JP2006025190A - アプリケーション型サービス拒絶防御方法 - Google Patents

Abstract

【課題】 ＤｏＳ／ＤＤｏＳ攻撃を防御する際に、サーバの負荷を軽減させると共に、検出から排除までのタイムラグを短くする。また、現行のネットワーク構成を変えることなく、また、新たな機器を追加設置することなくセキュリティの向上を図る。
【解決手段】 ユーザ端末から到着するトラヒックについて、そのユーザ端末に割当てられた識別情報に基づきそのトラヒックの宛先アドレスおよびプロトコルおよび宛先ポートが当該識別情報に対応してあらかじめ指定された宛先アドレスおよびプロトコル種別および宛先ポートと一致したときには、指定された制限帯域に従い、当該トラヒックの帯域を制限する。サーバが接続されたエッジルータに到着するサーバ宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除する。
【選択図】 図１

Description

本発明は、ＩＰ(Internet Protocol)ネットワークにおけるＤｏＳ(Denial
of Service)またはＤＤｏＳ(Distribute Denial of Service)攻撃に対するインターネット・セキュリティ技術に関する。

ＳＩＰ(Session Initiation Protocol)サーバ、ＳＭＴＰ(Simple
Mail Transfer Protocol)サーバなどの各種エンドノードのレイヤ５以上の処理に対して行われるＤｏＳ／ＤＤｏＳ攻撃から当該サーバを保護する対策としては、従来、（１）当該サーバ自身が当該攻撃を検知し、検知したトラヒックを排除する、（２）当該保護対象のマシンの手前にファイアウォールまたはＩＤＳ(Intrusion
Detection System)を設置し、レイヤ５以上の情報を分析することにより、当該攻撃を検知し、検知したトラヒックを排除する方策が採られている。

このような従来の技術には以下の問題がある。（１）当該サーバマシン自身で攻撃を防御する場合は、その防御処理自身に処理負荷がかかるだけでなく、当該サーバへ繋がる回線も、攻撃トラヒックで埋まることになり、正当なユーザへのサービスの妨げになる可能性がある。

また、（２）当該サーバの手前にファイアウォールまたはＩＤＳを設置する場合については、レイヤ５以上の攻撃を検知するのは難しいため、さらに、排除まで行うとなるとその装置自身、高価になるばかりでなく、そのスループットも制限される可能性が高い。

このような従来の問題を解決するために、例えば、特許文献１では、サーバが攻撃された場合に、攻撃者に近いルータにて攻撃パケットを廃棄するため、ネットワーク内の各拠点に専用装置を設置し、専用装置間で逐次攻撃情報を伝播し、攻撃トラヒックを上流で排除する旨提案されている。

また、特許文献２では、攻撃をネットワークにて検出し、専用の遮断機器にて防御を行い、攻撃からネットワークを防御する旨提案している。ただし、特許文献２の提案は、レイヤ４以下の攻撃を対象としている。

特開２００３−２８３５７１号公報 特開２００２−１５８６６０号公報

特許文献１および２の提案では、いずれも専用装置あるいは専用の遮断機器の設置が必要になる。さらに、これらの専用装置間の通信あるいは専用の遮断機器に指示を与えるための通信が必要になる。したがって、現行のネットワーク構成を変更する必要があり、また、新たな専用装置あるいは専用の遮断機器の追加設置には費用を要する。また、特許文献２の提案はレイヤ５以上の攻撃を検知できない。

本発明は、このような背景に行われたものであって、サーバに負荷がかからず、また、攻撃の検出から排除までのタイムラグが短いアプリケーション型サービス拒絶防御方法を現行のネットワーク構成を変えることなく、また、新たな機器を追加設置することなく提供することを目的とする。

従来は、サーバなどの各種エンドノードのレイヤ５以上の処理に対して行われるＤｏＳ／ＤＤｏＳ攻撃の検出処理としてレイヤ５以上の情報を基に行っているが、攻撃の対象となるレイヤ５以上の処理を司るプロトコルには通常ウェルノウンポート番号が割当てられており、この情報を運ぶＴＣＰ(Transmission Control Protocol)パケットのポート番号は、このポート番号が設定されていることになっている。

ここで、前提として、ＤｏＳ／ＤＤｏＳ攻撃は、サーバなどの各種エンドノードが処理を行うレイヤ５以上のＴＣＰ上のウェルノウンポート番号を持つプロトコル処理への攻撃であるとする。上記ルール等を利用することにより、このプロトコルに基づく情報を多量にサーバに送付することによりこのサーバをサービス不能状態に陥れる所謂フラッド型の攻撃に対しては、この情報を運ぶＴＣＰパケットのトラヒック量を監視することにより、ＤｏＳ／ＤＤｏＳ攻撃を検出することができる。

