JP2006067078A - ネットワークシステムおよび攻撃防御方法 - Google Patents

Abstract

【課題】 ネットワーク全体での状況把握を行い、各攻撃に対応した防御方法を選択する。
【解決手段】 ＩＰルータ４では、サーバ６宛の攻撃を検知し、攻撃検知情報を管理装置５に転送する。管理装置５は、ネットワーク全体の検知情報を監視分析して、ＤｏＳ攻撃、ＤＤｏＳ攻撃、ワーム攻撃を判断する。次に、判断されたＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法を決定する。ＤＤｏＳ攻撃の場合は、全ＩＰルータに、防御指示を行い、ＤｏＳ攻撃の場合は、ＤｏＳ攻撃フローの流入点となっているＩＰルータのみ防御指示を行う。また、ワーム攻撃については、全ＩＰルータに、防御指示を行う。最後に、管理装置５から防御指示を受けたＩＰルータ２、３では、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法にてフィルタを行う。
【選択図】 図１

Description

本発明は、インターネット上のサーバを標的にしたＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）攻撃に対処可能なネットワークシステムおよび該システムにおける攻撃防御方法に関するものである。

インターネットにおけるＤＤｏＳ攻撃とは、ネットワーク上のサーバが提供するサービスを妨害することで、そのサービスを機能しなくさせる攻撃のことを示す。この攻撃の実行手段は標的となるサーバに大量にＩＰパケットを送信することでネットワークやサーバのリソースを消費し、サービスを妨害および拒否する方法である。近年では、ネットワーク回線を食いつぶすようなＤＤｏＳ攻撃が増加しており、すでに社会インフラとなりつつあるインターネットの安定したサービス提供を行うことは必要であることから、キャリア網においても積極的に対策をとる必要が増してきている。

このようなＤＤｏＳ攻撃を防御する方法として、たとえば特許文献１などに開示されている技術がある。
特開２００３−２８３５５５号公報

しかしながら、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）等ネットワークにおいてＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワーム攻撃等の防御システムを提供する場合、攻撃検知システムをネットワークのエッジに分散配置して、攻撃が検知された場合、各エッジに分散配置されたファイアウォール等にアクセス制御ルールを設定することにより、攻撃防御を行う方法のような局所的な単独での検知判断のみでは、急激に被害が拡散するワームに対して防御が遅れる問題があった。

また、攻撃検知システムをネットワークのエッジに分散配置し、一元的に各攻撃検知システムを管理する方法がある。しかし攻撃検知システムが検知するアラーム情報を一元的に監視し、システム管理者が、各エッジに分散配置されたファイアウォール等にアクセス制御ルールを設定する程度に留まっており、各エッジに分散配置されたファイアウォール等にアクセス制御ルールを設定する方法ではターゲットノード宛のトラヒックについてアクセス制限を行うことで間接的にターゲット間で通信を行っている正常ユーザトラヒックまでも影響を与えてしまう問題がある。

したがって、本発明の目的は、ネットワーク全体での状況把握を行い、各攻撃に対応した防御を行うことができるネットワークシステムおよび攻撃防御方法を提供することにある。

本発明のネットワークシステムは、
サーバへの攻撃検知情報を分析し、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法を選択する管理装置と、
インターネット上のサーバを標的にした攻撃を検知する攻撃検知手段と、攻撃が検知されると、攻撃検知情報を前記管理装置へ転送する転送手段と、前記管理装置からの指示により特定のビットパターンと一致する攻撃フローに対して、該攻撃フローの特定および制御を行うフィルタ手段とを含むＩＰルータとを有する。

本発明は、分散配備されたＩＰルータからの攻撃検知情報（インシデント情報、たとえばターゲット宛てのパケットのある単位時間当たりの数がある閾値を越えたときのトラヒックフローの情報やそれに係わるログ情報）を管理装置によって統合管理し、ネットワーク全体の監視および状況把握を行い、攻撃検知情報の分析によりＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワーム等に対応した防御方法を効果的に選択し、ＩＰルータに指示を行う。ＤＤｏＳ攻撃の場合は、全てのエッジルータでターゲット宛のフローに対して帯域制限（トラヒックレート制限、たとえば定義された閾値までのトラヒックレート制限）を行い、その後、攻撃フローの特定を行いフィルタを行う。ＤｏＳ攻撃の場合は、ＤｏＳ攻撃フローの特定ができているため、帯域制限を行うことなく、フローの流入点となっているエッジルータでのみ攻撃フローをフィルタする。ワーム攻撃の場合は、全てのエッジルータであるポート等に対して予防的なアクセス制限を行いＩＳＰ内でのワーム蔓延を遮断することでネットワーク全体での攻撃防御を提供する。

本発明によれば、分散配備されたＩＰルータからの攻撃検知情報を統合管理することによってネットワーク全体での状況把握を行い、各攻撃に対応した防御方法を効果的に選択しＩＰルータに指示を行うことができる。指示を受けたＩＰルータで、攻撃種別毎の防御方法で、ネットワーク全体として対策を達成することができる。

