JP2007006490A

JP2007006490A - 通信機器に対するサービス拒否攻撃を緩和するためのシステムおよび方法

Info

Publication number: JP2007006490A
Application number: JP2006171389A
Authority: JP
Inventors: Sachin Garg; ガルグセシン; Navjot Singh; サインナヴジョット
Original assignee: Avaya Technology LLC
Current assignee: Avaya Technology LLC
Priority date: 2005-06-21
Filing date: 2006-06-21
Publication date: 2007-01-11
Anticipated expiration: 2026-06-21
Also published as: US20060288411A1; JP4638839B2; DE602006013752D1; KR20060133921A; KR100790331B1; EP1737189A2; EP1737189B1; EP1737189A3

Abstract

【課題】サービス拒否攻撃から通信機器を保護するための装置および方法を提供すること。
【解決手段】全ての正当なパケットが通信機器へと転送されるのを可能にするパケット分類規則ベースを有する前記通信機器において、サービス拒否攻撃の影響を防止しまたは制限するための方法であって、状態がサービス拒否攻撃の存在を示しているかどうかを判定するために、前記通信機器への入力パケットを監視する工程を含む方法。サービス拒否攻撃が存在する場合は、通信機器における複数の動作状態の内の１つの現動作状態に基づいて、複数の規則ベース・サブセットから、パケット分類規則ベースの１つの規則ベース・サブセットが選択される。
【選択図】図２

Description

本発明は、通信機器におけるサービス拒否攻撃に対抗するための装置および方法に関し、詳細には、ボイス・オーバ・インターネット・プロトコルを配備する機器に関する。

ボイス・オーバ・インターネット・プロトコル（ＶｏＩＰ）は、データ形式のパケット交換ネットワーク、すなわちインターネットを介する音声または会話の伝送に関するものである。ＶｏＩＰの利点は、典型的には電話を掛けるユーザがインターネット・アクセス料金以外では課金されないことであり、それにより、ＶｏＩＰが長距離電話の魅力的な選択肢となっている。典型的なＶｏＩＰの配備は、メディア・ゲートウェイ、メディア・ゲートウェイ・コントローラ、エンド・ユーザ通信デバイス、および例えばＤＮＳ、ＤＨＣＰ、ＦＴＰなど他の多くのサポート・サーバを含む。メディア・ゲートウェイ、メディア・ゲートウェイ・コントローラ、およびＶｏＩＰエンド・デバイスは、ＶｏＩＰシグナリング／制御およびメディア・パケットを交換する。多くの様々なタイプのエンド・ユーザ通信機器は、従来型電話ハンドセット、会議用ユニット、携帯電話、携帯情報端末（ＰＤＡ）、ならびにデスクトップ型および携帯型コンピュータを含むＶｏＩＰを実装している。

サービス拒否攻撃は、実行可能なＶｏＩＰの配備においての懸念となってきている。不特定型のウイルス、ワーム、トロイの木馬、ならびにＶｏＩＰターゲット型のサービス拒否（ＤｏＳ）攻撃は、ＩＰエンド・ポイントならびに／あるいはメディア・サーバおよびゲートウェイのパフォーマンスを低下させ、あるいはそれらを全滅させることにより、サービスを破壊する可能性がある。悪意のあるパケット・フラッドは、上記のＶｏＩＰインフラストラクチャの諸要素に到達すると、ホスト・デバイスが正当なパケットを処理できなくなり、サービスが破壊されるに至るまで、中央処理装置（ＣＰＵ）やメモリなどのネットワークおよび／またはホスト資源を消費する。特に、ＶｏＩＰの配備された電話機（「ＩＰ電話」）および他の軽量デバイスは、ネットワークおよびプロセッサ資源における固有の不均衡の故に、かかる攻撃の影響を受けやすい。例えば、あるＩＰ電話では、ネットワーク・インターフェイスは、典型的には１０／１００Ｍｂｐｓイーサネット（登録商標）であり、ＣＰＵは、組込みシステム向けのＡＲＭ（ＡｄｖａｎｃｅｄＲＩＳＣＭａｃｈｉｎｅ）またはＭＩＰＳ（ＭｉｃｒｏｐｒｏｃｅｓｓｏｒｗｉｔｈｏｕｔＩｎｔｅｒｌｏｃｋｅｄＰｉｐｅｌｉｎｅＳｔａｇｅｓ）タイプのプロセッサである。コストを抑えるために、これらのＣＰＵは、極めて低い馬力（すなわち、低い処理能力）しか有していない。

最近は、悪意のあるパケットがサーバおよびエンド・ポイントに到達するのを防止し、かつ／またはそのレート制限（ｒａｔｅ−ｌｉｍｉｔ）を行うために、ネットワーク・インフラストラクチャでは多くの場合、ネットワークの周辺でファイアウォールが使用されている（この技法は境界防御（ｐｅｒｉｍｅｔｅｒｐｒｏｔｅｃｔｉｏｎ）と呼ばれている）。しかし、ＤｏＳ攻撃は、ＶｏＩＰエンド・ポイントを破壊するにはほんの僅かなネットワーク・トラフィックしか要さず、ファイアウォール単独では、ＶｏＩＰに対するＤｏＳ攻撃を防止するには十分でない。また、ネットワークの境界での帯域幅制限を非常に低いレベルに設定することも、正当なトラフィックがデバイスに到達することを妨げる。したがって、相補的かつ実行可能な手法は、ネットワーク境界に加えて、デバイス自体でも不正なトラフィックをフィルタリングすることである。言い換えれば、各デバイスは、フラッディング・ベースのＤｏＳ攻撃に対して耐性のある（ｒｅｓｉｌｉｅｎｔ）効率的な組込み型のファイアウォールを必要とする。どのようなファイアウォールであれコアとなるものは、パケット分類エンジンである。パケット分類器のパフォーマンスには、２つの対立する次元、すなわち時間と空間とが存在する。大部分の研究が、パケット分類問題における時間複雑性と空間複雑性の間のトレード・オフを理解することを扱っている。典型的なパケット分類は、パケット内の制限された１組のヘッダ・フィールドに関して行われる。ヘッダ・フィールド、関連する値、およびファイアウォールの活動（破棄／転送）は、分類エンジンが入力として受け取る規則として指定される。

