JP2006295240A - 通信装置及びアドレス変換装置並びにプログラム - Google Patents

Abstract

【課題】 ＮＡＴ装置を介したＤＤｏＳ攻撃対策を実現してネットワーク全体のトラヒックを低減することができる分散型サービス不能攻撃対策方法を提供する。
【解決手段】 Ｆｉｒｅｗａｌｌ装置２やルータ３ａ，３ｂ，６ａ，６ｂ，６ｃが、防御対象のサーバ１をＤＤｏＳ攻撃する端末４，７の送信データの伝送帯域を制限する廃棄フィルタの設定及び解除条件の暗号化データをＡＲＰパケットに組み込んだ偽装ＡＲＰパケットデータをやり取りし、暗号化データを復号してフィルタを設定し、ＮＡＴ装置５が、廃棄フィルタをサーバ１側でないネットワークＢに接続するルータ６ａ，６ｂ，６ｃに設定するにあたり、廃棄フィルタの設定及び解除条件に関する情報のアドレス情報をネットワークＢのアドレス体系に変換した偽装ＡＲＰパケットデータを生成して送信する。
【選択図】 図２

Description

この発明は、インターネットやＩＰ−ＶＰＮにおける分散型サービス不能攻撃対策処理を実行する通信装置及びアドレス変換装置並びにプログラムに関するものである。

従来のネットワークシステムにおけるＤＤｏＳ（Distributed Denial of Service）攻撃（以下、ＤＤｏＳ攻撃と略す）対策処理では、企業のＷｅｂサーバ等が悪意を持ったユーザの端末からＤＤｏＳ攻撃を受けると、例えばＦｉｒｅｗａｌｌ機能を有する通信装置（以下、Ｆｉｒｅｗａｌｌ装置と称す）で攻撃元のＩＰアドレスや使用ポート番号等のアドレス情報を検出する。そして、Ｆｉｒｅｗａｌｌ装置は、検出したアドレス情報に基づき廃棄フィルタを設定すると同時に、自装置のルーティング情報に基づいて隣接する上位ルータに対して廃棄フィルタ条件及びその解除条件を送出する。

隣接ルータでは、受信した廃棄フィルタの設定条件に基づき、自装置に廃棄フィルタを設定すると同時に、更に上位のルータへ廃棄フィルタ条件と解除条件を転送する。この処理を繰り返すことにより、攻撃元の端末を収容しているルータまで廃棄フィルタを設定する。最端のルータは、受信した廃棄フィルタ条件に基づき自装置がＤＤｏＳ攻撃者を収容していると判断すると、攻撃者に対策処理がなされたことを認知されないように廃棄フィルタ条件及びその解除条件を攻撃元の端末に転送しない。

このようにしてネットワーク上からＤＤｏＳ攻撃によるパケットを排除し、攻撃対象のサーバのみならず、ネットワーク全体の負荷をも低減している。このような従来のＤＤｏＳ攻撃対策処理は、例えば特許文献１に開示されている。

特開２００３−２８３５５４号

従来のＤＤｏＳ攻撃対策処理では、攻撃元からＮＡＴ（Network Address Translation）装置を介して防御対象のコンピュータが攻撃された場合、攻撃元の端末のアドレス情報がＮＡＴ装置により防御対象のコンピュータが接続する側のネットワークのアドレス情報に変換されるため、防御対象側のネットワーク内でＮＡＴ装置に隣接するルータは、自装置に収容している通信装置が、ＮＡＴ装置を介してＤＤｏＳ攻撃する端末であるのか、ＮＡＴ装置であるのかを判別できない。このため、ＮＡＴ装置に隣接するルータは、廃棄フィルタの設定及び解除条件を転送しない。これにより、ＮＡＴ装置よりも攻撃元の端末側のネットワークは、ＤＤｏＳ対策処理がなされず、ＤＤｏＳ攻撃パケットによる負荷で他の正規ユーザの端末でのトラヒックが影響を受けてしまうという課題があった。

また、従来では、自装置のルーティング情報に従って廃棄フィルタ条件及びその解除条件が転送されるので、ＮＡＴ装置とＤＤｏＳ攻撃先間の通信経路が非対称であると、ＮＡＴ装置よりも攻撃先側のネットワークであっても、ＤＤｏＳ攻撃対策処理が有効にならない場合がある。これにより、ＮＡＴ装置よりも攻撃先側のネットワークであっても、ＤＤｏＳ攻撃パケットによる負荷で他の正規ユーザのトラヒックが影響を受けるという課題があった。

この発明は、上記のような課題を解決するためになされたもので、ＮＡＴ装置などのアドレス変換装置を介したＤＤｏＳ攻撃対策を実現してネットワーク全体のトラヒックを低減することができる通信装置及びアドレス変換装置並びにプログラムを得ることを目的とする。

この発明に係る通信装置は、防御対象のコンピュータを分散型サービス不能攻撃する通信装置からの送信データの伝送帯域を制限するフィルタの設定及び解除条件に関する情報を生成するフィルタ情報生成部と、フィルタの設定及び解除条件に関する情報に基づき、フィルタを設定するフィルタリング制御部と、ネットワークに接続するアドレス変換装置を含む他の通信装置との間でフィルタの設定及び解除条件に関する情報をやり取りするフィルタ情報送受信部とを備えるものである。

この発明によれば、防御対象のコンピュータを分散型サービス不能攻撃する通信装置からの送信データの伝送帯域を制限するフィルタの設定及び解除条件に関する情報を生成するフィルタ情報生成部と、フィルタの設定及び解除条件に関する情報に基づき、フィルタを設定するフィルタリング制御部と、ネットワークに接続するアドレス変換装置を含む他の通信装置との間でフィルタの設定及び解除条件に関する情報をやり取りするフィルタ情報送受信部とを備えるので、アドレス変換装置においてもフィルタの設定及び解除条件に関する情報を取得できることから、アドレス体系の異なるネットワーク間におけるＤＤｏＳ攻撃対策を実現し、これらネットワーク全体のＤＤｏＳ攻撃に起因するトラヒックの増加を抑制することができるという効果がある。

実施の形態１．
図１は、この発明の実施の形態１による分散型サービス不能攻撃対策方法を適用したネットワークシステムを示す図である。図に示す例では、ＮＡＴ装置（アドレス変換装置）５を介して２つのネットワークＡ，Ｂが接続されており、ネットワークＡ内にＦｉｒｅｗａｌｌ装置（通信装置）２を介してサーバ装置（防御対象のコンピュータ）１が接続している。このネットワークＡでは、Ｆｉｒｅｗａｌｌ装置２からルータ（通信装置）３ａ，３ｂを経由してＮＡＴ装置５が接続されており、ルータ３ｂにはＮＡＴ装置５の他に端末４が収容されている。

この端末４は、ＤＤｏＳ攻撃元となる悪意ユーザの端末であり、ネットワークＡ内での接続関係上、ＮＡＴ装置５を介さずにサーバ１をＤＤｏＳ攻撃することができる。また、ネットワーク（他のネットワーク）Ｂには、ＮＡＴ装置５からルータ（通信装置）６ａ，６ｂ，６ｃが順に接続し、ルータ６ｃには端末７が収容されている。この端末７は、ＤＤｏＳ攻撃元となる悪意ユーザの端末であり、ネットワークＡ内でのサーバ１に対してＮＡＴ装置５を介したＤＤｏＳ攻撃を実行する。

図２は、実施の形態１によるＦｉｒｅｗａｌｌ装置の構成を示すブロック図である。図に示すように、Ｆｉｒｅｗａｌｌ装置２は、ＤＤｏＳ攻撃検出部８、廃棄／解除条件生成部（フィルタ情報生成部）９、フィルタリング制御部１０、ルーティングテーブル１１、暗号化部（暗号化部、フィルタ情報送受信部）１２、パディング制御部（フィルタ情報送受信部）１３、ヘッダ制御部（フィルタ情報送受信部）１４及び偽装ＡＲＰ生成部（パケット生成部、フィルタ情報送受信部）１５から構成される。ＤＤｏＳ攻撃検出部８は、通信トラヒックにおけるサーバ１へのデータを受信してそのＤＤｏＳパケットの有無を解析し、ＤＤｏＳ攻撃元のＩＰアドレスや使用ポート番号等のアドレス情報を検出する。廃棄／解除条件生成部９は、ＤＤｏＳ攻撃検出部８が検出した攻撃元のアドレス情報に基づき、当該アドレス情報で特定される攻撃元端末から送信されたデータを廃棄若しくはその伝送帯域を制限する廃棄フィルタの設定及びその解除条件に関する情報を生成する。

フィルタリング制御部１０は、廃棄／解除条件生成部９が生成した廃棄フィルタの設定及びその解除条件に基づいて自装置２に廃棄フィルタを設定する。ルーティングテーブル１１は、自装置２までのネットワーク上の通信経路をアドレス情報などで規定するルーティング情報を格納するテーブルであり、自装置２として機能するコンピュータのメモリ上に構築される。暗号化部１２は、廃棄／解除条件生成部９が生成した廃棄フィルタの設定及びその解除に関する情報を例えばＤＥＳ、３ＤＥＳなどで暗号化する。

パディング制御部１３は、ＡＲＰ（Address Resolution Protocol）リクエストのパディング部にデータを組み込む処理を実行する。例えば、通常のＡＲＰリクエスト送出時であれば、無効データを暗号化したデータをパディングデータとして埋め込んで送出する。ヘッダ制御部１４は、ルーティングテーブル１１のアドレス情報より特定された宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込む処理を実行する。偽装ＡＲＰ生成部１５は、暗号化部１２による暗号化情報をパディング制御部１３によりＡＲＰリクエストのパディング部にカプセリングさせ、ヘッダ制御部１４によりヘッダに宛先ＩＰアドレスを組み込んだ偽装ＡＲＰリクエストを生成しルータ３ａに送出する。

