JP2004248185A - ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置 - Google Patents
ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置 Download PDFInfo
- Publication number
- JP2004248185A JP2004248185A JP2003038269A JP2003038269A JP2004248185A JP 2004248185 A JP2004248185 A JP 2004248185A JP 2003038269 A JP2003038269 A JP 2003038269A JP 2003038269 A JP2003038269 A JP 2003038269A JP 2004248185 A JP2004248185 A JP 2004248185A
- Authority
- JP
- Japan
- Prior art keywords
- communication device
- packet
- attack
- routing setting
- communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】運用中のルータにＤＤｏＳ攻撃防御機能を盛込む必要の無いＤＤｏＳ攻撃防御システムを提供する。
【解決手段】通信装置１は、サーバ２０１宛てのＤＤｏＳ攻撃被疑パケットの検出と、検出したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルの通信装置２への配布と、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０１に配布する。通信装置２は、通信装置１から受信したトラヒックプロファイルにマッチする通信パケットを監視して、ＤＤｏＳ攻撃かどうかの判定を行う。攻撃と判定した場合、攻撃元情報の特定を行い、攻撃元情報にマッチする通信パケットを廃棄する。攻撃でないと判定した場合、攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータに配布する。
【選択図】 図１
【解決手段】通信装置１は、サーバ２０１宛てのＤＤｏＳ攻撃被疑パケットの検出と、検出したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルの通信装置２への配布と、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０１に配布する。通信装置２は、通信装置１から受信したトラヒックプロファイルにマッチする通信パケットを監視して、ＤＤｏＳ攻撃かどうかの判定を行う。攻撃と判定した場合、攻撃元情報の特定を行い、攻撃元情報にマッチする通信パケットを廃棄する。攻撃でないと判定した場合、攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータに配布する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、ＩＰネットワーク上のサーバを分散型サービス拒否攻撃から防御するために、分散型サービス拒否攻撃を検出し、攻撃パケットを特定し、該パケットを廃棄するネットワークベース分散型サービス拒否攻撃防御システムに関するものである。
【０００２】
【従来の技術】
分散型サービス拒否（ＤＤｏＳ， Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃とは、ＩＰネットワーク上の様々な場所に存在する多数の端末から、該ＩＰネットワーク上のウェブサーバなどの特定のサーバに対して、大量の通信パケットを同時に送りつけることにより、送りつけられたサーバがサービス不能になることを狙った攻撃である。具体的な攻撃方法として、大量のＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）ＳＹＮパケットを特定のサーバに対して送りつけるＴＣＰ ＳＹＮフラッド攻撃や、大量のＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）パケットを特定のサーバに対して送りつけるＩＣＭＰフラッド攻撃などが知られている。
【０００３】
ＤＤｏＳ攻撃を防御するためには、攻撃が発生していることを検出した上で攻撃パケットを特定することにより、該パケットを廃棄する必要がある。一般的に、ＤＤｏＳ攻撃発生の検出は、攻撃防御対象サーバ宛て通信パケットを監視する攻撃検出装置において実施されるが、多数の端末から一斉に攻撃パケットが送りつけられていること、および、ＤＤｏＳ攻撃パケットの送信元アドレスは詐称されている場合があることにより、該攻撃検出装置における通信パケット監視のみで攻撃パケットを特定することは困難である。このため、ＩＰネットワーク上の複数の通信装置が連携動作して攻撃パケットを特定し、該パケットを廃棄する方法がいくつか提案されている。
【０００４】
以下に、従来技術を３つ示す。
【０００５】
第１の技術は、非特許文献１に記載の方法である。この方法では、ＤＤｏＳ攻撃防御対象サーバを収容するＩＳＰエッジルータにおいて該サーバ宛て通信パケットのトラヒック量を観測し、観測値が閾値を越えた場合に攻撃発生と見なし、該攻撃発生検出をトリガとして、ＩＳＰエッジルータは、同一ＩＳＰ内の全ＩＳＰエッジルータに対し、該サーバ宛て通信パケットのトラヒック量観測を依頼し、依頼を受けたＩＳＰエッジルータが、該サーバ宛て通信パケットのトラヒック量をアクセス回線単位にモニタし、異常が発見された場合にアクセス回線単位に通信パケットのフィルタリングを実施する。これにより、攻撃元に最も近いＩＳＰエッジルータにおいて攻撃パケットを廃棄することが可能である。
【０００６】
第２の技術は、特許文献１に記載の方法である。この方法では、ＤＤｏＳ攻撃防御用通信装置として、移動型パケットフィルタリングプログラムをインストールしたルータが提案されている。該装置（以下、特許文献［１］通信装置と呼ぶ）は、該装置を通過する通信パケットを監視してＤＤｏＳ攻撃を検出するトラヒック監視機能部と、攻撃と検出したパケットを破棄する攻撃防御モジュールと、検出をトリガとして、攻撃元に近い別の特許文献［１］通信装置の中でいずれが攻撃元であるかを判断する攻撃元判断機能部を有する。また、特許文献［１］通信装置は、前記機能により攻撃元と判断した別の文献通信装置に対して、攻撃防御モジュールならびに攻撃を検出した攻撃パケット情報を送信する機能を有し、該情報を受信した特許文献［１］通信装置は、受信した該攻撃パケット情報に該当する通信パケットが該装置を通過していることを検知した場合、その旨を送信元の特許文献［１］通信装置に通知するトラヒック検査機能部を有する。これにより、攻撃元に最も近い特許文献［１］通信装置において攻撃パケットを廃棄することが可能である。
【０００７】
第３の技術は、特許文献２に記載の方法である。この方法では、自律システムの境界に位置する境界ルータは、不正検出フィルタリング情報に基づいて不正侵入パケットを検出した場合に該パケットを廃棄し、該不正検出フィルタリング情報を同一自律システム内の他のすべての境界ルータ、および、該不正侵入パケットを伝送してきた対向の境界ルータに対して配布する。これにより、攻撃元に最も近い自律システムの境界ルータにおいて攻撃パケットを廃棄することが可能である。
【０００８】
【非特許文献１】
２００２年電子情報通信学会総合大会Ｂ−７−４０，“ＤＤｏＳ攻撃対策手法に関する一考察”，金子斉，（２００２．９）
【特許文献１】
特開２００２−１６４９３８，“分散型サービス不能攻撃の防止方法および装置ならびにそのコンピュータプログラム”，エリック・チェン，他，（２００２．０６．０７）
【特許文献２】
特開２００２−１８５５３９，“不正侵入防御機能を有するＩＰ通信ネットワークシステム”，安藤忠直，他，（２００２．０６．２８）
【０００９】
【発明が解決しようとする課題】
上述した従来の方法では、ＤＤｏＳ攻撃パケットを送出する可能性のある端末が広範囲に存在する場合、それに応じて多数のルータにＤＤｏＳ攻撃防御機能を具備させる必要がある。このため、ＩＳＰネットワークなどの大規模なＩＰネットワークに対して上述した従来技術を適用する場合、運用中のルータに対して新たな機能を盛込む必要があること、および、多数のルータにＤＤｏＳ攻撃防御機能を具備させるまでに時間がかかる問題がある。
【００１０】
本発明の目的は、運用中のＩＳＰネットワークなどに対してＤＤｏＳ攻撃防御システムを容易に構築可能とするために、ＤＤｏＳ攻撃パケットを送出する可能性のある端末の数やその広域性に関わらず、運用中のルータにＤＤｏＳ攻撃防御機能を盛込む必要の無いＤＤｏＳ攻撃防御システムおよび通信装置を提供することにある。
【００１１】
【課題を解決するための手段】
上記の目的を達成するために、本発明によるＤＤｏＳ攻撃防御システムは、ＤＤｏＳ攻撃防御対象サーバ宛ての通信パケットを監視してＤＤｏＳ攻撃被疑パケットを検出する第１の通信装置と、ＤＤｏＳ攻撃判定および攻撃元情報特定を行い攻撃パケットを廃棄する第２の通信装置と、ルータを有する。
【００１２】
第１の通信装置は、ＤＤｏＳ攻撃被疑パケットを検出し、該検出パケットのトラヒックプロファイルにマッチする通信パケットを、第２の通信装置宛てにルーチングするようにルーチング設定を変更することをルータに対して指示する。ルータに対する指示を行う部分を切り離して別装置としてもよい。
【００１３】
第２の通信装置は、該装置を通過する通信パケットを監視して分散型サービス拒否攻撃かどうかの判定と攻撃元特定を行い、攻撃であると判定した場合に前記攻撃元特定手段により特定された攻撃元情報にマッチする通信パケットを廃棄し、攻撃でないと判定した場合に攻撃でないと判断したトラヒックプロファイルにマッチする通信パケットに対し、第２の通信装置宛てへのルーチングを解除するようにルーチング設定を変更することをルータに対して指示する。ルータに対する指示を行う部分を切り離して別装置としてもよい。
【００１４】
