JP2006352274A - フレーム転送制御装置、ＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システム - Google Patents

Abstract

【課題】ＳＹＮフラッド攻撃が行われた時でも正当なクライアントに対するサービスを遮断させないために、アタッカーから送られてくる有効攻撃フレームのみの流量制限を行うこと。
【解決手段】事前情報収集部１２は、予め外部ネットワークのクライアントに対してＳＹＮ／ＡＣＫフレームを送信し、それに対する応答を監視する。応答が返ってこない場合には、送信先のアドレスを有効攻撃アドレスと判断する。ＲＳＴフレームの応答がある場合には、送信先のアドレスを無効攻撃アドレスと判断する。アドレス保持部１３は、事前情報収集部１２が収集したクライアントの応答状況を格納する。有効攻撃識別部１５は、アドレス保持部１３のエントリ内容に基づいて、サーバ宛のフレームの中から、有効攻撃アドレスを送信元アドレスとする有効攻撃フレームを選択する。流量制限部１６は、選択された有効攻撃フレームをサーバへ転送する際に流量制限を行う。
【選択図】 図２

Description

この発明は、クライアントに接続された外部ネットワークからのＤｏＳ攻撃等の不正アクセスから、サーバに接続された特定のネットワークを保護するフレーム転送制御装置、ＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システムに関する。

近年、企業等の特定の領域内に構築されたイントラネット等の内部ネットワークでは、インターネット等の外部ネットワークとの境界にファイヤウォール機器を設置して、内部ネットワークに接続されたサーバやクライアントを外部ネットワークから攻撃を受けないように保護している。サーバに対する攻撃の一つに、サーバに対して大量の接続要求を行ってサーバの負荷を高めることによって、サーバが正当なクライアントに対してサービスを提供するのを妨害するＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ：サービス拒否攻撃）がある。なお、サーバとは、サービスを提供するものであり、また、クライアントとは、サービスの提供を受けるものであり、いずれもコンピュータ等のハードウェアだけでなく、そこで実行されるソフトウェアも含む。

図１９は、ＴＣＰの正常な接続手順を示す図である。３ウェイハンドシェークによってＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）による接続が確立する際には、図１９に示すように、まず、クライアント１は、サーバ２に対して、接続を要求するＳＹＮ（ｓｙｎｃｈｒｏｎｉｚｅ）フレームを送信する。サーバ２は、ＳＹＮフレームを受信すると、クライアント１に対してＳＹＮ／ＡＣＫフレームを応答する。この応答に対して、さらにクライアント１がサーバ２にＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）フレームを送信することによって、ＴＣＰによるクライアント１とサーバ２の接続が確立する。

３ウェイハンドシェーク時にサーバ側に送られてくるＳＹＮフレームは、非攻撃フレーム、無効攻撃フレームおよび有効攻撃フレームの３つに分類される。非攻撃フレームは、正当なクライアントから送られてくるＳＹＮフレームである。この場合には、上述したように接続が正常に確立される（図１９参照）。

図２０は、無効なＤｏＳ攻撃によるＴＣＰの接続手順を示す図である。無効攻撃フレームは、実在する別のクライアントのアドレスを送信元アドレスに詐称したアタッカーから送られてくるＳＹＮフレームである。この場合には、図２０に示すように、サーバ２は、アタッカー３から送られてきたＳＹＮフレーム（実在するクライアント１のアドレスに詐称されている）を受信すると、クライアント１に対してＳＹＮ／ＡＣＫフレームを応答する。クライアント１は、ＳＹＮフレームを送信していないにもかかわらず、ＳＹＮ／ＡＣＫフレームを受信したので、サーバ２に対してＲＳＴ（ｒｅｓｅｔ）フレームを送信する。それによって、ＴＣＰの接続が切断される。

図２１は、有効なＤｏＳ攻撃によるＴＣＰの接続手順を示す図である。有効攻撃フレームは、該当するクライアントのない架空のアドレスを送信元アドレスに詐称したアタッカーから送られてくるＳＹＮフレームである。この場合には、図２１に示すように、サーバ２は、アタッカー３から送られてきたＳＹＮフレーム（架空のクライアント４のアドレスに詐称されている）を受信すると、この架空のクライアント４に対してＳＹＮ／ＡＣＫフレームを応答する。しかし、ＳＹＮ／ＡＣＫフレームに対する応答フレームが返ってこないので、サーバ２は、接続が確立しないハーフオープン状態となり、数十秒程度のタイムアウトを待ってから、ＴＣＰ接続のためのリソース（メモリ等）を開放する。

従って、大量の有効攻撃フレームが送られてきてハーフオープン状態の数が増えると、その分、サーバ２がＴＣＰ接続のために確保するリソースが増えてしまう。リソースの確保量がサーバ２の上限値に達すると、サーバ２は、非攻撃フレーム用のリソースを新たに確保することができない。そのため、正当なクライアント１の接続要求が無視されてしまい、サーバ２が正当なクライアント１に対してサービスを提供するのが妨害されてしまう。このようなＤｏＳ攻撃をＳＹＮフラッド攻撃（ＳＹＮ Ｆｌｏｏｄｉｎｇ Ａｔｔａｃｋ）という。

上述した攻撃に対するファイヤウォールによる対処方法として、統計情報に基づく方法や事前収集に基づく方法がある。統計情報に基づく方法には、ハーフオープン状態の数が閾値を超えた時点でサーバのＴＣＰ接続を強制的に切断する方法（第１の方法）や、全トラヒックを対象としてＳＹＮフレームの流量を制限する方法（第２の方法）などがある。事前収集に基づく方法には、最近サーバとの間で接続が確立されたクライアントから送られてきたフレームを優先してサーバへ転送する方法（第３の方法）などがある。

例えば、統計情報に基づく方法の一つとして、外部ネットワークからバックボーンネットワークへの流入経路のそれぞれに解析端末を設け、各解析端末が、各流入経路からバックボーンネットワークへ流入するパケットを解析して不正アクセス候補を抽出し、管理端末が、各解析端末から解析結果を収集し、その集計結果に基づいて不正アクセスを検知するようにした不正アクセス監視システムが公知である（例えば、特許文献１参照。）。また、事前収集に基づく方法の一つとして、予めデータベースに記憶されたＭＡＣアドレスを有するネットワーク機器のみを所定のネットワークに接続可能な機器とし、ネットワークに接続されたネットワーク機器の識別情報に基づいて、そのネットワーク機器がネットワークに接続可能な機器であるか否かを判断するネットワーク管理システムが公知である（例えば、特許文献２参照。）。

特開２００４−１６４１０７号公報 特開２００４−２４１８３１号公報

しかしながら、ＳＹＮフラッド攻撃では、アタッカーが送信元アドレスを任意に詐称するため、ＳＹＮフレームのヘッダ情報を見ただけで有効攻撃フレームと非攻撃フレームを判別するのは不可能である。従って、ファイヤウォールが有効攻撃フレームを識別して廃棄することができないため、全ユーザのトラヒックが有効攻撃トラヒックの影響を受けることになる。また、上記第１の方法では、有効攻撃フレームを含むすべてのフレームをサーバに転送するため、有効攻撃フレームが多くなると、サーバの接続およびその切断の処理負荷が高くなり、サービス不能に陥ってしまう。

上記第２の方法では、非攻撃フレームと有効攻撃フレームを合わせて流量制限するため、有効攻撃フレームが多くなると、非攻撃フレームが高い確率で廃棄されてしまうので、正当なクライアントに対するサービスの提供が妨げられる。上記第３の方法では、過去にサーバにアクセスしていないクライアントからの非攻撃フレームは、有効攻撃フレームと合わせて流量制限されることになるため、有効攻撃フレームが多くなると、このクライアントに対するサービスの提供が妨げられる。

この発明は、上述した従来技術による問題点を解消するため、送信元アドレスを詐称した不正フレームの転送を抑制することによって、正当なクライアントから送られてきた中継対象フレームを優先的にサーバ側へ転送するフレーム転送制御装置を提供することを目的とする。また、この発明は、クライアントから送られてくるＳＹＮフレームのうち、アタッカーから送られてくる有効攻撃フレームのみの流量制限を行うことによって、ＳＹＮフラッド攻撃が行われた時でも正当なクライアントに対するサービスを遮断させずに済むＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、この発明は、クライアントに接続された外部ネットワークから送られてきたフレームを、サーバに接続された特定のネットワークへ転送するフレーム転送制御装置であって、事前情報収集手段、有効攻撃識別手段および流量制限手段を備えていることを特徴とする。事前情報収集手段は、外部ネットワークのクライアントに対して応答要求を定期的に送信し、その応答要求の送信に対するクライアントの応答を監視する。有効攻撃識別手段は、外部ネットワークからサーバ宛に送られてきたフレームに対して、事前情報収集手段が収集したクライアントの応答状況に基づいて、正当なクライアントから送られてきた中継対象フレームと、送信元アドレスを詐称した不正フレームとを識別する。流量制限手段は、有効攻撃識別手段により識別された中継対象フレームを優先的にサーバ側へ転送するとともに、不正フレームの転送を抑制する。