上述した、ＤＤｏＳ攻撃検出部８、廃棄／解除条件生成部９、フィルタリング制御部１０、暗号化部１２、パディング制御部１３、ヘッダ制御部１４及び偽装ＡＲＰ生成部１５は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませて、その動作を制御することにより、当該コンピュータ上に図２に示すＤＤｏＳ攻撃検出部８、廃棄／解除条件生成部９、フィルタリング制御部１０、暗号化部１２、パディング制御部１３、ヘッダ制御部１４及び偽装ＡＲＰ生成部１５としての機能を持たせることができる。また、ルーティングテーブル１１についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明のＦｉｒｅｗａｌｌ装置２を具現化するコンピュータ自体の構成及びその基本的な機能については、当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。また、Ｆｉｒｅｗａｌｌ装置２は、ネットワークＡ内における別個の通信装置として構成しても良く、サーバ１の１つの機能として設けても良い。

図３は、実施の形態１によるルータの構成を示すブロック図である。図に示すように、ルータ３ａ，３ｂ，６ａ，６ｂ，６ｃは、ＡＲＰ検出部（受信部、フィルタ情報送受信部）１６、パディング抽出部１７、復号化部（復号部、フィルタ情報送受信部）１８、廃棄／解除条件生成部（フィルタ情報生成部）１９、フィルタリング制御部２０、ルーティングテーブル２１、暗号化部（暗号化部、フィルタ情報送受信部）２２、パディング制御部（フィルタ情報送受信部）２３、ヘッダ制御部（フィルタ情報送受信部）２４及び偽装ＡＲＰ生成部（パケット生成部、フィルタ情報送受信部）２５から構成される。ＡＲＰ検出部１６は、自ルータが収容する通信装置からの転送データを受信して、通常のＡＲＰリクエストの他、Ｆｉｒｅｗａｌｌ装置２又は下位ルータからの偽装ＡＲＰリクエストを検出する。パディング抽出部１７は、ＡＲＰ検出部１６が検出した偽装ＡＲＰリクエストのパディング部からパディングデータを抽出する。復号化部１８は、Ｆｉｒｅｗａｌｌ装置２の暗号化部１２により暗号化されたデータを復号するための復号規則が設定されており、この復号規則に従ってパディングデータを復号する。

廃棄／解除条件生成部１９は、復号化部１８が復号したデータから廃棄フィルタの設定及び解除条件に関する情報を検出する。フィルタリング制御部２０は、廃棄／解除条件生成部１９が検出した廃棄フィルタの設定及び解除条件に関する情報に基づいて自ルータに廃棄フィルタを設定する。ルーティングテーブル２１は、自ルータまでのネットワーク上の通信経路をアドレス情報などで規定するルーティング情報を格納するテーブルであり、自ルータとして機能するコンピュータのメモリ上に構築される。暗号化部２２は、廃棄／解除条件生成部１９が検出した廃棄フィルタの設定及び解除条件に関する情報を例えばＤＥＳ、３ＤＥＳなどで暗号化する。

パディング制御部２３は、ＡＲＰリクエストのパディング部にデータを組み込む処理を実行する。ヘッダ制御部２４は、ルーティングテーブル２１のアドレス情報より特定された宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込む処理を実行する。偽装ＡＲＰ生成部２５は、暗号化部２２による暗号化情報をパディング制御部２３によりＡＲＰリクエストのパディング部にカプセリングさせ、ヘッダ制御部２４によりヘッダに宛先ＩＰアドレスを組み込んだ偽装ＡＲＰリクエストを生成し自ルータが収容する通信装置に送出する。

上述した、ＡＲＰ検出部１６、パディング抽出部１７、復号化部１８、廃棄／解除条件生成部１９、フィルタリング制御部２０、暗号化部２２、パディング制御部２３、ヘッダ制御部２４及び偽装ＡＲＰ生成部２５は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませて、その動作を制御することにより、当該コンピュータ上に図３に示すＡＲＰ検出部１６、パディング抽出部１７、復号化部１８、廃棄／解除条件生成部１９、フィルタリング制御部２０、暗号化部２２、パディング制御部２３、ヘッダ制御部２４及び偽装ＡＲＰ生成部２５としての機能を持たせることができる。また、ルーティングテーブル２１についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明のルータ３ａ，３ｂ，６ａ，６ｂ，６ｃを具現化するコンピュータ自体の構成及びその基本的な機能については、当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。

図４は、実施の形態１によるＮＡＴ装置の構成を示すブロック図である。図に示すように、ＮＡＴ装置５は、ＡＲＰ検出部（受信部）２６、パディング抽出部２７、復号化部２８、廃棄／解除条件生成部２９、アドレス変換部３０、ＮＡＴテーブル３１、攻撃側ＮＷ廃棄／解除条件生成部３２、フィルタリング制御部３３、ルーティングテーブル３４、暗号化部３５、パディング制御部３６、ヘッダ制御部３７及び偽装ＡＲＰ生成部（パケット生成部）３８から構成される。ＡＲＰ検出部２６は、下位ルータからの転送データを受信して通常のＡＲＰリクエストの他、下位ルータからの偽装ＡＲＰリクエストを検出する。パディング抽出部２７は、ＡＲＰ検出部２６が検出した偽装ＡＲＰリクエストのパディング部からパディングデータを抽出する。

復号化部２８は、パディング抽出部２７が抽出したパディングデータを復号する。廃棄／解除条件生成部２９は、復号化部２８が復号したデータから廃棄フィルタの設定及びその解除に関する情報を検出する。アドレス変換部３０は、ＮＡＴテーブル３１のＮＡＴ情報に基づき、廃棄／解除条件生成部２９が検出した廃棄フィルタの設定及び解除条件に関する情報中のアドレス情報のネットワークアドレス体系を変換する。ＮＡＴテーブル３１は、ネットワークＡ，Ｂ間でのアドレス情報の対応関係が記述をしたＮＡＴ情報が格納されている。攻撃側ＮＷ廃棄／解除条件生成部３２は、アドレス変換部３０によりＤＤｏＳ攻撃元のネットワークアドレス体系に変換された廃棄フィルタの設定及び解除条件に基づき、ＤＤｏＳ攻撃元側のネットワーク上の通信装置に設定するための廃棄フィルタの設定及び解除条件を生成する。

フィルタリング制御部３３は、攻撃側ＮＷ廃棄／解除条件生成部３２が生成した廃棄フィルタの設定及び解除条件に関する情報に基づいて自装置５に廃棄フィルタを設定する。ルーティングテーブル３４は、自装置５までのネットワーク上の通信経路をアドレス情報などで規定するルーティング情報を格納するテーブルであり、自装置５として機能するコンピュータのメモリ上に構築される。暗号化部３５は、攻撃側ＮＷ廃棄／解除条件生成部３２が生成した廃棄フィルタの設定及びその解除に関する情報を例えばＤＥＳ、３ＤＥＳなどで暗号化する。

パディング制御部３６は、ＡＲＰリクエストのパディング部にデータを組み込む処理を実行する。ヘッダ制御部３７は、ルーティングテーブル３４のアドレス情報より特定された宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込む処理を実行する。偽装ＡＲＰ生成部３８は、暗号化部３５による暗号化情報をパディング制御部３６によりＡＲＰリクエストのパディング部にカプセリングさせ、ヘッダ制御部３７によりヘッダに宛先ＩＰアドレスを組み込んだ偽装ＡＲＰリクエストを生成し下位ルータに送出する。

上述した、ＡＲＰ検出部２６、パディング抽出部２７、復号化部２８、廃棄／解除条件生成部２９、アドレス変換部３０、攻撃側ＮＷ廃棄／解除条件生成部３２、フィルタリング制御部３３、暗号化部３５、パディング制御部３６、ヘッダ制御部３７及び偽装ＡＲＰ生成部３８は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませてその動作を制御することにより、当該コンピュータ上に図４に示すＡＲＰ検出部２６、パディング抽出部２７、復号化部２８、廃棄／解除条件生成部２９、アドレス変換部３０、攻撃側ＮＷ廃棄／解除条件生成部３２、フィルタリング制御部３３、暗号化部３５、パディング制御部３６、ヘッダ制御部３７及び偽装ＡＲＰ生成部３８としての機能を持たせることができる。また、ＮＡＴテーブル３１及びルーティングテーブル３４についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明によるＮＡＴ装置５を具現化するコンピュータ自体の構成及びその基本的な機能については、当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。

次に動作について説明する。
図５は、実施の形態１のＦｉｒｅｗａｌｌ装置による動作を示すフローチャート、図６は、実施の形態１のルータによる動作を示すフローチャート、実施の形態１のＮＡＴ装置による動作を示すフローチャートであり、これらの図に沿って実施の形態１による分散型サービス不能攻撃対策方法を説明する。

先ず、ネットワークＡ内の端末４からサーバ１がＤＤｏＳ攻撃された場合を述べる。
Ｆｉｒｅｗａｌｌ装置２のＤＤｏＳ攻撃検出部８は、通信トラヒックからパケットデータを受信し、受信パケットが所定の攻撃検出条件に従うか否かを判定して、ＤＤｏＳ攻撃を検出する（図５のステップＳＴ１）。攻撃検出条件としては、ＤＤｏＳ攻撃パケットとして予め特定した例えばデータの属性や検出間隔などの情報が考えられる。この攻撃検出条件にトラヒックが一致した場合、このトラヒックの通信パケットはＤＤｏＳ攻撃パケットであると認識する。