パケット分類は、ルータ、スイッチ、ファイアウォールなど、インフラストラクチャの諸要素において使用されるコア技術である。これらの要素の目標は、バックプレーン容量に達するまで、ワイヤ・スピードで可能な限り多くのトラフィックを処理／転送することである。言い換えれば、パケット分類の効率は、パケット転送の際のボトルネックとなることなく、依然として多数の規則をサポートできるようなものであるべきである。

したがって、パケット分類器を対象とする主要な設計目標は、必要とされるメモリ空間とトレード・オフの関係にある拡張性およびスピードとされてきた。単純な線形探索は、Ｏ（ｎ）のストレージを要し、それ自体の時間複雑性もＯ（ｎ）であるが、多数の規則の効率的な処理には適さない。効率的なパケット分類向けの技法は、アルゴリズム型、ヒューリスティック型、ハードウェア支援型、および特殊ケース型の４つのカテゴリに大別することができる。

本発明の一目的は、サービス拒否攻撃から通信機器を保護するための装置および方法を提供することである。

通信機器が単位サイクル・デバイスであり、このデバイスがピーク有効負荷を処理するのにＸサイクルを必要とすると仮定すると、全ての到着パケットを分類しフィルタリングするのに、１−Ｘサイクルが残ることになる。分類およびフィルタリング機構が、１−Ｘサイクル内の進入パケット・レートに関する上界以下のパケット・レートを正しく処理し得ることが保証される場合、通信機器は、ネットワーク・パイプの限界に達するまでは、どんなフラッディング・ベースのＤｏＳ攻撃にも耐えることができる。したがって、本発明の他の目的は、フラッディング・ベースのＤｏＳ攻撃に耐えるための上記の条件を満たす、デバイス・ベースの効率的なファイアウォールを設計することである。

この目的は、全ての正当なパケットが通信機器へと転送されるのを可能にするパケット分類規則ベースを有する前記通信機器において、サービス拒否攻撃の影響を防止しまたは制限するための方法であって、状態がサービス拒否攻撃の存在を示しているかどうかを判定するために、前記通信機器への入力パケットを監視する工程と、前記状態がサービス拒否攻撃の存在を示していると判定された場合は、前記通信機器における複数の動作状態の内の１つの現動作状態に基づいて、複数の規則ベース・サブセットから前記パケット分類規則ベースの１つの規則ベース・サブセットを選択する工程とを含む方法によって達成される。

状態がサービス拒否要求の存在を示しているかどうかの判定は、進入のレートが閾値レートを超えているかどうかを判定する工程を含む。通信機器は、正当なパケットの最大進入レートが異なる、複数の動作状態を有していてもよい。閾値レートは、通信機器の現動作状態に基づいて変更されてもよい。閾値レートはさらに、受信トラフィックが周期的であるかどうか、通信機器によって使用される諸機能、送信元から送信される固有のパケット・レート、ならびに／あるいはネットワーク遅延およびジッタに依存してもよい。

また、本発明の目的は、全ての正当なパケットが通信機器へと転送されるのを可能にするパケット分類規則ベースを有する前記通信機器において、サービス拒否攻撃の影響を防止しまたは制限するための方法であって、根拠のない応答（ｇｒａｔｕｉｔｏｕｓｒｅｐｌｙ）を含むパケットを拒否する工程を含む方法によっても達成される。

ファイアウォールは、通信機器内に配置され、上述の方法を実施するように構成されてもよい。通信機器は、ＩＰ電話、会議ユニット、コンピュータ、またはＶｏＩＰ通信の可能な他の任意の機器でよい。

本発明の他の目的および特徴は、以下の詳細な説明を添付の図面と併せて考察することによって、明らかとなるであろう。しかし、添付の図面は単に例示のために示されるにすぎず、本発明の範囲を定義するものではなく、本発明の範囲については添付の特許請求の範囲が参照されるべきであることを理解されたい。さらに、添付の図面は、必ずしも縮尺通りには示されておらず、別段の指示がない限り、単に本明細書に記載の構造および手順を概念的に示すことが意図されるにすぎないことが理解されるべきである。

現在のＶｏＩＰシステムは、独自プロトコル、あるいはＨ．３２３とセッション開始プロトコル（ＳＩＰ）の２つの標準の１つを使用する。本発明の実装形態を、Ｈ．３２３ベースのＩＰ電話の例を使用して以下で説明する。しかし、以下で説明する一般的なソリューションは、様々なＶｏＩＰシステムの内の任意のＶｏＩＰシステム内の通信機器に実装することができる。

