JP2006246177A

JP2006246177A - フラッド攻撃防御方法および装置

Info

Publication number: JP2006246177A
Application number: JP2005060813A
Authority: JP
Inventors: Takafumi Hamano; 貴文濱野; Takashi Ikegawa; 隆司池川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-03-04
Filing date: 2005-03-04
Publication date: 2006-09-14
Anticipated expiration: 2025-03-04
Also published as: JP4280245B2

Abstract

【課題】被攻撃ホスト宛てに少ないトラヒックレートでパケットを送出している正当ホストから受信したパケットを保護する。
【解決手段】トラヒックポリシング部４は、トラヒック識別パラメータの値に基づいて被攻撃ホスト宛て受信パケットを分類し、分類されたパケットフロー毎に、レートリミット設定値Ａを用いて、トラヒックポリシングの実行を繰り返す。レートリミット設定値更新部６は、被攻撃ホスト宛て単位時間当たり送信トラヒック量を測定し、該被攻撃ホスト宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより多いかどうか判定し、多い場合、レートリミット設定値Ａの値を、現在の値より小さい値に更新し、この後および該被攻撃ホスト宛て送信トラヒック量がレートリミット設定値Ｂより多くない場合、最初の処理から繰り返す。
【選択図】図１

Description

本発明は、通信ネットワークに接続された装置を分散型サービス拒否攻撃（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ，ＤＤｏＳ）などのフラッド攻撃から防御するフラッド攻撃防御方法および装置に関するものである。

通信ネットワークに接続された装置をフラッド攻撃から防御するために、被攻撃ホストと攻撃ホストの間に設置されたネットワーク装置において、被攻撃ホスト宛てのトラヒックの一部を廃棄し、被攻撃ホストに到達するトラヒックレートを小さくする処理が、従来より行われている。

ＩＰルータやレイヤ２スイッチなどのネットワーク装置において、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル識別子などにより指定したパケット識別子にマッチするトラヒックに対し、指定したレートリミット設定値を超えた分を廃棄し、該レートリミット設定値以下のトラヒックレートでトラヒックを送信するトラヒックポリシング機能が広く実装されている。このトラヒックポリシング機能の実装例として、非特許文献１、非特許文献２、非特許文献３がある。
Ｃｉｓｃｏ社、"ＰｏｌｉｃｉｎｇａｎｄＳｈａｐｉｎｇＯｖｅｒｖｉｅｗ"、ｈｔｔｐ：／／ｗｗｗ．ｃｉｓｃｏ．ｃｏｍ／ｅｎ／ＵＳ／ｐｒｏｄｕｃｔｓ／ｓｗ／ｉｏｓｓｗｒｅｌ／ｐｓ１８３５／ｐｒｏｄｕｃｔｓ＿ｃｏｎｆｉｇｕｒａｔｉｏｎ＿ｇｕｉｄｅ＿ｃｈａｐｔｅｒ０９１８６ａ００８００ｂｄ８ｅｄ．ｈｔｍｌ日立製作所、"ＧＲ２０００ソフトウェアマニュアル解説書Ｖｏｌ．２Ｖｅｒ．０８−０３対応５００−１０−１５８"、ｈｔｔｐ：／／ｗｗｗ．ｈｉｔａｃｈｉ．ｃｏ．ｊｐ／Ｐｒｏｄ／ｃｏｍｐ／ｎｅｔｗｏｒｋ／ｍａｎｕａｌ／ｒｏｕｔｅｒ／ｇｒ２ｋ／０８０３／ＨＴＭＬ／ＫＡＩＳＥＴＳ２／ＩＮＤＥＸ．ＨＴＭＪｕｎｉｐｅｒＮｅｔｗｏｒｋｓ社、"ＮｅｔｓｃｒｅｅｎＣｏｎｃｅｐｔｓ＆ＥｘａｍｐｌｅｓＳｃｒｅｅｎＯＳＲｅｆｅｒｅｎｃｅＧｕｉｄｅＶｏｌｕｍｅ２：ＦｕｎｄａｍｅｎｔａｌｓＳｃｒｅｅｎＯＳ５．１．０Ｐ／Ｎ０９３−１３６７−００００Ｒｅｖ．Ａ"、ｈｔｔｐ：／／ｗｗｗ．ｊｕｎｉｐｅｒ．ｎｅｔ／ｔｅｃｈｐｕｂｓ／ｓｏｆｔｗａｒｅ／ｓｃｒｅｅｎｏｓ／ｓｃｒｅｅｎｏｓ５．１．０／ＣＥ＿ｖ２．ｐｄｆ

しかしながら、被攻撃ホストと攻撃ホストの間に設置されたネットワーク装置において被攻撃ホスト宛てパケットの一部を廃棄する処理を、従来のネットワーク装置に実装されているトラヒックポリシング機能を用いて実現する場合、被攻撃ホスト宛てに少量のトラヒックレートでパケットを送出している正当ホストから受信したパケットも廃棄してしまう。

本発明の目的は、被攻撃ホスト宛てに少ないトラヒックレートでパケットを送出している正当ホストから受信したパケットを保護することが可能なフラッド攻撃防御方法および装置を提供することにある。

本発明の第１の態様によれば、フラッド攻撃防御方法は、
（ａ）指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、分類されたパケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信するステップと、
（ｂ）ステップ（ａ）により送信した被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定するステップと、
（ｃ）ステップ（ｂ）により測定された被攻撃ホスト宛て送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、第１のレートリミット設定値を、現在の値より小さい値に更新するステップと
を有する。

本発明の第１の態様によれば、フラッド攻撃防御装置は、
被攻撃ホスト宛てパケットを受信するパケット受信手段と、
パケット受信手段により受信した被攻撃ホスト宛てパケットを、指定されたトラヒック識別パラメータの値に基づいて分類し、分類されたパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、分類されたパケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信する個別トラヒックポリシング手段と、
個別トラヒックポリシング手段により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定する送信トラヒックレート測定手段と、
送信トラヒックレート測定手段により測定された合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、第１のレートリミット設定値を、現在の値より小さい値に更新するレートリミット設定値更新手段と
を有する。

