JP2004328307A

JP2004328307A - 攻撃防御システム、攻撃防御制御サーバおよび攻撃防御方法

Info

Publication number: JP2004328307A
Application number: JP2003119336A
Authority: JP
Inventors: Mitsuru Tsuchida; 充土田; Shinobu Atozawa; 忍後沢; 和幸 ▲か▼島; Kazuyuki Kashima; Hideaki Yamanaka; 秀昭山中
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2003-04-24
Filing date: 2003-04-24
Publication date: 2004-11-18

Abstract

【課題】効率良く、かつ攻撃パケットの入力エッジルーターを見落とすことなく検出することが可能な攻撃防御機能をＩＰ通信ネットワーク上に実現するようにする。
【解決手段】パケット監視装置は、ネットワークにおける転送パケットの統計情報を集計し、前記集計された統計情報に基づいて攻撃パケットを検出し、前記集計された統計情報と前記検出された検出情報とを出力し、攻撃防御制御サーバは、前記統計情報を収集し、前記収集された統計情報と、前記出力された前記検出情報とに基づいて、攻撃防御処理を決定して通知するとともに、前記パケット監視装置は、この通知に基づいて、攻撃を防御する処理を行う構成にする。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
この発明は、インターネットアクセス等のＩＰ通信サービスを提供するためのＩＰ通信ネットワークに関するものである。
【０００２】
【従来の技術】
近年、アクセスネットワーク・コアネットワークの広帯域化、端末装置の高性能化により、インターネットの利用はますます増大している。こうした中で、Ｗｅｂサイトのダウンや各種サーバへの不正侵入を狙った悪意の攻撃が行われる危険性も高まっており、これらの攻撃に対する対策が重要となってきている。従来、こうした攻撃に対する防御策としては、インターネットと接する各個別のローカルエリアネットワーク入り口にファイアウォールを設置してインターネット側からローカルエリアへの不要な侵入を防ぐとともに、外部からのアクセスを許す各種サーバ等に対しては、ファイアウォールと連動する侵入検出システム（ＩＤＳ：ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）を設置することにより、ローカルエリアネットワークの入り口で攻撃を食い止めるか、公開しているサーバ自身にＩＤＳ機能を実装することによりガードすることが一般的であった。
【０００３】
またさらに、今後、ますますＩＰ通信サービスのユーザが増大するにつれ、こうした攻撃に対する防御の知識や経験に乏しいユーザでも安心して使えるセーフティなＩＰ通信サービスが求められるようになる。
【０００４】
上述したＩＤＳにおいては、一般に、攻撃検出対象のパケット流の攻撃パターンを記述した“シグネチャ”と呼ばれるルールに照らし合わせて攻撃を検出する方法や、パケット流の振る舞いを常時統計監視し、通常と異なる振る舞いを示すと攻撃と見なす方法が用いられる。しかしながら、こうした検出方法では、ネットワークに接続される数多くの端末装置を操作して、一斉に特定のサーバへアクセスさせるいわゆる分散型ＤｏＳ（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃への対処は困難である。分散ＤｏＳ攻撃を受けると、被攻撃サーバでのサービス提供が不能になることに加えて、攻撃パケットのトラヒックが負荷となり、ネットワーク全体のパフォーマンスが低下する。このため、攻撃パケットの入力をできる限り上流で遮断することが必要であるが、分散型ＤｏＳ攻撃においては、攻撃元の特定を難しくするため、しばしば、パケットの送信元アドレスが詐称される。
