JP2006023934A - サービス拒絶攻撃防御方法およびシステム - Google Patents

Abstract

【課題】レイヤ５以上の処理に対して行われるＤｏＳまたはＤＤｏＳ攻撃に対してサーバの負担の少ないサービス拒絶攻撃防御技術を提供する。
【解決手段】ＤｏＳまたはＤＤｏＳ攻撃を受けたサーバ（ＳＩＰサーバ４）自身が、ＤｏＳまたはＤＤｏＳ攻撃を検出し、検出情報をレイヤ４以下の情報にマッピングし、マッピングしたレイヤ４以下の情報を含む攻撃検出通知を当該サーバに対応するＯｐＳ６に通知する。通知を受けたＯｐＳ６が、マッピングしたレイヤ４以下の情報を基に、ネットワーク３の縁の部分に位置するエッジルータ１、２に対してフィルタリングの設定をする。
【選択図】 図６

Description

本発明は、ネットワーク例えばＩＳＰ(Internet Service Provider)網におけるＤｏＳ(Denial of Service)またはＤＤｏＳ(Ditributed Denial of Service)攻撃に対するインターネットセキュリティ向上技術の分野に属する。

ＳＩＰ(Session Initiation Protocol)サーバ、ＳＭＴＰ(Simple Mail Transfer Protocol)サーバなどの各種制御サーバのレイヤ５以上の処理に対して行われるＤｏＳまたはＤＤｏＳ攻撃（アプリケーション型サービス拒絶攻撃）から当該サーバを保護する対策としては、従来、〔１〕当該サーバ自身が当該攻撃を検知し、検知したトラヒックを排除する、〔２〕当該保護対象のマシンの手前にファイアウォールまたは、ＩＤＳ(Intrusion Detection System)を設置し、当該攻撃を検知し、検知したトラヒックを排除する方策が採られている。また、〔３〕特許文献１「サーバ保護ネットワークシステム、サーバ及びルータ」では、サーバが攻撃された場合、攻撃者に近いルータにて攻撃パケットを廃棄するため、順次中継ルータを遡って辿っていく旨、特許文献２「サービス不能攻撃の防御方法及び装置ならびにそのコンピュータプログラム」では、サーバが攻撃された場合、攻撃者に近いルータにて攻撃パケットを廃棄するため、ネットワーク内の各拠点に専用装置を設置し、専用装置間で逐次攻撃情報を伝播し、攻撃トラヒックを上流で排除する旨、特許文献３「不正アクセス防御システム」では、攻撃をネットワークにて検出し、専用の遮断機器にて防御を行い、攻撃からネットワークを防御する旨提案している。

特開２００３−２９８６２８号公報 特開２００３−２８３５７１号公報 特開２００２−１５８６６０号公報

前述の従来の技術には以下の問題がある。〔１〕当該サーバマシン自身で攻撃を防御する場合、その防御処理自身に処理負荷がかかるだけでなく、当該サーバへ繋がる回線も、攻撃トラヒックで埋まる事になり、正当なユーザへのサービスの妨げになる可能性がある。また、〔２〕当該サーバの手前にファイアウォールまたは、ＩＤＳを設置する場合については、レイヤ５以上の攻撃を検知するのは難しいため、更に排除まで行うとなるとその装置自身、高価になるばかりでなく、そのスループットも制限される可能性が高い。また、〔３〕特許文献１の技術ではルータを辿るのに時間がかかり、特許文献２、３の技術では専用の装置が必要となる。

本発明の目的は、レイヤ５以上の処理に対して行われるＤｏＳまたはＤＤｏＳ攻撃（サービス拒絶攻撃）に対してサーバの負担の少ないサービス拒絶攻撃防御技術を提供することにある。

