JP2006115432A - 不正情報検知システム及び不正攻撃元探索システム - Google Patents

不正情報検知システム及び不正攻撃元探索システム Download PDF

Info

Publication number
JP2006115432A
JP2006115432A JP2004307953A JP2004307953A JP2006115432A JP 2006115432 A JP2006115432 A JP 2006115432A JP 2004307953 A JP2004307953 A JP 2004307953A JP 2004307953 A JP2004307953 A JP 2004307953A JP 2006115432 A JP2006115432 A JP 2006115432A
Authority
JP
Japan
Prior art keywords
information
field
values
attack
unauthorized
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2004307953A
Other languages
English (en)
Other versions
JP4484663B2 (ja
JP2006115432A5 (ja
Inventor
Glenn Mansfield Keeni
グレン マンスフィールド キニ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Cyber Solutions Inc
Original Assignee
Cyber Solutions Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cyber Solutions Inc filed Critical Cyber Solutions Inc
Priority to JP2004307953A priority Critical patent/JP4484663B2/ja
Priority to PCT/JP2005/001524 priority patent/WO2005074215A1/ja
Priority to US10/588,188 priority patent/US8020205B2/en
Publication of JP2006115432A publication Critical patent/JP2006115432A/ja
Publication of JP2006115432A5 publication Critical patent/JP2006115432A5/ja
Application granted granted Critical
Publication of JP4484663B2 publication Critical patent/JP4484663B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/28—Timers or timing mechanisms used in protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

【課題】(D)DoS攻撃であるか否かの判定基準を容易化することができる(D)DoS攻撃検知および追跡、攻撃先特定システムを提供すること。
【解決手段】インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定することを特徴とする。
【選択図】図１