具体的には、まず、当該サーバを収容するエッジルータあるいは当該サーバと当該エッジルータとの間に設置されるゲートウェイまたはスイッチまたはルータにて「ＩＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓがこのエンドノードのＩＰ ａｄｄｒｅｓｓ、Ｐｒｏｔｏｃｏｌが６（ＴＣＰプロトコルの番号）、ＴＣＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ｐｏｒｔは、このエンドノードが司るレイヤ５以上のプロトコルに割当てられたウェルノウンポート番号」であるパケットのみが通過できるように、このエッジルータ、ゲートウェイ、スイッチ、ルータのこのエンドノードへの出口回線に設定する。

なお、ユーザ端末とエッジルータとの間に設置されたゲートウェイ、スイッチ、ルータは、このエッジルータからの回線を分岐するノードなので、以降の説明では、これらを総称して“分岐ノード”と呼ぶことにする。

これにより、このエッジルータまたは分岐ノードとこのエンドノードとの間の回線をＵＤＰプロトコルを用いた過負荷型の攻撃トラヒックやＴＣＰプロトコルでもｐｏｒｔ番号が５０６０でない攻撃パケットから防御できるので当該回線の輻輳を防ぐことができる。

次に、このエンドノードが収容するユーザ端末を収容するエッジルータまたは分岐ノードにて、各ユーザ端末毎にユーザを識別するＩＤを割当てる。そしてこのエッジルータまたは分岐ノードにて「ユーザを識別するＩＤがこのユーザ端末に割当てられたユーザを識別するＩＤ、ＩＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓがこのエンドノードのＩＰ ａｄｄｒｅｓｓ、Ｐｒｏｔｏｃｏｌが６（ＴＣＰプロトコルの番号）、ＴＣＰ
ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ｐｏｒｔは、このエンドノードが司るレイヤ５以上のプロトコルに割当てられたウェルノウンポート番号、制限帯域設定値は通常ユーザがこのエンドノードを使用する場合に十分な値（設定値は保守者が決める）」として制限帯域を設定する。

本設定を施すことにより、ユーザ端末から攻撃トラヒックが発せられた場合でも、そのトラヒックは、通常の使用でユーザが使用するレベルまで抑えられる。また、ユーザ端末がこのエッジルータに直収されている場合（間に分岐ノードが無く、このエッジルータの１つの回線を１つのユーザ端末が占有している場合）については、ユーザ端末にＩＤを割当てる代わりに当該ユーザ端末が占有している特定回線を識別することによって、当該ユーザ端末からのトラヒックを識別することができる。この場合には「ユーザを識別するＩＤがこのユーザ端末に割当てられたユーザを識別するＩＤ」の条件は外すものとする。

例えば、特許文献１では、サーバが攻撃された場合に、攻撃者に近いルータにて攻撃パケットを廃棄するため、ネットワーク内の各拠点に専用装置を設置し、専用装置間で逐次攻撃情報を伝播し、攻撃トラヒックを上流で排除する旨提案されているが、本発明のアプリケーション型サービス拒絶防御方法は、ノード間で攻撃情報を伝播することはせず、攻撃先収容ノードと攻撃トラヒックを発出するユーザ端末収容ノードにて静的に攻撃を防御することを特徴とする。

また、特許文献２では、攻撃をネットワークにて検出し、専用の遮断機器にて防御を行い、攻撃からネットワークを防御する旨提案しており、防御の対象としてレイヤ４以下の攻撃を対象としているが、本発明のアプリケーション型サービス拒絶防御方法は、主にレイヤ５以上の攻撃を対象としている点が異なる。

さらに、本発明のアプリケーション型サービス拒絶防御方法を実現するために、新たに専用装置あるいは専用の遮断機器を追加設置する必要はなく、はじめからネットワークに備えられているエッジルータその他のノードを、その制御手順に変更を施すだけで利用することができる。

すなわち、本発明は、コアネットワークと、このコアネットワークのエッジルータと、このエッジルータからの回線を分岐する分岐ノードと、前記エッジルータと直接あるいは前記分岐ノードを介して接続される複数のユーザ端末と、このユーザ端末が接続された前記エッジルータとは異なるエッジルータと直接あるいは前記分岐ノードを介して接続されるサーバとを備えたネットワーク・システムで、前記ユーザ端末から前記サーバに対するＤｏＳあるいはＤＤｏＳ攻撃を防御するアプリケーション型サービス拒絶防御方法である。

