JP2006510277A

JP2006510277A - 相関関数を用いてネットワーク攻撃を検出するネットワーク帯域異常検出装置及び方法

Info

Publication number: JP2006510277A
Application number: JP2004559506A
Authority: JP
Inventors: ローンマックアイザックゲリー
Original assignee: セタシアネットワークスコーポレイション
Priority date: 2002-12-13
Filing date: 2003-05-14
Publication date: 2006-03-23
Also published as: US20040114519A1; AU2003229456B2; CA2499938A1; WO2004056063A1; AU2003229456A1; CA2499938C; KR20050085604A; EP1573999A1

Abstract

【課題】データ通信システムにおける帯域異常を検出する方法を提供する。
【解決手段】通信システムにおける帯域異常を検出する方法が、この通信システムにおける第１方向のデータ量の時間分布を表わす第１トラフィック波形を受信するステップと、この第１トラフィック波形と基準波形との相関を表わす相関値を生成するステップと、この相関値が基準を満足する際にサービス拒否攻撃信号を発生するステップとを具えている。

Description

（発明の背景）
（発明の分野）
本発明は一般に、コンピュータネットワーク及びセキュリティ、分散サービス拒否（停止、不能）攻撃に関連するネットワーク帯域の乱用に関するものであり、特に、ネットワーク帯域異常検出装置、方法、信号及び媒体に関するものである。

（関連技術の説明）
個人用高速インターネット接続、及び商取引、娯楽及び教育用にワールド・ワイド・ウェブを利用することの急速な広がりは、世界的規模のユーザ・コミュニティ（共同社会）に大きな利益をもたらす。広く普及し、低コストで、常時利用可能なウェブベースの情報サービスは、新たなビジネスモデルから、行政及び教育サービスにアクセスするポータル（入口）、及びインターネット・コミュニティのすべてのメンバーによる高速かつ自由なアイデア及び情報の交換までにわたる開発を行わせてきた。

インターネットは公衆にとってこれほど広く利用可能なので、インターネットの動作にとって基本的なネットワーク・プロトコルの挙動における種々の悪意ある業によって壊されやすい。これらの悪意ある業は、特定のオペレーティングシステムまたはアプリケーションを狙って急速に伝播するコンピュータ・ウィルスの作成及び放出、パケット放送及びＴＣＰ／ＩＰ接続確立のようなネットワーク・プロトコルの特徴的機能の悪用、及びネットワークに接続されたコンピュータへの侵入を含む。

こうした悪意ある業の行為者は、システム構成におけるコンピュータのオペレーティングシステムの欠陥及び基本的な人間的誤り（ヒューマンエラー）、例えばアクセス制御パスワードの下手な選定を悪用することが多い。システム管理者及びユーザは、手続きを変更すること、ソフトウェア・パッチを当てる（修正を施す）こと、等によって、自分たちのコンピュータシステムの脆弱性を最小化する努力をすることができる。ソフトウェアのバグが出現し続けること、ユーザの構成エラーが生じること、及び攻撃者が以前に知られていなかったシステムの弱点を暴くこと、あるいは現在の攻撃ソフトウェアを新たな方法に手直しすることは不可避である。

安全性の高いコンピュータシステムでも、インターネット接続性（コネクティビティ）は壊されやすい。悪意あるインターネット活動の１つの種類は、インターネットのウェブサイトのユーザ、ドメインネーム（ドメイン名）サーバー、及び／またはコアルーター（核となるルーター）に重大な崩壊を生じさせることがあり、いわゆる「分散サービス拒否（ＤＤｏＳ：Distributed denial of service）攻撃」を含む。これらの攻撃に対する防御は難しい、というのは、これらの攻撃はインターネット自体の動作にとって基本的な機能を利用するからである。

Internet Engineering Task Force（IETF）RFC Standard 1122 ＤＤｏＳ攻撃は往々にして、インターネット上に分散している多くの異なるコンピュータシステムを手なずけること、及びこれと共に、これらの手なずけたコンピュータ上への挙動不正なソフトウェア・エージェントのインストールによって特徴付けられる。これらの手なずけられた攻撃システムは、何十、何百、あるいは何千もの数のコンピュータに及び得る。挙動不正なソフトウェア・エージェントは、手なずけられたコンピュータの各々に、同等の大量に氾濫するパケットを送出させる。これらのパケットは例えば、トランスミッション・コントロール・プロトコル（ＴＣＰ：Transmission Control Protocol）、ユーザ・データグラム・プロトコル（ＵＤＰ：User Datagram Protocol）、及び／またはインターネット・コントロール・メッセージ・プロトコル（ＩＣＭＰ：Internet Control Message Protocol）パケットの連続流から成り、そのすべてが目標システムに向けられる。これらのプロトコルはインターネット層及びトランスポート層で実現され、これらの層についてはInternet Engineering Task Force（"IETF"：インターネット特別技術調査委員会）のRFC Standard 1122規格書及びこれに関連するＲＦＣの文献に記載されている。

手なずけられたコンピュータシステムによって発生されて到来するパケットの処理は、ターゲット（目標）コンピュータシステムのリソースを大量に消費して、これにより通常の要求に対するサービスが不能になる。この種のサービス拒否攻撃は長期間継続することが多く、攻撃の持続時間中に目標のサーバーを利用不能にする。さらに、すべてがターゲットシステム宛ての大量に氾濫するパケットは、ターゲットシステムの付近に位置するルーターのパケット処理能力を過負荷（オーバーロード）にし得る。従って、分散サービス拒否攻撃は、直接攻撃目標にされていないコンピュータシステムのユーザにも悪影響を与え得る。

ＤＤｏＳ攻撃は、その根源をたどることは非常に困難である。ほとんどすべての場合において、大量に氾濫するパケットに見出されるソース・インターネット・プロトコル（ＩＰ）アドレスは詐称され、即ち偽の値に改ざんされ、このため発生元のシステムの真の正体についての情報は提供されない。

Computer Emergency Response Team web site operated by the Carnegie-Mellon University Software Engineering Institute: "CRET Advisory CA-2000-0 1 Denial-of-Service Developments" 分散サービス拒否攻撃に用いられるソフトウェア・エージェントの詳細な説明は、Computer Emergency Response Team web site operated by the Carnegie-Mellon University Software Engineering Instituteの"CRET Advisory CA-2000-0 1 Denial-of-Service Developments"に見ることができる。

米国特許第5,606,668号既知の挙動不正なエージェントの特徴を識別する手段、及び／または挙動不正なエージェントが攻撃に用いるパケットのソースアドレスを詐称する能力を制限する手段を提供することのできるシステムが一部に存在する。例えば米国特許第5,606,668号、1997年2月25日交付、発明の名称”System for Securing Inbound and Outbound Data Packet Flow in a Computer Network”に記載のようなパケット・フィルタリング（選別）ファイアウォールは、特定のパケットを特定のコンピュータまたはネットワークに到達する前に阻止（ブロック）するために用いることができる。パケット・フィルタリング・ファイアウォールは、ファイアウォールで受信した各パケットのヘッダの内容を検査して、一組の規則を適用して、これらのパケットをどう処理するかを決定する。より多数の規則をファイアウォールに適用するほど、その性能が低下してファイアウォールのメインテナンス（維持管理）が増加する。しかし、パケット・フィルタリング・ファイアウォールはＤＤｏＳ攻撃に対する有効な防御を提供しない、というのは、ファイアウォール自体が到来するパケットに勝てないからである。

米国特許第6,088,804号米国特許第5,892,903号 "Towards a Taxonomy of Intrusion-Detection Systems", Computer Networks 31:805-822 侵入検出システムを用いて、コンピュータシステムが手なずけられた時点を特定することができる。米国特許第6,088.804号、発明の名称"Adaptive System and Method for Responding to Computer Network Security Attacks"は、エージェント及び適応ニューラル・ネットワーク技術を用いて偽装攻撃の特徴（例えばウィルスのパターン）を学習するこうしたシステムの１つを記述している。このシステムの欠点は、現実の攻撃の特徴が偽装された特徴に似ていないことがあり、そして、それについての学習が行われていない新たな特徴が完全に未検出となり得る、ということである。米国特許第5,892,903号、発明の名称"Method and Apparatus for Detecting and Identifying Security Vulnerabilities in an Open Network Computer Communication System"に記載の他のシステムは、既知の弱点についてコンピュータ及びネットワーク構成要素をテストして、ネットワーク管理要員の行動についての報告を提供する。しかし、このシステムは、既知の弱点のデータベース及びコンピュータシステム特有の弱い構成要素の詳細記述を必要とする。さらに、これらの従来技術のシステムの実現は、システム特有及びパケットの内容特有の情報を操作して、手なずけられたコンピュータに対する攻撃の特徴を識別することに依存する。侵入検出システムの概要は、Debar他による文献："Towards a Taxonomy of Intrusion-Detection Systems", Computer Networks 31:805-822（1999年）に記述されている。