Description

本発明は、インターネット回線を通じて送信されてきた情報が適正な情報であるかあるいは(D)DoSなどの不正な情報であるかを判定する不正情報検知システム及び不正攻撃元探索システムに関するものである。
特開２００３−３１８９８７号公報 特開２００３−２３４７８４号公報
近年、ある企業や組織をターゲットにし、大量の不正な通信（パケット）を送信するサービス妨害攻撃が問題となっている。このような(D)DoS攻撃は、一般にはサーバの処理能力を超える大量の接続要求を一度に送りつけることや、通信回線の容量を不要な通信で埋め尽くすことで他の必要な通信を妨害し、通常業務を妨害したり、課金制ユーザーに対するプロバイダへのアクセス時間並びに通信会社への通信時間を延長させて納付料金を高騰させるといった弊害を与えるものである。いわゆる(D)DoS攻撃といわれるものである。
(D)DoS攻撃とは、攻撃対象機器およびネットワークの処理能力を上回る非常に
甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
そこで、各パケットのヘッダ部分に含まれるSourceアドレス（送信元アドレス）を管理し、このような(D)DoS攻撃を送りつけたアドレスからの通信を２度と受信しないと共にその送信元に通信の終了を示すパケットを送り返すといった防止機能を付加したサービスが見受けられる。
しかしながら、このような防止サービスは、異なったSourceアドレスから（D）DoS攻撃を送りつけてきた場合には、その(D)DoS攻撃の受信を拒否することができないといった問題が生じていた。
一方、このような(D)DoS攻撃を送りつける送信元では、受信拒否された(D)DoS攻撃が送り返されてしまうと、自身のサーバおよびネットワークが容量オーバーとなってしまう。従って、送信元では、Sourceアドレスをランダムに偽造作成し、大量のパケットの各アドレスを異ならせたうえで特定宛先アドレスに(D)DoS攻撃を送信するといった対応で対抗してきているのが実情である。
これに対し、例えば、特許文献１では、不特定多数の電子メールに対し、電子メールのデータフォーマットのヘッダ部分に含まれるＴｏアドレス（送信先アドレス）を事前設定されたアカウント別メールヘッダ・コンテンツ書き換え定義にしたがい、受信した電子メールを書き換えた上でその書き換えメールアドレスに再送信（転送）し、特定メールサーバーヘの負荷を分散させている。
また、特許文献２では、同時に送信されてきた電子メールのＦｒｏｍアドレスに不明なものを大量に含むか否かを判定し、Ｆｒｏｍアドレスに不明なものが大量に含まれている場合には、その送信されてきた大量の電子メールのＦｒｏｍアドレスに送信メールを返信し、返信できた電子メールのみを適正な電子メールとして受信している。
ところで、送信元アドレスは容易に偽造し変更することが可能であるため、大量の送信元アドレスを事前に予測し、対応することは非常に困難である。
また、(D)DoS攻撃は個々のパケットレベルでは正常な通信との区別が困難なことから、なんらかの閾値を用いた検知が検討されているが、それらは対象となるネットワークの特性や利用状況によって大きく変化するものであるため、高い検知精度は期待できない。
また、(D)DoS攻撃は正常な通信との識別が困難なことから、間違った判断により正常な通信の送受信をも遮断してしまう可能性があった。
このように、従来技術では、(D)DoS攻撃の判定基準が複雑となっているため、検知が困難な小規模の(D)DoS攻撃の受信を余儀なくされたり、必要な通信をも受信拒否してしまうといった問題が生じていた。
本発明は、上記問題を解決するため、(D)DoS攻撃などの不正攻撃かあるか否かの判定基準を容易に行うことが可能な不正攻撃検知およびその追跡システムを提供することを目的とする。
請求項１に係る発明は、インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定することを特徴とする不正情報検知システムである。
フィールドの値としては、例えば、次のものが上げられる。
バージョン
ヘッダ長
ToS
全長
アイデンティフィケーション
フラグ
フラグメントオフセット
Time to Live
プロトコル
ヘッダチェックサム
発信元アドレス
到達先アドレス
オプション
ポート
あるフィールドの値の数は、例えば、フィールドの値が「発信元アドレス」として、区別できる発信元アドレスとして、ａ１（＝一郎）、ａ２（＝二郎）、ａ３（＝三郎）、・・・・ａｎ（＝ｎ郎）があった場合、フィールドの値の数はｎである。
フィールドの値の数が、任意に決めた値の数以上になった場合に不正攻撃が行われていると判断する。任意の決めた値は、例えば、ある時点における数ｎｔ１に比較して他の時点における数ｎｔ２がｋ倍以上（ｋは例えば２以上の数）となったときに不正攻撃が存在すると決めてもよい。なお、フィールドの値の数が減少する場合にも不正攻撃の存在があると判断する場合もある。
