JP2006345014A

JP2006345014A - 攻撃トラヒック防御システムおよび方法

Info

Publication number: JP2006345014A
Application number: JP2005166383A
Authority: JP
Inventors: Takashi Ikegawa; 隆司池川; Hiroki Yamada; 博希山田; Takafumi Hamano; 貴文濱野
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-06-07
Filing date: 2005-06-07
Publication date: 2006-12-21

Abstract

【課題】攻撃トラヒック対処装置での輻輳発生を抑制する。
【解決手段】悪意・被疑トラヒック検出装置３０４１は、攻撃コンピュータ１から被攻撃コンピュータ２へ送られるトラヒックをサンプリングしたサンプリングデータ７１、７２をルータ３１、３２から受け取り、所定のアルゴリズムにより、トラヒックが悪意トラヒックか被疑トラヒックを判定する。悪意トラヒックの場合、ルータ３１に悪意トラヒック廃棄指示を出し、ルータ３１はトラヒックを廃棄する。被疑トラヒックの場合、該トラヒックはルータ３２、３３を通って攻撃トラヒック対処装置５２に送られ、分析される。
【選択図】図１

Description

本発明は、ＤＤｏＳ（Distributed Denial of Service）のようなあるユーザに対し過度のトラヒックを送信することによりそのユーザのサービス停止を狙った攻撃を防御するシステムおよび方法に関する。

悪意トラヒックと、悪意トラヒックの疑いのある被疑トラヒックを含む攻撃トラヒックを防御する方法として、攻撃トラヒックが疎通しているネットワーク内の装置が、その攻撃トラヒックをネットワーク外部の対処装置に転送し、その装置において、攻撃トラヒックを処理する方式が提案されている（例えば、非特許文献１参照）。

非特許文献１、非特許文献２において記述されている攻撃トラヒック防御システム構成を図９に示す。図９のシステムでは、トラヒックを転送するルータの装置群３に攻撃コンピュータ１と被攻撃コンピュータ２が接続されている。ルータの装置群３はルータ３１〜３４から構成されている。攻撃トラヒックを防御する装置群４は、攻撃トラヒックを検出する攻撃トラヒック検出装置４１、４２と、攻撃トラヒックの迂回を指示する攻撃トラヒック迂回指示装置５１と、攻撃トラヒックを対処する攻撃トラヒック対処装置５２から構成されている。なお、非特許文献１での製品“Ｄｅｔｅｃｔｏｒ”ならびに非特許文献２でのＡｒｂｏｒ製品“ＰｅａｋＦｌｏｗ”が攻撃トラヒック検出装置４１、４２に対応する。製品“Ｇｕａｒｄ”は、攻撃トラヒック迂回指示装置５１と攻撃トラヒック対処装置５２を統合した装置に対応する。ここで、攻撃トラヒック検出装置４１、４２として、１つ以上のルータからトラヒックのサンプルデータ（図９でのサンプリングデータ７１〜７４）を取得し、攻撃を検出する攻撃トラヒック検出装置を想定する（非特許文献３参照）。

図１０にルータ３１〜３４のブロック図を示す。

ルータ３１〜３４は、基本的に入力回線のインタフェース処理を行う入力回線処理部１０１と、出力回線のインタフェース処理を行う出力回線処理部１０２と、ルーティングテーブル１０４と、ルーティングテーブル１０４を使ってルーティング処理を行うルーティング部１０３から構成される（非特許文献４参照）。ルータ３１〜３４は、ルータを疎通するトラヒックをサンプリングするパケットサンプリング部１０５と、その情報を攻撃トラヒック検出装置４１、４２に転送するパケットサンプリングデータ転送部１０６をさらに含む。

図１１に攻撃トラヒック検出装置４１、４２のブロック図を示す。

攻撃トラヒック検出装置４１、４２は、パケットサンプリングデータデータベース２０２と、ルータ３１〜３４から送信されたパケットサンプリングデータ７１〜７４を取得し、その情報をパケットサンプリングデータデータベース２０２に書き込むパケットサンプリングデータ取得部２０１と、フローテーブル２０４と、攻撃検出アルゴリズムパラメータテーブル２０５と、攻撃宛先アドレステーブル２０６と、パケットサンプリングデータデータベース２０２の情報からフローテーブル２０４を構築し、フローテーブル２０４を使って攻撃トラヒックを検出し、攻撃トラヒックの宛先アドレスを攻撃宛先アドレステーブル２０６に書き込む攻撃トラヒック検出部２０３と、攻撃トラヒックを検出した場合、攻撃トラヒック迂回指示装置５１に、攻撃宛先アドレスを含む警告をあげる攻撃トラヒック検出通知部２０７から構成される。