また、この発明は、クライアントに接続された外部ネットワークからのＤｏＳ攻撃から、サーバに接続された特定のネットワークを保護するＤｏＳ攻撃防御装置またはＤｏＳ攻撃防御システムであって、事前情報収集手段、アドレス保持手段、有効攻撃識別手段および流量制限手段を備えていることを特徴とする。事前情報収集手段は、予め外部ネットワークのクライアントに対してＳＹＮ／ＡＣＫフレームを送信し、そのＳＹＮ／ＡＣＫフレームの送信に対してクライアントから返されてくるＲＳＴフレームの応答を監視する。ＳＹＮ／ＡＣＫフレームの送信に対する応答が返ってこない場合には、その送信先のアドレスを有効攻撃アドレスと判断する。それに対して、ＲＳＴフレームの応答がある場合には、その送信先のアドレスを無効攻撃アドレスと判断する。

アドレス保持手段は、事前情報収集手段が収集したクライアントの応答状況をそのクライアントのアドレスとともに格納する。有効攻撃識別手段は、外部ネットワークからサーバ宛に送られてきたフレームの中から、アドレス保持手段のエントリ内容に基づいて、有効攻撃アドレスを送信元アドレスとするフレーム（有効攻撃フレーム）を選択する。流量制限手段は、有効攻撃識別手段により選択された有効攻撃フレームをサーバへ転送する際のフレーム送信帯域を調節してサーバ側への流量制限を行う。

この発明によれば、事前情報収集手段により事前にクライアントのＳＹＮ／ＡＣＫフレーム等に対する応答状況を確認しておき、その確認した情報に基づいて、フレーム中継時に不正フレーム等の有効攻撃フレームのみを選択して流量制限手段に転送することによって、有効攻撃フレームのみの中継流量を制限することができる。従って、ＳＹＮフラッド攻撃が行われた時でも、正常なクライアントの通信やサービスを遮断させずに中継処理を行うことができる。

本発明にかかるフレーム転送制御装置、ＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システムによれば、不正フレーム等の有効攻撃フレームのみの流量制限を行うことができ、それによって、ＳＹＮフラッド攻撃が行われた場合でも、正当なクライアントに対するサービスを遮断させずに済むという効果を奏する。

以下に添付図面を参照して、この発明にかかるフレーム転送制御装置、ＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システムの好適な実施の形態を詳細に説明する。なお、フレーム転送制御装置をＤｏＳ攻撃に対する対策に用いたものがＤｏＳ攻撃防御装置である。従って、以下の実施の形態においては主としてＤｏＳ攻撃を防御する場合について説明するが、ＤｏＳ攻撃に限らず、送信元アドレスを詐称した不正フレームに対する転送制御を行う場合も同様である。以下の各実施の形態の説明においては、同様の構成には同一の符号を付して重複する説明を省略する。

（実施の形態１）
図１は、本発明の実施の形態１にかかるＤｏＳ攻撃防御装置（フレーム転送制御装置）を備えたネットワークの構成を示す概略図である。図１に示すように、本発明の実施の形態１にかかるＤｏＳ攻撃防御装置（フレーム転送制御装置）は、サーバ２と、ＳＹＮフラッド攻撃の監視対象となる外部ネットワーク７との間に、中継装置１０として接続されている。この外部ネットワーク７には、複数のクライアント１，５，６が接続されている。サーバ２は、企業等の特定の領域内に構築された図示しない内部ネットワークに接続されている。

特に限定しないが、説明の便宜上、第１のクライアント１、ＤｏＳ攻撃防御装置１０およびサーバ２のＩＰアドレスをそれぞれ［１０．０．０．１］、［２０．０．０．１］および［５０．０．０．１］とする。また、特に限定しないが、外部ネットワーク７に接続されたクライアント１，５，６のサブネットは、［１０．０．０．０／２４］、すなわち［１０．０．０．０］〜［１０．０．０．２５５］の中のアドレスとなっているものとし、これと同じサブネットアドレスが予めＤｏＳ攻撃防御装置１０に設定されている。

図２は、本発明の実施の形態１にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。図２に示すように、ＤｏＳ攻撃防御装置１０は、クライアント側送受信部１１、事前情報収集部１２、アドレス保持部１３、フレーム識別部１４、有効攻撃識別部１５、流量制限部１６およびサーバ側送受信部１７を備えている。

クライアント側送受信部１１は、外部ネットワーク７に接続されており、外部ネットワーク７に対してフレームの送受信を行う。例えば、クライアント側送受信部１１は、クライアントからサーバ側へ宛てたフレームを受信すると、そのフレームをフレーム識別部１４に送る。また、事前情報収集部１２から送られてきたＳＹＮ／ＡＣＫフレームをクライアント側へ送信する。また、サーバ側送受信部１７から送られてきたフレームをクライアント側へ送信する。

事前情報収集部１２は、定期的にＳＹＮ／ＡＣＫフレームをクライアント側送受信部１１を介してクライアント側へ送信し、それに対してクライアント側から返されてくるＲＳＴフレームの応答を監視する。例えば、調査対象、すなわちＳＹＮフラッド攻撃の監視対象であるサブネット［１０．０．０．０／２４］の全アドレスに対して、定期的にＳＹＮ／ＡＣＫフレームを作成してクライアント側送受信部１１に送る。その応答として、フレーム識別部１４からＲＳＴフレームを受け取ると、そのＲＳＴフレームを送り返してきたクライアントを正当なクライアントであると判断する。

そして、その正当なクライアントについてのエントリとして、有効攻撃フラグの値を「０」とし、そのフラグの値とクライアントのアドレスを関連付けて、アドレス保持部１３に登録する。一方、ＳＹＮ／ＡＣＫフレームを送信した後、一定時間が経過してもＲＳＴフレームを送り返してこないアドレスについては、有効攻撃フラグの値を「１」とし、そのフラグの値とアドレスを関連付けて、アドレス保持部１３に登録する。

アドレス保持部１３は、調査対象の各アドレスとその有効攻撃フラグの値（「０」または「１」）を保持する。図３は、アドレス保持部の構成の一例を示す図である。図３に、アドレス保持部１３の構成の一例を示す。フレーム識別部１４は、クライアント側送受信部１１から受け取ったフレームのヘッダ情報を識別し、そのフレームが自局（ＤｏＳ攻撃防御装置１０）宛のＲＳＴフレーム、中継対象のＳＹＮフレーム、およびその他のフレームのいずれであるかを識別する。自局宛のＲＳＴフレームである場合には、そのフレームを事前情報収集部１２へ送る。ＳＹＮフレームである場合には、そのフレームを有効攻撃識別部１５へ送る。その他のフレームである場合には、そのフレームをサーバ側送受信部１７へ送る。

有効攻撃識別部１５は、サーバ２への転送対象であるフレームが有効攻撃フレームであるか否かを識別する。例えば、有効攻撃識別部１５は、フレーム識別部１４からフレームを受け取ると、そのフレームの送信元アドレスに基づいて、アドレス保持部１３から該当するエントリを読み出す。その読み出したエントリの有効攻撃フラグの値が「０」である場合には、そのフレームをサーバ側送受信部１７へ送る。一方、そのエントリの有効攻撃フラグの値が「１」である場合には、そのフレームを流量制限部１６へ送る。

流量制限部１６は、有効攻撃識別部１５から受け取った有効攻撃フレームをサーバ側へ転送する際のフレーム送信帯域を調節して、サーバ側への流量制限を行う。特に限定しないが、例えば、ＳＹＮフレーム全体の流量が１秒間に１フレーム以内になるように、サーバ側送受信部１７にフレームを送る。

サーバ側送受信部１７は、サーバ側の内部ネットワークに接続されており、内部ネットワークに対してフレームの送受信を行う。例えば、サーバ２から送られてきたフレームをクライアント側送受信部１１へ送る。また、フレーム識別部１４、有効攻撃識別部１５または流量制限部１６から送られてきたフレームをサーバ側へ転送する。

次、ＤｏＳ攻撃防御装置１０の動作について説明する。ここでは、図１に示す構成において、第１のクライアント１が正当なクライアントであり、第２のクライアント５は正当ではないクライアントであるとする。ＤｏＳ攻撃防御装置１０の動作は、第１のクライアント１に対してＳＹＮ／ＡＣＫフレームを送信する場合（ケース１）、ホスト未割り当てのアドレス（例えば、［１０．０．０．５］）に対してＳＹＮ／ＡＣＫフレームを送信する場合（ケース２）、第１のクライアント１がサーバ２と通信を行う場合（ケース３）、第２のクライアント５が第１のクライアント１のアドレス［１０．０．０．１］を詐称して攻撃を行う場合（ケース４）、および第２のクライアント５がホスト未割り当てのアドレス（例えば、［１０．０．０．５］）を詐称して攻撃を行う場合（ケース５）の５つのケースに分類される。