請求項２に係る発明は、前記あるフィールド値のパケット数を監視することを特徴とする請求項１記載の不正情報検地システム。
フィールドの値の数ｆｎとともにパケット数ｐｍを監視し、その比で判断してもよい。ある時点における比（ｆｎ／ｐｍ）ｔ１がある任意に決めた値以上になった場合に不正攻撃が存在すると設定してもよい。（ｆｎ／ｐｍ）ｔ１と（ｆｎ／ｐｍ）ｔ２との比がある値以上になったときに不正攻撃と判断してもよい。
請求項３に係る発明は、前記フィールドの値は、複数のフィールドの組合せにより構成されていることを特徴とする請求項１又は２記載の不正情報検知システムである。
フィールドの値として「発信元アドレス」と「到達先アドレス」との組合せによりフィールドの値を構成する。
まず、前記同様、発信元アドレスとして、ａ１（＝一郎）、ａ２（＝二郎）、ａ３（＝三郎）、・・・・ａｎ（＝ｎ郎）があったとする。
ａｋ（ｋ＝１〜ｎ）について、到達アドレスの種類がｍｋ個あるとすると、この場合における複数のフィールドの組合せにより構成されるフィールドの値の数はΣｍｋ（ｋ＝１〜ｎ）となる。
請求項４に係る発明は、インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しくは特定のフィールドあるいはフィールドの組合せに該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを特徴とする請求項１〜３のいずれか１項記載の不正情報検知システムである。
請求項５に係る発明は、インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しくは特定のフィールドあるいはフィールドの組合せに該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを特徴とする不正情報検知システムである。
請求項６に係る発明は、インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定し、インターネットの複数個所で前記フィールドの値の数を監視することにより不正な送信元を探索するようにしたことを特徴とする不正攻撃元探索システムである。
請求項７に係る発明は、前記フィールドの値は、ヘッダ内の複数のフィールドの個々の組合せにより構成されていることを特徴とする請求項６記載の不正攻撃元探索システム。
請求項８に係る発明は、インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しくは特定のフィールドあるいはフィールドの組み合わせに該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを特徴とする請求項７記載の不正攻撃元探索システムである。
本発明の不正情報検知システムによれば、同時に大量に送信されてきたパケットに対し、その大量のパケットの値の数又はパケット数が一定時間内に所定数に達した時に、略同期して送信元アドレス件数が所定数若しくは所定率に達した場合には、その大量の電子メールを(D)DoS攻撃メールと判定することにより、特定の送信元アドレスに対して受信許可設定若しくは受信拒否設定をするといった細かく煩わしい設定をすることなく(D)DoS攻撃が送信されてきたことを認識および追跡することができる。
前述した通り、ＤｏＳ攻撃とは、攻撃対象機器に処理能力を上回る非常に甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
このＤｏＳ攻撃は次のような特徴を有している。
例えば、ヘッダ内のフィールドの値の一つである発信元アドレスは偽造されている （偽のアドレスが用いられている）攻撃元の発信元
アドレスであるパケットをフィルタすることにより、ＤｏＳ攻撃をブロックされないように、ＤｏＳ攻撃の発信元アドレスはランダムに選択されていることが一般的である。
ＤｏＳは非常に莫大なパケットが送信されるので、次のような方法で検知される。
第１の方法は、攻撃パケットもしくは、不正なパケットの数を数える方法である。どのようなパケットが不正であるかを判断することはむずかしい。なぜなら、ＤｏＳ攻撃に使われるパケット一つ一つは正常なパケットであるからである。
第２の方法は、検知したパケット全て（攻撃パケットも含む）を数える方法である。ネットワークトラフィックは時々刻々動的に変化する。従って、単にネットワークトラフィック量が増大したからといって、その現象はＤｏＳ攻撃によるものだと指摘することはできない。また、既にトラフィック量が飽和状態である場合は、ＤｏＳ攻撃があったとしても、トラフィック量は増加しない。
それに対して、本形態における方法は、ＤｏＳ攻撃の検知方法は、トラフィックの発信元アドレスを数える方法である。もし攻撃者がランダムに発信元アドレスを選択しているならば、観測される発信元アドレスの数も増加しているはずである。ある一定時間間隔では、１個の発信元アドレスに対して、そのような発信元アドレスを持つパケットは複数観測されるのが通常である。しかし、攻撃の最中では一般的に１個の（偽造された）発信元アドレスに対して、攻撃パケットは１個しか観測されない。このようにＤｏＳ攻撃を検知することができる。