手なずけられやすく、そして他のコンピュータシステムに対するＤＤｏＳ攻撃を送出するために使用され得るインターネット・コンピュータシステムは常に存在する。こうした常に進展する環境では、侵入検出システムはその検出能力において自ずと遅れをとる。暗号化技術及び他の秘匿的な方法は、挙動不正なエージェントが検出されること、及び悪意あるユーザと、マスター・エージェントと、挙動不正なエージェントとの間の通信が傍受されることを回避するために、攻撃者が恒常的に用いている。

国際特許出願 WO/01/46807 現在、攻撃目標から攻撃の根源までの経路を見出す容易な方法は存在しない。根源のシステムの位置をつかむことは、システム及びルーターのログ（通信記録）の詳細な検査、広範囲の人間どうしの通信、及び影響を受けた当事者間で証拠を交換し合う協力を含む、時間を消費するプロセスである。この問題に応えようとする１つのシステムは、国際特許出願 WO/01/46807に記載されている。しかし、このシステムは、ルーターのソフトウェアの大幅な変更、及び複数のインターネット・サービスプロバイダー（ＩＳＰ：Internet Service Provider）に属するルーターへの自動的なアクセスを必要とする。こうしたアクセスのレベルは、競争関係にあるＩＳＰ間では実現しそうにない。

ネットワーク・セキュリティ及び侵入検出の分野における従来技術は、ネットワークの異常なデータトラフィックを識別するために、パケット内容の検査及び高レベルのプロトコル分析（例えばＴＣＰ層の接続のハンドシェイク及びフロー識別）に焦点を合わせたものである。これらのシステム及び方法は、データリンクを横断するすべてのパケットの注意深い検査を含み、そして相当量の処理及びメモリー・リソース、並びにネットワーク管理要員によるより複雑な構成を必要とする。

現流の方法は、ＤＤｏＳ攻撃の目標またはＩＳＰのコアルーターを保護することに焦点を合わせたものである。上述した方法は、根源の近くでの悪意ある帯域の消費の開始を迅速に検出することができず、そしてネットワークのトラフィックの異常な変化を、攻撃を仕掛けるために用いられるより上層のネットワーク・プロトコルとは無関係な自動的またはユーザ制御の方法で直ちに検出することができない。

（発明の概要）
本発明は、データ通信システムにおける帯域異常を検出する方法を提供することによって、上述した問題に応えるものである。この方法は、ネットワーク上の分散サービス拒否攻撃の結果として発生する種類の帯域異常を検出することができる。非常に基本的な形態では、この方法は、データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信するステップと、この第１トラフィック波形と基準波形との相関を表わす相関値を生成するステップと、この相関値が基準を満足する際にサービス拒否攻撃信号を発生するステップとを具えている。

前記サービス拒否攻撃信号を発生するステップは、前記相関値が基準値未満である際にサービス拒否攻撃信号を発生するステップを具えることができる。前記サービス拒否攻撃信号を発生するステップは、前記相関値が基準値未満であるか否かを判定するステップを具えることができる。

前記方法は、第１組のトラフィック測定値に応答して第１トラフィック波形を発生するステップを具えることができる。この第１トラフィック波形を発生するステップは、第１組のトラフィック測定値に離散ウェーブレット変換を施すステップを具えることができる。この離散ウェーブレット変換には、ハー（Harr）ウェーブレットフィルタを用いることができる。この離散ウェーブレット変換は、前記第１トラフィック波形を表わす第１成分を生成することができる。前記相関値を生成するステップは、前記第１成分と前記基準波形との相関をとるステップを具えることができる。

同じプロセッサ回路を用いて、前記第１トラフィック波形を発生して、この第１トラフィック波形と前記基準波形との相関をとることができる。

前記方法はさらに、前記第１方向のデータを監視し、このデータに応答して第１組のトラフィック測定値を生成するステップを含むことができる。

前記第１組のトラフィック測定値を生成するステップは、遠隔監視プロトコルにおけるイーサネット（登録商標）統計グループのプロパティ（特性、属性）を表現する値を生成するステップを具えることができる。

プロセッサ回路を用いて、前記第１トラフィック波形を発生し、通信インタフェースと通信して、イーサネット統計グループのプロパティを表現する値を受信することができる。

前記第１方向のデータを受信するステップは、この第１方向のパケット数を数えるステップ及びオクテット（８ビット）数を数えるステップの少なくとも一方を具えることができる。

前記第１トラフィック波形を発生すべく動作可能なプロセッサ回路は、パケットカウンタ（計数器）及びオクテットカウンタの少なくとも一方と通信して、前記第１組のトラフィック測定値を表わす値を受信すべく構成することができる。前記プロセッサ回路は、これらのパケットカウンタ及び／またはオクテットカウンタを実現すべく構成することができる。

前記方法はさらに、前記第１方向のデータを受動的に監視するステップを具えることができる。

前記方法はさらに、前記サービス拒否攻撃信号に応答してオペレータ（操作員）に信号で通知するステップを具えることができる。

前記方法はさらに、前記サービス拒否攻撃信号に応答して、ネットワークへのデータ送信及びネットワークからのデータ受信の少なくとも一方を制御するステップを具えることができる。

前記方法はさらに、データ通信システムにおける第２方向の第２期間中のデータ量の時間分布を表わす第２トラフィック波形を受信して、この第２トラフィック波形を基準波形として用いて前記相関値を生成するステップを具えることができる。

前記方法は、第１組及び第２組のトラフィック測定値に応答して、ネットワーク上のそれぞれ第１及び第２方向のトラフィックを表わす第１及び第２トラフィック波形を発生するステップを含むことができる。

前記第１及び第２トラフィック波形を発生するステップは、前記第１組及び第２組のトラフィック測定値のそれぞれに離散ウェーブレット変換を施すステップを具えることができる。この離散ウェーブレット変換にはハー・ウェーブレットフィルタ係数を用いることができる。この離散ウェーブレット変換は、前記第１トラフィック波形を表わす第１成分と前記第２トラフィック波形を表わす第２成分とを生成することができる。前記相関値を生成するステップは、これらの第１成分と第２成分との相関をとるステップを具えることができる。

前記方法は、前記トラフィック波形発生器を、前記相関値を生成するために用いるプロセッサ回路内で実現するステップを具えることができる。

前記方法は、前記第１及び第２方向のデータを監視して、これらのデータに応答してそれぞれ第１組及び第２組のトラフィック測定値を生成するステップを具えることができる。

前記トラフィック測定値を生成するステップは、前記第１及び第２方向の各々について、遠隔監視プロトコルにおけるイーサネット統計グループのプロパティを表現する値を生成するステップを具えることができる。

前記方法は、前記第１及び第２トラフィック波形を発生すべく動作可能なプロセッサ回路によって通信インタフェースと通信して、イーサネット統計グループのプロパティを表現する値を受信するステップを具えることができる。

前記監視するステップは、前記第１及び第２方向の各々のパケット数及びオクテット数の少なくとも一方を数えるステップを具えることができる。

前記方法は、前記第１及び第２トラフィック波形を発生すべく動作可能なプロセッサ回路によってパケットカウンタ及び／またはオクテットカウンタと通信して、前記第１組及び第２組のトラフィック測定値を受信するステップを具えることができる。

前記方法は、前記プロセッサ回路に、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方を実現させるステップを具えることができる。

前記方法は、前記第１及び第２方向のデータを受動的に監視するステップを具えることができる。

前記方法はさらに、前記サービス拒否攻撃信号に応答してオペレータに信号で通知するステップを具えることができる。

前記第１及び／または第２トラフィック波形は、第１及び第２方向のデータ量のそれぞれ第１及び第２時間分布の統計的尺度を表現することができる。

本発明の他の態様によれば、データ通信システムにおける帯域異常を検出する装置が提供される。この装置は、データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信する手段と、この第１トラフィック波形と基準波形との相関を表わす相関値を生成する手段と、この相関値が基準を満足する際にサービス拒否攻撃信号を発生する手段とを具えている。

本発明の他の態様によれば、データ通信回路における帯域異常の検出をプロセッサ回路に命令するコードを符号化したコンピュータ可読媒体（コンピュータで読み取り可能な媒体）が提供され、この検出は、このプロセッサ回路に、前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信させて、前記第１トラフィック波形と基準波形との相関を表わす相関値を生成させて、この相関値が基準を満足する際にサービス拒否攻撃信号を発生させることによって行う。