第１の通信装置が該装置を通過する通信パケットを監視してＤＤｏＳ攻撃被疑パケットを検出し、該トラヒックプロファイルにマッチする通信パケットを第２の通信装置宛てにルーチングすることを他のルータに対して指示する。該ルーチング設定指示を受信したルータは該指示どおりルーチング設定を変更する。第２の通信装置は該装置を通過する通信パケットを監視してＤＤｏＳ攻撃かどうかを判定し、攻撃であると判定した場合、攻撃元情報を特定して攻撃元情報にマッチする通信パケットを廃棄し、攻撃でないと判定した場合、攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットの第２の通信装置宛てへのルーチングを解除するようにルーチング設定を変更することを他のルータに対して指示する。該ルーチング設定指示を受信したルータは該指示どおりルーチング設定を変更する。
【００１５】
第１の通信装置によるＤＤｏＳ攻撃の検出をトリガにルータのルーチング設定が変更され、ＤＤｏＳ攻撃防御対象サーバ宛てのＤＤｏＳ攻撃被疑パケットが第２の通信装置に集められ、第２の通信装置においてＤＤｏＳ攻撃かどうかの判定と攻撃元特定を行い、攻撃パケットを廃棄する。このため、ルータに対してＤＤｏＳ攻撃防御機能を盛込まずにＤＤｏＳ攻撃防御システムを提供することができる。
【００１６】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して詳細に説明する。
【００１７】
＜第１の実施形態＞
図１は本発明の第１の実施形態のＤＤｏＳ攻撃防御システムの構成図である。図１において、ＩＳＰネットワークＮ５は、ＤＤｏＳ攻撃防御対象サーバ２０１をエッジルータ１０１を介して収容し、ＤＤｏＳ攻撃端末２０２，２０３をそれぞれエッジルータ１０２，１０３を介して収容し、正規サービス利用端末２０４をエッジルータ１０４を介して収容している。
【００１８】
通信装置１は、ＤＤｏＳ攻撃防御対象サーバ２０１を収容しているエッジルータ１０１とサーバ２０１の中間に位置し、該サーバ宛てのＤＤｏＳ攻撃被疑パケットの検出と、検出したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルの通信装置２への配布と、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４に配布する。
【００１９】
通信装置２は、ＩＳＰネットワークＮ５内に位置し、通信装置１から受信したトラヒックプロファイルにマッチする通信パケットを監視して、ＤＤｏＳ攻撃かどうかの判定を行う。攻撃と判定した場合、攻撃元情報の特定を行い攻撃パケットを廃棄する。攻撃でないと判定した場合、攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４に配布する。
【００２０】
図２は、図１のシステムにおけるＤＤｏＳ攻撃防御の処理手順を示している。通信装置１は、ＤＤｏＳ攻撃防御対象サーバ２０１宛てパケットを監視し（ステップ３０１）、ＤＤｏＳ攻撃被疑パケットを検出した場合、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイル、例えば宛先ＩＰアドレスと送信先ＩＰアドレスの組を抽出して（ステップ３０２，３０３）、該トラヒックプロファイルを通信装置２宛てに転送するとともに（ステップ３０４）、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４宛てに転送する（ステップ３０５）。エッジルータ１０２、１０３、および１０４は、受信したルーチング設定変更指示に従い、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするようにルーチング設定を変更する（ステップ３０６）。通信装置２は、受信したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを監視してＤＤｏＳ攻撃かどうかを各トラヒックプロファイルごとに判定し（ステップ３０７）、攻撃と判定した場合、攻撃と判定したパケットの攻撃元情報を特定して攻撃元情報にマッチする通信パケットを廃棄する（ステップ３０８，３０９）。攻撃でないと判定した場合、ＤＤｏＳ攻撃でないと判定したパケットのトラヒックプロファイルに対し、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４宛てに転送する（ステップ３１１）。エッジルータ１０２、１０３、および１０４は、受信したルーチング設定変更指示に従い、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにルーチング設定を変更する（ステップ３１２）。
【００２１】
次に、図１のシステムにおいて、ＤＤｏＳ攻撃端末２０２，２０３がＤＤｏＳ攻撃防御対象サーバ２０１に対しＤＤｏＳ攻撃被疑パケットを送出し、正規サービス利用端末２０４がＤＤｏＳ攻撃防御対象サーバ２０１に対し正当なパケットを送出している場合に対するＤＤｏＳ攻撃防御の動作を図２に基づいて説明する。
【００２２】
通信装置１は、エッジルータ１０１とサーバ収容ＩＰネットワークＮ１の間を流れる通信パケットの監視により、ＤＤｏＳ攻撃防御対象サーバ２０１宛てのＤＤｏＳ攻撃被疑パケットを検出し、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４宛てに転送し、エッジルータ１０２，１０３，１０４は、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングするようにルーチング設定を変更する。これにより、ＤＤｏＳ攻撃端末２０２，２０３および正規サービス利用端末２０４からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットはすべて通信装置２に集められる。
【００２３】
通信装置２は、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルとして、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットという情報を通信装置１から受信し、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを監視してＤＤｏＳ攻撃かどうか判定する。該パケットにはＤＤｏＳ攻撃端末２０２，２０３からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットが含まれるため、攻撃であると判定され、攻撃元情報の特定により、ＤＤｏＳ攻撃端末２０２，２０３が攻撃元であると特定される。これにより、ＤＤｏＳ攻撃端末２０２，２０３からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットが廃棄される。攻撃元と判定されなかった正規サービス利用端末２０４からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットは廃棄されずに転送されるため、正しくＤＤｏＳ攻撃防御対象サーバ２０１まで転送される。
【００２４】
攻撃終了時は、通信装置２はＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを監視してＤＤｏＳ攻撃ではないと判定し、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングしないためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４宛てに転送し、エッジルータ１０２，１０３，１０４は、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングしないようにルーチング設定を変更する。これにより、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットは通信装置２を通らず、元のルートで転送される。
【００２５】
図３は、図１に示す通信装置１の一構成例を示している。図３において、ポート１１は図１のサーバ収容ＩＰネットワークＮ１と接続している通信ポートを示し、ポート１２は図１のＩＳＰネットワークＮ５と接続している通信ポートを示す。
【００２６】
ＤＤｏＳ攻撃被疑パケット検出部１３は、ＩＰパケット送受信部１８から受信した通信パケットを監視し、ＤＤｏＳ攻撃防御対象サーバ２０１宛てのＤＤｏＳ攻撃被疑パケットを検出し、検出時に、該パケットのトラヒックプロファイルを、トラヒックプロファイル配布部１４およびルーチング設定変更指示部１５に対して通知する。
【００２７】
トラヒックプロファイル配布部１４は、ＤＤｏＳ攻撃被疑パケット検出部１３からＤＤｏＳ攻撃被疑パケットトラヒックプロファイル受信時、該トラヒックプロファイルを通信装置アドレステーブル１６に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部１８に伝達する。
【００２８】
ルーチング設定変更指示部１５は、ＤＤｏＳ攻撃被疑パケット検出部１３からＤＤｏＳ攻撃被疑パケットトラヒックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを、エッジルータ情報アドレステーブル１７に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部１８に伝達する。
【００２９】
ＩＰパケット送受信部１８は、ポート１１から受信した通信パケットをポート１２から送出し、ポート１２から受信した通信パケットをポート１１から送出する。また、ＩＰパケット送受信部１８は、ポート１１，１２から受信した通信パケットをＤＤｏＳ攻撃被疑パケット検出部１３に伝達する。また、ＩＰパケット送受信部１８は、トラヒックプロファイル配布部１４から受信したトラヒックプロファイル情報パケットおよびルーチング設定変更指示部１５から受信したルーチング設定変更指示パケットをポート１２から送出する。
【００３０】