発信元アドレス、到達先アドレスとその他の情報・データから構成されている。時間間隔でパケットを数える。例えば、図３に示すように、ネットワーク（Ｎｅｔ１）と攻撃先（Ｔａｒｇｅｔ）との間の経路にパケットを観測するための手段を設けておき、そこで、パケットを観測すればよい。かかる手段としては、例えばスニファー（Ｓｎｉｆｆｅｒ）やパッシブ型プローブなどの機器がある。
スニファー（Ｓｎｉｆｆｅｒ）や、パッシブ型プローブなどの機器は全てのパケットを観測でき、それらの機器は以下の値を数えあげることができる。
パケットの全数
ある特定の発信元アドレスを持つパケット数
ある特定の到達先アドレスを持つパケット数
発信元アドレス毎のパケット数
到達先アドレス毎のパケット数
特定のタイプのパケット数
これらの値は、一定時間間隔毎に収集可能である。
次にＤｏｓ攻撃の追跡方法について述べる。
ＤｏＳ攻撃元の追跡方法としては、第１に、不正なパケットの経路をチェックする（パケット追跡）方法がある。しかし、どのようなパケットが不正なのかを知る必要がある。
第２に、トラフィックパターンをチェックする方法がある。しかし、この方法は、不正確である。
それに対して、本発明の実施の形態においては、経路上において観測されるアドレス数の変化をチェックする方法である。全ての経由地で同様な現象が観測されると推測される以下のようなパターンが観測される。
時間（任意単位） パケット数 発信元アドレス数
１ １０００ ５０
２ ８００ ６０
３ ９００ ５７
４ １２００ ６４
５ ５０ ３０
６ １５００ ５３０
７ １８００ ５５０
８ １７００ ５７０
９ ８００ ８０
１０ ９００ ６５
上記において、時間６、７、８においては、パケット数とともに発信元アドレス数が増加している。そこでは、ＤｏＳ攻撃がなされている。
一方、図４に示すように、インターネットの各経路にスニファーＳｎ（ｎ＝１，２，３，・・・）を置いておき、そこでの観測結果同士を比較すればどの経路でＤｏＳ攻撃がなされているかを知ることができる。その経路を遮断すればＤｏＳ攻撃元を追跡することができ、必要に応じてその経路を遮断すればよい。また、その経路からの所定のパケットを遮断すればよい。
なお、本発明において、フィールドの値としては、IPv4 プロトコルパケットを例にした場合、次のものが例示される。
バージョン領域
ヘッダ長領域
ToS 領域
全長領域
アイデンティフィケーション領域
フラグ領域
フラグメントオフセット領域
Time to Live 領域
プロトコル領域
ヘッダチェックサム領域
発信元アドレス領域
到達先アドレス領域
オプション領域
ポート領域
本発明においては、これらのフィールドの個々の値の件数を検知してもよい。また、これらの個々のフィールドの値の２以上の任意の組合せをフィールドの値としてその件数を検知してもよい。
以下に例を示す。
カテゴリは一つ、ないしは複数のヘッダ領域によって定められるパケットを分類できる性質のことである。
(カテゴリの例) プロトコル領域がTCPであるパケット全て
便宜上“Total カテゴリ”というカテゴリを定義する。全てのパケットはこのカテゴリに属する。
今までの統計分析手法は、モニタや探査装置により観測されたパケットから、全ての観測パケット数や、あるカテゴリに対するパケット観測数などの標本値を元にしてきた。
Figure 2006115432
 Etc…
カテゴリ変換 (C-Transform) における統計分析では、検知したパケットが属するカテゴリの数に着目する。上記の例において、プロトコル領域ごとのカテゴリの数を見た場合以下の通りになる。
Figure 2006115432
 このようにパケットの数の分布からカテゴリの数の分布を作成する方法のことをカテゴリ変換“C-Transform” と呼ぶ。
いくつかのヘッダ領域の和によって作成されたカテゴリがとる事が可能な最大のカテゴリの数はその領域の合わせた幅による。例えば幅が合わせて4ビットの領域で作成される彼ごりの場合、最大のカテゴリの数は16個（2の4乗）である。
しかし、IPヘッダにおけるVersion領域とProtocol領域のように、予め定義された以外の値を持つことができないヘッダ領域がある(ASSIGNED NUMBERS, RFC 790 参照)。そのためこのような領域から作成できる意味のあるカテゴリは限定される。
また、32ビット（4294967296）の幅を持つ発信元アドレス、到達先アドレスのように非常に大きな値を取り得る領域からのカテゴリ変換 (C-Transform) は特に興味深い統計を提供することになる。
本発明においては、インターネット回線上における、前記情報のカテゴリ数が所定の値となった場合に当該情報を不正情報と認定する。またホップ数を効果的に活用することで検知および追跡の効率を向上する。
（検知方法）
カテゴリ数、パケット数、通信量をそれぞれ以下のように定義する。1...iは時系列に並んだ値とする。