【０００５】
パケット送信元アドレスを詐称した分散型ＤｏＳ攻撃に対する防御方法としては、例えば、ＵＵＮＥＴ社ＲｏｂｅｒｔＳｔｏｎｅによる文献”ＣｅｎｔｅｒＴｒａｃｋ：ＡｎＩＰＯｖｅｒｌａｙＮｅｔｗｏｒｋｆｏｒＴｒａｃｋｉｎｇＤｏＳＦｌｏｏｄｓ”（ＮＡＮＯＧ１７，Ｏｃｔｏｂｅｒ１９９９）があり、この文献では、出力パケットフローに基づいて分散型ＤｏＳ攻撃を検出したエッジルーターから、ＨｏｐｂｙＨｏｐに攻撃パケットの入力ルーターを逆探索していく方法や、その改良型として通常のパケット転送ネットワークとは別に構築されたオーバーレイネットワーク上を逆探索していく方法（ＣｅｎｔｅｒＴｒａｃｋ）が提案されている。また、特開２００２−１６４９３８号公報「分散型サービス不能攻撃の防止方法および装置ならびにそのコンピュータプログラム」では、分散ＤｏＳ攻撃を検出したエッジルーターから、攻撃パケットの上流に向かって、パケットフィルタリング機能そのものが順次送出されていき、攻撃防御を行う方法が記述されている。
【０００６】
【特許文献１】
特開２００２−１６４９３８号公報
【０００７】
【非特許文献１】
ＣｅｎｔｅｒＴｒａｃｋ：ＡｎＩＰＯｖｅｒｌａｙＮｅｔｗｏｒｋｆｏｒＴｒａｃｋｉｎｇＤｏＳＦｌｏｏｄｓ（ＮＡＮＯＧ１７，Ｏｃｔｏｂｅｒ１９９９）
【０００８】
【発明が解決しようとする課題】
しかし、従来の分散型ＤｏＳ攻撃に対する防御方法は、上述のように、攻撃パケットの転送経路を１Ｈｏｐずつ特定して逆探索していく方法であるため、攻撃パケットの入力箇所を特定するまでに数段階の網内探索が必要であり、結果判定に至るまでの手間がかかり、時間を要するという問題点があった。また、逆探索する網のトポロジーを簡単化して探索時間を短縮するＣｅｎｔｅｒＴｒａｃｋ方式であっても、各攻撃パケット送信元から断続的に攻撃パケットが入力されるようなパターンでは、次Ｈｏｐ逆探索処理中に、たまたま攻撃パケット入力が中断すると、入力エッジルーターの見落としが発生する可能性があり、すべての攻撃パケット入力エッジルーターの検出に至れないことがあるという問題があった。
【０００９】
この発明は、上記のような問題点を解決するためになされたもので、効率良く、かつ攻撃パケットの入力エッジルーターを見落とすことなく検出することが可能な攻撃防御機能をＩＰ通信ネットワーク上に実現することを目的とする。
【００１０】
【課題を解決するための手段】
この発明に係る攻撃防御システムは、ネットワークにおける転送パケットの統計情報を集計する統計処理手段と、前記統計処理手段により集計された統計情報に基づいて攻撃パケットを検出する攻撃検出手段と、前記統計処理手段により集計された統計情報と、前記攻撃検出手段により検出された検出情報とを出力するサーバ通知手段と、外部からの通知に基づいて攻撃を防御する処理を行う攻撃防御処理手段とを有するパケット監視装置と、前記サーバ通知手段により出力された前記統計情報を収集する統計情報収集手段と、前記統計情報収集手段により収集された統計情報と、前記サーバ通知手段により出力される前記検出情報とに基づいて、攻撃防御処理を決定して前記パケット監視装置に通知する攻撃防御処理決定手段とを有する攻撃防御制御サーバとを備えるとともに、前記パケット監視装置における前記攻撃防御処理手段は、前記攻撃防御制御サーバにおける前記攻撃防御処理決定手段からの攻撃防御処理の通知に基づいて、攻撃を防御する処理を行うものである。
【００１１】
【発明の実施の形態】
実施の形態１．
