JP2004343580A

JP2004343580A - Gateway

Info

Publication number: JP2004343580A
Application number: JP2003139801A
Authority: JP
Inventors: Yuichi Suwa; 裕一諏訪; Kazuhito Hayashi; 和仁林
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-05-19
Filing date: 2003-05-19
Publication date: 2004-12-02
Anticipated expiration: 2023-05-19
Also published as: JP3974554B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide a gateway which can provide a communication by an SIP (Session Initiation Protocol) without causing a system down for a DoS (Denial Of Service) which induces the system down by transmission of large amounts of SIP messages. <P>SOLUTION: A gateway is provided with system operating state collecting means for collecting an operating state of the gateway, and reception signal selecting means for accepting all of new SIP messages when the operating state collected by the system operating state collecting means is equal to or less than a fixed level, accepting new SIP messages at a fixed ratio and refusing other new SIP messages when the operating state collected by the system operating state collecting means is over a fixed level, and accepting SIP messages for a session continuation or a subsequent signal of an accepted SIP message. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、ゲートウェイに係り、特に、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信の提供を可能にするＳＩＰアプリケーションレベルゲートウェイに関する。
【０００２】
【従来の技術】
インターネット上での攻撃で代表的なものとして、ＤｏＳ（ＤｅｎｉａｌＯｆＳｅｒｖｉｃｅ：サービス拒否）攻撃がある。
このＤｏＳ攻撃は、インターネット上の各種サーバに対して大量の（無意味な）サービス接続要求を送り付け、サーバの負荷を高めて、サーバを過負荷でダウンさせたり、ほかの正当なユーザーへのサービスを妨げたりする攻撃である。
このＤｏＳ攻撃は、ファイアウォールを設置し、通過が許可されていないパケットを破棄することで防ぐことが可能である（例えば、非特許文献参照）。
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【特許文献１】
特開２００２−１５８６９９号公報
「ＤｏＳ攻撃防止方法および装置およびシステムおよび記憶媒体」
【０００４】
【発明が解決しようとする課題】
前述したように、ＤｏＳ攻撃は、ファイアウォールにより、通過が許可されていないパケットを破棄することで防ぐことが可能である。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号である５０６０［ＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ），ＴＣＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ），ＳＣＴＰ（ＳｔｒｅａｍＣｏｎｔｒｏｌＴｒａｎｓｍｉｓｓｉｏｎＰｒｏｔｏｃｏｌ）］や５０６１［ＴＬＳ（ＴｒａｎｓｐｏｒｔＬａｙｅｒＳｅｃｕｒｉｔｙ）］であれば通過を許容する場合、悪意を持ったユーザがＳＩＰメッセージを大量に送信することで、ＳＩＰメッセージを処理するシステムを過負荷によりサービスが停止してしまうことになる。
本発明は、このような課題を解決するものであって、本発明の目的は、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能なゲートウェイを提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【０００５】
【課題を解決するための手段】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
即ち、本発明は、複数の端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行うＳＩＰメッセージ送受信手段と、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行うアドレス変換手段と、ＳＩＰメッセージ内に記述されたＲＴＰ用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行うＦｉｒｅｗａｌｌ制御手段とを備えるゲートウェイであって、ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備えることを特徴とする。
また、本発明は、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でＳＩＰメッセージの送受信を行うノード装置であって、前記ノード装置が、前述のゲートウェイを備えることを特徴とする。
【０００６】
本発明によれば、ゲートウェイの稼動状況を収集し、ゲートウェイの稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を破棄するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付けるようにしたので、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ゲートウェイのシステムダウンを発生させずに、ゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することが可能となる。
【０００７】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
なお、実施の形態を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