ＤＤｏＳ攻撃パケットを検出すると、ＤＤｏＳ攻撃検出部８は、その内容を解析してＤＤｏＳ攻撃元の端末４のＩＰアドレスや使用ポート番号等のアドレス情報を検出する（図５のステップＳＴ２）。検出された攻撃元のアドレス情報は、ＤＤｏＳ攻撃検出部８から廃棄／解除条件生成部９に出力される。廃棄／解除条件生成部９では、ＤＤｏＳ攻撃検出部８が検出した攻撃元のアドレス情報を基にして、当該アドレス情報で特定される端末４からの通信データを廃棄若しくはその伝送帯域を制限するための廃棄フィルタの設定及び解除条件に関する情報を生成する（図５のステップＳＴ３）。

このあと、廃棄／解除条件生成部９は、生成した廃棄フィルタの設定及び解除条件に関する情報をフィルタリング制御部１０及び暗号化部１２に送出する。フィルタリング制御部１０では、この廃棄フィルタの設定及び解除条件に基づき、自装置２に廃棄フィルタを設定する（図５のステップＳＴ４）。

また、廃棄／解除条件生成部９は、ルーティングテーブル１１から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図５のステップＳＴ５）。暗号化部１２は、廃棄／解除条件生成部９から受信した廃棄フィルタの設定及び解除条件に関する情報をＤＥＳ、３ＤＥＳ等で暗号化してパディング制御部１３に送出する（図５のステップＳＴ６）。

なお、上位側ｎｅｘｔ ｈｏｐの通信装置は、フィリタリング対象の通信装置がネットワークに直接に接続しているときは、この通信装置自身であり、フィリタリング対象の通信装置がルータを介して間接的にネットワークに接続しているときは、当該装置に「最も近い」ネットワークに接続するルータである。例えば、フィリタリング対象の通信装置が自装置２直下のネットワーク上にある場合は、そのアドレスを宛て先アドレスとして決定する。

暗号化部１２により暗号化された廃棄フィルタの設定及び解除条件に関する情報は、暗号化部１２からパディング制御部１３に送出され、ルーティングテーブル１１を検索して決定された宛先ＩＰアドレスは、ヘッダ制御部１４に送出される。これにより、偽装ＡＲＰ生成部１５は、パディング制御部１３により廃棄フィルタの設定及び解除条件に関する情報をＡＲＰリクエストのパディング部に組み込むカプセリングを施し、ヘッダ制御部１４により宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込んで、通常のＡＲＰリクエストとデータ形態が同じで攻撃元の端末に対して偽装されたＡＲＰリクエストを生成する（図５のステップＳＴ７）。このようにして作成した偽装ＡＲＰリクエストは、偽装ＡＲＰ生成部１５から宛先ＩＰアドレスに対応したルータ３ａに送信される（図５のステップＳＴ８）。

Ｆｉｒｅｗａｌｌ装置２に隣接するルータ３ａのＡＲＰ検出部１６では、通常のＡＲＰリクエストの受信処理と同様にＦｉｒｅｗａｌｌ装置２からの偽装ＡＲＰリクエストのパケットデータを受信する（図６のステップＳＴ１ａ）。この偽装ＡＲＰリクエストに係るパケットデータは、ＡＲＰ検出部１６からパディング抽出部１７に出力される。パディング抽出部１７では、ＡＲＰ検出部１６から入力したパケットデータのパディング部に組み込まれた暗号データを抽出する（図６のステップＳＴ２ａ）。ＡＲＰ検出部１６が検出したＡＲＰリクエストが偽装ＡＲＰリクエストであれば、そのパディング部に組み込まれた暗号化された廃棄フィルタの設定及び解除条件に関する情報が抽出され、復号化部１８に出力される。

復号化部１８では、Ｆｉｒｅｗａｌｌ装置２の暗号化部１２により暗号化されたデータを復号するための復号規則（例えば、ＤＥＳ、３ＤＥＳによる暗号の復号規則）が設定されており、この復号規則に従ってパディング抽出部１７が抽出した暗号化データを復号して廃棄／解除条件生成部１９に出力する（図６のステップＳＴ３ａ）。廃棄／解除条件生成部１９では、復号データからＦｉｒｅｗａｌｌ装置２で生成された廃棄フィルタの設定及び解除条件に関する情報を検出する（図６のステップＳＴ４ａ）。このあと、廃棄／解除条件生成部１９は、検出した廃棄フィルタの設定及び解除条件に関する情報をフィルタリング制御部２０及び暗号化部２２に送出する。フィルタリング制御部２０では、廃棄フィルタの設定及び解除条件に基づき、端末４からのデータに対する廃棄フィルタを自装置３ａに設定する（図６のステップＳＴ５ａ）。

廃棄／解除条件生成部１９は、ルーティングテーブル２１から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図６のステップＳＴ６ａ）。ルーティングテーブル２１を検索して決定された宛先ＩＰアドレスは、ヘッダ制御部２４に送出される。暗号化部２２は、廃棄／解除条件生成部１９から受信した廃棄フィルタの設定及び解除条件に関する情報をＤＥＳ、３ＤＥＳ等で暗号化してパディング制御部２３に送出する（図６のステップＳＴ７ａ）。

偽装ＡＲＰ生成部２５は、パディング制御部２３により廃棄フィルタの設定及び解除条件に関する情報をＡＲＰリクエストのパディング部に組み込むカプセリングを施し、ヘッダ制御部２４により宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込んで、通常のＡＲＰリクエストとデータ形態が同じで攻撃元の端末に対して偽装されたＡＲＰリクエストを生成する（図６のステップＳＴ８ａ）。このようにして作成した偽装ＡＲＰリクエストは、偽装ＡＲＰ生成部２５から宛先ＩＰアドレスに対応したルータ３ｂに送信される（図６のステップＳＴ９ａ）。

ルータ３ｂでは、通常のＡＲＰリクエストの受信処理と同様に偽装ＡＲＰリクエストのパケットデータを受信すると、上述したステップＳＴ１ａからステップＳＴ９ａまでの処理を実行して、攻撃元の端末４に対して廃棄フィルタの設定及び解除条件に関する情報を暗号化しパディング部にカプセリングした偽装ＡＲＰリクエストを端末４及びＮＡＴ装置５に送信する。

攻撃元の端末４では、ルータ３ｂから偽装ＡＲＰリクエストを受信しても、廃棄フィルタの設定及び解除条件に関する情報がＡＲＰリクエストパケットに偽装されている上、暗号化されているため、通常のＡＲＰリクエストと判別できない。これにより、攻撃元の端末４は、ＤＤｏＳ攻撃対策処理がなされたことを認知することはない。

このように、ネットワークＡ上の端末４が攻撃元である場合、通常のＡＲＰリクエストと同様のデータ形態の偽装ＡＲＰリクエストに廃棄フィルタの設定及びその解除条件に関する情報の暗号化データをカプセリングして転送することで、偽装ＡＲＰリクエストの暗号化データを復号する復号化部を有するネットワークＡ内の通信装置間でＤＤｏＳ攻撃対策処理を有効にすることができる。

なお、ＮＡＴ装置５を介してネットワークＢ上の通信装置にも偽装ＡＲＰリクエストを転送し、端末４に対する廃棄フィルタを設定するようにしてもよい。この場合、後述するＮＡＴ装置５のアドレス変換部３０は、偽装ＡＲＰリクエストに組み込むべき廃棄フィルタの設定及びその解除条件に関する情報のアドレス情報を攻撃元側でないネットワークＢのアドレス体系に変換し、攻撃側ＮＷ廃棄／解除条件生成部３２がこのアドレス体系による廃棄フィルタの設定及びその解除条件に関する情報を生成する。

次に、ネットワークＢ内の端末７からＮＡＴ装置５を介してサーバ１がＤＤｏＳ攻撃された場合を述べる。
ネットワークＢ上の端末７からのＮＡＴ装置５を介したサーバ１へのＤＤｏＳ攻撃は、Ｆｉｒｅｗａｌｌ装置２のＤＤｏＳ攻撃検出部８により検出され、図５に示した処理に従って端末７のデータを廃棄若しくはその伝送帯域を制限するための廃棄フィルタの設定及び解除条件に関する情報の暗号化データがカプセリングされた偽装ＡＲＰリクエストが生成され、ルータ３ａに転送される。ルータ３ａ，３ｂでは、図６に示した処理に従って偽装ＡＲＰリクエストを生成してＮＡＴ装置５に転送する。

ＮＡＴ装置５のＡＲＰ検出部２６では、通常のＡＲＰリクエストの受信処理と同様に偽装ＡＲＰリクエストのパケットデータを受信する（図７のステップＳＴ１ｂ）。この偽装ＡＲＰリクエストに係るパケットデータは、ＡＲＰ検出部２６からパディング抽出部２７に出力される。パディング抽出部２７では、ＡＲＰ検出部２６から入力したパケットデータのパディング部に組み込まれた暗号データを抽出する（図７のステップＳＴ２ｂ）。ＡＲＰ検出部２６が検出したＡＲＰリクエストが偽装ＡＲＰリクエストであれば、そのパディング部に組み込まれた暗号化された廃棄フィルタの設定及び解除条件に関する情報が抽出され、復号化部２８に出力される。