指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に同一のレートリミット設定値を用いてトラヒックポリシングを行うため、被攻撃ホスト宛てに高いトラヒックレートでパケットを送出している攻撃ホストから受信したパケットを多量に廃棄する一方、被攻撃ホスト宛てに低いトラヒックレートでパケットを送出している正当ホストから受信したパケットについては、まったく廃棄されないか、あるいは、廃棄するパケット数が小さくなり、攻撃ホストから受信したパケットを多量に廃棄しながら、正当ホストから受信したパケットをあまり廃棄せずに、被攻撃ホスト宛てにパケットを送信することができる。

本発明の第２の態様によれば、フラッド攻撃防御方法は、
（ａ）指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に、受信パケットの受信トラヒックレートを測定するステップと、
（ｂ）ステップ（ａ）により測定されたトラヒック識別パラメータの値に基づいて分類されたパケットフロー毎の被攻撃ホスト宛て受信トラヒックレートを、指定された攻撃判定閾値と、指定されたトラヒック識別パラメータの値毎に比較し、その結果該受信トラヒックレートが該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求めるステップと、
（ｃ）ステップ（ｂ）により求められたトラヒック識別パラメータの値のいずれかにマッチする被攻撃ホスト宛てパケットフロー毎に、受信パケットの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、該パケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信し、それ以外のパケットフローについては受信パケットをすべて送信するステップと、
（ｄ）ステップ（ｃ）により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定するステップと、
（ｅ）ステップ（ｄ）により測定された被攻撃ホスト宛て合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て合計送信トラヒックレートが該第２のレートリミット設定値より大きい場合、第１のレートリミット設定値の値を、現在の値より小さい値に更新するステップと
を有する。

本発明の第２の態様によれば、フラッド攻撃防御装置は、
被攻撃ホスト宛てパケットを受信するパケット受信手段と、
パケット受信手段により受信した被攻撃ホスト宛てパケットを、指定されたトラヒック識別パラメータの値に基づいて分類し、分類されたパケットフロー毎に、受信パケットの受信トラヒックレートを測定する受信トラヒックレート測定手段と、
受信トラヒックレート測定手段により測定された、受信トラヒックレートを、指定された攻撃判定閾値と、トラヒック識別パラメータの値毎に比較し、その結果該受信トラヒックレートが該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求める攻撃トラヒック識別パラメータ値検出手段と、
攻撃トラヒック識別パラメータ値検出手段により求められたトラヒック識別パラメータの値のいずれかにマッチする被攻撃ホスト宛てパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、該パケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信し、それ以外のパケットフローについては受信パケットをすべて送信する個別限定トラヒックポリシング手段と、
個別限定トラヒックポリシング手段により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定する送信トラヒックレート測定手段と、
送信トラヒックレート測定手段により測定された被攻撃ホスト宛て合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、第１のレートリミット設定値の値を、現在の値より小さい値に更新するレートリミット設定値更新手段と、
を有する。

指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフローの中で、攻撃と判定したトラヒック識別パラメータの値を持つパケットフローに対してのみ、分類されたパケットフロー毎に同一のレートリミット設定値を用いてトラヒックポリシングを行うため、被攻撃ホスト宛てに高いトラヒックレートでパケットを送出している攻撃ホストから受信したパケットを多量に廃棄する一方、被攻撃ホスト宛てに低いトラヒックレートでパケットを送出している正当ホストから受信したパケットについてはまったく廃棄をしないため、攻撃ホストから受信したパケットを多量に廃棄しながら、正当ホストから受信したパケットをまったく廃棄せずに、被攻撃ホスト宛てにパケットを送信することができる。

また、トラヒックポリシングの設定数がトラヒック識別パラメータの値が取りうる種類の数に依存しないため、トラヒック識別パラメータの値が取りうる種類の数が多い場合に、フラッド攻撃防御装置の処理負荷を小さく抑えることができる。

本発明の第３の態様によれば、フラッド攻撃防御方法は、
（ａ）指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に、受信トラヒックパケットの受信レートを測定するステップと、
（ｂ）ステップ（ａ）により測定された受信トラヒックレートを、指定された攻撃判定閾値と、指定されたトラヒック識別パラメータの値毎に比較し、その結果該受信トラヒックレートが該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求めるステップと、
（ｃ）ステップ（ｂ）により求められたトラヒック識別パラメータの値の種類の数を、指定された攻撃フロー数上限判定閾値と比較するステップと、
（ｄ）ステップ（ｃ）による比較の結果、トラヒック識別パラメータの値の種類の数が攻撃フロー数上限判定閾値より小さい場合には、
（ｄ１）ステップ（ｂ）により求められたトラヒック識別パラメータの値のいずれかにマッチする被攻撃ホスト宛てパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、該パケットフロー毎に、第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信し、それ以外のパケットフローについては受信パケットをすべて送信し、
（ｄ２）ステップ（ｄ１）により送信した被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定し、
（ｄ３）ステップ（ｄ２）により測定された被攻撃ホスト宛て合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て合計送信トラヒックレートが該第２のレートリミット設定値より大きい場合、第１のレートリミット設定値を、現在の値より小さい値に更新する、
の各ステップ（ｄ１〜ｄ３）を順に実行するステップと、
（ｅ）ステップ（ｃ）による比較の結果、トラヒック識別パラメータの値の種類の数が攻撃フロー数上限判定閾値より大きい場合には、被攻撃ホスト宛て受信パケットのうち、受信パケットの受信トラヒックレートが、第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信するステップと
を有する。

本発明の第３の態様によれば、フラッド攻撃防御装置は、第２の態様のフラッド攻撃防御装置に、
パケット受信手段により受信された被攻撃ホスト宛てパケットに対し、受信パケットの受信トラヒックレートが、指定された第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信する全体トラヒックポリシング手段と、
攻撃トラヒック識別パラメータ値検出手段により求められたトラヒック識別パラメータの値の種類の数を、指定された攻撃フロー数上限判定閾値と比較する攻撃フロー数上限判定手段と、
攻撃フロー数上限判定手段により、該トラヒック識別パラメータの値の種類の数が該攻撃フロー数上限判定閾値より大きい場合には、全体トラヒックポリシング手段によるトラヒックポリシングを実行し、該トラヒック識別パラメータの値の種類の数が該攻撃フロー数上限判定閾値より小さい場合には、個別限定トラヒックポリシング手段によるトラヒックポリシングを実行するトラヒックポリシング切替手段と
をさらに有する。