図１２に図８の従来のシステムのシーケンス図を示す。攻撃コンピュータ１は被攻撃コンピュータ２にトラヒック６を送信開始したとする（ステップ１００１）。攻撃トラヒック検出装置４１は、ルータ３３とルータ３４からのサンプリングデータ７３、７４を検査し、トラヒック６が攻撃トラヒックであることを検出すると（ステップ１００２）、攻撃トラヒック迂回指示装置５１にトラヒック６の宛先アドレスを含む攻撃トラヒックの検出通知をあげる（ステップ１００３）。これを受けた被疑トラヒック迂回指示装置５１は、ルータ３３、３４に対し被攻撃コンピュータ２宛へのトラヒック６を攻撃トラヒック対処装置５２に迂回するよう指示する（ステップ１００４、１００６）。迂回指示を受けたルータ３３、３４は、コンピュータ２宛へのトラヒック６を攻撃トラヒック対処装置５２に迂回させる（ステップ１００５、１００７）。トラヒック６を受信した攻撃トラヒック対処装置５２は、そのトラヒックを分析し、悪意トラヒックをフィルターする（ステップ１００８）。なお、図９において、トラヒック５は攻撃トラヒック検出装置４１によって攻撃トラヒックであると検出されなかったトラヒックで、ルータ３３、３４を経て被攻撃コンピュータ２に送られる。

次に、攻撃トラヒック検出装置４１での攻撃トラヒック検出アルゴリズムを説明する。ここでは非特許文献５において記述されているアルゴリズムである「宛先ＩＰアドレスごとに集約したフローのレートが閾値を超えた場合攻撃フローと判断する」を使用しているものとする。

図１３と表１に、それぞれパケットサンプリングデータデータベース２０２とフローテーブル２０４の例を示す。なお、これらの例では、周期については、本質的に本発明に関係しないため、省略している。

表２に、攻撃検出アルゴリズムパラメータテーブル２０５の例を示す。この例では、攻撃フローと判断する攻撃レート値をＴ_sとしている。

図１４、図１５に攻撃トラヒック検出アルゴリズムを示す。このアルゴリズムは、ある周期ごとに実行されていると仮定する。

攻撃トラヒック検出部２０３はパケットサンプリングデータデータベース２０２内のすべてのフローにおいて、以下の処理を行う（図１４）。
・宛先ＩＰアドレスとそのパケットレートを取得し、それぞれＳＡ、ＰＲとする（ステップ２００１）。
・フローテーブル２０４内で、ＳＡと一致する宛先ＩＰアドレスを持つ要素があるか調べる（ステップ２００２）。
・要素がない場合は、フローテーブル２０４内に要素を追加し、総レート値を０、状態を「正常」とする（ステップ２００３）。

フローテーブル２０４内の状態が「正常」であるすべての要素内において、以下の処理を行う（図１５）。
・総レート値を取得して、ＲＰＣとする（ステップ２００４）。
・ＲＰＣ＋ＰＲ＞Ｔ_sの場合、以下の処理を行う。

− 該当する要素の攻撃状態を「攻撃」とする（ステップ２００５）。

− 該当する要素の宛先ＩＰアドレスを取得し、攻撃宛先アドレステーブル２０６に追加する（ステップ２００６）。
・該当する要素の総レート値をＲＰＣ＋ＰＲとする（ステップ２００７）。