図４は、図３の通信装置１におけるＤＤｏＳ攻撃被疑パケット検出時の処理手順である。ＩＰパケット送受信部１８が、ポート１１から受信した通信パケットをポート１２から送出し、ポート１２から受信した通信パケットをポート１１から送出する（ステップ４０１）。そしてＩＰパケット送受信部１８が、ポート１１，１２から受信した通信パケットをＤＤｏＳ攻撃被疑パケット検出部１３に伝達し（ステップ４０２）、ＤＤｏＳ攻撃被疑パケット検出部１３が該通信パケットを監視する（ステップ４０３）。ＤＤｏＳ攻撃被疑パケットが検出された場合、ＤＤｏＳ攻撃被疑パケット検出部１３は、該パケットのトラヒックプロファイルをトラヒックプロファイル配布部１４およびルーチング設定変更指示部１５に対して通知する（ステップ４０４〜４０６）。トラヒックプロファイル配布部１４は、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルを通信装置アドレステーブル１６に格納されているアドレス宛てに転送する（ステップ４０７）。ルーチング設定変更指示部１５は、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを生成し（ステップ４０８）、エッジルータ情報アドレステーブル１７に格納されているアドレス宛てに転送する（ステップ４０９）。ＩＰパケット送受信部１８が、ポート１２から転送パケットを送出する（ステップ４１０）。
【００３１】
事前設定として、通信装置アドレステーブル１６に対して通信装置２のＩＰアドレスを登録し、エッジルータ情報アドレステーブル１７に対してエッジルータ１０２，１０３，１０４のＩＰアドレスを登録しておくことにより、通信装置１は、検出したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルを通信装置２に対して配布し、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４に配布することができる。
【００３２】
図１に示す通信装置１の他の構成例として、図５に示すように、ＩＰパケット送受信部１８およびポート１１，１２を切り離して別装置としてもよい。ＩＰパケット送受信部１８を含む装置は、ポートＡ１４をポート１１，１２のミラーポートと設定したＨＵＢあるいはＩＰルータで構成できる。また、図５において、ポートＡ１１とＡ１２、ポートＡ１３とＡ１４をそれぞれ統合して１ポートずつとしてもよい。
【００３３】
図６は、図１に示す通信装置２の一構成例を示している。図６において、ポート２１は図１のＩＳＰネットワークＮ５と接続している通信ポートを示す。
【００３４】
トラヒックプロファイル受信部２２は、ＩＰパケット送受信部３１から受信したトラヒックプロファイルをトラヒックプロファイルテーブル２９に登録する。
【００３５】
ＤＤｏＳ攻撃判定部２４は、ＩＰパケット送受信部３１から受信した通信パケットの中で、トラヒックプロファイルテーブル２９に格納されたトラヒックプロファイルにマッチする通信パケットを監視してＤＤｏＳ攻撃かどうかを各トラヒックプロファイルごとに判定する。この時、ＤＤｏＳ攻撃であると判定したトラヒックプロファイルに対して、トラヒックプロファイルテーブル２９の該プロファイルエントリに対し、攻撃判定の登録を行う。ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルに対して、トラヒックプロファイルテーブル２９の該プロファイルエントリを削除するとともに、該トラヒックプロファイルをルーチング設定変更指示部２３に対して伝達する。また、ＤＤｏＳ攻撃判定部２４は、ＩＰパケット送受信部３１から受信した通信パケットを攻撃元特定部２５に転送する。
【００３６】
攻撃元特定部２５は、ＤＤｏＳ攻撃判定部２４から受信した通信パケットの中で、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチする通信パケットに対し、各トラヒックプロファイルごとに攻撃元情報を特定し、攻撃元情報テーブル３０に、該攻撃元情報をトラヒックプロファイル単位に登録する。また、攻撃元特定部２５は、攻撃元情報テーブル３０に登録されている攻撃元情報のうち、トラヒックプロファイルテーブル２９に攻撃判定登録済みでないトラヒックプロファイルにマッチする攻撃元情報を削除する。また、攻撃元特定部２５は、ＤＤｏＳ攻撃判定部２４から受信した通信パケットを攻撃パケットフィルタ部２６に転送する。
【００３７】
攻撃パケットフィルタ部２６は、攻撃元特定部２５から受信した通信パケットの中で、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチし、かつ、攻撃元情報テーブル３０に登録された攻撃元情報にマッチする通信パケットの廃棄を行い、廃棄されなかった通信パケットをＩＰパケット送受信部３１に転送する。
【００３８】
ルーチング設定変更指示部２３は、ＤＤｏＳ攻撃判定部２４からトラフィックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル２７に格納されているアドレス宛てにルーチングしないようにするためのルーチング設定変更指示パケットを、エッジルータ情報アドレステーブル２８に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部３１に伝達する。
【００３９】
ＩＰパケット送受信部３１は、ポート２１から受信した通信パケットをＤＤｏＳ攻撃判定部２４に伝達し、ポート２１から受信したトラヒックプロファイルをトラヒックプロファイル受信部２２に伝達する。また、ＩＰパケット送受信部３１は、攻撃パケットフィルタ部２６から受信した通信パケットおよびルーチング設定変更指示部２３から受信したルーチング設定変更指示パケットをポート２１から送出する。
【００４０】
図７は、図６の通信装置におけるＤＤｏＳ攻撃判定時の処理手順を示している。ＩＰパケット送受信部３１において、受信したパケットがトラヒックプロファイルと判定した場合、トラヒックプロファイル受信部２２は、該トラヒックプロファイルをトラヒックプロファイルテーブル２９に登録する（ステップ５０１，５０２）。そうでない場合、ＤＤｏＳ攻撃判定部２４において、ＩＰパケット送受信部３１から受信した通信パケットに対し、トラヒックプロファイルテーブル２９に格納されたトラヒックプロファイルにマッチする通信パケットを監視してＤＤｏＳ攻撃かどうかを各トラヒックプロファイルごとに判定する（ステップ５０３）。
【００４１】
攻撃であると判定した場合、ＤＤｏＳ攻撃判定部２４において、トラヒックプロファイルテーブル２９に登録されたエントリの中で、ＤＤｏＳ攻撃であると判定したトラヒックプロファイルに対応するエントリに対し、攻撃判定の登録を行う（ステップ５０４、５０５）。次に、攻撃元判定部２５において、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチする通信パケットに対し、各トラヒックプロファイルごとに攻撃元情報を特定し、攻撃元情報テーブル３０に、該攻撃元情報をトラヒックプロファイル単位に登録する（ステップ５０６）。次に、攻撃パケットフィルタ部２６において、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチし、かつ、攻撃元情報テーブル３０に登録された攻撃元情報にマッチする通信パケットを廃棄し（ステップ５０７）、ＩＰパケット送受信部３１がポート２１から廃棄されなかった通信パケットを送出する（ステップ５１３）。
【００４２】
攻撃でないと判定した場合、ＤＤｏＳ攻撃判定部２４において、ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルをトラヒックプロファイルテーブル２９から削除し（ステップ５０８、５０９）、攻撃元判定部２５において、攻撃元情報テーブル３０に登録されている攻撃元情報のうち、トラヒックプロファイルテーブル２９に攻撃判定登録済みでないトラヒックプロファイルにマッチする攻撃元情報を削除する（ステップ５１０）。次に、ルーチング設定変更指示部２３は、ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを生成し（ステップ５１１）、エッジルータ情報アドレステーブル１７に格納されているアドレス宛てに転送する（ステップ５１２）。ＩＰパケット送受信部３１が、ポート２１から転送パケットを送出する（ステップ５１３）。
【００４３】
事前設定として、通信装置アドレステーブル２７に対して通信装置２のＩＰアドレスを登録し、エッジルータ情報アドレステーブル２８に対してエッジルータ１０２，１０３，１０４のＩＰアドレスを登録しておくことにより、通信装置２は、ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４に配布することができる。
【００４４】
＜第２の実施形態＞
本発明の他の実施形態として、その基本的構成は図１の通りであるが、図１の通信装置１と通信装置２のルーチング設定変更指示部を切離して図８に示すように別装置としてもよい。通信装置３が、通信装置１と通信装置２から切り離されたルーチング設定変更指示部を示す。図８に示す通信装置１，２，３の一構成例を図９，１０，１１にそれぞれ示す。
【００４５】
図９の通信装置と図３の通信装置との違いについて説明する。ルーチング設定変更指示パケット配布部Ａ１５は、ＤＤｏＳ攻撃被疑パケット検出部１３からＤＤｏＳ攻撃被疑パケットトラヒックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを、通信装置アドレステーブルＡ１６に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部１８に伝達する。
【００４６】
図１０の通信装置の図６の通信装置との違いについて説明する。ルーチング設定変更指示パケット配布部Ａ２３は、ＤＤｏＳ攻撃判定部２４からトラヒックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル２７に格納されているアドレス宛てにルーチングしないようにするためのルーチング設定変更指示パケットを、通信装置アドレステーブルＡ２４に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部３１に伝達する。
