JP2005124055A

JP2005124055A - ネットワーク攻撃の防御装置

Info

Publication number: JP2005124055A
Application number: JP2003359379A
Authority: JP
Inventors: Masaru Katayama; 勝片山; Kohei Shiomoto; 公平塩本; Naoaki Yamanaka; 直明山中
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-10-20
Filing date: 2003-10-20
Publication date: 2005-05-12

Abstract

【課題】正当なユーザに対するサービス品質を劣化させず、攻撃パケットを廃棄する。
【解決手段】正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する。受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットをサーバに転送する。攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する。
【選択図】図３

Description

本発明は、クライアントとサーバとがネットワークを介して接続される通信システムに利用する。特に、悪意のクライアントがサーバの機能を麻痺させようとして行う攻撃に対する防御技術に関する。

正常なＴＣＰ（Transmission Control Protocol）の通信手順を図１４を参照して説明する。ネットワーク４を介してサーバ２とクライアント３とが接続されている。このときに、クライアント３からサーバ２に対してＳＹＮパケットが送出されるとサーバ２からクライアント３に対してＳＹＮ−ＡＣＫパケットが返送される。これにより、クライアント３とサーバ２とは通信可能な状態となる。

次に、ＳＹＮ攻撃と呼ばれるサーバのサービスを不能にさせる攻撃を図１５を参照して説明する。図１５に示すように、攻撃の特徴は、悪意のあるクライアント３は、ＳＹＮパケットをサーバ２に送り続け、正常な通信をしようとした正しい通信を妨げる。さらに、攻撃者は、自分のＩＰアドレスを詐称する場合がある。このとき、サーバ２はＳＹＮ−ＡＣＫパケットをＳＹＮパケットを送信した悪意のあるクライアント３ではなく、詐称されたクライアントに送ることになる。詐称されたクライアントでは、自己が送出していないＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットの返送が繰り返し行われるので、自己が要求するＳＹＮパケットを送出することができなくなるという異常事態に陥る。

このような攻撃に対する従来の防御装置を図１６を参照して説明する。従来のＳＹＮ攻撃に対する防御装置１１は、攻撃ＳＹＮパケットと正常なＳＹＮパケットとを区別せず、ＳＹＮパケットの伝送レートを測定し、設定された閾値以上の伝送レートのＳＹＮパケットを全て廃棄していた（例えば、非特許文献１参照）。
"ＤＤｏＳ攻撃の防御対策について"、［ｏｎｌｉｎｅ］、平成１５年６月３日、警察庁技術対策課サイバーテロ対策技術室、［平成１５年１０月７日検索］、インターネット、＜ＵＲＬ：http://www.cyberpolice.go.jp/server/virus/pdf/Strategies_to_Protect_Against_DDoS_Attacks.pdf＞

このような従来の防御装置では、サーバは守れるが、正しい通信をするクライアントのＳＹＮパケットまでも廃棄されてしまい、正当なクライアントに対するサービス品質が劣化する原因となる。

本発明は、このような背景に行われたものであって、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができる防御装置を提供することを目的とする。

本発明は、セッションを確立しない攻撃に対し、正しい通信を行うものと攻撃をしかけているものとを区別可能であり、攻撃パケットのみを廃棄することを特徴とする。また、クライアントから到来したパケットのＩＰアドレスに対して受信確認パケットを返送するので、悪意のあるクライアントがＩＰアドレスを詐称した場合には、実際にパケットを送出していないクライアントに当該受信確認パケットが返送されることになる。したがって、以降の通信手順は確立せず、ＩＰアドレスの詐称を見つけることができる。

すなわち、本発明の第一の観点は、ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する手段を備えたネットワーク攻撃の防御装置である。

ここで、本発明の特徴とするところは、前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する手段とを備えたところにある（請求項１）。

これにより、疑わしいパケットと正当なパケットとを区別することができる。さらに、疑わしいパケットについては即座に廃棄することができる。

また、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ２
であることが望ましい（請求項２）。

このように、正常通信管理テーブルの記録を定期的に削除するのは、正常通信を行ったＩＰアドレスのクライアントが恒常的に正常であるとは限らないからである。また、悪意のクライアントが他のクライアントのＩＰアドレスを詐称する場合もあり、過去に正常通信を行ったＩＰアドレスを用いて悪意のクライアントが攻撃を行うこともあり得る。このような場合を想定して正常通信管理テーブルの記録は定期的に削除することが望ましい。

