JP2005039721A

JP2005039721A - ＤＤｏＳ防御方法及びＤＤｏＳ防御機能付きルータ装置

Info

Publication number: JP2005039721A
Application number: JP2003276886A
Authority: JP
Inventors: Junichi Yoshida; 順一吉田; Hiroki Yamada; 博希山田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-07-18
Filing date: 2003-07-18
Publication date: 2005-02-10
Anticipated expiration: 2023-07-18
Also published as: JP3947138B2

Abstract

【課題】ネットワークを接続するルータ装置等に備えたフィルタ部にて攻撃ＩＰパケットを拒否する場合に、ルータ等内部の帯域資源、及びアクセス網の帯域資源の消費を防ぐことが可能なＤＤｏＳ防御方法及びルータ装置を提供する。
【解決手段】検出手段１６５が攻撃ＩＰパケット３２０を検出し、フィルタ情報生成手段１６６がフィルタ情報を生成し、分配手段１８１または折り返し分配手段１５５がフィルタ情報を全フィルタに対して通知し、全てのフィルタ部１２０〜１２４が攻撃ＩＰパケット３３０を一時的に遮断するようにした。
【選択図】図２

Description

本発明は、ＤＤｏＳ（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ：分散型サービス運用妨害）防御方法及び該防御機能付き装置に関し、特に、ルータ装置等にて実行するＤＤｏＳ防御方法及びルータ装置に関する。

従来、ネットワークのセキュリティを確保する方法として、ルータ等に実装されるフィルタ機能により実現する方法が広く用いられている。図９〜１１に、ルータに実装されたフィルタ機能の構成例のブロック図を示す。図９において、ルータは、ラインカード６００，６０１，６５０，６５１及びスイッチファブリック６４０を具備して構成される。ラインカード６００は、フィルタ部６１０、入力バッファ６２０及び検出部６３０を、ラインカード６０１は、フィルタ部６１１、入力バッファ６２１及び検出部６３１を、ラインカード６５０は出力バッファ６６０を、ラインカード６５１は出力バッファ６６１をそれぞれ備えている。また、図１０において、ルータは、ラインカード７５０，７５１，７００，７０１及びスイッチファブリック７４０を具備している。ラインカード７５０は入力バッファ７６０を、ラインカード７５１は入力バッファ７６１を、ラインカード７００は、出力バッファ７２０、フィルタ部７１０及び検出部７３０を、ラインカード７０１は、出力バッファ７２１、フィルタ部７１１及び検出部７３１を、それぞれ備えている。また、図１１において、ルータは、ラインカード８５０，８５１，８００，８０１及びスイッチファブリック８４０を具備している。ラインカード８５０は入力バッファ８６０を、ラインカード８５１は入力バッファ８６１を、ラインカード８００は、フィルタ部８１０、出力バッファ８２０及び検出部８３０を、ラインカード８０１は、フィルタ部８１１、出力バッファ８２１及び検出部８３１を、それぞれ備えている。図９〜１１において、それぞれのルータは、図示しない外部ネットワークと内部ネットワークとの間に設けられ、ラインカード６００，６０１，７５０，７５１，８５０，８５１が外部ネットワークからＩＰパケットを受信し、スイッチファブリック６４０，７４０，８４０がＩＰパケットをルーティングし、そして、ラインカード６５０，６５１，７００，７０１，８００，８０１がＩＰパケットを内部ネットワークに送信するようになっている。

図９〜１１を参照して、フィルタ機能は、ラインカード６００のフィルタ部６１０及び検出部６３０、ラインカード６０１のフィルタ部６１１及び検出部６３１、ラインカード７００のフィルタ部７１０及び検出部７３０、ラインカード７０１のフィルタ部７１１及び検出部７３１、ラインカード８００のフィルタ部８１０及び検出部８３０、ラインカード８０１のフィルタ部８１１及び検出部８３１によりそれぞれ実現される。これらのフィルタ部６１０，６１１，７１０，７１１，８１０，８１１は、設定されたポリシールールに基づいて、ＩＰパケットをフィルタにより遮断する機能を有している。このポリシールールは、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポートアドレス、宛先ポートアドレス等のヘッダ情報と、そのヘッダ情報に対応する通過、拒否等のアクションとにより定義される。

また、検出部６３０，６３１，７３０，７３１，８３０，８３１は、攻撃ＩＰパケットを検出する機能を有し、具体的には、予め攻撃パターンのデータベースとの整合により判断する方法、単位時間内にある宛先のＩＰパケットの個数が閾値を超えたか否かで判断する方法、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ：侵入検知システム）機能を具備して判断する方法等があり、これらの方法を実行して攻撃ＩＰパケットを検出する。この結果、攻撃ＩＰパケットを検出して攻撃であると判断した場合には、フィルタ部６１０，６１１，７１０，７１１，８１０，８１１は、ポリシールールを動的に変更し、一時的に外部ネットワークから受信した攻撃ＩＰパケットを遮断することにより、不正なＩＰパケットの攻撃から内部ネットワークを防御する。このように、高速転送が要求されるルータ装置では、ラインカード６００，６０１，７００，７０１，８００，８０１毎にフィルタ部及び検出部を実装するようになっている。

一方、ルータに備えたフィルタ機能により、外部ネットワークから内部ネットワークへの不正なＩＰパケットの攻撃を防ぐ技術に関連する技術として、例えば、フィルタリングにおける伝送遅延を抑え、スループット低下幅を少なくするとともにオーバヘッドを軽減する技術が開示されている（例えば、特許文献１を参照。）。また、アクセス元の属性情報から求めた信頼度と、アクセス先の属性情報から求めた機密度とに基づいてアクセス可否を制御する技術（例えば、特許文献２を参照。）、不正なパケットの中継を禁止し破棄した場合に、フィルタの情報を該パケットを中継したルータ装置に送り、そのデータベースに該フィルタの情報を追加させることにより、不正なパケットによる伝送媒体の占有を防止する技術も開示されている（例えば、特許文献３を参照。）。