本発明の他の態様によれば、データ通信回路における帯域異常の検出をプロセッサ回路に命令するコードを符号化したコンピュータ可読信号（コンピュータで読み取り可能な信号）が提供され、この検出は、このプロセッサ回路に、前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信させて、前記第１トラフィック波形と基準波形との相関を表わす相関値を生成させて、この相関値が基準を満足する際にサービス拒否攻撃信号を発生させることによって行う。

本発明の他の態様によれば、データ通信システムにおける帯域異常を検出する装置が提供される。この装置は、データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信して、前記第１トラフィック波形と基準波形との相関を表わす相関値を生成して、この相関値が基準を満足する際にサービス拒否攻撃信号を発生すべく構成されたプロセッサ回路を具えている。

このプロセッサ回路は、前記相関値が基準値未満であるか否かを判定して、この相関値が前記基準値未満である際にサービス拒否攻撃信号を発生すべく構成することができる。

前記装置はさらに、第１組のトラフィック測定値を受信して、これらの測定値に応答して前記第１トラフィック波形を発生すべく動作可能な第１トラフィック波形発生器を具えることができる。この第１トラフィック波形発生器は、前記第１組のトラフィック測定値に離散ウェーブレット変換を施すことによって前記第１トラフィック波形を発生すべく構成することができる。前記第１トラフィック波形発生器は、この離散ウェーブレット変換においてハー・ウェーブレットフィルタ係数を使用すべく構成することができ、そしてこの離散ウェーブレット変換によって前記第１トラフィック波形を表わす第１成分を生成すべく構成することができる。

前記プロセッサ回路は、前記第１成分と基準波形との相関をとることによって前記相関値を生成すべく構成することができる。

前記プロセッサ回路は、前記第１トラフィック波形発生器を実現すべく構成することができる。

前記装置はさらに、前記第１方向のデータを監視して、このデータに応答して前記第１組のトラフィック測定値を生成すべく動作可能な通信インタフェースを具えることができる。前記通信インタフェースは、遠隔監視プロトコルにおけるイーサネット統計グループのプロパティを表現する値を生成することができる。前記プロセッサ回路は、前記通信インタフェースと通信して、イーサネット統計グループのプロパティを表現する値、及び前記第１組のトラフィック測定値を表わす値を受信すべく構成することができる。

前記通信インタフェースは、パケットカウンタ及びオクテットカウンタの少なくとも一方を具えて、これに対応して前記第１方向のデータのパケット数またはオクテット数を数えることができる。前記プロセッサ回路は、前記通信インタフェースと通信して、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方が生成する値を受信すべく構成することができ、これらの値は前記第１組のネットワーク・トラフィック測定値を表わす。

前記プロセッサ回路は、前記通信インタフェースを実現すべく構成することができる。

前記装置はさらに、前記第１方向のデータを受動的に監視して、前記第１方向のデータのコピーを前記通信インタフェースに供給すべく動作可能な受動監視装置を具えることができる。

前記装置は、前記サービス拒否攻撃信号に応答してオペレータに信号で通知する信号装置を具えることができる。

前記装置は、前記サービス拒否攻撃信号に応答して、ネットワークへのデータ送信及びネットワークからのデータ受信の少なくとも一方を制御する通信制御装置を具えることができる。

前記プロセッサ回路は、データ通信ネットワークにおける第２方向の第２期間中のデータ量の時間分布を表わす第２トラフィック波形を受信して、この第２トラフィック波形を基準波形として用いて前記相関値を生成すべく構成することができる。

前記装置はさらに、前記第１組及び第２組のトラフィック測定値を受信して、これらの測定値に応答して前記第１及び第２トラフィック波形を発生するか、あるいは、独立した第１及び第２トラフィック波形発生器を用いて、前記第１組及び第２組のトラフィック測定値に応答してそれぞれ第１及び第２トラフィック波形を発生すべく動作可能なトラフィック波形発生器を具えることができる。

前記トラフィック波形発生器は、前記第１組及び第２組のトラフィック測定値に離散ウェーブレット変換を施すことによって、それぞれ前記第１及び第２トラフィック波形を発生すべく構成することができる。

前記トラフィック波形発生器は、離散ウェーブレット変換にハー・ウェーブレットフィルタ値を使用すべく構成することができ、そしてこの離散ウェーブレット変換によって前記第１トラフィック波形を表わす第１成分及び前記第２トラフィック波形を表わす第２成分を生成させることができる。

前記プロセッサ回路は、前記第１成分と前記第２成分との相関をとることによって前記相関値を生成すべく構成することができる。

前記プロセッサ回路は、前記トラフィック波形発生器を実現すべく構成することができる。

前記装置はさらに、前記第１及び第２方向のデータを監視して、これらのデータに応答してそれぞれ前記第１組及び第２組のトラフィック測定値を生成すべく動作可能な通信インタフェースを具えることができる。

前記通信インタフェースは、前記第１及び第２方向の各々について、遠隔監視プロトコルにおけるイーサネット統計グループのプロパティを表現する値を生成することができる。前記プロセッサ回路は、前記通信インタフェース回路と通信して、各方向についてイーサネット統計グループのプロパティを表現する値を受信すべく構成することができ、これらの値はそれぞれ前記第１組及び第２組のトラフィック測定値を表わす。

前記通信インタフェースは、前記第１及び第２方向の各々のデータのパケット数を数えるべく動作可能なパケットカウンタ及びこれらのデータのオクテット数を数えるべく動作可能なオクテットカウンタの少なくとも一方を具えることができる。前記プロセッサ回路は、前記通信インタフェースと通信して、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方が生成する値を受信すべく構成することができ、これらの値は前記第１組及び第２組のトラフィック測定値を表わす。

前記装置はさらに、前記第１及び第２方向のデータを受動的に監視して、これらのデータのコピーを前記通信インタフェースに供給すべく動作可能な受動監視装置を具えることができる。

ある意味では、本発明は、データトラフィックをデータトラフィック波形として解釈して、このデータトラフィック波形の特性を分析することによって、伝送されるデータトラフィックの異常レベルの始まりを検出する方法を提供するものである。１つの好適例では、周波数及び量、即ち全二重コンピュータ・ネットワーク・リンク上の特定箇所で複数期間の各期間中に見られるデータトラフィックのデータユニット（データ単位）数を記録することによって、データトラフィック波形をサンプリング（標本化）することができる。

ＤＤｏＳ攻撃を検出し、これに続いてこの攻撃を無効にすることに１つの利益は、好適にはＤＤｏＳエージェントに感染した個々のコンピュータのレベルで、悪意あるネットワーク・トラフィックを生成するシステムの外部への通信を阻止することによって得られる。本明細書に記載の方法及び装置は、ソース（根源の）コンピュータ上の潜在的なＤＤｏＳエージェントに近いネットワーク端またはその付近における帯域使用を監視するために採用することができる。本発明による装置及び方法は、例えば、部門レベルのイーサネット・スイッチ、ルーター、あるいは個人用ファイアウォール・ハードウェア及びファイアウォール・ソフトウェアの構成要素として内蔵させることができる。

本発明の以上及び他の態様は、以下の図面を参照した特定実施例の説明より一層明らかになり、これらの図面は本発明の原理の例示に過ぎない。

（実施例の詳細な説明）
図１に、本発明の第１実施例によるシステムを示し、システム全体を１０で表わす。システム１０はコンピュータのネットワークを含み、ネットワーク全体を１２で表わし、ネットワーク１２はイントラネットまたはインターネットのようなデータ通信システム１４、及び複数のノードを具えてその全体を１６で示し、ノード１６は例えば、パーソナル・コンピュータ１８、第１サーバー・コンピュータ２０、第２サーバー・コンピュータ２２、及びネットワーク・サブシステム２４のようなネットワーク接続された装置を含む。本実施例では、ネットワーク・サブシステム２４は帯域異常検出器２６及びネットワーク・ノード２８を含み、ネットワーク・ノード２８は、サブネットワーク及び／またはコンピュータ・ネットワークに通常接続される複数の装置のいずれをも含むことができる。こうした装置は例えば、サーバー・コンピュータ、クライアント・コンピュータ、ルーター、ブリッジ、マルチポート・ブリッジ（イーサネット・スイッチ）、ハブ、ＡＴＭ（Asynchronous Transfer Mode：非同期転送モード）スイッチ、及び無線アクセスポイントを含むことができるが、これらに限定されない。データ通信システム１４はサイトに対してローカルにすることも、従ってローカルエリア・ネットワーク（ＬＡＮ：Local Area Network）を表わすことも、あるいは、例えばインターネットのようにグローバル（全地球的）にすることもできる。

