JP2006235876A - ＤｏＳ攻撃対策システム、およびＤｏＳ攻撃対策方法 - Google Patents

Abstract

【課題】サーバで検出したＤｏＳ攻撃をネットワークの入り口で規制し、ＤｏＳ攻撃による影響を最小限に抑える。
【解決手段】ＤｏＳ攻撃対策システムであって、サーバ４は、ＤｏＳ攻撃を検出する検出手段と、ＤｏＳ攻撃の検出情報をサーバ制御装置５に通知する検出通知手段とを有し、サーバ制御装置５は、サーバ４から通知された検出情報をエッジルータ制御装置６に通知する第１の通知手段を有し、エッジルータ制御装置６は、サーバ制御装置５から通知された検出情報を、エッジルータ２に通知する第２の通知手段を有し、エッジルータ２は、エッジルータ制御装置６から通知された検出情報を受け付け攻撃元装置１からサーバ４への信号を規制する規制手段を有する。
【選択図】 図３

Description

本発明は、ＤｏＳ攻撃を検出および規制する技術に関する。

コンピュータ装置に不正なデータを大量に送信して使用不能に陥らせるＤｏＳ（Denial of Services）攻撃の防御策については、さまざまな方法が提案されている。例えば、特許文献１では、複数のルータが連携してＤｏＳ攻撃の攻撃元を追跡する方法が記述されている。また、特許文献２では、サーバなどのＤｏＳ攻撃検知装置が、受信したパケットに基づいてＤｏＳ攻撃を検知する方法が記述されている。
特開２００３−３３３０９２ 特開２００４−１４０５４２

ところで、ＤｏＳ攻撃の中には、ルータでの検出が困難なＤｏＳ攻撃が存在する。ルータでの検出が困難なＤｏＳ攻撃としては、例えば、悪意のある端末がＳＩＰ（Session Initiation Protocol）サーバに発呼要求信号を連続して送信する場合がある。この場合、発呼要求信号自体のパケットサイズは小さく、ルータでのトラフィック（単位時間当たりの送信量やスループット）はそれほど大きくないが、ＳＩＰサーバでは高負荷となる危険性がある。

また、サーバが行う各種のアプリケーション処理において、特定のコンピュータ装置については、大量の制御信号をサーバに送信することを例外として許容する場合がある。

このようなルータでの検出が困難なＤｏＳ攻撃については、サーバがＤｏＳ攻撃を検知し、パケットの廃棄などの規制処理を行う。しかしながら、ＤｏＳ攻撃のパケットは、ネットワークを介してサーバに流入してしまう。このため、ルータがＤｏＳ攻撃のパケットをサーバに転送するなど不要な処理がネットワーク内に発生することで、その負荷がネットワークの各装置の正常処理に影響を及ぼす恐れがある。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、サーバで検出したＤｏＳ攻撃をネットワークの入り口で規制し、ＤｏＳ攻撃の影響を最小限に抑えることにある。

上記課題を解決するために、本発明では、サーバとエッジルータとが連携してＤｏＳ攻撃の規制を行う
例えば、本発明は、ＤｏＳ攻撃対策システムであって、サーバと、当該サーバを制御するサーバ制御装置と、エッジルータと、当該エッジルータを制御するエッジルータ制御装置と、を有する。そして、サーバは、ＤｏＳ攻撃と、当該ＤｏＳ攻撃の攻撃元装置とを検出する検出手段と、攻撃元装置を含むＤｏＳ攻撃の検出情報を、サーバ制御装置に通知する検出通知手段とを有し、サーバ制御装置は、サーバから通知された検出情報を、エッジルータ制御装置に通知する第１の通知手段を有し、エッジルータ制御装置は、サーバ制御装置から通知された検出情報を、エッジルータに通知する第２の通知手段を有し、エッジルータは、エッジルータ制御装置から通知された検出情報を受け付け当該検出情報に含まれる攻撃元装置からサーバへの信号を規制する規制手段を有する。

本発明により、ＤｏＳ攻撃をネットワークの入り口で規制し、ＤｏＳ攻撃の影響を最小限に抑えることができる。

以下、本発明の実施の形態について説明する。本実施形態では、ＳＩＰ（Session Initiation Protocol）サーバへのＤｏＳ攻撃の対策を例に説明する。なお、ＳＩＰサーバは、音声サービス（ＶｏＩＰ：Voice over Internet Protocol）を端末（ＩＰ電話などのＩＰ端末）に提供する際の呼処理制御を行うサーバである。