特開２００２−２８１０７１号公報（段落〔００１０〕〔００１１〕、第１図）特開２００２−８４３２４号公報（段落〔００１３〕〔００１４〕）特開平９−２７０８１３号公報（段落〔００１５〕〔００１９〕〔００２０〕）

しかしながら、図９〜１１に示したルータに実装されたフィルタ機能には、以下の問題があった。すなわち、図９に示したフィルタ機能では、Ｉｎｇｒｅｓｓ側のラインカード６００，６０１毎に、フィルタ部６１０，６１１及び検出部６３０，６３１を実装しており（以下、「Ｉｎｇｒｅｓｓフィルタ」という。）、ＩＰにおける転送は全てのＩＰパケットが同一経路を通るとは限らないため、ＩＰパケットが各ラインカード６００，６０１に分散して届くことになる。このため、ラインカード６００，６０１毎に実装された検出部６３０，６３１における攻撃の感度が低くなり、すり抜けた攻撃ＩＰパケットによりスイッチ内部（入力バッファ６２０，６２１からスイッチファブリック６４０及び出力バッファ６６０，６６１の入力まで）の帯域資源、及びアクセス網の帯域資源が消費してしまうという問題があった。

また、図１０に示したフィルタ機能では、Ｅｇｒｅｓｓ側のラインカード７００，７０１毎にフィルタ部７１０，７１１及び検出部７３０，７３１を実装している（以下、「Ｅｇｒｅｓｓフィルタ」という。）。このため、攻撃ＩＰパケットにより、スイッチ内部（入力バッファ７６０，７６１からスイッチファブリック７４０及び出力バッファ７２０，７２１の入力まで）の帯域資源を消費してしまうという問題があった。

また、図１１に示したフィルタ機能では、Ｅｇｒｅｓｓフィルタにおいて、出力バッファ８２０，８２１の前段にフィルタ部８１０，８１１を、出力バッファ８２０，８２１の後段に検出部８３０，８３１を実装しているため、攻撃ＩＰパケットから、出力バッファ８２０，８２１の帯域資源を守ることは可能である。しかし、一般に、スイッチファブリック８４０のような高速スイッチは、スイッチ内部でルーティングされるＩＰパケットが常に一つだけになるような構成をとり、競合制御を不要にしているため、スイッチの内部速度をｎ倍にしている。このため、フィルタ部８１０，８１１を出力バッファ８２０，８２１の前段に配置した構成では、フィルタ部８１０，８１１での処理をスイッチファブリック８４０のスイッチ内部と同じ速度の処理にする必要があり困難であるという問題があった。

そこで、本発明はこのような事情を考慮してなされたものであり、その目的は、上記の従来技術の問題を解決し、ルータ装置等に備えたフィルタ部にて攻撃ＩＰパケットを拒否する場合に、ルータ等内部の帯域資源、及びアクセス網の帯域資源の消費を防ぐことが可能なＤＤｏＳ防御方法及びルータ装置を提供することにある。

上記の課題を解決するために、請求項１の発明は、異なるネットワーク上の端末間で送受信されるＩＰパケットを中継する装置が、不正なＩＰパケットを廃棄するＤＤｏＳ防御方法において、前記装置におけるＩＰパケットを送信する出力側に設けられた検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出するステップと、前記装置におけるＩＰパケットを受信する入力側に設けられたフィルタ部が、前記検出部により検出された攻撃用のＩＰパケットを中継しないようにポリシールールを設定するステップと、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断するステップと、中継を許可すると判断した場合には前記受信したＩＰパケットを中継するステップと、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するステップとを有することを特徴とする。

請求項２の発明は、入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックと、不正なＩＰパケットを廃棄するためのフィルタ情報を前記フィルタ部へ分配通知するフィルタ情報通知分配部とを備えた装置が、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ及び検出部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御方法であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出するステップと、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するステップと、前記フィルタ情報通知分配部が、該生成されたフィルタ情報を前記全てのラインカードのそれぞれのフィルタ部へ分配通知するステップと、前記フィルタ部が、該分配通知されたフィルタ情報に基づいてポリシールールを設定するステップと、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断するステップと、中継を許可すると判断した場合には前記受信したＩＰパケットを中継するステップと、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するステップと、前記ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するステップとを有することを特徴とする。

請求項３の発明は、請求項２に記載のＤＤｏＳ防御方法において、前記フィルタ情報通知分配部がフィルタ情報を全てのラインカードのそれぞれのフィルタ部へ分配通知するステップの代わりに、前記フィルタ情報通知分配部が、フィルタ情報を、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれのフィルタ部へ分配通知するステップを有することを特徴とする。

請求項４の発明は、入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部と折り返し部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックとを備えた装置が、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ、検出部及び折り返し部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御方法であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出するステップと、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するステップと、前記折り返し部が、該生成されたフィルタ情報を、前記スイッチファブリックを介してインラインで前記全てのラインカードのそれぞれの折り返し部へ通知するステップと、前記折り返し部が、該通知されたフィルタ情報をフィルタ部へ通知するステップと、前記フィルタ部が、該通知されたフィルタ情報に基づいてポリシールールを設定するステップと、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断するステップと、中継を許可すると判断した場合には前記受信したＩＰパケットを中継するステップと、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するステップと、前記ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するステップとを有することを特徴とする。