システム１０の通常動作中には、ネットワーク接続された装置１６が互いに通信し合う。例えば、クライアント・コンピュータ１８はサーバー・コンピュータ２０または２２、あるいはデータ通信システム１４に接続された他のクライアント・コンピュータ１８と通信することができる。すべての場合において、ネットワーク接続された装置１６間の通信は、いくつかのデータ転送プロトコルの使用を含む。これらのプロトコルは例えば、ネットワーク・プロトコルのＯＳＩ（Open System Interconnection：開放型システムの相互接続）７階層モデルに従って分類することができる。これらのプロトコルは、例えばＴＣＰ／ＩＰプロトコル組からのプロトコルを含むことができる。

Stallings High-speed Networks: "TCP/IP and ATM Design Principles", Prentice-Hall著クライアント・コンピュータ１８と、ネットワーク・サブシステム２４に関連するワールド・ワイド・ウェブ・サーバーのようなサーバー・コンピュータ３０との間の一般的な相互作用は、クライアント・コンピュータ１８がサーバー・コンピュータ３０とのプロトコル接続、即ちサーバー３０に対する送信及び受信方向の接続を開始することを含む。これに続いて、クライアント・コンピュータ１８とサーバー・コンピュータ３０との間の複数のデータパケット転送が行われる。プロトコル接続は最終的に、クライアント・コンピュータ１８かサーバー・コンピュータ３０かのいずれかによって終了される。複数のクライアント・コンピュータと複数のサーバー・コンピュータとの間の複数のこうしたプロトコル接続は、ネットワーク上のパケット転送の集合体を生み出す。ＴＣＰ／ＩＰプロトコル組用のこのプロセスの詳細な説明は、Stallings High-speed Networks: "TCP/IP and ATM Design Principles", Prentice-Hall著, 1998年に見られる。一般に、ネットワーク接続された装置の各々がデータパケットを、他のネットワーク接続された装置に送信するためにデータ通信システム１４に送信し、ネットワーク接続された各装置は、他のネットワーク接続された装置から発生するデータパケットをデータ通信システム１４から受信すべく動作可能である。

１つのネットワーク接続された装置が他のネットワーク接続された装置と通信システム１４上で行う通常の通信は、通常は送信及び受信方向で「バースト的」に出現する。分散サービス拒否攻撃によって発生する帯域異常は、「非バースト」あるいは固定的なデータ伝送として出現する。図２に、クライアント・コンピュータ１８とサーバー３０との間の通常の通信の例を送信方向について示し、通信全体を４０で表わす。図２には、サービス拒否攻撃に関連する送信方向のデータ量の例も示し、その全体を４１で表わす。受信方向には同様の動きは観測されない。

図１に示す実施例では、帯域異常検出器２６は、ネットワーク・サブシステム２４に対して少なくとも一方向に進むデータパケットを監視するために使用され、この方向の分散サービス拒否攻撃を検出するとサービス拒否攻撃信号を発生する。このサービス拒否攻撃信号は、オペレータに信号で通知する信号装置を作動させるため、及び／またはサービス拒否攻撃信号に応答してネットワークへのデータ送信及びネットワークからのデータ受信の少なくとも一方を制御する通信制御装置を作動させるために用いることができる。

図３に、好適な帯域異常検出器２６の具体例を示し、本実施例では、データ通信システム１４とネットワーク・ノード２８との間の独立した装置として示す。帯域異常検出器２６は、データ通信システム１４内のあらゆる２つのネットワーク接続された装置間で伝送されるデータトラフィックをサンプリング可能ないずれの箇所にも配置することができる。しかし、帯域異常検出器２６をネットワークの端またはその付近に配置すれば利益が得られ、例えばイーサネット・スイッチでは、潜在的な分散サービス拒否攻撃エージェントに近い部門レベルの通信室に配置する。

説明のために、データ通信システム１４と帯域異常検出器２６との間の第１リンク４２を、第１送信データ線４４及び第１受信データ線４６を有するものとして表わす。同様に、第２リンク４８を帯域異常検出器２６とネットワーク・ノード２８との間に設け、第２リンク４８は第２送信データ線５０及び第２受信データ線５２を含む。第１受信データ線４６は、データ通信システム１４からネットワーク・ノード２８宛てのデータを受信する。第２送信データ線５０は、ネットワーク・ノード２８によって送信される通信システム１４宛てのデータを搬送する。

本実施例では、送信データ線４４及び５０上を進むデータをネットワーク上の第１（送信）方向に進むものと考え、受信データ線４６及び５２上を進むデータを第２（受信）方向に進むものと考える。

帯域異常検出器２６は独立した装置として示すが、それ自体がネットワーク・ノードとして作用する装置に内蔵することもできる。帯域異常検出器は、例えばルーター、ブリッジ、マルチポート・ブリッジ、ハブ、無線アクセスポイント、ケーブル／ＤＳＬ（Digital Subscriber Line：ディジタル加入者線）モデム、ファイアウォール、あるいはＡＴＭスイッチに内蔵することができる。

本実施例では、帯域異常検出器２６は、第１リンク４２との接続用のネットワーク側リンク接続６２、及びネットワーク・ノード２８との接続用のノード側接続６４を有する受動監視装置６０を具えている。受動監視装置６０は、少なくとも１つの出力、本実施例では出力６６も有し、出力６６は、送信線５０上に出現する各データユニットのコピーを供給すべく動作可能である。受動監視装置６０は単に、少なくとも一方向、本実施例では送信方向にデータのコピーを出力する。一般に、受動監視装置６０は、第１方向のデータを受動的に監視して、この第１方向のデータのコピーを作成して他の装置が利用可能にする、ということができる。この用途に使用可能な代表的な受動監視装置は、カリフォルニア州サニーベール（Sunnyvale）にあるNet Optics社によって提供されている。

帯域異常検出器２６はさらに通信インタフェース７０を具え、通信インタフェース７０は、例えばイーサネット・インタフェースチップ、スイッチ・プロセッサ、セキュリティ・プロセッサのようなネットワーク・インタフェースチップを具えることができる。あるいはまた、通信インタフェース７０は、例えば個別（ディスクリート）論理回路及び／またはプロセッサ回路を具えた他の構成要素によって実現することができる。

Internet Engineering Task Force EFC #3144 本実施例では、通信インタフェース７０は、例えばInternet Engineering Task Force EFC #3144に記載されたイーサネット遠隔監視プロトコル規格のイーサネット統計グループのプロパティに応じた値を供給すべく動作可能なレジスタを有するイーサネット・インタフェースチップを具えている。特に、通信インタフェース７０は、オクテットカウンタ７３のオクテットレジスタ７２及びパケットカウンタ７５のパケットレジスタ７４の少なくとも一方を具えている。通信インタフェース７０は、受動監視装置６０の出力６６と通信する入力７６を有して送信データ線５０上のデータユニットのコピーを受信して、これらのデータユニット数を数え続けて、このデータユニットから、指定期間中のこうしたデータユニットに関連するオクテット数及びパケット数を測定し、本明細書ではこの指定期間をサンプリング時間と称する。本実施例では、通信インタフェース７０は、1/1024秒の時間間隔が連続する間の送信データ線５０上のオクテット数及びパケット数を数えて、各時間間隔の終わりに、オクテットレジスタ７２及びパケットレジスタ７４にそれぞれのカウント（計数）値をロードすべく（書き込むべく）設定されている。従って、オクテットレジスタ７２及びパケットレジスタ７４では、1/1024秒毎に新たなカウント値が利用可能である。従って、通信インタフェース７０は、送信線上のデータをサンプリングすることによって第１方向のデータを監視してトラフィック測定値を生成すべく動作する。ある期間またはウィンドウ（時間窓）、例えば120秒にわたって集めたこれら複数のトラフィック測定値は、第１組のトラフィック測定値と称することができる。

帯域異常検出器２６はさらに、これら第１組のトラフィック測定値を受信し、この測定値に応答して送信方向のデータ量の時間分布を表わす第１トラフィック波形を発生すべく動作可能なトラフィック波形発生器８０を具えている。第１トラフィック波形発生器８０は、これら第１組のトラフィック測定値に離散ウェーブレット変換を施すことによって前記第１トラフィック波形を発生すべく構成されている。

ウェーブレット分析は、ある範囲の時間スケールにわたる周波数の突発的な変化の検出を可能にする。離散ウェーブレット変換は、選択したウェーブレット関数を用いた連続的なローパス（低域通過）及びハイパス（高域通過）フィルタリング（フィルタ処理）を適用して、元のデータトラフィック信号の近似成分及び詳細成分を生成することを含む。本発明のこの目的に使用可能なウェーブレット関数の一例は、ハー（Harr）ウェーブレットである。MATLAB Wavelet Toolbox and User’s Guideを含む市販のソフトウェア・パッケージは、離散ウェーブレット変換による信号の汎用的な分析用のユーティリティ（有用なソフトウェア）を提供する。