さらに、攻撃可能性判断テーブルの記録についても定期的に削除し、記録内容をリフレッシュすることにより、各テーブルの記憶領域を有効に利用することができる。このときに、攻撃可能性判断テーブルの更新周期よりは正常通信管理テーブルの更新周期を短く設定することがよい。その理由は、前述したように、過去に正常通信を行っていたＩＰアドレスのクライアントが攻撃をしかけてくるクライアントに変質することもあり得るので、正常通信管理テーブルの更新は頻繁に行うことが安全である。これに対し、攻撃可能性判断テーブルに記録されている過去に攻撃をしかけてきたクライアントが正常なクライアントに変質する可能性は一般的に低いと考えられるので、攻撃可能性判断テーブルの方は、正常通信管理テーブルと比較して更新頻度は小さくてもよい。

あるいは、本発明の前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルと、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する手段と、前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、前記返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する手段とを備えたことを特徴とする（請求項３）。

このように、異常通信管理テーブルを設けることにより、過去に異常通信を行ったＩＰアドレスのクライアントからのパケットを速やかに廃棄することができる。

また、前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する手段と、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ３
であることが望ましい（請求項４）。

すなわち、異常通信管理テーブルおよび攻撃可能性判断テーブルにおける記録の重複は無意味であり、このような重複を回避し、攻撃可能性判断テーブルを有効に利用することができる。

また、異常通信管理テーブルの更新周期よりは正常通信管理テーブルの更新周期を短く設定することがよい。その理由は、前述したように、過去に正常通信を行っていたＩＰアドレスのクライアントが攻撃をしかけてくるクライアントに変質することもあり得るので、正常通信管理テーブルの更新は頻繁に行うことが安全である。これに対し、異常通信管理テーブルに記録されている過去に攻撃をしかけてきたクライアントが正常なクライアントに変質する可能性は一般的に低いと考えられるので、異常通信管理テーブルの方は、正常通信管理テーブルと比較して更新頻度は小さくてもよい。

また、前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれるように構成してもよい（請求項５）。

例えば、攻撃可能性判断テーブルの記録内容は、異常通信管理テーブルに記録された時点で削除されるようにしておけば、攻撃可能性判断テーブルは、一時的な記録だけで済む。すなわち、他のテーブルと比較すると記憶容量は小さくてよい。したがって、攻撃可能性判断テーブルは、他のいずれかのテーブルの一部の記憶領域を割当てることにより実現することができる。これにより、メモリ構成を簡単化することができる。

本発明の第二の観点は、情報処理装置にインストールすることにより、その情報処理装置に、ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する機能を備えたネットワーク攻撃の防御装置に相応する機能を実現させるプログラムである。

ここで、本発明の特徴とするところは、前記監視する機能として、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する機能とを実現させるところにある（請求項６）。

また、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する機能とを実現させ、
ｔ１≦ｔ２
であることが望ましい（請求項７）。

あるいは、本発明のプログラムは、前記監視する機能として、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルに相応する機能と、前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する機能と、前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、前記返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する機能とを実現させることを特徴とするプログラムである（請求項８）。

また、前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する機能と、前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する機能とを実現させ、
ｔ１≦ｔ３
であることが望ましい（請求項９）。

また、前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれることができる（請求項１０）。

本発明の第三の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項１１）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。

これにより、汎用の情報処理装置を用いて、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができるネットワーク攻撃の防御装置を実現することができる。

本発明によれば、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができる。

（第一実施例）
第一実施例を図１ないし図５を参照して説明する。図１は防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていた場合の処理を示す図である。図２は防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていない場合の処理を示す図である。図３は防御装置に到来したＳＹＮパケットのＩＰアドレスのクライアントが攻撃をしかけるクライアントである場合の処理を示す図である。図４は防御装置に到来したＳＹＮパケットのＩＰアドレスが攻撃可能性判断テーブルに記録されている場合の処理を示す図である。図５は正常通信管理テーブルと攻撃可能性判断テーブルとの配置関係を示す図である。