カテゴリ数 : C1, .... Ci, ....
パケット数 : P1, .... Pi, ....
通信量 : O1, .... Oi, ....

このとき、以下の条件で検知する。

a. Ci >T
b. Ci / Ci+1 >T
c. Ci / {Pi|Oi} >T

T は閾値である
Tは固定値もしくはトラフィックデータから算出される値である
例えば、T = F X movingAverageOfStatistic ( in a, b, c above)
のように上記のa,b,cの値の移動平均になんらかの数Fを乗じて差出されたものである。
Fは固定あるいはトラフィックデータから算出される値である
例えば、F = A X standardDeviationOfStatistic
のように標準偏差を用いて算出されることもある。
Aは定数である

インターネットにおいては、情報の無限循環を防止するために、ヘッダのＴＴＬ（Time to Live）のフィールドの値に基づきＨＯＰ（ホップ）の数が０となったらその情報をインターネット上から落とすことが行われている。ところで、ある送信元情報が示された場合、それが詐称されたものではなく正規の場合ＨＯＰ数はほぼ決まっている。したがって、その決まっているＨＯＰ数と比較して、実際に送られた来た詐称情報の場合のＨＯＰ数が異なる場合その情報は不正情報と判断することができる。
次に、本発明の(D)DoS攻撃検知およびその追跡システムの実施の形態を図面に基づいて説明する。
図１は本発明の(D)DoS攻撃検知およびその追跡システムを示す図である。図１において、１はインターネット回線、２はインターネット回線１に接続された送信元のコンピュータ本体、３はインターネット回線１に接続された受信側コンピュータ、４はインターネット回線１と受信側コ
ンピュータ３との間に接続された通信監視装置である。
尚、この通信監視装置４はネットワークに接続されるが、受信側コンピュータ３がサーバー等であった場合には、そのサーバーを通信監視装置４としても良い。
この場合、受信とはサーバーで割り当てたポートに対する通信の受信を意味、判定のための受信は含まないものとする。また、受信側コンピュータ３がプロバイダ所有のメールサーバーであった場合には、他のインターネット回線を通じてメール受信端末（例えば、パーソナルコンピュータ等）が接続されることとなる。
通常、送信側コンピュータ２から送信されるパケットは、図２（Ａ）に示すように、その通信を構成するパケットのパケットデータフォーマット１０のヘッダ部１１に、送信元アドレスに相当するSourceアドレス１２と送信先アドレス（受信側アドレス）に相当するDestinationアドレス１３とが含まれている。
通信監視装置４は、送信された値の数若しくはパケット数と、Sourceアドレス１２の件数とを監視する。
例えば、通常の送受信を想定した場合、送信元コンピュータ２から受信側コンピュータ３に送信される値の数は１件であり、例え、他の送信側コンピュータ（図示せず）から略同時期に他の通信が受信側コンピュータ３に送信されたとしても、その値の数とSourceアドレス１２とは１対１で比例して増える。
また、例えば、特定の通常の通信が偶然大容量となることがあり得る。この場合、従来の通信量に基づく検知では、その量だけを問題として、不正であると誤って判断されることがある。
この問題は、多くの通信が集まる人気のあるコンテンツを運用するサーバでは特に顕著な問題となり、通常の通信と(D)DoS攻撃を識別することが非常に困難となる。
このような場合、メール監視装置４では、図２（Ｂ）のピークＰ１に示すように、通信量としては通常の通信量よりも多い件数のパケットが送信されてきた判定する。
しかしながら、各パケットのSourceアドレス１２は共通、あるいは特定のグループで占められることから、そのパケットを正式に受信する。尚、カテゴリ数が所定数以内であった場合（例えば、１０件未満）に、その受信を許容するようにしても良い。
一方、実際には１台の送信側コンピュータ２から送信されたパケットでありながら、送信元アドレス（Sourceアドレス１２）をランダムに偽装して大量のパケットを受信側コンピュータ３に送信してきた場合、通信監視装置４では、図２（Ｂ）及び図２（Ｃ）のピークＰ２，Ｐ３に示すように、通信量（若しくはパケット数）が通常の通信の送受信のときよりも多くなると同時に、その各パケットのSourceアドレス１２も略同時期に増大することになる。
従って、通信量（若しくはパケット数）が所定数（例えば、１００件）を越えた際、Sourceアドレス１２の数も略同時期に所定数（例えば、９０件）若しくは所定率（例えば、パケットの数に対して９０％）を超えた場合には、その受信を拒否する。
尚、このような一斉同時送信に対応した一定時間内に送信されてきた通信の件数（若しくはパケット数）の所定数並びにSourceアドレス数の所定数の設定は、サーバーの処理能力やネットワークの容量に応じたり、受信側コンピュータ３の所有者の業種等に応じたりして設定することができる。
例えば、受信側コンピュータ３の所有者の業種がインターネット検索サービスやチケット販売等であった場合、多くの人の検索要求や人気のある旅行プランやイベント内容に対するアクセスが殺到するといったことが想定される。
従って、これらの業種等では、日常的に通信量も多いことが想定できるため、その平均的な受信件数を考慮して所定値（件数等）を設定すればよい。
また、このようなアクセスが殺到した場合であっても、(D)DoS攻撃に相当するような全く同じ時間（瞬間的）に大量の情報が送信されてくることは想定されるが、判定のための一定時間の設定を短くするといった設定変更でも対応は可能である。
また、不正攻撃元探索もできる。
また、特定のサーバが近隣にない、ネットワークの中間点であっても判定された不正攻撃先を割りだすことができる。（請求項９）
本発明の(D)DoS攻撃検知およびその追跡システムの概念図である。 （Ａ）はパケットデータフォーマットの説明図、（Ｂ）は通信量の一例を時系列で示したグラフ図、（Ｃ）はパケットのアドレス件数の一例を時系列で示したグラフ図である。 パケット探索を示す概念図である。 インターネットのシステムを示す概念図である。
符号の説明
１…インターネット回線
２…送信側コンピュータ
３…受信側コンピュータ
４…通信監視装置（判定手段）