表３に攻撃宛先アドレステーブル２０６の例を示す。

この例では、宛先ＩＰアドレスα．β．γ．εのパケットレートの総和Ｘ＋Ｗ、ならびに宛先ＩＰアドレスａ．ｂ．ｃ．ｄのパケットレートの総和Ｙ＋ＶＴ_h以上となるため、ＩＰアドレスα．β．γ．ε、ａ．ｂ．ｃ．ｄ宛のフローは攻撃フローとしている。
"Deflector Shield", Packet Vol.16, No.3, pp.28-31, Third Quarter 2004, Cisco Systems, http://www.cisco.com/warp/public/784/packet/aug04/pdfs/tech_security.pdf "Riverhead/Arbor/Cisco NIDS/IPS", Cisco Systems, http://www.cisco.com/application/pdf/en/us/guest/netsol/ns441/c714/cdccont_0900aecd8013402e.pdf "NetFlow gives network managers a detailed view of application flows on the network", Cisco Systems, http://www.arbornetworks.com/downloads/Cisco_IT_Case_Study_Netflow.pdf "新・情報通信早わかり講座"、井上伸雄他、日系ＢＰ出版センター、ｐｐ．２２４、１９９９年 "A Taxonomy of DDoS Attacks and DDoS Defense Mechanisms", J. Mirkovicら著 ACM SIGCOMM Computer Communication Review, Volume 34, Issue 2 (April 2004) Pages: 39-53

悪意トラヒックと被疑トラヒックを含む攻撃トラヒックをある装置へ迂回させて、迂回先での装置（攻撃トラヒック対処装置）において悪意トラヒックを検出し対処する上記の従来技術では、攻撃トラヒック対処装置数が少ない場合、迂回トラヒックが攻撃トラヒック対処装置に集中し、その装置で輻輳が発生する場合があるという、問題があった。

本発明の目的は、攻撃トラヒック対処装置での輻輳発生を抑制する攻撃トラヒック防御システムを提供することにある。

上記目的を達成するために、本発明の攻撃トラヒック防御システムは、攻撃トラヒックを悪意トラヒックと被疑トラヒックとに区別する手段と、被疑トラックを対処装置へ迂回させ、悪意トラヒックの廃棄を、該トラヒックが疎通する、ネットワークに接続されている中継装置に指示する手段とを有する。

本発明は、攻撃トラヒック（正常でないトラヒック）を悪意トラヒックと、悪意トラヒックの疑いのある被疑トラヒックとを区別し、悪意トラヒックについては対処装置への迂回は行わず、迂回するのは、被疑トラヒックのみとしている。具体的には、途中の中継装置でトラヒックをサンプリングし、その情報を分析する装置（悪意・被疑トラヒック検出装置）へ転送する。あるコンピュータに攻撃があると、悪意・被疑トラヒック検出装置では、トラヒックを分析し、ここで、悪意か被疑かを区別する。悪意トラヒックの場合は、そのトラヒックが疎通する中継ルータを特定し、その中継ルータに悪意トラヒックが疎通していることと、トラヒックを特定する情報を転送する。被疑トラヒックは対処装置へ迂回し、さらに詳細に分析される。このように、悪意トラヒックが対処装置へ転送されないため、対処装置が輻輳状態にならない。

本発明によれば、悪意トラヒックは、攻撃トラヒック対処装置に迂回させないため、攻撃トラヒック対処装置での輻輳発生を抑制できる効果がある。

次に、本発明の実施の形態について図面を参照して説明する。

［第１の実施形態］
図１は本発明の第１の実施形態による攻撃トラヒック防御システムのブロック図である。

本実施形態の攻撃トラヒック防御システムでは、図９の従来のシステムでの攻撃トラヒック検出装置４１、４２の代りに、悪意・被疑トラヒック検出装置３０４１、３０４２をそれぞれ備えている。

図２は悪意・被疑トラヒック検出装置３０４１、３０４２のブロック図、図３はルータ３００１、３００２の構成図である。

悪意・被疑トラヒック検出装置３０４１、３０４２では、図１１の従来の攻撃トラヒック検出装置４１、４２の攻撃トラヒック検出部２０３の代りに悪意・被疑トラヒック検出部３０１を、攻撃検出アルゴリズムパラメータテーブル２０５の代りに悪意・被疑検出アルゴリズムパラメータテーブル３０２を備えている。さらに、悪意攻撃宛先アドレステーブル３０３と、悪意トラヒックの検出をルータに通知し、悪意トラヒックの廃棄を指示する悪意トラヒック検出通知部３０４が追加されている。また、攻撃トラヒック検出通知部２０７の代りに悪意除外被疑トラヒック検出通知部３０５を備えている。また、ルータ３００１、３００２には、悪意・被疑トラヒック検出装置３０４１、３０４２の悪意トラヒック検出通知部３０４から指定された廃棄対象パケットの情報が記されたフィルタリングテーブル４１１が追加されている。