指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフローの中で、攻撃と判定したトラヒック識別パラメータの値を持つパケットフローの種類の数が多い場合、全パケットフローを合算してトラヒックポリシングを行うため、前記攻撃と判定したトラヒック識別パラメータの値の数が多い場合であってもフラッド攻撃防御装置の処理負荷を小さくおさえながら、被攻撃ホスト宛てに高いトラヒックレートでパケットを送出している多数の攻撃ホストから受信したパケットを廃棄することができる。

本発明の第４の態様によれば、フラッド攻撃防御方法は、第２の態様のフラッド攻撃防御方法に対し、
第１のレートリミット設定値の値を０にした場合に、測定された被攻撃ホスト宛て送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、受信された被攻撃ホスト宛てパケットに対し、受信パケットの受信トラヒックレートが、指定された第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信するステップをさらに有する。

本発明の第４の態様によれば、フラッド攻撃防御装置は、第２の態様のフラッド攻撃防御装置に対し、
第１のレートリミット設定値の値を０にした場合に、送信トラヒックレート測定手段により測定された被攻撃ホスト宛て送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが、該第２のレートリミット設定値より大きい場合、パケット受信手段により受信した被攻撃ホスト宛てパケットに対し、受信パケットの受信トラヒックレートが、指定された第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信する全体トラヒックポリシング手段をさらに有する。

指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー単位では攻撃と判定できない場合でも、フラッド攻撃防御装置の処理負荷を小さくおさえながら、被攻撃ホスト宛てにパケットを送出している多数の攻撃ホストから受信したパケットを廃棄することができる。

本発明の第１〜第４の態様のいずれにおいても、トラヒック識別パラメータとして、受信回線情報、送信元ＩＰアドレスとサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、ＴｙｐｅｏｆＳｅｒｖｉｃｅ、ＴｏｔａｌＬｅｎｇｔｈ、ＴｉｍｅｔｏＬｉｖｅのいずれかおよびそれらの組合せを使用することができる。

本発明は、以下に述べる効果がある。

請求項１と６の発明は、受信回線などのトラヒック識別パラメータに基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に同一のレートリミット設定値を用いてトラヒックポリシングを行うため、被攻撃ホスト宛てに高いトラヒックレートでパケットを送出している攻撃ホストから受信したパケットを多量に廃棄する一方、被攻撃ホスト宛てに低いトラヒックレートでパケットを送出している正当ホストから受信したパケットをあまり廃棄せずに、被攻撃ホスト宛てにパケットを送信することができる。

請求項２と７の発明は、受信回線などのトラヒック識別パラメータに基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフローの中で、攻撃と判定したトラヒック識別パラメータの値を持つパケットフローに対してのみ、分類されたパケットフロー毎に同一のレートリミット設定値を用いてトラヒックポリシングを行うため、前記トラヒック識別パラメータの値が取りうる種類の数が多い場合に、フラッド攻撃防御装置の処理負荷を軽減することができる。

請求項３と８の発明は、受信回線などのトラヒック識別パラメータに基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフローの中で、攻撃と判定したトラヒック識別パラメータの値の数が多い場合であっても、フラッド攻撃防御装置の処理負荷を小さくおさえたまま、被攻撃ホスト宛てに高いトラヒックレートでパケットを送出している多数の攻撃ホストから受信したトラヒックを廃棄することができる。

請求項４と９の発明は、受信回線などのトラヒック識別パラメータに基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー単位では攻撃と判定できない場合でも、フラッド攻撃防御装置の処理負荷を小さくおさえたまま、被攻撃ホスト宛てに高いトラヒックレートでパケットを送出している多数の攻撃ホストから受信したトラヒックを廃棄することができる。

請求項１から１０の発明は、受信回線情報に基づいて被攻撃ホスト宛てパケットを分類し、受信回線情報の値ごとに分類されたパケットフローに対し、パケットフロー毎に同一のレートリミット設定値を用いてトラヒックポリシングを行う場合、ＩＰネットワークのように、パケットの送信元アドレスが詐称される可能性のある場合であっても、攻撃元を特定することが可能である。

次に、本発明の実施の形態について図面を参照して詳細に説明する。

［第１の実施形態］
図１は本発明の第１の実施形態によるフラッド攻撃防御装置の構成図である。

図１を参照すると、フラッド攻撃防御装置１Ａは、被攻撃ホスト１１と攻撃ホスト１２、１３、１４を接続するネットワーク１０上に設置されている。

フラッド攻撃防御装置１Ａは、通信ポート２と、パケット送受信部３と、トラヒック識別パラメータ値毎トラヒックポリシング部４と、送信トラヒック量測定部５と、レートリミット設定値更新部６と、トラヒック識別パラメータ登録テーブル７と、レートリミット設定値Ａ登録テーブル８と、レートリミット設定値Ｂ登録テーブル９から構成されている。

通信ポート２は、被攻撃ホスト１１宛てパケットを受信し、該パケットをパケット送受信部３に転送する。また、通信ポート２は、パケット送受信部３から受信したパケットをネットワーク１０に送信する。なお、受信用の通信ポートと送信用の通信ポートが独立に構成されていてもよい。また、受信用、送信用、送受信兼用のいずれの場合においても、複数の通信ポートから構成されていてもよい。

パケット送受信部３は、通信ポート２から受信したパケットをトラヒック識別パラメータ値毎トラヒックポリシング部４に転送し、トラヒック識別パラメータ値毎トラヒックポリシング部４から受信したパケットを通信ポート２に転送するとともに、パケットのコピーを送信トラヒック量測定部５に転送する。