請求項５の発明は、請求項４に記載のＤＤｏＳ防御方法において、前記折り返し部がフィルタ情報をスイッチファブリックを介してインラインで全てのラインカードのそれぞれの折り返し部へ通知するステップの代わりに、前記折り返し部が、フィルタ情報を、前記スイッチファブリックを介してインラインで、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれの折り返し部へ通知するステップを有することを特徴とする。

請求項６の発明は、異なるネットワーク上の端末間で送受信されるＩＰパケットを中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御機能付きルータ装置において、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出する検出手段を有し、ＩＰパケットを送信する出力側に設けられた検出部と、前記検出手段により検出された攻撃用のＩＰパケットを中継しないようにポリシールールを設定するダイナミックルール設定手段、及び、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断し、中継を許可すると判断した場合には前記受信したＩＰパケットを中継し、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄する検出手段を有し、ＩＰパケットを受信する入力側に設けられたフィルタ部とを備えたことを特徴とする。

請求項７の発明は、入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックと、不正なＩＰパケットを廃棄するためのフィルタ情報を前記フィルタ部へ分配通知するフィルタ情報通知分配部とを備え、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ及び検出部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御機能付きルータ装置であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出する検出手段と、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するフィルタ情報生成手段とを有し、前記フィルタ情報通知分配部が、該生成されたフィルタ情報を前記全てのラインカードのそれぞれのフィルタ部へ分配通知する分配手段を有し、前記フィルタ部が、該分配通知されたフィルタ情報に基づいてポリシールールを設定し、該ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するダイナミックルール設定手段と、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断し、中継を許可すると判断した場合には前記受信したＩＰパケットを中継し、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するフィルタ手段とを有することを特徴とする。

請求項８の発明は、請求項７に記載のＤＤｏＳ防御機能付きルータ装置において、前記フィルタ情報通知分配部の分配手段が、生成されたフィルタ情報を、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれのフィルタ部へ分配通知することを特徴とする。

請求項９の発明は、入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部と折り返し部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックとを備え、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ、検出部及び折り返し部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御機能付きルータ装置であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出する検出手段と、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するフィルタ情報生成手段とを有し、前記折り返し部が、該生成されたフィルタ情報を、前記スイッチファブリックを介してインラインで前記全てのラインカードのそれぞれの折り返し部へ通知する折り返し分配手段と、該通知されたフィルタ情報をフィルタ部へ通知する通知手段とを有し、前記各フィルタ部が、該通知されたフィルタ情報に基づいてポリシールールを設定し、該ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するダイナミックルール設定手段と、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断し、中継を許可すると判断した場合には前記受信したＩＰパケットを中継し、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するフィルタ手段とを有することを特徴とする。

請求項１０の発明は、請求項９に記載のＤＤｏＳ防御機能付きルータ装置において、前記折り返し部の折り返し分配手段が、生成されたフィルタ情報を、前記スイッチファブリックを介してインラインで、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれの折り返し部へ通知することを特徴とする。

請求項１１の発明は、請求項１から５のいずれか一項に記載のＤＤｏＳ防御方法を実行する装置を構成するコンピュータに、前記ＤＤｏＳ防御方法における各ステップの処理を実行させることを特徴とするＤＤｏＳ防御プログラムである。

請求項１２の発明は、請求項１１に記載のＤＤｏＳ防御プログラムを記録した記録媒体である。

本発明によれば、ルータ装置等における出力側で攻撃ＩＰパケットを検出し、攻撃パケットを中継しないように入力側で拒否するようにした。これにより、ルータ装置等の内部における帯域資源、及びアクセス網の帯域資源の消費を防ぐことができる。

以下、図面を参照して、本発明の実施形態について説明する。
図１は、本発明の実施形態に係るルータ装置が接続された構成を示す概略図である。図２は、本発明の実施形態に係るルータ装置におけるＤＤｏＳ防御機能付きルータ装置のブロック構成を示す概略図である。尚、図２において、ルータ装置が元来備えている構成部は省略してあり、本発明を適用するのに必要な構成部のみを示している。

ルータ１００は、それぞれフィルタ部１２０〜１２３、入力バッファ１３０〜１３３、出力バッファ１４０〜１４３及び検出部１６０〜１６３を有したラインカード１１０〜１１３と、スイッチファブリック１７０と、フィルタ情報通知分配部１８０とを具備し、インターネット等の外部ネットワーク１と、アクセス網やローカルネットワーク等の内部ネットワーク２とを接続する。また、フィルタ情報通知分配部１８０は、各カード１１０〜１１３に備えたフィルタ部１２０〜１２３及び検出部１６０〜１６３に接続されている。

次に、図２に示したルータ１００のＤＤｏＳ防御の機能を、図３を用いて説明する。図３において、ルータ１００は、図２に示した構成の下で、フィルタ部１２４と、スイッチ網１７１と、フィルタ情報通知分配部１８０と、検出部１６４とを具備して構成される。フィルタ部１２４は、フィルタ手段１２５、ダイナミックルール設定手段１２６及びフィルタ手段１２７を、スイッチ網１７１は、入力バッファ、スイッチファブリック及び出力バッファを、フィルタ情報通知分配部１８０は分配手段１８１を、検出部１６４は検出手段１６５及びフィルタ情報生成手段１６６をそれぞれ備えている。いま、外部ネットワーク１上の攻撃者端末２１０が内部ネットワーク２上の攻撃先端末２２０宛てにＤｏＳ攻撃（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅａｔｔａｃｋ）を行い、外部ネットワーク１上の正規利用者端末２００と内部ネットワーク２上の攻撃先端末２２０との間では正常にアクセスしている場合を想定する。