図４は、本発明の実施の形態１における事前情報収集動作を説明するためのフローチャートである。以下、説明の便宜上、個々の動作ごとに、その説明の前に順に（１）、（２）、・・・を付す。まず、ケース１について説明する。（１）事前情報収集部１２は、前回の収集処理から一定期間（例えば、１５分）が経過したことを認識し、第１のクライアント１のアドレス［１０．０．０．１］に対してＳＹＮ／ＡＣＫフレームを送信することをクライアント側送受信部１１に通知する。また、ＳＹＮ／ＡＣＫフレームの送信と同時に、そのＳＹＮ／ＡＣＫフレームの送信に対する応答待ちの時間を計測するためのタイマを起動することで、情報収集を開始する。

（２）クライアント側送受信部１１は、自身（ＤｏＳ攻撃防御装置１０）のアドレス［２０．０．０．１］を調査アドレスとなる送信元アドレスに設定して（ステップＳ１）、クライアント側のネットワークへＳＹＮ／ＡＣＫフレームを送信する（ステップＳ２）。（３）第１のクライアント１は、ＳＹＮ／ＡＣＫフレームを受信するが、その前にＳＹＮフレームを送信していないので、ＴＣＰのプロトコル仕様に基づいてＲＳＴフレームを［２０．０．０．１］宛、すなわちＤｏＳ攻撃防御装置１０宛に送信する。このＲＳＴフレームは、通常、事前情報収集部１２により起動されたタイマがタイムアウトする前にＤｏＳ攻撃防御装置１０に到達する。

（４）次ステップＳ３においてステップＳ２の処理がタイムアウトか否かの判断を、ステップＳ４においてＲＳＴ応答の有無の判断を行う。クライアント側送受信部１１は、タイムアウト前（ステップＳ３：Ｎｏ）に第１のクライアント１から送られてきたＲＳＴの応答（ステップＳ４：Ｙｅｓ）によりＲＳＴフレームを受信し、そのＲＳＴフレームをフレーム識別部１４へ送る。（５）フレーム識別部１４は、受け取ったフレームがＲＳＴフレームであり、かつその宛先が［２０．０．０．１］の自局であるので、そのＲＳＴフレームを事前情報収集部１２へ送る。（６）事前情報収集部１２は、アドレス保持部１３に、送信元アドレスが［１０．０．０．１］であり、このアドレスを無効攻撃アドレスとして記録するため（ステップＳ５）、有効攻撃フラグの値が「０」であるエントリを記録する。これによって、［１０．０．０．１］のアドレスは、ＤｏＳ攻撃防御装置１０に無効攻撃アドレスとして登録される。また、事前情報収集部１２は、情報収集開始時に起動したタイマを止める。

以上の（１）〜（６）の動作がケース１に該当する。続けてステップＳ６において、予め指定された特定サブネット内の全アドレスに対して調査が済むまで、つまり全アドレスが完了しなければ（ステップＳ６：Ｎｏ）、同様に次のアドレス設定する（ステップＳ７）ことで、調査を繰り返し行う。例えば、上述した［１０．０．０．１］のアドレスに対する調査に続いて、送信先アドレスを順次［１０．０．０．２］、［１０．０．０．３］、・・・というように指定して調査を行う。その繰り返し調査を行っている際に、ケース２に該当した場合について説明する。

（７）例えば、事前情報収集部１２は、［１０．０．０．４］のアドレスの調査に続いて、［１０．０．０．５］のアドレスに対してＳＹＮ／ＡＣＫフレームを送信することをクライアント側送受信部１１に通知するとともに、次のアドレス設定を行うことで（ステップＳ７）、タイマを起動する。ここでは、この［１０．０．０．５］のアドレスの端末は存在しないとする。（８）クライアント側送受信部１１は、送信元アドレスを［２０．０．０．１］に設定して、クライアント側のネットワークへＳＹＮ／ＡＣＫフレームを送信する（ステップＳ２）。（９）クライアント側のネットワークには、［１０．０．０．５］のアドレスを有する端末が接続されていないため、［１０．０．０．５］宛に送信されたＳＹＮ／ＡＣＫフレームは、ネットワーク中の中継装置において廃棄される。

（１０）一方、ＤｏＳ攻撃防御装置１０には、ＲＳＴフレームが返されてこないので、事前情報収集部１２は、ステップＳ３において、タイムアウトの状態つまりタイマにより一定時間（例えば、１秒）が経過したことを認識し（ステップＳ３：Ｙｅｓ）、アドレス保持部１３に、この時の設定アドレスを有効効攻撃アドレスとして記録するため（ステップＳ８）、［１０．０．０．５］のアドレスと、そのアドレスに対する有効攻撃フラグの値を「１」としたエントリを記録する。これによって、［１０．０．０．５］のアドレスは、ＤｏＳ攻撃防御装置１０に有効攻撃アドレスとして登録される。そして、事前情報収集部１２は、ステップＳ７のアドレス設定時に起動したタイマを止める。特定サブネット内の全アドレスに対して調査が完了すると、事前情報収集動作の完了となり、全アドレスについて有効攻撃フラグが登録される。以上のような処理が繰り返され、ステップＳ６において、全アドレスが完了すると（ステップＳ６：Ｙｅｓ）、一連の処理を終了する。

次、上述した事前情報収集動作が完了した後に、クライアントからサーバ宛のフレームが送信された場合の動作について説明する。図５は、本発明の実施の形態１におけるフレーム転送動作を説明するためのフローチャートである。まず、ケース３について説明する。（１１）第１のクライアント１は、自身のアドレス［１０．０．０．１］を送信元アドレスに設定して、サーバ２（［５０．０．０．１］）宛にＴＣＰのＳＹＮフレームを送信する。（１２）クライアント側送受信部１１は、第１のクライアント１から送られてきたフレームを受信し、そのフレームをフレーム識別部１４へ送る。

（１３）図５において、フレーム識別部１４は、クライアント側送受信部１１から受け取ったフレームがＳＹＮフレームか否かを判断する（ステップＳ１１）。受け取ったフレームが他局（［５０．０．０．１］）宛のＳＹＮフレームであれば（ステップＳ１１：Ｙｅｓ）、そのフレームを有効攻撃識別部１５へ送る。（１４）有効攻撃識別部１５は、受け取ったフレームの送信元アドレス［１０．０．０．１］に基づいて、アドレス保持部１３から該当するエントリを読み出す（ステップＳ１２）。次、ステップＳ１２において読み出したアドレスが無効攻撃アドレスか否かを判断する（ステップＳ１３）。アドレスが無効攻撃アドレスであれば（ステップＳ１３：Ｙｅｓ）、該当するエントリの有効攻撃フラグの値は「０」であるので、有効攻撃識別部１５は、そのフレームをサーバ側送受信部１７へ転送する（ステップＳ１４）。（１５）サーバ側送受信部１７は、転送されてきたフレームをサーバ側ネットワークへ送信し、一連の処理を終了する。

（１６）サーバ２は、ＤｏＳ攻撃防御装置１０から転送されてきたＳＹＮフレームを受信し、その応答としてＳＹＮ／ＡＣＫフレームを第１のクライアント１（［１０．０．０．１］）宛に送信する。（１７）サーバ側送受信部１７は、サーバ２から送られてきた［１０．０．０．１］宛のＳＹＮ／ＡＣＫフレームを受信し、クライアント側送受信部１１へ送る。（１８）クライアント側送受信部１１は、そのＳＹＮ／ＡＣＫフレームをクライアント側ネットワークへ送信する。（１９）第１のクライアント１は、ＳＹＮ／ＡＣＫフレームを受け取り、その応答としてＡＣＫフレームをサーバ２（［５０．０．０．１］）宛に送信する。

（２０）クライアント側送受信部１１は、第１のクライアント１から送られてきたＡＣＫフレームを受信し、そのフレームをフレーム識別部１４へ送る。（２１）フレーム識別部１４は、ステップＳ１１の判断を行い、クライアント側送受信部１１から受け取ったフレームが他局（［５０．０．０．１］）宛であり、かつＳＹＮフレームではないので（ステップＳ１１：Ｎｏ）、そのフレームをサーバ側送受信部１７へ送る。（２２）サーバ側送受信部１７は、転送されてきたＡＣＫフレームをサーバ側ネットワークへ送信し（ステップＳ１４）、一連の処理を終了する。

（２３）サーバ２は、ＤｏＳ攻撃防御装置１０から転送されきたＡＣＫフレームを受信し、第１のクライアント１とのＴＣＰ接続を確立する。これ以降、クライアントからサーバ２へ送られたフレームに対する動作は、上記（１９）〜（２３）の動作と同様であり、また、サーバ２からクライアントへ送られたフレームに対する動作は、上記（１６）〜（１８）の動作と同様であるので、重複する説明を省略する。

ケース４について説明する。（２４）第２のクライアント５は、第１のクライアント１のアドレス［１０．０．０．１］を送信元アドレスに設定することによって、アドレスを詐称する。そして、サーバ２（［５０．０．０．１］）宛にＴＣＰのＳＹＮフレームを送信する。（２５）クライアント側送受信部１１は、そのＳＹＮフレームを受信してフレーム識別部１４へ送る。（２６）フレーム識別部１４は、ステップＳ１１の判断を行い、受け取ったフレームが他局（［５０．０．０．１］）宛のＳＹＮフレームであるので（ステップＳ１１：Ｙｅｓ）、そのフレームを有効攻撃識別部１５へ送る。