復号化部２８では、ルータ３ｂの暗号化部２２により暗号化されたデータを復号するための復号規則（例えば、ＤＥＳ、３ＤＥＳによる暗号の復号規則）が設定されており、パディング抽出部２７が抽出した暗号化データを復号して廃棄／解除条件生成部２９に出力する（図７のステップＳＴ３ｂ）。廃棄／解除条件生成部２９では、復号データから廃棄フィルタの設定及び解除条件に関する情報を検出する（図７のステップＳＴ４ｂ）。このあと、廃棄／解除条件生成部２９は、検出した廃棄フィルタの設定及び解除条件に関する情報をアドレス変換部３０に送出する。

アドレス変換部３０は、ＮＡＴテーブル３１のＮＡＴ情報に基づき、廃棄／解除条件生成部２９が検出した廃棄フィルタの設定及び解除条件に関する情報中のアドレス情報を、攻撃元の端末７が存在するネットワークＢのアドレス体系に変換する（図７のステップＳＴ５ｂ）。この変換情報は、アドレス変換部３０から攻撃側ＮＷ廃棄／解除条件生成部３２に送出される。攻撃側ＮＷ廃棄／解除条件生成部３２では、アドレス変換部３０によりネットワークＡからネットワークＢにアドレス体系が変換された廃棄フィルタの設定及び解除条件に基づき、ネットワークＢ上の通信装置に設定するための廃棄フィルタの設定及び解除条件を生成する（図７のステップＳＴ６ｂ）。

フィルタリング制御部３３では、攻撃側ＮＷ廃棄／解除条件生成部３２からの廃棄フィルタの設定及び解除条件に基づき、端末７からのデータに対する廃棄フィルタを自装置５に設定する（図７のステップＳＴ７ｂ）。廃棄／解除条件生成部２９は、ルーティングテーブル３４から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図７のステップＳＴ８ｂ）。ルーティングテーブル３４を検索して決定された宛先ＩＰアドレスは、ヘッダ制御部３７に送出される。暗号化部３５は、廃棄／解除条件生成部２９から受信した廃棄フィルタの設定及び解除条件に関する情報をＤＥＳ、３ＤＥＳ等で暗号化してパディング制御部３６に送出する（図７のステップＳＴ９ｂ）。

偽装ＡＲＰ生成部３８は、パディング制御部３６により廃棄フィルタの設定及び解除条件に関する情報をＡＲＰリクエストのパディング部に組み込むカプセリングを施し、ヘッダ制御部３７により宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込んで、通常のＡＲＰリクエストとデータ形態が同じで攻撃元の端末に対して偽装されたＡＲＰリクエストを生成する（図７のステップＳＴ１０ｂ）。このようにして作成した偽装ＡＲＰリクエストは、偽装ＡＲＰ生成部３８から宛先ＩＰアドレスに対応したネットワークＢ上のルータ６ａに送信される（図７のステップＳＴ１１ｂ）。

以降、ルータ３ａ，３ｂと同様の処理をルータ６ａ，６ｂ，６ｃで実行する。これにより、ネットワークＢ内の端末７からＮＡＴ装置５を介してサーバ１がＤＤｏＳ攻撃された場合であっても、ネットワークＡ，Ｂ上の通信装置に廃棄フィルタを設定してＤＤｏＳ攻撃対策を有効にすることができる。また、Ｆｉｒｅｗａｌｌ装置２、ルータ３ａ，３ｂ、ＮＡＴ装置５、ルータ６ａ，６ｂ，６ｃは、偽装ＡＲＰリクエストを媒介として設定された解除条件を満足した場合は設定した廃棄フィルタを解除する。

以上のように、この実施の形態１によれば、Ｆｉｒｅｗａｌｌ装置２やルータ３ａ，３ｂ，６ａ，６ｂ，６ｃが、防御対象のサーバ１をＤＤｏＳ攻撃する端末４，７の送信データの伝送帯域を制限する廃棄フィルタの設定及び解除条件の暗号化データをＡＲＰパケットに組み込んだ偽装ＡＲＰパケットデータをやり取りし、暗号化データを復号してフィルタを設定し、ＮＡＴ装置５が、廃棄フィルタをサーバ１側でないネットワークＢに接続するルータ６ａ，６ｂ，６ｃに設定するにあたり、廃棄フィルタの設定及び解除条件に関する情報のアドレス情報をネットワークＢのアドレス体系に変換した偽装ＡＲＰパケットデータを生成して送信するので、攻撃対象のサーバ１が存在するネットワークＡ内の端末４がＤＤｏＳ攻撃元である場合、ＤＤｏＳ攻撃対策処理がなされたことを認知させず、これを有効にすることができる。また、ＮＡＴ装置５を介したネットワークＢ上にある端末７がＤＤｏＳ攻撃元である場合であっても、ＮＡＴ装置５を越えてネットワークＢのルータ６ａ，６ｂ，６ｃに廃棄フィルタの設定及び解除条件を転送可能となり、ネットワークＢ上からも端末７からのＤＤｏＳ攻撃パケットを排除することができる。これにより、ＤＤｏＳ攻撃対策を実現してネットワーク全体のトラヒックを低減することができ、これらの負荷を下げることが可能となる。

なお、上記実施の形態１では、ネットワークＡ上の端末４によるＤＤｏＳ攻撃とネットワークＢ上の端末７によるＤＤｏＳ攻撃とが別個にされる場合を説明したが、両ネットワークの攻撃元端末が同時にＤＤｏＳ攻撃を実行した場合であっても、上述した偽装ＡＲＰリクエストによる廃棄フィルタの設定をネットワークＡ，Ｂで施すことでＤＤｏＳ攻撃対策処理を有効化することができる。

実施の形態２．
上記実施の形態１では、廃棄フィルタの設定及び解除条件を暗号化した後、ＡＲＰリクエストパケットにカプセリングして上位ルータへ転送することによりＤＤｏＳ攻撃対策を実施する例を示したが、ネットワーク内の全ての通信装置に対して廃棄フィルタに関する情報の暗号化及び復号処理が必要となる。このため、暗号化及び復号処理機能が必須な高価な機器が必要であったり、暗号化及び復号処理を全ての通信装置で行うためにネットワーク全体の処理性能が落ちる場合がある。

そこで、本実施の形態２では、ＮＡＴ装置５からのＡＲＰリクエストパケット及びＡＲＰリプライパケットのパディング領域にＮＡＴ装置５からであることを示すコードを埋め込むことにより、ルータ３ｂにＮＡＴ装置のアドレスを認識させる。通信装置間の廃棄フィルタの設定及び解除条件は、暗号化せずにＳＮＭＰ（Simple Network Management Protocol）プロトコルなどで転送する。ＮＡＴ装置５に隣接するルータ３ｂは、廃棄フィルタの設定及び解除条件に関する情報のアドレスがＮＡＴ装置５宛のものであるときのみ、当該情報をＮＡＴ装置５に送出する（廃棄フィルタの設定及び解除条件のアドレスが、ＮＡＴ装置５のものでなければ何も送出しない）。

図８は、この発明の実施の形態２による分散型サービス不能攻撃対策方法を適用したネットワークシステムを示す図である。図８に示す例は、上記実施の形態１で説明した図１と同様に、ＮＡＴ装置５を介して２つのネットワークＡ，Ｂが接続されており、ネットワークＡ内にＦｉｒｅｗａｌｌ装置（通信装置）２を介してサーバ装置（防御対象のコンピュータ）１が接続している。このネットワークＡでは、Ｆｉｒｅｗａｌｌ装置２からルータ（通信装置）３ａ，３ｂを経由してＮＡＴ装置５が接続されており、ルータ３ｂにはＮＡＴ装置５の他に端末４が収容されている。また、ネットワーク（他のネットワーク）Ｂには、ＮＡＴ装置５からルータ（通信装置）６ａ，６ｂ，６ｃが順に接続し、ルータ６ｃには端末７が収容されている。

図９は、実施の形態２によるＦｉｒｅｗａｌｌ装置の構成を示すブロック図である。図に示すように、Ｆｉｒｅｗａｌｌ装置２は、ＤＤｏＳ攻撃検出部３９、廃棄／解除条件生成部（フィルタ情報生成部）４０、フィルタリング制御部４１、ルーティングテーブル４２、ヘッダ制御部４３及び廃棄／解除条件通報パケット生成部（フィルタ情報通報部、フィルタ情報送受信部）４４から構成される。ＤＤｏＳ攻撃検出部３９は、上記実施の形態１と同様に通信トラヒックにおけるサーバ１へのデータを受信してそのＤＤｏＳパケットの有無を解析し、ＤＤｏＳ攻撃元のＩＰアドレスや使用ポート番号等のアドレス情報を検出する。廃棄／解除条件生成部４０は、ＤＤｏＳ攻撃検出部３９が検出した攻撃元のアドレス情報に基づき、当該アドレス情報で特定される攻撃元端末から送信されたデータを廃棄若しくはその伝送帯域を制限するための廃棄フィルタの設定及び解除条件に関する情報を生成する。

フィルタリング制御部４１は、廃棄／解除条件生成部４０が生成した廃棄フィルタの設定及びその解除条件に基づいて自装置２に廃棄フィルタを設定する。ルーティングテーブル４２は、自装置２までのネットワーク上の通信経路をアドレス情報などで規定するルーティング情報を格納するテーブルであり、自装置２として機能するコンピュータのメモリ上に構築される。ヘッダ制御部４３は、ルーティングテーブル４２のアドレス情報より特定された宛先ＩＰアドレスを、廃棄／解除条件通報パケット生成部４４が生成する廃棄／解除条件通報パケットのヘッダに組み込む処理を実行する。廃棄／解除条件通報パケット生成部４４は、廃棄／解除条件生成部４０が生成した廃棄フィルタの設定及び解除条件に関する情報をＳＮＭＰプロトコルなどで表した廃棄／解除条件通報パケットを生成する。