第１の発明は、ネットワークに接続されたサーバをレイヤ５以上の処理をターゲットとするＤｏＳまたはＤＤＯＳ攻撃から守るサービス拒絶攻撃防御方法であって、ＤｏＳまたはＤＤｏＳ攻撃を受けたサーバ自身が、前記ＤｏＳまたはＤＤｏＳ攻撃を検出し、検出情報をレイヤ４以下の情報にマッピングし、マッピングしたレイヤ４以下の情報を含む攻撃検出通知を当該サーバに対応するＯｐＳに通知するステップと、通知を受けた前記ＯｐＳが、前記マッピングしたレイヤ４以下の情報を基に、前記ネットワークの縁の部分に位置するエッジルータに対してフィルタリングの設定をするステップと、を有することを特徴とする。第２の発明は、第１の発明において、前記サーバと前記ＯｐＳはそれぞれサーバのタイマ値とＯｐＳのタイマ値を保持し、前記サーバが、前記攻撃検出通知を通知した後、前記サーバのタイマ値の間、攻撃検出通知を抑止するステップと、前記ＯｐＳが、前記フィルタリングの設定を行った後、前記ＯｐＳのタイマ値経過後、フィルタリング設定を解除するステップと、を有し、前記サーバのタイマ値と前記ＯｐＳのタイマ値は、「サーバのタイマ値＜ＯｐＳのタイマ値」となる様に設定されることを特徴とする。第３の発明は、第１の発明において、前記サーバは第１のタイマ値と第２のタイマ値を保持し、前記サーバが、前記攻撃検出通知を通知した後、第１のタイマ値の間、攻撃検出通知を抑止するステップと、前記サーバが、前記攻撃検出通知を通知した後、第２のタイマ値経過後、フィルタリング設定の解除を前記ＯｐＳに通知するステップと、前記フィルタリング設定の解除の通知を受けた前記ＯｐＳが、前記マッピングしたレイヤ４以下の情報を基に、前記ネットワークのエッジルータに対してフィルタリング設定の解除をするステップと、を有し、前記第１のタイマ値と前記第２のタイマ値は、「第１のタイマ値＜第２のタイマ値」となる様に設定されることを特徴とする。第４の発明は、第１ないし３の発明において、前記ネットワークはＩＳＰ網であることを特徴とする。第５の発明は、第１ないし第４の発明において、ＯｐＳがフィルタリング設定を行うエッジルータは、前記ネットワークにおいて前記サーバを収容しているエッジルータおよび／または前記ネットワークの他のエッジルータであることを特徴とする。第６の発明は、第１ないし第５の発明において、前記通知はＳＮＭＰまたはｔｅｌｎｅｔのプロトコルを用いて行うことを特徴とする。第７の発明は、第１ないし６の発明において、検出情報のレイヤ４以下の情報へのマッピングは、レイヤ４以下のフィールド情報を抽出することによって行うことを特徴とする。第８の発明は、第７の発明において、抽出するレイヤ４以下のフィールド情報はソースアドレスであることを特徴とする。第９の発明は、第１ないし第８の発明を行うためのサービス拒絶攻撃防御システムであって、前記サーバと前記ＯｐＳとを備えることを特徴とする。

サーバ（制御サーバ）のみに於いて、攻撃の検出および攻撃トラヒックの排除を行う場合と比べて、本発明では、制御サーバは排除処理をする必要がなく、また、エッジルータが攻撃トラヒックの排除をしている間は、当該トラヒックの検出処理も行う必要が無いので、当該制御サーバに対して大きな負荷削減となる。また、排除処理を行うエッジルータと制御サーバの間に攻撃トラヒックが流れないことになり、その分正当なユーザを保護できる。また、ＤｏＳ／ＤＤｏＳ攻撃の様に悪意のトラヒックではないが、設定ミスなどによる過失により、ＤｏＳ／ＤＤｏＳ攻撃と同じトラヒックを生じさせてしまった場合に対しても当該トラヒックから、ＳＩＰサーバ延いては正当ユーザを保護できる。

以下、本発明の実施形態について説明する。

前述の従来の技術に於ける〔１〕の方法において、当該サーバはそもそもレイヤ５以上のインタフェースの解析を行うため、レイヤ５以上の攻撃を検知する処理については、さほど負荷の上昇にはならない。そこで、本実施形態では攻撃の検出は当該サーバ（制御サーバ）にて行うが、攻撃トラヒックを排除する処理は別のマシンにて行う。本実施形態におけるサーバ（制御サーバ）はレイヤ５以上の処理を行うものとする。攻撃トラヒックを排除する別のマシンの具体的なものとしては、ＩＳＰのネットワークに於いて当該制御サーバを収容しているエッジルータ、または、同ＩＳＰ内の他のエッジルータを考える。ここで、当該エッジルータは、高スループットを確保するため、ＴＣＰなどのレイヤ４までのプロトコルを分析し、フィルタリング、レートリミットなどの処理をする事は可能であるが、レイヤ５以上のプロトコルの分析はできないものとする。なお、当該エッジルータがレイヤ５以上のプロトコルの解析ができるものであったとしても、本発明の実施形態によれば、当該エッジルータにレイヤ５以上のプロトコル解析を行わないように設定することができるので、当該エッジルータはレイヤ５以上のプロトコル解析の負担を負うことがない。

本実施形態の処理を実現するためには、（１）当該制御サーバで検出したトラヒックを特定する識別子をレイヤ４以下の識別子にマッピング（関連付け）する、（２）当該レイヤ４以下の識別子を当該エッジルータに伝播する手段を確立する、事が必要である。また、攻撃が終了した場合、攻撃トラヒックを排除する処理を解除する必要があるが、排除処理を当該サーバ自身にて行っている場合には、当該制御サーバはレイヤ５以上の処理を分析することができるから、攻撃終了を検出する事ができるが、エッジルータにて攻撃トラヒックを排除している場合、エッジルータでは、レイヤ５以上のインタフェースを分析する事ができないから、攻撃の終了を検出する事ができない。そこで、本実施形態の方式を実現するためには更に、（３）タイマーなどによる自動解除処理を行う必要があり、また、タイマーによる解除では、解除時に攻撃が続いている可能性があるため、当該制御サーバは定期的にタイマー処理を用いて、攻撃情報をエッジルータに伝播させる必要がある。