第一実施例は、ネットワーク４を介して相互に接続されるクライアント３とサーバ２との間に設けられ、クライアント３からサーバ２に向けて送出されたＳＹＮパケットを監視する手段を備えたネットワーク攻撃の防御装置１である。

ここで、第一実施例の特徴とするところは、前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブル１０と、この正常通信管理テーブル１０に記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブル２０と、正常通信管理テーブル１０に記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットをサーバ２に向けて通過させる手段と、正常通信管理テーブル１０に記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを攻撃可能性判断テーブル２０に記録し、当該ＩＰアドレス宛てにＳＹＮ−ＡＣＫパケットを返送する手段と、この返送する手段によるＳＹＮ−ＡＣＫパケットの返送から一定時間経過する内に当該返送先からのＡＣＫパケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブル１０に記録すると共に攻撃可能性判断テーブル２０に既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットをサーバ２に転送する手段と、攻撃可能性判断テーブル２０にＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する手段とを備えたところにある（請求項１）。

また、正常通信管理テーブル１０のｔ１時間更新されていない記録を削除する手段と、攻撃可能性判断テーブル２０のｔ２時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ２
である（請求項２）。

以下では、第一実施例を詳細に説明する。

図１に示すように、サーバ２とネットワーク４を介して接続されたクライアント３との間に本実施例の防御装置１が挿入されている。第一実施例では、クライアント３からサーバ２に向かってＳＹＮパケットが来たら、防御装置１が過去の正しい通信を行っているＩＰアドレスから来ているか否か判断する。このために、正常通信管理テーブル１０を備えており、到来するＳＹＮパケットのＩＰアドレスと正常通信管理テーブル１０に記録された過去のＩＰアドレスとを比較する。

図１に示すように、クライアント３からサーバ２宛てに送出されたＳＹＮパケットを防御装置１が受け取ると、正常通信管理テーブル１０を検索し、過去に正しい通信を行っているＩＰアドレスから来ているＳＹＮパケットであれば、当該ＳＹＮパケットをそのままサーバ２に転送する。当該ＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットはサーバ２から返送される。

図２に示すように、防御装置１に到来したＳＹＮパケットが正常通信管理テーブル１０にＩＰアドレスがないＳＹＮパケットならば、攻撃可能性判断テーブル２０に発信元ＩＰアドレスを登録し、発信元ＩＰアドレスに防御装置１からＳＹＮ−ＡＣＫパケットを返送する。

ここで、一定時間内にクライアント３からＡＣＫパケットが来た場合には、当該ＩＰアドレスのクライアント３は、正常なクライアントであることがわかるので、攻撃可能性判断テーブル２０から発信元ＩＰアドレスを削除すると共に、正常通信管理テーブル１０に発信元ＩＰアドレスを登録し、ＳＹＮパケットをサーバ２に送信する。サーバ２からは改めて当該ＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットがクライアント３に返送される。

図３に示すように、正常通信管理テーブル１０にＩＰアドレスがないＳＹＮパケットに対して防御装置１からＳＹＮ−ＡＣＫパケットを返送した場合に、ＡＣＫパケットが一定時間以内に来なかった場合には、攻撃可能性有りと判断でき、ＳＹＮパケットをサーバ２に送信せずに廃棄する。また、攻撃可能性判断テーブル２０には当該ＩＰアドレスがそのまま記録される。

ここで、ＡＣＫパケットが一定時間以内に返送されない場合に攻撃可能性ありと判断する根拠としては、例えば、ＳＹＮ−ＡＣＫパケットを返送したＩＰアドレスが詐称されたものであれば、ＳＹＮ−ＡＣＫパケットが到着した先のクライアントは、ＳＹＮパケットを送出した履歴がない。したがって、ＳＹＮ−ＡＣＫパケットに対するＡＣＫパケットを返送することもしない。これにより、ＳＹＮパケットの送信元は、ＩＰアドレスを詐称した悪意のクライアントであると判断できる。あるいは、ＳＹＮ攻撃をしかけるクライアントであれば、はじめからＡＣＫパケットを返送することはせず、ＳＹＮパケットを送出し続ける。これにより、ＳＹＮパケットの送信元は、悪意のあるクライアントであると判断できる。