図１は、本発明の一実施形態が適用されたＤｏＳ攻撃対策システムの全体構成図である。

図示するＤｏＳ攻撃対策システムは、少なくとも1つの端末１と、エッジルータ２と、中継ルータ３と、ＳＩＰサーバ４と、ＳＩＰサーバ制御装置５と、エッジルータ制御装置６と、を有する。そして、端末１と、ＳＩＰサーバ４とは、エッジルータ２および中継ルータ３を介したＩＰ（Internet Protocol）ネットワーク７により接続されている。また、ＳＩＰサーバ制御装置５とエッジルータ制御装置６とは、各種の通知を送受信するための制御用ネットワーク８により接続されている。

エッジルータ２は、ネットワークの入口（または出口）にあるルータであって、端末１を収容しているルータである。エッジルータ２は、規制処理部２１と、解除処理部２２と、転送部２３とを有する。規制処理部２１は、エッジルータ制御装置６の指示に基づいて、ＤｏＳ攻撃の攻撃元端末からの信号を規制する。解除処理部２２は、エッジルータ制御装置６の指示に基づいて、規制処理部２１が行ったＤｏＳ攻撃の規制を解除する。

転送部２３は、一般的なルータの機能であって、端末１から受け取った各種の信号を中継ルータ３に転送するとともに、中継ルータ３から受け取った各種の信号を端末１に転送する。なお、各種の信号には、端末１間の通話信号（ＲＴＰ信号）、端末１―ＳＩＰサーバ４間の呼処理制御信号（ＳＩＰ信号）などがある。中継ルータ３は、エッジルータ２の転送部２３と同様の機能を有し、他のルータから受け取った各種の信号を別のルータに中継（転送）する。

ＳＩＰサーバ４は、前述のとおり、音声サービスを端末１に提供する際の呼処理制御を行うサーバである。ＳＩＰサーバ４は、検出部４１と、規制処理部４２と、解除処理部４３と、呼処理部４４と、記憶部４５と、を有する。検出部４１は、端末１からのＤｏＳ攻撃を検出する。規制処理部４２は、ＤｏＳ攻撃の攻撃元端末からの信号を規制する。解除処理部４３は、規制処理部４２が行ったＤｏＳ攻撃の規制を解除する。呼処理部４４は、音声サービスを端末１に提供する際の呼処理制御（セッションの確立 等）を行う。

記憶部４５には、ＤｏＳ攻撃の検出対象外の装置が設定された対象外装置リスト４６が記述されている。例えば、隣接するＳＩＰサーバ（不図示）や特定の端末については、大量のＳＩＰ信号の送出がサービスの提供上不可欠な場合がある。このような装置については、ＤｏＳ攻撃の対象外とするために、あらかじめ対象外装置リスト４６に登録する。なお、対象外装置リスト４６には、対象外とする各装置の識別情報（例えば、ＩＰアドレス）が設定されるものとする。

ＳＩＰサーバ制御装置５は、ＳＩＰサーバを制御および管理する装置である。ＳＩＰサーバ制御装置５は、ＳＩＰサーバ４およびエッジルータ制御装置６と各種の通知を送受信する制御部５１と、アラーム（警告）を出力装置（不図示）に表示する表示部５２とを有する。

エッジルータ制御装置６は、エッジルータ２を制御および管理する装置である。エッジルータ制御装置６は、エッジルータ２およびＳＩＰサーバ制御装置５と各種の通知を送受信する制御部６１と、ＤｏＳ攻撃の規制解除の指示をエッジルータ２に送出するためのタイマー監視部６２とを有する。

上記説明した、端末１、エッジルータ２、ＳＩＰサーバ４、ＳＩＰサーバ制御装置５、および、エッジルータ制御装置６は、いずれも、例えば図２に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、他の装置と接続するための通信制御装置９０６と、これらの各装置を接続するバス９０７と、を備えた汎用的なコンピュータシステムを用いることができる。

このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。例えば、端末１、エッジルータ２、ＳＩＰサーバ４、ＳＩＰサーバ制御装置５、および、エッジルータ制御装置６の各機能は、端末１用のプログラムの場合は端末１のＣＰＵ９０１が、エッジルータ２用のプログラムの場合はエッジルータ２のＣＰＵ９０１が、ＳＩＰサーバ４用のプログラムの場合はＳＩＰサーバ４のＣＰＵ９０１が、ＳＩＰサーバ制御装置５用のプログラムの場合はＳＩＰサーバ制御装置５のＣＰＵ９０１が、そして、エッジルータ制御装置６用のプログラムの場合はエッジルータ制御装置６のＣＰＵ９０１が、それぞれ実行することにより実現される。

なお、ＳＩＰサーバ４の記憶部４５には、ＳＩＰサーバ４のメモリ９０２または外部記憶装置９０３が用いられる。また、外部記憶装置９０３、入力装置９０４および出力装置９０５は、各装置の必要に応じて備えられるものとする。