次に、本発明の実施の形態について図面を参照して説明する。

図１は、インターネット上のサーバを標的にしたＤｏＳ攻撃あるいはＤＤｏＳ攻撃、ワーム等に対処理可能な本発明の一実施形態のネットワークシステムの構成を示す図である。

図１のネットワークシステムは、キャリアネットワーク１と、ＩＰルータ２、３、４と、管理装置５と、ＤＤｏＳ攻撃対象となるサーバであるサーバ６と、サーバ６に対してＤＤｏＳ攻撃を行うユーザ端末７と、ユーザ端末７と通信を行うユーザ端末８を有している。

図２はＩＰルータ２の構成図である。ＩＰルータ２はネットワークインタフェース１１、１２と、攻撃検出部１３と、転送部１４と、フィルタ部１５と、全体の制御を行なう制御部１６を有している。ＩＰルータ３、４もＩＰルータ２と同様の構成である。なお、図２において、ＩＰルータが本来的に有しており、本発明と直接関係のない構成は省略されている。

図３は管理装置５の構成図である。管理装置５はネットワークインタフェース２１と制御部２２と分析部２３を有している。制御部２２は全体の制御を行なう。

ネットワーク１０はキャリアネットワーク１に接続されたネットワークである。ＩＰルータ２の転送部１４より転送された攻撃検知情報は、ネットワーク９を経由してネットワークインタフェース２１によって受信される。ネットワークインタフェース２１は、攻撃検知情報を受信すると、攻撃検知情報をリアルタイム分析部２３へ受け渡す。分析部２３は、ハードウェアまたはソフトウェアまたはハードウェアおよびソフトウェアで構成され、攻撃の種類を分析し、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワーム等に対応した防御方法を選択する。

ここで、上記のように構成されたネットワークシステムの動作について説明する。ＩＰルータ２、３、４では、自身に収容したアクセス網９に接続された全ホストへのトラヒックへの攻撃を攻撃検出部１３により監視する。そして、攻撃が検出された場合、転送部１４にて攻撃検知情報を管理装置５に転送する。管理装置５では、分析部２３で収集された攻撃検知情報の解析を行い、ネットワーク全体の監視および状況把握を行う。分析部２３では、攻撃検知情報を、ＩＰアドレス、ポート番号の情報により関連付けし、ネットワーク全体での検知数によりＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームの攻撃種別を判断する。

次に、攻撃を検出した管理装置５では、アクセス網９と接続した全てのＩＰルータあるいは特定のＩＰルータに対して、検出した該ホスト宛のパケットの特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）と一致するフローに対して、攻撃フローの特定および防御を行うように指示する。

ここで、管理装置５から指示を受けた該ＩＰルータでは、該ＩＰルータのフィルタ部１５において管理装置５が、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームを検出した特定ビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）に基づいて、攻撃フローの特定を行った後、防御を行う。または、後続のＩＰパケットを一定時間廃棄、あるいは帯域制限を行う。

攻撃検出部１３では、キャリアネットワーク１からアクセス網９向けの検出と、アクセス網９からキャリアネットワーク１向けの検出を区別して扱い、転送部１４からの攻撃検知情報も区別する。

いま、ユーザ端末８と通信を行っているサーバ６に対して攻撃者端末７がＤＤｏＳ攻撃を行っている場合を考える。この場合、ＩＰルータ４では、サーバ６宛のトラヒックへの攻撃を攻撃検出部１３により検知し、転送部１４にて攻撃検知情報を管理装置５に転送する。管理装置５で、収集された攻撃検知情報を、ＩＰアドレス、ポート番号の情報により関連付けし、ネットワーク全体での検知数によりＤＤｏＳ攻撃を判断する。

ここで、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームの判断は、転送部１４により通知されるネットワーク全体での検知数に注目し判断する。ＤＤｏＳ攻撃は、攻撃ノードに近づくにつれて相対的にトラヒック量が減るため、ターゲットに近いエッジルータからのみ通知され、ＤｏＳ攻撃はターゲットに近いエッジルータとＤｏＳ攻撃フローの流入点となっているエッジルータの２点から通知があり、ワームのように短時間で感染する攻撃では、通知数が急激に増加する。

次に、サーバ６宛へのＤＤｏＳ攻撃を検出した管理装置５では、全ＩＰルータ２、３に対して、検出した該ホスト宛のパケットと一致するフローに対して、帯域制限を行った後、攻撃フローの特定および防御を行うように指示する。

最後に、管理装置５から指示を受けたＩＰルータ２、３では、管理装置５からの指示に基づいて、ターゲット宛のフローに対して帯域制限を行い、キャリアネットワーク１内のネットワーク帯域の消費を防ぐ。その後、攻撃被疑フローに対して攻撃フローの特定を行い、フィルタを行う。