図４に示すように、攻撃可能性判断テーブル２０にＩＰアドレスがあるＳＹＮパケットが防御装置１に到来した場合には即座に廃棄する。

図５に示すように、正常通信管理テーブル１０および攻撃可能性判断テーブル２０は配置される。また、正常通信管理テーブル１０および攻撃可能性判断テーブル２０は、一定周期もしくはなんらかのトリガーを元にして、メンテナンスされる。メンテナンスは、テーブルの記録が一定時間以上更新されていなければ、その記録を削除する。これにより、テーブルの記録数の増加を回避することができると共に、悪意のクライアントが過去に正しい通信を行ったクライアントのＩＰアドレスを詐称した場合でも、一定時間以上更新されていなければ正常通信管理テーブル１０からＩＰアドレスが削除されているため、防御装置１を素通りしてしまうことを回避することができる。

（第二実施例）
第二実施例を図６ないし図１２を参照して説明する。図６は防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図である。図７は防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図である。図８は防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送された場合の処理を示す図である。図９は防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送されない場合の処理を示す図である。図１０〜図１２は第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図である。

第二実施例は、ネットワーク４を介して相互に接続されるクライアント３とサーバ２との間に設けられ、クライアント３からサーバ２に向けて送出されたＳＹＮパケットを監視する手段を備えたネットワーク攻撃の防御装置１である。

ここで、第二実施例の特徴とするところは、前記監視する手段は、正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブル１０と、異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブル３０と、正常通信管理テーブル１０に記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブル２０と、正常通信管理テーブル１０に記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットをサーバ２に向けて通過させる手段と、異常通信管理テーブル３０に記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する手段と、正常通信管理テーブル１０および異常通信管理テーブル３０に記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを攻撃可能性判断テーブル２０に記録し、当該ＩＰアドレス宛てにＳＹＮ−ＡＣＫパケットを返送する手段と、この返送する手段によるＳＹＮ−ＡＣＫパケットの返送から一定時間経過する内に当該返送先からのＡＣＫパケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブル１０に記録すると共に攻撃可能性判断テーブル２０に既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットをサーバ２に転送する手段と、前記返送する手段によるＳＹＮ−ＡＣＫパケットの返送から一定時間経過する内に当該返送先からのＡＣＫパケットが到来しないときには、当該ＩＰアドレスを異常通信管理テーブル３０に記録すると共に自装置内に保留した前記パケットを廃棄する手段とを備えたところにある（請求項３）。

また、異常通信管理テーブル３０に記録されたＩＰアドレスについては攻撃可能性判断テーブル２０から削除する手段と、正常通信管理テーブル１０のｔ１時間更新されていない記録を削除する手段と、異常通信管理テーブル３０のｔ３時間更新されていない記録を削除する手段とを備え、
ｔ１≦ｔ３
である（請求項４）。

また、攻撃可能性判断テーブル２０は、図１０に示すように、正常通信管理テーブル１０と異常通信管理テーブル２０との間に設置するが、第一実施例と比較すると、攻撃可能性判断テーブル２０は、一時的な記録だけを行えばよいので、その記憶容量は少なくて済む。そこで、その他の実施例として、図１１に示すように、正常通信管理テーブル１０の記憶領域の一部を攻撃可能性判断テーブル２０に割当てたり、あるいは、図１２に示すように、異常通信管理テーブル３０の記憶領域の一部を攻撃可能性判断テーブル２０に割当てることもできる（請求項５）。

以下では、第二実施例を詳細に説明する。

第二実施例の防御装置１は、第一実施例の防御装置１の構成に、異常通信管理テーブル３０を加えて持つことを特徴とする。

図６に示すように、クライアント３からサーバ２宛てに送出されたＳＹＮパケットを防御装置１が受け付けて、異常通信管理テーブル３０にＩＰアドレスがあるならば、即座に攻撃であると判断し、パケットを廃棄する。