図１は、この発明の通信ネットワークにおける攻撃防御システムの構成を示す説明図である。図１において、ＩＰネットワーク１を介してエッジルーター２ａ〜２ｄ、攻撃防御制御サーバ３が接続されており、エッジルーター２を介して外部ＩＰネットワーク４、ローカルエリアネットワーク５ａ〜５ｄが接続されている。また、ローカルエリアネットワーク５には、情報処理端末６ａ〜６ｆが収容されている。この情報処理端末６は、各種アプリケーションにて、サーバとして動作する場合もある。
なお、本実施の形態１では、エッジルーター２における入力パケットとはＩＰネットワーク１に入力されるパケットを示し、出力パケットとはＩＰネットワーク１から出力されるパケットを示すものとする。
【００１２】
また、図２は、この発明のパケット管理機能を備えたエッジルーターの構成を示す説明図である。図２において、エッジルーター２はパケット監視装置２０を備え、このパケット監視装置２０は、入出力パケットの統計情報を集計する統計処理手段２１と、統計処理手段２１による出力パケットの統計情報に基づいて攻撃を検出する攻撃検出手段２２と、統計処理手段２１による入力パケットの統計情報、攻撃検出手段２２による攻撃の検出情報を、攻撃防御制御サーバ３へ通知するサーバ通知手段２３と、攻撃防御サーバ３からの攻撃防御処理指示に従って処理を行う攻撃防御処理手段２４とを備える。また、その他図示しないエッジルーターのルーティング機能等については従来と同様である。
【００１３】
また、図３は、この発明の攻撃防御制御サーバ３の構成を示す説明図である。図３において、攻撃防御制御サーバ３は、各エッジルーター２のパケット監視装置２０からの統計情報通知に基づいて入力パケットの統計情報を収集する統計情報収集手段３１と、この統計情報収集手段３１により収集された入力パケットの統計情報を保存するパケット統計情報ＤＢ３２と、ネットワーク構成情報ＤＢ３３とを備える。また、パケット統計情報ＤＢ３２に保存された統計情報と、ネットワーク構成情報ＤＢ３３のネットワーク構成情報とに基づいて攻撃防御処理を決定してパケット監視装置２０に通知する攻撃防御処理決定手段３４を備える。
【００１４】
また、図４は、この発明の攻撃防御システムの動作シーケンスを示す説明図である。
図１〜４を用いて、動作について以下に説明する。
まず、エッジルーター２ａ〜２ｄでは、起動された後、統計処理手段２１がＩＰネットワーク１に入力されるパケットフローを監視し、一定期間、宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル種別、パケット長等のデータ及びユーザデータの一部或いは全部（ログ情報等）や、それらをパラメータとしたカウンタ値を統計情報として保持し、サーバ通知手段２３がこの入力パケットの統計情報を周期的に攻撃防御制御サーバ３に通知する（図４のＳＱ７０１）。
【００１５】
これに対して攻撃防御制御サーバ３では、統計情報収集手段３１がエッジルーター２ａ〜２ｄから入力パケットの統計情報を受け取り、パケット統計情報ＤＢ３２に保存する。
【００１６】
ここで、エッジルーター２ａにおいて、統計処理手段２１により集計されたＩＰネットワーク１から出力されるパケットフローの統計情報（宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル種別、パケット種別、パケット長等のデータの一部或いは全部（ログ情報等）や、それらをパラメータとしたカウンタ値）に基づいて、攻撃検出手段２２がローカルエリアネットワーク５ａに収容される情報処理端末６ａに対するＤｏＳ攻撃を検出した場合、サーバ通知手段２３は、攻撃パケットと判断した統計情報を含む攻撃検出通知を、攻撃防御制御サーバ３に通知する（図４のＳＱ７０２）。
【００１７】