ここで、本発明の特徴とするところは、複数の前記ユーザ端末毎に識別情報を割当て、この識別情報単位に、前記サーバの宛先アドレスと、前記サーバと前記ユーザ端末との間で使用するプロトコル種別と、前記サーバの宛先ポートと、前記サーバと前記ユーザ端末との間の通常の信号処理を行うに十分な帯域による制限帯域とを指定する情報とを前記ユーザ端末が接続された前記エッジルータまたは前記分岐ノードに設定するステップと、前記ユーザ端末から前記エッジノードまたは前記分岐ノードに到着するトラヒックについて、そのユーザ端末に割当てられた識別情報に基づきそのトラヒックの宛先アドレスおよびプロトコルおよび宛先ポートが当該識別情報に対応してあらかじめ指定された前記宛先アドレスおよび前記プロトコル種別および前記宛先ポートと一致したときには、前記指定された制限帯域に従い、当該トラヒックの帯域を制限するステップと、前記サーバが接続された前記エッジルータに、前記サーバの宛先アドレスと、前記ユーザ端末と前記サーバとの間で使用するプロトコル種別と、前記サーバの宛先ポートとを指定する情報を設定するステップと、前記サーバが接続された前記エッジルータに到着する前記サーバ宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除するステップとを実行するところにある（請求項１）。

また、前記サーバが前記分岐ノードを介して前記エッジルータと接続されているときには、前記サーバが接続された前記エッジルータまたは前記分岐ノードに、前記サーバの宛先アドレスと、前記ユーザ端末と前記サーバとの間で使用するプロトコル種別と、前記サーバの宛先ポートとを指定する情報を設定するステップと、前記エッジルータまたは前記分岐ノードにおいて、前記サーバ宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除するステップとを実行することができる（請求項２）。

このように、エッジルータ以外でもサーバが接続されている前記分岐ノードにおいて、前記排除するステップを実行することができる。

また、前記ユーザ端末が前記エッジルータに直接収容され、当該ユーザ端末が当該エッジルータの特定回線を占有しているときには、当該ユーザ端末への識別情報の割当てを行う代わりに当該特定回線を識別することによって当該ユーザ端末からのトラヒックを識別するステップを実行することができる（請求項３）。

また、前記ユーザ端末と前記エッジルータとの間に前記分岐ノードが設置されているときには、前記分岐ノードは、前記ユーザ端末とそのトラヒックが到着する回線との対応関係に基づき前記ユーザ端末に割当てられた識別情報の詐称を監視し、詐称を検知したときには当該詐称された識別情報を正しい識別情報により上書きするステップを実行することができる（請求項４）。

すなわち、エッジルータとユーザ端末とが直接接続されている場合には、当該ユーザ端末からトラヒックが到着する回線をエッジルータが認識できるので、もし、識別情報の詐称が行われても、エッジルータはこれを発見することができる。

しかし、エッジルータとユーザ端末との間に前記分岐ノードが設置されており、さらに、前記分岐ノードには複数のユーザ端末が接続されてる場合には、これら複数のユーザ端末間で相互に識別情報の詐称が行われてもエッジルータは、これを見破ることができない。

これに対し、ユーザ端末と直接接続される前記分岐ノードにおいては、そのユーザ端末からのトラヒックが到着する回線を認識できるので、もし、識別情報の詐称が行われてもこれを発見することができる。そこで、前記分岐ノードにおいて識別情報の詐称を検知したら正しい識別情報を上書きすることにより、識別情報の詐称を回避することができる。

本発明によれば、サーバにて、攻撃の検出および攻撃トラヒックの検出または排除を行う場合と比べて、サーバには負荷がかからず、また、検出から排除までのタイムラグも無いため、サーバが高負荷となるリスクが削減される。

さらに、現行のネットワーク構成を変えることなく、また、新たな機器を追加設置することなく本発明のアプリケーション型サービス拒絶防御方法を実現することができるため、ネットワーク構成変更に要する時間および新たな機器を追加設置するのに要する費用を節約することができる。

また、ＤｏＳ／ＤＤｏＳ攻撃のように悪意のトラヒックではないが、設定ミスなどによる過失により、ＤｏＳ／ＤＤｏＳ攻撃と同じトラヒックを生じさせてしまった場合に対しても当該トラヒックからＳＩＰサーバ延いては正当ユーザを保護できる。