Claims (9)

  1. インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定することを特徴とする不正情報検知システム。
  2. 前記フィールド値の値の数とパケット数を監視することを特徴とする請求項１記載の不正情報検知システム。
  3. 前期フィールドの値の数と通信量（オクテット数／ビット数）を監視することを特徴とする請求項１記載の不正情報検知システム。
  4. 前記フィールドの値は、複数のフィールドの組合せにより構成されていることを特徴とする請求項１又は２記載の不正情報検知システム。
  5. インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しくは特定のフィールドあるいはフィールドの組合せに該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを特徴とする請求項１乃至４のいずれか１項記載の不正情報検知システム。
  6. インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しくは特定のフィールドあるいはフィールドの組合せに該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを特徴とする不正情報検知システム。
  7. インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定し、
    インターネットの複数個所で前記フィールドの値の数を監視することにより不正な送信元を探索するようにしたことを特徴とする不正攻撃元探索システム。
  8. 前記フィールドの値は、ヘッダ内の複数のフィールドの個々の組合せにより構成されていることを特徴とする請求項７記載の不正攻撃元探索システム。
  9. インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しくは特定のフィールドあるいはフィールドの組み合わせに該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを特徴とする請求項８記載の不正攻撃元探索システム。
JP2004307953A 2004-02-02 2004-10-22 不正情報検知システム及び不正攻撃元探索システム Active JP4484663B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2004307953A JP4484663B2 (ja) 2004-02-02 2004-10-22 不正情報検知システム及び不正攻撃元探索システム
PCT/JP2005/001524 WO2005074215A1 (ja) 2004-02-02 2005-02-02 不正情報検知システム及び不正攻撃元探索システム
US10/588,188 US8020205B2 (en) 2004-02-02 2005-02-02 Unauthorized information detection system and unauthorized attack source search system

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2004025015 2004-02-02
JP2004267519 2004-09-14
JP2004307953A JP4484663B2 (ja) 2004-02-02 2004-10-22 不正情報検知システム及び不正攻撃元探索システム

Related Child Applications (2)

Application Number Title Priority Date Filing Date
JP2009185173A Division JP4914468B2 (ja) 2004-02-02 2009-08-07 不正情報検知システム及び不正攻撃元探索システム
JP2009273474A Division JP4852139B2 (ja) 2004-02-02 2009-12-01 不正情報検知システム及び不正攻撃元探索システム

Publications (3)

Publication Number Publication Date
JP2006115432A true JP2006115432A (ja) 2006-04-27
JP2006115432A5 JP2006115432A5 (ja) 2007-02-01
JP4484663B2 JP4484663B2 (ja) 2010-06-16

Family

ID=34830975

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2004307953A Active JP4484663B2 (ja) 2004-02-02 2004-10-22 不正情報検知システム及び不正攻撃元探索システム

Country Status (3)

Country Link
US (1) US8020205B2 (ja)
JP (1) JP4484663B2 (ja)
WO (1) WO2005074215A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005227824A (ja) * 2004-02-10 2005-08-25 Matsushita Electric Works Ltd 機器監視制御装置及び機器監視制御方法
JP2008153752A (ja) * 2006-12-14 2008-07-03 Fujitsu Ltd 異常トラヒック監視装置、エントリ管理装置およびネットワークシステム
WO2009041686A1 (ja) * 2007-09-28 2009-04-02 Nippon Telegraph And Telephone Corporation ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
WO2014038246A1 (ja) * 2012-09-04 2014-03-13 Ｎｅｃビッグローブ株式会社 電子メール監視
JP2014060722A (ja) * 2012-09-18 2014-04-03 Kddi Corp 将来のネットワーク攻撃を検知及び予測するために、様々な指標と過去の攻撃事例を相関させ、攻撃に関する指標のプロファイルを作成するシステム及び方法