同図に示すように、本実施の形態のＳＩＰアプリケーションレベルゲートウェイは、ＳＩＰメッセージ送受信機能１０と、受信信号選択機能１１と、システム稼動状況収集機能１２と、アドレス変換機能１３と、Ｆｉｒｅｗａｌｌ制御機能１４とを備える。
ＳＩＰメッセージ送受信機能１０は、複数のＩＰ端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行う。
アドレス変換機能１３は、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行う。
Ｆｉｒｅｗａｌｌ制御機能１４は、ＳＩＰメッセージ内に記述されたＲＴＰ（Ｒｅａｌ−ｔｉｍｅＴｒａｎｓｐｏｒｔＰｒｏｔｏｃｏｌ）用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行う。
【０００８】
受信信号選択機能１１と、システム稼動状況収集機能１２とは、本発明の特徴とする機能であり、システム稼動状況収集機能１２は、ゲートウェイの稼動状況を収集する。
また、受信信号選択機能１１は、ゲートウェイの稼動状況がある一定レベルを超える状態にある場合には、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）は拒否するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付ける。
また、ゲートウェイの稼動状況がある一定レベル以下の場合には、全ての新規のＳＩＰメッセージを受け付ける。
【０００９】
図２は、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
同図において、ＳＩＰ−ＡＬＧは、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するノード装置であり、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でのＳＩＰメッセージの送受信を行う。
図２において、ノード装置（ＳＩＰ−ＡＬＧ）に収容されるＩＰ端末（Ｔ１）とＩＰ端末（Ｔ２）とはＩＰ網（Ｎ１）に、ＩＰ端末（Ｔ３）とＩＰ端末（Ｔ４）とはＩＰ網（Ｎ２）に属している。
また、ＩＰ網（Ｎ１）と、ＩＰ網（Ｎ２）とは、それぞれ異なったＩＰアドレス体系のＩＰ網である。
従来技術では、例えば、ＩＰ端末（Ｔ３）のユーザが悪意を持ったユーザであって、ノード装置（ＳＩＰ−ＡＬＧ）にＳＩＰメッセージを大量に送付し、ノード装置（ＳＩＰ−ＡＬＧ）の処理能力を圧迫させるＤｏＳ攻撃を防ぐために、ノード装置（ＳＩＰ−ＡＬＧ）の前後にファイアウォールを設置する。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号（ＵＤＰ，ＴＣＰ，ＳＣＴＰなら５０６０、ＴＬＳなら５０６１）であれば通過を許可する場合には、ＳＩＰメッセージによるＤｏＳ攻撃を防ぐことができない。
【００１０】
本実施の形態は、このような状況を解決するもので、図３を用いて詳細に説明する。
図３は、図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
始めに、ノード装置（ＳＩＰ−ＡＬＧ）は、ＩＰ端末（Ｔ１）からのＳＩＰメッセージを受信すると、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況（ＣＰＵ使用率やロードアベレージ等）を照会する（ステップ３０１）。
次に、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えているかを判定し（ステップ３０２）、ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていないと判定された場合には、ステップ３０５ヘ進む。
ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていると判定された場合には、受信したＳＩＰメッセージの種類を識別する（ステップ３０３）。
【００１１】
ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）以外の、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）であれば、ステップ３０５に進む。
また、ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）であれば、一定の比率（例えば、５回に１回など）で、受信した新規のＳＩＰメッセージを受け付ける（ステップ３０４）。
ステップ３０４において、受け付けを拒否した場合には、ＩＰ端末（Ｔ１）に、“４０３等のエラーメッセージ”を通知する。
ステップ３０３において、受信した新規のＳＩＰメッセージを受け付けた場合にはステップ３０５に進む。
ステップ３０５では、アドレス変換機能によりＳＩＰメッセージ内のＩＰアドレスを送信先のＩＰ端末（Ｔ３）のＩＰアドレス体系へ変換する（ステップ３０５）。
次に、ＳＩＰメッセージ内のＩＰアドレス情報でＦｉｒｅｗａｌｌ制御機能１４により、ファイアウォールを開閉し（ステップ３０６）、ＳＩＰメッセージをＩＰ端末（Ｔ３）に送信する（ステップ３０７）。
【００１２】
なお、前述の説明では、ＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）へのＳＩＰメッセージ送信時について述べたが、ＩＰ端末（Ｔ３）からＩＰ端末（Ｔ１）への逆方向の通信や他のＩＰ端末（Ｔ２，Ｔ４）とのＳＩＰメッセージ送受信についても同様である。
以上説明したように、本実施の形態では、ＳＩＰアプリケーションレベルゲートウェイの稼動状況がある一定レベルを超える状態にあるときに、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を破棄するとともに、セッション継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）を受け付ける。
これにより、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ＳＩＰアプリケーションレベルゲートウェイのシステムダウンを発生させずに、ＳＩＰアプリケーションレベルゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することができる。
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００１３】
【発明の効果】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
【図２】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
【図３】図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
【符号の説明】
１０…ＳＩＰメッセージ送受信機能、１１…受信信号選択機能、１２…システム稼動状況収集機能、１３…アドレス変換機能、１４…Ｆｉｒｅｗａｌｌ制御機能、ＳＩＰ−ＡＬＧ…ノード装置、Ｔ１〜Ｔ４…ＩＰ端末、Ｎ１，Ｎ２…ＩＰ網。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a gateway, and in particular, to a SIP application that enables provision of SIP communication without causing a system down even when a DoS attack that induces a system down by sending a large amount of SIP messages. About level gateway.