（２７）有効攻撃識別部１５は、アドレス保持部１３から［１０．０．０．１］のアドレスのエントリを読み出す（ステップＳ１２）。続いて、ステップＳ１３の判断を行い、そのエントリの有効攻撃フラグの値は「０」であるので、無効攻撃アドレスであると判断し（ステップＳ１３：Ｙｅｓ）、有効攻撃識別部１５は、そのフレームをサーバ側送受信部１７へ転送し（ステップＳ１４）、一連の処理を終了する。（２８）サーバ側送受信部１７は、そのフレームをサーバ側ネットワークへ送信する。（２９）サーバ２は、転送されてきたＳＹＮフレームを受信し、その応答としてＳＹＮ／ＡＣＫフレームを第１のクライアント１（［１０．０．０．１］）宛に送信する。

（３０）サーバ側送受信部１７は、そのＳＹＮ／ＡＣＫフレームを受信し、クライアント側送受信部１１へ送る。（３１）クライアント側送受信部１１は、そのＳＹＮ／ＡＣＫフレームをクライアント側ネットワークへ送信する。（３２）第１のクライアント１は、送られてきたＳＹＮ／ＡＣＫフレームを受信するが、その前にＳＹＮフレームを送信していないので、ＲＳＴフレームをサーバ２（［５０．０．０．１］）宛に送信する。

（３３）クライアント側送受信部１１は、そのＲＳＴフレームを受信してフレーム識別部１４へ送る。（３４）フレーム識別部１４は、ステップＳ１１の判断を行い、受け取ったフレームが他局（［５０．０．０．１］）宛であり、かつＳＹＮフレームではないので（ステップＳ１１：Ｎｏ）、そのＲＳＴフレームをサーバ側送受信部１７へ転送し（ステップＳ１４）、一連の処理を終了する。（３５）サーバ側送受信部１７は、そのＲＳＴフレームをサーバ側ネットワークへ送信する。（３６）サーバ２は、第１のクライアント１からＲＳＴフレームを受信することによって、第１のクライアント１とのＴＣＰ接続が切断されたことを認識する。

ケース５について説明する。（３７）第２のクライアント５は、送信元アドレスに［１０．０．０．５］を設定し、サーバ２（［５０．０．０．１］）宛にＴＣＰのＳＹＮフレームを送信する。ケース２で説明した通り、アドレスが［１０．０．０．５］である端末は存在しない。つまり、第２のクライアント５は、存在しない端末のアドレスを詐称している。（３８）クライアント側送受信部１１は、そのＳＹＮフレームを受信してフレーム識別部１４へ送る。（３９）フレーム識別部１４は、ステップＳ１１の判断を行い、受け取ったフレームが他局（［５０．０．０．１］）宛のＳＹＮフレームであるので（ステップＳ１１：Ｙｅｓ）、そのフレームを有効攻撃識別部１５へ送る。

（４０）有効攻撃識別部１５は、アドレス保持部１３から［１０．０．０．５］のアドレスのエントリを読み出し（ステップＳ１２）、ステップＳ１３の判断を行う。そのエントリの有効攻撃フラグの値は「１」であるので、無効攻撃アドレスではないと判断し（ステップＳ１３：Ｎｏ）、有効攻撃識別部１５は、そのフレームを流量制限部１６へ送る。（４１）流量制限部１６は、受け取ったフレームを他のＳＹＮフレームと合わせて、例えば１秒間に１フレーム単位程度に制限してサーバ側送受信部１７へ送り、流量制限処理を行う（ステップＳ１５）。（４２）サーバ側送受信部１７は、ステップＳ１４の処理を行い、転送されてきたフレームをサーバ側ネットワークへ送信し、一連の処理を終了する。

（４３）サーバ２は、ＤｏＳ攻撃防御装置１０から転送されきたＳＹＮフレームを受信し、その応答としてＳＹＮ／ＡＣＫフレームを、アドレスが［１０．０．０．５］である端末宛に送信する。（４４）［１０．０．０．５］の端末が存在しないため、［１０．０．０．５］宛に送信されたＳＹＮ／ＡＣＫフレームは、ネットワーク中の中継装置において廃棄される。

（４５）サーバ２は、［１０．０．０．５］のアドレスを有するであろう端末からＡＣＫフレームが返されてこないので、［１０．０．０．５］のアドレスを詐称している端末、すなわちアタッカーである第２のクライアント５とのＴＣＰ接続用のリソースを開放する。実施の形態１によれば、以上のケース３〜５により、有効攻撃フレームのみが流量制限部１６を通過することになるので、ＳＹＮフレームの転送量を制限することができる。従って、ＳＹＮフラッド攻撃が行われた場合でも、正当なクライアントに対するサービスを遮断させずに済む。なお、流量制限のアルゴリズムとして、従来の統計手法のうちのいずれの手法も用いることができる。

（実施の形態２）
図６は、本発明の実施の形態２にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。図６に示すように、実施の形態２は、実施の形態１のＤｏＳ攻撃防御装置１０に例外保持部１８を追加したものである。例外保持部１８には、予め、正当なクライアントである、すなわちアタッカーではないと判明しているクライアントのアドレスが記録される。例外保持部１８の追加に伴って、有効攻撃識別部１５には、次の新たな機能が付加される。

有効攻撃識別部１５は、フレーム識別部１４からフレームを受け取ると、例外保持部１８に対してそのフレームの送信元アドレスの検索を行う。そして、例外保持部１８にそのアドレスが登録されている場合、そのフレームをサーバ側送受信部１７へ送る。一方、アドレスが例外保持部１８に登録されていない場合には、アドレス保持部１３から当該アドレスのエントリを読み出す。

例えば、予め第１のクライアント１が正当なクライアントであることが判明しており、第１のクライアント１の通信を流量制限対象から除外する場合について、具体的な動作を説明する。ネットワーク管理者等は、予め第１のクライアント１のアドレス［１０．０．０．１］を例外保持部１８のエントリとして登録しておく。実施の形態１で説明した動作と異なるのは、サーバ２へのフレーム転送動作において、ケース３の（１４）の動作である。

図７は、本発明の実施の形態２におけるフレーム転送動作を説明するためのフローチャートである。すなわち、図７に示すように、まず、フレーム識別部１４が受け取ったフレームが、ＳＹＮフレームか否かの判断を行い（ステップＳ１１）、受け取ったフレームが、他局（［５０．０．０．１］）宛のＳＹＮフレームである場合（ステップＳ１１：Ｙｅｓ）、フレーム識別部１４は、そのフレームを有効攻撃識別部１５へ送る。有効攻撃識別部１５は、フレーム識別部１４から受け取ったフレームの送信元アドレス［１０．０．０．１］に基づいて、例外保持部１８のエントリを読み出し（ステップＳ２１）、例外保持部１８の検索を行う。次、読み出したエントリが登録済みアドレスか否かを判断し（ステップＳ２２）、ここでは、例外保持部１８に該当するエントリがアドレスとして登録されているので（ステップＳ２２：Ｙｅｓ）、有効攻撃識別部１５は、そのフレームをサーバ側送受信部１７へ送る。サーバ側送受信部１７は、転送されてきたフレームをサーバ側ネットワークへ送信し（ステップＳ１４）、一連の処理を終了する。

例えば、ステップＳ２２において、送信元アドレスが［１０．０．０．２］や［１０．０．０．５］である場合、すなわち予め判明している正当なクライアントのアドレス以外のアドレスである場合には（ステップＳ２２：Ｎｏ）、該当するエントリが例外保持部１８に登録されていないので、有効攻撃識別部１５は、アドレス保持部１３から当該アドレスのエントリを読み出し（ステップＳ１２）、有効攻撃フレームであるか否かを識別する（ステップＳ１３）。ステップＳ１３以降の処理は、図５に示した実施の形態１における処理と同様であるので、重複する説明を省略する。

実施の形態２においては、ケース３の（１４）以外の動作は、実施の形態１と同じであるので、重複する説明を省略する。実施の形態２によれば、例えばネットワーク管理者が常時起動していることが判明しているクライアントなど、特定のクライアントのアドレスを例外保持部１８に登録しておくことによって、特定のクライアントからのフレームを常時優先的に中継することが可能となる。

（実施の形態３）
図８は、本発明の実施の形態３にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。図８に示すように、実施の形態３は、実施の形態１のＤｏＳ攻撃防御装置１０にＤＮＳ調査部１９を追加したものである。ＤＮＳとは、ドメイン・ネーム・システムのことである。ＤＮＳ調査部１９は、ＤＮＳクライアント機能により、装置外部のＤＮＳサーバに対して、外部ネットワークの、例えば特定サブネットの各アドレスについてホストアドレスの問い合わせを行い、ＤＮＳに登録済みの端末のアドレスを調査する。そして、当該サブネットの全アドレスのうち、ＤＮＳに登録済みのアドレスを事前情報収集部１２に通知する。なお、ＤＮＳのセカンダリサーバ機能により、ホスト一覧を取得してもよい。