この離散ウェーブレット変換には種々の異なる係数を使用することができ、そして本実施例では、離散ウェーブレット変換においてハー・ウェーブレットフィルタ係数を使用することによって、第１トラフィック波形発生器８０が、前記第１組のトラフィック測定値の平滑かつ詳細な波形成分を生成することが判明している。本実施例では平滑な成分のみが重要であり、この平滑な成分が前記第１トラフィック波形を表わす。

図４に、前記平滑な成分を、120秒の時間間隔にわたる振幅対時間のプロットとして破線８２で示す。図３に示す第１トラフィック波形発生器８０は、前記第１トラフィック波形を、120秒のウィンドウ内のそれぞれの時刻に関連する複数の振幅値として表現し、このウィンドウ内でサンプルを取得して前記第１組のトラフィック測定値を生成する。従って、前記第１トラフィック波形は、データ通信システム１４における第１方向の第１期間中のデータ量の時間分布を表わす。

図３に示すように、帯域異常検出器２６はさらに、帯域異常を検出する検出器８４を含む。この検出器２６は、前記第１トラフィック波形及び基準波形を受信して、前記第１トラフィック波形と前記基準波形との相関を表わす相関値を生成すべく動作可能である。この相関値が基準を満足するとサービス拒否攻撃信号を発生する。

図３及び５に示すように、検出器８４はプロセッサ回路６９内に実現することができ、プロセッサ回路６９は例えばパーソナル・コンピュータの一部とすることができる。プロセッサ回路６９は、ＣＰＵ７１、ＲＡＭ７３、及びＲＯＭ７５を含むことができ、さらに、例えば通信インタフェース７０を含むことができる。あるいはまた、プロセッサ回路６９は、スイッチ、ルーター、ブリッジ、あるいはデータ通信システム１４に接続可能な他のあらゆる装置のプロセッサ回路とすることができる。検出器８４を実現する同じプロセッサ回路６９を用いて、第１トラフィック波形発生器８０及び通信インタフェース７０を実現することができる。あるいはまた、通信インタフェース７０、第１トラフィック波形発生器８０、及び検出器８４の任意の組み合わせを、広範な異なるプロセッサ回路の組み合わせを用いて実現することができる。検出器８４を実現するプロセッサ回路６９は、このプロセッサ回路が生成する相関値が基準値未満であるか否かを判定して、この相関値がこの基準値未満である際にサービス拒否攻撃信号を発生すべく構成することができる。サービス拒否攻撃信号を発生するための追加的な基準を採用することができ、例えば、前記相関値がある期間中に前記基準値未満の値であり続けるか否か、あるいは、ある期間中に前記基準値未満の相関値が多数発生するか否かを判定することである。

前記第１トラフィック波形との相関に使用する基準波形は、事前記憶している波形とすることができ、あるいはまた、例えば受信データ線４６上のような第２方向のデータユニットを監視することによって生成される第２組のトラフィック測定値に応答して発生される第２トラフィック波形とすることができる。本実施例では、受動監視装置６０を、受信データ線４６上に出現するデータユニットのコピーを通信インタフェース７０に供給すべく動作可能な第２出力８６を有するように構成することができる。これに加えて、通信インタフェース７０は、所定番目の1/1024秒における、即ち送信方向のオクテット数及びパケット数を数える期間と同じ期間中の、受信データ線４６上のオクテット数を表わすカウント値を保持するオクテットカウンタ８９の第２イーサネット統計オクテットレジスタ８８、及びパケット数を表わすカウント値を保持するパケットカウンタ９１の第２イーサネット統計パケットレジスタ９０を伴う構成にすることができる。あるいはまた、通信インタフェース７０は、例えば独立したチップあるいはプロセッサ回路内に実現することができる。受信データ線４６を監視することによって生成されるトラフィック測定値を第２組のトラフィック測定値に累積させて、この第２組のトラフィック測定値を、第１トラフィック波形発生器８０と同じ第２トラフィック波形発生器９２に供給して、図４に９４で示す第２トラフィック波形を発生することができ、この波形は、前記第１トラフィック波形との相関をとる基準波形の役割をする。あるいはまた、前記第１組及び第２組のトラフィック測定値を概ね同じ期間にわたって累積し記憶して、第１波形発生器８０に連続的に供給して、前記第１及び第２トラフィック波形を発生することができる（即ち、第１波形発生器を多重化することができる）。

前記第１及び第２トラフィック波形が与えられれば、検出器８４は、前記第１トラフィック波形と前記第２トラフィック波形との相関、特に送信波形と受信波形との相関を表わす相関値、例えば図４に示す値0.69を生成する。そして検出器８４は、この相関値0.69が例えば0.6のような所定値を上回るか否かを判定して、この所定値を上回ればサービス拒否攻撃信号を不活性に設定して、同じ期間の送信データ量と受信データ量との間に良好な相関が存在し、従ってサービス拒否攻撃が発生していないことを示すことができる。

しかし、前記第１及び第２トラフィック波形をそれぞれ図６に示す１０１及び１０２とすれば、検出器８４は例えば0.12のような相関値を生成して、装置が、この相関値が所定値0.6未満であるものと判定し、従ってサービス拒否攻撃信号を活性に設定して、この相関がサービス拒否攻撃を発見したことに該当することを示すことができる。図３に戻って説明する。サービス拒否攻撃信号を用いて、例えばスイッチまたはネットワーク・ノード２８内のプロセッサ回路に割り込みをかけて、スイッチまたはネットワーク・ノード２８のデータ通信システム１４へのアクセスを拒否して、サービス拒否攻撃を停止させることができる。その代わりに、あるいはこれに加えて、サービス拒否攻撃信号を警報、点滅光、可聴信号、あるいはオペレータが認識可能な他のあらゆる刺激の形でオペレータに提供して、サービス拒否攻撃が発生したことをオペレータに示すことができる。

図５に示すように、本明細書に記載のシステムの代案の実現は、異なるインタフェース１００で実現することができる。このインタフェース１００は単に、受動監視装置（６０）から受信したデータユニットのプロセッサ回路６９への経路を提供し、プロセッサ回路６９自体は、送信及び受信線上のいずれかあるいは双方に出現するパケット数及び／またはオクテット数を数える機能を実行するために用いることができる。プロセッサ回路６９にこれらのカウント機能の実行を命令するコードは、ＥＰＲＯＭのようなコンピュータ可読媒体上で供給されるコンピュータ可読命令としてプロセッサ回路６９に供給することができ、このＥＰＲＯＭはＲＯＭ７５の一部を形成することができ、あるいは、例えばコンパクトディスクまたはフロッピー（登録商標ディスク上でプロセッサ回路６９に供給してプログラマブルＲＯＭに記憶することができ、このプログラマブルＲＯＭもＲＯＭ７５の一部を形成することができる。その代わりに、あるいはこれに加えて、本発明による機能の実行をプロセッサ６９に命令するコードは、こうしたコードを符号化したコンピュータ可読信号によってプロセッサ回路６９に供給することができ、例えば受信線上で受信したデータパケットを読み取ることによって供給することができる。

図７に、本発明のこうした代案実施例を実現するために使用可能なコードのブロックを示すブロックを含むフローチャートを示す。与えられたあらゆるブロックに示す機能を実現するために用いる実際のコードは、例えばＣ（言語）、Ｃ++、及び／またはアセンブラコードで記述することができる。

本実施例では、プロセッサ回路６９はまず、ブロック１３０によって、オクテット及びパケットのカウントレジスタ、アレイ、インデックス（指標）、ステータス・インジケータ（状態表示）、フラグ、制御レジスタを含む種々のカウンタ及びレジスタを初期化するよう命令される。次にブロック１３１は、プロセッサ回路６９に、受動監視装置６０と通信して、受動監視装置６０が送信及び受信線上のパケットを受動的に監視する動作をしているか否かを判定するよう命令する。そのように動作していなければ、プロセッサは処理を終了する。

受動監視装置６０が動作していれば、ブロック１３２がプロセッサ回路６９にカウンタを初期化するよう命令する。

ブロック１２９はプロセッサ回路６９に、第１及び第２アレイをそれぞれ第１組及び第２組のトラフィック測定値で満たすよう命令する。このことを行うために、ブロック１２９は２つの主要な機能ブロックを含み、これらが協働してこれらのアレイを満たすループを実現する。第１機能ブロック１３３は、プロセッサ回路６９に、インデックス値ｉが、事前設定値として計算された基準値、即ちWindowSize−１以下であるか否かを判定するよう命令し、ここにWindowSizeは第１組及び第２組のトラフィックデータ数を表わす。この値は２のべき乗であることが望ましい。最終的に、WindowSizeの値は、第１組及び第２組のトラフィックデータの取得期間長を表わす。