（１）、（２）、（３）の実現方法を説明するに当たり、本実施形態では、以下を前提とする。各制御サーバは専用のＯｐＳ（Operation System）（以下、単にＯｐＳと記す）を持つこと。ＩＳＰ内のエッジルータは、保守インタフェースとして、ＩＰおよびＴＣＰプロトコル上のＳＮＭＰ(Simple Network Management Protocol)またはｔｅｌｎｅｔのインタフェースを持つこと。ＩＳＰ内の各制御サーバと各エッジルータは、ＩＰおよびＴＣＰプロトコルによる保守ネットワークにより接続されていること。また、保守ネットワークと対ユーザサービス用のネットワークは物理的に同一回線でも良いが、その場合、フィルタリングなどの設定により、ユーザ端末からは、エッジルータや制御サーバの保守インタフェースにはアクセスできない様になっていること。

（１）「当該制御サーバで検出したトラヒックを特定する識別子をレイヤ４以下の識別子にマッピングする」点については、攻撃メッセージを持つパケットのレイヤ４以下のフィールド情報を抽出することにより実現する。なお、抽出するフィールド情報はフィルタリングを行うパケットを特定することができる情報であればよい。

（２）「当該レイヤ４以下の識別子を当該エッジルータに伝播する手段を確立する」点については、制御サーバが攻撃を検出した際、当該レイヤ４以下の情報をＯｐＳに通知し、ＯｐＳは保守ネットワークを介し、ＳＮＭＰまたはｔｅｌｎｅｔのプロトコルを用い、各エッジルータに攻撃トラヒックのフィルタリングの設定を行う。フィルタリング設定先のエッジルータのＩＰアドレス、およびフィルタリングを設定する回線識別子は予め、ＯｐＳに登録して置く。また、ＯｐＳがＳＮＭＰまたはｔｅｌｎｅｔのプロトコルを用いてエッジルータに設定する際、インタフェースでエッジルータ毎に異なる部分については、幾つかの主要な機種（ベンダー）についてＯｐＳに予め盛り込まれて選択できるようになっており、ＯｐＳ−エッジルータ間のインタフェースがより汎用的なものとなるようにする。

（３）「タイマーなどによる自動解除処理を行う」点については、２つの方式を提案する。「１つ目」は、制御サーバによる攻撃検出通知を頻繁に挙げることを防ぐため、攻撃検出通知を通知した後、タイマ値による通知抑止を行い、また、ＯｐＳでは、タイマ値の時間経過後、エッジルータに設定したフィルタリングの解除を行う。ここで、解除時に攻撃が終了していない場合、即、制御サーバより、検出通知がＯｐＳに挙る様、「制御サーバのタイマ値＜ＯｐＳのタイマ値」となる様にする方式である。「２つ目」は、タイマは制御サーバのみにて保持し、制御サーバは、攻撃検出通知を頻繁に挙げることを防ぐため、攻撃検出通知を通知した後、タイマ値による通知抑止を行い、また、攻撃検出通知を通知した後、別タイマにより、ＯｐＳに設定したフィルタリングの解除を依頼する。通知を受けたＯｐＳは、エッジルータに設定したフィルタリングの解除を行う。ここで、解除時に攻撃が終了していない場合、即、制御サーバより、検出通知がＯｐＳに挙る様、「制御サーバの通知抑止タイマ値＜制御サーバのフィルタリング解除依頼タイマ値」となる様にする方式である。

以下、図面を用いて詳細に説明する。

図１は本機能（ＤｏＳ／ＤＤｏＳ攻撃対策機能）を施さないネットワークの図面である。１〜２は各ＩＳＰのコアネットワークにて縁の部分に位置するエッジルータである。３は各ＩＳＰのコアネットワークおよび保守ネットワークである。４〜５は、ＩＳＰ内でＳＩＰやＳＭＴＰプロトコルを制御する制御サーバであり、６〜７はそれぞれに対応するＯｐＳである。ここでは、ＳＩＰサーバ、ＳＭＴＰサーバを例としている。８〜１０はＩＳＰに加入するユーザの端末である。１１〜１７は各エッジルータおよび制御サーバの他エンティティとのインタフェースである。

尚、レイヤ３のヘッダーの例としてＩＰヘッダー２１およびレイヤ４のヘッダの例としてＴＣＰヘッダー２２のフィールドの図面を図２に、レイヤ５以上のプロトコルの例としてＳＩＰプロトコルのフィールドの図面を図３に示す。なお、図３に示すＳＩＰプロトコルのフィールドは図２のＤａｔａ２３内に格納される。

図１ではＤｏＳ／ＤＤｏＳ攻撃トラヒックを発するユーザ端末を８および９、正当なユーザ端末を１０とする。

ユーザ端末８、９は各制御サーバに向けて、レイヤ５以上の処理を行う初期のメッセージを多数送信し、制御サーバおよびそこまでのネットワークを過負荷状態にし、正当ユーザ１０がサービスを受けるのを妨害する。

以下では、制御サーバとして、ＳＩＰサーバ、ＳＭＴＰサーバの例について述べる。それぞれ専用のＯｐＳ（サーバとＯｐＳの数の比はＭ：Ｎ（Ｍ、Ｎは整数）とし、それぞれ対応関係を持つものとする）をもち、ＩＰプロトコルで接続されているものとする。

ＳＩＰプロトコルのシーケンスを図４に、ＳＭＴＰサーバからユーザ端末がメッセージのダウンロードを行う時に用いるＰＯＰ３(Post Office Protocol version 3)プロトコルのシーケンスを図５に記す。本発明の実施形態のシステムおよび処理を図６、７に示す。また、本発明の実施形態の処理のフローチャートについて図８、９に示す。