ＤＮＳ調査部１９の追加に伴って、事前情報収集部１２の収集動作は、ＤＮＳ調査部１９から通知されたアドレスに対してのみ応答状況の収集を行うように変更される。従って、事前情報収集部１２は、調査対象のサブネット（［１０．０．０．０／２４］）のうち、ＤＮＳ調査部１９からホストアドレスを取得できたアドレスに対して、実施の形態１で説明したように、定期的にＳＹＮ／ＡＣＫフレームの送信を行い、それに対するＲＳＴフレームの応答を監視する。ＲＳＴフレームの応答があれば、そのときの送信先アドレスに対する有効攻撃フラグの値を「０」にしてアドレス保持部１３に登録する。

ＳＹＮ／ＡＣＫフレームの送信後、ＲＳＴフレームを受信せずに一定時間が過ぎると、そのときの送信先アドレスに対する有効攻撃フラグの値を「１」にしてアドレス保持部１３に登録する。また、事前情報収集部１２は、ＤＮＳ調査部１９からホストアドレスを取得できなかったことが通知されたアドレス、すなわちＤＮＳに登録されていないアドレスについては、有効攻撃フラグの値を「１」に設定してアドレス保持部１３に登録する機能を有する。さらに、図６に示したような例外保持部１８の追加に伴って、フレーム識別部１４には、クライアント側送受信部１１から受け取ったフレームが自局宛のＤＮＳ応答フレームである場合に、そのフレームをＤＮＳ調査部１９へ送る機能が付加されている。

ＤＮＳ登録済みのホストを定期的に調査する動作について説明する。ここでは、外部のＤＮＳサーバのアドレスを［２０．０．０．２］とし、サブネット［１０．０．０．０／２４］のアドレス一覧をＤＮＳサーバ経由で取得するものとする。なお、ＤｏＳ攻撃防御装置１０からＤＮＳサーバへの問い合わせメッセージが届く範囲であれば、ＤＮＳサーバはどこに設置されていてもよい。

まず、ＤＮＳにアドレスが登録されている場合について説明する。（４６）ＤＮＳ調査部１９は、外部のＤＮＳサーバ（［２０．０．０．２］）宛にアドレス［１０．０．０．１］のＤＮＳ逆引きの要求フレームをクライアント側送受信部１１へ送る。（４７）クライアント側送受信部１１は、この要求フレームをクライアント側ネットワークへ送信する。（４８）外部のＤＮＳサーバは、この要求フレームを受信し、［１０．０．０．１］のアドレスに対するホスト名をＤｏＳ攻撃防御装置１０（［２０．０．０．１］）宛に送信する。（４９）クライアント側送受信部１１は、ＤＮＳサーバから送られてきたフレームを受け取り、フレーム識別部１４へ送る。

（５０）フレーム識別部１４は、受け取ったフレームが自局［２０．０．０．１］宛のＤＮＳ応答フレームであるので、そのフレームをＤＮＳ調査部１９へ送る。（５１）ＤＮＳ調査部１９は、ＤＮＳ応答フレームのホスト名が解決されたので、事前情報収集部１２にアドレス［１０．０．０．１］の名前の調査が成功したことを通知する。（５２）事前情報収集部１２は、アドレス保持部１３に、［１０．０．０．１］のアドレスと、そのアドレスに対する有効攻撃フラグの値を「０」としたエントリを登録する。

一方、ＤＮＳにアドレスが登録されていない場合は、以下のようになる。（５３）ＤＮＳ調査部１９は、外部のＤＮＳサーバ（［２０．０．０．２］）宛に、アドレス［１０．０．０．５］のＤＮＳ逆引きの要求フレームをクライアント側送受信部１１へ送る。（５４）クライアント側送受信部１１は、上記フレームをクライアント側ネットワークに送信する。（５５）外部のＤＮＳサーバは、この要求フレームを受信し、［１０．０．０．５］のアドレスに対するホストが存在しないことをＤｏＳ攻撃防御装置１０（［２０．０．０．１］）宛に送信する。（５６）クライアント側送受信部１１は、ＤＮＳサーバから送られてきたフレームを受け取り、フレーム識別部１４へ送る。

（５７）フレーム識別部１４は、受け取ったフレームが自局［２０．０．０．１］宛のＤＮＳ応答フレームであるので、そのフレームをＤＮＳ調査部１９へ送る。（５８）ＤＮＳ調査部１９は、ＤＮＳ応答フレームのホスト名が解決されなかったので、事前情報収集部１２にアドレス［１０．０．０．５］の名前の調査が失敗したことを通知する。（５９）事前情報収集部１２は、アドレス保持部１３に、［１０．０．０．５］のアドレスと、そのアドレスに対する有効攻撃フラグの値を「１」としたエントリを登録する。

図９は、本発明の実施の形態３における事前情報収集動作を説明するためのフローチャートである。図９に示すように、まず、上記（４６）〜（５９）の動作によるＤＮＳ調査を行うため、ＤＮＳ調査フレームを送信し（ステップＳ３１）、ＤＮＳの応答アドレスを無効攻撃アドレスとしてアドレス保持部１３に記録する（ステップＳ３２）。その後、予め指定された特定サブネット内の全アドレスに対して、実施の形態１と同様の事前情報収集動作（ステップＳ１〜ステップＳ８）を行う。ただし、ステップＳ１の処理後、各アドレスについてＳＹＮ／ＡＣＫフレームを送信する際には、その前にＳＹＮ／ＡＣＫフレームの送信先アドレスがＤＮＳで登録済みであるか否かを確認する（ステップＳ３３）。

そして、登録済みである場合には（ステップＳ３３：Ｙｅｓ）、そのアドレス宛にＳＹＮ／ＡＣＫフレームを送信する（ステップＳ２）。設定した送信先アドレスがＤＮＳで登録されていない場合には（ステップＳ３３：Ｎｏ）、ＳＹＮ／ＡＣＫフレームを送信しないで、ＳＹＮ／ＡＣＫフレームの送信対象を次の調査アドレスに設定する（ステップＳ３４）。つまり、ＳＹＮ／ＡＣＫフレームの送信先アドレスがＤＮＳで登録されてる場合にのみ、ＳＹＮ／ＡＣＫフレームの送信による事前調査を行う。なお、ケース３〜５に関しては、実施の形態１と同様であるので、重複する説明を省略する。

実施の形態３によれば、事前情報収集部１２は、対象とするサブネットのうち、ＤＮＳで登録されている特定のアドレスに対してのみ事前調査を行えばよいので、事前情報収集部１２が送信または受信する調査用の処理フレーム数を削減することができ、事前情報収集時の処理負荷を軽減することができる。なお、ＤＮＳ情報の更新頻度は、一般的に数日〜数ヶ月に１回程度であるので、ＤＮＳ調査部１９による調査の間隔は、事前情報収集部１２による情報収集の間隔（例えば、数分程度）に比べて十分に長い期間となる。従って、ＤＮＳ調査部１９による処理負荷は問題にならない。

（実施の形態４）
図１０は、本発明の実施の形態４にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。図１０に示すように、実施の形態４は、実施の形態１のＤｏＳ攻撃防御装置１０にセッション監視部２０を追加したものである。セッション監視部２０は、サーバ２とクライアントの間でやりとりされる通信フレームに対して、そのＴＣＰヘッダのフラグを確認し、ＳＹＮフレーム、ＳＹＮ／ＡＣＫフレームおよびＡＣＫフレームの３つが通過した時点で、そのときのクライアントのアドレスに対して、有効攻撃フラグの値を「０」に設定してアドレス保持部１３に登録する。

セッション監視部２０によるセッション監視動作について説明する。ここでは、第１のクライアント１がサーバ２と正常に通信する場合について説明する。第１のクライアント１が例えば電源投入直後の状態であり、アドレス保持部１３に、第１のクライアント１に対する有効攻撃フラグの値として「１」が登録されているものとする。なお、セッション監視動作以外の動作については、実施の形態１と同様であるので、重複する説明を省略する。

図１１は、本発明の実施の形態４におけるセッション監視動作を説明するためのフローチャートである。図１１に示すように、（６０）第１のクライアント１は、送信元アドレスに［１０．０．０．１］を設定し、送信元ポート番号および送信先ポート番号にそれぞれ例えば５０００番および８０番を設定し、サーバ２（［５０．０．０．１］）宛にＴＣＰのＳＹＮフレームを送信する。（６１）セッション監視部２０は、第１のクライアント１から送られてきたＳＹＮフレームを確認し（ステップＳ４１）、接続情報として、クライアントアドレス［１０．０．０．１］、サーバアドレス［５０．０．０．１］、クライアントポート番号５０００およびサーバポート番号８０を保持し、ＳＹＮフレームを送信した状態に遷移したことを保持しておく。