[0002]
[Prior art]
A typical attack on the Internet is a DoS (Denial Of Service) attack.
This DoS attack sends a large number of (meaningless) service connection requests to various servers on the Internet, increasing the load on the server, causing the server to go down due to overload, and providing services to other legitimate users. It is an attack that hinders.
This DoS attack can be prevented by installing a firewall and discarding packets that are not permitted to pass (for example, see Non-Patent Document).
[0003]
Prior art documents related to the present invention include the following.
[Patent Document 1]
Japanese Patent Application Laid-Open No. 2002-158699 "DoS Attack Prevention Method and Apparatus and System and Storage Medium"
[0004]
[Problems to be solved by the invention]
As described above, a DoS attack can be prevented by a firewall by discarding a packet that is not permitted to pass.
However, in order to allow the SIP message to pass through the firewall, the firewall uses the default port number of 5060 [UDP (User Datagram Protocol), TCP (Transmission Control Protocol), SCTP (Stream Control Transmission Protocol) or 50L [61]. [Transport Layer Security]], when the passage is permitted, a malicious user sends a large amount of SIP messages, so that the service for processing the SIP messages is stopped due to overload.
An object of the present invention is to solve such a problem, and an object of the present invention is to prevent a system down from occurring even in a DoS attack inducing a system down by sending a large amount of SIP messages. , A gateway capable of providing communication by SIP.
The above and other objects and novel features of the present invention will become apparent from the description of the present specification and the accompanying drawings.
[0005]
[Means for Solving the Problems]
The following is a brief description of an outline of typical inventions disclosed in the present application.
That is, the present invention provides a SIP message transmitting / receiving means for performing SIP communication with a plurality of terminals or SIP servers, and a method for transmitting / receiving a SIP message between IP networks having different IP address systems. Address conversion means for performing IP address conversion of the described IP address information according to the destination IP address system, and controlling opening and closing of the firewall based on the RTP IP address and port number information described in the SIP message. A system operation status collection unit that collects the operation status of the gateway; and if the operation status collected by the system operation status collection unit is below a certain level, all new Accepts SIP messages and operates the system When the operation status collected by the collection unit exceeds a certain level, a new SIP message is accepted at a certain ratio, other new SIP messages are discarded, and a SIP message for session continuation or Receiving signal selection means for receiving a subsequent signal of the accepted SIP message.