以下、本発明の実施例を図面を用いて説明する。

（実施例１）
図６に、制御サーバがＳＩＰサーバである場合の実施例のシステムおよび処理を示す。尚、フィルタリングの解除方式としては、前述の「１つ目」の方式を例に記述する。「２つ目」を採用した場合でも同様にシステムを構築できる。

条件として、ＳＩＰサーバ４は、ＴＣＰ上のＳＩＰプロトコル（ＲＦＣ３２６１）のサーバとして動作し、本実施形態では、ＳＩＰサーバ４のインタフェース１１にて、ＳＩＰプロトコルの図３でＭｅｔｈｏｄ３１がＩＮＶＩＴＥ４１（図４参照）であるメッセージ（以下単にＩＮＶＩＴＥメッセージと記す）を受けるものとする。

ＳＩＰサーバ４では、インタフェース１１にて、１秒当たり、または、１０秒当たり、または、１分当たりのＩＮＶＩＴＥメッセージをＩＰ Ｈｅａｄｅｒ２１内のＳｏｕｒｃｅ Ａｄｄｒｅｓｓ２４（図２参照）毎に観測し、その数が設定値よりもオーバーした場合、ＳＩＰサーバ対応ＯｐＳ６（以下、単に「ＯｐＳ６」と記すことがある）に通知する（ここで、通知プロトコルは特に指定しない）。通知条件は、予めＯｐＳ６より設定できる様になっている。通知を頻繁に挙げないため、通知を挙げてから、設定されたタイマ値分の時間が経過するまでは通知は行わないものとする。通知条件およびタイマ値は、予めＯｐＳ６より設定できる様になっている。通知情報は、その設定値をオーバーしたパケットのＳｏｕｒｃｅ Ａｄｄｒｅｓｓとする。通知を受けたＯｐＳ６は、エッジルータ（１、２など）に回線識別子および送信／受信側を指定して（例として、インタフェース１３の送信側または１５の送信側）フィルタリングの設定を行う。尚、通知先のエッジルータのＡｄｄｒｅｓｓおよび設定対象の回線の識別子は予めＯｐＳ６に設定してあり、複数設定可能とする。エッジルータへ設定するプロトコルはＳＮＭＰまたはｔｅｌｎｅｔとし選択できる様になっている。更に上位のアプリケーションのインタフェースについては、対象となるエッジルータの種別毎に幾つかのパターンが準備されており、それらを選択できる様になっている。フィルタリングの設定内容は、Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ２４がＳＩＰサーバより通知された情報、Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ２５は通知の発信元のＳＩＰサーバ４のＩＰ Ａｄｄｒｅｓｓ、Ｐｒｏｔｏｃｏｌ２６は６（ＴＣＰ）、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ２７は５０６０（ＳＩＰプロトコル処理用のＰｏｒｔ番号）（以上、図２参照）のパケットをフィルタリングする。これにより、ユーザ端末８、９からのパケットはエッジルータにて排除され、ユーザ端末１０からのトラヒックが保護される。ＯｐＳ６は上記フィルタリングの設定を行ってから予め設定されたタイマ値分時間が経過した後、エッジルータにて当該フィルタリングの解除を行う。このときタイマ値の設定には、上記でのＳＩＰサーバからの通知抑止のタイマ値よりも大きな値を入れるものとし、違反した場合には設定時に、エラーで弾くものとする。なお、本実施例では、ＩＮＶＩＴＥメッセージを観測しているが、ＩＮＶＩＴＥ以外のメッセージを観測してもよい。

以下、図６に従って説明する。
［１］ＳＩＰサーバ４のインタフェース１１はＩＮＶＩＴＥメッセージをモニタし、閾値を超えた場合、当該トラヒックのＳｏｕｒｃｅ Ａｄｄｒｅｓｓを抽出する。
［２］ＳＩＰサーバ４は、抽出したＳｏｕｒｃｅ ＡｄｄｒｅｓｓをＳＩＰサーバ４に対応したＯｐＳ６に通知し、タイマ値設定時間の間、通知を抑制する。タイマ設定時間経過後は抑止を解除する。
［３］通知を受けたＯｐＳ６は、予め設定されたエッジルータ１、２および回線識別子に対し、そのエッジルータ１、２のインタフェース１３、１５にＳＮＭＰまたはｔｅｌｅｎｅｔで、「Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ通知を受けたＳｏｕｒｃｅ Ａｄｄｒｅｓｓ、Ｄｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓはＳＩＰサーバ４のアドレス、Ｐｒｏｔｏｃｏｌは６、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔは５０６０」のパケットフィルタリングの設定をする。
［４］エッジルータ１のインタフェース１３はＳＩＰサーバ４への回線の出側にて設定されたルールに従いフィルタリングを行い、エッジルータ２のインタフェース１５はユーザ収容エッジルータのコアネットワーク側回線の出側にて設定されたルールに従いフィルタリングを行う。
［５］ＯｐＳ６はタイマ設定時間経過後、エッジルータ１、２のフィルタリングの設定を解除する。
［６］エッジルータ１、２はフィルタリングを解除する。