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4557815B2 (ja) * 2005-06-13 2010-10-06 富士通株式会社 中継装置および中継システム
US7624447B1 (en) * 2005-09-08 2009-11-24 Cisco Technology, Inc. Using threshold lists for worm detection
US8689326B2 (en) * 2006-01-16 2014-04-01 Cyber Solutions Inc. Device for analyzing and diagnosing network traffic, a system for analyzing and diagnosing network traffic, and a system for tracing network traffic
US7738377B1 (en) * 2006-05-22 2010-06-15 At&T Intellectual Property Ii, L.P. Method and apparatus for volumetric thresholding and alarming on internet protocol traffic
JP4734223B2 (ja) * 2006-11-29 2011-07-27 アラクサラネットワークス株式会社 トラヒック分析装置および分析方法
JP4877145B2 (ja) * 2007-08-10 2012-02-15 富士通株式会社 通信装置を制御するプログラム及び通信装置
JP4909875B2 (ja) * 2007-11-27 2012-04-04 アラクサラネットワークス株式会社 パケット中継装置
CN101686235B (zh) * 2008-09-26 2013-04-24 北京神州绿盟信息安全科技股份有限公司 网络异常流量分析设备和方法
US20100208631A1 (en) * 2009-02-17 2010-08-19 The Regents Of The University Of California Inaudible methods, apparatus and systems for jointly transmitting and processing, analog-digital information
CN102577275B (zh) 2009-09-10 2016-05-04 日本电气株式会社 中继控制设备、中继控制系统、中继控制方法
US9338098B2 (en) * 2012-12-13 2016-05-10 Cellco Partnership Dynamic flow management at a firewall based on error messages
US9591022B2 (en) 2014-12-17 2017-03-07 The Boeing Company Computer defenses and counterattacks
RU2704741C2 (ru) * 2018-03-16 2019-10-30 Федеральное государственное автономное образовательное учреждение дополнительного профессионального образования "Центр реализации государственной образовательной политики и информационных технологий" СПОСОБ ЗАЩИТЫ ОТ DDoS-АТАК НА ОСНОВЕ КЛАССИФИКАЦИИ ТРАФИКА
US20230100792A1 (en) * 2021-09-24 2023-03-30 Qualcomm Incorporated Techniques for misbehavior detection in wireless communications systems

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1297440B1 (en) * 2000-05-12 2008-08-27 Niksun, Inc. Security camera for a network
JP2002124996A (ja) 2000-10-13 2002-04-26 Yoshimi Baba 高速パケット取得エンジン・セキュリティ
JP3584877B2 (ja) 2000-12-05 2004-11-04 日本電気株式会社 パケット転送制御装置、パケット転送制御方法およびパケット転送制御システム
JP3731111B2 (ja) * 2001-02-23 2006-01-05 三菱電機株式会社 侵入検出装置およびシステムならびにルータ
JP3819364B2 (ja) 2001-04-27 2006-09-06 株式会社エヌ・ティ・ティ・データ パケット追跡システム
US7448084B1 (en) * 2002-01-25 2008-11-04 The Trustees Of Columbia University In The City Of New York System and methods for detecting intrusions in a computer system by monitoring operating system registry accesses
JP3892322B2 (ja) 2002-03-04 2007-03-14 三菱電機株式会社 不正アクセス経路解析システム及び不正アクセス経路解析方法
JP3652661B2 (ja) * 2002-03-20 2005-05-25 日本電信電話株式会社 サービス不能攻撃の防御方法および装置ならびにそのコンピュータプログラム
US7313092B2 (en) * 2002-09-30 2007-12-25 Lucent Technologies Inc. Apparatus and method for an overload control procedure against denial of service attack
JP2004140524A (ja) 2002-10-16 2004-05-13 Sony Corp ＤｏＳ攻撃検知方法、ＤｏＳ攻撃検知装置及びプログラム
US7681235B2 (en) * 2003-05-19 2010-03-16 Radware Ltd. Dynamic network protection
JP2005086452A (ja) * 2003-09-08 2005-03-31 Matsushita Electric Ind Co Ltd ネットワーク機器の接続制御方法及び接続制御プログラム
US7526807B2 (en) * 2003-11-26 2009-04-28 Alcatel-Lucent Usa Inc. Distributed architecture for statistical overload control against distributed denial of service attacks
US7478429B2 (en) * 2004-10-01 2009-01-13 Prolexic Technologies, Inc. Network overload detection and mitigation system and method