【００４７】
図１１において、ポートＡ３１は図１のＩＳＰネットワークＮ５と接続している通信ポートを示す。ルーチング設定変更指示部Ａ３２は、ポートＡ３１よりルーチング設定変更指示パケットを受信し、該パケットをエッジルータ情報アドレステーブルＡ３３に格納されているアドレスの装置宛てに転送するべく、ポートＡ３１に伝達する。
【００４８】
図９に示す通信装置１の他の構成例として、図５と同様に、ＩＰパケット送受信部１８およびポート１１，１２を切り離して別装置としてもよい。
【００４９】
なお、通信装置１，２，３は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００５０】
【発明の効果】
以上説明したように、本発明によれば、ＤＤｏＳ攻撃パケットを送出する可能性のある端末の数や広域性に関わらず、運用中のルータにＤＤｏＳ攻撃防御機能を盛込まず、ＤＤｏＳ攻撃防御システムを提供することができる。このため、ＩＳＰネットワークなどの大規模なＩＰネットワークに対してＤＤｏＳ攻撃防御システムを容易に導入することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態のＤＤｏＳ攻撃防御システムの構成を示す図である。
【図２】図１のシステムにおけるＤＤｏＳ攻撃防御の処理手順を示す図である。
【図３】図１の通信装置１の一構成例を示すブロック図である。
【図４】図３の通信装置におけるＤＤｏＳ攻撃被疑パケット検出時の処理手順を示す図である。
【図５】図１の通信装置１の一構成例を示すブロック図である。
【図６】図１の通信装置２の一構成例を示すブロック図である。
【図７】図６の通信装置におけるＤＤｏＳ攻撃パケット判定時の処理手順を示す図である。
【図８】本発明の第２の実施形態のＤＤｏＳ攻撃防御システムの構成を示す図である。
【図９】図８の通信装置１の一構成例を示すブロック図である。
【図１０】図８の通信装置２の一構成例を示すブロック図である。
【図１１】図８の通信装置３の一構成例を示すブロック図である。
【符号の説明】
１，２，３ 通信装置
１０１，１０２，１０３，１０４ エッジルータ
Ｎ１ サーバ収容ＩＰネットワーク
Ｎ２，Ｎ３，Ｎ４ 端末収容ＩＰネットワーク
Ｎ５ ＩＳＰネットワーク
２０１ ＤＤｏＳ攻撃防御対象サーバ
２０２，２０３ ＤＤｏＳ攻撃端末
２０４ 正規サービス利用端末
１１，１２ ポート
１３ ＤＤｏＳ攻撃被疑パケット検出部
１４ トラヒックプロファイル配布部
１５ ルーチング設定変更指示部
１６ 通信装置アドレステーブル
１７ エッジルータ情報アドレステーブル
１８ ＩＰパケット送受信部
Ａ１１，Ａ１２，Ａ１３，Ａ１４ ポート
２１ ポート
２２ トラヒックプロファイル受信部
２３ ルーチング設定変更指示部
２４ ＤＤｏＳ攻撃判定部
２５ 攻撃元特定部
２６ 攻撃パケットフィルタ部
２７ 通信装置アドレステーブル
２８ エッジルータ情報アドレステーブル
２９ トラヒックプロファイルテーブル
３０ 攻撃元情報テーブル
３１ ＩＰパケット送受信部
３０１〜３１２，４０１〜４１０，５０１〜５１３ ステップ
Ａ１５，Ａ２３ ルーチング設定変更指示パケット配布部
Ａ１６，Ａ２４ 通信装置アドレステーブル
Ａ３１ ポート
Ａ３２ ルーチング設定変更指示部
Ａ３３ エッジルータ情報アドレステーブル
【発明の属する技術分野】
本発明は、ＩＰネットワーク上のサーバを分散型サービス拒否攻撃から防御するために、分散型サービス拒否攻撃を検出し、攻撃パケットを特定し、該パケットを廃棄するネットワークベース分散型サービス拒否攻撃防御システムに関するものである。
【０００２】
【従来の技術】
分散型サービス拒否（ＤＤｏＳ， Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃とは、ＩＰネットワーク上の様々な場所に存在する多数の端末から、該ＩＰネットワーク上のウェブサーバなどの特定のサーバに対して、大量の通信パケットを同時に送りつけることにより、送りつけられたサーバがサービス不能になることを狙った攻撃である。具体的な攻撃方法として、大量のＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）ＳＹＮパケットを特定のサーバに対して送りつけるＴＣＰ ＳＹＮフラッド攻撃や、大量のＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）パケットを特定のサーバに対して送りつけるＩＣＭＰフラッド攻撃などが知られている。
【０００３】
ＤＤｏＳ攻撃を防御するためには、攻撃が発生していることを検出した上で攻撃パケットを特定することにより、該パケットを廃棄する必要がある。一般的に、ＤＤｏＳ攻撃発生の検出は、攻撃防御対象サーバ宛て通信パケットを監視する攻撃検出装置において実施されるが、多数の端末から一斉に攻撃パケットが送りつけられていること、および、ＤＤｏＳ攻撃パケットの送信元アドレスは詐称されている場合があることにより、該攻撃検出装置における通信パケット監視のみで攻撃パケットを特定することは困難である。このため、ＩＰネットワーク上の複数の通信装置が連携動作して攻撃パケットを特定し、該パケットを廃棄する方法がいくつか提案されている。
【０００４】
以下に、従来技術を３つ示す。
【０００５】
第１の技術は、非特許文献１に記載の方法である。この方法では、ＤＤｏＳ攻撃防御対象サーバを収容するＩＳＰエッジルータにおいて該サーバ宛て通信パケットのトラヒック量を観測し、観測値が閾値を越えた場合に攻撃発生と見なし、該攻撃発生検出をトリガとして、ＩＳＰエッジルータは、同一ＩＳＰ内の全ＩＳＰエッジルータに対し、該サーバ宛て通信パケットのトラヒック量観測を依頼し、依頼を受けたＩＳＰエッジルータが、該サーバ宛て通信パケットのトラヒック量をアクセス回線単位にモニタし、異常が発見された場合にアクセス回線単位に通信パケットのフィルタリングを実施する。これにより、攻撃元に最も近いＩＳＰエッジルータにおいて攻撃パケットを廃棄することが可能である。
【０００６】
第２の技術は、特許文献１に記載の方法である。この方法では、ＤＤｏＳ攻撃防御用通信装置として、移動型パケットフィルタリングプログラムをインストールしたルータが提案されている。該装置（以下、特許文献［１］通信装置と呼ぶ）は、該装置を通過する通信パケットを監視してＤＤｏＳ攻撃を検出するトラヒック監視機能部と、攻撃と検出したパケットを破棄する攻撃防御モジュールと、検出をトリガとして、攻撃元に近い別の特許文献［１］通信装置の中でいずれが攻撃元であるかを判断する攻撃元判断機能部を有する。また、特許文献［１］通信装置は、前記機能により攻撃元と判断した別の文献通信装置に対して、攻撃防御モジュールならびに攻撃を検出した攻撃パケット情報を送信する機能を有し、該情報を受信した特許文献［１］通信装置は、受信した該攻撃パケット情報に該当する通信パケットが該装置を通過していることを検知した場合、その旨を送信元の特許文献［１］通信装置に通知するトラヒック検査機能部を有する。これにより、攻撃元に最も近い特許文献［１］通信装置において攻撃パケットを廃棄することが可能である。
【０００７】
第３の技術は、特許文献２に記載の方法である。この方法では、自律システムの境界に位置する境界ルータは、不正検出フィルタリング情報に基づいて不正侵入パケットを検出した場合に該パケットを廃棄し、該不正検出フィルタリング情報を同一自律システム内の他のすべての境界ルータ、および、該不正侵入パケットを伝送してきた対向の境界ルータに対して配布する。これにより、攻撃元に最も近い自律システムの境界ルータにおいて攻撃パケットを廃棄することが可能である。
【０００８】
【非特許文献１】
２００２年電子情報通信学会総合大会Ｂ−７−４０，“ＤＤｏＳ攻撃対策手法に関する一考察”，金子斉，（２００２．９）
【特許文献１】
特開２００２−１６４９３８，“分散型サービス不能攻撃の防止方法および装置ならびにそのコンピュータプログラム”，エリック・チェン，他，（２００２．０６．０７）
【特許文献２】
特開２００２−１８５５３９，“不正侵入防御機能を有するＩＰ通信ネットワークシステム”，安藤忠直，他，（２００２．０６．２８）
【０００９】
【発明が解決しようとする課題】
上述した従来の方法では、ＤＤｏＳ攻撃パケットを送出する可能性のある端末が広範囲に存在する場合、それに応じて多数のルータにＤＤｏＳ攻撃防御機能を具備させる必要がある。このため、ＩＳＰネットワークなどの大規模なＩＰネットワークに対して上述した従来技術を適用する場合、運用中のルータに対して新たな機能を盛込む必要があること、および、多数のルータにＤＤｏＳ攻撃防御機能を具備させるまでに時間がかかる問題がある。
【００１０】
本発明の目的は、運用中のＩＳＰネットワークなどに対してＤＤｏＳ攻撃防御システムを容易に構築可能とするために、ＤＤｏＳ攻撃パケットを送出する可能性のある端末の数やその広域性に関わらず、運用中のルータにＤＤｏＳ攻撃防御機能を盛込む必要の無いＤＤｏＳ攻撃防御システムおよび通信装置を提供することにある。
【００１１】
【課題を解決するための手段】
上記の目的を達成するために、本発明によるＤＤｏＳ攻撃防御システムは、ＤＤｏＳ攻撃防御対象サーバ宛ての通信パケットを監視してＤＤｏＳ攻撃被疑パケットを検出する第１の通信装置と、ＤＤｏＳ攻撃判定および攻撃元情報特定を行い攻撃パケットを廃棄する第２の通信装置と、ルータを有する。
【００１２】
第１の通信装置は、ＤＤｏＳ攻撃被疑パケットを検出し、該検出パケットのトラヒックプロファイルにマッチする通信パケットを、第２の通信装置宛てにルーチングするようにルーチング設定を変更することをルータに対して指示する。ルータに対する指示を行う部分を切り離して別装置としてもよい。
【００１３】
第２の通信装置は、該装置を通過する通信パケットを監視して分散型サービス拒否攻撃かどうかの判定と攻撃元特定を行い、攻撃であると判定した場合に前記攻撃元特定手段により特定された攻撃元情報にマッチする通信パケットを廃棄し、攻撃でないと判定した場合に攻撃でないと判断したトラヒックプロファイルにマッチする通信パケットに対し、第２の通信装置宛てへのルーチングを解除するようにルーチング設定を変更することをルータに対して指示する。ルータに対する指示を行う部分を切り離して別装置としてもよい。