上述した、Ｆｉｒｅｗａｌｌ装置２は、ＤＤｏＳ攻撃検出部３９、廃棄／解除条件生成部４０、フィルタリング制御部４１、ヘッダ制御部４３及び廃棄／解除条件通報パケット生成部４４は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませてその動作を制御することにより、当該コンピュータ上に図９に示すＦｉｒｅｗａｌｌ装置２は、ＤＤｏＳ攻撃検出部３９、廃棄／解除条件生成部４０、フィルタリング制御部４１、ヘッダ制御部４３及び廃棄／解除条件通報パケット生成部４４としての機能を持たせることができる。また、ルーティングテーブル４２についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明のＦｉｒｅｗａｌｌ装置２を具現化するコンピュータ自体の構成及びその基本的な機能については、当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。また、Ｆｉｒｅｗａｌｌ装置２は、ネットワークＡ内における別個の通信装置として構成しても良く、サーバ１の１つの機能として設けても良い。

図１０は、実施の形態２によるルータの構成を示すブロック図であり、攻撃対象となるサーバ１側のネットワークＡ上でＮＡＴ装置５に隣接するルータ３ｂを除く、ルータ３ａ，６ａ，６ｂ，６ｃの構成を示している。図に示すように、ルータ３ａ，６ａ，６ｂ，６ｃは、廃棄／解除条件通報パケット受信部４５、廃棄／解除条件生成部（フィルタ情報生成部）４６、フィルタリング制御部４７、ルーティングテーブル４８、ヘッダ制御部４９及び廃棄／解除条件通報パケット生成部（フィルタ情報通報部）５０から構成される。廃棄／解除条件通報パケット受信部４５は、自ルータが収容する通信装置からのパケットデータを受信する。廃棄／解除条件生成部４６は、パケット受信部４５が受信したパケットから廃棄フィルタの設定及びその解除に関する情報を検出する。

フィルタリング制御部４７は、廃棄／解除条件生成部４６が検出した廃棄フィルタの設定及びその解除条件に基づいて自ルータに廃棄フィルタを設定する。ルーティングテーブル４８は、自ルータまでのネットワーク上の通信経路をアドレス情報などで規定するルーティング情報を格納するテーブルであり、自ルータとして機能するコンピュータのメモリ上に構築される。ヘッダ制御部４９は、ルーティングテーブル４８のアドレス情報より特定された宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込む処理を実行する。廃棄／解除条件通報パケット生成部５０は、廃棄／解除条件生成部４６からの情報をＳＮＭＰプロトコル等によりヘッダ制御部４９がヘッダに宛先ＩＰアドレスを組み込んだ廃棄／解除条件通報パケットを生成し自ルータが収容する通信装置に送出する。

上述した、廃棄／解除条件通報パケット受信部４５、廃棄／解除条件生成部４６、フィルタリング制御部４７、ヘッダ制御部４９及び廃棄／解除条件通報パケット生成部５０は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませて、その動作を制御することにより、当該コンピュータ上に図１０に示す廃棄／解除条件通報パケット受信部４５、廃棄／解除条件生成部４６、フィルタリング制御部４７、ヘッダ制御部４９及び廃棄／解除条件通報パケット生成部５０としての機能を持たせることができる。また、ルーティングテーブル４８についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明のルータ３ａ，６ａ，６ｂ，６ｃを具現化するコンピュータ自体の構成及びその基本的な機能については、当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。

図１１は、実施の形態２によるルータの構成を示すブロック図であり、攻撃対象のサーバ１側のネットワークＡ上でＮＡＴ装置５に隣接するルータ３ｂの構成を示している。図に示すように、ルータ３ｂは、廃棄／解除条件通報パケット受信部４５、廃棄／解除条件検出部５１、ＡＲＰ受信部（受信部）５２、復号部５３、装置種別コード検出部５５、装置種別テーブル５６、フィルタリング制御部５７、廃棄／解除条件生成部（フィルタ情報生成部）５８、ルーティングテーブル５９、ヘッダ制御部６０及び廃棄／解除条件通報パケット生成部（フィルタ情報通報部）６１から構成される。廃棄／解除条件通報パケット受信部４５は、自ルータが収容する通信装置からのパケットデータを受信する。廃棄／解除条件検出部５１は、パケット受信部４５が受信したパケットから廃棄フィルタの設定及びその解除に関する情報を検出する。

ＡＲＰ受信部５２は、自ルータが収容する通信装置からの転送データを受信して、通常のＡＲＰリクエストの他、ＮＡＴ装置５からの偽装ＡＲＰリクエストを検出する。復号部５３は、ＮＡＴ装置５の暗号化部６９により暗号化されたデータを復号するための復号規則が設定されており、この復号規則に従って偽装ＡＲＰリクエストのパディングデータを復号する。装置種別コード検出部５５は、復号部５３により復号された偽装ＡＲＰリクエストのパディングデータから対向装置の装置種別に関する情報を検出する。装置種別テーブル５６は、ＮＡＴ装置５のＩＰアドレスが格納されるテーブルであって、対向装置種別がＮＡＴ装置の場合に偽装ＡＲＰリクエストから検出された対向装置のＩＰアドレスが登録される。フィルタリング制御部５７は、廃棄／解除条件検出部５１が検出した廃棄フィルタの設定及びその解除条件に基づいて自ルータに廃棄フィルタを設定する。

廃棄／解除条件生成部５８は、廃棄／解除条件検出部５１が検出した廃棄フィルタの設定及びその解除条件に基づいてルーテイングテーブル５９を検索し、上位ｎｅｘｔ ｈｏｐアドレス宛ての廃棄フィルタの設定／解除条件に関する情報を生成する。ルーティングテーブル５９は、自ルータまでのネットワーク上の通信経路をアドレス情報で規定するルーティング情報を格納するテーブルであり、自ルータとして機能するコンピュータのメモリ上に構築される。ヘッダ制御部６０は、ルーティングテーブル５９のアドレス情報より特定された宛先ＩＰアドレスをＡＲＰリクエストのヘッダに組み込む処理を実行する。廃棄／解除条件通報パケット生成部６１は、廃棄／解除条件生成部５８からの情報をパディング領域に埋め込み、ヘッダ制御部６０によりヘッダに宛先ＩＰアドレスを組み込んだ廃棄／解除条件通報パケットを生成して自ルータが収容する通信装置に送出する。
廃棄／解除条件通報パケットにより受信した廃棄／解除情報が、自装置に直接収容しているアドレス情報で装置種別テーブルに登録されている場合、ＮＡＴ装置とみなし、廃棄／解除条件通報パケットを転送するが、装置種別登録テーブルに登録されていない場合はＤＤｏＳ攻撃者とみなし何も転送しない。

上述した、廃棄／解除条件通報パケット受信部４５、廃棄／解除条件検出部５１、ＡＲＰ受信部５２、復号部５３、装置種別コード検出部５５、フィルタリング制御部５７、廃棄／解除条件生成部５８、ヘッダ制御部６０及び廃棄／解除条件通報パケット生成部６１は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませて、その動作を制御することにより、当該コンピュータ上に図１１に示す廃棄／解除条件通報パケット受信部４５、廃棄／解除条件検出部５１、ＡＲＰ受信部５２、復号部５３、装置種別コード検出部５５、フィルタリング制御部５７、廃棄／解除条件生成部５８、ヘッダ制御部６０及び廃棄／解除条件通報パケット生成部６１としての機能を持たせることができる。また、装置種別テーブル５６及びルーティングテーブル５９についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明のルータ３ｂを具現化するコンピュータ自体の構成及びその基本的な機能については、当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。

図１２は、実施の形態２によるＮＡＴ装置の構成を示すブロック図である。図に示すように、ＮＡＴ装置５は、廃棄／解除条件通報パケット受信部６２、廃棄／解除条件検出部６３、アドレス変換部６４、攻撃側ＮＷ廃棄／解除条件生成部（フィルタ情報生成部）６５、ＮＡＴテーブル６６、ルーティングテーブル６７、装置種別コード生成部６８、暗号化部６９、偽装ＡＲＰ生成部７０、フィルタリング制御部７１、ヘッダ制御部７２及び廃棄／解除条件通報パケット生成部（フィルタ情報通報部）７３から構成される。廃棄／解除条件通報パケット受信部６２は、自装置５が収容する通信装置からのパケットデータを受信する。廃棄／解除条件検出部６３は、パケット受信部６２が受信したパケットから廃棄フィルタの設定及びその解除に関する情報を検出する。アドレス変換部６４は、ＮＡＴテーブル６６のＮＡＴ情報に基づき、廃棄／解除条件検出部６３が検出した廃棄フィルタの設定及び解除条件に関する情報中のアドレス情報のネットワークアドレス体系を変換する。

攻撃側ＮＷ廃棄／解除条件生成部６５は、アドレス変換部６４によりＤＤｏＳ攻撃元のネットワークアドレス体系に変換された廃棄フィルタの設定及びその解除条件に基づき、ＤＤｏＳ攻撃元側のネットワーク上の通信装置に設定するための廃棄フィルタの設定及び解除条件を生成する。ＮＡＴテーブル６６は、ネットワークＡ，Ｂ間でのアドレス情報の対応関係が記述をしたＮＡＴ情報が格納されている。ルーティングテーブル６７は、自装置５までのネットワーク上の通信経路をアドレス情報などで規定するルーティング情報を格納するテーブルであり、自装置５として機能するコンピュータのメモリ上に構築される。装置種別コード生成部６８は、自装置５に対するＡＲＰリクエストを受信すると、自装置５である旨を識別する装置種別コードを生成する。