（６２）サーバ２は、クライアント１からＳＹＮフレームを受信したか否かを判断する（ステップＳ４１）。そして、第１のクライアント１から送られたＳＹＮフレームの受信を待ち、ＳＹＮフレームの受信を確認すると（ステップＳ４１：Ｙｅｓ）、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号にそれぞれ［５０．０．０．１］、［１０．０．０．１］、８０番および５０００番を設定して、ＳＹＮ／ＡＣＫフレームを送信する。（６３）セッション監視部２０は、サーバ２からＳＹＮ／ＡＣＫフレームを受信したか否かを判断する（ステップＳ４３）。そして、サーバ２から送られてきたＳＹＮ／ＡＣＫフレームの受信を待ち、ＳＹＮ／ＡＣＫフレームの受信を確認すると（ステップＳ４３：Ｙｅｓ）、接続情報を、上記（６１）の動作において記録したＳＹＮフレームの送信状態から、ＳＹＮ／ＡＣＫフレームを送信した状態に遷移したことを保持する。

（６４）第１のクライアント１は、サーバ２から送られてきたＳＹＮ／ＡＣＫフレームを受信し、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号にそれぞれ［１０．０．０．１］、［５０．０．０．１］、５０００番および８０番を設定して、ＡＣＫフレームを送信する。（６５）セッション監視部２０は、第１のクライアント１からＡＣＫフレームを受信したか否かを確認する（ステップＳ４５）。そして、第１のクライアント１から送られてきたＡＣＫフレームを確認し（ステップＳ４５：Ｙｅｓ）、上記（６１）の動作において記録した接続情報の作成が完了したことを認識し、アドレス保持部１３に無効攻撃アドレスとして記録するため（ステップＳ４６）、アドレス保持部１３に登録されている、クライアントアドレス［１０．０．０．１］に対する有効攻撃フラグの値を「０」に設定し、一連の処理を終了する。

なお、ステップＳ４１において、第１のクライアント１がＳＹＮフレームを送信した後、ＳＹＮ／ＡＣＫフレームの代わりにＲＳＴフレームを確認した場合、あるいはＳＹＮフレームの送信後、タイムアウトの確認もしくはＲＳＴフレームの受信の確認を行う（ステップＳ４２）。タイムアウト、つまり一定時間が経過した場合、もしくはＲＳＴフレームを受信した場合には（ステップＳ４２：Ｙｅｓ）、セッション監視動作を終了する。また、ステップＳ４３の処理の後にも、サーバ２がＳＹＮ／ＡＣＫフレームを送信した後にＲＳＴフレームを確認した場合や一定時間が経過（タイムアウト）したかの確認を行い（ステップＳ４４）、ＲＳＴフレームを確認した場合や一定時間が経過した場合は（ステップＳ４４：Ｙｅｓ）、セッション監視動作を終了する。実施の形態４によれば、過去にサーバ２と正常に通信を行ったクライアントからのフレームを、流量制限対象からはずして、優先的に中継することができる。

（実施の形態５）
図１２は、本発明の実施の形態５にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。図１２に示すように、実施の形態５は、実施の形態１のＤｏＳ攻撃防御装置１０に調査タイミング保持部２１を追加したものである。調査タイミング保持部２１は、事前情報収集部１２による調査を行う時間帯を保持する。調査タイミング保持部２１には、予めネットワーク管理者等により、調査開始時刻および調査終了時刻が設定される。

調査タイミング保持部２１は、調査開始時刻になると、調査開始時刻になったことを事前情報収集部１２に通知し、調査終了時刻になると、調査終了時刻になったことを事前情報収集部１２に通知する。事前情報収集部１２は、調査タイミング保持部２１から調査開始の通知を受けると、実施の形態１において説明した通り、定期的なＳＹＮ／ＡＣＫフレームの送信動作を開始する。また、事前情報収集部１２は、調査タイミング保持部２１から調査終了の通知を受けると、その定期的なＳＹＮ／ＡＣＫフレームの送信動作を停止する。

図１３は、本発明の実施の形態５における調査時間制御動作を説明するためのフローチャートである。例えば、１日のうち８〜１７時を調査期間に設定した場合の動作について説明する。図１３に示すように、（６６）８時になった時点で、調査タイミング保持部２１は、調査開始時刻になったか否かを判断する（ステップＳ５１）。ここで、調査開始時刻まで待機し、調査開始時刻になると（ステップＳ５１：Ｙｅｓ）、事前情報収集部１２に通知する。（６７）事前情報収集部１２は、ステップＳ５１の処理による開始通知を受け取ると、実施の形態１のケース１およびケース２の事前情報収集動作である情報収集処理を実施する（ステップＳ５２）。そして、（６８）１７時になった時点で、調査タイミング保持部２１は、調査終了時刻か否かを判断し（ステップＳ５３）、調査終了時刻まで待機し、調査終了時刻になると（ステップＳ５３：Ｙｅｓ）、その旨を事前情報収集部１２に通知し（ステップＳ５３）、一連の処理を終了する。それによって、（６９）事前情報収集部１２は、上記（６７）の事前情報収集動作である情報収集処理を停止する。

実施の形態５によれば、例えば８〜１７時の間のみ事前情報収集部１２による情報収集動作を実施することができる。また、メンテナンス等によりクライアントとＤｏＳ攻撃防御装置１０の間のネットワークを遮断する場合に、ネットワークを遮断する前の情報を、ネットワークが復帰した後に引き継ぐことができる。

（実施の形態６）
図１４は、本発明の実施の形態６にかかるＤｏＳ攻撃防御システムを備えたネットワークの構成を示す概略図である。図１４に示すように、本発明の実施の形態６にかかるＤｏＳ攻撃防御システムは、実施の形態１〜５のＤｏＳ攻撃防御装置１０を、事前情報収集を行う機能を備えた前段装置３１と、有効攻撃フレームを識別してその流量制限を行う機能を備えた後段装置３２に分け、前段装置３１を外部ネットワーク７に接続し、後段装置３２をサーバ２に接続したものである。このようにすることによって、例えばクライアント側の外部ネットワーク７とサーバ側の内部ネットワークとの境界にファイヤウォール３０が設置されており、サーバ側からは直接、クライアントにアクセスできない場合でも、事前情報収集を行うことができる。

図１５は、本発明の実施の形態６にかかるＤｏＳ攻撃防御システムの前段装置の構成を示すブロック図である。図１５に示すように、前段装置３１は、第１のクライアント側送受信部１１、事前情報収集部１２、第１のアドレス保持部２２、第１のフレーム識別部２３、アドレス転送部２４および第１のサーバ側送受信部２５を備えている。第１のクライアント側送受信部１１は、実施の形態１のクライアント側送受信部１１と同じものである。事前情報収集部１２は、実施の形態１で説明した通りである。ただし、事前情報収集部１２は、第１のアドレス保持部２２に対して、クライアントのアドレスと有効攻撃フラグの値のエントリを登録する。

第１のアドレス保持部２２は、調査対象の各アドレスとその有効攻撃フラグの値（「０」または「１」）を保持する。第１のフレーム識別部２３は、第１のクライアント側送受信部１１から受け取ったフレームのヘッダ情報を識別し、そのフレームが自局（前段装置３１）宛のＲＳＴフレームであるか、その他のフレームであるかを識別する。自局宛のＲＳＴフレームである場合には、そのフレームを事前情報収集部１２へ送る。その他のフレームである場合には、そのフレームを第１のサーバ側送受信部２５へ送る。

アドレス転送部２４は、定期的、例えば事前情報収集部１２による情報収集が完了した時点で、第１のアドレス保持部２２に登録されているエントリを読み出し、エントリ一覧を第１のサーバ側送受信部２５へ送る。第１のサーバ側送受信部２５は、ネットワークを介して後段装置３２に接続されており、後段装置３２に対してフレームの送受信を行う。例えば、後段装置３２から送られてきたフレームを第１のクライアント側送受信部１１へ送る。また、第１のフレーム識別部２３またはアドレス転送部２４から送られてきたフレームを後段装置３２へ転送する。

図１６は、本発明の実施の形態６にかかるＤｏＳ攻撃防御システムの後段装置の構成を示すブロック図である。図１６に示すように、後段装置３２は、第２のクライアント側送受信部２６、第２のフレーム識別部２７、アドレス記録部２８、第２のアドレス保持部２９、有効攻撃識別部１５、流量制限部１６および第２のサーバ側送受信部１７を備えている。第２のクライアント側送受信部２６は、ネットワークを介して前段装置３１に接続されており、前段装置３１に対してフレームの送受信を行う。例えば、前段装置３１から送られてきたフレームを第２のフレーム識別部２７へ送る。また、第２のサーバ側送受信部１７から送られてきたフレームを前段装置３１へ送信する。

第２のフレーム識別部２７は、前段装置３１から受け取ったフレームのヘッダ情報を識別し、そのフレームが自局（後段装置３２）宛の転送情報フレーム、中継対象のＳＹＮフレーム、およびその他のフレームのいずれであるかを識別する。自局宛の転送情報フレームである場合には、そのフレームをアドレス記録部２８へ送る。ＳＹＮフレームである場合には、そのフレームを有効攻撃識別部１５へ送る。その他のフレームである場合には、そのフレームを第２のサーバ側送受信部１７へ送る。