本発明実施例のアプリケーション型サービス拒絶防御方法を図１ないし図８を参照して説明する。図１は本実施例のアプリケーション型サービス拒絶防御方法を説明するためのネットワーク構成図である。符号１、２は各ＩＳＰ(Internet Service Provider)のコアネットワークにて縁の部分に位置するエッジルータである。符号３はエッジルータからの回線をレイヤ２またはレイヤ３で分岐するレイヤ２またはルータ（以降、レイヤ２スイッチ／ルータと記す）である。符号４は各ＩＳＰのコアネットワークである。符号５、６は、ＩＳＰ内でＳＩＰやＳＭＴＰプロトコルを制御する制御サーバである。ここでは、ＩＳＰサーバおよびＳＭＴＰサーバを例としている。符号７、８、９は、５および６のＳＩＰサーバおよびＳＭＴＰサーバに収容されているユーザ端末である。符号１０〜１８は、各エッジルータ１および２、レイヤ２スイッチ／ルータ３およびＳＩＰサーバ５およびＳＭＴＰサーバ６における他のエンティティとのインタフェースである。なお、本実施例ではゲートウェイは図示していないが、レイヤ２スイッチ／ルータをゲートウェイと置き換えて説明することができる。

本実施例は、図１に示すように、ＩＳＰコアネットワーク４と、このＩＳＰコアネットワーク４のエッジルータ１および２と、このエッジルータ２からの回線を分岐するレイヤ２スイッチ／ルータ３と、エッジルータ２と直接あるいはレイヤ２スイッチ／ルータ３を介して接続される複数のユーザ端末７、８、９と、このユーザ端末７、８、９が接続されたエッジルータ２とは異なるエッジルータ１と接続されるＳＩＰサーバ５およびＳＭＴＰサービス６とを備えたネットワーク・システムで、ユーザ端末７または８からＳＩＰサーバ５またはＳＭＴＰサーバ６に対するＤｏＳあるいはＤＤｏＳ攻撃を防御するアプリケーション型サービス拒絶防御方法である。

ここで、本実施例の特徴とするところは、複数のユーザ端末７、８、９毎に識別情報としてＶＬＡＮＩＤ(Virtual LAN Identifier)を割当て、このＶＬＡＮＩＤ単位に、ＳＩＰサーバ５またはＳＭＴＰサーバ６の宛先アドレスと、ＳＩＰサーバ５またはＳＭＴＰサーバ６とユーザ端末７、８、９との間で使用するプロトコル種別と、ＳＩＰサーバ５またはＳＭＴＰサーバ６の宛先ポートと、ＳＩＰサーバ５またはＳＭＴＰサーバ６とユーザ端末７、８、９との間の通常の信号処理を行うに十分な帯域による制限帯域とを指定する情報とをユーザ端末７、８、９が接続されたエッジルータ２またはレイヤ２スイッチ／ルータ３に設定するステップと、ユーザ端末７、８、９からエッジノード２またはレイヤ２スイッチ／ルータ３に到着するトラヒックについて、そのユーザ端末７、８、９に割当てられたＶＬＡＮＩＤに基づきそのトラヒックの宛先アドレスおよびプロトコルおよび宛先ポートが当該ＶＬＡＮＩＤに対応してあらかじめ指定された前記宛先アドレスおよび前記プロトコル種別および前記宛先ポートと一致したときには、前記指定された制限帯域に従い、当該トラヒックの帯域を制限するステップと、ＳＩＰサーバ５またはＳＭＴＰサーバ６が接続されたエッジルータ１に、ＳＩＰサーバ５またはＳＭＴＰサーバ６の宛先アドレスと、ユーザ端末７、８、９とＳＩＰサーバ５またはＳＭＴＰサーバ６との間で使用するプロトコル種別と、ＳＩＰサーバ５およびＳＭＴＰサーバ６の宛先ポートとを指定する情報を設定するステップと、ＳＩＰサーバ５またはＳＭＴＰサーバ６が接続されたエッジルータ１に到着するＳＩＰサーバ５またはＳＭＴＰサーバ６宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除するステップとを実行するところにある（請求項１）。

また、図２はＳＩＰサーバ５およびＳＭＴＰサーバ６とエッジルータ１との間にレイヤ２スイッチ／ルータ３０が設置された例を示す図であるが、図２に示すように、ＳＩＰサーバ５およびＳＭＴＰサーバ６がレイヤ２スイッチ／ルータ３０を介してエッジルータ１と１つの回線により接続されているときには、エッジルータ１の１つの回線に対してＳＩＰサーバ５およびＳＭＴＰサーバ６の宛先アドレスと、ユーザ端末７、８、９とＳＩＰサーバ５およびＳＭＴＰサーバ６との間で使用するプロトコル種別と、ユーザ端末７、８、９のＳＩＰサーバ５およびＳＭＴＰサーバ６における宛先ポートとを指定する情報を設定することになる。