ブロック１３４はプロセッサ６９に、現在のパケットまたはオクテットのカウント値、及びこれに関連するタイムスタンプ（時刻印）値を送信及び受信線について取得して前記第１及び第２アレイに記憶するよう命令して、インデックスｉを増加させて、プロセッサの処理をブロック１３３に戻す。従って、前記第１及び第２アレイは数の対のアレイであり、第１の数は前記カウンタ値に関連する時間間隔を示し、第２の数はこの時間に関連するカウンタ値を示す。前記第１及び第２アレイはそれぞれ、WindowSizeの長さを有する第１及び第２パケットベクトル（PacketVector）ということができる。

ブロック１３５はプロセッサ回路６９に、前記第１及び第２アレイを読み取って、これらのアレイ内のすべての値が０であるか否かを判定するよう命令する。すべての値が０であれば、プロセッサ回路６９は、ブロック１３１に戻って、受動監視装置６０がまだ動作しているか否かを判定して、カウント値の収集を再開するよう命令される。

ブロック１３６は、上述した波形発生器の機能を実現して、プロセッサ回路６９に、前記第１及び第２パケットベクトルに離散ウェーブレット変換を用いたウェーブレット分析を施して、送信及び受信方向の各々についての近似値及び詳細値を生成するよう命令する。これらの近似値は、データトラフィック測定値の高スケール（尺度）、低周波数の成分を表わす。高スケールとは、より長い時間ウィンドウ（時間窓）にわたってデータトラフィック測定値を見られるように信号をフィルタリング（選別処理）するために用いるウェーブレットの「伸張（ストレッチ）」を称する。詳細値は、入力データトラフィック測定値の低スケール、高周波数の成分を表わす。低スケールとは、短い時間ウィンドウにわたってデータトラフィック測定値を見られるようにデータトラフィック測定値をフィルタリングするために用いるウェーブレットの「圧縮」を称する。

本実施例では、次にブロック１３７がプロセッサ回路６９に、離散ウェーブレット変換によって生成される現在及び前の詳細値についての分散尺度を計算するよう命令する。利用可能な分散尺度の１つは例えば標準偏差である。分散尺度は、一組の詳細値の標準偏差を表わす単一の数である。

次にブロック１３８はプロセッサ回路６９に、ブロック１３６で生成した近似値を、送信線上の通常のデータトラフィックについての近似値の上限を表わす値AppxThresholdと比較するよう命令する。

この近似値がAppxThresholdを超えれば、ブロック１３９はプロセッサ６９に、DoSEventCountの値を０に設定するよう命令する。

図８に示すように、前記近似値がAppxThresholdの値以上であれば、ブロック１４１はプロセッサ回路６９に、前記近似値、及び前記詳細値の分散尺度を記憶するよう命令する。

前記近似値及び前記詳細値の分散尺度の記憶は、これらの値、あるいはこれらの値の表現を累積する効果を有する。これらの値の組は、それぞれの期間内の、データ通信システムにおける第１及び第２方向の、データ量の時間分布の第１及び第２統計的尺度を表現するそれぞれ第１及び第２トラフィック波形を表わす。

Snedecor, G.W.及びW.G. Cochran著："Statistical Methods" Earl Cox著："The Fuzzy Systems Handbook (Second Edition)" ブロック１４２はプロセッサ６９に、前記近似値がAppxThresholdの値以上である際にDoSEventCountの値を増加させるよう命令する。またブロック１４２はプロセッサ回路６９に、記憶している近似値において第１方向についての近似値と第２方向についての近似値との相関をとって第１相関値（ｒ1）を生成し、そして記憶している分散値において第１方向についての分散値と第２方向についての分散値との相関をとって第２相関値（ｒ2）を生成するよう命令する。相関値計算の例は、Snedecor, G.W.及びW.G. Cochran著："Statistical Methods"（1967年）に挙げられている。ｒ1及びｒ2が、例えばこれらの一方または他方あるいは両方がある基準値を下回るというそれぞれの基準を満足すると、DoSEventCountの値を増加させる。例えば、送信線におけるｔ1からｔ2までの近似値と分散値との差の絶対値と、受信線におけるｔ1からｔ2までの近似値と分散値との差の絶対値との比率が安定な値を維持しているという他の基準も、DoSEventCountの値を増加させるべきか否かを示すために用いることができる。こうした安定な値は、ユーザが規定することも、通常のデータトラフィック波形が存在する期間中の履歴的な測定値にもとづくものとすることもできる。あるいはまた、例えば送信線のデータトラフィックと受信線のデータトラフィックとの相関の度合いを、Earl Cox著："The Fuzzy Systems Handbook (Second Edition)"に記載のファジーセット・メンバシップ関数によって測定することができる。

前記詳細値に関連する分散の値が変動していることが通常のデータトラフィックを示すのに対し、送信線上のデータトラフィックから導出した前記詳細値の分散尺度が比較的一定に高止まりしていることは異常な帯域消費を示す。一般に、送信線データから導出した前記近似値及び前記詳細値の変動は、ほぼ同じ時間間隔にわたって受信線上で測定したデータから導出した前記近似値及び前記詳細値の変動と正の相関がある。

前記近似値及び前記詳細値の変動において、送信線についての変動と受信線についての変動との相関をとるに当たり、送信データと受信データとを同一時刻に測定する必要はない。前記近似値及び前記詳細値が平滑化された値であるので、これらのデータを同時に測定していなくても相関を検出することができる。しかし、送信線と受信線についてのデータカウント値のサンプルは、通常のネットワーク・トラフィックの活動期間中にこれらの平滑化された値において相関を検出するのに十分なだけ互いに近い時刻に取得すべきである。

ブロック１４２の後に、ブロック１４３はプロセッサ回路６９に、DoSEventCountの値がDoSThresholdの値以上であるか否かを判定するよう命令して、DoSThresholdの値以上である場合には、ブロック１４５がプロセッサ回路６９に、フラグまたは信号制御レジスタのようなステータス・インジケータを真または有効の値に設定して、サービス拒否攻撃信号を発生させるよう命令する。前記信号制御レジスタは、例えばサービス拒否攻撃信号を表現するディジタル信号の状態を制御すべく動作可能なレジスタとすることができ、あるいは、プロセッサ回路６９内のルーチンを起動することができ、このルーチンは、プロセッサ回路６９によってサービス拒否攻撃メッセージをプロセッサ回路、例えば制御コンピュータまたはスイッチ制御回路に送信する。前記制御コンピュータは例えば、オペレータに信号を送るか、あるいは、送信または受信線上のデータフローを中断させるかまたは利用可能な帯域幅を低減することによってサービス拒否攻撃を阻止する。

DoSEventCountの値がDoSThresholdの値以上でない場合には、プロセッサ回路６９はブロック１４４に処理を移し、ブロック１４４はプロセッサ回路６９に、前記ステータス・インジケータを偽または無効の値に設定させて、これによりサービス拒否攻撃信号は発生されない。前記しきい値はオペレータが規定するか、あるいは、（秒単位、分単位、時間単位、等で）指定した時間間隔にわたって測定した通常のデータトラフィック波形から導出した平均値にもとづくものとすることができる。例えばオペレータは、送信線の帯域異常を検出するために、AppxThresholdの値を6.0に、詳細値の分散のしきい値を0.30に、そしてDoSThresholdの値を５イベントに設定することができる。例えばAppxThresholdの値及びDoSThresholdの値のような、オペレータが構成可能なすべてのパラメータは、例えばホストコンピュータまたはＣＰＵ７１自体が実行するユーザ・インタフェースによって送信されるメッセージを介して、図５に示すＣＰＵ７１において受信される。

以上では本発明の特定実施例を説明及び図示してきたが、こうした実施例は本発明の例示に過ぎず、請求項に記載の本発明の範囲を限定するものではない。

本発明の一実施例による帯域異常検出器を採用したデータ通信システムの概略図である。データ通信システムにおける第１方向のデータトラフィックを表わす第１組のトラフィック測定値を表わすグラフである。図１に示す通信システムのネットワークサブシステムのブロック図である。サービス拒否攻撃に関連しないデータについての、図１のデータ通信システム上の第１及び第２方向のデータ量の時間分布を表わすそれぞれ第１及び第２波形を表わすグラフである。本発明の一実施例及び代案実施例によるプロセッサ回路のブロック図である。サービス拒否攻撃に関連するデータについての、図１のデータ通信システム上の第１及び第２方向のデータ量の時間分布を表わすそれぞれ第１及び第２波形を表わすグラフである。図５に示すプロセッサ回路が実行する方法のフロー図である。図５に示すプロセッサ回路が実行する方法のフロー図である。