攻撃者端末２１０が、攻撃先端末２２０宛てに攻撃ＩＰパケット３１０を送信し、正規利用者端末２００が、攻撃先端末２２０宛てにＩＰパケット３００を送信する。ルータ１００のフィルタ部１２４に備えたフィルタ手段１２５は、前記攻撃ＩＰパケット３１０及びＩＰパケット３００を受信し、受信したこれら全てのＩＰパケットのヘッダ情報と、フィルタ部１２４内に設定されているファイアウォール管理者が意図するポリシールールとを比較し、当該ＩＰパケットをスイッチ網１７１に中継するか、または拒否するかを判断する機能を有する。このポリシールールは、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポートアドレス、宛先ポートアドレス等のヘッダ情報と、そのヘッダ情報に対応するアクション（許可、拒否等）により定義され、ファイアウォール管理者が静的に設定することが可能であり、さらに、ダイナミックルール設定手段１２６により動的に設定することも可能である。

検出部１６４の検出手段１６５は、スイッチ網１７１から転送されてくるＩＰパケット３００及び攻撃ＩＰパケット３２０の全てのＩＰパケットのヘッダ情報及びペイロード情報と予め設定された設定ルールとに基づいて、ＤｏＳ攻撃、ＤＤｏＳ攻撃（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅａｔｔａｃｋ）等の攻撃検知を行う（攻撃パケット３２０の検出を行う）機能を有する。フィルタ情報生成手段１６６は、検出手段１６５が攻撃を検知した場合には、そのときに検出したＩＰパケットに基づいて、攻撃ＩＰパケットを拒否するためのフィルタ情報を生成する機能を有する。ここで、検出部の検出手段１６５は、ＩＤＳ機能を有し、上記のように、スイッチ網１７１から転送されてくる全てのＩＰパケットのヘッダ情報及びペイロード情報に基づいて、ＤｏＳ攻撃、ＤＤｏＳ攻撃等の攻撃検知を行う機能を有してもよいし、単位時間当りにおける監視対象のＩＰパケットの数が閾値を超えたか否かを判定することにより攻撃検知を行う機能を有していてもよい。

フィルタ情報通知分配部１８０の分配手段１８１は、フィルタ情報生成手段１６６により生成されたフィルタ情報４００を、ルータ１００内の全てのフィルタ部１２０〜１２４に通知する機能を有する。フィルタ部１２４のダイナミックルール設定手段１２６、及びフィルタ部１２０〜１２３の各ダイナミックルール設定手段は、分配手段１８１から通知されたフィルタ情報４００の内容をポリシールールとして設定し記憶する機能を有する。フィルタ部１２４のフィルタ手段１２７、及びフィルタ部１２０〜１２３の各フィルタ手段は、後続の攻撃ＩＰパケット３３０を受信すると、当該ＩＰパケットのヘッダ情報と、前記設定及び記憶されたポリシールールとを比較し、後続の攻撃ＩＰパケット３３０のヘッダ情報とポリシールールとが一致した場合は、当該攻撃ＩＰパケット３３０の中継を予め設定された一定時間だけ拒否する機能を有する。これにより、ルータ１００は、不正なＩＰパケットの攻撃から内部ネットワーク２を防御することができる。

次に、図２に示したルータ１００のＤＤｏＳ防御の動作を、図４を用いて説明する。いま、外部ネットワーク１上の攻撃者端末２１０が内部ネットワーク２上の攻撃先端末２２０宛てにＤｏＳ攻撃を行い、外部ネットワーク１上の正規利用者端末２００と内部ネットワーク２上の攻撃先端末２２０との間では正常にアクセスしている場合を想定する。

攻撃者端末２１０が、攻撃先端末２２０宛てに攻撃ＩＰパケット３１０を送信し、正規利用者端末２００が、攻撃先端末２２０宛てにＩＰパケット３００を送信すると、ルータ１００はラインカードの入力インタフェースにてＩＰパケットを受信し（ステップＳ５００）、当該ＩＰパケットをフィルタ部１２４に送出する。フィルタ部１２４は、受信したＩＰパケットのヘッダ情報とポリシールールとを比較する（ステップＳ５０１）。遮断（拒否）するＩＰパケットであると判断した場合には、当該ＩＰパケットを廃棄し（ステップＳ５０２）、許可するＩＰパケットであると判断した場合には、当該ＩＰパケットをスイッチ網１７１に中継する。ここでは、フィルタ部１２４には、攻撃ＩＰパケット３１０を拒否して廃棄するためのポリシールールが定義されていないため、攻撃ＩＰパケット３１０は、フィルタ部１２４を通過してスイッチ網１７１に中継されたものとする。

検出部１６４は、スイッチ網１７１から転送されてくるＩＰパケット３００及び攻撃ＩＰパケット３２０のヘッダ情報と設定ルールとに基づいて、ＤｏＳ攻撃、ＤＤｏＳ攻撃等の攻撃検知を行う（ステップＳ５０３）。攻撃を検知しない場合には、当該ＩＰパケット３００をラインカードの出力インタフェースに送出して（ステップＳ５０４）、ステップ５００に戻る。そして、ラインカードの出力インタフェースは、内部ネットワーク２にＩＰパケット３００を送出する。これにより、ルータ１００が廃棄しなかったＩＰパケットのみが攻撃先端末２２０に到着する。

ステップ５０３において、検出部１６４が攻撃を検知した場合には、フィルタ情報生成手段１６６は、当該攻撃ＩＰパケット３２０に基づいて、攻撃ＩＰパケットを拒否するためのフィルタ情報を生成する（ステップＳ５０５）。そして、フィルタ情報通知分配部１８０の分配手段１８１は、フィルタ情報生成手段１６６により生成されたフィルタ情報４００を、ルータ１００内の全てのフィルタ部１２０〜１２４に通知する（ステップＳ５０６）。フィルタ部１２４のダイナミックルール設定手段１２６、及びフィルタ部１２０〜１２３のダイナミックルール設定手段は、分配手段１８１から通知されたフィルタ情報４００の内容がポリシールールとして記憶されている内容に存在しない場合には（ステップＳ５０７）、攻撃ＩＰパケット３１０を拒否して廃棄するための拒否ポリシールールを一時的に設定及び記憶する（ステップＳ５０８）。