Further, the present invention is a node device which accommodates IP terminals of IP networks having different IP address systems and transmits / receives a SIP message between each IP terminal, wherein the node device includes the above-mentioned gateway. And
[0006]
According to the present invention, the operation status of the gateway is collected, and when the operation status of the gateway exceeds a certain level, new SIP messages (INVITE, REGISTER) are received at a certain ratio, and other new SIP messages are received. The message (INVITE, REGISTER) is discarded, and a retransmitted SIP message (re-INVITE) for continuing the session or a subsequent signal (ACK, BYE, etc.) of the accepted SIP message is accepted, so that it is malicious. Against a DoS attack in which a user sends a large amount of SIP messages to cause a system down, without causing a gateway system down, using a secure SIP between IP networks with different address systems by the gateway. Communication It can be provided to become.
[0007]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
In all the drawings for describing the embodiments, components having the same function are denoted by the same reference numerals, and repeated description thereof will be omitted.
FIG. 1 is a block diagram showing a schematic configuration of the SIP application level gateway according to the embodiment of the present invention.
As shown in FIG. 1, the SIP application level gateway according to the present embodiment includes a SIP message transmission / reception function 10, a reception signal selection function 11, a system operation status collection function 12, an address conversion function 13, and a firewall control function 14. And
The SIP message transmitting / receiving function 10 performs SIP communication with a plurality of IP terminals or an SIP server.
When transmitting and receiving a SIP message between IP networks having different IP address systems, the address conversion function 13 performs IP address conversion of the IP address information described in the SIP message according to the destination IP address system.
The firewall control function 14 controls opening and closing of the firewall based on the IP address and port number information for RTP (Real-time Transport Protocol) described in the SIP message.
[0008]
The reception signal selection function 11 and the system operation status collection function 12 are features of the present invention, and the system operation status collection function 12 collects the operation status of the gateway.
When the operation status of the gateway is above a certain level, the reception signal selection function 11 accepts a new SIP message (INVITE or REGISTER) at a certain ratio, and other new SIP messages. (INVITE or REGISTER) is rejected, and a retransmission SIP message (re-INVITE) for continuing the session or a subsequent signal (ACK, BYE, etc.) of the accepted SIP message is accepted.
If the operation status of the gateway is below a certain level, all new SIP messages are accepted.
[0009]
FIG. 2 is a block diagram showing an example of system connection at the time of transmitting a SIP message using the SIP application level gateway according to the present embodiment.
In the figure, a SIP-ALG is a node device that uses the SIP application level gateway according to the present embodiment, accommodates IP terminals of IP networks having different IP address systems, and transmits and receives SIP messages between the respective IP terminals. I do.
In FIG. 2, an IP terminal (T1) and an IP terminal (T2) accommodated in a node device (SIP-ALG) are on an IP network (N1), and an IP terminal (T3) and an IP terminal (T4) are on an IP network. (N2).
The IP network (N1) and the IP network (N2) are IP networks having different IP address systems.
In the related art, for example, the user of the IP terminal (T3) is a malicious user, sends a large amount of SIP messages to the node device (SIP-ALG), and increases the processing capability of the node device (SIP-ALG). In order to prevent DoS attacks from being overwhelmed, firewalls are installed before and after the node device (SIP-ALG).
However, if the firewall allows a default port number (5060 for UDP, TCP, SCTP, and 5061 for TLS) so that the SIP message can pass through the firewall, DoS attack by the SIP message is prevented. I can't.
[0010]
This embodiment solves such a situation, and will be described in detail with reference to FIG.
FIG. 3 is a diagram showing an example of a control sequence when the SIP message is transmitted from the IP terminal (T1) shown in FIG. 2 to the IP terminal (T3).
First, when the node device (SIP-ALG) receives the SIP message from the IP terminal (T1), the node device (SIP-ALG) inquires about the operation status (CPU utilization, load average, etc.) of the node device (SIP-ALG) (step 301). ).
Next, it is determined whether the operation status of the node device (SIP-ALG) exceeds a preset value (step 302). In step 302, the operation status of the node device (SIP-ALG) is set in advance. If it is determined that the value does not exceed the value, the process proceeds to step 305.