次に、図８のフローチャートに従って説明する。ステップ８１〜８４、８６はＳＩＰサーバ４における処理であり、ステップ８５、８７はＳＩＰサーバ対応ＯｐＳ６における処理である。
・ステップ８１：ＳＩＰサーバ４のインタフェース１１でＳＩＰプロトコルのＩＮＶＩＴＥメッセージの数が閾値を超えるか監視する。
・ステップ８２：トラヒックが閾値を超えたかどうかを判断し、超えていなければステップ８１に戻り、超えていればステップ８３に進む。
・ステップ８３：ＳＩＰサーバ対応ＯｐＳ６に攻撃検出通知（当該トラヒックのＳｏｕｒｃｅ Ａｄｄｒｅｓｓを含む）を通知する。
・ステップ８４：ＳＩＰサーバ４はタイマを起動し、一定時間攻撃検出通知（攻撃検出メッセージ）を抑止する。
・ステップ８５：通知を受けたＳＩＰサーバ対応ＯｐＳ６は登録されているエッジルータの回線識別子の送信または受信側に対し、Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓが通知されたＳｏｕｒｃｅ Ａｄｄｒｅｓｓ、Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓが通知を発しているＳＩＰサーバ４のアドレス、Ｐｒｏｔｏｃｏｌが６、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔが５０６０であるパケットのフィルタリングをＳＮＭＰまたはｔｅｌｅｎｅｔにて設定し、タイマを起動する。
・ステップ８６：ＳＩＰサーバ対応ＯｐＳ６のタイマより先にＳＩＰサーバ４のタイマが終了し、ＳＩＰサーバ４のＳＩＰサーバ対応ＯｐＳ６に対する攻撃検知通知の抑止が終了する。
・ステップ８７：ＳＩＰサーバ対応ＯｐＳ６のタイマ終了により、ＳＩＰサーバ対応ＯｐＳ６は設定したエッジルータに設定したフィルタを解除し、ステップ８１に戻る。

以上のように、ＳＩＰサーバ４はステップ８３でＳＩＰサーバ対応ＯｐＳ６に攻撃検出攻撃検知通知を通知した後、ステップ８４でＳＩＰサーバ４はタイマを起動し、一定時間攻撃検出通知を抑止するので、ＳＩＰサーバ４がＳＩＰサーバ対応ＯｐＳ６に必要以上に攻撃検出通知を通知することがない。また、ステップ８６でＳＩＰサーバ４のタイマが終了し攻撃検出通知の抑止が終了した後に、ステップ８７でエッジルータのフィルタ解除が行われるので、その時点でもＤｏＳ／ＤＤｏＳ攻撃が継続している場合は、ＳＩＰサーバ４は、直ちにステップ８２でトラフィックが閾値を超えていることを検知して、ステップ８３でＳＩＰサーバ対応ＯｐＳ６に通知を行い、ステップ８５でＳＩＰサーバ対応ＯｐＳ６はエッジルータに対してフィルタを設定して、ＤｏＳ／ＤＤｏＳ攻撃に対して防御を行うことができる。

ＯｐＳ６における設定画面の例を図１０および１１に示す。尚、本設定画面を開くに当たっては、予め対象とするＳＩＰサーバが指定されているものとする。図１０の１００はＯｐＳ６におけるＳＩＰサーバ攻撃検出・通知条件の設定画面である。１０１はＳＩＰサーバ４の検出タイマ値（Ｔ０）であり、図の例ではＳＩＰサーバ４の検出タイマ値として３０ｓｅｃが入力されている。１０２は通知条件であり、／ｓｅｃ、／１０ｓｅｃ、／ｍｉｎのうち一つを選択し、閾値を入力するようになっている。図の例では、閾値として１秒間に１０回が入力されており、このように設定されたＳＩＰサーバ４はＳｏｕｒｃｅ Ａｄｄｒｅｓｓ毎に１秒当たりのメッセージを観測し、１０回を超えるとＯｐＳ６に攻撃検出通知を通知することになる。以上の選択および入力を行った後、設定ボタン１０３をクリックすると、ＯｐＳ６はＳＩＰサーバ４に対して攻撃検出・通知条件を設定する。図１１の１１０はエッジルータ防御設定条件の設定画面である。１１１は対象ルータの指定であり、新規または変更を選択し、ＩＰアドレスを入力することによって対象ルータを指定する。１１２は回線識別子の設定であり、送信側または受信側を選択して回線識別子を入力する。１１３は設定タイマ値（Ｔ１）であり、図の例では６０ｓｅｃが入力されている。図１１に示すように、画面には「Ｔ１防御タイマ＞Ｔ０検出タイマとなるよう設定のこと」と表示される。Ｔ１≦Ｔ０で設定しようとした場合はエラーメッセージが表示され、再入力するよう促される。１１４はＭｅｔｈｏｄであり、ＳＮＭＰまたはｔｅｌｅｎｅｔを選択し、ｐｔｎＡ〜ｐｔｎＣを選択する。以上の選択および入力を行った後、設定ボタン１１５をクリックして設定する。

（実施例２）
図７に、制御サーバがＳＭＴＰサーバである場合の実施例のシステムおよび処理を示す。尚、フィルタリングの解除方式としては、前述の「１つ目」の方式を例に記述する。「２つ目」を採用した場合でも同様にシステムを構築できる。