Ｈ．３２３標準は、国際電気通信連合（ＩｎｔｅｒｎａｔｉｏｎａｌＴｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎＵｎｉｏｎ）（電気通信部門：ＴｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓＳｅｃｔｏｒ）によって規定されている。Ｈ．３２３ネットワーク１０の例が、図１に示されている。Ｈ．３２３ネットワーク１０は、端末または通信機器１２ａ〜１２ｎと接続されている。図１には３つの機器が示されているが、Ｈ．３２３ネットワークは、１つまたは複数の機器を有することができる。通信機器１２ａ〜１２ｎは、従来型電話ハンドセットと、会議用ユニットと、携帯電話と、デスクトップ型または携帯型コンピュータ（「ソフトフォン」）とを備えることができる。

Ｈ．３２３ネットワーク１０は、例えばＩＳＤＮまたはＰＳＴＮなどの非Ｈ．３２３ネットワーク１６にＨ．３２３ネットワークを接続する、ゲートウェイ１４とも接続されている。ゲートキーパ１８は、Ｈ．３２３ネットワーク１０と接続された機器１２ａ〜１２ｎを対象とするアドレス変換および帯域幅制御を行う。バック・エンド・サービス（ＢＥＳ）２０は、ゲートキーパと接続され、許可、サービス、および構成を含めた機器１２ａ〜１２ｎに関するデータを維持するデータベースを備える。マルチ・ポイント制御ユニット（ＭＣＵ）２２は、３つ以上の端末間での通信を容易にする、Ｈ．３２３ネットワークの光学素子である。

ゲートウェイ１４は、１つまたは複数のメディア・ゲートウェイ（ＭＧ）１４ａと、メディア・ゲートウェイ・コントローラ（ＭＧＣ）１４ｂとに分解することもできる。ＭＧＣ１４ｂは、ＭＧ１４ａとゲートキーパ１８など他のネットワーク・コンポーネントとの間のデータ・シグナリング、またはＳＳ７シグナリング・ゲートウェイへのデータ・シグナリングを処理する。ＭＧ１４ａは、オーディオ信号の変換機能に焦点を置く。

ファイアウォール２４は、その機器へのサービス拒否（ＤｏＳ）攻撃を防止するために、通信機器１２ａ〜１２ｎ内に組み込まれている。ファイアウォールは、ゲートウェイ１４へのＤｏＳ攻撃も同様に防止するために、ゲートウェイ１４内にも組み込まれている。各ファイアウォール２４は、通信機器において受信されたパケットをフィルタリングするためのパケット分類エンジンを含む。ファイアウォール２４は、パケット分類規則ベース２６内の規則を利用して、通信機器１２ａ〜１２ｎにそれぞれ入力パケットを転送すべきかどうかを判定する。したがって、ファイアウォールは、悪意のあるパケットが通信機器に到達するのを防止し、かつ／または悪意のあるパケットが通信機器に到達するレートを制限する。

以下でより詳細に説明するように、パケット分類規則ベース２６は、ネットワーク管理者によって管理される。図１に示されるように、パケット分類規則ベース２６は、各通信機器１２ａ〜１２ｎと直接接続することができる。別法として、中央のパケット分類規則ベース２６ａを、全てのファイアウォール２４からアクセス可能なＨ．３２３ネットワークと接続することもできる。

図２には、本発明による通信機器を対象とするパケットの効率的なフィルタリングのための全般的な方法が示されている。この方法は、ファイアウォール２４内で実装されるソフトウェアであってよい。さらに、ファイアウォール２４全体が、通信機器のプロセッサを利用して実装されるソフトウェアであってもよい。別法として、ファイアウォール２４は、通信機器と接続されたそれ自体のプロセッサを有する別個のハードウェア・コンポーネントを備えていてもよい。本発明によれば、図２に示されるように、ファイアウォール２４への各パケットの到着が、工程Ｓ１００の１つのイベントを表す。工程Ｓ１０２で、各パケットの到着毎に、単純な時間ベースまたはパケット・カウント・ベースの条件が評価される。工程Ｓ１０２の条件が満たされた場合は、工程Ｓ１０４で、パケット進入レートが計算される。工程Ｓ１０６で、計算された進入レートが所定の閾値よりも高いと判定され、ＤｏＳ攻撃の検出条件が満たされたと判定された場合は、工程Ｓ１０８で、人間のオペレータによって管理されるポリシー規則１０７に従って、ファイアウォール２４の利用する規則が変更される。工程Ｓ１０６の２つの条件のいずれかが満足されない場合は、制御フローが初期状態に戻る。工程Ｓ１０８で規則ベースが変更されると、ポリシー規則によって決定された極めて重要なトラフィックだけが、通信機器に到達することを許可される。残りのトラフィックは、廃棄される。工程Ｓ１０８における規則ベースの更新により、各パケットに適用される規則の数が減少し、それによって、通信機器のＣＰＵを過負荷状態に陥らせることなく、通信機器１２がＤｏＳフラッディング攻撃に耐えることが可能になる。この低下状態（ｄｅｇｒａｄｅｄｓｔａｔｅ）では、工程Ｓ１０９で、後続パケットの到着が監視され、工程Ｓ１１０で、進入レートが判定され、工程Ｓ１１２で、ＤｏＳ侵入がいつ終了するかが判定される。パケット進入レートが確立された閾値を下回ると、工程Ｓ１１４で、規則ベースがその元の状態にリセットされ、全ての正当なトラフィックが通信機器に到達することを許可される。次いで、制御フローは初期状態に戻る。