トラヒック識別パラメータ値毎トラヒックポリシング部４は、パケット送受信部３から受信したパケットを、トラヒック識別パラメータ登録テーブル７に登録されているトラヒック識別パラメータの値に基づいて分類し、分類されたパケットフロー毎に、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａを用いてトラヒックポリシングを行い、該トラヒックポリシングにより廃棄されなかったパケットをパケット送受信部３に転送する。

送信トラヒック量測定部５は、パケット送受信部３から受信したパケットに基づき、被攻撃ホスト１１宛て単位時間当たり送信トラヒック量を周期的に測定し、レートリミット設定値更新部６に測定結果を随時通知する。なお、送信トラヒック量測定部５は、パケット送受信部３からパケットのコピーを受信せず、パケット送受信部３におけるパケット送信処理と一体で行ってもよい。

レートリミット設定値更新部６は、送信トラヒック量測定部５から通知を受けた被攻撃ホスト１１宛て単位時間当たり送信トラヒック量を、レートリミット設定値Ｂ登録テーブル９に登録されているレートリミット設定値Ｂと比較し、該被攻撃ホスト１１宛て単位時間当たり送信トラヒック量が、該レートリミット設定値Ｂより大きい場合、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａの値を、現在の値より小さい値に更新する。

図２は、図１のフラッド攻撃防御装置１Ａにおけるフラッド攻撃防御処理手順の一例を示すフローチャートである。

トラヒック識別パラメータテーブル７、レートリミット設定値Ａ登録テーブル８、レートリミット設定値Ｂ登録テーブル９にそれぞれトラヒック識別パラメータ、レートリミット設定値Ａ、レートリミット設定値Ｂを設定し（ステップ１０１）、並列に、トラヒック識別パラメータ値毎トラヒックポリシング部４がトラヒックポリシング処理（ステップ１０２）を、送信トラヒック量測定部５とレートリミット設定値更新部６が連携してレートリミット設定値更新処理（ステップ１０３〜１０５）を実行する。

トラヒックポリシング処理では、トラヒック識別パラメータの値に基づいて被攻撃ホスト宛て受信パケットを分類し、分類されたパケットフロー毎に、レートリミット設定値Ａを用いて、トラヒックポリシングを実行し（ステップ１０２）、ステップ１０２を繰り返す。レートリミット設定値更新処理では、被攻撃ホスト宛て単位時間当たり送信トラヒック量を測定し（ステップ１０３）、該被攻撃ホスト宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより多いかどうか判定し（ステップ１０４）、多い場合、レートリミット設定値Ａの値を、現在の値より小さい値に更新する（ステップ１０５）。ステップ１０４で、該被攻撃ホスト宛て送信トラヒック量がレートリミット設定値Ｂより多くない場合、および、ステップ１０５の処理終了後、ステップ１０３の前に戻り、ステップ１０３〜１０５の処理を繰り返す。

［第２の実施形態］
図３は、本発明の第２の実施形態によるフラッド攻撃防御装置の構成図を示している。

図３を参照すると、フラッド攻撃防御装置１Ｂは、被攻撃ホスト１１と攻撃ホスト１２、１３、１４を接続するネットワーク１０上に設置される。

フラッド攻撃防御装置１Ｂは、通信ポート２と、パケット送受信部３と、トラヒック識別パラメータ値毎トラヒックポリシング部４と、送信トラヒック量測定部５と、レートリミット設定値更新部６と、トラヒック識別パラメータ登録テーブル７と、レートリミット設定値Ａ登録テーブル８と、レートリミット設定値Ｂ登録テーブル９と、トラヒック識別パラメータ値毎受信トラヒック量測定部１５と、攻撃トラヒック識別パラメータ値検出部１６と、攻撃判定閾値登録テーブル１７から構成されている。

パケット送受信部３は、通信ポート２から受信したパケットをトラヒック識別パラメータ値毎トラヒックポリシング部４に転送するとともに、パケットのコピーをトラヒック識別パラメータ値毎受信トラヒック量測定部１５に転送する。また、パケット送受信部３は、トラヒック識別パラメータ値毎トラヒックポリシング部４から受信したパケットを通信ポート２に転送するとともに、パケットのコピーを送信トラヒック量測定部５に転送する。

トラヒック識別パラメータ値毎受信トラヒック量測定部１５は、パケット送受信部３から受信したパケットを、トラヒック識別パラメータ登録テーブル７に登録されているトラヒック識別パラメータの値に基づいて分類し、分類されたパケットフロー毎に、被攻撃ホスト１１宛て単位時間当たり受信トラヒック量を周期的に測定し、攻撃トラヒック識別パラメータ値検出部１６に測定結果を随時通知する。なお、トラヒック識別パラメータ値毎受信トラヒック量測定部１５は、パケット送受信部３からパケットのコピーを受信せず、パケット送受信部３におけるパケット受信処理と一体で行ってもよい。

攻撃トラヒック識別パラメータ値検出部１６は、トラヒック識別パラメータ値毎受信トラヒック量測定部１５から通知を受けた被攻撃ホスト１１宛て単位時間当たり受信トラヒック量を、攻撃判定閾値登録テーブル１７に登録されている攻撃判定閾値と比較し、該被攻撃ホスト１１宛て単位時間当たり受信トラヒック量が該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求め、その結果をトラヒック識別パラメータ値毎トラヒックポリシング部４に通知する。

トラヒック識別パラメータ値毎トラヒックポリシング部４は、パケット送受信部３から受信したパケットのうち、攻撃トラヒック識別パラメータ値検出部１６から通知を受けたトラヒック識別パラメータの値のいずれかにマッチするパケットフローに対してのみ、トラヒック識別パラメータ登録テーブル７に登録されているトラヒック識別パラメータの値により分類されたパケットフロー毎に、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａの値に基づいてトラヒックポリシングを行い、該トラヒックポリシングにより廃棄されなかったパケットをパケット送受信部３に転送する。