フィルタ部１２４のフィルタ手段１２７、及びフィルタ部１２０〜１２３のフィルタ手段は、後続の攻撃ＩＰパケット３３０を受信すると、当該ＩＰパケットのヘッダ情報と、前記設定及び記憶されたポリシールールとを比較し、後続の攻撃ＩＰパケット３３０のヘッダ情報とポリシールールとが一致した場合は、当該攻撃ＩＰパケット３３０の中継を予め設定された一定時間だけ拒否（遮断）する制御を行う。ＤｏＳ攻撃等が終了したと考えられる一定時間経過後、ダイナミックルール設定手段１２６は、ステップ５０８にて追加設定したルールを削除して、ステップ５００に戻る（ステップＳ５０９）。また、フィルタ部１２４のダイナミックルール設定手段１２６、及びフィルタ部１２０〜１２３のダイナミックルール設定手段は、分配手段１８１から通知されたフィルタ情報４００の内容がポリシールールとして記憶されている場合には、ルール有効時間を再設定して、ステップ５００に戻る（ステップＳ５１０）。

図５は、本発明の他の実施形態に係るルータ装置におけるＤＤｏＳ防御機能付きルータ装置のブロック構成を示す概略図である。尚、図５において、ルータ装置が元来備えている構成部は省略してあり、本発明を適用するのに必要な構成部のみを示している。ルータ１００は、それぞれフィルタ部１２０〜１２３、入力バッファ１３０〜１３３、出力バッファ１４０〜１４３、検出部１６０〜１６３及び折り返し部１５０を備えたラインカード１１０〜１１３と、スイッチファブリック１７０とを具備し、インターネット等の外部ネットワーク１と、アクセス網やローカルネットワーク等の内部ネットワーク２とを接続する。

次に、図５に示したルータ１００のＤＤｏＳ防御の機能を、図６を用いて説明する。図６において、ルータ１００は、図５に示した構成の下で、フィルタ部１２４と、折り返し部１５４，１５６と、スイッチ網１７１と、検出部１６４とを具備している。フィルタ部１２４は、フィルタ手段１２５、ダイナミックルール設定手段１２６及びフィルタ手段１２７を、折り返し部１５６は抽出通知手段１５７を、スイッチ網１７１は、入力バッファ、スイッチファブリック及び出力バッファを、検出部１６４は検出手段１６５及びフィルタ情報生成手段１６６を、折り返し部１５４は折り返し分配手段１５５をそれぞれ備えている。いま、外部ネットワーク１上の攻撃者端末２１０が内部ネットワーク２上の攻撃先端末２２０宛てにＤｏＳ攻撃を行い、外部ネットワーク１上の正規利用者端末２００と内部ネットワーク２上の攻撃先端末２２０との間では正常にアクセスしている場合を想定する。

検出部１６４の検出手段１６５は、スイッチ網１７１から転送されてくるＩＰパケット３００及び攻撃ＩＰパケット３２０の全てのＩＰパケットのヘッダ情報及びペイロード情報と予め設定された設定ルールとに基づいて、ＤｏＳ攻撃、ＤＤｏＳ攻撃等の攻撃検知を行う機能を有する。フィルタ情報生成手段１６６は、検出手段１６５が攻撃を検知した場合には、そのときに検出したＩＰパケットに基づいて、攻撃ＩＰパケットを拒否するためのフィルタ情報を生成する機能を有する。ここで、検出部の検出手段１６５は、ＩＤＳ機能を有し、上記のように、スイッチ網１７１から転送されてくる全てのＩＰパケットのヘッダ情報及びペイロード情報に基づいて、ＤｏＳ攻撃、ＤＤｏＳ攻撃等の攻撃検知を行う機能を有してもよいし、単位時間当りにおける監視対象のＩＰパケットの数が閾値を超えたか否かを判定することにより攻撃検知を行う機能を有していてもよい。

折り返し部１５４の折り返し分配手段１５５は、フィルタ情報生成手段１６６により生成されたフィルタ情報４１０を、ルータ１００内の全てのフィルタ部１２０〜１２４にインラインでスイッチ網１７１を介して通知する機能を有する。折り返し部１５０〜１５４（折り返し部１５６）の抽出通知手段１５７は、折り返し部１５４の折り返し分配手段１５５からインラインでスイッチ網１７１を介して通知されたフィルタ情報４１１を抽出し、フィルタ部１２０〜１２４に通知する機能を有する。この場合、スイッチ網１７１のスイッチファブリックがフィルタ情報４１１を全てのラインカードの出力バッファに転送し、そして、フィルタ情報４１１を通知された折り返し部１５０〜１５４（折り返し部１５６）がフィルタ情報を抽出してフィルタ部１２０〜１２４に通知する。フィルタ部１２４のダイナミックルール設定手段１２６、及びフィルタ部１２０〜１２３の各ダイナミックルール設定手段は、フィルタ情報４１１の内容をポリシールールとして設定し記憶する機能を有する。フィルタ部１２４のフィルタ手段１２７、及びフィルタ部１２０〜１２３の各フィルタ手段は、後続の攻撃ＩＰパケット３３０を受信すると、当該ＩＰパケットのヘッダ情報と、前記設定及び記憶されたポリシールールとを比較し、後続の攻撃ＩＰパケット３３０のヘッダ情報とポリシールールとが一致した場合は、当該攻撃ＩＰパケット３３０の中継を予め設定された一定時間だけ拒否する機能を有する。これにより、ルータ１００は、不正なＩＰパケットの攻撃から内部ネットワーク２を防御することができる。