【００１４】
第１の通信装置が該装置を通過する通信パケットを監視してＤＤｏＳ攻撃被疑パケットを検出し、該トラヒックプロファイルにマッチする通信パケットを第２の通信装置宛てにルーチングすることを他のルータに対して指示する。該ルーチング設定指示を受信したルータは該指示どおりルーチング設定を変更する。第２の通信装置は該装置を通過する通信パケットを監視してＤＤｏＳ攻撃かどうかを判定し、攻撃であると判定した場合、攻撃元情報を特定して攻撃元情報にマッチする通信パケットを廃棄し、攻撃でないと判定した場合、攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットの第２の通信装置宛てへのルーチングを解除するようにルーチング設定を変更することを他のルータに対して指示する。該ルーチング設定指示を受信したルータは該指示どおりルーチング設定を変更する。
【００１５】
第１の通信装置によるＤＤｏＳ攻撃の検出をトリガにルータのルーチング設定が変更され、ＤＤｏＳ攻撃防御対象サーバ宛てのＤＤｏＳ攻撃被疑パケットが第２の通信装置に集められ、第２の通信装置においてＤＤｏＳ攻撃かどうかの判定と攻撃元特定を行い、攻撃パケットを廃棄する。このため、ルータに対してＤＤｏＳ攻撃防御機能を盛込まずにＤＤｏＳ攻撃防御システムを提供することができる。
【００１６】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して詳細に説明する。
【００１７】
＜第１の実施形態＞
図１は本発明の第１の実施形態のＤＤｏＳ攻撃防御システムの構成図である。図１において、ＩＳＰネットワークＮ５は、ＤＤｏＳ攻撃防御対象サーバ２０１をエッジルータ１０１を介して収容し、ＤＤｏＳ攻撃端末２０２，２０３をそれぞれエッジルータ１０２，１０３を介して収容し、正規サービス利用端末２０４をエッジルータ１０４を介して収容している。
【００１８】
通信装置１は、ＤＤｏＳ攻撃防御対象サーバ２０１を収容しているエッジルータ１０１とサーバ２０１の中間に位置し、該サーバ宛てのＤＤｏＳ攻撃被疑パケットの検出と、検出したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルの通信装置２への配布と、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４に配布する。
【００１９】
通信装置２は、ＩＳＰネットワークＮ５内に位置し、通信装置１から受信したトラヒックプロファイルにマッチする通信パケットを監視して、ＤＤｏＳ攻撃かどうかの判定を行う。攻撃と判定した場合、攻撃元情報の特定を行い攻撃パケットを廃棄する。攻撃でないと判定した場合、攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４に配布する。
【００２０】
図２は、図１のシステムにおけるＤＤｏＳ攻撃防御の処理手順を示している。通信装置１は、ＤＤｏＳ攻撃防御対象サーバ２０１宛てパケットを監視し（ステップ３０１）、ＤＤｏＳ攻撃被疑パケットを検出した場合、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイル、例えば宛先ＩＰアドレスと送信先ＩＰアドレスの組を抽出して（ステップ３０２，３０３）、該トラヒックプロファイルを通信装置２宛てに転送するとともに（ステップ３０４）、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４宛てに転送する（ステップ３０５）。エッジルータ１０２、１０３、および１０４は、受信したルーチング設定変更指示に従い、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするようにルーチング設定を変更する（ステップ３０６）。通信装置２は、受信したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを監視してＤＤｏＳ攻撃かどうかを各トラヒックプロファイルごとに判定し（ステップ３０７）、攻撃と判定した場合、攻撃と判定したパケットの攻撃元情報を特定して攻撃元情報にマッチする通信パケットを廃棄する（ステップ３０８，３０９）。攻撃でないと判定した場合、ＤＤｏＳ攻撃でないと判定したパケットのトラヒックプロファイルに対し、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータ１０２、１０３、および１０４宛てに転送する（ステップ３１１）。エッジルータ１０２、１０３、および１０４は、受信したルーチング設定変更指示に従い、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにルーチング設定を変更する（ステップ３１２）。
【００２１】
次に、図１のシステムにおいて、ＤＤｏＳ攻撃端末２０２，２０３がＤＤｏＳ攻撃防御対象サーバ２０１に対しＤＤｏＳ攻撃被疑パケットを送出し、正規サービス利用端末２０４がＤＤｏＳ攻撃防御対象サーバ２０１に対し正当なパケットを送出している場合に対するＤＤｏＳ攻撃防御の動作を図２に基づいて説明する。
【００２２】
通信装置１は、エッジルータ１０１とサーバ収容ＩＰネットワークＮ１の間を流れる通信パケットの監視により、ＤＤｏＳ攻撃防御対象サーバ２０１宛てのＤＤｏＳ攻撃被疑パケットを検出し、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４宛てに転送し、エッジルータ１０２，１０３，１０４は、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングするようにルーチング設定を変更する。これにより、ＤＤｏＳ攻撃端末２０２，２０３および正規サービス利用端末２０４からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットはすべて通信装置２に集められる。
【００２３】
通信装置２は、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルとして、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットという情報を通信装置１から受信し、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを監視してＤＤｏＳ攻撃かどうか判定する。該パケットにはＤＤｏＳ攻撃端末２０２，２０３からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットが含まれるため、攻撃であると判定され、攻撃元情報の特定により、ＤＤｏＳ攻撃端末２０２，２０３が攻撃元であると特定される。これにより、ＤＤｏＳ攻撃端末２０２，２０３からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットが廃棄される。攻撃元と判定されなかった正規サービス利用端末２０４からＤＤｏＳ攻撃防御対象サーバ２０１宛ての通信パケットは廃棄されずに転送されるため、正しくＤＤｏＳ攻撃防御対象サーバ２０１まで転送される。
【００２４】
攻撃終了時は、通信装置２はＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを監視してＤＤｏＳ攻撃ではないと判定し、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングしないためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４宛てに転送し、エッジルータ１０２，１０３，１０４は、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットを通信装置２宛てにルーチングしないようにルーチング設定を変更する。これにより、ＤＤｏＳ攻撃防御対象サーバ２０１宛て通信パケットは通信装置２を通らず、元のルートで転送される。
【００２５】
図３は、図１に示す通信装置１の一構成例を示している。図３において、ポート１１は図１のサーバ収容ＩＰネットワークＮ１と接続している通信ポートを示し、ポート１２は図１のＩＳＰネットワークＮ５と接続している通信ポートを示す。
【００２６】
ＤＤｏＳ攻撃被疑パケット検出部１３は、ＩＰパケット送受信部１８から受信した通信パケットを監視し、ＤＤｏＳ攻撃防御対象サーバ２０１宛てのＤＤｏＳ攻撃被疑パケットを検出し、検出時に、該パケットのトラヒックプロファイルを、トラヒックプロファイル配布部１４およびルーチング設定変更指示部１５に対して通知する。
【００２７】
トラヒックプロファイル配布部１４は、ＤＤｏＳ攻撃被疑パケット検出部１３からＤＤｏＳ攻撃被疑パケットトラヒックプロファイル受信時、該トラヒックプロファイルを通信装置アドレステーブル１６に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部１８に伝達する。
【００２８】
ルーチング設定変更指示部１５は、ＤＤｏＳ攻撃被疑パケット検出部１３からＤＤｏＳ攻撃被疑パケットトラヒックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを、エッジルータ情報アドレステーブル１７に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部１８に伝達する。
【００２９】
ＩＰパケット送受信部１８は、ポート１１から受信した通信パケットをポート１２から送出し、ポート１２から受信した通信パケットをポート１１から送出する。また、ＩＰパケット送受信部１８は、ポート１１，１２から受信した通信パケットをＤＤｏＳ攻撃被疑パケット検出部１３に伝達する。また、ＩＰパケット送受信部１８は、トラヒックプロファイル配布部１４から受信したトラヒックプロファイル情報パケットおよびルーチング設定変更指示部１５から受信したルーチング設定変更指示パケットをポート１２から送出する。