次に、悪意のある端末１がＳＩＰサーバ４にＤｏＳ攻撃を行った場合の規制処理について説明する。

図３は、規制処理の概要を模式的に示した図である。図示するように、悪意ある端末１は、ＳＩＰサーバ４に対して、ＤｏＳ攻撃である大量のＳＩＰ信号を連続して送信する。なお、ＳＩＰ信号には、例えば、呼接続要求信号（INVITE信号）、端末登録信号（REGISTER信号）などがある。

ＳＩＰサーバ４は、悪意端末１からのＤｏＳ攻撃を検出し、そして、ＳＩＰサーバ４上で悪意端末１のＤｏＳ攻撃の規制をする。そして、ＳＩＰサーバ４は、ＳＩＰサーバ制御装置５にＤｏＳ攻撃を検出したことを通知する。ＳＩＰサーバ制御装置５は、ＤｏＳ攻撃の検出通知を受け付けると、エッジルータ制御装置６にＤｏＳ攻撃の検出通知を送信する。そして、エッジルータ制御装置６は、ＤｏＳ攻撃の検出通知を受け付けると、エッジルータ２に対してＤｏＳ攻撃の規制を指示する。エッジルータ２は、エッジルータ制御装置６の指示（制御）により、エッジルータ２上で悪意端末１のＤｏＳ攻撃の規制をする。すなわち、エッジルータ２は、悪意端末１からＳＩＰサーバ４へのＳＩＰ信号を廃棄する。

次に、図３で説明したＤｏＳ攻撃の規制処理を、より詳細に説明する。

図４は、規制処理の処理フロー図である。まず、ＳＩＰサーバの検出部４１は、端末１から送信されたＳＩＰ信号を受信し、当該ＳＩＰ信号のフォーマットおよびパラメータ（設定されたデータ内容）が正常であるか否かを判別する（Ｓ１１）。ＳＩＰ信号が不正常な場合（Ｓ１１：ＮＯ）、検出部４１は、ＳＩＰ信号のヘッダ情報を解析して、当該ＳＩＰ信号の発信元装置（発信元ＩＰアドレス）を特定する。

そして、検出部４１は、発信元装置から所定の単位時間（監視時間）内に受信した不正常なＳＩＰ信号数をカウントする。すなわち、検出部４１は、ＳＩＰ信号数をカウントするための監視テーブルを参照し、発信元装置の不正常なＳＩＰ信号数をカウントアップする。なお、監視テーブルに発信元装置が存在しない場合、検出部４１は、監視テーブルに当該発信装置を新規に追加し、現時点から所定の監視期間内に受信する不正常なＳＩＰ信号数を監視する。また、検出部４１は、所定の監視時間が満了すると、監視テーブルから監視時間が満了した発信元装置を監視テーブルから削除（または、当該発信元装置の不正常なＳＩＰ信号数をゼロクリア）する。また、監視テーブルは、図示しないが記憶部４５に記憶されているものとする。

そして、検出部４１は、カウントしたＳＩＰ信号数が所定の閾値を超えているか否かを判別する（Ｓ１２）。ＳＩＰ信号数が閾値より小さい場合（Ｓ１２：ＮＯ）、検出部４１は、ＤｏＳ攻撃とみなさず、Ｓ１１で受信したＳＩＰ信号を廃棄またはエラーレスポンスを返却する（Ｓ１３）。一方、ＳＩＰ信号数が閾値を超える場合（Ｓ１２：ＹＥＳ）、検出部４１は、ＤｏＳ攻撃とみなし、後述するＳ１７の処理を行う。

また、ＳＩＰ信号が正常な場合（Ｓ１１：ＹＥＳ）、検出部４１は、ＳＩＰ信号のヘッダ情報を解析して、当該ＳＩＰ信号の発信元装置（発信元ＩＰアドレス）を特定する。そして、検出部４１は、特定した発信元装置がＤｏＳ攻撃の検出対象か否かを判別する（Ｓ１４）。すなわち、検出部４１は、特定した発信元装置の発信元ＩＰアドレスが、記憶部４５の対象外装置リスト４６に存在するか否かを判別する。

発信元装置が検出対象外の場合、すなわち、対象外装置リスト４６に存在する場合（Ｓ１４：ＮＯ）、検出部４１は、Ｓ１１で受信したＳＩＰ信号はＤｏＳ攻撃ではない正常なＳＩＰ信号であると判別し、ＳＩＰ信号を呼処理部４４に引き渡す。そして、呼処理部４４は、ＳＩＰ信号に設定された呼処理制御を行う（Ｓ１６）。

また、発信元装置が検出対象の場合、すなわち、対象外装置リスト４６に存在しない場合（Ｓ１４：ＹＥＳ）、検出部４１は、Ｓ１２と同様に監視テーブルを参照して、発信元装置の単位時間（監視時間）当たりの正常なＳＩＰ信号数をカウントする。そして、検出部４１は、カウントしたＳＩＰ信号数が所定の閾値を超えているか否かを判別する（Ｓ１５）。ＳＩＰ信号数が閾値より小さい場合（Ｓ１５：ＮＯ）、検出部４１は、Ｓ１１で受信したＳＩＰ信号はＤｏＳ攻撃ではない正常なＳＩＰ信号であると判別し、ＳＩＰ信号を呼処理部４４に引き渡す。そして、呼処理部４４は、ＳＩＰ信号に設定された呼処理制御を行う（Ｓ１６）。