レートリミット設定値更新部６は、送信トラヒック量測定部５から通知を受けた被攻撃ホスト１１宛て単位時間当たり送信トラヒック量を、レートリミット設定値Ｂ登録テーブル９に登録されているレートリミット設定値Ｂと比較し、該被攻撃ホスト１１宛て単位時間当たり送信トラヒック量が、該レートリミット設定値Ｂより大きい場合、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａを、現在の値より小さい値に更新する。

図４は、図２のフラッド攻撃防御装置１Ｂにおけるフラッド攻撃防御処理手順の一例を示すフローチャートである。

トラヒック識別パラメータ登録テーブル７、レートリミット設定値Ａ登録テーブル８、レートリミット設定値Ｂ登録テーブル９にそれぞれトラヒック識別パラメータ、攻撃判定閾値、レートリミット設定値Ａ、レートリミット設定値Ｂを設定し（ステップ２０１）、並列に、トラヒック識別パラメータ値毎トラヒックポリシング部４がトラヒックポリシング処理（ステップ２０２〜２０４）を、送信トラヒック量測定部５とレートリミット設定値更新部６が連携してレートリミット設定値更新処理（ステップ２０５〜２０７）を実行する。

トラヒックポリシング処理では、トラヒック識別パラメータの値に基づいて被攻撃ホスト宛て受信パケットを分類し、分類されたパケットフロー毎に、被攻撃ホスト宛て単位時間当たり受信トラヒック量を測定し（ステップ２０２）、トラヒック識別パラメータの値に基づいて分類された被攻撃ホスト宛てパケットフローの単位時間当たり受信トラヒック量を攻撃判定閾値と比較し、単位時間当たり受信トラヒック量が該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求め（ステップ２０３）、ステップ２０３で求めたトラヒック識別パラメータの値のいずれかにマッチするパケットフローに対してのみ、トラヒック識別パラメータの値により分類されたパケットフロー毎に、レートリミット設定値Ａに基づいてトラヒックポリシングを実行し（ステップ２０４）、ステップ２０２に戻り、ステップ２０２〜２０４の処理を繰り返す。

レートリミット設定値更新処理では、被攻撃ホスト宛て単位時間当たり送信トラヒック量を測定し（ステップ２０５）、該被攻撃ホスト宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより多いかどうかを判定し（ステップ２０６）、多い場合、レートリミット設定値Ａを、現在の値より小さい値に更新する（ステップ２０７）。ステップ２０６で、該被攻撃ホスト宛て送信トラヒック量がレートリミット設定値Ｂより多くない場合、および、ステップ２０７の処理終了後、ステップ２０５に戻り、ステップ２０５〜２０７の処理を繰り返す。

［第３の実施形態］
図５は、本発明の第３の実施形態によるフラッド攻撃防御装置の一構成図である。

図５を参照すると、フラッド攻撃防御装置１Ｃは、被攻撃ホスト１１と攻撃ホスト１２、１３、１４を接続するネットワーク１０上に設置されている。

フラッド攻撃防御装置１Ｃは、通信ポート２と、パケット送受信部３と、トラヒック識別パラメータ値毎トラヒックポリシング部４と、送信トラヒック量測定部５と、レートリミット設定値更新部６と、トラヒック識別パラメータ登録テーブル７と、レートリミット設定値Ａ登録テーブル８と、レートリミット設定値Ｂ登録テーブル９と、トラヒック識別パラメータ値毎受信トラヒック量測定部１５と、攻撃トラヒック識別パラメータ値検出部１６と、攻撃判定閾値登録テーブル１７と、攻撃フロー数上限判定トラヒックポリシング切替部１８と、全体トラヒックポリシング部１９と、攻撃フロー数上限判定閾値登録テーブル２０から構成されている。

本実施形態のフラッド攻撃防御装置２Ｃの、図３に示す、本発明の第２の実施形態のフラッド攻撃防御装置２Ｂとの機能上の差分について説明する。

パケット送受信部３は、通信ポート２から受信したパケットを攻撃フロー数上限判定トラヒックポリシング切替部１８に転送するとともに、パケットのコピーをトラヒック識別パラメータ値毎受信トラヒック量測定部１５に転送する。また、パケット送受信部３は、攻撃フロー数上限判定トラヒックポリシング切替部１８から受信したパケットを通信ポート２に転送するとともに、パケットのコピーを送信トラヒック量測定部５に転送する。

攻撃トラヒック識別パラメータ値検出部１６は、トラヒック識別パラメータ値毎受信トラヒック量測定部１５から通知を受けた被攻撃ホスト１１宛て単位時間当たり受信トラヒック量を、攻撃判定閾値登録テーブル１７に登録されている攻撃判定閾値と比較し、該被攻撃ホスト１１宛て単位時間当たり受信トラヒック量が該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求め、その結果をトラヒック識別パラメータ値毎トラヒックポリシング部４と攻撃フロー数上限判定トラヒックポリシング切替部１８に通知する。

攻撃フロー数上限判定トラヒックポリシング切替部１８は、攻撃トラヒック識別パラメータ値検出部１６から通知を受けたトラヒック識別パラメータの値の数を、攻撃フロー数上限判定閾値登録テーブル２０に登録されている攻撃フロー数上限判定閾値と比較し、該トラヒック識別パラメータの値の数が該攻撃フロー数上限判定閾値を超えている場合は、パケット送受信部３から受信したパケットを全体トラヒックポリシング部１９に転送し、全体トラヒックポリシング部１９から受信したパケットをパケット送受信部３に転送する。該トラヒック識別パラメータの数が該攻撃フロー数上限判定閾値を超えていないか同一の場合は、パケット送受信部３から受信したパケットをトラヒック識別パラメータ値毎トラヒックポリシング部４に転送し、トラヒック識別パラメータ値毎トラヒックポリシング部４から受信したパケットをパケット送受信部３に転送する。

全体トラヒックポリシング部１９は、攻撃フロー数上限判定トラヒックポリシング切替部１８から受信したパケットに対し、レートリミット設定値Ｂ登録テーブル９に登録されているレートリミット設定値Ｂの値に基づいてトラヒックポリシングを行い、該トラヒックポリシングにより廃棄されなかったパケットを攻撃フロー数上限判定トラヒックポリシング切替部１８に転送する。