【００３０】
図４は、図３の通信装置１におけるＤＤｏＳ攻撃被疑パケット検出時の処理手順である。ＩＰパケット送受信部１８が、ポート１１から受信した通信パケットをポート１２から送出し、ポート１２から受信した通信パケットをポート１１から送出する（ステップ４０１）。そしてＩＰパケット送受信部１８が、ポート１１，１２から受信した通信パケットをＤＤｏＳ攻撃被疑パケット検出部１３に伝達し（ステップ４０２）、ＤＤｏＳ攻撃被疑パケット検出部１３が該通信パケットを監視する（ステップ４０３）。ＤＤｏＳ攻撃被疑パケットが検出された場合、ＤＤｏＳ攻撃被疑パケット検出部１３は、該パケットのトラヒックプロファイルをトラヒックプロファイル配布部１４およびルーチング設定変更指示部１５に対して通知する（ステップ４０４〜４０６）。トラヒックプロファイル配布部１４は、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルを通信装置アドレステーブル１６に格納されているアドレス宛てに転送する（ステップ４０７）。ルーチング設定変更指示部１５は、ＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを生成し（ステップ４０８）、エッジルータ情報アドレステーブル１７に格納されているアドレス宛てに転送する（ステップ４０９）。ＩＰパケット送受信部１８が、ポート１２から転送パケットを送出する（ステップ４１０）。
【００３１】
事前設定として、通信装置アドレステーブル１６に対して通信装置２のＩＰアドレスを登録し、エッジルータ情報アドレステーブル１７に対してエッジルータ１０２，１０３，１０４のＩＰアドレスを登録しておくことにより、通信装置１は、検出したＤＤｏＳ攻撃被疑パケットのトラヒックプロファイルを通信装置２に対して配布し、該トラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングするためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４に配布することができる。
【００３２】
図１に示す通信装置１の他の構成例として、図５に示すように、ＩＰパケット送受信部１８およびポート１１，１２を切り離して別装置としてもよい。ＩＰパケット送受信部１８を含む装置は、ポートＡ１４をポート１１，１２のミラーポートと設定したＨＵＢあるいはＩＰルータで構成できる。また、図５において、ポートＡ１１とＡ１２、ポートＡ１３とＡ１４をそれぞれ統合して１ポートずつとしてもよい。
【００３３】
図６は、図１に示す通信装置２の一構成例を示している。図６において、ポート２１は図１のＩＳＰネットワークＮ５と接続している通信ポートを示す。
【００３４】
トラヒックプロファイル受信部２２は、ＩＰパケット送受信部３１から受信したトラヒックプロファイルをトラヒックプロファイルテーブル２９に登録する。
【００３５】
ＤＤｏＳ攻撃判定部２４は、ＩＰパケット送受信部３１から受信した通信パケットの中で、トラヒックプロファイルテーブル２９に格納されたトラヒックプロファイルにマッチする通信パケットを監視してＤＤｏＳ攻撃かどうかを各トラヒックプロファイルごとに判定する。この時、ＤＤｏＳ攻撃であると判定したトラヒックプロファイルに対して、トラヒックプロファイルテーブル２９の該プロファイルエントリに対し、攻撃判定の登録を行う。ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルに対して、トラヒックプロファイルテーブル２９の該プロファイルエントリを削除するとともに、該トラヒックプロファイルをルーチング設定変更指示部２３に対して伝達する。また、ＤＤｏＳ攻撃判定部２４は、ＩＰパケット送受信部３１から受信した通信パケットを攻撃元特定部２５に転送する。
【００３６】
攻撃元特定部２５は、ＤＤｏＳ攻撃判定部２４から受信した通信パケットの中で、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチする通信パケットに対し、各トラヒックプロファイルごとに攻撃元情報を特定し、攻撃元情報テーブル３０に、該攻撃元情報をトラヒックプロファイル単位に登録する。また、攻撃元特定部２５は、攻撃元情報テーブル３０に登録されている攻撃元情報のうち、トラヒックプロファイルテーブル２９に攻撃判定登録済みでないトラヒックプロファイルにマッチする攻撃元情報を削除する。また、攻撃元特定部２５は、ＤＤｏＳ攻撃判定部２４から受信した通信パケットを攻撃パケットフィルタ部２６に転送する。
【００３７】
攻撃パケットフィルタ部２６は、攻撃元特定部２５から受信した通信パケットの中で、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチし、かつ、攻撃元情報テーブル３０に登録された攻撃元情報にマッチする通信パケットの廃棄を行い、廃棄されなかった通信パケットをＩＰパケット送受信部３１に転送する。
【００３８】
ルーチング設定変更指示部２３は、ＤＤｏＳ攻撃判定部２４からトラフィックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル２７に格納されているアドレス宛てにルーチングしないようにするためのルーチング設定変更指示パケットを、エッジルータ情報アドレステーブル２８に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部３１に伝達する。
【００３９】
ＩＰパケット送受信部３１は、ポート２１から受信した通信パケットをＤＤｏＳ攻撃判定部２４に伝達し、ポート２１から受信したトラヒックプロファイルをトラヒックプロファイル受信部２２に伝達する。また、ＩＰパケット送受信部３１は、攻撃パケットフィルタ部２６から受信した通信パケットおよびルーチング設定変更指示部２３から受信したルーチング設定変更指示パケットをポート２１から送出する。
【００４０】
図７は、図６の通信装置におけるＤＤｏＳ攻撃判定時の処理手順を示している。ＩＰパケット送受信部３１において、受信したパケットがトラヒックプロファイルと判定した場合、トラヒックプロファイル受信部２２は、該トラヒックプロファイルをトラヒックプロファイルテーブル２９に登録する（ステップ５０１，５０２）。そうでない場合、ＤＤｏＳ攻撃判定部２４において、ＩＰパケット送受信部３１から受信した通信パケットに対し、トラヒックプロファイルテーブル２９に格納されたトラヒックプロファイルにマッチする通信パケットを監視してＤＤｏＳ攻撃かどうかを各トラヒックプロファイルごとに判定する（ステップ５０３）。
【００４１】
攻撃であると判定した場合、ＤＤｏＳ攻撃判定部２４において、トラヒックプロファイルテーブル２９に登録されたエントリの中で、ＤＤｏＳ攻撃であると判定したトラヒックプロファイルに対応するエントリに対し、攻撃判定の登録を行う（ステップ５０４、５０５）。次に、攻撃元判定部２５において、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチする通信パケットに対し、各トラヒックプロファイルごとに攻撃元情報を特定し、攻撃元情報テーブル３０に、該攻撃元情報をトラヒックプロファイル単位に登録する（ステップ５０６）。次に、攻撃パケットフィルタ部２６において、トラヒックプロファイルテーブル２９に攻撃判定登録済みのトラヒックプロファイルにマッチし、かつ、攻撃元情報テーブル３０に登録された攻撃元情報にマッチする通信パケットを廃棄し（ステップ５０７）、ＩＰパケット送受信部３１がポート２１から廃棄されなかった通信パケットを送出する（ステップ５１３）。
【００４２】
攻撃でないと判定した場合、ＤＤｏＳ攻撃判定部２４において、ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルをトラヒックプロファイルテーブル２９から削除し（ステップ５０８、５０９）、攻撃元判定部２５において、攻撃元情報テーブル３０に登録されている攻撃元情報のうち、トラヒックプロファイルテーブル２９に攻撃判定登録済みでないトラヒックプロファイルにマッチする攻撃元情報を削除する（ステップ５１０）。次に、ルーチング設定変更指示部２３は、ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを生成し（ステップ５１１）、エッジルータ情報アドレステーブル１７に格納されているアドレス宛てに転送する（ステップ５１２）。ＩＰパケット送受信部３１が、ポート２１から転送パケットを送出する（ステップ５１３）。
【００４３】
事前設定として、通信装置アドレステーブル２７に対して通信装置２のＩＰアドレスを登録し、エッジルータ情報アドレステーブル２８に対してエッジルータ１０２，１０３，１０４のＩＰアドレスを登録しておくことにより、通信装置２は、ＤＤｏＳ攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットを通信装置２宛てにルーチングしないようにするためのルーチング設定変更指示パケットをエッジルータ１０２，１０３，１０４に配布することができる。
【００４４】
＜第２の実施形態＞
本発明の他の実施形態として、その基本的構成は図１の通りであるが、図１の通信装置１と通信装置２のルーチング設定変更指示部を切離して図８に示すように別装置としてもよい。通信装置３が、通信装置１と通信装置２から切り離されたルーチング設定変更指示部を示す。図８に示す通信装置１，２，３の一構成例を図９，１０，１１にそれぞれ示す。
【００４５】
図９の通信装置と図３の通信装置との違いについて説明する。ルーチング設定変更指示パケット配布部Ａ１５は、ＤＤｏＳ攻撃被疑パケット検出部１３からＤＤｏＳ攻撃被疑パケットトラヒックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル１６に格納されているアドレス宛てにルーチングするためのルーチング設定変更指示パケットを、通信装置アドレステーブルＡ１６に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部１８に伝達する。
【００４６】