あるいは、図２に示すように、ＳＩＰサーバ５およびＳＭＴＰサーバ６がレイヤ２スイッチ／ルータ３０を介してエッジルータ１と接続されているときには、エッジルータ１またはレイヤ２スイッチ／ルータ３０に、ＳＩＰサーバ５およびＳＭＴＰサーバ６の宛先アドレスと、ユーザ端末７、８、９とＳＩＰサーバ５およびＳＭＴＰサーバ６との間で使用するプロトコル種別と、ＳＩＰサーバ５およびＳＭＴＰサーバ６の宛先ポートとを指定する情報を設定するステップと、エッジルータ１またはレイヤ２スイッチ／ルータ３０において、ＳＩＰサーバ５またはＳＭＴＰサーバ６宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除するステップとを実行する（請求項２）。

また、ユーザ端末９がエッジルータ２に直接収容され、当該ユーザ端末９が当該エッジルータ２の特定回線を占有しているときには、当該ユーザ端末９への識別情報の割当てを行う代わりに当該特定回線を識別することによって当該ユーザ端末９からのトラヒックを識別するステップを実行することができる（請求項３）。

また、ユーザ端末７、８とエッジルータ２との間にレイヤ２スイッチ／ルータ３が設置されているときには、レイヤ２スイッチ／ルータ３は、ユーザ端末７、８とそのトラヒックが到着する回線を収容するインタフェース１７、１８との対応関係に基づきユーザ端末７、８に割当てられた識別情報の詐称を監視し、詐称を検知したときには当該詐称された識別情報を正しい識別情報により上書きするステップを実行する（請求項４）。

本実施例のアプリケーション型サービス拒絶防御方法の制御手順をＳＩＰサーバ５を例にとり、図３および図４のフローチャートを参照して説明する。図３はエッジルータ２における制御手順であり、図４はエッジルータ１およびＳＩＰサーバ５における制御手順である。

図３に示すように、エッジルータ２にトラヒックが到着すると（Ｓ１）、そのトラヒックのＶＬＡＮＩＤが制御対象のユーザ端末のＶＬＡＮＩＤであるか否かを判断し（Ｓ２）、制御対象であれば、さらに、その宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）がＳＩＰサーバ５か否か、Ｐｒｏｔｏｃｏｌは６か否か、宛先ポート（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）は５０６０か否かを判断し（Ｓ３）、そうであれば、あらかじめ定められた帯域制限を行う（Ｓ４）。これにより、ＤｏＳ／ＤＤｏＳ攻撃を行うユーザ端末が存在する場合でもその攻撃トラヒックは通常の処理に用いられる帯域まで減少させられる。

さらに、図４に示すように、エッジルータ１にトラヒックが到着すると（Ｓ５）、その宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）がＳＩＰサーバ５か否か、Ｐｒｏｔｏｃｏｌは６か否か、宛先ポート（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）は５０６０か否かを判断し（Ｓ６）、そうでなければ、そのトラヒックはエッジルータ１によって排除される（Ｓ９）。そうであれば、そのトラヒックは、ＳＩＰサーバ５に転送される。ＳＩＰサーバ５では、そのトラヒックのＴＣＰプロトコルシーケンスおよびＳＩＰプロトコルシーケンスの正常性を確認した後に、通常の処理を行う（Ｓ８）。また、そのトラヒックのＴＣＰプロトコルシーケンスおよびＳＩＰプロトコルシーケンスの正常性が確認できなければ、ＩＰサーバ５は、そのトラヒックを排除する（Ｓ１０）。

以下では、本実施例をさらに詳細に説明する。

図５は本実施例のアプリケーション型サービス拒絶防御方法を施さないネットワーク構成図である。なお、以下の用語説明としてＩＰヘッダおよびＴＣＰヘッダのフィールド構成を図６に示す。図５ではＤｏＳ／ＤＤｏＳ攻撃トラヒックを発するユーザ端末を７および８、正当なユーザ端末を９とする。

ユーザ端末７、８はＳＩＰサーバ５またはＳＭＴＰサーバ６に向けて、レイヤ５以上の処理を行うメッセージを多数送信し、ＳＩＰサーバ５またはＳＭＴＰサーバ６およびそこまでのネットワークを過負荷状態にし、正当なユーザ端末９がサービスを受けるのを妨害する。ＳＩＰプロトコルのシーケンスを図７に、ＰＯＰ３プロトコルのシーケンスを図８に記す。

次に、本実施例のアプリケーション型サービス拒絶防御方法について図１ないし図８を参照して説明する。ここでは、ＳＩＰサーバ５が攻撃対象の例について示す。

条件として、ＳＩＰサーバ５は、ＴＣＰ上のＳＩＰプロトコル（ＲＦＣ３２６１）のサーバとして動作し、ＳＭＴＰサーバ６は、ＴＣＰ上のＰＯＰ３プロトコル（ＲＦＣ１９３９、他）のサーバとして動作するものとする。