Claims

データ通信システムにおける帯域異常を検出する方法において、
前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信するステップと；
前記第１トラフィック波形と基準波形との相関を表わす相関値を生成するステップと；
前記相関値が基準を満足する際にサービス拒否攻撃信号を発生するステップと
を具えていることを特徴とする帯域異常検出方法。
前記サービス拒否攻撃信号を発生するステップが、前記相関値が基準値未満である際に前記サービス拒否攻撃信号を発生するステップを具えていることを特徴とする請求項１に記載の方法。
前記サービス拒否攻撃信号を発生するステップが、前記相関値が前記基準値未満であるか否かを判定するステップを具えていることを特徴とする請求項２に記載の方法。
さらに、
前記データ通信システムにおける第２方向の第２期間中のデータ量の時間分布を表わす第２トラフィック波形を受信するステップと；
前記第２トラフィック波形を前記基準波形として用いて、前記相関値を生成するステップと
を具えていることを特徴とする請求項１に記載の方法。
さらに、第１組のトラフィック測定値に応答して、前記第１トラフィック波形を発生するステップを具えていることを特徴とする請求項１に記載の方法。
前記第１トラフィック波形を発生するステップが、前記第１組のトラフィック測定値に離散ウェーブレット変換を施すステップを具えていることを特徴とする請求項５に記載の方法。
前記第１組のトラフィック測定値に前記離散ウェーブレット変換を施すステップが、前記離散ウェーブレット変換においてハー・ウェーブレットフィルタ係数を使用するステップを具えていることを特徴とする請求項６に記載の方法。
前記第１トラフィック波形を発生するステップが、前記離散ウェーブレット変換によって、前記第１トラフィック波形を表現する第１成分を生成するステップを具えていることを特徴とする請求項６に記載の方法。
前記相関値を生成するステップが、前記第１成分と前記基準波形との相関をとるステップを具えていることを特徴とする請求項８に記載の方法。
さらに、プロセッサ回路を用いて、前記第１トラフィック波形を発生して、前記第１トラフィック波形と前記基準波形との相関をとるステップを具えていることを特徴とする請求項８に記載の方法。
前記第１トラフィック波形が、前記第１方向のデータ量の時間分布の統計的尺度を表わすことを特徴とする請求項１に記載の方法。
さらに、前記第１方向のデータを監視して、前記第１方向のデータに応答して前記第１組のトラフィック測定値を生成することを特徴とする請求項５に記載の方法。
前記第１組のトラフィック測定値を生成するステップが、遠隔監視プロトコルにおけるイーサネット（登録商標）統計グループのプロパティを表現する値を生成するステップを具えていることを特徴とする請求項１２に記載の方法。
さらに、前記第１トラフィック波形を発生すべく動作可能なプロセッサ回路を通信インタフェースと通信させて、前記イーサネット統計グループのプロパティを表現する値を受信するステップを具えていることを特徴とする請求項１３に記載の方法。
前記第１方向のデータを監視するステップが、前記第１方向のパケットまたはオクテットの少なくとも一方を数えるステップを具えていることを特徴とする請求項１２に記載の方法。
さらに、前記第１トラフィック波形を発生すべく動作可能なプロセッサ回路を、パケットカウンタ及びオクテットカウンタの少なくとも一方と通信させて、前記第１組のトラフィック測定値を表わす値を受信するステップを具えていることを特徴とする請求項１５に記載の方法。
さらに、前記プロセッサ回路に、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方を実現させるステップを具えていることを特徴とする請求項１６に記載の方法。
さらに、前記第１方向のデータを受動的に監視するステップを具えていることを特徴とする請求項１２に記載の方法。
データ通信システムにデータを送信し前記データ通信システムからデータを受信するステップと、請求項１２に記載の方法とを具え、さらに、前記サービス拒否攻撃信号に応答して、オペレータに信号で通知するステップを具えていることを特徴とするデータ通信方法。
データ通信システムにデータを送信し前記データ通信システムからデータを受信するステップと、請求項１２に記載の方法とを具え、さらに、前記サービス拒否攻撃信号に応答して、前記データ通信システムへのデータ送信及び前記データ通信システムからのデータ受信の少なくとも一方を制御するステップを具えていることを特徴とするデータ通信方法。
さらに、前記データ通信システムにおける前記第１及び第２方向のトラフィックを表わすそれぞれ第１組及び第２組のトラフィック測定値に応答して、それぞれ前記第１及び第２トラフィック波形を発生するステップを具えていることを特徴とする請求項４に記載の方法。
前記第１及び第２トラフィック波形が、前記データ通信システムにおけるそれぞれ前記第１及び第２方向のデータ量のそれぞれ第１及び第２時間分布のそれぞれ第１及び第２の統計的尺度を表わすことを特徴とする請求項２１に記載の方法。
前記第１及び第２トラフィック波形を発生するステップが、それぞれ前記第１組及び第２組のトラフィック測定値に離散ウェーブレット変換を施すステップを具えていることを特徴とする請求項２１に記載の方法。
前記第１組及び第２組のトラフィック測定値に前記離散ウェーブレット変換を施すステップが、前記離散ウェーブレット変換においてハー・ウェーブレットフィルタ係数を使用するステップを具えていることを特徴とする請求項２３に記載の方法。
さらに、前記離散ウェーブレット変換によって、前記第１トラフィック波形を表わす第１成分及び前記第２トラフィック波形を表わす第２成分を生成することを特徴とする請求項２３に記載の方法。
前記相関値が、前記第１成分と前記第２成分との相関から成ることを特徴とする請求項２５に記載の方法。
さらに、前記相関値を生成するために使用されるプロセッサ回路内にトラフィック波形発生器を実現するステップを具えていることを特徴とする請求項２５に記載の方法。
さらに、前記第１及び第２方向のデータを監視して、前記第１及び第２方向のデータに応答して、それぞれ第１組及び第２組のトラフィック測定値を生成するステップを具えていることを特徴とする請求項２１に記載の方法。
前記第１組及び第２組のトラフィック測定値を生成するステップが、前記第１及び第２方向の各々について、遠隔監視プロトコルにおけるイーサネット統計グループのプロパティを表現する値を生成するステップを具えていることを特徴とする請求項２８に記載の方法。
さらに、前記第１及び第２トラフィック波形を発生すべく動作可能なプロセッサ回路によって通信インタフェースと通信して、前記イーサネット統計グループのプロパティを表現する値を受信するステップを具えていることを特徴とする請求項２９に記載の方法。
前記データを監視するステップが、前記第１及び第２方向の各々において、パケットカウンタ及びオクテットカウンタの少なくとも一方を用いることを特徴とする請求項２８に記載の方法。
さらに、前記第１及び第２トラフィック波形を発生すべく動作可能なプロセッサ回路によってパケットカウンタ及びオクテットカウンタの少なくとも一方と通信して、前記第１組及び第２組のトラフィック測定値を表わす値を受信するステップを具えていることを特徴とする請求項２８に記載の方法。
さらに、前記プロセッサ回路に、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方を実現させるステップを具えていることを特徴とする請求項３２に記載の方法。
前記第１及び第２方向のデータを受動的に監視するステップを具えていることを特徴とする請求項２８に記載の方法。
データ通信システムにデータを送信し前記データ通信システムからデータを受信するステップと、請求項１に記載の方法とを具えて、さらに、前記サービス拒否攻撃信号に応答してオペレータに信号で通知するステップを具えていることを特徴とするデータ通信方法。
データ通信システムにデータを送信し前記データ通信システムからデータを受信するステップと、請求項１に記載の方法とを具えて、さらに、前記サービス拒否攻撃信号に応答して、前記データ通信システムへのデータ送信及び前記データ通信システムからのデータ受信の少なくとも一方を制御するステップを具えていることを特徴とするデータ通信方法。
データ通信システムにおける帯域異常を検出する装置において、
前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信する手段と；
前記第１トラフィック波形と基準波形との相関を表わす相関値を生成する手段と；
前記相関値が基準を満足する際にサービス拒否攻撃信号を発生する手段と
を具えていることを特徴とする帯域異常検出装置。
データ通信システムにおける帯域異常を検出することをプロセッサ回路に命令するコードを符号化したコンピュータ可読媒体において、この検出を、
前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信して；
前記第１トラフィック波形と基準波形との相関を表わす相関値を生成して；
前記相関値が基準を満足する際にサービス拒否攻撃信号を発生する