暗号化部６９は、装置種別コード生成部６８が生成した自装置５を識別させるための装置種別コードを例えばＤＥＳ、３ＤＥＳなどで暗号化する。偽装ＡＲＰ生成部７０は、暗号化部６９により暗号化された装置種別コードをＡＲＰリクエストパケット及びＡＲＰリプライパケットのパディング部にカプセリングして下位ルータへ送出する。フィルタリング制御部７１は、攻撃側ＮＷ廃棄／解除条件生成部６５が生成した廃棄フィルタの設定及びその解除条件に基づいて自装置５に廃棄フィルタを設定する。

ヘッダ制御部７２は、ルーティングテーブル６７のアドレス情報より特定された宛先ＩＰアドレスをＡＲＰリクエストパケット又はＡＲＰリプライパケットのヘッダに組み込む処理を実行する。廃棄／解除条件通報パケット生成部７３は、攻撃側ＮＷ廃棄／解除条件生成部６５からの情報をパディング領域に埋め込み、ヘッダ制御部７２によりヘッダに宛先ＩＰアドレスを組み込んだ廃棄／解除条件通報パケットを生成して自ルータが収容する通信装置に送出する。

上述した、廃棄／解除条件通報パケット受信部６２、廃棄／解除条件検出部６３、アドレス変換部６４、攻撃側ＮＷ廃棄／解除条件生成部６５、装置種別コード生成部６８、暗号化部６９、偽装ＡＲＰ生成部７０、フィルタリング制御部７１、ヘッダ制御部７２及び廃棄／解除条件通報パケット生成部７３は、例えば外部装置と通信する機能を搭載したコンピュータに、本発明に従う分散型サービス不能攻撃対策プログラムを実行させることで具現化することができる。

つまり、本発明に従う分散型サービス不能攻撃対策プログラムを上記コンピュータに読み込ませてその動作を制御することにより、当該コンピュータ上に図１２に示す廃棄／解除条件通報パケット受信部６２、廃棄／解除条件検出部６３、アドレス変換部６４、攻撃側ＮＷ廃棄／解除条件生成部６５、装置種別コード生成部６８、暗号化部６９、偽装ＡＲＰ生成部７０、フィルタリング制御部７１、ヘッダ制御部７２及び廃棄／解除条件通報パケット生成部７３としての機能を持たせることができる。また、ＮＡＴテーブル６６及びルーティングテーブル６７についても、上記コンピュータに装備されたハードディスクなどの記憶装置上に構成することができる。

なお、以下の説明において、本発明のＮＡＴ装置５を具現化するコンピュータ自体の構成及びその基本的な機能については当業者が当該技術分野の技術常識に基づいて容易に認識できるものであり、本発明の本質に直接関わるものでないので詳細な記載を省略する。

次に動作について説明する。
図１３は図９中のＦｉｒｅｗａｌｌ装置の動作を示すフローチャート、図１４は図１０中のルータの動作を示すフローチャート、図１５は図１１中のルータの動作を示すフローチャート、図１６は図１２中のＮＡＴ装置による動作を示すフローチャートであり、これらの図に沿って実施の形態２による分散型サービス不能攻撃対策方法を説明する。

先ず、ネットワークＡ内の端末４からサーバ１がＤＤｏＳ攻撃された場合を述べる。
Ｆｉｒｅｗａｌｌ装置２のＤＤｏＳ攻撃検出部３９は、通信トラヒックからパケットデータを受信し、受信パケットが所定の攻撃検出条件に従うか否かを判定して、ＤＤｏＳ攻撃を検出する（図１３のステップＳＴ１ｃ）。攻撃検出条件としては、ＤＤｏＳ攻撃パケットとして予め特定した例えばデータの属性や検出間隔などの情報が考えられる。この攻撃検出条件にトラヒックが一致した場合、このトラヒックの通信パケットはＤＤｏＳ攻撃パケットであると認識する。

ＤＤｏＳ攻撃パケットを検出すると、ＤＤｏＳ攻撃検出部３９は、その内容を解析してＤＤｏＳ攻撃元の端末４のＩＰアドレスや使用ポート番号等のアドレス情報を検出する（図１３のステップＳＴ２ｃ）。検出された攻撃元のアドレス情報は、ＤＤｏＳ攻撃検出部３９から廃棄／解除条件生成部４０に出力される。廃棄／解除条件生成部４０では、ＤＤｏＳ攻撃検出部３９が検出した攻撃元のアドレス情報を基にして、当該アドレス情報で特定される端末４からの通信データを廃棄若しくはその伝送帯域を制限するための廃棄フィルタの設定及び解除条件に関する情報を生成する（図１３のステップＳＴ３ｃ）。

このあと、廃棄／解除条件生成部４０は、生成した廃棄フィルタの設定及び解除条件に関する情報をフィルタリング制御部４１及び廃棄／解除条件通報パケット生成部４４に送出する。フィルタリング制御部４１では、この廃棄フィルタの設定及び解除条件に基づき、自装置２に廃棄フィルタを設定する（図１３のステップＳＴ４ｃ）。

また、廃棄／解除条件生成部４０は、ルーティングテーブル４２から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図１３のステップＳＴ５ｃ）。なお、上位側ｎｅｘｔ ｈｏｐの通信装置は、フィリタリング対象の通信装置がネットワークに直接に接続しているときは、この通信装置自身であり、フィリタリング対象の通信装置がルータを介して間接的にネットワークに接続しているときは、当該装置に「最も近い」ネットワークに接続するルータである。

例えば、フィリタリング対象の通信装置が自装置２直下のネットワーク上にある場合は、そのアドレスを宛て先アドレスとして決定する。ルーティングテーブル４２を検索して決定された宛先ＩＰアドレスは、ヘッダ制御部４３に送出される。

廃棄／解除条件通報パケット生成部４４は、ヘッダ制御部４３により宛先ＩＰアドレスをヘッダに組み込み、廃棄／解除条件生成部４０からの廃棄フィルタの設定及び解除条件に関する情報を、暗号化せずに、ＳＮＭＰプロトコルなどのＴＣＰ／ＩＰネットワーク環境下における通常の管理プロトコルで表した廃棄／解除条件通報パケットを生成する（図１３のステップＳＴ６ｃ）。この廃棄／解除条件通報パケットは、廃棄／解除条件通報パケット生成部４４から宛先ＩＰアドレスに対応したルータ３ａに送信される（図１３のステップＳＴ７ｃ）。

Ｆｉｒｅｗａｌｌ装置２に隣接するルータ３ａの廃棄／解除条件通報パケット受信部４５では、通常のパケットデータ受信処理と同様にＦｉｒｅｗａｌｌ装置２からの廃棄／解除条件通報パケットデータを受信する（図１４のステップＳＴ１ｄ）。廃棄／解除条件生成部４６では、パケット受信部４５から入力したＳＮＭＰプロトコルのパケットデータから廃棄フィルタの設定及び解除条件に関する情報を抽出する。このあと、廃棄／解除条件生成部４６は、廃棄フィルタの設定及びその解除条件に関する情報をフィルタリング制御部４７及び廃棄／解除条件通報パケット生成部５０に送出する。フィルタリング制御部４７では、廃棄フィルタの設定及び解除条件に基づき、端末４からのデータに対する廃棄フィルタを自装置３ａに設定する（図１４のステップＳＴ２ｄ）。

廃棄／解除条件生成部４６は、ルーティングテーブル４８から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図１４のステップＳＴ３ｄ）。ルーティングテーブル４８を検索して決定された宛先ＩＰアドレスは、ヘッダ制御部４９に送出される。廃棄／解除条件通報パケット生成部５０は、ヘッダ制御部４９により宛先ＩＰアドレスをヘッダに組み込み、廃棄／解除条件生成部４６からの廃棄フィルタの設定及び解除条件に関する情報を、暗号化せずに、ＳＮＭＰプロトコルなどのＴＣＰ／ＩＰネットワーク環境下における通常の管理プロトコルで表した廃棄／解除条件通報パケットを生成する（図１４のステップＳＴ４ｄ）。この廃棄／解除条件通報パケットは、廃棄／解除条件通報パケット生成部５０から宛先ＩＰアドレスに対応したルータ３ｂに送信される（図１４のステップＳＴ５ｄ）。

サーバ１側のネットワークＡ上でＮＡＴ装置５に隣接するルータ３ｂの廃棄／解除条件通報パケット受信部４５は、通常のパケットデータ受信処理と同様にルータ３ａからの廃棄／解除条件通報パケットデータを受信する（図１５のステップＳＴ１ｅ）。廃棄／解除条件検出部５１では、パケット受信部４５から入力したＳＮＭＰプロトコルのパケットデータから廃棄フィルタの設定及び解除条件に関する情報を検出する。このあと、廃棄／解除条件検出部５１は、廃棄フィルタの設定及びその解除条件に関する情報をフィルタリング制御部５７及び廃棄／解除条件生成部５８に送出する。フィルタリング制御部５７では、廃棄フィルタの設定及び解除条件に基づき、端末４からのデータに対する廃棄フィルタを自装置３ｂに設定する（図１５のステップＳＴ２ｅ）。

ＡＲＰ受信部５２では、通常のＡＲＰの受信処理と同様にＮＡＴ装置５からの偽装ＡＲＰのパケットデータを受信する（図１５のステップＳＴ３ｅ）。このあと、ＡＲＰ受信部５２は、受信した偽装ＡＲＰのパケットデータのパディング部に組み込まれた暗号データを検出する（図１５のステップＳＴ４ｅ）。復号部５３には、ＮＡＴ装置５の暗号化部６９により暗号化されたデータを復号するための復号規則（例えば、ＤＥＳ、３ＤＥＳによる暗号の復号規則）が設定されており、この復号規則に従ってＡＲＰ受信部５２が抽出した暗号化データを復号する（図１５のステップＳＴ５ｅ）。