すなわち、図７に示すように、ユーザ端末（発）は、ＳＩＰサーバ５を経由して、ユーザ端末（着）にセッションの生成要求を行う（ＩＮＶＩＴＥ、Ｔｒｙｉｎｇ）。ＳＩＰサーバ５からセッションの生成要求を受け取ったユーザ端末（着）は、ＳＩＰサーバ５を経由してユーザ端末（発）にセッション生成を了解した旨を通知する（Ｒｉｎｇｉｎｇ、ＯＫ）。ユーザ端末（発）とユーザ端末（着）との間にセッションが生成される（ＡＣＫ）。これによりユーザ端末（発）とユーザ端末（着）との間で通信が行われる。

ユーザ端末（発）がＳＩＰサーバ５を経由してユーザ端末（着）にセッション切断要求を行うことにより（ＢＹＥ）、ユーザ端末（発）とユーザ端末（着）との間のセッションは削除される（ＯＫ）。

また、図８に示すように、ユーザ端末はＳＭＴＰサーバ６にアクセスし（ＵＳＥＲ）、応答をもらうと（＋ＯＫレスポンス）、ユーザ認証交換を行い、サーバ内のメッセージ情報を確認する。自ユーザ端末宛のメッセージがあればこれをダウンロードする。あるいは、必要に応じてメッセージの削除要求を行う。ユーザ端末におけるこれらの処理が完了するとユーザ端末とＳＭＴＰサーバ６との間の通信は切断される。

エッジルータ１は、インタフェース１２（ＳＭＴＰサーバの場合は１３）における送信側において「ＩＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓがＳＩＰサーバ５のＩＰ Ａｄｄｒｅｓｓ（ＳＭＴＰサーバの場合は、ＳＭＴＰサーバ６のＩＰ Ａｄｄｒｅｓｓ）、Ｐｒｏｔｏｃｏｌが６（ＴＣＰプロトコルの番号）、ＴＣＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ｐｏｒｔは５０６０（ＳＩＰプロトコル処理用のｐｏｒｔ番号）（ＳＭＴＰサーバの場合は１１０（ＳＩＰプロトコル処理用のｐｏｒｔ番号））（以上、図６参照）のパケット」のみが通過できるようにフィルタリングの設定をする。

また、図２に示すように、ＳＩＰサーバ５およびＳＭＴＰサーバ６がエッジルータ１における同一回線に収容されているなど、１つの回線に複数のサーバが収容されており、この回線の先で分岐されている場合には、この回線にて同時にそれぞれの設定を行う。

あるいは、図２に示すように、ＳＩＰサーバ５およびＳＭＴＰサーバ６がレイヤ２スイッチ／ルータ３０を介してエッジルータ１と接続されているときには、エッジルータ１またはレイヤ２スイッチ／ルータ３０に、ＳＩＰサーバ５およびＳＭＴＰサーバ６の宛先アドレスと、ユーザ端末７、８、９とＳＩＰサーバ５およびＳＭＴＰサーバ６との間で使用するプロトコル種別と、ＳＩＰサーバ５およびＳＭＴＰサーバ６の宛先ポートとを指定する情報を設定し、エッジルータ１またはレイヤ２スイッチ／ルータ３０において、ＳＩＰサーバ５またはＳＭＴＰサーバ６宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除する（請求項２）。

次に、エッジルータ２にて各ユーザ端末７、８、９にＶＬＡＮＩＤを割当てる。割当てたＶＬＡＮＩＤをそれぞれＶＬＡＮＩＤ７、８、９とする。そして、ユーザ端末７に対して、エッジルータ２のインタフェース１５の受信側にて「ＶＬＡＮＩＤがＶＬＡＮＩＤ７、ＩＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ＡｄｄｒｅｓｓがＳＩＰサーバ５（ＳＭＴＰサーバの場合はＳＭＴＰサーバ６）のＩＰ ａｄｄｒｅｓｓ、Ｐｒｏｔｏｃｏｌが６（ＴＣＰプロトコルの番号）、ＴＣＰ ｈｅａｄｅｒのＤｅｓｔｉｎａｔｉｏｎ ｐｏｒｔは、５０６０（ＳＭＴＰサーバの場合は１１０）、制限帯域設定値は通常ユーザが使用する場合に十分な値（図７および図８のユーザ端末からＳＩＰサーバまたはＳＭＴＰサーバへの信号のトラヒック）」として制限帯域を設定する。ユーザ端末８および９に対しても同様の設定を行う（請求項１）。