表４に悪意・被疑検出アルゴリズムパラメータテーブル３０２の例、表５に悪意攻撃宛先アドレステーブル３０３の例、表６に被疑攻撃宛先アドレステーブル２０６の例を示す。

図４は、本実施形態での悪意・被疑検出アルゴリズムを示すフローチャートである。本実施形態でのアルゴリズムは、従来の技術で説明した２００３まで同じである。以下、それ以降について説明する。

悪意・被疑トラヒック検出部３０１はフローテーブル２０４内の状態が「正常」であるすべての要素内において、以下の処理を行う。
・総レート値を取得して、ＲＰＣとする（ステップ２０１４）。
・ＲＰＣ＋ＰＲ＞Ｔ_bの場合、以下の処理を行う。

− 該当する要素の悪意・被疑攻撃状態を「悪意」とする（ステップ２０１５）。

− 該当する要素の宛先ＩＰアドレスを取得し、悪意攻撃宛先アドレステーブル３０３に追加する（ステップ２０１６）。
・Ｔ_b＞ＲＰＣ＋ＰＲ＞Ｔ_sの場合、以下の処理を行う。

− 該当する要素の悪意・被疑攻撃状態を「被疑」とする（ステップ２０１７）。

− 該当する要素の宛先ＩＰアドレスを取得し、被疑攻撃宛先アドレステーブル２０６に追加する（ステップ２０１８）。
・該当する要素の総レート値をＲＰＣ＋ＰＲとする（ステップ２０１９）。

悪意除外被疑トラヒック検出通知部３０５は、被疑攻撃宛先アドレステーブル２０６にだけアクセスし、被疑攻撃宛先アドレス情報を被疑トラヒック迂回指示装置５１に通知する。

図１において、トラヒック６は悪意・被疑トラヒック検出装置３０４１で被疑トラヒックと判定され、被疑トラヒック迂回指示装置５１の迂回指示によりルータ３００２から攻撃トラヒック対処装置５２の方へ迂回させられる。一方、トラヒック５は悪意・被疑トラヒック検出装置３０４１で悪意トラヒックと判定され、悪意・被疑トラヒック検出装置３０４１からの悪意トラヒック廃棄指示で、ルータ３００１のところで破棄される。

［第２の実施形態］
図５は本発明の第２の実施形態による攻撃トラヒック防御システムのブロック図、図６は悪意・被疑トラヒック検出装置４０４１、４０４２のブロック図である。

図５に示すように、本実施形態では、ルータ３００３、３００４はいずれもポートＡ、Ｂ、Ｃを有しており、指定されたポート番号のポートから流入し、かつ悪意攻撃宛先アドレスを有するパケットを廃棄する。

本発明のために、悪意・被疑トラヒック検出装置４０４２にパケットサンプリングデータ３０７３，３０７４を送信するルータ３００３、３００４は、そのデータとともにそのデータが進入した回線のポート番号とルータの番号を通知する。例えば、シスコ社のルータの製品に具備されているＮｅｔＦｌｏｗの機能を使えばこの通知機能を実現できる（http://www.cisco.com/warp/public/cc/pd/iosw/ioft/neflct/tech/napps_wp.htm参照）。

悪意・被疑トラヒック検出装置４０４１、４０４２は、第１の実施形態で説明したパケットサンプリングデータデータベース２０２の代りに３２０２を、悪意攻撃宛先アドレステーブル３０３の代りに３３０３を備えている。

図６と表７に、本実施形態でのパケットサンプリングデータデータベース３２０２と悪意攻撃宛先アドレステーブル３３０３をそれぞれ示す。

本実施形態の悪意・被疑検出アルゴリズムは、第１の実施形態の悪意・被疑検出アルゴリズムのステップ２０１６の代りに次の処理を行う。
・パケットサンプリングデータデータベース３２０２において、該当するＩＰアドレスとマッチするルータ番号とポート番号を取得する。
・該ＩＰアドレス、ルータ番号、ポート番号をもつ要素を悪意攻撃宛先アドレステーブル３３０３に追加する。

［第３の実施形態］
図８は本実施形態の各事業者間のシーケンスを示している。

本実施形態において、インターネットサービス提供事業者５０００は攻撃トラヒックが発生するインターネットサービスを提供し、インターネットサービス利用者５００１はそのサービスの利用者であり、攻撃対処事業者５００２は攻撃対処を行う。