図１０の通信装置の図６の通信装置との違いについて説明する。ルーチング設定変更指示パケット配布部Ａ２３は、ＤＤｏＳ攻撃判定部２４からトラヒックプロファイル受信時、該トラヒックプロファイルにマッチする通信パケットを通信装置アドレステーブル２７に格納されているアドレス宛てにルーチングしないようにするためのルーチング設定変更指示パケットを、通信装置アドレステーブルＡ２４に格納されているアドレスの装置宛てに転送するべく、ＩＰパケット送受信部３１に伝達する。
【００４７】
図１１において、ポートＡ３１は図１のＩＳＰネットワークＮ５と接続している通信ポートを示す。ルーチング設定変更指示部Ａ３２は、ポートＡ３１よりルーチング設定変更指示パケットを受信し、該パケットをエッジルータ情報アドレステーブルＡ３３に格納されているアドレスの装置宛てに転送するべく、ポートＡ３１に伝達する。
【００４８】
図９に示す通信装置１の他の構成例として、図５と同様に、ＩＰパケット送受信部１８およびポート１１，１２を切り離して別装置としてもよい。
【００４９】
なお、通信装置１，２，３は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００５０】
【発明の効果】
以上説明したように、本発明によれば、ＤＤｏＳ攻撃パケットを送出する可能性のある端末の数や広域性に関わらず、運用中のルータにＤＤｏＳ攻撃防御機能を盛込まず、ＤＤｏＳ攻撃防御システムを提供することができる。このため、ＩＳＰネットワークなどの大規模なＩＰネットワークに対してＤＤｏＳ攻撃防御システムを容易に導入することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態のＤＤｏＳ攻撃防御システムの構成を示す図である。
【図２】図１のシステムにおけるＤＤｏＳ攻撃防御の処理手順を示す図である。
【図３】図１の通信装置１の一構成例を示すブロック図である。
【図４】図３の通信装置におけるＤＤｏＳ攻撃被疑パケット検出時の処理手順を示す図である。
【図５】図１の通信装置１の一構成例を示すブロック図である。
【図６】図１の通信装置２の一構成例を示すブロック図である。
【図７】図６の通信装置におけるＤＤｏＳ攻撃パケット判定時の処理手順を示す図である。
【図８】本発明の第２の実施形態のＤＤｏＳ攻撃防御システムの構成を示す図である。
【図９】図８の通信装置１の一構成例を示すブロック図である。
【図１０】図８の通信装置２の一構成例を示すブロック図である。
【図１１】図８の通信装置３の一構成例を示すブロック図である。
【符号の説明】
１，２，３ 通信装置
１０１，１０２，１０３，１０４ エッジルータ
Ｎ１ サーバ収容ＩＰネットワーク
Ｎ２，Ｎ３，Ｎ４ 端末収容ＩＰネットワーク
Ｎ５ ＩＳＰネットワーク
２０１ ＤＤｏＳ攻撃防御対象サーバ
２０２，２０３ ＤＤｏＳ攻撃端末
２０４ 正規サービス利用端末
１１，１２ ポート
１３ ＤＤｏＳ攻撃被疑パケット検出部
１４ トラヒックプロファイル配布部
１５ ルーチング設定変更指示部
１６ 通信装置アドレステーブル
１７ エッジルータ情報アドレステーブル
１８ ＩＰパケット送受信部
Ａ１１，Ａ１２，Ａ１３，Ａ１４ ポート
２１ ポート
２２ トラヒックプロファイル受信部
２３ ルーチング設定変更指示部
２４ ＤＤｏＳ攻撃判定部
２５ 攻撃元特定部
２６ 攻撃パケットフィルタ部
２７ 通信装置アドレステーブル
２８ エッジルータ情報アドレステーブル
２９ トラヒックプロファイルテーブル
３０ 攻撃元情報テーブル
３１ ＩＰパケット送受信部
３０１〜３１２，４０１〜４１０，５０１〜５１３ ステップ
Ａ１５，Ａ２３ ルーチング設定変更指示パケット配布部
Ａ１６，Ａ２４ 通信装置アドレステーブル
Ａ３１ ポート
Ａ３２ ルーチング設定変更指示部
Ａ３３ エッジルータ情報アドレステーブル
Claims (12)
- 分散型サービス拒否攻撃防御システムを構成する通信装置であって、該装置を通過する通信パケットを監視して分散型サービス拒否攻撃かどうかを判定する判定手段と、攻撃元特定手段と、前記判定手段によって攻撃であると判定された場合に前記攻撃元特定手段により特定された攻撃元情報にマッチする通信パケットを廃棄するフィルタ手段と、前記判定手段によって攻撃でないと判定された場合に攻撃でないと判定したトラヒックプロファイルにマッチする通信パケットに対し、該通信装置宛てへのルーチングを解除するようにルーチング設定を変更することをルータに対して指示するルーチング設定指示生成手段を有する通信装置。
- 外部の通信装置から受信したトラヒックプロファイルをトラヒックプロファイル格納部に登録するトラヒックプロファイル登録手段をさらに有し、前記判定手段は、該装置を通過する通信パケットのうち、前記トラヒックプロファイル格納部に格納されたトラヒックプロファイルのいずれかにマッチする通信パケットを監視して、分散型サービス拒否攻撃かどうかを各トラヒックプロファイルごとに判定し、前記攻撃元特定手段は、攻撃であると判定された場合に各トラヒックプロファイルごとに攻撃元情報を特定し、前記フィルタ手段は、攻撃であると判定されたトラヒックプロファイルおよび該攻撃元情報にマッチする通信パケットを廃棄する、請求項１に記載の通信装置。
- 前記ルーチング設定指示生成手段によって生成されたルーチング設定指示に従ってルータに対してルーチング設定を実施するルーチング設定変更実施手段をさらに有する、請求項１または２に記載の通信装置。
- 前記ルーチング設定指示生成手段によって生成されたルーチング設定指示の内容を別の通信装置に対して配布するルーチング設定変更指示配布手段をさらに有する、請求項１または２記載の通信装置。
- 分散型サービス拒否攻撃防御システムを構成する通信装置であって、該装置を通過する通信パケットを監視して分散型サービス拒否攻撃被疑パケットを検出する検出手段と、該検出手段によって検出された分散型サービス拒否攻撃被疑パケットのトラヒックプロファイルにマッチする通信パケットを、設定された通信装置宛てにルーチングするようにルーチング設定を変更することをルータに対して指示するルーチング設定指示生成手段を有する通信装置。
- 前記検出手段によって検出された分散型サービス拒否攻撃被疑パケットのトラヒックプロファイルを、請求項１から４までのいずれかに記載の通信装置に対して配布するトラヒックプロファイル配布手段を有する、請求項５に記載の通信装置。
- 前記ルーチング設定指示生成手段によって生成されたルーチング設定支持に従ってルータに対してルーチング設定を実施するルーチング設定変更実施手段をさらに有する、請求項５または６に記載の通信装置。
- 前記ルーチング設定指示生成手段により生成されたルーチング設定指示の内容を別の通信装置に対して配布するルーチング設定変更指示配布手段をさらに有する、請求項５または６に記載の通信装置。
- 請求項１から３のいずれかに記載の通信装置と、請求項５から７のいずれかに記載の通信装置と、ルータを含む分散型サービス拒否攻撃防御システム。
- 請求項１、２、４のいずれかに記載の通信装置と、ルータと、該通信装置のルーチング設定変更指示配布手段によって配布されたルーチング設定指示の内容に従って前記ルータに対してルーチング設定を変更するルーチング設定変更実施手段を有する通信装置と、請求項５から７のいずれかに記載の通信装置とを含む分散型サービス拒否攻撃防御システム。
- 請求項１から３のいずれかに記載の通信装置と、請求項５、６、８のいずれかに記載の通信装置と、ルータと、該通信装置のルーチング設定変更指示配布手段によって配布されたルーチング設定指示の内容に従ってルータに対してルーチング設定を変更するルーチング設定変更実施手段を有する通信装置とを含む分散型サービス拒否攻撃防御システム。
- 請求項１、２、４のいずれかに記載の通信装置と、請求項５、６、８のいずれかに記載の通信装置と、ルータと両通信装置のルーチング設定変更指示配布手段によって配布されたルーチング設定指示の内容に従って前記ルータに対してルーチング設定を変更するルーチング設定変更実施手段を有する通信装置とを含む分散型サービス拒否攻撃防御システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003038269A JP2004248185A (ja) | 2003-02-17 | 2003-02-17 | ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003038269A JP2004248185A (ja) | 2003-02-17 | 2003-02-17 | ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004248185A true JP2004248185A (ja) | 2004-09-02 |
Family
ID=33022845
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003038269A Pending JP2004248185A (ja) | 2003-02-17 | 2003-02-17 | ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004248185A (ja) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006165910A (ja) * | 2004-12-06 | 2006-06-22 | Mitsubishi Electric Corp | 不正侵入検知システム、不正侵入検知装置および管理装置 |
| JP2006311048A (ja) * | 2005-04-27 | 2006-11-09 | Nec Corp | 帯域制御装置 |
| JP2007006490A (ja) * | 2005-06-21 | 2007-01-11 | Avaya Technology Llc | 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法 |