工程Ｓ１０２およびＳ１０６における検出条件のパラメータは、単純なヒューリスティックに基づいていてもよく、その１つの例を、Ｈ．３２３ベースのＩＰ電話における通常のイン・コール状態について以下で説明する。Ｈ．３２３ベースのＩＰ電話のイン・コール状態の間は、リアルタイム転送プロトコル（ＲＴＰ）、リアルタイム制御プロトコル（ＲＴＣＰ）、およびＩＰ電話とサーバの間のＨ．２２５（呼シグナリング（ｃａｌｌｓｉｇｎａｌｉｎｇ））ハートビートが、ＩＰ電話において受信される周期的なトラフィックを構成し、ここでは、ＲＴＰフローがこのトラフィックの帯域幅を最も多く消費する。パケット毎に２０ミリ秒のオーディオ・ペイロードがあると仮定すると、Ｇ．７１１用コーデックを使用するパケットの周期的なストリーム（ＩＴＵ−Ｔ推奨は６４ｋｂｐｓのオーディオ・コーディング）は、毎秒５０パケットの受信レートを生み出す。これらのパケットが輸送中に行列に投入されその後放出されようにし、人為的に、限定された期間の間、レートが５０パケット／秒を超えるようにすることが可能である。進入レートの測定に関する粒度を決定する際、および規則ベースを更新することによってフィルタリング・ポリシーをいつ有効化するかを決定する際は、このことが考慮に入れられなければならない。パケットが受信されるたびにその都度進入レートを計算することも可能であるが、そのような計算頻度は、ＣＰＵ能力を大きく消耗させる。しかし、ある数毎の受信されたパケットについてだけ進入レートを計算すると、何らかの正確さに欠けることになるはずである。ＶｏＩＰトラフィックのＱｏＳガイドラインは、進入レートを計算する最適間隔を決定するのに役立つ。Ｇ．７１１コーデックは、典型的には１５０ミリ秒未満の遅延および２％未満の損失の許容可能な呼の品質をもたらすことができる。このことは、１５０ミリ秒未満しか持続しないどんな侵入も、呼の品質に知覚可能な影響を与えないことを暗示している。言い換えれば、適切なレート監視間隔は、１５０ミリ秒未満である。同様に、パケット進入レートが確立された閾値よりも高いと判定されても、呼の品質が損なわれる前にフィルタリング・ポリシーが有効になるまでに、（攻撃の開始から）１５０ミリ秒を要してもよいことになる。したがって、合理的なヒューリスティックは、５０ミリ秒毎に監視を行い、ファイアウォールの規則ベースが更新される前に閾値を超えた連続する３つの測定値を有することかもしれない。

上記の例では、図２の方法の工程Ｓ１０２は、パケット進入レートに関する最後の計算以降、５０ミリ秒が経過したかどうかを判定する工程を含む。この間隔が５０ミリ秒未満である場合は、制御は初期状態に戻る。上記の例では、工程Ｓ１０６は、現在の進入レートが閾値を超えているかどうか、およびその進入レートが連続する３つの時間にわたり、すなわち１５０ミリ秒にわたり超えているかどうかを判定する。

本発明は、通信機器におけるパケット分類およびフィルタリングの設計要件と、ルータやスイッチなど大規模なネットワーク要素における分類およびフィルタリングの設計要件との間の差異を認識している。

第１の差異は、コンピュータ機器が、小セットのＩＰアドレスとの間でしか正当にトラフィックの送受信を行わない点である。例えば、図１に示されるＨ．３２３ネットワーク内のＩＰ電話１２ａは通話中、ＭＧＣ１４ｂ（ＲＡＳおよびＨ．２４８プロトコルを使用）と、ＭＧ１４ａ（ＲＴＰおよびＲＴＣＰプロトコルを使用）と、別のＩＰ電話との通信チャネルを確立する。会議および多者間通話については、ＲＴＰストリームは、ゲートウェイ１４を介して送られるのであって、各ＩＰ電話の個々の各ＩＰアドレスへと送られるのではない。この電話機が通信する可能性のある他の典型的なＩＰアドレスとしては、ＲＴＣＰデータを監視するための監視ツール（例えば、ＶＭＯＮ）や、簡易ネットワーク管理プロトコル（ＳＮＭＰ）マネージャなどの管理デバイスが挙げられる。通常は、１２個未満のよく知られたＩＰアドレスが終始、ＩＰ電話１２ａとのメッセージ交換に関わる。一方、エンタープライズ向けルータ／スイッチは通常、数多くのＩＰアドレスおよび範囲とのメッセージ交換に関わる。

コンピュータ機器とネットワーク要素との間の第２の差異は、コンピュータ機器が、本格的なＩＰスタックを有し、コンピュータ機器の使用するプロトコルの数が、ネットワーク要素の使用するプロトコルの総計よりも小さい点である。例えば、Ｈ．３２３ベースのＩＰ電話１２ａは、ＲＴＰ、ＲＴＣＰ、Ｈ．３２３スイート、ＳＮＭＰ、ＴＦＴＰ、およびＨＴＴＰプロトコルを使用する。ＩＰ電話１２ａは、ＩＰデータグラム、任意のＵＤＰパケット、または上記のプロトコルに属さないＴＣＰパケットを受信することなど予期してはいない。図３は、ＩＰ電話１２ａによって使用されるポートおよびプロトコルを示す表である。ルータおよびスイッチは、この限定されたプロトコル使用特性を有していない。