アドレス記録部２８は、第２のフレーム識別部２７から受け取ったエントリ一覧の転送情報を第２のアドレス保持部２９に登録する。それによって、第２のアドレス保持部２９に登録されているエントリ一覧が更新される。有効攻撃識別部１５および流量制限部１６は、実施の形態１で説明した通りである。ただし、有効攻撃識別部１５は、第２のフレーム識別部２７からフレームを受け取ると、そのフレームの送信元アドレスに基づいて、第２のアドレス保持部２９から該当するエントリを読み出す。第２のサーバ側送受信部１７は、実施の形態１のサーバ側送受信部１７と同じものである。

次、ＤｏＳ攻撃防御システムの動作について説明する。ここでは、前段装置３１および後段装置３２のアドレスをそれぞれ［１０．０．０．２］および［２０．０．０．１］とする。また、ファイヤウォール３０（図１４参照）は、サブネット［１０．０．０．０／２４］の内部へ向かうＴＣＰ接続をブロックするものとする。前段装置３１によるアドレスの事前収集動作については、実施の形態１のケース１およびケース２と同様であるので、重複する説明を省略する。以下、事前情報収集部１２による情報収集が完了した後の動作について説明する。

図１７は、前段装置の動作を説明するためのフローチャートである。（７０）図１７に示すように、前段装置３１において、まず、一定時間経過したか否かを判断する（ステップＳ６１）。そして、一定時間経過するまで待機し、一定時間経過すると（ステップＳ６１：Ｙｅｓ）、次、アドレス転送部２４は、第１のアドレス保持部２２に登録されている内容を読み出す（ステップＳ６２）。つまり、全エントリ、すなわち［１０．０．０．０］〜［１０．０．０．２５５］の各アドレスに対する有効攻撃フラグの値を読み出す。そして、送信元アドレスおよび送信先アドレスにそれぞれ［１０．０．０．２］および［２０．０．０．１］を設定した転送情報フレームを作成し、そのフレームを第１のサーバ側送受信部２５へ送る。（７１）第１のサーバ側送受信部２５は、アドレス転送部２４から送られてきたフレームを後段装置３２へ送信し（ステップＳ６３）、一連の処理を終了する。

図１８は、後段装置の動作を説明するためのフローチャートである。（７２）図１８に示すように、後段装置３２において、まず、第２のクライアント側送受信部２６は、前段装置３１から転送されてきた転送情報フレームを受信したか否かを判断する（ステップＳ７１）。そして、フレームを受信するまで待機し、フレームを受信すると（ステップＳ７１：Ｙｅｓ）、そのフレームを第２のフレーム識別部２７へ送る。（７３）第２のフレーム識別部２７は、前段装置３１から自局（［２０．０．０．１］）宛のフレームを受信したので、そのフレームをアドレス記録部２８へ送る。（７４）アドレス記録部２８は、第２のフレーム識別部２７からフレームを受け取ると、第２のアドレス保持部２９に登録されている［１０．０．０．０］〜［１０．０．０．２５５］の各アドレスのエントリを更新する（ステップＳ７２）。これ以降の後段装置３２によるフレーム中継動作については、実施の形態１のケース３〜５と同様であるので、重複する説明を省略する。説明を省略する。

以上において本発明は、上述した各実施の形態に限らず、種々変更可能である。例えば、ＤｏＳ攻撃防御装置１０や後段装置３２がサーバ２に内蔵されていてもよい。

（付記１）クライアントに接続された外部ネットワークから送られてきたフレームを、サーバに接続された特定のネットワークへ転送するフレーム転送制御装置であって、
外部ネットワークのクライアントに対して応答要求を定期的に送信し、該応答要求の送信に対する前記クライアントの応答を監視する事前情報収集手段と、
前記外部ネットワークからサーバ宛に送られてきたフレームに対して、前記事前情報収集手段が収集した前記クライアントの応答状況に基づいて、正当なクライアントから送られてきた中継対象フレームと、送信元アドレスを詐称した不正フレームとを識別する有効攻撃識別手段と、
前記有効攻撃識別手段により識別された中継対象フレームを優先的にサーバ側へ転送するとともに、不正フレームの転送を抑制する流量制限手段と、
を備えたことを特徴とするフレーム転送制御装置。

（付記２）クライアントに接続された外部ネットワークからのＤｏＳ攻撃から、サーバに接続された特定のネットワークを保護するＤｏＳ攻撃防御装置であって、
予め外部ネットワークのクライアントに対してＳＹＮ／ＡＣＫフレームを送信し、該ＳＹＮ／ＡＣＫフレームの送信に対して前記クライアントから返されてくるＲＳＴフレームの応答を監視する事前情報収集手段と、
前記事前情報収集手段が収集した前記クライアントの応答状況を該クライアントのアドレスとともに格納するアドレス保持手段と、
前記外部ネットワークからサーバ宛に送られてきたフレームの中から、前記アドレス保持手段のエントリ内容に基づいて、ＤｏＳ攻撃として有効なフレームを選択する有効攻撃識別手段と、
前記有効攻撃識別手段により選択されたフレームを前記サーバへ転送する際のフレーム送信帯域を調節してサーバ側への流量制限を行う流量制限手段と、
を備えたことを特徴とするＤｏＳ攻撃防御装置。

（付記３）前記クライアントのアドレスを保持する例外保持手段をさらに備えており、前記有効攻撃識別手段は、前記例外保持手段に記録されているアドレスを有するクライアントから前記サーバ宛に送られてきたフレームを該サーバへ転送する対象とすることを特徴とする付記１に記載のＤｏＳ攻撃防御装置。

（付記４）ドメイン・ネーム・システムに登録済みのクライアントのアドレスを調査して前記事前情報収集手段に通知するＤＮＳ調査手段をさらに備えており、前記事前情報収集手段は、前記ＤＮＳ調査手段から通知されたアドレスを有するクライアントに対してのみ予めＳＹＮ／ＡＣＫフレームを送信することを特徴とする付記２または３に記載のＤｏＳ攻撃防御装置。

（付記５）前記サーバと前記クライアントの間のセッションの完了を監視して、正常に通信が完了したクライアントのアドレスを前記アドレス保持手段に通知するセッション監視手段をさらに備えており、前記アドレス保持手段は、前記セッション監視手段から通知されたアドレスを登録することを特徴とする付記２〜４のいずれか一つに記載のＤｏＳ攻撃防御装置。

（付記６）クライアントに接続された外部ネットワークからのＤｏＳ攻撃から、サーバに接続された特定のネットワークを保護するＤｏＳ攻撃防御装置を、前記外部ネットワークに接続された前段装置と、前記特定のネットワークに接続された後段装置に分割した構成のＤｏＳ攻撃防御システムであって、
前記前段装置は、予め外部ネットワークのクライアントに対してＳＹＮ／ＡＣＫフレームを送信し、該ＳＹＮ／ＡＣＫフレームの送信に対して前記クライアントから返されてくるＲＳＴフレームの応答を監視する事前情報収集手段と、前記事前情報収集手段が収集した前記クライアントの応答状況を該クライアントのアドレスとともに格納する第１のアドレス保持手段と、前記第１のアドレス保持手段のエントリ内容を後段装置へ転送するアドレス転送手段と、を備えており、
前記後段装置は、前記アドレス転送手段から転送されてきたエントリ内容を格納する第２のアドレス保持手段と、前記アドレス転送手段から転送されてきたエントリ内容を受け取って前記第２のアドレス保持手段のエントリ内容を更新するアドレス記録手段と、前記外部ネットワークからサーバ宛に送られてきたフレームの中から、前記第２のアドレス保持手段のエントリ内容に基づいて、ＤｏＳ攻撃として有効なフレームを選択する有効攻撃識別手段と、前記有効攻撃識別手段により選択されたフレームを前記サーバへ転送する際のフレーム送信帯域を調節してサーバ側への流量制限を行う流量制限手段と、
を備えたことを特徴とするＤｏＳ攻撃防御システム。

（付記７）前記後段装置は、前記クライアントのアドレスを保持する例外保持手段をさらに備えており、前記有効攻撃識別手段は、前記例外保持手段に記録されているアドレスを有するクライアントから前記サーバ宛に送られてきたフレームを該サーバへ転送する対象とすることを特徴とする付記６に記載のＤｏＳ攻撃防御システム。

（付記８）前記前段装置は、ドメイン・ネーム・システムに登録済みのクライアントのアドレスを調査して前記事前情報収集手段に通知するＤＮＳ調査手段をさらに備えており、前記事前情報収集手段は、前記ＤＮＳ調査手段から通知されたアドレスを有するクライアントに対してのみ予めＳＹＮ／ＡＣＫフレームを送信することを特徴とする付記６または７に記載のＤｏＳ攻撃防御システム。