ただし、ユーザ端末９については、エッジルータ２とユーザ端末９との間にホームゲートウェイ等が設置されずユーザ端末９からのパケットにＶＬＡＮＩＤを設定できないことも考え得るので、場合によっては「ＶＬＡＮＩＤがＶＬＡＮＩＤ９」の条件は外すものとする。その代わりに、当該ユーザ端末９が占有している特定回線を識別することによって当該ユーザ端末９からのトラヒックを識別する（請求項３）。本設定を施すことにより、端末から攻撃トラヒックが発せられた場合でも、そのトラヒックは、通常の使用でユーザが使用するレベルまで抑えられる。

また、本設定の対象が、ユーザ端末７、８、９からＳＩＰサーバ５またはＳＭＴＰサーバ６へのトラヒックのみに対するものであることから、ＳＭＴＰプロトコル処理における「メッセージのダウンロード（図８参照）」などのＳＩＰサーバ５またはＳＭＴＰサーバ６からユーザ端末７、８、９へのトラヒックには影響を与えない。

ここで、「ＶＬＡＮＩＤがＶＬＡＮＩＤ８」の設定は、インタフェース１５に設定されているので、ユーザ端末９は、ＶＬＡＮＩＤをＶＬＡＮＩＤ８と詐称してパケットを送付しても、エッジルータ２を通過できない（ユーザ端末９が収容されているインタフェース１６には、「ＶＬＡＮＩＤがＶＬＡＮＩＤ９」と設定されている）。

しかし、ユーザ端末８が「ＶＬＡＮＩＤをＶＬＡＮＩＤ７」と詐称した場合には、インタフェース１５に「ＶＬＡＮＩＤがＶＬＡＮＩＤ８」の設定があるので、当該詐称パケットはエッジルータ２を通過することができてしまう。そこで、ユーザ端末７とユーザ端末８が分岐するレイヤ２スイッチ／ルータ３にてインタフェース１７および１８にそれぞれ、ＶＬＡＮＩＤ７およびＶＬＡＮＩＤ８を対応付け、ユーザ端末７および８からのパケットについてそれぞれ、ＶＬＡＮＩＤの値が、ＶＬＡＮＩＤ７およびＶＬＡＮＩＤ８のパケットのみ通過できるように設定するか、あるいは、ユーザ端末７、８からのパケットにはそれぞれＶＬＡＮＩＤ７、８の値を設定（ＶＬＡＮＩＤが詐称されている場合は正しいＶＬＡＮＩＤで上書きする）してエッジルータ２に送付する（請求項４）。

上記の設定は、エッジルータ２とユーザ端末７および８との間の回線の分岐ポイントに設置されるレイヤ２スイッチ／ルータ３全てに設定し、ユーザネットワークとキャリアネットワークとの接点では必ず１回線あたり１ＶＬＡＮＩＤとなるようにする。また、ＶＬＡＮＩＤの値は、エッジルータ２のインタフェース（回線）が異なっていれば（例えば、インタフェース１５および１６）、同じ値を割当てられることを許容する。ＶＬＡＮＩＤが同じ値であっても、インタフェース（回線）が異なれば、どのユーザ端末からのトラヒックか判別できるからである。

ＶＬＡＮＩＤの値の範囲は、１〜４０９４であるが、１つの回線に４０９４個のＶＬＡＮＩＤを割当てることができるから、エッジルータ２のユーザ端末側の回線数が例えば５つであれば、４０９４×５＝２０４７０個のＶＬＡＮＩＤを割当てることができ、収容ユーザ端末が増えても対応できる。

また、幾つかのユーザ端末を取りまとめてＶＬＡＮＩＤを割当てることも許容する（例えば、インタフェース１５に１つのＶＬＡＮＩＤを割当て、ユーザ端末７、８で共有する）。これにより、レイヤ２スイッチ／ルータ３がキャリア（ＩＳＰ）ではなくユーザの資産である場合も許容することができ、ユーザ側で自由に端末の設置および抜去を行うことができる。

以上は、ＶＬＡＮを用いた制御方法であるが、ＭＰＬＳ(Multi Protocol
Label Switching)、ＶＰＮ(Virtual Private Network)などを用いても同様な制御が可能である。

本発明によれば、ＩＰネットワークにおけるＤｏＳ／ＤＤｏＳ攻撃に対するインターネット・セキュリティの向上を図ることができるため、ＩＳＰによるユーザ獲得に寄与することができる。また、ネットワーク事業者におけるインターネット・セキュリティの向上のためのネットワーク変更に要する時間および費用の節約に寄与することができる。