一方、ＳＩＰ信号数が閾値を超えている場合（Ｓ１５：ＹＥＳ）、検出部４１は、Ｓ１１で受信したＳＩＰ信号はＤｏＳ攻撃であると判別する。これにより、規制処理部４２は、ＤｏＳ攻撃に対する規制を行う（Ｓ１７）。すなわち、規制処理部４２は、所定の時間が経過するまで、発信元装置から送信されたＳＩＰ信号（Ｓ１１で受信したＳＩＰ信号を含む）を廃棄する。また、規制処理部４２は、所定の時間が経過するまで、Ｓ１１で受信したＳＩＰ信号以外に新たなＳＩＰ信号を発信元装置から受信したか否かを監視する。

そして、規制処理部４２は、ＳＩＰサーバ制御装置５にＤｏＳ攻撃の検出を通知するための検出通知を送信する（Ｓ１８）。なお、検出通知には、Ｓ１１で受信したＳＩＰ信号に含まれる発信元装置に関する情報（発信元ＩＰアドレス）、および、着信先装置に関する情報（着信先ＩＰアドレス）などが含まれる。

そして、ＳＩＰサーバ制御装置５の制御部５１は、ＳＩＰサーバ４から検出通知を受信する。そして、制御部５１は、受信した検出通知に基づいて所定のフォーマットの検出通知メッセージを生成し、制御用ネットワーク８を介して、検出通知メッセージをエッジルータ制御装置６に送信する（Ｓ１９）。なお、検出通知メッセージのデータ項目については後述する。

そして、エッジルータ制御装置６の制御部６１は、ＳＩＰサーバ制御装置５から検出通知メッセージを受信する。そして、制御部６１は、受信した検出通知メッセージの内容に基づいて、対象となるエッジルータ２にＤｏＳ攻撃の規制処理を指示する（Ｓ２０）。なお、制御部６１は、検出通知メッセージに含まれる発信元装置に関する情報から対象となるエッジルータ２を特定するものとする。すなわち、制御部６１は、例えば、発信元ＩＰアドレスとエッジルータとの対応テーブルを参照し、エッジルータ２を特定する。なお、対応テーブルはエッジルータ２のメモリまたは外部記憶装置に記憶されているものとする。

そして、エッジルータ２の規制処理部２１は、エッジルータ制御装置６の指示を受け付け、ＤｏＳ攻撃に対する規制を行う（Ｓ２１）。すなわち、規制処理部２１は、エッジルータ制御装置６から後述する規制解除の指示を受け付けるまで、発信元装置から送信されたＳＩＰ信号を廃棄する。

なお、前述のＳ１７において、ＳＩＰサーバ４の規制処理部４２は、所定の時間が経過するまで、Ｓ１１で受信したＳＩＰ信号以外の新たなＳＩＰ信号を、発信元装置から受信したか否かを監視する。そして、規制処理部４２は、この監視期間中に発信元装置から新たなＳＩＰ信号を受信した場合、ＳＩＰサーバ制御装置５にＤｏＳ攻撃の検出を通知するＳ１８の処理を再度行う。これにより、ＳＩＰサーバ制御装置５、エッジルータ制御装置６、および、エッジルータ２は、それぞれＳ１９からＳ２１の処理を行う。

例えば、制御用ネットワーク８の障害によってＳ１９の検出通知メッセージの送信に失敗し、エッジルータ２にＤｏＳ攻撃の規制指示が行われなかった場合がある。このような場合に、ＳＩＰサーバ４の規制処理部４２がＳＩＰ信号を監視し、ＳＩＰ信号を検知した場合にＳ１８の処理をリトライすることによって、エッジルータ２は、確実にＤｏＳ攻撃に対する規制（Ｓ２１）を行うことができる。

次に、図４で説明したＤｏＳ攻撃の規制の解除処理について説明する。

図５は、規制解除処理の処理フロー図である。まず、ＳＩＰサーバ４の解除処理部４３は、規制処理（図４：Ｓ１７）から所定の時間が経過した後、規制処理を解除する（Ｓ３１）。すなわち、解除処理部４３は、発信元装置からのＳＩＰ信号の廃棄および監視（図４：Ｓ１７）を解除する。なお、解除処理部４３は、例えばＯＳ（Operating System）などのタイマー機能を用いることにより、所定の時間が経過したか否かを判別する。