図７に示すように、異常通信管理テーブル３０にＩＰアドレスがなく、正常通信管理テーブル１０にＩＰアドレスがあるならば、そのままＳＹＮパケットをサーバ２に送信する。これにより、正常な通信は、そのまま通信が可能である。

図８に示すように、異常通信管理テーブル３０にＩＰアドレスがないが、正常通信管理テーブル１０にもＩＰアドレスがないならば、攻撃可能性判断テーブル２０に発信元ＩＰアドレスを登録し、発信元ＩＰアドレスに防御装置１からＳＹＮ−ＡＣＫパケットを返送する。

ここで、一定時間以内にクライアント３からＡＣＫパケットがきた場合には、クライアント３は正常なクライアントであるとして攻撃可能性判断テーブル２０から発信元ＩＰアドレスを削除すると共に、正常通信管理テーブル１０に発信元ＩＰアドレスを登録し、ＳＹＮパケットをサーバ２に送信する。サーバ２からは改めて当該ＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットが返送される。

図９に示すように、異常通信管理テーブル３０にＩＰアドレスがないが、正常通信管理テーブル１０にもＩＰアドレスがないならば、攻撃可能性判断テーブル２０に発信元ＩＰアドレスを登録し、発信元ＩＰアドレスに防御装置１からＳＹＮ−ＡＣＫパケットを返送する。

ここで、防御装置１からのＳＹＮ−ＡＣＫパケットに対してクライアント３からＡＣＫパケットが一定時間以内に来なかった場合には、第一実施例で説明したように、攻撃と判断でき、当該ＩＰアドレスを異常通信管理テーブル３０に登録する。なお、異常通信管理テーブル３０に登録されたＩＰアドレスについては攻撃可能性判断テーブル２０から削除する。

なお、第一実施例と同様に、正常通信管理テーブル１０および異常通信管理テーブル３０は、一定周期もしくはなんらかのトリガーを元にして、メンテナンスされる。メンテナンスは、テーブルの記録が一定時間以上更新されていなければ、その記録を削除する。これにより、テーブルの記録数の増加を回避することができると共に、悪意のクライアントが過去に正しい通信を行ったクライアントのＩＰアドレスを詐称した場合でも、一定時間以上更新されていなければ正常通信管理テーブル１０からＩＰアドレスが削除されているため、防御装置１を素通りしてしまうことを回避することができる。

（第三実施例）
第三実施例を図１３を参照して説明する。第三実施例は、第一および第二実施例とその動作は同じである。第三実施例では、防御装置の設置位置が第一および第二実施例とは異なり、ネットワーク４とクライアント３との間に設置されている。これにより、悪意のクライアント３から送出されるＳＹＮパケットをネットワーク４の入り口で廃棄することができるため、ネットワーク４内を無効となるパケットが転送されることがなく、ネットワークリソースを有効に利用することができる。一方、サーバ２の個数と比較するとクライアント３の個数の方が一般的に多いので、防御装置１の設置数は第一および第二実施例と比較すると多くなる。

（第四実施例）
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明の防御装置に相応する機能を実現させるプログラムとして実現することができる（請求項６〜１０）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項１１）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、第一〜第三実施例の防御装置１における各手段および各テーブルにそれぞれ相応する機能を実現させることができる。

本発明によれば、正当なクライアントに対するサービス品質を劣化させず、攻撃パケットを廃棄することができるため、クライアントに対するサービス品質を向上させることができる。

防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていた場合の処理を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されていない場合の処理を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスのクライアントが攻撃をしかけるクライアントである場合の処理を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスが攻撃可能性判断テーブルに記録されている場合の処理を示す図。正常通信管理テーブルと攻撃可能性判断テーブルとの配置関係を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスが正常通信管理テーブルに記録されたＩＰアドレスと一致した場合の処理を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送された場合の処理を示す図。防御装置に到来したＳＹＮパケットのＩＰアドレスが異常通信管理テーブルおよび正常通信管理テーブルの双方に記録されたＩＰアドレスと一致しない場合にクライアントから一定時間内にＡＣＫが返送されない場合の処理を示す図。第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図。第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図。第二実施例における正常通信管理テーブル、異常通信管理テーブル、攻撃可能性判断テーブルの配置を示す図。第三実施例の防御装置配置位置を示す図。正常なＴＣＰの通信手順を説明するための図。ＳＹＮ攻撃と呼ばれるサーバのサービスを不能にさせる攻撃を説明するための図。ＳＹＮ攻撃に対する従来の防御装置を説明するための図。