条件として、ＳＭＴＰサーバ５は、ＴＣＰ上のＰＯＰ３プロトコル（ＲＦＣ１９３９、他）のサーバとして動作し、本実施形態では、ＳＩＰサーバ４のインタフェース１２にて、ＰＯＰ３プロトコルのＵＳＥＲコマンド５１（図５参照）（以下単にＵＳＥＲコマンドと記す）を受けるものとする。

ＳＭＴＰサーバ５では、インタフェース１２にて、１秒当たり、または、１０秒当たり、または、１分当たりのＵＳＥＲコマンドをＩＰヘッダ２１内のＳｏｕｒｃｅ Ａｄｄｒｅｓｓ２４（図２参照）毎に観測し、その数が設定値よりもオーバーした場合、ＳＭＴＰサーバ対応ＯｐＳ７（以下、単に「ＯｐＳ７」と記すことがある）に通知する（ここで、通知プロトコルは特に指定しない）。通知条件は、予めＯｐＳ７より設定できる様になっている。通知を頻繁に挙げないため、通知を挙げてから、設定されたタイマ値分の時間が経過するまでは通知は行わないものとする。通知条件およびタイマ値は、予めＯｐＳ７より設定できる様になっている。通知情報は、その設定値をオーバーしたパケットのＳｏｕｒｃｅ Ａｄｄｒｅｓｓとする。通知を受けたＯｐＳ７は、エッジルータ（１、２など）に回線識別子および送信／受信側を指定して（例として、インタフェース１４の送信側または１５の送信側）フィルタリングの設定を行う。尚、通知先のエッジルータのＡｄｄｒｅｓｓおよび設定対象の回線の識別子は予めＯｐＳ７に設定してあり、複数設定可能とする。エッジルータへ設定するプロトコルはＳＮＭＰまたは、ｔｅｌｎｅｔとし選択できる様になっている。更に上位のアプリケーションのインタフェースについては、対象となるエッジルータの種別毎に幾つかのパターンが準備されており、それらを選択できる様になっている。フィルタリングの設定内容は、Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ２４がＳＩＰサーバより通知された情報、Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ２５は通知の発信元のＳＩＰサーバ４のＩＰ Ａｄｄｒｅｓｓ、Ｐｒｏｔｏｃｏｌ２６は６（ＴＣＰ）、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ２７は１１０（ＰＯＰ３プロトコル処理用のｐｏｒｔ番号）（以上、図２参照）のパケットをフィルタリングする。これにより、ユーザ端末８、９からのパケットはエッジルータにて排除され、ユーザ端末１０からのトラヒックが保護される。ＯｐＳ７は上記フィルタリングの設定を行ってから予め設定されたタイマ値分時間が経過した後、エッジルータにて当該フィルタリングの解除を行う。このときタイマ値の設定には、上記でのＳＭＴＰサーバからの通知抑止のタイマ値よりも大きな値を入れるものとし、違反した場合には設定時に、エラーで弾くものとする。なお、本実施例ではＰＯＰ３プロトコルのＵＳＥＲコマンドを観測しているが、他のコマンドを観測してもよく、また、ＳＭＴＰプロトコルのコマンドを観測してもよい。

以下、図７に従って説明する。
［１］ＳＭＴＰサーバ５のインタフェース１２はＵＳＥＲコマンドをモニタし、閾値を超えた場合、当該トラヒックのＳｏｕｒｃｅ Ａｄｄｒｅｓｓを抽出する。
［２］ＳＭＴＰサーバ５は、抽出したＳｏｕｒｃｅ ＡｄｄｒｅｓｓをＳＭＴＰサーバ５に対応したＯｐＳ７に通知し、タイマ値設定時間の間、通知を抑制する。タイマ設定時間経過後は抑止を解除する。
［３］通知を受けたＯｐＳ７は、予め設定されたエッジルータ１、２および回線識別子に対し、そのエッジルータ１、２のインタフェース１４、１５にＳＮＭＰまたはｔｅｌｅｎｅｔで、「Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓは通知を受けたＳｏｕｒｃｅ Ａｄｄｒｅｓｓ、Ｄｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓはＳＭＴＰサーバ５のアドレス、Ｐｒｏｔｏｃｏｌは６、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔは１１０」のパケットフィルタリングの設定をする。
［４］エッジルータ１のインタフェース１４はＳＭＴＰサーバ５への回線の出側にて設定されたルールに従いフィルタリングを行い、エッジルータ２のインタフェース１５はユーザ収容エッジルータのコアネットワーク側回線の出側にて設定されたルールに従いフィルタリングを行う。
［５］ＯｐＳ７はタイマ設定時間経過後、エッジルータ１、２のフィルタリングの設定を解除する。
［６］エッジルータ１、２はフィルタリングを解除する。