これに対して、攻撃防御制御サーバ３における攻撃防御処理決定手段３４は、エッジルーター２ａから攻撃検出通知を受け取ると、この攻撃検出通知に含まれる情報と、パケット統計情報ＤＢ３２に保存された各エッジルーター２ａ〜２ｄの入力パケットの統計情報と、ネットワーク構成情報ＤＢ３３に保存されたネットワーク構成情報とに基づいて分析を行って、攻撃パケットを特定するための条件及びその攻撃パケットが入力されているエッジルーター２を特定する。そして、攻撃防御処理決定手段３４は、この特定した攻撃パケットが入力されるエッジルーター２に対して、分析結果に基づいて抽出された攻撃パケットの特定条件に合致する攻撃パケットの入力の遮断或いは帯域の削減を実施するよう攻撃防御処理指示を送出する（図４のＳＱ７０３）。
【００１８】
ここで例えば、単一の攻撃元によるＤｏＳ攻撃で、攻撃パケットが入力されているエッジルーターはエッジルーター２ｃであると特定されると、攻撃防御処理決定手段３４により、エッジルーター２ｃに対して、分析結果に基づいて抽出された攻撃パケットの特定条件に合致する攻撃パケットの入力の遮断或いは帯域の削減を実施するよう攻撃防御処理指示が送出される。
また例えば、複数の攻撃元による分散型ＤｏＳ攻撃で、攻撃パケットが入力されているエッジルーターはエッジルーター２ｂ、２ｃであると特定されると、攻撃防御処理決定３４により、エッジルーター２ｂ、２に対して、攻撃パケットの宛先アドレス及び送信元アドレス情報を含む攻撃パケットの入力を遮断するよう攻撃防御処理指示が送出される。図４では、攻撃パケットが入力されているエッジルーターはエッジルーター２ｂ、２ｃであると特定された場合について示している。
【００１９】
そして、エッジルーター２ｂ、２ｃでは、攻撃防御制御サーバ３から攻撃パケットの入力を遮断するよう攻撃防御処理指示を受け取った攻撃防御処理手段２４が、この指示により指定された攻撃パケットの特定条件に合致する入力パケットの廃棄或いは帯域の削減を実施する。これにより、攻撃パケットがＩＰネットワーク１内への流入を防御することができる。
【００２０】
上記の攻撃防御処理の後も、攻撃防御制御サーバ３の統計情報収集手段３１は攻撃防御処理指示を受けたエッジルーター２ｂ、２ｃの入力パケットの統計情報を収集しており（図４のＳＱ７０４）、統計情報収集手段３１経由で蓄積されたパケット統計情報ＤＢ３２の統計情報に基づいて、攻撃防御制御処理決定手段３４が遮断の対象としていた攻撃パケットの入力が無くなったと判断すると、エッジルーター２ｂ、２ｃに対して、攻撃パケットの入力遮断を解除するよう攻撃防御処理指示を送出する（図４のＳＱ７０５）。
【００２１】
すると、エッジルーター２ｂ、２ｃでは、攻撃防御制御サーバ３から攻撃パケットの入力遮断を解除するよう攻撃防御処理指示を受け取った攻撃防御処理手段２４が、この指示により該当する入力パケットの廃棄処理を停止し、ＤｏＳ攻撃が検出される前の状態に戻る。
【００２２】
以上のように、この発明による攻撃防御システムでは、周期的に収集している各エッジルーターの入力パケット統計情報に基づいて、攻撃パケットの入力エッジルーターを特定するようにしているため、出力側でＤｏＳ攻撃が検出されたことを契機として、効率良く、かつ攻撃パケットの入力が断続的であったとしても取りこぼすことなく、その攻撃パケットの入力エッジルーターを特定することができ、ＤｏＳ攻撃からＩＰネットワークを防御することができる。特に、送信元アドレスを詐称した分散型ＤｏＳ攻撃の場合においても、効率良く、かつ攻撃パケットの入力エッジルーターを見落とすことなく検出することができる。
【００２３】
また、各エッジルーターの入力パケット統計情報に基づいているため、既知のＤｏＳ攻撃だけでなく、未知のＤｏＳ攻撃に対しても、柔軟に対応することができる。
【００２４】