図７は、フィルタ情報生成手段１６６が生成するフィルタ情報である折り返し通知ＩＰパケットの構造を示す説明図である。この折り返し通知法は、攻撃ＩＰパケットが流入する経路と、折り返し通知ＩＰパケットが通知される経路とが同一である場合にルータ１００に実装されるものである。図７において、９４０は攻撃ＩＰパケットである。９００は攻撃ＩＰパケットの送信元ＩＰアドレス（以下、「ＳＡ」という。）、９１０は攻撃ＩＰパケットの宛先ＩＰアドレス（以下、「ＤＡ」という。）、９２０は攻撃ＩＰパケットのＴＣＰヘッダまたはＵＤＰヘッダ、９３０は攻撃ＩＰパケットの上位プロトコルデータである。

また、９６０はフィルタ情報生成手段１６６により生成され、折り返し分配手段１５５により、攻撃ＩＰパケットが入力してくるラインカードのフィルタ部にインラインでスイッチ網１７１を介して通知されるフィルタ情報４１１（折り返し通知ＩＰパケット）である。９０１は折り返し通知ＩＰパケットのＳＡ、９１１は折り返し通知パケットのＤＡ、９５０は折り返し通知であることを示す折り返し通知ヘッダである。スイッチファブリックは、このヘッダ情報により折り返し通知ＩＰパケット９６０を全てのラインカードに転送する。また、９７０は、折り返し分配手段１５５によりインラインで通知された折り返し通知パケット９６０を受信した折り返し部が、抽出通知手段１５７においてファイルタ情報を抽出し、フィルタ部に通知し、ダイナミックルール設定手段１２６によって、ポリシールールに登録されるデータである。９０２はポリシールールに登録されるＳＡ、９１２はポリシールールに登録されるＤＡ、９２１はポリシールールに登録されるＴＣＰヘッダまたはＵＤＰヘッダである。

例えば、攻撃ＩＰパケット９４０が攻撃ＩＰパケット３２０である場合には、この攻撃ＩＰパケット３２０は、検出手段１６５によりＤｏＳ攻撃、ＤＤｏＳ攻撃等の攻撃検知が行われる。そして、フィルタ情報生成手段１６６は、攻撃ＩＰパケット３２０のＳＡ９００とＤＡ９１０とを入れ替え、さらに折り返し通知であることを示す折り返し通知ヘッダ９５０を組み込んで折り返し通知ＩＰパケット９６０を構成する。

このように構成された折り返し通知ＩＰパケット９６０は、折り返し分配手段１５５により折り返し設定され、スイッチ網１７１においてＩＰパケットと全く同様に扱われる。そして、攻撃ＩＰパケット３１０が通過したラインカードのフィルタ部に中継される。中継された折り返し通知ＩＰパケット９６０は、抽出通知手段１５７によりフィルタ情報が抽出され、折り返し通知ＩＰパケット９６０のＳＡ９０１とＤＡ９１１とを入れ替えた構成に戻した関係で、折り返し通知ヘッダ９５０が取り除かれた状態でフィルタ部に通知され、ダイナミックルール設定手段１２６によりフィルタ部のポリシールールに記憶される。

図８は、フィルタ情報生成手段１６６が生成するフィルタ情報である折り返し通知ＩＰパケットの他の構造を示す説明図である。１０４０は攻撃ＩＰパケットである。１０００は攻撃ＩＰパケットのＳＡ、１０１０は攻撃ＩＰパケットのＤＡ、１０２０は攻撃ＩＰパケットのＴＣＰヘッダまたはＵＤＰヘッダ、１０３０は攻撃ＩＰパケットの上位プロトコルデータである。

また、１０６０はフィルタ情報生成手段１６６により生成され、折り返し分配手段１５５により、全てのラインカードのフィルタ部にインラインでスイッチ網１７１を介して通知されるフィルタ情報４１１（折り返し通知ＩＰパケット）である。１００１は折り返し通知ＩＰパケットのＳＡ、１０１１は折り返し通知パケットのＤＡ、１０５０は折り返し通知であることを示す折り返しヘッダである。スイッチファブリックは、このヘッダ情報により折り返し通知ＩＰパケット１０６０を全てのラインカードに転送する。また、１０７０は、折り返し分配手段１５５によりインラインで通知された折り返し通知パケット１０６０を受信した折り返し部が、抽出通知手段１５７においてファイルタ情報を抽出し、フィルタ部に通知し、ダイナミックルール設定手段１２６によって、ポリシールールに登録されるデータである。１００２はポリシールールに登録されるＳＡ、１０１２はポリシールールに登録されるＤＡ、１０２１はポリシールールに登録されるＴＣＰヘッダまたはＵＤＰヘッダである。

例えば、攻撃ＩＰパケット１０４０が攻撃ＩＰパケット３２０である場合には、この攻撃ＩＰパケット３２０は、検出手段１６５によりＤｏＳ攻撃、ＤＤｏＳ攻撃等の攻撃検知が行われる。そして、フィルタ情報生成手段１６６は、攻撃ＩＰパケット３２０に折り返し通知であることを示す折り返し通知ヘッダ９５０を組み込んで折り返し通知ＩＰパケット９６０を構成する。

このように構成された折り返し通知ＩＰパケット１０６０は、折り返し分配手段１５５により折り返し設定され、スイッチ網１７１において、折り返し通知ヘッダ１０５０のラベルに基づいて全てのラインカードのフィルタ部に転送され中継される。中継された折り返し通知ＩＰパケット９６０は、抽出通知手段１５７によりフィルタ情報が抽出され、折り返し通知ＩＰパケット９６０の折り返し通知ヘッダ１０５０が取り除かれた状態でフィルタ部に通知され、ダイナミックルール設定手段１２６によりフィルタ部のポリシールールに記憶される。