（付記９）前記後段装置は、前記サーバと前記クライアントの間のセッションの完了を監視して、正常に通信が完了したクライアントのアドレスを前記第２のアドレス保持手段に通知するセッション監視手段をさらに備えており、前記第２のアドレス保持手段は、前記セッション監視手段から通知されたアドレスを登録することを特徴とする付記６〜８のいずれか一つに記載のＤｏＳ攻撃防御システム。

（付記１０）前記事前情報収集手段によるＳＹＮ／ＡＣＫフレームの送信と、該ＳＹＮ／ＡＣＫフレームの送信に対するＲＳＴフレームの応答の監視を行う時間帯を保持して、前記事前情報収集手段に該時間帯の開始と終了を通知する調査タイミング保持手段をさらに備えており、前記事前情報収集手段は、前記調査タイミング保持手段から開始の通知を受け取ると前記ＳＹＮ／ＡＣＫフレームの送信とその応答の監視を開始し、前記調査タイミング保持手段から終了の通知を受け取ると前記ＳＹＮ／ＡＣＫフレームの送信とその応答の監視を終了することを特徴とする付記２〜５のいずれか一つに記載のＤｏＳ攻撃防御装置。

（付記１１）前記前段装置は、前記事前情報収集手段によるＳＹＮ／ＡＣＫフレームの送信と、該ＳＹＮ／ＡＣＫフレームの送信に対するＲＳＴフレームの応答の監視を行う時間帯を保持して、前記事前情報収集手段に該時間帯の開始と終了を通知する調査タイミング保持手段をさらに備えており、前記事前情報収集手段は、前記調査タイミング保持手段から開始の通知を受け取ると前記ＳＹＮ／ＡＣＫフレームの送信とその応答の監視を開始し、前記調査タイミング保持手段から終了の通知を受け取ると前記ＳＹＮ／ＡＣＫフレームの送信とその応答の監視を終了することを特徴とする付記６〜９のいずれか一つに記載のＤｏＳ攻撃防御システム。

以上のように、本発明にかかるフレーム転送制御装置、ＤｏＳ攻撃防御装置およびＤｏＳ攻撃防御システムは、ＳＹＮフラッド攻撃等の不正アクセス対策に有用であり、特に、特定の顧客等のグループを対象としたネットワークシステムにおけるＳＹＮフラッド攻撃対策に適している。

本発明の実施の形態１にかかるＤｏＳ攻撃防御装置を備えたネットワークの構成を示す概略図である。 本発明の実施の形態１にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。 アドレス保持部の構成の一例を示す図である。 本発明の実施の形態１における事前情報収集動作を説明するためのフローチャートである。 本発明の実施の形態１におけるフレーム転送動作を説明するためのフローチャートである。 本発明の実施の形態２にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。 本発明の実施の形態２におけるフレーム転送動作を説明するためのフローチャートである。 本発明の実施の形態３にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。 本発明の実施の形態３における事前情報収集動作を説明するためのフローチャートである。 本発明の実施の形態４にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。 本発明の実施の形態４におけるセッション監視動作を説明するためのフローチャートである。 本発明の実施の形態５にかかるＤｏＳ攻撃防御装置の構成を示すブロック図である。 本発明の実施の形態５における調査時間制御動作を説明するためのフローチャートである。 本発明の実施の形態６にかかるＤｏＳ攻撃防御システムを備えたネットワークの構成を示す概略図である。 本発明の実施の形態６にかかるＤｏＳ攻撃防御システムの前段装置の構成を示すブロック図である。 本発明の実施の形態６にかかるＤｏＳ攻撃防御システムの後段装置の構成を示すブロック図である。 前段装置の動作を説明するためのフローチャートである。 後段装置の動作を説明するためのフローチャートである。 ＴＣＰの正常な接続手順を示す図である。 無効なＤｏＳ攻撃によるＴＣＰの接続手順を示す図である。 有効なＤｏＳ攻撃によるＴＣＰの接続手順を示す図である。

符号の説明

１，５，６ クライアント
２ サーバ
７ 外部ネットワーク
１０ ＤｏＳ攻撃防御装置
１２ 事前情報収集部
１３ アドレス保持部
１５ 有効攻撃識別部
１６ 流量制限部
１８ 例外保持部
１９ ＤＮＳ調査部
２０ セッション監視部
２２ 第１のアドレス保持部
２４ アドレス転送部
２８ アドレス記録部
２９ 第２のアドレス保持部
３１ 前段装置
３２ 後段装置

Claims (6)

1. クライアントに接続された外部ネットワークから送られてきたフレームを、サーバに接続された特定のネットワークへ転送するフレーム転送制御装置であって、
   外部ネットワークのクライアントに対して応答要求を定期的に送信し、該応答要求の送信に対する前記クライアントの応答を監視する事前情報収集手段と、
   前記外部ネットワークからサーバ宛に送られてきたフレームに対して、前記事前情報収集手段が収集した前記クライアントの応答状況に基づいて、正当なクライアントから送られてきた中継対象フレームと、送信元アドレスを詐称した不正フレームとを識別する有効攻撃識別手段と、
   前記有効攻撃識別手段により識別された中継対象フレームを優先的にサーバ側へ転送するとともに、不正フレームの転送を抑制する流量制限手段と、
   を備えたことを特徴とするフレーム転送制御装置。
2. クライアントに接続された外部ネットワークからのＤｏＳ攻撃から、サーバに接続された特定のネットワークを保護するＤｏＳ攻撃防御装置であって、
   予め外部ネットワークのクライアントに対してＳＹＮ／ＡＣＫフレームを送信し、該ＳＹＮ／ＡＣＫフレームの送信に対して前記クライアントから返されてくるＲＳＴフレームの応答を監視する事前情報収集手段と、
   前記事前情報収集手段が収集した前記クライアントの応答状況を該クライアントのアドレスとともに格納するアドレス保持手段と、
   前記外部ネットワークからサーバ宛に送られてきたフレームの中から、前記アドレス保持手段のエントリ内容に基づいて、ＤｏＳ攻撃として有効なフレームを選択する有効攻撃識別手段と、
   前記有効攻撃識別手段により選択されたフレームを前記サーバへ転送する際のフレーム送信帯域を調節してサーバ側への流量制限を行う流量制限手段と、
   を備えたことを特徴とするＤｏＳ攻撃防御装置。
3. 前記クライアントのアドレスを保持する例外保持手段をさらに備えており、前記有効攻撃識別手段は、前記例外保持手段に記録されているアドレスを有するクライアントから前記サーバ宛に送られてきたフレームを該サーバへ転送する対象とすることを特徴とする請求項２に記載のＤｏＳ攻撃防御装置。
4. ドメイン・ネーム・システムに登録済みのクライアントのアドレスを調査して前記事前情報収集手段に通知するＤＮＳ調査手段をさらに備えており、前記事前情報収集手段は、前記ＤＮＳ調査手段から通知されたアドレスを有するクライアントに対してのみ予めＳＹＮ／ＡＣＫフレームを送信することを特徴とする請求項２または３に記載のＤｏＳ攻撃防御装置。
5. 前記サーバと前記クライアントの間のセッションの完了を監視して、正常に通信が完了したクライアントのアドレスを前記アドレス保持手段に通知するセッション監視手段をさらに備えており、前記アドレス保持手段は、前記セッション監視手段から通知されたアドレスを登録することを特徴とする請求項２〜４のいずれか一つに記載のＤｏＳ攻撃防御装置。
6. クライアントに接続された外部ネットワークからのＤｏＳ攻撃から、サーバに接続された特定のネットワークを保護するＤｏＳ攻撃防御装置を、前記外部ネットワークに接続された前段装置と、前記特定のネットワークに接続された後段装置に分割した構成のＤｏＳ攻撃防御システムであって、
   前記前段装置は、予め外部ネットワークのクライアントに対してＳＹＮ／ＡＣＫフレームを送信し、該ＳＹＮ／ＡＣＫフレームの送信に対して前記クライアントから返されてくるＲＳＴフレームの応答を監視する事前情報収集手段と、前記事前情報収集手段が収集した前記クライアントの応答状況を該クライアントのアドレスとともに格納する第１のアドレス保持手段と、前記第１のアドレス保持手段のエントリ内容を後段装置へ転送するアドレス転送手段と、を備えており、
   前記後段装置は、前記アドレス転送手段から転送されてきたエントリ内容を格納する第２のアドレス保持手段と、前記アドレス転送手段から転送されてきたエントリ内容を受け取って前記第２のアドレス保持手段のエントリ内容を更新するアドレス記録手段と、前記外部ネットワークからサーバ宛に送られてきたフレームの中から、前記第２のアドレス保持手段のエントリ内容に基づいて、ＤｏＳ攻撃として有効なフレームを選択する有効攻撃識別手段と、前記有効攻撃識別手段により選択されたフレームを前記サーバへ転送する際のフレーム送信帯域を調節してサーバ側への流量制限を行う流量制限手段と、
   を備えたことを特徴とするＤｏＳ攻撃防御システム。
   
   

Images