また、本実施の形態１では、エッジルーター２内にパケット監視装置２０を備えた場合について説明したが、エッジルーター２の入出力パケットを管理できればこれに限られず、エッジルーター２とは別に設けても同様の効果を得ることができる。
【００２５】
また、本実施の形態１では、エッジルーター２内にパケット監視装置２０を備えた場合について説明したが、パケットを転送する装置であればこれに限られず、エッジルーター以外のネットワーク終端装置にパケット監視装置２０を設けても同様の効果を得ることができる。この場合も、パケット監視装置２０をルーター等に内蔵しても、別に設けてもよい。
【００２６】
また、本実施の形態１では、統計処理手段２１により集計された統計情報に基づいて攻撃検出手段２２が攻撃を検出して攻撃検出通知を行い、攻撃防御処理決定手段３４がこの攻撃検出通知とパケット統計情報ＤＢ３２の情報とに基づいて攻撃パケットを特定するための条件とその攻撃パケットが入力されているエッジルーター２を特定する場合について説明したが、シグネチャ等により攻撃検出手段２２が攻撃を検出して攻撃検出通知（シグネチャ、ログ等を含む）を行い、攻撃防御処理決定手段３４がこの攻撃検出通知とパケット統計情報ＤＢ３２の情報とに基づいて攻撃パケットが入力されているエッジルーター２を特定する場合もある。
【００２７】
実施の形態２．
上記実施の形態１では、入力パケットの統計情報を周期的に攻撃防御制御サーバ３に通知する場合について説明したが、本実施の形態２では、ＤｏＳ攻撃を検出したら入力パケットの統計情報を攻撃防御制御サーバ３に通知する場合について説明する。
【００２８】
図５は、本実施の形態２における攻撃防御システムの動作シーケンスを示す説明図である。その他攻撃防御システムの構成、エッジルーターの構成、攻撃防御制御サーバの構成については、上記実施の形態１と同様である。
【００２９】
エッジルーター２ａにおいて、統計処理手段２１により集計されたＩＰネットワーク１から出力されるパケットフローの統計情報に基づいて、攻撃検出手段２２がローカルエリアネットワーク５ａに収容される情報処理端末６ａに対するＤｏＳ攻撃を検出した場合、サーバ通知手段２３は、攻撃パケットと判断した統計情報を含む攻撃検出通知を、攻撃防御制御サーバ３に通知する（ＳＱ８０１）。
【００３０】
攻撃検出通知を受け取った攻撃防御制御サーバ３の統計情報収集手段３１は、各エッジルーター２に対して、入力パケットの統計情報を要求する（ＳＱ８０２）。
【００３１】
入力パケットの統計情報の要求を受け取ったエッジルーター２のサーバ通知手段２３は、攻撃防御制御サーバ３に対して、統計処理手段２１により集計された入力パケットの統計情報を通知する（ＳＱ８０３）。これに対して攻撃防御制御サーバ３では、統計情報収集手段３１がエッジルーター２ａ〜２ｄから入力パケットの統計情報を受け取り、パケット統計情報ＤＢ３２に保存する。
【００３２】
そして、攻撃防御制御サーバ３における攻撃防御処理決定手段３４は、エッジルーター２ａから受け取った攻撃検出通知に含まれる情報と、パケット統計情報ＤＢ３２に保存された各エッジルーター２ａ〜２ｄの入力パケットの統計情報と、ネットワーク構成情報ＤＢ３３に保存されたネットワーク構成情報とに基づいて分析を行って、攻撃パケットを特定するための条件及びその攻撃パケットが入力されているエッジルーター２を特定し、さらに、この特定した攻撃パケットが入力されるエッジルーター２に対して、分析結果に基づいて抽出された攻撃パケットの特定条件に合致する攻撃パケットの入力の遮断或いは帯域の削減を実施するよう攻撃防御処理指示を送出する（ＳＱ８０４）。図５では、図４と同様に、攻撃パケットが入力されているエッジルーターはエッジルーター２ｂ、２ｃであると特定された場合について示している。
【００３３】