本発明の実施形態に係るルータ装置では、フィルタ情報通知分配部１８０の分配手段１８１が、全てのラインカードのフィルタ部１２０〜１２４にファイルタ情報を通知し、ポリシールールを変更するようにした。また、折り返し部１５４の折り返し分配手段１５５が、スイッチ網１７１を介して全てのラインカードのフィルタ部１２０〜１２４にファイルタ情報を通知し、ポリシールールを変更するようにした。この場合、攻撃ＩＰパケット３２０を検出したラインカード以外のラインカード１１０〜１１３のフィルタ部１２０〜１２３にのみ通知するようにしてもよい。攻撃ＩＰパケット３２０を検出したラインカードの入力及び出力インタフェースには内部ネットワーク２上の攻撃先端末２２０が接続されており、内部ネットワーク２から後続の攻撃ＩＰパケット３３０が送信されることはないと考えられるからである。

以上のように、本発明の実施形態に係るルータ装置によれば、検出手段１６５が攻撃ＩＰパケット３２０を検出し、フィルタ情報生成手段１６６がフィルタ情報を生成し、分配手段１８１または折り返し分配手段１５５がフィルタ情報を全フィルタに対して通知し、全てのフィルタ部１２０〜１２４が攻撃ＩＰパケット３３０を一時的に遮断するようにした。これにより、攻撃ＩＰパケットによるスイッチ内部（入力バッファからスイッチファブリック及び出力バッファの入力まで）の帯域資源、及びアクセス網の帯域資源を消費することを防ぐことができる。

また、ルータ１００は、上記の処理を実行するソフトウェアを組み込んだコンピュータによって構成される。これらのソフトウェアは、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

本発明の実施形態に係るルータ装置が接続された構成を示す概略図である。本発明の実施形態に係るルータ装置におけるＤＤｏＳ防御機能付きルータ装置を示すブロック構成図である。図２のルータ装置による防御方法を説明するためのシーケンスチャート図である。図２のルータ装置による防御方法を説明するためのフローチャート図である。本発明の他の実施形態に係るルータ装置におけるＤＤｏＳ防御機能付きルータ装置を示すブロック図である。図５のルータ装置による防御方法を説明するためのシーケンスチャート図である。折り返し通知ＩＰパケットの構造を示す説明図である。折り返し通知ＩＰパケットの他の構造を示す説明図である。従来のルータ装置におけるＩｎｇｒｅｓｓフィルタリング機能の構成を示すブロック図である。従来のルータ装置におけるＥｇｒｅｓｓフィルタリング機能の構成を示すブロック図である。従来のルータ装置における他のＥｇｒｅｓｓフィルタリング機能の構成を示すブロック図である。

符号の説明

１外部ネットワーク
２内部ネットワーク
１００ルータ
１１０〜１１３，６００，６０１，６５０，６５１，７００，７０１，７５０，７５１，８００，８０１，８５０，８５１ラインカード
１２０〜１２４，６１０，６１１，７１０，７１１，８１０，８１１フィルタ部
１２５，１２７フィルタ手段
１２６ダイナミックルール設定手段
１３０〜１３３，６２０，６２１，７６０，７６１，８６０，８６１入力バッファ
１４０〜１４３，６６０，６６１，７２０，７２１，８２０，８２１出力バッファ
１５０〜１５４，１５６折り返し部
１５５折り返し分配手段
１５７抽出通知手段
１６０〜１６４，６３０，６３１，７３０，７３１，８３０，８３１検出部
１６５検出手段
１６６フィルタ情報生成手段
１７０，６４０，７４０，８４０スイッチファブリック
１７１スイッチ網
１８０フィルタ情報通知分配部
１８１分配手段
２００正規利用者端末
２１０攻撃者端末
２２０攻撃先端末
３００ＩＰパケット
３１０，３２０，３３０，９４０，１０４０攻撃ＩＰパケット
４００，４１０，４１１フィルタ情報
９００，９０１，９０２，１０００，１００１，１００２送信元ＩＰアドレス
９１０，９１１，９１２，１０１０，１０１１，１０１２宛先ＩＰアドレス
９２０，９２１，１０２０，１０２１ＴＣＰ（ＵＤＰ）ヘッダ
９３０，１０３０上位プロトコルデータ
９５０，１０５０折り返し通知ヘッダ
９６０，１０６０折り返し通知パケット
９７０，１０７０ポリシールール登録データ