次に、図９のフローチャートに従って説明する。ステップ９１〜９４、９６はＳＭＴＰサーバ５における処理であり、ステップ９５、９７はＳＭＴＰサーバ対応ＯｐＳ７における処理である。
・ステップ９１：ＳＭＴＰサーバ５のインタフェース１２でＰＯＰ３プロトコルのＵＳＥＲコマンドの数が閾値を超えるか監視する。
・ステップ９２：トラヒックが閾値を超えたかどうかを判断し、超えていなければステップ９１に戻り、超えていればステップ９３に進む。
・ステップ９３：ＳＭＴＰサーバ対応ＯｐＳ７に攻撃検出通知（当該トラヒックのＳｏｕｒｃｅ Ａｄｄｒｅｓｓを含む）を通知する。
・ステップ９４：ＳＩＰサーバ４はタイマを起動し、一定時間攻撃検出通知（攻撃検出メッセージ）を抑止する。
・ステップ９５：通知を受けたＳＭＴＰサーバ対応ＯｐＳ７は登録されているエッジルータの回線識別子の送信または受信側に対し、Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓが通知されたＳｏｕｒｃｅ Ａｄｄｒｅｓｓ、Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓが通知を発しているＳＭＴＰサーバ５のアドレス、Ｐｒｏｔｏｃｏｌが６、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔが１１０」のパケットフィルタリングをＳＮＭＰまたはｔｅｌｅｎｅｔにて設定し、タイマを起動する。
・ステップ９６：ＳＭＴＰサーバ対応ＯｐＳ７のタイマより先にＳＭＴＰサーバ５のタイマが終了し、ＳＭＴＰサーバ５のＳＩＰサーバ対応ＯｐＳ７に対する攻撃検出通知の抑止が終了する。
・ステップ９７：ＳＭＴＰサーバ対応ＯｐＳ７のタイマ終了により、ＳＭＴＰサーバ対応ＯｐＳ７は設定したエッジルータに設定したフィルタを解除し、ステップ９１に戻る。

以上のように、ＳＭＴＰサーバ５はステップ９３でＳＭＴＰサーバ対応ＯｐＳ７に攻撃検出通知を通知した後、ステップ９４でＳＭＴＰサーバ５はタイマを起動し、一定時間攻撃検出通知を抑止するので、ＳＭＴＰサーバ５がＳＭＴＰサーバ対応ＯｐＳ７に必要以上に攻撃検出通知を通知することがない。また、ステップ９６でＳＭＴＰサーバ５のタイマが終了し攻撃検出通知の抑止が終了した後に、ステップ９７でエッジルータのフィルタ解除が行われるので、その時点でもＤｏＳ／ＤＤｏＳ攻撃が継続している場合は、ＳＭＴＰサーバ５は、直ちにステップ９２でトラフィックが閾値を超えていることを検知して、ステップ９３でＳＭＴＰサーバ対応ＯｐＳ７に通知を行い、ステップ９５でＳＭＴＰサーバ対応ＯｐＳ７はエッジルータに対してフィルタを設定して、ＤｏＳ／ＤＤｏＳ攻撃に対して防御を行うことができる。

ＯｐＳ７における設定画面の例を図１１および１２に示す。尚、本設定画面を開くに当たっては、予め対象とするＳＭＴＰサーバが指定されているものとする。図１２の１２０はＯｐＳ７におけるＳＭＴＰサーバ攻撃検出・通知条件の設定画面である。この設定画面は図１０の設定画面と同様であるので、説明は省略する。図１３の１３０はエッジルータ防御設定条件の設定画面である。この設定画面は図１１の設定画面と同じであるので、説明は省略する。

以上説明した実施例ではＳＩＰサーバ、ＳＭＴＰサーバを用いているがその他のサーバを用いてもよいことは明らかである。また、実施形態、実施例のサーバ、ＯｐＳはコンピュータとプログラムで構成してもよい。

以上説明したように、本発明の実施形態では、特許文献１のように中継ルータを辿ることはせず、コアネットワークの縁に位置する全エッジルータまたは指定したエッジルータへ直接廃棄を依頼する方式を採用している。また、本発明の実施形態は、特許文献２のような専用装置は使用せず、一般のルータで排除を行うものであり、特許文献３のようなネットワークでの検出は行わず、サーバで検出を行い、ネットワーク側の装置と連携して攻撃パケットを廃棄するものである。

以上、本発明者によってなされた発明を、前記実施形態、実施例に基づき具体的に説明したが、本発明は、前記実施形態、実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

ＤｏＳ／ＤＤｏＳ攻撃対策を施さない従来のネットワークの図面である。 ＩＰヘッダ、ＴＣＰヘッダのフォーマットの図面である。 ＳＩＰプロトコルのメッセージのフォーマットの図面である。 ＳＩＰプロトコルのシーケンス図である。 ＳＭＴＰサーバからユーザ端末がメッセージのダウンロードを行う時に用いるＰＯＰ３プロトコルのシーケンス図である。 本発明の実施例（制御サーバがＳＩＰサーバである場合）のシステムおよび処理を示した図である。 本発明の実施例（制御サーバがＳＭＴＰサーバである場合）のシステムおよび処理を示した図である。 本発明の実施例（制御サーバがＳＩＰサーバである場合）の処理をフローチャート図で示したものである。 本発明の実施例（制御サーバがＳＭＴＰサーバである場合）の処理をフローチャート図で示したものである。 図６におけるＯｐＳ６でのルール（ＳＩＰサーバ攻撃・通知条件）設定画面を例示したものである。 図６におけるＯｐＳ６でのルール（エッジルータ防御設定条件）設定画面を例示したものである。 図７におけるＯｐＳ７でのルール（ＳＭＴＰサーバ攻撃・通知条件）設定画面を例示したものである。 図７におけるＯｐＳ７でのルール（エッジルータ防御設定条件）設定画面を例示したものである。