インターネットサービス提供事業者５０００は、ルータ３００１、３００２を有するインターネットを管理する。さらに、インターネットサービス利用者を管理するインターネットサービス利用者管理装置５１００とインターネットサービス利用者のデータベース５１０１を所有する。インターネットサービス利用者５００１は、図９に示した被攻撃コンピュータ２を所有している。攻撃対処事業者５００２は、図１に示した悪意・被疑トラヒック検出装置３０４１、３０４２、攻撃トラヒック迂回指示装置５１、攻撃トラヒック対処装置５２を管理する。さらに、攻撃対処サービスを管理する攻撃対処サービス管理装置５２００と攻撃対処サービス利用者のデータベース５２０１を所有している。

まず、インターネットサービス利用者５００１は、利用しているコンピュータ２が攻撃を受けていると認識した場合、インターネットサービス提供事業者５０００に攻撃対処依頼を被攻撃コンピュータ２から行なう（ステップ５０１１）。それを受けた事業者５０００は、インターネットサービス利用者管理装置５１００を通して、インターネットサービス利用者管理データベース５１０１にそのサービス利用を記録する。また、攻撃対処事業者５００２に対しインターネットサービス利用者管理装置５１００を通して攻撃対処依頼を行なう（ステップ５０１２）。それを受けた攻撃対処事業者５００２では、攻撃対処サービス管理装置５２００を通して、攻撃対処サービス利用者管理データベース５２０１にそのサービス利用を記録する。また、攻撃対処サービス管理装置５２００を通して、第１、第２の実施形態で説明した手段により、攻撃トラヒックを対処するとともに対処費を請求する（ステップ５０１３）。それを受けたインターネットサービス提供事業者５０００は、攻撃対処結果を、インターネットサービス利用者管理装置５１００を通して、インターネットサービス利用者管理データベース５１０１に記録し、インターネットサービス利用者５００１に提供するとともに対処費を請求する（ステップ５０１４）。

これに従い、インターネットサービス利用者５００１は対処費をインターネットサービス事業者５０００に、インターネットサービス事業者５０００は、攻撃対処事業者５００２に対処費を支払う（ステップ５０１５、５０１６に対応する）。インターネットサービス利用者５００１から対処査費を受領したインターネットサービス提供事業者５０００は、インターネットサービス利用者管理装置５１００を通して、インターネットサービス利用者管理データベース５１０１にその支払い情報を記録する。インターネットサービス提供事業者５０００から対処費を受領した攻撃対処事業者５００２では、攻撃対処サービス管理装置５２００を通して、攻撃対処サービス利用者のデータベース５２０１にその支払い情報を記録する。

本発明の第１の実施形態による攻撃トラヒック防御システムの構成図である。図１中の悪意・被疑トラヒック検出装置３０４１、３０４２のブロック図である。図４中のルータ３００１、３００２のブロック図である。図１の攻撃トラヒック防御システムにおける悪意・被疑トラヒック検出アルゴリズムを示すフローチャートである。本発明の第２の実施形態による攻撃トラヒック防御システムの構成図である。図５中の悪意・被疑トラヒック検出装置４０４１、４０４２のブロック図である。パケットサンプリングデータデータベース３２０２の例を示す図である。本発明の第４の実施形態によるシステム構成図である。従来技術による攻撃トラヒック防御システムの構成図である。図９におけるルータ３１〜３４のブロック図である。図９における被疑トラヒック検出装置４１、４２のブロック図である。図９の従来技術による攻撃トラヒック防御システムのシーケンス図である。図１１のサンプリングデータデータベース２０２の例を示す図である。図９の従来技術による被疑攻撃トラヒック検出アルゴリズム（その１）を示すフローチャートである。図９の従来技術による被疑攻撃トラヒック検出アルゴリズム（その２）を示すフローチャートである。

符号の説明

１攻撃コンピュータ
２被攻撃コンピュータ
３ルータ群
４攻撃トラヒック防御装置群
５、６トラヒック
３１〜３４ルータ
５１被疑トラヒック迂回指示装置
５２攻撃トラヒック対処装置
７１〜７４サンプリングデータ
２０１パケットサンプリングデータ取得部
２０２パケットサンプリングデータデータベース
２０４フローテーブル
２０６被疑攻撃宛先アドレステーブル
３０１悪意・被疑トラヒック検出部
３０２悪意・被疑検出アルゴリズムパラメータテーブル
３０３悪意攻撃宛先アドレステーブル
３０４悪意トラヒック検出通知部
３０５悪意除外被疑トラヒック検出通知部
４１１フィルタリングテーブル
２０１４〜２０１９ステップ
３００１〜３００４ルータ
３０４１、３０４２悪意・被疑トラヒック検出装置
３０５１悪意トラヒック迂回指示装置
３０７３、３０７４サンプリングデータ
５０００インターネットサービス提供事業者
５００１インターネットサービス利用者
５００２攻撃対処事業者
５０１１〜５０１６ステップ
５１００インターネットサービス利用者管理装置
５１０１インターネットサービス利用者管理データベース
５２００攻撃対処サービス管理装置
５２０１攻撃対処サービス利用者管理データベース