通信機器とネットワーク要素との間のさらなる差異は、通信機器が互いに異なる複数の動作状態を有することである。ルータやスイッチなどのネットワーク要素は、かかる互いに異なる動作状態を有していない。例えば、図４に示されるように、ＩＰ電話は起動されると、互いに異なる４つの動作状態を有する。第１の動作状態には、構成データを検索するための動的ホスト構成プロトコル（ＤＨＣＰ）が関与する。第２の動作状態は、最新のファームウェアおよび設定を更新するための簡易ファイル転送プロトコル（ＴＦＴＰ）交換を使用することを含む。通信デバイスがこの状態にあるときは、受信される他のどんな通信プロトコルのパケットも、不正と見なされる可能性がある。第３の状態には、Ｈ．３２３の発見および登録手続きが関与する。この状態では、ＩＰ電話１２ａは、よく知られた特定のＩＰアドレスおよびポート上でのＭＧＣ１４ｂとの通信しか行わない。最後の状態は、オン・フック（ｏｎ−ｈｏｏｋ）とオフ・フック（ｏｆｆ−ｈｏｏｋ）状態とにさらに細分化され得る動作状態である。各状態において使用される１組のＩＰアドレス、ポート、およびプロトコルは、互いに異なる。この通信機器の特性を使用して、図２の工程Ｓ１０８において使用される縮小版（ｒｅｄｕｃｅｄ）規則ベースを案出することができる。

通信機器の特性と、通信機器におけるフラッディング・ベースのＤｏＳ攻撃に対する防御に使用され得る他のネットワーク要素の特性における別の重要な差異は、通信機器が終始受信する正当なトラフィック・レートには、通信機器におけるネットワーク接続の容量よりも遥かに低い既知値によって上界が与えられることである。引き続きこのＩＰ電話の例では、ＲＴＰストリームが、通常の動作中にＩＰ電話によって受信される最もレートの集中するパケットである。パケット毎に２０ミリ秒のオーディオ・ペイロードがあると仮定すれば、Ｇ．７１１コーデックを使用すると、パケットは毎秒５０フレームのレートで受信される。したがって、より高いレートで受信されるパケットは、不正であると判定され得る。場合によっては、許容し得るパケット進入レートを決定する際に、ネットワーク遅延およびジッタによってもたらされる可能性のある、ある種の特質を考慮に入れる必要がある。

通信機器と、特にＩＰ電話とネットワーク要素との間の上述した差異は、図２で開示されるような通信機器におけるＤｏＳ攻撃を防止するための一般的な方法の実装において使用することができる。通信機器が互いに異なる複数の動作状態を有することにより、パケット分類規則ベース内の規則を、各サブセットが通信機器の特定の動作状態に適用される規則を含む、規則ベース・サブセットにセグメント化しまたはパーティション化することが可能になる。規則のパーティション化は、エンジンが任意のどの時間にも一致している必要のある規則の数が、大幅に減少することを意味する。たとえば、ＩＰ電話は再起動された後、ＤＨＣＰおよびＴＦＴＰ交換シーケンスを経て、構成データおよびファームウェア更新を取得する。この状態の間は、ＤＨＣＰおよびＴＦＴＰパケットだけが許可されることになる。言い換えれば、他のプロトコルに属するどんな不正なパケットも廃棄するには、既知のＴＦＴＰサーバのＩＰアドレスと共に、ＤＨＣＰおよびＴＦＴＰプロトコルもマッチさせる２つの規則があれば十分なはずである。以下では、Ｈ．３２３ＩＰ電話に特有の動作状態別に、規則のパーティション化を詳細に説明する。図５は、ＩＰ電話の互いに異なる４つの動作状態を示す。この電話機の通常の動作状態は、オン・フックとオフ・フック状態とに細分化されている。

ＩＰ電話が起動した後で、ネットワーク・スタックが初期化されると、ＩＰ電話は、ＩＰアドレスを有していない状態になる（ＩＰアドレスの静的な構成のために、ＤＨＣＰ段階がバイパスされることもある）。ＩＰ電話は、ＤＨＣＰブロードキャスト要求を開始する。この状態では、図２の工程Ｓ１０８の縮小版規則ベースは、ＤＨＣＰ応答以外のどんなパケットも、ブロックすべき不正なパケットと見なす。いずれにせよ、ＩＰアドレスがない場合は、どのＩＰ層の通信も無意味である。この状態では、拒否をデフォルトとする単一の許容規則が、働いているはずである。ＩＰ電話は、ＤＨＣＰ手続きを解してＩＰアドレスを取得すると、ＴＦＴＰ交換状態を始動して、更新されたファームウェアがあればこれを取得する。この状態の間は、縮小版規則ベースにより、メッセージをＴＦＴＰ交換に関連付けることが可能になり、ＳＮＭＰおよびＩＣＭＰが、正当なソースへの問合せを行う。ＴＦＴＰサーバのＩＰアドレスは、それ以前のＤＨＣＰ交換においてＩＰ電話に知らされているので、ＴＦＴＰサーバは、入力ＴＦＴＰパケット内で許可される唯一のソースＩＰアドレスとなる。図５は、工程Ｓ１０８で実装されるＩＰ電話の互いに異なる状態のそれぞれに関連する、様々な縮小版規則のリスト（ポート、プロトコル）の概要を示す表を開示する。