トラヒック識別パラメータ値毎トラヒックポリシング部４は、攻撃フロー数上限判定トラヒックポリシング切替部１８から受信したパケットのうち、攻撃トラヒック識別パラメータ値検出部１６から通知を受けたトラヒック識別パラメータの値のいずれかにマッチするパケットフローに対してのみ、トラヒック識別パラメータ登録テーブル７に登録されているトラヒック識別パラメータの値により分類されたパケットフロー毎に、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａに基づいてトラヒックポリシングを行い、該トラヒックポリシングにより廃棄されなかったパケットを攻撃フロー数上限判定トラヒックポリシング切替部１８に転送する。

図６は、図５のフラッド攻撃防御装置１Ｃによるフラッド攻撃防御処理手順の一例を示すフローチャートである。ここでは、図４に示す、本発明の第２の実施形態のフラッド攻撃防御処理手順の一例を示すフローチャートとの差分について説明する。

ステップ２０３とステップ２０４の間で、攻撃フロー数上限判定トラヒックポリシング切替部１８が、ステップ２０３で求めたトラヒック識別パラメータの値の種類の数が、攻撃フロー数上限判定閾値より多いかどうかの判定を行い（ステップ２０８）、多い場合、被攻撃ホスト宛て受信パケットに対して、レートリミット設定値Ｂの基づいてトラヒックポリシングを実行する（ステップ２０９）。ステップ２０８で、該トラヒック識別パラメータの種類の数が該攻撃フロー数上限判定閾値より多くない場合、ステップ２０４の処理を行う。ステップ２０４およびステップ２０９の終了後、ステップ２０２に戻り、ステップ２０２〜２０４、２０８〜２０９の処理を繰り返す。

［第４の実施形態］
図７は、本発明の第４の実施形態によるフラッド攻撃防御装置の一構成図である。

図７を参照すると、フラッド攻撃防御装置１Ｄは、被攻撃ホスト１１と攻撃ホスト１２、１３、１４を接続するネットワーク１０上に設置されている。

フラッド攻撃防御装置１Ｄは、通信ポート２と、パケット送受信部３と、トラヒック識別パラメータ値毎トラヒックポリシング部４と、送信トラヒック量測定部５と、レートリミット設定値更新部６と、トラヒック識別パラメータ登録テーブル７と、レートリミット設定値Ａ登録テーブル８と、レートリミット設定値Ｂ登録テーブル９と、トラヒック識別パラメータ値毎受信トラヒック量測定部１５と、攻撃トラヒック識別パラメータ値検出部１６と、攻撃判定閾値登録テーブル１７と、レートリミット設定値更新判定トラヒックポリシング切替部２１と、全体トラヒックポリシング部１９から構成されている。

本実施形態のフラッド攻撃防御装置１Ｄの、図３に示す、本発明の第２の実施形態のフラッド攻撃防御装置１Ｂとの機能上の差分について説明する。

パケット送受信部３は、通信ポート２から受信したパケットをレートリミット設定値更新判定トラヒックポリシング切替部２１に転送するとともに、パケットのコピーをトラヒック識別パラメータ値毎受信トラヒック量測定部１５に転送する。また、パケット送受信部３は、レートリミット設定値更新判定トラヒックポリシング切替部２１から受信したパケットを通信ポート２に転送するとともに、パケットのコピーを送信トラヒック量測定部５に転送する。

レートリミット設定値更新部６は、送信トラヒック量測定部５から通知を受けた被攻撃ホスト１１宛て単位時間当たり送信トラヒック量を、レートリミット設定値Ｂ登録テーブル９に登録されているレートリミット設定値Ｂと比較し、該被攻撃ホスト１１宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより多い場合、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａを、現在の値より小さい値に更新する。

レートリミット設定値Ａの値を０にした場合に、被攻撃ホスト１１宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより大きい場合、レートリミット設定値更新判定トラヒックポリシング切替部２１に対し、全体トラヒックポリシングへの切替指示を出す。

攻撃フロー数上限判定トラヒックポリシング切替部１Ｇは、レートリミット設定値更新部６から全体トラヒックポリシングへの切替指示を受信した場合は、パケット送受信部３から受信したパケットを全体トラヒックポリシング部１９に転送し、全体トラヒックポリシング部１９から受信したパケットをパケット送受信部３に転送する。レートリミット設定値更新部６から全体トラヒックポリシングへの切替指示を受信しなかった場合は、パケット送受信部３から受信したパケットをトラヒック識別パラメータ値毎トラヒックポリシング部４に転送し、トラヒック識別パラメータ値毎トラヒックポリシング部４から受信したパケットをパケット送受信部３に転送する。

全体トラヒックポリシング部１９は、レートリミット設定値更新判定トラヒックポリシング切替部２１から受信したパケットに対し、レートリミット設定値Ｂ登録テーブル９に登録されているレートリミット設定値Ｂに基づいてトラヒックポリシングを行い、該トラヒックポリシングにより廃棄されなかったパケットをレートリミット設定値更新判定トラヒックポリシング切替部２１に転送する。

トラヒック識別パラメータ値毎トラヒックポリシング部４は、レートリミット設定値更新判定トラヒックポリシング切替部２１から受信したパケットのうち、攻撃トラヒック識別パラメータ値検出部１６から通知を受けたトラヒック識別パラメータの値のいずれかにマッチするパケットフローに対してのみ、トラヒック識別パラメータ登録テーブル７に登録されているトラヒック識別パラメータの値により分類されたパケットフロー毎に、レートリミット設定値Ａ登録テーブル８に登録されているレートリミット設定値Ａに基づいてトラヒックポリシングを行い、該トラヒックポリシングにより廃棄されなかったパケットをレートリミット設定値更新判定トラヒックポリシング切替部２１に転送する。

図８は、図７のフラッド攻撃防御装置１Ｄによるフラッド攻撃防御処理手順の一例を示すフローチャートである。ここでは、図４に示す、本発明の第２の実施形態のフラッド攻撃防御処理手順の一例を示すフローチャートとの差分について説明する。

