JP2007060379A

JP2007060379A - Ｓｉｐサーバにおける攻撃防御方法、システム及びプログラム

Info

Publication number: JP2007060379A
Application number: JP2005244271A
Authority: JP
Inventors: Hitoshi Kaneko; 斉金子; Hironori Oka; 宏規岡
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-08-25
Filing date: 2005-08-25
Publication date: 2007-03-08
Anticipated expiration: 2025-08-25
Also published as: JP4654092B2

Abstract

【課題】ＤＤｏＳ攻撃などを精度良く検出することができるＳＩＰサーバにおける攻撃防御方法、システム及びプログラムを提供する。
【解決手段】ＳＩＰサーバ１において、INVITE信号及びREGISTER信号の各々の単位時間当たりの総数Ｉ，Ｒ及びＳＡごとの数、両者を含めた単位時間当たりの総数Ｉ＋Ｒ及びＳＡごとの数を測定し、各々の総数Ｉ，Ｒについて輻輳が起こりうるための閾値Ａを予め定め、総数Ｉが閾値Ａを上回った場合に「ＤＤｏＳ検出・防御機能」を作動させ、即時に発呼規制を実施する。それに対して、総数Ｉが閾値Ａを下回った場合には、本機能を終了させることにより、fa1se−positiveのリスクを最小にする。
【選択図】図１

Description

本発明は、ＩＰネットワークにおけるＤＤｏＳ攻撃に対するインターネットセキュリティを向上する、ＳＩＰサーバにおける攻撃防御方法、システム及びプログラムに関する。

従来、ＳＩＰ信号による攻撃の検出／防御は、単一のＳＡ（ソースアドレス）からの多量信号の検出によるのが一般的である（例えば、特許文献１参照）。また、単一のＳＡからの信号量はさほど多くないが、複数のＳＡから送信されることによりトータルでは大きな影響を及ぼす攻撃に対しては、既存電話網で実現していたトラヒック制御技術をＩＰネットワークに対して実装するような方法が提案されている（例えば、非特許文献1参照）。
特開２００４−３２０６３６号公報宮越外3名、"高品質な1P電話サービスの実現をサポートするIPトラヒック制御システム（IP−TOS）の開発"、NTTコムウェア・テクノロジー、NTTコムウェア株式会社、平成15年、Vol．05、P.43−47

「単一のＳＡからの信号量はさほど多くないが、複数のＳＡから送信されることによりトータルでは大きな影響を及ぼす攻撃」については、チケット予約等のいわゆる企画型輻輳等の正規呼（善意呼）との区別が困難であり、既存電話網におけるトラヒック制御技術においては、攻撃呼も正当呼も一律同じ割合で制限することにより対応をとっているため、パースト的に押し寄せる攻撃呼に対して、正当呼が受け入れられる可能性が低くなることがあり、その結果、正当呼の保護に欠けてしまう不都合がある。

本発明の目的は、複数のＳＡからの攻撃（ＤＤｏＳ攻撃）又はいわゆるワン切り（受信者に着信電話番号にかけ直させることにより有料番組などを聞かせるため、携帯電話などに電話を掛けて電話番号の表示をさせ、１回で切る迷惑電話）を精度良く検出することにより、fa1se−positive、fa1se−negativeのリスクの低い攻撃防御を行うことができるＳＩＰサーバにおける攻撃防御方法、システム及びプログラムを提供することである。

本発明によるＳＩＰサーバにおける攻撃防御方法は、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数について輻輳が起こりうるための閾値を予め設定するステップと、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの前記総数及びサービスアドレスごとの数を計測するステップと、
前記総数が閾値を上回った場合に、トラヒックのフィルタリングを行うステップとを具えることを特徴とする。

本発明によるＳＩＰサーバにおける攻撃防御システムは、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数について輻輳が起こりうるための閾値を予め設定する手段と、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの前記総数及びサービスアドレスごとの数を計測する手段と、
前記総数が閾値を上回った場合に、トラヒックのフィルタリングを行う手段とを具えることを特徴とする。

本発明によるＳＩＰサーバにおける攻撃防御プログラムは、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数について輻輳が起こりうるための閾値を予め設定するステップと、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの前記総数及びサービスアドレスごとの数を計測するステップと、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数及びサービスアドレ
前記総数が閾値を上回った場合に、トラヒックのフィルタリングを行うステップとを具えることを特徴とする。

本発明によれば、単一のＳＡからの大量パケットではなく複数のＳＡからの積み重ねによりネットワーク全体としては大きな影響が及ぼされる攻撃や、ＶｏＩＰを含む音声通話で近年増加しているワン切りに対する防御を行う。