Claims

異なるネットワーク上の端末間で送受信されるＩＰパケットを中継する装置が、不正なＩＰパケットを廃棄するＤＤｏＳ防御方法において、前記装置におけるＩＰパケットを送信する出力側に設けられた検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出するステップと、前記装置におけるＩＰパケットを受信する入力側に設けられたフィルタ部が、前記検出部により検出された攻撃用のＩＰパケットを中継しないようにポリシールールを設定するステップと、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断するステップと、中継を許可すると判断した場合には前記受信したＩＰパケットを中継するステップと、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するステップと、を有することを特徴とするＤＤｏＳ防御方法。
入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックと、不正なＩＰパケットを廃棄するためのフィルタ情報を前記フィルタ部へ分配通知するフィルタ情報通知分配部とを備えた装置が、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ及び検出部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御方法であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出するステップと、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するステップと、前記フィルタ情報通知分配部が、該生成されたフィルタ情報を前記全てのラインカードのそれぞれのフィルタ部へ分配通知するステップと、前記フィルタ部が、該分配通知されたフィルタ情報に基づいてポリシールールを設定するステップと、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断するステップと、中継を許可すると判断した場合には前記受信したＩＰパケットを中継するステップと、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するステップと、前記ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するステップと、を有することを特徴とするＤＤｏＳ防御方法。
請求項２に記載のＤＤｏＳ防御方法において、前記フィルタ情報通知分配部がフィルタ情報を全てのラインカードのそれぞれのフィルタ部へ分配通知するステップの代わりに、前記フィルタ情報通知分配部が、フィルタ情報を、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれのフィルタ部へ分配通知するステップを有することを特徴とするＤＤｏＳ防御方法。
入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部と折り返し部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックとを備えた装置が、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ、検出部及び折り返し部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御方法であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出するステップと、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するステップと、前記折り返し部が、該生成されたフィルタ情報を、前記スイッチファブリックを介してインラインで前記全てのラインカードのそれぞれの折り返し部へ通知するステップと、前記折り返し部が、該通知されたフィルタ情報をフィルタ部へ通知するステップと、前記フィルタ部が、該通知されたフィルタ情報に基づいてポリシールールを設定するステップと、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断するステップと、中継を許可すると判断した場合には前記受信したＩＰパケットを中継するステップと、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するステップと、前記ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するステップと、を有することを特徴とするＤＤｏＳ防御方法。
請求項４に記載のＤＤｏＳ防御方法において、前記折り返し部がフィルタ情報をスイッチファブリックを介してインラインで全てのラインカードのそれぞれの折り返し部へ通知するステップの代わりに、前記折り返し部が、フィルタ情報を、前記スイッチファブリックを介してインラインで、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれの折り返し部へ通知するステップを有することを特徴とするＤＤｏＳ防御方法。
異なるネットワーク上の端末間で送受信されるＩＰパケットを中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御機能付きルータ装置において、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出する検出手段を有し、ＩＰパケットを送信する出力側に設けられた検出部と、前記検出手段により検出された攻撃用のＩＰパケットを中継しないようにポリシールールを設定するダイナミックルール設定手段、及び、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断し、中継を許可すると判断した場合には前記受信したＩＰパケットを中継し、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄する検出手段を有し、ＩＰパケットを受信する入力側に設けられたフィルタ部と、を備えたことを特徴とするＤＤｏＳ防御機能付きルータ装置。
入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックと、不正なＩＰパケットを廃棄するためのフィルタ情報を前記フィルタ部へ分配通知するフィルタ情報通知分配部とを備え、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ及び検出部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御機能付きルータ装置であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出する検出手段と、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するフィルタ情報生成手段とを有し、前記フィルタ情報通知分配部が、該生成されたフィルタ情報を前記全てのラインカードのそれぞれのフィルタ部へ分配通知する分配手段を有し、前記フィルタ部が、該分配通知されたフィルタ情報に基づいてポリシールールを設定し、該ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するダイナミックルール設定手段と、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断し、中継を許可すると判断した場合には前記受信したＩＰパケットを中継し、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するフィルタ手段とを有することを特徴とするＤＤｏＳ防御機能付きルータ装置。
請求項７に記載のＤＤｏＳ防御機能付きルータ装置において、前記フィルタ情報通知分配部の分配手段が、生成されたフィルタ情報を、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれのフィルタ部へ分配通知することを特徴とするＤＤｏＳ防御機能付きルータ装置。
入力バッファ、該入力バッファの前段に設けられたフィルタ部、出力バッファ、及び該出力バッファの後段に設けられた検出部と折り返し部をそれぞれ有した複数のラインカードと、該ラインカードの間に設けられ、ＩＰパケットを目的のラインカードへスイッチングするスイッチファブリックとを備え、異なるネットワーク上の端末間で送受信されるＩＰパケットを、第一の前記ラインカードにおけるフィルタ部及び入力バッファと、スイッチファブリックと、第二の前記ラインカードにおける出力バッファ、検出部及び折り返し部とを順番に経由して中継し、不正なＩＰパケットを廃棄するＤＤｏＳ防御機能付きルータ装置であって、前記検出部が、予め設定された検出ルールに基づいて、ＤｏＳ攻撃やＤＤｏＳ攻撃等の攻撃用のＩＰパケットを検出する検出手段と、該検出した攻撃用のＩＰパケットを中継しないようにフィルタ情報を生成するフィルタ情報生成手段とを有し、前記折り返し部が、該生成されたフィルタ情報を、前記スイッチファブリックを介してインラインで前記全てのラインカードのそれぞれの折り返し部へ通知する折り返し分配手段と、該通知されたフィルタ情報をフィルタ部へ通知する通知手段とを有し、前記各フィルタ部が、該通知されたフィルタ情報に基づいてポリシールールを設定し、該ポリシールールを設定してから一定時間経過後に、前記設定したポリシールールを削除するダイナミックルール設定手段と、該ポリシールールに基づいて、受信したＩＰパケットに対して中継の許可または拒否を判断し、中継を許可すると判断した場合には前記受信したＩＰパケットを中継し、中継を拒否すると判断した場合には前記受信したＩＰパケットを廃棄するフィルタ手段とを有することを特徴とするＤＤｏＳ防御機能付きルータ装置。
請求項９に記載のＤＤｏＳ防御機能付きルータ装置において、前記折り返し部の折り返し分配手段が、生成されたフィルタ情報を、前記スイッチファブリックを介してインラインで、該フィルタ情報を生成したラインカード以外の全てのラインカードのそれぞれの折り返し部へ通知することを特徴とするＤＤｏＳ防御機能付きルータ装置。
請求項１から５のいずれか一項に記載のＤＤｏＳ防御方法を実行する装置を構成するコンピュータに、前記ＤＤｏＳ防御方法における各ステップの処理を実行させることを特徴とするＤＤｏＳ防御プログラム。
請求項１１に記載のＤＤｏＳ防御プログラムを記録した記録媒体。