エッジルーター２ｂ、２ｃでは、攻撃防御制御サーバ３から攻撃パケットの入力を遮断するよう攻撃防御処理指示を受け取った攻撃防御処理手段２４が、この指示により指定された宛先アドレス及び送信元アドレスに合致する入力パケットを廃棄する。
【００３４】
上記攻撃防御処理の後、攻撃防御制御サーバ３の統計情報収集手段３１は、攻撃防御処理指示を送出した各エッジルーター２に対して、周期的にあるいは一定時間経過後に入力パケットの統計情報を要求する（ＳＱ８０５）。そして、入力パケットの統計情報の要求を受け取ったエッジルーター２の統計処理手段２１は、攻撃防御制御サーバ３に対して、入力パケットの統計情報を通知する（ＳＱ８０６）。図５では、周期的に、入力パケットの統計情報を要求し、通知を返す場合について示している。
【００３５】
統計情報収集手段３１経由で蓄積されたパケット統計情報ＤＢ３２の統計情報に基づいて、攻撃防御制御処理決定手段３４が遮断の対象としていた攻撃パケットの入力が無くなったと判断すると、エッジルーター２ｂ、２ｃに対して、攻撃パケットの入力遮断を解除するよう攻撃防御処理指示を送出する（ＳＱ８０７）。すると、エッジルーター２ｂ、２ｃでは、攻撃防御制御サーバ３から攻撃パケットの入力遮断を解除するよう攻撃防御処理指示を受け取った攻撃防御処理手段２４が、この指示により該当する入力パケットの廃棄処理を停止し、ＤｏＳ攻撃が検出される前の状態に戻る。
【００３６】
以上のように、本実施の形態２における攻撃防御システムでは、ＤｏＳ攻撃を検出したら入力パケットの統計情報を攻撃防御制御サーバ３に通知するようにしたため、ネットワーク規模が大きく、エッジルーターからの入力パケットの統計情報が膨大となるような場合でも、効率良く、処理することができる。
【００３７】
また、本実施の形態２では、ＳＱ８０５において、攻撃防御処理指示を送出した各エッジルーター２に対して、入力パケットの統計情報を要求する場合について説明したが、これに限られず、各エッジルータに要求しても同様の効果を得ることができる。
【００３８】
つまり、実施の形態１では、攻撃防御制御サーバ３に必要なエッジルーターの入力パケットの統計情報を得ることができれば、どのような手順で統計情報を収集してもよく、実施の形態２では、攻撃防御制御サーバ３において効率的に必要なエッジルーターの入力パケットの統計情報を得ることができれば、どのような手順で統計情報を収集してもよい。
【００３９】
実施の形態３．
上記実施の形態１、２では、攻撃防御制御サーバ３が１台でネットワーク全体を管理する場合について説明したが、攻撃防御制御サーバ３を複数台設けてネットワーク全体を管理する場合でも同様の効果を得ることができる。ここで、攻撃防御制御サーバ３を複数台設けるとは、図１に示すようなネットワーク（エリア）を１台の攻撃防御制御サーバ３で管轄し、それぞれの攻撃防御制御サーバが別々のエリアを管轄し、一つの大きなネットワークを形成する場合などであるが、物理的に攻撃防御制御サーバ３が複数台存在していても、これら複数台の攻撃防御制御サーバ３が互いに連携して一つの論理的な攻撃防御制御サーバ３として動作することにより、同様の効果を得ることができる。
【００４０】
本実施の形態３における攻撃防御システムでは、攻撃防御制御サーバ３を複数台設けてネットワーク全体を管理することにより、更に、ネットワーク規模が大きい場合でも、負荷を分散し、効率良く処理することができるという効果がある。
【００４１】
【発明の効果】