図２の工程Ｓ１０４における進入パケット・レートの閾値に関する判定は、ルータ、スイッチ内のファイアウォールのコア機能と、通信機器内に組み込まれたファイアウォールのコア機能との間の差異に基づいていてもよい。前者の主要な機能は、正当なネットワーク・パケットのスループットを容量限界に達するまで最大化しながらも、求められていないトラフィックはブロックすることである。一方、後者の場合では、不正なパケットをブロックするという要件は同じであるが、上述したように、通信機器がパケットを受信する正当なトラフィック・レートが通信機器へのネットワーク接続の容量よりも低い故に、ネットワーク容量に達するまでスループットを最大化することは、問題にならない。

引き続きＩＰ電話の例では、通常の動作中にＩＰ電話が受信する、最も集中的なネットワーク・トラフィックは、通話中のＲＴＰパケットである。１６０バイトのパケットを用いてＧ．７１１コーデックが使用されている場合は、ＲＴＰストリームのデータ帯域幅は、６４ｋｂｐｓである。パケット毎に２０ミリ秒のオーディオがあると仮定すると、これは、イーサネット（登録商標）層では８７．２ｋｂｐｓに相当することになる。これは、ＩＰ電話の全二重１０Ｍｂｐｓイーサネット（登録商標）・ポートの容量よりも３桁以上低い容量である。したがって、ＩＰ電話におけるパケット進入レートが８７．２ｋｂｐｓのレートを超えた場合は、いくつかのパケットは、不正なものであるはずである。言い換えれば、パケット進入レートの監視は、侵入検出の強力な対策である。

図６の表は、様々な動作状態の間にＩＰ電話によって経験される、予期される平均進入レートを示す。表から分かるように、ＴＦＴＰ交換を除く動作状態のそれぞれにおいて、予期される平均最大進入パケット・レートは、１０Ｍｂｐｓのネットワーク容量よりも遥かに低いものとなっている。平均最大進入レートを超えるレートが測定されたときは、極めて重要なパケットだけが通過を許可され、残りのパケットが破棄されるように（極めて重要なパケットの判定は、上記で詳細に説明した）、上述の通り規則ベースを減少させることができる。この電話機の通常のオフ・フック状態では、例えば、ＩＰ電話とメディア・サーバの間のＨ．２２５ハートビートが、タイムアウトおよび再登録サイクルを回避するのに極めて重要なものと見なされる。同様に、この電話機のオン・コール状態では、Ｈ．２２５ハートビートに加えて、ＲＴＰおよびＲＴＣＰトラフィックが、極めて重要なものと見なされる。パケットの重要度は、パケット分類スピードと規則の数との間のトレード・オフが関与するポリシー決定である。より多くの数の規則が構成されている場合に、より多くのタイプのトラフィック（Ｈ．２２５およびＲＴＰに加えて、ＳＮＭＰｇｅｔ、ＩＣＭＰなど）を許可すると、パケット処理に掛かる時間が長くなる。よりトラフィック・レートの低い正当なパケットの処理にＣＰＵのボトルネックが影響を及ぼすことになる点では、ＤｏＳ耐性が低くなる。ＣＰＵが、高いパケット・レートで多数の規則を処理するには十分な能力を有していないので、ＤｏＳ攻撃が進行している間でも、パケット分類に必要とされるファイアウォール規則の数を大幅に減少させることにより、正当なトラフィックのいくつかを削減しなければならない。ＤｏＳ攻撃は、進入レートが予期される最大レートを超えることによって検出される。許可されるべきトラフィックの量および種類は、システム管理者によって構成されるポリシーの問題である。システム管理者は、ビジネス目標および機器の使用可能なＣＰＵ容量に基づいて、その優先度および量を決定する。ポリシーが指定され、工程Ｓ１０６で監視されたレートが既知上界を超えた場合は、工程Ｓ１０８で、ポリシーへの反映のために規則が更新される。工程Ｓ１１０で、引き続きレートの監視が続けられる。工程Ｓ１１２で進入レートが上界を下回ると、工程Ｓ１１４で、極めて重要なものだけでなく全ての正当なトラフィックを許可するために、規則ベースは再び、その元の規則ベースに更新される。

上記で説明したように、比較用の上界は、システム管理者によって慎重に決定される必要がある。この値に影響を及ぼす要因としては、機器の状態、トラフィックが周期的であるのかそれとも非周期的であるのか、サイレンス抑制などの機能が使用されているかどうか、送信元から送信される固有のパケット・レート、ならびにネットワークの（輸送中の）遅延およびジッタが挙げられる。最後の要因を除く全てのこれらの要因は、コンピュータ機器の進入ポートにおいて認められるトラフィック・ボリュームに対して、決定論的な効果を有する。一方、ネットワーク遅延、ジッタ、および損失は、様々なポイントでのランダム行列（ｒａｎｄｏｍｑｕｅｕｉｎｇ）および損失を生じさせ、パケットがＲＴＰのような周期的なトラフィックとは異なる可変到着レートで輸送されることになる可能性がある。輸送中の過度の輻輳は、過剰行列（ｅｘｃｅｓｓｉｖｅｑｕｅｕｉｎｇ）を生じさせる可能性がある。異常状態の下では、不要なパケットを速やかに取り除くことにより、短期間の内にパケットがエンド・ポイントに到着し、そのため、人為的に高い到着レートが生み出される可能性もある。

