とする記録
    媒体。
13. 【請求項１３】 前記伝送帯域制限値は、ゲート装置ま
    たは通信装置がゲート装置から何ホップ目に存在するか
    を示す階層の深さをｄ、同一の深さｄにおいてゲート装
    置または通信装置を識別する番号をｉ、深さｄにあるｉ
    で識別されるゲート装置または通信装置の攻撃容疑パケ
    ットの伝送帯域制限値をＳｓ(d,i)、深さｄにあるｉで
    識別されるゲート装置または通信装置の１つ上流にある
    通信装置数をnu(d,i)、深さｄにあるｉで識別されるゲ
    ート装置または通信装置の１つ上流にある通信装置を識
    別するための番号をｋ、深さｄにあるｉで識別されるゲ
    ート装置または通信装置の１つ上流にあるｋで識別され
    る通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳ
    ｓ(d+1,i,k)とすると、 【数９】 により算出され、 前記伝送帯域制限調整値は、ゲート装置または通信装置
    がゲート装置から何ホップ目に存在するかを示す階層の
    深さをｄ、同一の深さｄにおいてゲート装置または通信
    装置を識別する番号をｉ、深さｄにあるｉで識別される
    ゲート装置または通信装置の攻撃容疑パケットの伝送帯
    域調整値をＳｓ’(d,i)、深さｄにあるｉで識別される
    ゲート装置または通信装置の攻撃容疑トラヒックの合計
    入力伝送帯域値をＴ(d,i)、深さｄにあるｉで識別され
    るゲート装置または通信装置の１つ上流にある通信装置
    を識別するための番号をｋ、深さｄにあるｉで識別され
    るゲート装置または通信装置の１つ上流にあるｋで識別
    される通信装置から通知された攻撃容疑トラヒックの合
    計入力伝送帯域値をＢ(d+1,i,k)、深さｄにあるｉで識
    別されるゲート装置または通信装置の１つ上流にあるｋ
    で識別される通信装置の攻撃容疑トラヒックの伝送帯域
    制限調整値をＳｓ’(d+1,i,k)とすると、 【数１０】 により算出されることを特徴とする請求項１１または請
    求項１２に記載の分散型サービス不能攻撃防止プログラ
    ムを記録することを特徴とする記録媒体。