以上のように、ネットワークにおける転送パケットの統計情報を集計する統計処理手段と、前記統計処理手段により集計された統計情報に基づいて攻撃パケットを検出する攻撃検出手段と、前記統計処理手段により集計された統計情報と、前記攻撃検出手段により検出された検出情報とを出力するサーバ通知手段と、外部からの通知に基づいて攻撃を防御する処理を行う攻撃防御処理手段とを有するパケット監視装置と、前記サーバ通知手段により出力された前記統計情報を収集する統計情報収集手段と、前記統計情報収集手段により収集された統計情報と、前記サーバ通知手段により出力される前記検出情報とに基づいて、攻撃防御処理を決定して前記パケット監視装置に通知する攻撃防御処理決定手段とを有する攻撃防御制御サーバとを備えるとともに、前記パケット監視装置における前記攻撃防御処理手段は、前記攻撃防御制御サーバにおける前記攻撃防御処理決定手段からの攻撃防御処理の通知に基づいて、攻撃を防御する処理を行うことにより、効率良く、かつ攻撃パケットの入力エッジルーターを見落とすことなく検出することができる。
【図面の簡単な説明】
【図１】通信ネットワークにおける攻撃防御システムの構成を示す説明図
【図２】パケット管理機能を備えたエッジルーターの構成を示す説明図
【図３】攻撃防御制御サーバ３の構成を示す説明図
【図４】攻撃防御システムの動作シーケンスを示す説明図
【図５】実施の形態２における攻撃防御システムの動作シーケンスを示す説明図
【符号の説明】
１ＩＰネットワーク
２ａ、２ｂ、２ｃ、２ｄエッジルーター
３攻撃防御制御サーバ
４外部ＩＰネットワーク
５ａ、５ｂ、５ｃ、５ｄローカルエリアネットワーク
６ａ、６ｂ、６ｃ、６ｄ、６ｅ、６ｆ情報処理端末
２０パケット監視装置
２１統計処理手段
２２攻撃検出手段
２３サーバ通知手段
２４攻撃防御処理手段
３１統計情報収集手段
３２パケット統計情報ＤＢ
３３ネットワーク構成情報ＤＢ
３４攻撃防御処理決定手段

Claims

ネットワークにおける転送パケットの統計情報を集計する統計処理手段と、
前記統計処理手段により集計された統計情報に基づいて攻撃パケットを検出する攻撃検出手段と、
前記統計処理手段により集計された統計情報と、前記攻撃検出手段により検出された検出情報とを出力するサーバ通知手段と、
外部からの通知に基づいて攻撃を防御する処理を行う攻撃防御処理手段と
を有するパケット監視装置と、
前記サーバ通知手段により出力された前記統計情報を収集する統計情報収集手段と、
前記統計情報収集手段により収集された統計情報と、前記サーバ通知手段により出力される前記検出情報とに基づいて、攻撃防御処理を決定して前記パケット監視装置に通知する攻撃防御処理決定手段と
を有する攻撃防御制御サーバと
を備えるとともに、
前記パケット監視装置における前記攻撃防御処理手段は、前記攻撃防御制御サーバにおける前記攻撃防御処理決定手段からの攻撃防御処理の通知に基づいて、攻撃を防御する処理を行うことを特徴とする攻撃防御システム。
前記サーバ通知手段は、周期的に統計情報を出力する
ことを特徴とする請求項１記載の攻撃防御システム。
前記統計情報収集手段は、前記攻撃検出手段により検出された検出情報に基づいて前記統計情報を要求し、
前記サーバ通知手段は、前記統計情報収集手段による前記統計情報の要求に基づいて前記統計処理手段により処理された統計情報を出力する
ことを特徴とする請求項１記載の攻撃防御システム。
ネットワークにおける転送パケットの統計情報を収集する統計情報収集手段と、
前記統計情報収集手段により収集された統計情報と、攻撃パケットの検出情報とに基づいて、攻撃防御処理を決定する攻撃防御処理決定手段と
を備えることを特徴とする攻撃防御制御サーバ。
パケット監視装置は、
ネットワークにおける転送パケットの統計情報を集計し、
前記集計された統計情報に基づいて攻撃パケットを検出し、
前記集計された統計情報と前記検出された検出情報とを出力し、
攻撃防御制御サーバは、
前記統計情報を収集し、
前記収集された統計情報と、前記出力された前記検出情報とに基づいて、攻撃防御処理を決定して通知するとともに、
前記パケット監視装置は、この通知に基づいて、攻撃を防御する処理を行う
ことを特徴とする攻撃防御方法。