このために、先ず、REGISTER信号やINVITE信号のようなセッション起動信号の量を観測し、閾値を超えた段階でＤＤｏＳ攻撃又はワン切り特有のパターン（例えば、複数の相手にかける、相手との通話状態になる前に切断する等）が見受けられるサービスアドレスを特定して、当該サービスアドレスからのトラヒックをフィルタリングする。

好適には、以下のフィルタリング条件を有する。
ａ．前記トラヒックのフィルタリングを行うステップが、前記サービスアドレスごとのセッション起動信号の数が閾値を上回るサービスアドレスの数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｂ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、前記セッション起動信号の単位時間内の間隔が一定時間である場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｃ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、対応するパケットの宛先の数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｄ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。
ｅ．前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、前記セッション起動信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が、閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングする。

ａ〜ｅのフィルタリング条件に関しては、保守者によってそのパラメータ（閾値及び単位時間）を変更可能とし、さらにフィルタリング条件自身も、それぞれの条件の和又は積の形で保守者が利用できるようにする。

本発明によるＳＩＰサーバにおける攻撃防御方法、システム及びプログラムの実施の形態を、図面を参照して詳細に説明する。
図１は、本発明によるＳＩＰサーバにおける攻撃防御システムの実施の形態を示す図である。
図１において、本発明による攻撃防御システムを実現するＳＩＰサーバ１は、エッジルータ２を通じてＩＳＰコアネットワーク３に接続され、単位時間（Ｔ秒）当たりのＳＡごとのINVITE信号数及び総数Ｉ並びにＳＡごとのREGISTER信号数及び総数Ｒをカウントする。ＳＩＰ端末２は、ＳＩＰサーバ１に収容され、エッジルータ４を通じてＩＳＰコアネットワーク３に接続される。

前提条件として、二つの前提を設ける。第１の前提は、ＳＩＰサーバ１では、ＳＩＰプロトコルのフオーマットやシーケンスをチェックしており、異常な処理が検出された場合には、パケットを事前に廃棄しているものとする。すなわち、ＳＡ詐称のパケットは本機能により排除されるため、本実施の形態にて対象とされる場所では、ＳＡが詐称されておらず、また、フォーマットやシーケンスについても異常処理が行われておらず、正常な処理（悪意呼を含む）が行われていることを前提としている。第２の前提は、複数のＳＡからではない単一のＳＡからの攻撃（いわゆるＤｏＳ攻撃）については、単一ＳＡからの多量信号の検出に基づき事前に防御されているものとする。

先ず、ＳＩＰサーバ１において、INVITE信号及びREGISTER信号の各々の単位時間当たりの総数Ｉ，Ｒ及びＳＡごとの数、両者を含めた単位時間当たりの総数Ｉ＋Ｒ及びＳＡごとの数を測定し、各々の総数Ｉ，Ｒについて輻輳が起こりうるための閾値Ａを予め定め、総数Ｉが閾値Ａを上回った場合に「ＤＤｏＳ検出・防御機能」を作動させ、即時に発呼規制を実施する（閾値を上回った分については受け付けないものとする）。それに対して、総数Ｉが閾値Ａを下回った場合には、本機能を終了させることにより、fa1se−positiveのリスクを最小にする。

ＤＤｏＳ検出・防御機能としては、以下の五つの機能を設ける。
１−１．計測したＳＡごとのINVITE信号の数が予め定められた閾値Ｂを上回ったＳＡの数が、予め定められた閾値Ｃを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−２．単位時間Ｕの間にＳＡごとのINVITE信号を監視し、単位時間Ｕ内の各々の信号の間隔が一定時間（一定誤差ｅ％内）であった場合、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−３．単位時間Ｖの間にＳＡごとの1NVITE信号を監視し、パケットの宛先（Ｔｏフィールド）の数が予め定められた閾値Ｄを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−４．単位時間Ｗの間にＳＡごとのINVITE信号を監視し、呼状態がRinging状態であるときに呼を切断した（ＳＩＰサーバ１の発するBYE信号の受信）回数が予め定められた閾値Ｅを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。
１−５．単位時間Ｘの間にＳＡごとのINVITE信号を監視し、INVITE信号を受信してから呼を切断する（ＳＩＰ端末５の発するBYE信号の受信）までの時間が予め定められた時間Ｙよりも短い回数が予め定められた閾値Ｅを上回ったとき、当該トラフィックをＤＤｏＳ攻撃又はワン切り呼であると推定し、ＳＡからのトラヒックをフィルタリングする。

保守者は、フィルタリングの実施として上記１〜５を選択できるものとし、また、上記１−１〜１−５についての積条件、和条件に基づくＳＡによるフィルタリングも選択可能とする。また、閾値Ａ〜Ｅ、時間Ｔ〜Ｙ、誤差値ｅについては、保守者により設定可能とする。