符号の説明

１ 制御サーバを収容するＩＳＰのエッジルータ
２ 加入者を収容するＩＳＰのエッジルータ
３ ＩＳＰコアネットワークおよび保守用ネットワーク
４ 自ＩＳＰにて１のエッジルータに収容されるＳＩＰサーバ
５ 自ＩＳＰにて１のエッジルータに収容されるＳＭＴＰサーバ
６ ４に対応するＯｐＳ
７ ５に対応するＯｐＳ
８〜１０ ＩＳＰにて２のエッジルータに収容されるユーザ端末。
１１〜１２ ４〜５の制御サーバにおける１のエッジルータ側のインタフェース
１３〜１４ １のエッジルータにおける４〜５の制御サーバ側のインタフェース
１５ ２のエッジルータにおける３のＩＳＰコアネットワーク側のインタフェース
１６〜１７ ２のエッジルータにおける８〜１０のユーザ端末側のインタフェース

Claims (9)

1. ネットワークに接続されたサーバをレイヤ５以上の処理をターゲットとするＤｏＳまたはＤＤＯＳ攻撃から守るサービス拒絶攻撃防御方法であって、
   ＤｏＳまたはＤＤｏＳ攻撃を受けたサーバ自身が、前記ＤｏＳまたはＤＤｏＳ攻撃を検出し、検出情報をレイヤ４以下の情報にマッピングし、マッピングしたレイヤ４以下の情報を含む攻撃検出通知を当該サーバに対応するＯｐＳに通知するステップと、
   通知を受けた前記ＯｐＳが、前記マッピングしたレイヤ４以下の情報を基に、前記ネットワークの縁の部分に位置するエッジルータに対してフィルタリングの設定をするステップと、
   を有することを特徴とするサービス拒絶攻撃防御方法。
2. 請求項１記載のサービス拒絶攻撃防御方法であって、
   前記サーバと前記ＯｐＳはそれぞれサーバのタイマ値とＯｐＳのタイマ値を保持し、
   前記サーバが、前記攻撃検出通知を通知した後、前記サーバのタイマ値の間、攻撃検出通知を抑止するステップと、
   前記ＯｐＳが、前記フィルタリングの設定を行った後、前記ＯｐＳのタイマ値経過後、フィルタリング設定を解除するステップと、
   を有し、前記サーバのタイマ値と前記ＯｐＳのタイマ値は、「サーバのタイマ値＜ＯｐＳのタイマ値」となる様に設定されることを特徴とするサービス拒絶攻撃防御方法。
3. 請求項１記載のサービス拒絶攻撃防御方法であって、
   前記サーバは第１のタイマ値と第２のタイマ値を保持し、
   前記サーバが、前記攻撃検出通知を通知した後、第１のタイマ値の間、攻撃検出通知を抑止するステップと、
   前記サーバが、前記攻撃検出通知を通知した後、第２のタイマ値経過後、フィルタリング設定の解除を前記ＯｐＳに通知するステップと、
   前記フィルタリング設定の解除の通知を受けた前記ＯｐＳが、前記マッピングしたレイヤ４以下の情報を基に、前記ネットワークのエッジルータに対してフィルタリング設定の解除をするステップと、
   を有し、前記第１のタイマ値と前記第２のタイマ値は、「第１のタイマ値＜第２のタイマ値」となる様に設定されることを特徴とするサービス拒絶攻撃防御方法。
4. 請求項１ないし３のうちいずれか１項記載のサービス拒絶攻撃防御方法であって、
   前記ネットワークはＩＳＰ網であることを特徴とするサービス拒絶攻撃防御方法。
5. 請求項１ないし４のうちいずれか１項記載のサービス拒絶攻撃防御方法であって、
   ＯｐＳがフィルタリング設定を行うエッジルータは、前記ネットワークにおいて前記サーバを収容しているエッジルータおよび／または前記ネットワークの他のエッジルータであることを特徴とするサービス拒絶攻撃防御方法。
6. 請求項１ないし５のうちいずれか１項記載のサービス拒絶攻撃防御方法であって、
   前記通知はＳＮＭＰまたはｔｅｌｎｅｔのプロトコルを用いて行うことを特徴とするサービス拒絶攻撃防御方法。
7. 請求項１ないし６のうちいずれか１項記載のサービス拒絶攻撃防御方法であって、
   検出情報のレイヤ４以下の情報へのマッピングは、レイヤ４以下のフィールド情報を抽出することによって行うことを特徴とするサービス拒絶攻撃防御方法。
8. 請求項７記載のサービス拒絶攻撃防御方法であって、
   抽出するレイヤ４以下のフィールド情報はソースアドレスであることを特徴とするサービス拒絶攻撃防御方法。
9. 請求項１ないし８のうちいずれか１項記載のサービス拒絶攻撃防御方法を行うためのサービス拒絶攻撃防御システムであって、
   前記サーバと前記ＯｐＳとを備えることを特徴とするサービス拒絶攻撃防御システム。
   

Images