本実施例のアプリケーション型サービス拒絶防御方法を説明するためのネットワーク構成図。 ＳＩＰサーバおよびＳＭＴＰサーバ６エッジルータとの間にレイヤ２スイッチ／ルータが設置された例を示す図。 本実施例のアプリケーション型サービス拒絶防御方法のエッジルータにおける制御手順を示すフローチャート。 本実施例のアプリケーション型サービス拒絶防御方法のエッジルータおよびＳＩＰサーバにおける制御手順を示すフローチャート。 本実施例のアプリケーション型サービス拒絶防御方法を施さないネットワーク構成図。 ＩＰヘッダおよびＴＣＰヘッダのフィールド構成を示す図。 ＳＩＰプロトコルシーケンスを示す図。 ＰＯＰ３プロトコルシーケンスを示す図。

符号の説明

１、２ エッジルータ
３、３０ レイヤ２スイッチ／ルータ
４ ＩＳＰコアネットワーク
５ ＳＩＰサーバ
６ ＳＭＴＰサーバ
７、８、９ ユーザ端末
１０〜１８ インタフェース

Claims (4)

1. コアネットワークと、このコアネットワークのエッジルータと、このエッジルータからの回線を分岐する分岐ノードと、前記エッジルータと直接あるいは前記分岐ノードを介して接続される複数のユーザ端末と、このユーザ端末が接続された前記エッジルータとは異なるエッジルータと直接あるいは前記分岐ノードを介して接続されるサーバとを備えたネットワーク・システムで、前記ユーザ端末から前記サーバに対するＤｏＳ(Denial of Service)あるいはＤＤｏＳ(Distribute Denial of Service)攻撃を防御するアプリケーション型サービス拒絶防御方法において、
   複数の前記ユーザ端末毎に識別情報を割当て、この識別情報単位に、前記サーバの宛先アドレスと、前記サーバと前記ユーザ端末との間で使用するプロトコル種別と、前記サーバの宛先ポートと、前記サーバと前記ユーザ端末との間の通常の信号処理を行うに十分な帯域による制限帯域とを指定する情報とを前記ユーザ端末が接続された前記エッジルータまたは前記分岐ノードに設定するステップと、
   前記ユーザ端末から前記エッジノードまたは前記分岐ノードに到着するトラヒックについて、そのユーザ端末に割当てられた識別情報に基づきそのトラヒックの宛先アドレスおよびプロトコルおよび宛先ポートが当該識別情報に対応してあらかじめ指定された前記宛先アドレスおよび前記プロトコル種別および前記宛先ポートと一致したときには、前記指定された制限帯域に従い、当該トラヒックの帯域を制限するステップと、
   前記サーバが接続された前記エッジルータに、前記サーバの宛先アドレスと、前記ユーザ端末と前記サーバとの間で使用するプロトコル種別と、前記サーバの宛先ポートとを指定する情報を設定するステップと、
   前記サーバが接続された前記エッジルータに到着する前記サーバ宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除するステップと
   を実行することを特徴とするアプリケーション型サービス拒絶防御方法。
2. 前記サーバが前記分岐ノードを介して前記エッジルータと接続されているときには、
   前記サーバが接続された前記エッジルータまたは前記分岐ノードに、前記サーバの宛先アドレスと、前記ユーザ端末と前記サーバとの間で使用するプロトコル種別と、前記サーバの宛先ポートとを指定する情報を設定するステップと、
   前記エッジルータまたは前記分岐ノードにおいて、前記サーバ宛のトラヒックについて、そのトラヒックのプロトコルまたは宛先ポートがあらかじめ指定されたプロトコル種別または宛先ポート以外のトラヒックについてはこれを排除するステップと
   を実行する請求項１記載のアプリケーション型サービス拒絶防御方法。
3. 前記ユーザ端末が前記エッジルータに直接収容され、当該ユーザ端末が当該エッジルータの特定回線を占有しているときには、当該ユーザ端末への識別情報の割当てを行う代わりに当該特定回線を識別することによって当該ユーザ端末からのトラヒックを識別するステップを実行する
   請求項１記載のアプリケーション型サービス拒絶防御方法。
4. 前記ユーザ端末と前記エッジルータとの間に前記分岐ノードが設置されているときには、
   前記分岐ノードは、前記ユーザ端末とそのトラヒックが到着する回線との対応関係に基づき前記ユーザ端末に割当てられた識別情報の詐称を監視し、詐称を検知したときには当該詐称された識別情報を正しい識別情報により上書きするステップを実行する
   請求項１記載のアプリケーション型サービス拒絶防御方法。

Images