また、所定の時間の経過前にＤｏＳ攻撃が終了したことが明からな場合、システム保守者は、ＳＩＰサーバ４の入力装置を用いて規制解除指示（コマンド）を入力することとしてもよい。この場合、解除処理部４３は、規制解除指示を受け付け、規制処理を解除する。

そして、解除処理部４３は、ＳＩＰサーバ制御装置５に、解除通知を送信する（Ｓ３２）。なお、解除通知には、規制処理の対象の発信元装置に関する情報（発信元ＩＰアドレス）、および、着信先装置に関する情報（着信先ＩＰアドレス）などが含まれる。

そして、ＳＩＰサーバ制御装置５の制御部５１は、ＳＩＰサーバ４から解除通知を受信する。そして、制御部５１は、受信した解除通知に基づいて所定のフォーマットの解除通知メッセージを生成し、制御用ネットワーク８を介して、エッジルータ制御装置６に解除通知メッセージを送信する（Ｓ３３）。なお、解除通知メッセージのデータ項目については後述する。

そして、エッジルータ制御装置６の制御部６１は、ＳＩＰサーバ制御装置５から解除通知メッセージを受信する。そして、制御部６１は、受信した解除通知メッセージの内容に基づいて、対象となるエッジルータ２にＤｏＳ攻撃の規制解除処理を指示する（Ｓ３４）。なお、制御部６１は、解除通知メッセージに含まれる発信元装置に関する情報から対象となるエッジルータ２を特定するものとする。

なお、例えば制御用ネットワーク８の障害によって解除通知メッセージの送信に失敗し、エッジルータ制御装置６に解除通知メッセージが届かない場合がある。このような場合を考慮し、エッジルータ制御装置６のタイマー監視部６２は、ＳＩＰサーバ制御装置５から検出通知メッセージを受信後（図４：Ｓ１９）、所定の時間内に解除通知メッセージを受信したか否かを監視する。そして、所定の時間内に解除通知メッセージを受信しない場合、タイマー監視部６２は、対象となるエッジルータ２にＤｏＳ攻撃の規制解除処理を指示する（Ｓ３４）。なお、タイマー監視部６２は、検出通知メッセージの受信時に（図４：Ｓ１９）、検出通知メッセージをメモリまたは外部記憶装置に記憶し、検出通知メッセージに含まれる発信元装置に関する情報から対象となるエッジルータ２を特定するものとする。

エッジルータ２の解除処理部２２は、エッジルータ制御装置６から規制解除の指示を受け付ける。そして、解除処理部２２は、Ｓ１２と同様に監視テーブルを参照して、規制解除の対象装置（ＤｏＳ攻撃の発信元装置）の単位時間（監視時間）当たりのＳＩＰ信号数をカウントする。そして、解除処理部２２は、カウントしたＳＩＰ信号数が所定の閾値を超えているか否かを判別する（Ｓ３５）。

ＳＩＰ信号数が閾値を超える場合（Ｓ３５：ＹＥＳ）、解除処理部２２は、ＤｏＳ攻撃は未だ収束していないと判別し、エッジルータ制御装置６に規制の解除を拒否する規制解除拒否通知を送信する（Ｓ３６）。そして、エッジルータ制御装置６の制御部６１は、ＳＩＰサーバ制御装置５に規制解除拒否通知メッセージを送信する（Ｓ３７）。なお、規制解除拒否通知メッセージのデータ項目については後述する。

ＳＩＰサーバ制御装置５の制御部５１は、規制解除拒否通知メッセージを受信すると、表示部５２を制御して警告メッセージ（エラーメッセージ）を出力装置に出力する。システム保守者は、ＳＩＰサーバ制御装置５の出力装置に表示された警告メッセージを見ることにより、ＤｏＳ攻撃が未だ収束していないことを把握することができる。

なお、ＳＩＰ信号数が閾値を超える場合（Ｓ３５：ＹＥＳ）、エッジルータ２の解除処理部２２は、ＳＩＰ信号数が閾値より小さくなるまで継続して単位時間当たりのＳＩＰ信号数をカウントし、ＳＩＰ信号数が閾値より小さくなった場合にＳ３８に進むものとする。

一方、ＳＩＰ信号数が閾値より小さい場合（Ｓ３５：ＮＯ）、解除処理部２２は、ＤｏＳ攻撃は収束したと判別し、図４のＳ２１の規制処理を解除する（Ｓ３８）。 そして、解除処理部２２は、Ｓ３６の規制解除拒否通知を送信したか否かを判別する（Ｓ３９）。規制解除拒否通知を送信済みの場合（Ｓ３９：ＹＥＳ）、解除処理部２２は、エッジルータ制御装置６に規制解除完了通知を送信する（Ｓ４０）。そして、エッジルータ制御装置６の制御部６１は、規制解除拒否通知を受信し、ＳＩＰサーバ制御装置５に規制解除完了通知メッセージを送信する（Ｓ４１）。なお、規制解除完了通知メッセージのデータ項目については後述する。