Claims

悪意トラヒックと、悪意トラヒックの疑いのある被疑トラヒックを含む攻撃トラヒックと、正常トラヒックとを区別し、該攻撃トラヒックを迂回させ、迂回先装置で該攻撃トラヒックを分析し、該攻撃トラヒックを対処装置で対処する攻撃トラヒック防御システムにおいて、
前記攻撃トラヒックを悪意トラヒックと被疑トラヒックとに区別する手段と、
前記被疑トラックを前記対処装置へ迂回させ、前記悪意トラヒックの廃棄を、該トラヒックが疎通する、ネットワークに接続されている中継装置に指示する手段と
を有することを特徴とする攻撃トラヒック防御システム。
前記の区別する手段が、ネットワークもしくはネットワークを中継する装置を疎通するトラヒックのパケット数を周期毎にカウントする手段と、カウントされた値が閾値以上の時、その指定された単位のトラヒックを悪意トラヒックと判断する手段を含む、請求項１に記載の攻撃トラヒック防御システム。
前記の悪意トラヒックと判断する手段が、第１の閾値と、第１の閾値よりも小さい第２の閾値を有し、カウントされた値が該第１の閾値以上のトラヒックを悪意トラヒックと判断し、カウントされた値が該第１の閾値未満、かつ該第２の閾値以上の時、被疑トラヒックと判断する手段を含む、請求項２に記載の攻撃トラヒック防御システム。
前記悪意トラヒックが疎通するネットワークに接続されている中継装置を特定する手段をさらに有する、請求項１から３のいずれかに記載の攻撃トラヒック防御システム。
前記の中継装置を特定する手段が、前記悪意トラヒックを特定する装置に、トラヒックが疎通している中継装置の情報を通知する手段と、該中継装置の中から悪意トラヒックが疎通する中継装置を特定する手段を含む、請求項４に記載の攻撃トラヒック防御システム。
前記の中継装置の情報を通知する手段が、前記悪意トラヒックを特定する装置に、トラヒックが進入している回線の情報を通知する手段を含み、前記の悪意トラヒックが疎通する中継装置を特定する手段が、前記回線の中から悪意トラヒックが進入する回線を特定する手段を含む、請求項４に記載の攻撃トラヒック防御システム。
前記中継装置に悪意トラヒックの対処を指示する手段をさらに含む、請求項５または６に記載の攻撃トラヒック防御システム。
請求項１から７のいずれかに記載の攻撃トラヒック防御システムにおいて、
攻撃トラヒックが発生するネットワークサービスの利用者が該サービスの提供事業者に攻撃対処を依頼するための手段と、
該ネットワークサービス提供事業者が攻撃トラヒックを対処する事業者に攻撃対処を依頼するための手段と、
攻撃トラヒックを対処する該事業者が、該ネットワークサービス提供事業者に攻撃対処費を請求するための手段と、
該ネットワークサービス提供事業者が、その攻撃対処費に基づき、該ネットワークサービス利用者に攻撃対処費を請求するための手段と
を有することを特徴とする攻撃トラヒック防御システム。
悪意トラヒックと、悪意トラヒックの疑いのある被疑トラヒックを含む攻撃トラヒックと、正常トラヒックとを区別し、該攻撃トラヒックを迂回させ、迂回先装置で該攻撃トラヒックを分析し、該攻撃トラヒックを対処装置で対処する攻撃トラヒック防御方法において、
前記攻撃トラヒックを悪意トラヒックと被疑トラヒックとに区別するステップと、
前記被疑トラックを前記対処装置へ迂回させ、前記悪意トラヒックの廃棄を、該トラヒックが疎通する、ネットワークに接続されている中継装置に指示するステップと
を有することを特徴とする攻撃トラヒック防御方法。