符号の説明

１、１１防御装置
２サーバ
３クライアント
４ネットワーク
１０正常通信管理テーブル
２０攻撃可能性判断テーブル
３０異常通信管理テーブル

Claims

ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する手段を備えたネットワーク攻撃の防御装置において、
前記監視する手段は、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、
この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、
この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、
前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する手段と
を備えたことを特徴とする防御装置。
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、
前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する手段と
を備え、
ｔ１≦ｔ２
である請求項１記載の防御装置。
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する手段を備えたネットワーク攻撃の防御装置において、
前記監視する手段は、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルと、
異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルと、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルと、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる手段と、
前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する手段と、
前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する手段と、
この返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する手段と、
前記返送する手段による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する手段と
を備えたことを特徴とする防御装置。
前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する手段と、
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する手段と、
前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する手段と
を備え、
ｔ１≦ｔ３
である請求項３記載の防御装置。
前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれる請求項３記載の防御装置。
情報処理装置にインストールすることにより、その情報処理装置に、
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する機能を備えたネットワーク攻撃の防御装置に相応する機能を実現させるプログラムにおいて、
前記監視する機能として、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、
この正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、
この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを前記正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、
前記攻撃可能性判断テーブルにＩＰアドレスが記録されているパケットが到来したときには当該パケットを廃棄する機能と
を実現させることを特徴とするプログラム。
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、
前記攻撃可能性判断テーブルのｔ２時間更新されていない記録を削除する機能と
を実現させ、
ｔ１≦ｔ２
である請求項６記載のプログラム。
情報処理装置にインストールすることにより、その情報処理装置に、
ネットワークを介して相互に接続されるクライアントとサーバとの間に設けられ、クライアントからサーバに向けて送出されたパケットを監視する機能を備えたネットワーク攻撃の防御装置に相応する機能を実現させるプログラムにおいて、
前記監視する機能として、
正常通信を行ったクライアントのＩＰアドレスを記録する正常通信管理テーブルに相応する機能と、
異常通信を行ったクライアントのＩＰアドレスを記録する異常通信管理テーブルに相応する機能と、
前記正常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときにはそのＩＰアドレスを記録する攻撃可能性判断テーブルに相応する機能と、
前記正常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、そのまま当該パケットを前記サーバに向けて通過させる機能と、
前記異常通信管理テーブルに記録されたＩＰアドレスのパケットが到来したときには、当該パケットを廃棄する機能と、
前記正常通信管理テーブルおよび前記異常通信管理テーブルに記録がないＩＰアドレスのパケットが到来したときには、当該パケットを一時自装置内に保留し、そのＩＰアドレスを前記攻撃可能性判断テーブルに記録し、当該ＩＰアドレス宛てに受信確認パケットを返送する機能と、
この返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来したときには、当該ＩＰアドレスを正常通信管理テーブルに記録すると共に前記攻撃可能性判断テーブルに既に記録されている当該ＩＰアドレスを削除し、自装置内に保留した前記パケットを前記サーバに転送する機能と、
前記返送する機能による受信確認パケットの返送から一定時間経過する内に当該返送先からの受信確認パケットが到来しないときには、当該ＩＰアドレスを前記異常通信管理テーブルに記録すると共に自装置内に保留した前記パケットを廃棄する機能と
を実現させることを特徴とするプログラム。
前記異常通信管理テーブルに記録されたＩＰアドレスについては前記攻撃可能性判断テーブルから削除する機能と、
前記正常通信管理テーブルのｔ１時間更新されていない記録を削除する機能と、
前記異常通信管理テーブルのｔ３時間更新されていない記録を削除する機能と
を実現させ
ｔ１≦ｔ３
である請求項８記載のプログラム。
前記攻撃可能性判断テーブルは、前記正常通信管理テーブルもしくは前記異常通信管理テーブルのいずれかに含まれる請求項８記載のプログラム。
請求項６ないし１０のいずれかに記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。