装置種別コード検出部５５では、復号データからＮＡＴ装置５で生成された装置種別コードを検出する（図１５のステップＳＴ６ｅ）。このとき、対向装置の装置種別としてＮＡＴ装置５の装置種別コードが検出されると、装置種別コード検出部５５は、この装置種別コードが組み込まれていた偽装ＡＲＰからその対向装置（ＮＡＴ装置５）のＩＰアドレスを検出して装置種別テーブル５６に登録する（図１５のステップＳＴ７ｅ）。なお、この装置種別テーブル５６の具体例としては、通常のＡＲＰテーブルにＮＡＴ装置５を識別する情報を追加する等が挙げられる。

また、廃棄／解除条件検出部５１は、ステップＳＴ１ｅで廃棄フィルタの設定及び解除条件に関する情報を検出すると、装置種別テーブル５６を検索して対向装置がＮＡＴ装置５であるか否かを判定する（図１５のステップＳＴ８ｅ）。このとき、廃棄／解除条件の通報対象である対向装置のアドレスがＮＡＴ装置５でない場合、廃棄／解除条件生成部５８は、対向装置がＤＤｏＳ攻撃者と判断してＤＤｏＳ攻撃対策がなされたことを認知させないために廃棄／解除条件通報パケットの送出は行なわない（図１５のステップＳＴ９ｅ）。

一方、図８中に矢印で示すように、例えば対向装置に送信したＡＲＰリクエストに対するＡＲＰリプライが偽装ＡＲＰであって対向装置がＮＡＴ装置５であると判定されると、廃棄／解除条件検出部５１は、その旨及び検出した廃棄フィルタの設定及び解除条件に関する情報を廃棄／解除条件生成部５８に送出する。廃棄／解除条件生成部５８では、廃棄／解除条件検出部５１から対向装置がＮＡＴ装置５である旨が通知されると、ルーティングテーブル５９から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図１５のステップＳＴ１０ｅ）。また、廃棄／解除条件検出部５１が検出した廃棄フィルタの設定及び解除条件に関する情報に基づいて、対向装置に対応した廃棄フィルタの設定及び解除条件に関する情報を生成し、廃棄／解除条件通報パケット生成部６１に送出する。

廃棄／解除条件通報パケット生成部６１は、ヘッダ制御部６０により宛先ＩＰアドレスをヘッダに組み込み、廃棄／解除条件生成部５８からの廃棄フィルタの設定及び解除条件に関する情報を、暗号化せずに、ＳＮＭＰプロトコルなどのＴＣＰ／ＩＰネットワーク環境下における通常の管理プロトコルで表した廃棄／解除条件通報パケットを生成する（図１５のステップＳＴ１１ｅ）。この廃棄／解除条件通報パケットは、廃棄／解除条件通報パケット生成部６１から宛先ＩＰアドレスに対応したＮＡＴ装置５に送信される（図１５のステップＳＴ１２ｅ）。

ＮＡＴ装置５の装置種別コード生成部６８は、ＡＲＰの送信要求（ＡＲＰリクエスト）を受信（図１６（ａ）のステップＳＴ１ｆ）すると、自装置５であることを識別するための装置種別コードを生成する（図１６（ａ）のステップＳＴ２ｆ）。暗号化部６９は、装置種別コード生成部６８が生成した装置種別コードを例えばＤＥＳ、３ＤＥＳなどで暗号化する（図１６（ａ）のステップＳＴ３ｆ）。

偽装ＡＲＰ生成部７０は、暗号化部６９により暗号化した装置種別コードをＡＲＰリプライパケットのパディング部にカプセリングし、ルーティングテーブル６７を検索して決定した宛先ＩＰアドレスをヘッダに組み込んで偽装ＡＲＰを生成する（図１６（ａ）のステップＳＴ４ｆ）。この偽装ＡＲＰは、偽装ＡＲＰ生成部７０から下位ルータ（ルータ３ｂ）に送出される（図１６（ａ）のステップＳＴ５ｆ）。

このように、本実施の形態２によるＮＡＴ装置５では、自装置５がＮＡＴ装置であることを下位ルータ（ルータ３ｂ）へ通知するため、下位ルータへデータを転送する際のＡＲＰ解決処理時に、装置種別コード生成部６８で生成したＮＡＴ装置５であることを示す装置種別コードを暗号化したデータを含む偽装ＡＲＰを送出する。このとき、偽装ＡＲＰを受信したルータが正規のユーザによるものであれば、上述したようなＮＡＴ装置５の暗号化部６９による暗号化データを復号するための復号部を有しているので、これにより装置種別コードを復号してＮＡＴ装置５であるか否かが特定される。一方、攻撃元の端末が偽装ＡＲＰを受信しても上記暗号化データを復号することができないため、通常のＡＲＰと見分けることができず、ＤＤｏＳ攻撃対策が講じられていることを認識することはない。

なお、ＮＡＴ装置５を介してネットワークＢ上の通信装置にも廃棄／解除条件通報パケットを転送し、端末４に対する廃棄フィルタを設定するようにしてもよい。この場合、後述するＮＡＴ装置５のアドレス変換部６４は、廃棄／解除条件通報におけるアドレス情報を攻撃元側でないネットワークＢのアドレス体系に変換し、攻撃側ＮＷ廃棄／解除条件生成部６５がこのアドレス体系による廃棄フィルタの設定及びその解除条件に関する情報を生成する。

次に、ネットワークＢ内の端末７からＮＡＴ装置５を介してサーバ１がＤＤｏＳ攻撃された場合を述べる。
ネットワークＢ上の端末７からのＮＡＴ装置５を介したサーバ１へのＤＤｏＳ攻撃は、Ｆｉｒｅｗａｌｌ装置２のＤＤｏＳ攻撃検出部３９により検出され、図１３に示した処理に従って端末７のデータを廃棄若しくはその伝送帯域を制限するための廃棄フィルタの設定及び解除条件に関する情報の廃棄／解除条件通報パケットが生成され、ルータ３ａに転送される。ルータ３ａ，３ｂでは、図１４及び図１５にそれぞれ示した処理に従って廃棄／解除条件通報パケットを生成してＮＡＴ装置５に転送する。

ＮＡＴ装置５の廃棄／解除条件通報パケット受信部６２では、通常のパケットデータ受信処理と同様にルータ３ｂからの廃棄／解除条件通報パケットデータを受信する（図１６（ｂ）のステップＳＴ１ｇ）。廃棄／解除条件検出部６３では、パケット受信部６２から入力したＳＮＭＰプロトコルのパケットデータから廃棄フィルタの設定及び解除条件に関する情報を検出する。このあと、廃棄／解除条件検出部６３は、廃棄フィルタの設定条件及びその解除条件に関する情報をアドレス変換部６４に送出する。

アドレス変換部６４では、ＮＡＴテーブル６６のＮＡＴ情報に基づき、廃棄フィルタの設定及び解除条件に関する情報中のアドレス情報を、攻撃元の端末７が存在するネットワークＢのアドレス体系に変換する（図１６（ｂ）のステップＳＴ２ｇ）。この変換情報は、アドレス変換部６４から攻撃側ＮＷ廃棄／解除条件生成部６５に送出される。攻撃側ＮＷ廃棄／解除条件生成部６５では、アドレス変換部６４によりネットワークＡからネットワークＢにアドレス体系が変換された廃棄フィルタの設定及び解除条件に基づき、ネットワークＢ上の通信装置に設定するための廃棄フィルタの設定及び解除条件を生成する（図１６（ｂ）のステップＳＴ３ｇ）。

フィルタリング制御部７１では、攻撃側ＮＷ廃棄／解除条件生成部６５からの廃棄フィルタの設定及び解除条件に基づき、端末７からのデータに対する廃棄フィルタを自装置５に設定する（図１６（ｂ）のステップＳＴ４ｇ）。攻撃側ＮＷ廃棄／解除条件生成部６５は、ルーティングテーブル６７から上位側ｎｅｘｔ ｈｏｐの通信装置のＩＰアドレスを検索して宛先ＩＰアドレスとする（図１６（ｂ）のステップＳＴ５ｇ）。ルーティングテーブル６７を検索して決定された宛先ＩＰアドレスは、ヘッダ制御部７２に送出される。

廃棄／解除条件通報パケット生成部７３は、ヘッダ制御部７２により宛先ＩＰアドレスをヘッダに組み込み、攻撃側ＮＷ廃棄／解除条件生成部６５からの廃棄フィルタの設定及び解除条件に関する情報を、暗号化せずに、ＳＮＭＰプロトコルなどのＴＣＰ／ＩＰネットワーク環境下における通常の管理プロトコルで表した廃棄／解除条件通報パケットを生成する（図１６（ｂ）のステップＳＴ６ｇ）。この廃棄／解除条件通報パケットは、廃棄／解除条件通報パケット生成部７３から宛先ＩＰアドレスに対応したネットワークＢ内の下位ルータ６ａに送信される（図１６（ｂ）のステップＳＴ７ｇ）。

以降、ルータ３ａと同様の処理をルータ６ａ，６ｂ，６ｃで実行する。これにより、ネットワークＢ内の端末７からＮＡＴ装置５を介してサーバ１がＤＤｏＳ攻撃された場合であっても、ネットワークＡ，Ｂ上の通信装置に廃棄フィルタを設定してＤＤｏＳ攻撃対策を有効にすることができる。また、Ｆｉｒｅｗａｌｌ装置２、ルータ３ａ，３ｂ、ＮＡＴ装置５、ルータ６ａ，６ｂ，６ｃは、偽装ＡＲＰリクエストを媒介として設定された解除条件を満足した場合は設定した廃棄フィルタを解除する。