以下では、ＤｏＳ攻撃の影響を低減するための追加の方法を説明する。上述したように、通信機器（すなわち、端末またはエンド・ポイント）は、小セットのプロトコルによって実行される特定の専用タスクを実施する。機器、メディア・ゲートウェイおよびサーバ、ならびにエンド・ポイント自体の間でのメッセージ交換は、しばしば１対１のペアリングによって特徴付けられる「要求／応答」タイプのメッセージを使用する。特定のクラスのＤｏＳ攻撃では、何らの要求も発行されていないときに根拠のない応答が送信される。多くの場合では、かかる応答に対する通信機器の挙動は、指定されず、実装に依存する。ＶｏＩＰシステムの古典的な悪用手口は、任意のＩＰアドレスを対象とする媒体アクセス制御（ＭＡＣ）アドレスが、攻撃者のＭＡＣアドレスに変更される、「根拠のないアドレス解決プロトコル（ＡＲＰ）応答」の送信である。「ＡＲＰ応答」が受信されると、通信機器がそれ自体のＡＲＰテーブルを更新し、その結果、通話ハイジャックが起こり、あるいは電話機がメディア・サーバとの通信を行うことができなくなる。

本発明は、通信機器がそれに対応する要求を発行していないどんな根拠のない応答も効果的に無視する、メッセージ・ペアリング規則を実装している。要求／応答メッセージの他の例としては、ＤＨＣＰ要求／応答、およびＨ．３２３スイートにおけるゲートキーパ・リクエスト／ゲートキーパ・コンファメーション（ＧＲＱ−ＧＣＦ）が挙げられる。この実施形態によれば、通信機器のファイアウォールは、回答のない要求のリストを格納している。このリストは、パケット分類規則ベースの一部として格納されてもよい。応答を含むパケットが受信されると、通信機器は、その応答が回答のない要求のいずれかに対応しているかどうかを判定する。応答が回答のない要求の１つに対応している場合は、その応答は、通信機器へと転送される。そうでない場合は、その応答は、廃棄される。

かくして、基本的な本発明の新規な諸特徴を、本発明の好ましい実施形態に適用されるものとして図示し、記載し、指摘してきたが、当業者なら、ここに例示される各デバイスの形態および詳細ならびにそれらの動作には、本発明の趣旨から逸脱することなく、様々な省略および置換えならびに変更を加えることもできることが理解されるであろう。例えば、これらの要素の全ての組合せ、および／または同じ結果を実現するために実質的に同じやり方で実質的に同じ機能を果たす方法工程は特に、本発明の範囲内にあることが企図されている。さらに、本発明における開示のいずれかの形態または実施形態に関して図示および／または記載される構造および／または要素および／または方法工程は、設計選択における一般的な材料として、他のいずれかの開示または記載あるいは提案される形態または実施形態に組み込むこともできることが理解されるべきである。したがって、本明細書に添付の特許請求の範囲によって示される形でしか限定されないことが意図されている。

本発明を実装し得るネットワークの概略図である。本発明の一実施形態による方法の流れ図である。ＩＰ電話によって使用されるポートおよびプロトコルのリスト表である。ＩＰ電話の様々な動作状態を示す図である。ＩＰ電話のそれぞれの動作状態において使用されるポートおよびプロトコルのリスト表である。ＩＰ電話のそれぞれの動作状態中における平均パケット進入レートのリスト表である。