ＳＩＰサーバ制御装置５の制御部５１は、規制解除完了通知メッセージを受信すると、表示部５２を制御してエッジルータ２での規制解除処理が完了したことを示す完了メッセージを出力装置に出力する。システム保守者は、ＳＩＰサーバ制御装置５の出力装置に表示された完了メッセージを見ることにより、ＤｏＳ攻撃が収束し、規制解除処理が完了したことを把握することができる。

次に、ＳＩＰサーバ制御装置５とエッジルータ制御装置６との間のインタフェース（各種の通知メッセージ）について説明する。

図６は、ＳＩＰサーバ制御装置５とエッジルータ制御装置６との間で送受信される各種通知メッセージのデータ項目の一例を示した図である。各通知メッセージには、トラップＩＤ６１と、送信時刻６２と、アラーム内容６３と、アラーム発生元６４とが含まれる。

トラップＩＤ６１は、ＳＩＰサーバ制御装置５がＳＩＰサーバ４およびエッジルータ制御装置６からとエッジルータ制御装置６への通知種別を識別するための情報である。また、トラップＩＤ６１は、エッジルータ制御装置６が、ＳＩＰサーバ制御装置５からの通知種別およびＳＩＰサーバ制御装置５への通知種別を識別するための情報である。ＳＩＰサーバ制御装置５は、このトラップＩＤ６１を用いて検出通知メッセージおよび解除通知メッセージのみをエッジルータ制御装置６に送信し、不要なメッセージがエッジルータ制御装置６に送出されるのを防止することができる。

送信時刻６２は、各通知メッセージを送信した時刻である。エッジルータ制御装置６のタイマー監視部６２は、ＳＩＰサーバ制御装置５から受信した検出通知メッセージ（図４：Ｓ１９）の送信時刻６２から、所定の時間内に解除通知メッセージを受信したか否かを監視する（図５：Ｓ３４）。

アラーム内容６３には、アラーム種別と、ＤｏＳ攻撃の発信元（端末）および着信先（ＳＩＰサーバ）情報と、が設定される。アラーム種別には、ＳＩＰサーバ制御装置５からエッジルータ制御装置６への通知の場合、例えば「ＤｏＳ攻撃の検出通知」、「規制の解除通知」がある。また、エッジルータ制御装置６からＳＩＰサーバ制御装置５への通知の場合、アラーム種別には、例えば「規制解除拒否通知」、「規制解除完了通知」がある。なお、図示するアラーム種別（エッジルータ制御装置６→ＳＩＰサーバ制御装置５）の例では、アラーム種別をＳＩＰサーバ制御装置５の出力装置にそのまま出力し、システム保守者が判読できるように文章形式としている。

発信元（端末）および着信先情報には、ＤｏＳ攻撃の発信元端末の発信元ＩＰアドレスと、ＤｏＳ攻撃の着信先ＩＰアドレスと、発信元ポート番号と、着信先ポート番号とが含まれる。この発信元ＩＰアドレスと着信先ＩＰアドレスとに基づいて、エッジルータ２では、ＤｏＳ攻撃を行っている所定の端末から所定のサーバへの信号を廃棄する。なお、発信元ポート番号および着信先ポート番号は、ポート毎にきめ細かい規制処理および規制解除処理を行う場合に、必要に応じて設定されるものとする。

なお、アラーム内容６３の各データ（情報）は、エッジルータ制御装置６またはＳＩＰサーバ制御装置５が解析可能な文字、数字または記号を使用し、各データの間にはデータ区切り記号（図示する例では、「／」（スラッシュ））を挿入する。

アラーム発生元６４には、ＳＩＰサーバ制御装置５からエッジルータ制御装置６への通知の場合にはＳＩＰサーバ４の識別情報（ＳＩＰサーバＩＤ）が、エッジルータ制御装置６からＳＩＰサーバ制御装置５への通知の場合にはエッジルータ２の識別情報（エッジルータＩＤ）が設定される。なお、ＳＩＰサーバ４の識別情報には、例えば、現用系または予備系のＳＩＰサーバの識別情報などがある。

以上、本発明の一実施形態を説明した。

本実施形態のＤｏＳ攻撃対策システムでは、ＳＩＰサーバ４が検出したＤｏＳ攻撃を、ＳＩＰサーバ制御装置５およびエッジルータ制御装置６を介してエッジルータ２に通知する。そして、エッジルータ２は、この検出通知を受け付けてＤｏＳ攻撃に対する規制処理を行う。これにより、ＳＩＰサーバ４のみが検出可能なＤｏＳ攻撃を、ネットワークの入り口となるエッジルータ２で規制し、ＳＩＰサーバ４へのその後のＤｏＳ攻撃を防ぐことにより、ＤｏＳ攻撃の被害を最小限に抑えることができる。