ここで、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法は、ＤＤｏＳ攻撃は、攻撃ノードに近づくにつれて相対的にトラヒック量が減るため、必ずしも正常フローと攻撃フローの分離を行えない可能性がある。このため、ターゲット宛のフローに対して帯域制限を行い、キャリアネットワーク１内のネットワーク帯域の消費を防ぐ。その後、攻撃被疑フローに対して攻撃フローの特定を行い、フィルタを行う方法をとる。また、ＤｏＳ攻撃の場合は、ＤｏＳ攻撃フローの流入点となっているＩＰルータが特定できているため、正常フローと攻撃フローの分離が比較的容易である。このため、帯域制限を行うことなく、攻撃フローを特定してフィルタを行う対策を採る。ワーム攻撃については、ある、特定ビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）に基づいて、予防的なアクセス制限を行いキャリアネットワーク１内でのワーム蔓延を遮断する。

次に、図１のようにネットワークシステムにおける攻撃防御法を図４のシーケンスチャートを用いて説明する。いま、ユーザ端末８と通信を行っているサーバ６に対して攻撃者端末７がＤｏＳ攻撃を行っている場合を考える。

ＩＰルータ４では、サーバ６宛の攻撃を検知し（ステップ１０２）、転送部１４にて攻撃検知情報２０１を管理装置５に転送する（ステップ１０２）。管理装置５の分析部２３で、ネットワーク全体の検知情報を監視分析して、ＤｏＳ攻撃、ＤＤｏＳ攻撃、ワーム攻撃を判断する（ステップ１０３）。次に、分析部２３は、判断されたＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法を決定する（ステップ１０４）。ＤＤｏＳ攻撃の場合は、全ＩＰルータに、防御指示２０２を行い、ＤｏＳ攻撃の場合は、ＤｏＳ攻撃フローの流入点となっているＩＰルータのみ防御指示２０２を行う。また、ワーム攻撃については、全ＩＰルータに、防御指示２０２を行う。

最後に、管理装置５から防御指示２０２を受けたＩＰルータ２、３では、フィルタ部１５にて、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法にてフィルタを行う（ステップ１０５）。

本発明の一実施形態のネットワークシステムの構成図である。 図１中のＩＰルータの構成図である。 図１中の管理装置の構成図である。 図１のネットワークシステムの攻撃防御方法を示すシーケンス図である。

符号の説明

１ キャリアネットワーク
２〜４ ＩＰルータ
５ 管理装置
６ サーバ
７ 攻撃者端末
８ ユーザ端末
９ アクセス網
１０ ネットワーク
１１、１２ ネットワークインタフェース
１３ 攻撃検出部
１４ 転送部
１５ フィルタ部
２１ ネットワークインタフェース
２２ 制御部
２３ 分析部
１００〜１０５ ステップ
２０１ 攻撃検知情報
２０２ 防御指示

Claims (7)

1. インターネット上のサーバを標的にした攻撃を検知する攻撃検知手段と、
   攻撃が検知されると、攻撃検知情報を、ネットワーク全体の監視および状況把握を行う管理装置へ転送する転送手段と、
   前記管理装置からの指示により特定のビットパターンと一致する攻撃フローに対して、該攻撃フローの特定および制御を行うフィルタ手段と
   を有するＩＰルータ。
2. 前記フィルタ手段は、前記管理装置が、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームを検出した特定ビットパターンに基づいて、後続のＩＰパケットを一定時間廃棄、または帯域制限を行う、請求項１に記載のＩＰルータ。
3. 前記攻撃検出手段は、キャリアネットワークからアクセス網向けの検出と、アクセス網からキャリアネットワーク向けの検出を区別して扱う、請求項１または２に記載のＩＰルータ。
4. 請求項１記載のＩＰルータの転送手段からの攻撃検知情報を分析する手段と、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法を選択する手段を有する管理装置。
5. 前記攻撃検知情報を、ＩＰアドレス、ポート番号の情報により関連付けし、ネットワーク全体での検知数によりＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームの攻撃種別を判断する、請求項４に記載の管理装置。
6. ネットワークシステムにおいて、
   サーバへの攻撃検知情報を分析し、ＤｏＳ攻撃、あるいはＤＤｏＳ攻撃、ワームに対応した防御方法を選択する管理装置と、
   インターネット上のサーバを標的にした攻撃を検知する攻撃検知手段と、攻撃が検知されると、攻撃検知情報を前記管理装置へ転送する転送手段と、前記管理装置からの指示により特定のビットパターンと一致する攻撃フローに対して、該攻撃フローの特定および制御を行うフィルタ手段とを含むＩＰルータと
   を有することを特徴とするネットワークシステム。
7. ネットワークシステムにおける攻撃防御方法であって、
   ＩＰルータがネットワークインタフェースから、アクセス網を介して該ＩＰルータと接続しているサーバへのパケットを受信し、該サーバへの攻撃を検知すると、攻撃検知情報をネットワークに接続され、ネットワーク全体の監視および状況把握を行う管理装置に転送するステップと、
   前記管理装置が、ネットワーク全体の攻撃検知情報を分析して攻撃種別を判定し、判定した攻撃に対応した防御方法を決定し、該防御方法と共に判定した攻撃種別に応じたＩＰルータへ防御指示を行うステップと、
   前記防御指示を受けたＩＰルータが該防御方法にてフィルタを行うステップと
   を有する、ネットワークシステムにおける攻撃防御方法。

Images