ことによって行うことを特徴とするコンピュータ可読媒体。
データ通信システムにおける帯域異常を検出することをプロセッサ回路に命令するコードを符号化したコンピュータ可読信号において、この検出を、
前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信して；
前記第１トラフィック波形と基準波形との相関を表わす相関値を生成して；
前記相関値が基準を満足する際に、サービス拒否攻撃信号を発生する
ことによって行うことを特徴とするコンピュータ可読信号。
データ通信システムにおける帯域異常を検出する装置において、この装置が、
プロセッサ回路を具えて、該プロセッサ回路が、
前記データ通信システムにおける第１方向の第１期間中のデータ量の時間分布を表わす第１トラフィック波形を受信して；
前記第１トラフィック波形と基準波形との相関を表わす相関値を生成して；
前記相関値が基準を満足する際にサービス拒否攻撃信号を発生すべく構成されている
ことを特徴とする帯域異常検出装置。
前記プロセッサ回路が、前記相関値が基準値未満である際に、前記サービス拒否攻撃信号を発生すべく構成されていることを特徴とする請求項４０に記載の装置。
前記プロセッサ回路が、前記相関値が前記基準値未満であるか否かを判定すべく構成されていることを特徴とする請求項４１に記載の装置。
前記プロセッサ回路が、前記データ通信システムにおける第２方向の第２期間中のデータ量の時間分布の統計的尺度を表わす第２トラフィック波形を受信して、前記第２トラフィック波形を前記基準波形として用いて前記相関値を生成すべく構成されていることを特徴とする請求項４０に記載の装置。
さらに、第１組のトラフィック測定値を受信して、前記第１組のトラフィック測定値に応答して前記第１トラフィック波形を発生すべく動作可能な第１トラフィック波形発生器を具えていることを特徴とする請求項４４に記載の装置。
前記第１トラフィック波形発生器が、前記第１組のトラフィック測定値に離散ウェーブレット変換を施すことによって前記第１トラフィック波形を発生すべく構成されていることを特徴とする請求項４５に記載の装置。
前記第１トラフィック波形発生器が、前記離散ウェーブレット変換においてハー・ウェーブレットフィルタ係数を使用すべく構成されていることを特徴とする請求項４５に記載の装置。
前記第１トラフィック波形発生器が、前記離散ウェーブレット変換によって、前記第１トラフィック波形を表わす第１成分を生成すべく構成されていることを特徴とする請求項４５に記載の装置。
前記プロセッサ回路が、前記第１成分と前記基準波形との相関をとることによって前記相関値を生成すべく構成されていることを特徴とする請求項４７に記載の装置。
前記プロセッサ回路が、前記第１トラフィック波形発生器を実現すべく構成されていることを特徴とする請求項４４に記載の装置。
前記第１トラフィック波形が、前記第１方向のデータ量の時間分布の統計的尺度を表わすことを特徴とする請求項５０に記載の装置。
さらに、前記第１方向のデータを監視して、前記第１方向のデータに応答して前記第１組のトラフィック測定値を生成すべく構成されていることを特徴とする請求項４４に記載の装置。
前記通信インタフェースが、遠隔監視プロトコルにおけるイーサネット統計グループのプロパティを表現する値を生成することを特徴とする請求項５１に記載の装置。
前記プロセッサ回路が、前記通信インタフェースと通信して、前記イーサネット統計グループのプロパティを表現する値を受信すべく構成され、前記値が、前記第１組のトラフィック測定値を表わすことを特徴とする請求項５２に記載の装置。
前記通信インタフェースが、前記第１方向のデータのパケット数を数えるべく動作可能なパケットカウンタ及び前記データのオクテット数を数えるべく動作可能なオクテットカウンタの少なくとも一方を具えていることを特徴とする請求項５１に記載の装置。
前記プロセッサ回路が、前記通信インタフェースと通信して、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方が生成する値を受信すべく構成され、前記値が前記第１組のトラフィック測定値を表わすことを特徴とする請求項５４に記載の装置。
前記プロセッサ回路が、前記通信インタフェースを実現すべく構成されていることを特徴とする請求項５５に記載の装置。
さらに、前記第１方向のデータを受動的に監視して、前記第１方向のデータのコピーを前記通信インタフェースに供給すべく動作可能な受動監視装置を具えていることを特徴とする請求項５１に記載の装置。
データ通信システムにデータを送信し前記データ通信システムからデータを受信すべく動作可能なデータ通信装置において、このデータ通信装置が、
請求項５１に記載の装置を具えて、さらに、前記サービス拒否攻撃信号に応答してオペレータに信号で通知する信号装置を具えていることを特徴とするデータ通信装置。
データ通信システムにデータを送信し前記データ通信システムからデータを受信すべく動作可能なデータ通信装置において、このデータ通信装置が、
請求項５１に記載の装置を具えて、さらに、前記サービス拒否攻撃信号に応答して、前記データ通信システムへのデータ送信及び前記データ通信システムからのデータ受信の少なくとも一方を制御する通信制御装置を具えていることを特徴とするデータ通信装置。
さらに、前記第１組及び第２組のトラフィック測定値を受信して、前記第１組及び第２組のトラフィック測定値に応答して、それぞれ前記第１及び第２トラフィック波形を生成すべく動作可能なトラフィック波形発生器を具えていることを特徴とする請求項４３に記載の装置。
前記第１及び第２トラフィック波形が、前記データ通信システムにおけるそれぞれ前記第１及び第２方向のデータ量のそれぞれ第１及び第２時間分布のそれぞれ第１及び第２の統計的尺度を表わすことを特徴とする請求項６０に記載の装置。
前記波形発生器が、前記第１組及び第２組のトラフィック測定値に離散ウェーブレット変換を施して、それぞれ第１及び第２トラフィック波形を発生すべく構成されていることを特徴とする請求項６０に記載の装置。
前記トラフィック波形発生器が、前記離散ウェーブレット変換においてハー・ウェーブレットフィルタ係数を使用すべく構成されていることを特徴とする請求項６２に記載の装置。
前記トラフィック波形発生器が、前記離散ウェーブレット変換によって、前記第１トラフィック波形を表わす第１成分及び前記第２トラフィック波形を表わす第２成分を生成すべく構成されていることを特徴とする請求項６２に記載の装置。
前記プロセッサ回路が、前記第１成分と前記第２成分との相関をとることによって前記相関値を生成することを特徴とする請求項６４に記載の装置。
前記プロセッサ回路が、前記トラフィック波形発生器を実現すべく構成されていることを特徴とする請求項６４に記載の装置。
さらに、前記第１及び第２方向のデータを監視して、前記第１及び第２方向のデータに応答してそれぞれ前記第１組及び第２組のトラフィック測定値を生成すべく動作可能な通信インタフェースを具えていることを特徴とする請求項６０に記載の装置。
前記通信インタフェースが、前記第１及び第２方向の各々について、遠隔監視プロトコルにおけるイーサネット統計グループのプロパティを表現する値を生成することを特徴とする請求項６７に記載の装置。
前記プロセッサ回路が、前記通信インタフェースと通信して、前記第１及び第２方向の各々について、前記イーサネット統計グループのプロパティを表現する値を受信すべく構成され、前記第１及び第２方向の各々についての前記値が、それぞれ前記第１組及び第２組のトラフィック測定値を表わすことを特徴とする請求項６８に記載の装置。
前記通信インタフェースが、前記第１及び第２方向の各々のデータのパケット数を数えるべく動作可能なパケットカウンタ及び前記データのオクテット数を数えるべく動作可能なオクテットカウンタの少なくとも一方を具えていることを特徴とする請求項６７に記載の装置。
前記プロセッサ回路が、前記通信インタフェースと通信して、前記パケットカウンタ及び前記オクテットカウンタの少なくとも一方が生成する値を受信すべく構成され、前記値が、前記第１組及び前記第２組のトラフィック測定値を表わすことを特徴とする請求項６７に記載の装置。
前記プロセッサ回路が、前記通信インタフェースを実現すべく構成されていることを特徴とする請求項６７に記載の装置。
さらに、前記第１及び第２方向のデータを受動的に監視して、前記データのコピーを前記通信インタフェースに供給すべく動作可能な受動監視装置を具えていることを特徴とする請求項６７に記載の装置。
データ通信システムにデータを送信し前記データ通信システムからデータを受信すべく動作可能なデータ通信装置において、この装置が、
請求項４０に記載の装置を具えて、さらに、前記サービス拒否攻撃信号に応答してオペレータに信号で通知する信号装置を具えていることを特徴とするデータ通信装置。
データ通信システムにデータを送信し前記データ通信システムからデータを受信すべく動作可能なデータ通信装置において、この装置が、
請求項４０に記載の装置を具えて、さらに、前記サービス拒否攻撃信号に応答して、前記データ通信システムへのデータ送信及び前記データ通信システムからのデータ受信の少なくとも一方を制御する通信制御装置を具えていることを特徴とするデータ通信装置。