以上のように、この実施の形態２によれば、Ｆｉｒｅｗａｌｌ装置２やルータ３ａ，６ａ，６ｂ，６ｃが、防御対象のサーバ１をＤＤｏＳ攻撃する端末４，７の送信データの伝送帯域を制限する廃棄フィルタの設定及び解除条件に関する情報を上位の通信装置から転送して廃棄フィルタを設定し、ＮＡＴ装置５が、自装置の識別情報の暗号化データをＡＲＰパケットに組み込んだ偽装ＡＲＰパケットデータを生成して、隣接するルータ３ｂに送信し、ＮＡＴ装置５に隣接するルータ３ｂが、収容する上位の通信装置から受信したＡＲＰパケットデータが偽装ＡＲＰパケットデータであり、これを復号して得られた識別情報からこの通信装置をＮＡＴ装置５と判断した場合に、廃棄フィルタの設定及び解除条件に関する情報を当該通信装置に送信するので、ネットワーク上の全ての通信装置で暗号化／復号処理を実行することが不要となるため、機器費の削減が図れ、且つネットワーク全体の処理能力をＵＰさせることができる。

なお、上記実施の形態２では、ネットワークＡ上の端末４によるＤＤｏＳ攻撃とネットワークＢ上の端末７によるＤＤｏＳ攻撃とが別個にされる場合を説明したが、両ネットワークの攻撃元端末が同時にＤＤｏＳ攻撃を実行した場合であっても、上述した偽装ＡＲＰリクエストによる廃棄フィルタの設定をネットワークＡ，Ｂで施すことでＤＤｏＳ攻撃対策処理を有効化することができる。
また、本発明は、Ｐｒｏｘｙサーバ等によるＮＡＴ装置以外のアドレス変換装置を介するネットワークに適用しても良い。つまり、本発明におけるＮＡＴには、ＩＰアドレスの変換だけでなく、その上位プロトコルであるＴＣＰ／ＵＤＰのポート番号までも動的に変換するＮＡＰＴ（ＩＰマスカレード）も含む。

この発明の実施の形態１による分散型サービス不能攻撃対策方法を適用したネットワークシステムを示す図である。 実施の形態１によるＦｉｒｅｗａｌｌ装置の構成を示すブロック図である。 実施の形態１によるルータの構成を示すブロック図である。 実施の形態１によるＮＡＴ装置の構成を示すブロック図である。 実施の形態１によるＦｉｒｅｗａｌｌ装置の動作を示すフローチャートである。 実施の形態１によるルータの動作を示すフローチャートである。 実施の形態１によるＮＡＴ装置の動作を示すフローチャートである。 この発明の実施の形態２による分散型サービス不能攻撃対策方法を適用したネットワークシステムを示す図である。 実施の形態２によるＦｉｒｅｗａｌｌ装置の構成を示すブロック図である。 実施の形態２によるルータの構成を示すブロック図である。 実施の形態２によるＮＡＴ装置に隣接するルータの構成を示すブロック図である。 実施の形態２によるＮＡＴ装置の構成を示すブロック図である。 実施の形態２によるＦｉｒｅｗａｌｌ装置の動作を示すフローチャートである。 実施の形態２によるルータの動作を示すフローチャートである。 実施の形態２による攻撃対象のサーバ側のネットワーク上でＮＡＴ装置に隣接するルータの動作を示すフローチャートである。 実施の形態２によるＮＡＴ装置の動作を示すフローチャートである。

符号の説明

１ サーバ（防御対象のコンピュータ）、２ Ｆｉｒｅｗａｌｌ装置（通信装置）、３ａ，３ｂ，６ａ，６ｂ，６ｃ ルータ（通信装置）、４，７ 端末、５ ＮＡＴ装置（アドレス変換装置）、８，３９ ＤＤｏＳ攻撃検出部、９，１９，２９，４０，４６，５８ 廃棄／解除条件生成部（フィルタ情報生成部）、１０，２０，３３，４１，４７，５７，７１ フィルタリング制御部、１１，２１，３４，４２，４８，５９，６７ ルーティングテーブル、１２，２２，３５，６９ 暗号化部（暗号化部、フィルタ情報送受信部）、１３，２３，３６ パディング制御部、１４，２４，３７，４３，４９，６０，７２ ヘッダ制御部、１５，２５，３８，７０ 偽装ＡＲＰ生成部（パケット生成部、フィルタ情報送受信部）、１６，２６ ＡＲＰ検出部、１７，２７ パディング抽出部（フィルタ情報送受信部）、１８，２８ 復号化部（復号部、フィルタ情報送受信部）、３０，６４ アドレス変換部、３１，６６ ＮＡＴテーブル、３２，６５ 攻撃側ＮＷ廃棄／解除条件生成部（フィルタ情報生成部）、４４，５０，６１，７３ 廃棄／解除条件通報パケット生成部（フィルタ情報通報部、フィルタ情報送受信部）、４５，６２ 廃棄／解除条件通報パケット受信部（フィルタ情報生成部）、５１，６３ 廃棄／解除条件検出部、５２ ＡＲＰ受信部（受信部）、５３ 復号部、５５ 装置種別コード検出部、５６ 装置種別テーブル、６８ 装置種別コード生成部。

Claims (9)

1. 防御対象のコンピュータと、アドレス体系が異なるネットワーク間でのアドレス情報の対応をとるアドレス変換装置とを有するネットワークに接続する通信装置において、
   前記防御対象のコンピュータを分散型サービス不能攻撃する通信装置からの送信データの伝送帯域を制限するフィルタの設定及び解除条件に関する情報を生成するフィルタ情報生成部と、
   前記フィルタの設定及び解除条件に関する情報に基づき、前記フィルタを設定するフィルタリング制御部と、
   前記ネットワークに接続するアドレス変換装置を含む他の通信装置との間で前記フィルタの設定及び解除条件に関する情報をやり取りするフィルタ情報送受信部とを備えたことを特徴とする通信装置。
2. フィルタ情報送受信部は、
   フィルタの設定及び解除条件に関する情報を暗号化データとする暗号化部と、
   前記暗号化データを復号する復号部と、
   前記暗号化データを組み込んだパケットデータを生成し、アドレス変換装置を含む通信装置に送信するパケット生成部とを備えたことを特徴とする請求項１記載の通信装置。
3. フィルタ情報送受信部は、
   装置識別情報の暗号化データを組み込んだパケットデータを受信する受信部と、
   前記暗号化データを復号する復号部と、
   前記装置識別情報に基づいて送信先装置を決定して、フィルタの設定及び解除条件に関する情報を組み込んだパケットデータを送信するフィルタ情報通報部とを備えたことを特徴とする請求項１記載の通信装置。
4. 暗号化データを組み込むパケットデータは、ＡＲＰパケットデータであることを特徴とする請求項２又は請求項３記載の通信装置。
5. 防御対象のコンピュータが接続するネットワークと、このネットワークとはアドレス体系が異なるネットワークとの間に配置されてアドレス情報の対応をとるアドレス変換装置において、
   前記防御対象のコンピュータを分散型サービス不能攻撃する通信装置からの送信データの伝送帯域を制限するフィルタの設定及び解除条件に関する情報を受信する受信部と、
   前記フィルタの設定及び解除条件に関する情報を異なるネットワークを跨いで送信するにあたり、そのアドレス情報を送信先ネットワークのアドレス体系に対応したアドレス情報に変換するアドレス変換部とを備えたことを特徴とするアドレス変換装置。
6. フィルタの設定及び解除条件の暗号化データをＡＲＰパケットに組み込んだ偽装ＡＲＰパケットデータを生成して送受信するパケット生成部と、前記暗号化データを復号する復号部とを備えたことを特徴とする請求項５記載のアドレス変換装置。
7. 自装置を識別する装置識別情報を暗号化データとする暗号化部と、前記暗号化データをＡＲＰパケットに組み込んだ偽装ＡＲＰパケットデータを生成して送受信するパケット生成部とを備えたことを特徴とする請求項５記載のアドレス変換装置。
8. 防御対象のコンピュータと、アドレス体系が異なるネットワーク間でのアドレス情報の対応をとるアドレス変換装置とを有するネットワークに接続する通信装置としてコンピュータを機能させるプログラムにおいて、
   前記防御対象のコンピュータを分散型サービス不能攻撃する通信装置からの送信データの伝送帯域を制限するフィルタの設定及び解除条件に関する情報を生成するフィルタ情報生成部、
   前記フィルタの設定及び解除条件に関する情報に基づき、前記フィルタを設定するフィルタリング制御部、
   前記ネットワークに接続するアドレス変換装置を含む他の通信装置との間で前記フィルタの設定及び解除条件に関する情報をやり取りするフィルタ情報送受信部として前記コンピュータを機能させるプログラム。
9. 防御対象のコンピュータが接続するネットワークと、このネットワークとはアドレス体系が異なるネットワークとの間に配置されてアドレス情報の対応をとるアドレス変換装置としてコンピュータを機能させるプログラムにおいて、
   前記防御対象のコンピュータを分散型サービス不能攻撃する通信装置からの送信データの伝送帯域を制限するフィルタの設定及び解除条件に関する情報を受信する受信部、
   前記フィルタの設定及び解除条件に関する情報を異なるネットワークを跨いで送信するにあたり、そのアドレス情報を送信先ネットワークのアドレス体系に対応したアドレス情報に変換するアドレス変換部として前記コンピュータを機能させるプログラム。

Images