ステップ２０１の直後に、トラヒックポリシング切替判定フラグをオフに設定する（ステップ２１０）。ステップ２０６で、被攻撃ホスト宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより多い場合、レートリミット設定値Ａが０かどうか判定し（ステップ２１１）、レートリミット設定値Ａが０の場合、トラヒックポリシング切替判定フラグをオンに設定する（ステップ２１３）。ステップ２１１でレートリミット設定値Ａが０でない場合、レートリミット設定値Ａを、現在の値より小さい値に更新する（ステップ２０７）。

ステップ２０６で、被攻撃ホスト宛て単位時間当たり送信トラヒック量がレートリミット設定値Ｂより多くない場合、トラヒックポリシング切替判定フラグをオフに設定し（ステップ２１２）、ステップ２０７、２１２、２１３の処理終了後、ステップ２０５に戻り、ステップ２０５〜２０７、２１１〜２１３の処理を繰り返す。

ステップ２０３とステップ２０４の間で、トラヒックポリシング切替判定フラグがオンかどうかの判定を行い（ステップ２１４）、オンの場合、被攻撃ホスト宛て受信パケットに対して、レートリミット設定値Ｂの値に基づいてトラヒックポリシングを実行する（ステップ２１５）。ステップ２１４で、トラヒックポリシング切替判定フラグがオフの場合、ステップ２０４の処理を行う。ステップ２０４およびステップ２１５の終了後、ステップ２０２に戻り、ステップ２０２〜２０４、２１４〜２１５の処理を繰り返す。

なお、以上の本発明の第１〜第４の実施形態のいずれにおいても、前記トラヒック識別パラメータとして、受信回線情報、送信元ＩＰアドレスとサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、ＴｙｐｅｏｆＳｅｒｖｉｃｅ、ＴｏｔａｌＬｅｎｇｔｈ、ＴｉｍｅｔｏＬｉｖｅのいずれかおよびそれらの組合せを使用することができる。

なお、以上説明したフラッド攻撃防御装置の機能は、専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記録装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。

本発明の第１の実施形態によるフラッド攻撃防御装置の構成例を示す図である。第１の実施形態のフラッド攻撃防御装置によるフラッド攻撃防御処理手順の一例を示すフローチャートである。本発明の第２の実施形態のフラッド攻撃防御装置の構成例を示す図である。第２の実施形態によるフラッド攻撃防御装置によるフラッド攻撃防御処理手順の一例を示すフローチャートである。本発明の第３の実施形態によるフラッド攻撃防御装置の構成例を示す図である。第３の実施形態によるフラッド攻撃防御処理手順の一例を示すフローチャートである。本発明の第４の実施形態によるフラッド攻撃防御装置の構成例を示す図である。第４の実施形態のフラッド攻撃防御装置によるフラッド攻撃防御処理手順の一例を示すフローチャートである。

符号の説明

１Ａ、１Ｂ、１Ｃ、１Ｄフラッド攻撃防御装置
２通信ポート
３パケット送受信部
４トラヒック識別パラメータ値毎トラヒックポリシング部
５送信トラヒック量測定部
６レートリミット設定値更新部
７トラヒック識別パラメータ登録テーブル
８レートリミット設定値Ａ登録テーブル
９レートリミット設定値Ｂ登録テーブル
１０ネットワーク
１１被攻撃ホスト
１２〜１４攻撃ホスト
１５トラヒック識別パラメータ値毎受信トラヒック量測定部
１６攻撃トラヒック識別パラメータ値検出部
１７攻撃判定閾値登録テーブル
１８攻撃フロー数上限判定トラヒックポリシング切替部
１９全体トラヒックポリシング部
２０攻撃フロー数上限判定閾値登録テーブル
２１レートリミット設定値更新判定トラヒックポリシング切替部
１０１〜１０５、２０１〜２１５ステップ