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005227824A (ja) * 2004-02-10 2005-08-25 Matsushita Electric Works Ltd 機器監視制御装置及び機器監視制御方法
JP2008153752A (ja) * 2006-12-14 2008-07-03 Fujitsu Ltd 異常トラヒック監視装置、エントリ管理装置およびネットワークシステム
WO2009041686A1 (ja) * 2007-09-28 2009-04-02 Nippon Telegraph And Telephone Corporation ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
JP4827972B2 (ja) * 2007-09-28 2011-11-30 日本電信電話株式会社 ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
US8347383B2 (en) 2007-09-28 2013-01-01 Nippon Telegraph And Telephone Corporation Network monitoring apparatus, network monitoring method, and network monitoring program
WO2014038246A1 (ja) * 2012-09-04 2014-03-13 Ｎｅｃビッグローブ株式会社 電子メール監視
US10467596B2 (en) 2012-09-04 2019-11-05 Biglobe Inc. Electronic mail monitoring
JP2014060722A (ja) * 2012-09-18 2014-04-03 Kddi Corp 将来のネットワーク攻撃を検知及び予測するために、様々な指標と過去の攻撃事例を相関させ、攻撃に関する指標のプロファイルを作成するシステム及び方法

Also Published As

Publication number Publication date
US8020205B2 (en) 2011-09-13
JP4484663B2 (ja) 2010-06-16
US20080016562A1 (en) 2008-01-17
WO2005074215A1 (ja) 2005-08-11

Similar Documents

Publication Publication Date Title
JP4484663B2 (ja) 不正情報検知システム及び不正攻撃元探索システム
JP2006115432A5 (ja)
US7926108B2 (en) SMTP network security processing in a transparent relay in a computer network
US8621638B2 (en) Systems and methods for classification of messaging entities
US8201252B2 (en) Methods and devices for providing distributed, adaptive IP filtering against distributed denial of service attacks
US7921462B2 (en) Identifying a distributed denial of service (DDOS) attack within a network and defending against such an attack
US7609625B2 (en) Systems and methods for detecting and preventing flooding attacks in a network environment
CN107124434B (zh) 一种dns恶意攻击流量的发现方法及系统
US20060130147A1 (en) Method and system for detecting and stopping illegitimate communication attempts on the internet
KR101217647B1 (ko) 특정 소스/목적지 ｉｐ 어드레스 쌍들에 기초한 ｉｐ 네트워크들에서 서비스 거부 공격들에 대한 방어 방법 및 장치
JP5015014B2 (ja) トラヒック分析診断装置及びトラヒック分析診断システム並びにトラヒック追跡システム
CN110166480A (zh) 一种数据包的分析方法及装置
KR20080026122A (ko) 타겟 희생자 자체-식별 및 제어에 의해 ｉｐ네트워크들에서 서비스 거부 공격들에 대한 방어 방법
CN110417747A (zh) 一种暴力破解行为的检测方法及装置
CN100366026C (zh) 一种在路由设备中实现报文转发控制的方法
JP4914468B2 (ja) 不正情報検知システム及び不正攻撃元探索システム
CN107018116A (zh) 监控网络流量的方法、装置及服务器
US20080046549A1 (en) Methods and systems for passive information discovery using lomb periodogram processing
RU2483348C1 (ru) Способ защиты информационно-вычислительных сетей от компьютерных атак
KR101399037B1 (ko) 발송자의 아이피 주소를 이용한 스팸 메일 처리 방법 및 장치
Kumar et al. Enhanced DDOS Attack Detection Algorithm to Increase Network Lifetime in Cloud Environment
Ebinger et al. Measuring the impact of attacks on the performance of mobile ad hoc networks
KR101322692B1 (ko) 스팸 메일을 발송한 봇넷 탐지 방법 및 시스템
Collins et al. Predicting future botnet addresses with uncleanliness
Yen et al. Dynamic probabilistic packet marking with partial non-preemption

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20061213

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20061213

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090701

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20090807

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20090930

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20091201

A911 Transfer to examiner for re-examination before appeal (zenchi)

Free format text: JAPANESE INTERMEDIATE CODE: A911

Effective date: 20100121

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20100224

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20100323

R150 Certificate of patent or registration of utility model

Ref document number: 4484663

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130402

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140402

Year of fee payment: 4

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250