| WO2009064114A2 (en) * | 2007-11-12 | 2009-05-22 | Ahnlab., Inc. | Protection method and system for distributed denial of service attack |
| JP2011045056A (ja) * | 2009-08-19 | 2011-03-03 | Avaya Inc | コール・トレーシングの向上方法 |
| US8149705B2 (en) | 2006-01-10 | 2012-04-03 | Alaxala Networks Corporation | Packet communications unit |
| US8302179B2 (en) | 2006-12-13 | 2012-10-30 | Avaya Inc. | Embedded firewall at a telecommunications endpoint |
| US8510822B2 (en) | 2007-03-08 | 2013-08-13 | Nec Corporation | Communication system, reliable communication mechanism, and communication method used for the same |
| JP2018191268A (ja) * | 2017-04-28 | 2018-11-29 | エーオー カスペルスキー ラボＡＯ Ｋａｓｐｅｒｓｋｙ Ｌａｂ | ＤＤｏＳ攻撃の検出時のトラフィックフィルタリングのシステムおよび方法 |
| US20210067490A1 (en) * | 2019-08-30 | 2021-03-04 | Fujitsu Limited | Network management device, method for managing network, and network system |
-
2003
- 2003-02-17 JP JP2003038269A patent/JP2004248185A/ja active Pending
Cited By (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006165910A (ja) * | 2004-12-06 | 2006-06-22 | Mitsubishi Electric Corp | 不正侵入検知システム、不正侵入検知装置および管理装置 |
| JP2006311048A (ja) * | 2005-04-27 | 2006-11-09 | Nec Corp | 帯域制御装置 |
| JP4535275B2 (ja) * | 2005-04-27 | 2010-09-01 | 日本電気株式会社 | 帯域制御装置 |
| JP4638839B2 (ja) * | 2005-06-21 | 2011-02-23 | アバイア テクノロジー エルエルシー | 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法 |
| JP2007006490A (ja) * | 2005-06-21 | 2007-01-11 | Avaya Technology Llc | 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法 |
| US8149705B2 (en) | 2006-01-10 | 2012-04-03 | Alaxala Networks Corporation | Packet communications unit |
| US8302179B2 (en) | 2006-12-13 | 2012-10-30 | Avaya Inc. | Embedded firewall at a telecommunications endpoint |
| US8510822B2 (en) | 2007-03-08 | 2013-08-13 | Nec Corporation | Communication system, reliable communication mechanism, and communication method used for the same |
| WO2009064114A3 (en) * | 2007-11-12 | 2009-07-02 | Ahnlab Inc | Protection method and system for distributed denial of service attack |
| WO2009064114A2 (en) * | 2007-11-12 | 2009-05-22 | Ahnlab., Inc. | Protection method and system for distributed denial of service attack |
| JP2011045056A (ja) * | 2009-08-19 | 2011-03-03 | Avaya Inc | コール・トレーシングの向上方法 |
| JP2018191268A (ja) * | 2017-04-28 | 2018-11-29 | エーオー カスペルスキー ラボＡＯ Ｋａｓｐｅｒｓｋｙ Ｌａｂ | ＤＤｏＳ攻撃の検出時のトラフィックフィルタリングのシステムおよび方法 |
| US10693907B2 (en) | 2017-04-28 | 2020-06-23 | AO Kaspersky Lab | System and method of traffic filtering upon detection of a DDoS attack |
| US11025667B2 (en) | 2017-04-28 | 2021-06-01 | AO Kaspersky Lab | System and method for applying a plurality of interconnected filters to protect a computing device from a distributed denial-of-service attack |
| US20210067490A1 (en) * | 2019-08-30 | 2021-03-04 | Fujitsu Limited | Network management device, method for managing network, and network system |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP2612488B1 (en) | Detecting botnets | |
| US8156557B2 (en) | Protection against reflection distributed denial of service attacks | |
| JP5524737B2 (ja) | 偽装されたネットワーク情報を検出する方法および装置 | |
| JP5826920B2 (ja) | 遮断サーバを用いたスプーフィング攻撃に対する防御方法 | |
| US20060212572A1 (en) | Protecting against malicious traffic | |
| JP2006352274A (ja) | フレーム転送制御装置、ＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システム | |
| WO2002025402A2 (en) | Systems and methods that protect networks and devices against denial of service attacks | |
| JP2004248185A (ja) | ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置 | |
| WO2003050644A2 (en) | Protecting against malicious traffic | |
| EP1461704B1 (en) | Protecting against malicious traffic | |
| JP2010193083A (ja) | 通信システムおよび通信方法 | |
| JP2006067078A (ja) | ネットワークシステムおよび攻撃防御方法 | |
| JP4641848B2 (ja) | 不正アクセス探索方法及び装置 | |
| KR20170109949A (ko) | 동적 네트워크 환경에서의 네트워크 보안 강화 방법 및 장치 | |
| JP2004164107A (ja) | 不正アクセス監視システム | |
| KR20100048105A (ko) | 네트워크 관리 장치 및 그 방법과 이를 위한 사용자 단말기및 그의 기록 매체 | |
| JP3784799B2 (ja) | 攻撃パケット防御システム | |
| JP4326423B2 (ja) | 管理装置および不正アクセス防御システム | |
| JP2006325091A (ja) | ネットワーク攻撃防御システム | |
| EP3270569B1 (en) | Network protection entity and method for protecting a communication network against malformed data packets | |
| JP2003298628A (ja) | サーバ保護ネットワークシステム、サーバおよびルータ | |
| KR101080734B1 (ko) | 스푸핑 방지 방법 및 장치 | |
| JP2008028720A (ja) | 送信元ｉｐアドレス詐称ｉｐパケットを制御可能なｉｐネットワーク装置および送信元ｉｐアドレス詐称ｉｐパケット制御方法 | |
| KR20090132787A (ko) | 소스 주소 이상 트래픽 차단 시스템 및 방법 | |
| JP2005130190A (ja) | 攻撃パケット防御システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20050614 |