Claims

全ての正当なパケットが通信機器へと転送されるのを可能にするパケット分類規則ベースを有する前記通信機器において、サービス拒否攻撃の影響を防止しまたは制限するための方法であって、
状態がサービス拒否攻撃の存在を示しているかどうかを判定するために、前記通信機器への入力パケットを監視する工程と、
前記状態がサービス拒否攻撃の存在を示していると判定された場合は、前記通信機器における複数の動作状態の内の１つの現動作状態に基づいて、複数の規則ベース・サブセットから前記パケット分類規則ベースの１つの規則ベース・サブセットを選択する工程と
を含む方法。
状態がサービス拒否要求の存在を示しているかどうかを判定する前記工程は、進入のレートが閾値レートを超えているかどうかを判定する工程を含む、請求項１に記載の方法。
状態がサービス拒否要求の存在を示しているかどうかを判定する前記工程は、進入のレートが所定の期間にわたって閾値レートを超えているかどうかを判定する工程を含む、請求項２に記載の方法。
周期的な間隔でパケットの進入のレートを検査する工程をさらに含む、請求項２に記載の方法。
状態がサービス拒否要求の存在を示しているかどうかを判定する前記工程は、進入のレートが所定の数の連続する時間にわたり閾値レートを超えているかどうかを判定する工程を含む、請求項４に記載の方法。
前記通信機器は、複数の動作状態を有し、前記閾値レートは、前記通信機器の現動作状態に基づいて可変である、請求項２に記載の方法。
前記閾値レートは、受信トラフィックが周期的であるかどうかにさらに依存する、請求項６に記載の方法。
前記閾値レートは、前記通信機器によって使用される機能にさらに依存する、請求項６に記載の方法。
前記閾値レートは、送信元から送信される固有のパケット・レートにさらに依存する、請求項６に記載の方法。
前記閾値レートは、ネットワーク遅延とジッタとにさらに依存する、請求項６に記載の方法。
更新された前記パケット分類規則ベースは、第１のパケット分類規則ベースよりも少ない、請求項１に記載の方法。
前記選択された規則ベース・サブセットは、前記状態がサービス拒否攻撃の存在を示していると判定された場合に、極めて重要なパケットだけが前記通信機器へと転送されるのを可能にする、請求項１に記載の方法。
前記規則ベース・サブセットは、前記動作状態のそれぞれの間に使用されるプロトコルに基づいて、極めて重要なパケットだけが前記通信機器へと転送されるのを可能にする規則を含む、請求項１２に記載の方法。
前記規則ベース・サブセットは、根拠のない応答を拒否する規則を含む、請求項１２に記載の方法。
前記第１のパケット分類規則ベースは、根拠のない応答を拒否する規則を含む、請求項１に記載の方法。
前記通信機器は、ＩＰ電話を備える、請求項１に記載の方法。
前記ＩＰ電話は、Ｈ．３２３ベースのＩＰ電話である、請求項１６に記載の方法。
全ての正当なパケットが通信機器へと転送されるのを可能にするパケット分類規則ベースを有する前記通信機器において、サービス拒否攻撃の影響を防止しまたは制限するための方法であって、根拠のない応答を含むパケットを拒否する工程を含む方法。
パケットの形で受信された応答が前記通信機器によって行われた回答のない要求に対応しているかどうかを判定する工程をさらに含み、前記応答が前記通信機器によって行われた回答のない要求に対応していない場合は、前記拒否する工程が、前記パケットを拒否する工程を含む、請求項１８に記載の方法。
状態がサービス拒否攻撃の存在を示しているかどうかを判定するために、前記通信機器への入力パケットを監視する工程と、前記状態がサービス拒否攻撃の存在を示していると判定された場合は、前記通信機器における複数の動作状態の内の１つの現動作状態に基づいて、複数の規則ベース・サブセットから前記パケット分類規則ベースの１つの規則ベース・サブセットを選択する工程とをさらに含む、請求項１８に記載の方法。
通信機器におけるサービス拒否攻撃の影響を防止しまたは制限するための装置であって、状態がサービス拒否攻撃の存在を示しているかどうかを判定するために、前記通信機器への入力パケットを監視し、前記状態がサービス拒否攻撃の存在を示していると判定された場合は、前記通信機器における複数の動作状態の内の１つの現動作状態に基づいて、パケット分類規則ベース内の複数の規則ベース・サブセットから１つの規則ベース・サブセットを選択するように配置され構成されるファイアウォールを備える装置。
前記パケット分類規則ベースをさらに備える、請求項２１に記載の装置。
前記パケット分類規則ベースは、前記通信機器内に配置される、請求項２２に記載の装置。
前記パケット分類規則ベースは、通信ネットワークを介して前記通信機器に接続される、請求項２２に記載の装置。
前記ファイアウォールは、パケットの進入のレートが閾値レートを超えているかどうかを判定するように配置され構成される、請求項２１に記載の装置。
前記ファイアウォールは、パケットの進入のレートが所定の期間にわたって閾値レートを超えているかどうかを判定するように配置され構成される、請求項２１に記載の装置。
前記ファイアウォールは、周期的な間隔でパケットの進入のレートを検査するように配置され構成される、請求項２１に記載の装置。
前記ファイアウォールは、進入のレートが所定の数の連続する時間にわたり閾値レートを超えているかどうかを判定するように配置され構成される、請求項２１に記載の装置。
前記閾値レートは、前記通信機器の現動作状態に基づいて可変である、請求項２５に記載の装置。
前記閾値レートは、受信トラフィックが周期的であるかどうかにさらに依存する、請求項２９に記載の装置。
前記閾値レートは、前記通信機器によって使用される機能にさらに依存する、請求項２９に記載の装置。
前記閾値レートは、送信元から送信される固有のパケット・レートにさらに依存する、請求項２９に記載の装置。
前記閾値レートは、ネットワーク遅延とジッタとにさらに依存する、請求項２９に記載の装置。
選択された規則ベース・サブセットは、前記パケット分類規則ベースよりも少ない、請求項２１に記載の装置。
前記選択された規則ベース・サブセットは、前記状態がサービス拒否攻撃の存在を示していると判定された場合に、極めて重要なパケットだけが前記通信機器へと転送されるのを可能にする、請求項２１に記載の装置。
前記規則ベース・サブセットは、前記動作状態のそれぞれの間に使用されるプロトコルに基づいて、極めて重要なパケットだけが前記通信機器へと転送されるのを可能にする規則を含む、請求項３５に記載の装置。
前記規則ベース・サブセットは、根拠のない応答を拒否する規則を含む、請求項３５に記載の装置。
前記第１のパケット分類規則ベースは、根拠のない応答を拒否する規則を含む、請求項２２に記載の装置。
前記通信機器は、ＩＰ電話を備える、請求項２１に記載の装置。
前記ＩＰ電話は、Ｈ．３２３ベースのＩＰ電話である、請求項３９に記載の装置。
通信機器におけるサービス拒否攻撃の影響を防止しまたは制限するための装置であって、根拠のない応答を含むパケットを拒否するように配置され構成されるファイアウォールを備える装置。
前記ファイアウォールは、パケットの形で受信された応答が前記通信機器によって行われた回答のない要求に対応しているかどうかを判定し、前記応答が前記通信機器によって行われた回答のない要求に対応していない場合は、前記パケットを拒否するようにさらに配置され構成される、請求項４１に記載の装置。
前記ファイアウォールは、状態がサービス拒否攻撃の存在を示しているかどうかを判定するために、前記通信機器への入力パケットを監視し、前記状態がサービス拒否攻撃の存在を示していると判定された場合は、前記通信機器における複数の動作状態の内の１つの現動作状態に基づいて、パケット分類規則ベースの複数の規則ベース・サブセットから１つの規則ベース・サブセットを選択するように配置され構成される、請求項４１に記載の装置。