When it is determined in step 302 that the operation status of the node device (SIP-ALG) exceeds a preset value, the type of the received SIP message is identified (step 303).
[0011]
In step 303, the received SIP message is not a new SIP message (INVITE or REGISTER), but is a retransmission SIP message (re-INVITE) for session continuation or a subsequent signal (ACK, BYE) of the accepted SIP message. Etc.), go to step 305.
In step 303, if the received SIP message is a new SIP message (INVITE or REGISTER), the received new SIP message is received at a fixed ratio (for example, once every five times) ( Step 304).
If the reception is rejected in step 304, an "error message such as 403" is notified to the IP terminal (T1).
If it is determined in step 303 that the received new SIP message has been received, the process proceeds to step 305.
In step 305, the IP address in the SIP message is converted into the IP address system of the destination IP terminal (T3) by the address conversion function (step 305).
Next, the firewall is opened / closed by the firewall control function 14 using the IP address information in the SIP message (step 306), and the SIP message is transmitted to the IP terminal (T3) (step 307).
[0012]
In the above description, the case of transmitting the SIP message from the IP terminal (T1) to the IP terminal (T3) has been described. However, the reverse communication from the IP terminal (T3) to the IP terminal (T1) and the other The same applies to the transmission and reception of SIP messages with the terminals (T2, T4).
As described above, in the present embodiment, when the operation status of the SIP application level gateway exceeds a certain level, new SIP messages (INVITE, EGISTER) are received at a certain rate, and other new messages are received. Of the received SIP message (ACK, BYE, etc.) or a retransmitted SIP message (re-INVITE) for session continuation or a received SIP message (ACK, BYE, etc.).
As a result, even if a malicious user sends a large amount of SIP messages to cause a system down due to a DoS attack, the system does not cause the system down of the SIP application level gateway. It is possible to provide secure SIP communication between IP networks having different systems.
As described above, the invention made by the inventor has been specifically described based on the embodiment. However, the present invention is not limited to the embodiment, and can be variously modified without departing from the gist of the invention. Needless to say,
[0013]
【The invention's effect】
The following is a brief description of an effect obtained by a representative one of the inventions disclosed in the present application.
ADVANTAGE OF THE INVENTION According to this invention, it becomes possible to provide communication by SIP, without causing a system down even with DoS attack which induces a system down by sending a large amount of SIP messages.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a schematic configuration of a SIP application level gateway according to an embodiment of the present invention.
FIG. 2 is a block diagram showing an example of system connection at the time of sending a SIP message using the SIP application level gateway according to the embodiment of the present invention.
FIG. 3 is a diagram showing an example of a control sequence when a SIP message is transmitted from the IP terminal (T1) shown in FIG. 2 to the IP terminal (T3).
[Explanation of symbols]
10: SIP message transmission / reception function, 11: reception signal selection function, 12: system operation status collection function, 13: address conversion function, 14: firewall control function, SIP-ALG: node device, T1 to T4: IP terminal, N1, N2: IP network.

Claims

SIP message transmitting / receiving means for performing SIP communication with a plurality of terminals or a SIP server;
Address translating means for translating IP address information described in the SIP message according to the destination IP address system when transmitting / receiving a SIP message between IP networks having different IP address systems;
A firewall comprising: a firewall control means for controlling opening / closing of a firewall based on the RTP IP address and port number information described in the SIP message,
System operation status collection means for collecting the operation status of the gateway;
When the operating status collected by the system operating status collecting unit is lower than a certain level, all new SIP messages are accepted, and when the operating status collected by the system operating status collecting unit exceeds a certain level, In this case, a new SIP message is received at a fixed ratio, other new SIP messages are discarded, and a SIP message for session continuation or a reception signal selection unit for receiving a subsequent signal of the received SIP message is provided. A gateway comprising:

A node device accommodating IP terminals of IP networks having different IP address systems and transmitting and receiving a SIP message between each IP terminal,
A node device comprising the gateway according to claim 1.