また、本実施形態では、ＳＩＰサーバ制御装置５とエッジルータ制御装置６とが、同期をとって（連携して）、ＤｏＳ攻撃の規制および規制解除の制御をＳＩＰサーバ４およびエッジルータ２に行っている。これにより、ＳＩＰサーバ４とエッジルータ２との間で、不整合な規制処理（例えば、片方が規制処理を行い、もう片方が規制を行っていないなど）を行うことなく、より効果的で統一した処理を行うことができる。

また、本実施形態では、エッジルータ２での規制処理後（図４：Ｓ２１）も、ＳＩＰサーバ４は継続して規制処理を行う（図４：Ｓ１７）。これにより、より信頼性の高いＤｏＳ攻撃対策システムを構築することができる。

また、本実施形態のＳＩＰサーバ４は、規制処理中（図４：Ｓ１７）において、悪意端末からの信号を監視し、悪意端末からの信号を受信した場合は再度、ＳＩＰサーバ制御装置５に検出通知を送信する。これにより、ＳＩＰサーバ４のＤｏＳ攻撃検出通知が、何らかの障害によりエッジルータ２に到達しない場合であっても、このようなリトライ処理により、確実にＤｏＳ攻撃検出をエッジルータ２に通知することができる。また、本実施形態のエッジルータ制御装置６は、タイマー監視部６２を有し、ＳＩＰサーバ制御装置５の解除通知メッセージがエッジルータ制御装置６に到達しない場合であっても、エッジルータ２に対して自動的に規制解除の指示を行う（図５：Ｓ３４）。以上のような、ＳＩＰサーバ４とエッジルータ２間での連携ミスがあった場合であっても、ＤｏＳ攻撃の影響が最小限になるような信頼性の高いシステムを構築することができる。

また、本実施形態のエッジルータ２は、規制を解除する際にＤｏＳ攻撃が収束しているか否かを判別し、ＤｏＳ攻撃が収束している場合にのみ規制の解除を行う（図５：Ｓ３５、Ｓ３８）。これにより、ＤｏＳ攻撃が収束していないにもかかわらず、誤って規制を解除し、再びＳＩＰサーバ４がＤｏＳ攻撃に晒される危険性を防止することができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記の実施形態のＤｏＳ攻撃対策システムでは、ＳＩＰサーバ制御装置５およびエッジルータ制御装置６を有する。しかしながら、サーバ制御装置５およびエッジルータ制御装置６を統合した装置が、本実施形態のサーバ制御装置５およびエッジルータ制御装置６の機能を行うこととしてもよい。

本発明の一実施形態が適用されたＤｏＳ攻撃対策システムの全体構成図。 各装置のハードウェア構成例を示す図。 ＤｏＳ攻撃の規制処理を模式的に示す図。 ＤｏＳ攻撃規制処理の処理フロー図。 ＤｏＳ攻撃規制解除処理の処理フロー図。 通知メッセージのデータ項目の一例を示す図。

符号の説明

１：端末、２：エッジルータ、２１：規制処理部、２２：解除処理部、２３：転送部、３：中継ルータ、４：ＳＩＰサーバ、４１：検出部、４２：規制処理部、４３：解除処理部、４４：呼処理部、４５：記憶部、４６：対象外装置リスト、５：ＳＩＰサーバ制御装置、５１：制御部、５２：出力部、６エッジルータ制御装置、６１：制御部、６２：タイマー監視部、７：ＩＰネットワーク、８：制御用ネットワーク

Claims (9)