Claims

通信ネットワークに接続された装置へのフラッド攻撃を防御する方法であって、
（ａ）指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、分類されたパケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信するステップと、
（ｂ）前記ステップ（ａ）により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定するステップと、
（ｃ）前記ステップ（ｂ）により測定された被攻撃ホスト宛て合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て合計送信トラヒックレートが、前記第２のレートリミット設定値より大きい場合、前記第１のレートリミット設定値を、現在の値より小さい値に更新するステップと
を有するフラッド攻撃防御方法。
通信ネットワークに接続された装置へのフラッド攻撃を防御する方法であって、
（ａ）指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に、受信パケットの受信トラヒックレートを測定するステップと、
（ｂ）前記ステップ（ａ）により測定された受信トラヒックレートを、指定された攻撃判定閾値と、指定されたトラヒック識別パラメータの値毎に比較し、その結果該受信トラヒックレートが該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求めるステップと、
（ｃ）前記ステップ（ｂ）により求められたトラヒック識別パラメータの値のいずれかにマッチする被攻撃ホスト宛てパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、該パケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信し、それ以外のパケットフローについては受信パケットをすべて送信するステップと、
（ｄ）前記ステップ（ｃ）により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定するステップと、
（ｅ）前記ステップ（ｄ）により測定された合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て合計送信トラヒックレートが前記第２のレートリミット設定値より大きい場合、前記第１のレートリミット設定値を、現在の値より小さい値に更新するステップと
を有するフラッド攻撃防御方法。
通信ネットワークに接続された装置へのフラッド攻撃を防御する方法であって、
（ａ）指定されたトラヒック識別パラメータの値に基づいて被攻撃ホスト宛てパケットを分類し、分類されたパケットフロー毎に、受信パケットの受信トラヒックレートを測定するステップと、
（ｂ）前記ステップ（ａ）により測定された受信トラヒックレートを、指定された攻撃判定閾値と、指定されたトラヒック識別パラメータの値毎に比較し、その結果該受信トラヒックレートが該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求めるステップと、
（ｃ）前記ステップ（ｂ）により求められたトラヒック識別パラメータの値の種類の数を、指定された攻撃フロー数上限判定閾値と比較するステップと、
（ｄ）前記ステップ（ｃ）による比較の結果、前記トラヒック識別パラメータの値の種類の数が前記攻撃フロー数上限判定閾値より小さい場合には、
（ｄ１）前記ステップ（ｂ）により求められたトラヒック識別パラメータの値のいずれかにマッチする被攻撃ホスト宛てパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、該パケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信し、それ以外のパケットフローについては受信パケットをすべて送信し、
（ｄ２）前記ステップ（ｄ１）により送信した被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定し、
（ｄ３）前記ステップ（ｄ２）により測定した合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て合計送信トラヒックレートが前記第２のレートリミット設定値より大きい場合、前記第１のレートリミット設定値を、現在の値より小さい値に更新する、
の各ステップ（ｄ１〜ｄ３）を順に実行するステップと、
（ｅ）前記ステップ（ｃ）による比較の結果、前記トラヒック識別パラメータの値の種類の数が前記攻撃フロー数上限判定閾値より大きい場合には、被攻撃ホスト宛て受信パケットのうち、受信パケットの受信トラヒックレートが、前記第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信するステップと
を有するフラッド攻撃防御方法。
前記第１のレートリミット設定値の値を０にした場合に、前記被攻撃ホスト宛て送信トラヒックレートを、前記第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、受信された被攻撃ホスト宛てパケットのうち、受信パケットの受信トラヒックレートが前記第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信するステップをさらに有する、請求項２に記載のフラッド攻撃防御方法。
前記トラヒック識別パラメータが、受信回線情報、送信元ＩＰアドレスとサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、ＴｙｐｅｏｆＳｅｒｖｉｃｅ、ＴｏｔａｌＬｅｎｇｔｈ、ＴｉｍｅｔｏＬｉｖｅのいずれかおよびそれらの組合せである、請求項１から４のいずれかに記載のフラッド攻撃防御方法。
通信ネットワークに接続された装置へのフラッド攻撃を防御する装置であって、
被攻撃ホスト宛てパケットを受信するパケット受信手段と、
前記パケット受信手段により受信された被攻撃ホスト宛てパケットを、指定されたトラヒック識別パラメータの値に基づいて分類し、分類されたパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、分類されたパケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信する個別トラヒックポリシング手段と、
前記個別トラヒックポリシング手段により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定する送信トラヒックレート測定手段と、
前記送信トラヒックレート測定手段により測定された合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、前記第１のレートリミット設定値を、現在の値より小さい値に更新するレートリミット設定値更新手段と
を有するフラッド攻撃防御装置。
通信ネットワークに接続された装置へのフラッド攻撃を防御する装置であって、
被攻撃ホスト宛てパケットを受信するパケット受信手段と、
前記パケット受信手段により受信された被攻撃ホスト宛てパケットを、指定されたトラヒック識別パラメータの値に基づいて分類し、分類されたパケットフロー毎に、受信パケットの受信トラヒックレートを測定する受信トラヒックレート測定手段と、
前記受信トラヒックレート測定手段により測定された受信トラヒックレートを、指定された攻撃判定閾値と、前記トラヒック識別パラメータの値毎に比較し、その結果該受信トラヒックレートが該攻撃判定閾値より大きくなるトラヒック識別パラメータの値をすべて求める攻撃トラヒック識別パラメータ値検出手段と、
前記攻撃トラヒック識別パラメータ値検出手段により求められたトラヒック識別パラメータの値のいずれかにマッチする被攻撃ホスト宛てパケットフロー毎に、受信パケットフローの受信トラヒックレートが、指定された第１のレートリミット設定値を超過している分のパケットを廃棄し、該パケットフロー毎に、該第１のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信し、それ以外のパケットフローについては受信パケットをすべて送信する個別限定トラヒックポリシング手段と、
前記個別限定トラヒックポリシング手段により送信された被攻撃ホスト宛てパケットの合計送信トラヒックレートを測定する送信トラヒックレート測定手段と、
前記送信トラヒックレート測定手段により測定された被攻撃ホスト宛て合計送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、第１のレートリミット設定値の値を、現在の値より小さい値に更新するレートリミット設定値更新手段と、
を有するフラッド攻撃防御装置。
前記パケット受信手段により受信された被攻撃ホスト宛てパケットに対し、該受信パケットの受信トラヒックレートが、指定された第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信する全体トラヒックポリシング手段と、
前記攻撃トラヒック識別パラメータ値検出手段により求められたトラヒック識別パラメータの値の種類の数を、指定された攻撃フロー数上限判定閾値と比較する攻撃フロー数上限判定手段と、
該トラヒック識別パラメータの値の種類の数が該攻撃フロー数上限判定閾値より大きい場合には、前記全体トラヒックポリシング手段によるトラヒックポリシングを実行し、該トラヒック識別パラメータの値の種類の数が該攻撃フロー数上限判定閾値より小さい場合には、前記個別限定トラヒックポリシング手段によるトラヒックポリシングを実行するトラヒックポリシング切替手段と
をさらに有する、請求項７に記載のフラッド攻撃防御装置。
前記第１のレートリミット設定値の値を０にした場合に、前記送信トラヒックレート測定手段により測定された被攻撃ホスト宛て送信トラヒックレートを、指定された第２のレートリミット設定値と比較し、該被攻撃ホスト宛て送信トラヒックレートが該第２のレートリミット設定値より大きい場合、前記パケット受信手段により受信された被攻撃ホスト宛てパケットに対し、受信パケットの受信トラヒックレートが、指定された第２のレートリミット設定値を超過している分のパケットを廃棄し、該第２のレートリミット設定値を超えない送信トラヒックレートで被攻撃ホスト宛てにパケットを送信する全体トラヒックポリシング手段をさらに有する、請求項７に記載のフラッド攻撃防御装置。
前記トラヒック識別パラメータが、受信回線情報、送信元ＩＰアドレスとサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、ＴｙｐｅｏｆＳｅｒｖｉｃｅ、ＴｏｔａｌＬｅｎｇｔｈ、ＴｉｍｅｔｏＬｉｖｅのいずれかおよびそれらの組合せである、請求項６から９のいずれかに記載のフラッド攻撃防御装置。