上記については、1NVITE信号の総数Ｉが閾値Ａを上回った場合の機能について記したが、REGISTER信号の総数Ｒが予め定められた閾値を上回った場合について、上記１−１，１−２と同様の機能を実装する（各機能を、それぞれ、２−１，２−２とする。）。また、保守者によるカスタマイズについては、上記INVITE信号の場合と同様とする。

また、INVITE信号とREGISTER信号の総数Ｉ＋Rが予め定められた閾値を上回った場合の処理として、１−１かつ２−１（これを３−１とする。）、１−１かつ２−１（これを３−２とする。）の各条件を設ける。また、保守者によるカスタマイズについては、上記INVITE信号の場合と同様とする。INVITE信号による攻撃を防御する場合の保守者による条件の設定画面の例を図２に示す。また、上記の機能ブロック構成例について図３に示す。

従来、ＳＩＰプロトコルを対象とする攻撃でも、複数のＳＡからの緩やかな攻撃（パースト性の弱い連続INVITE信号やREGISTER信号の発信）は、チケット予約などのいわゆる企画型発呼による輻輳との区別が困難であったが、本発明によればこれらの区別が可能となる。また、各条件の組み合わせや閾値などをチューニングすることにより、fa1se−negativeはもちろん、fa1se−positiveについても減らすことができる。

本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。
例えば、ＳＩＰサーバにおける攻撃防御システムは、ＣＰＵ，ＲＡＭ等の揮発性の記憶媒体、ＲＯＭなどの不揮発性の記憶媒体、キーボード、ポインティングデバイス等の入力装置、画像やデータを表示するモニタ装置、及び外部の装置と通信をするためのインタフェースを具えたコンピュータによって構成されるようにしてもよい。この場合、ＳＩＰサーバにおける攻撃防御システムに具えた各機能は、これらの機能を記述したプログラムをＣＰＵに実行させることによりそれぞれ実現される。また、これらのプログラムは、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ，ＤＶＤ等）、半導体メモリ等の記憶媒体に格納して頒布することもできる。

本発明によるＳＩＰサーバにおける攻撃防御システムの実施の形態を示す図である。 INVITE信号による攻撃を防御する場合の保守者による条件の設定画面の例を示す図である。本発明によるＳＩＰサーバにおける機能防御方法及びプログラムの機能ブロックを示す図である。

符号の説明

１ＳＩＰサーバ
２，４エッジルータ
３ＩＳＰコアネットワーク
５ＳＩＰ端末

Claims

ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数について輻輳が起こりうるための閾値を予め設定するステップと、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの前記総数及びサービスアドレスごとの数を計測するステップと、
前記総数が閾値を上回った場合に、トラヒックのフィルタリングを行うステップとを具えることを特徴とするＳＩＰサーバにおける攻撃防御方法。
前記トラヒックのフィルタリングを行うステップが、前記サービスアドレスごとのセッション起動信号の数が閾値を上回るサービスアドレスの数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングすることを特徴とする請求項１記載のＳＩＰサーバにおける攻撃防御方法。
前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、前記セッション起動信号の単位時間内の間隔が一定時間である場合、前記サービスアドレスからのトラヒックをフィルタリングすることを特徴とする請求項１又は２記載のＳＩＰサーバにおける攻撃防御方法。
前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、対応するパケットの宛先の数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングすることを特徴とする請求項１から３のうちのいずれか１項に記載のＳＩＰサーバにおける攻撃防御方法。
前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、呼状態がRinging状態であるときに呼を切断した回数が閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングすることを特徴とする請求項１から４のうちのいずれか１項に記載のＳＩＰサーバにおける攻撃防御方法。
前記トラヒックのフィルタリングを行うステップが、前記セッション起動信号を単位時間の間にサービスアドレスごとに監視し、前記セッション起動信号を受信してから呼を切断するまでの時間が予め設定された時間より短い回数が、閾値を上回る場合、前記サービスアドレスからのトラヒックをフィルタリングすることを特徴とする請求項１から５のうちのいずれか１項に記載のＳＩＰサーバにおける攻撃防御方法。
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数について輻輳が起こりうるための閾値を予め設定する手段と、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの前記総数及びサービスアドレスごとの数を計測する手段と、
前記総数が閾値を上回った場合に、トラヒックのフィルタリングを行う手段とを具えることを特徴とするＳＩＰサーバにおける攻撃防御システム。
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの総数について輻輳が起こりうるための閾値を予め設定するステップと、
ＳＩＰサーバにおけるセッション起動信号の単位時間当たりの前記総数及びサービスアドレスごとの数を計測するステップと、
前記総数が閾値を上回った場合に、トラヒックのフィルタリングを行うステップとを具えることを特徴とするＳＩＰサーバにおける攻撃防御プログラム。