1. ＤｏＳ攻撃対策システムであって、
   サーバと、当該サーバを制御するサーバ制御装置と、エッジルータと、当該エッジルータを制御するエッジルータ制御装置と、を有し、
   前記サーバは、
   ＤｏＳ攻撃と、当該ＤｏＳ攻撃の攻撃元装置とを検出する検出手段と、
   前記攻撃元装置を含むＤｏＳ攻撃の検出情報を、前記サーバ制御装置に通知する検出通知手段と、を有し、
   前記サーバ制御装置は、
   前記サーバから通知された検出情報を、前記エッジルータ制御装置に通知する第１の通知手段を、有し、
   前記エッジルータ制御装置は、
   前記サーバ制御装置から通知された検出情報を、前記エッジルータに通知する第２の通知手段を、有し、
   前記エッジルータは、
   前記エッジルータ制御装置から通知された検出情報を受け付け、当該検出情報に含まれる攻撃元装置から前記サーバへの信号を規制する規制手段を、有すること
   を特徴とするＤｏＳ攻撃対策システム。
2. 請求項１記載のＤｏＳ攻撃対策システムであって、
   前記サーバは、
   前記検出情報を前記サーバ制御装置に通知した後、前記攻撃元装置から当該サーバに送信される信号を監視する監視手段を、さらに有し、
   前記検出通知手段は、前記監視手段が前記攻撃元装置からの信号を検出した場合、前記検出情報を前記サーバ制御装置に通知すること
   を特徴とするＤｏＳ攻撃対策システム。
3. 請求項１または請求項２記載のＤｏＳ攻撃対策システムであって、
   前記サーバは、
   前記攻撃元装置のＤｏＳ攻撃の規制を解除するための解除情報を、前記サーバ制御装置に通知する第１の解除通知手段を、さらに有し、
   前記サーバ制御装置の第１の通知手段は、前記サーバから通知された解除情報を、前記エッジルータ制御装置に通知し、
   前記エッジルータ制御装置の第２の通知手段は、前記サーバ制御装置から通知された解除情報を、前記エッジルータに通知し、
   前記エッジルータは、
   前記エッジルータ制御装置から通知された解除情報を受け付け、前記攻撃元装置から前記サーバへの信号の規制を解除する解除手段を、さらに有すること
   を特徴とするＤｏＳ攻撃対策システム。
4. 請求項１、請求項２、または請求項３記載のＤｏＳ攻撃対策システムであって、
   前記エッジルータ制御装置は、
   前記検出情報を前記サーバ制御装置から受信して所定の時間が経過した後、ＤｏＳ攻撃の規制を解除するための解除情報を、前記エッジルータに通知する第２の解除通知手段を、さらに有し、
   前記エッジルータは、
   前記エッジルータ制御装置から送信された解除情報を受け付け、前記攻撃元装置から前記サーバへの信号の規制を解除する解除手段を、さらに有すること
   を特徴とするＤｏＳ攻撃対策システム。
5. 請求項３または請求項４記載のＤｏＳ攻撃対策システムであって、
   前記エッジルータの解除手段は、前記攻撃元装置から前記サーバへの信号数が所定の閾値より小さいか否かを判別し、前記閾値より小さい場合、前記攻撃元装置から前記サーバへの信号の規制を解除すること
   を特徴とするＤｏＳ攻撃対策システム。
6. 請求項５記載のＤｏＳ攻撃対策システムであって、
   前記エッジルータの解除手段は、前記攻撃元装置から前記サーバへの信号数が前記閾値を超える場合、前記規制手段の規制を継続する解除拒否通知を、前記エッジルータ制御装置に通知すること
   を特徴とするＤｏＳ攻撃対策システム。
7. 請求項６記載のＤｏＳ攻撃対策システムであって、
   前記エッジルータの解除手段は、前記解除拒否通知を前記エッジルータ制御装置に通知した後、前記攻撃元装置から前記サーバへの信号数が前記閾値より小さいと判別した場合、前記規制手段の規制を解除する解除完了通知を、前記エッジルータ制御装置に通知すること
   を特徴とするＤｏＳ攻撃対策システム。
8. ＤｏＳ攻撃対策システムが行うＤｏＳ攻撃対策方法であって、
   前記ＤｏＳ攻撃対策システムは、サーバと、当該サーバを制御するサーバ制御装置と、エッジルータと、当該エッジルータを制御するエッジルータ制御装置と、を有し、
   前記サーバは、
   ＤｏＳ攻撃と、当該ＤｏＳ攻撃の攻撃元装置とを検出する検出ステップと、
   前記攻撃元装置を含むＤｏＳ攻撃の検出情報を、前記サーバ制御装置に通知する検出通知ステップと、を行い、
   前記サーバ制御装置は、
   前記サーバから通知された検出情報を、前記エッジルータ制御装置に通知する第１の通知ステップを、行い、
   前記エッジルータ制御装置は、
   前記サーバ制御装置から通知された検出情報を、前記エッジルータに通知する第２の通知ステップを、行い、
   前記エッジルータは、
   前記エッジルータ制御装置から通知された検出情報を受け付け、当該検出情報に含まれる攻撃元装置から前記サーバへの信号を規制する規制ステップを、行うこと
   を特徴とするＤｏＳ攻撃対策方法。
9. 請求項８記載のＤｏＳ攻撃対策方法であって、
   前記サーバは、
   前記攻撃元装置からのＤｏＳ攻撃の規制を解除するための解除情報を、前記サーバ制御装置に通知する解除通知ステップを、さらに行い、
   前記サーバ制御装置は、
   前記サーバから通知された解除情報を、前記エッジルータ制御装置に通知する第３の通知ステップを、さらに行い、
   前記エッジルータ制御装置は、
   前記サーバ制御装置から通知された解除情報を、前記エッジルータに通知する第４の通知ステップを、さらに行い、
   前記エッジルータは、
   前記エッジルータ制御装置から通知された解除情報を受け付け、前記攻撃元装置から前記サーバへの信号の規制を解除する解除ステップを、さらに行うこと
   を特徴とするＤｏＳ攻撃対策方法。
   
   

Images