JP2007129482A - ネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラム - Google Patents

Abstract

【課題】パケットの宛先アドレスからは攻撃先を特定することができない攻撃、あるいは、攻撃先の特定が容易ではなく特定に時間がかかる攻撃から通信機器を防御すること。
【解決手段】防御装置が攻撃情報に基づいて攻撃の容疑があるパケットを抽出するためのシグネチャを生成して生成したシグネチャを含んだパケット転送指示を中継装置に対して通知し、中継装置が中継装置から受信したシグネチャに該当するパケットを防御装置に転送し、防御装置が中継装置から転送されたパケットのフィルタリングをおこなうよう構成する。
【選択図】 図１

Description

この発明は、ネットワークを介してパケットを中継する中継装置と、ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラムに関し、特に、パケットの宛先アドレスからは攻撃対象の通信機器を特定することができない攻撃、あるいは、攻撃対象の特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラムに関する。

従来、ネットワークに接続されたサーバ装置などの通信機器に対する攻撃（たとえば、ＤｏＳ（Denial of Service）攻撃あるいはＤＤｏｓ（Distributed Denial of Service）攻撃）を防御するネットワーク攻撃防御システムが知られている。

そして、かかるネットワーク攻撃防御システムの中には、通信パケットを中継するルータなどの中継装置とは別に攻撃パケットのフィルタリングを行う防御装置を設け、中継装置および防御装置が協調動作することによってネットワーク攻撃を防御するシステムが存在する。

たとえば、特許文献１には、攻撃の攻撃対象となるサーバ装置を防御するための防御装置をネットワーク上に備えることとし、サーバ装置に対する攻撃が検出された場合に、防御装置が攻撃対象となるサーバ装置宛パケットを自装置に経由させるための経路情報を所定の中継装置に通知し、自装置に経由されたパケットのフィルタリングを行ってフィルタリング後のパケットを中継装置に戻す技術が開示されている。

米国特許出願公開第２００２／００８３１７５号明細書（第１０−１２頁）

しかしながら、特許文献１の技術は、攻撃対象のサーバ装置（以下、「被攻撃サーバ」と記載する）のアドレスがパケットの宛先アドレスに指定されている攻撃には有用であるものの、パケットの宛先アドレスからは被攻撃サーバを特定することができない攻撃、あるいは、被攻撃サーバの特定が容易ではなく特定に時間がかかる攻撃に対処することができないという問題があった。

したがって、従来技術によれば、上記した各攻撃に備えるために被攻撃サーバごとのトラヒックを監視せざるをえないことから監視作業が負担となるとともに、攻撃を確実に防御することができなかった。

これらのことから、パケットの宛先アドレスからは被攻撃サーバを特定することができない攻撃、あるいは、被攻撃サーバの特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるネットワーク攻撃防御手法をいかにして実現するかが大きな課題となっている。

この発明は、上述した従来技術による問題点を解消するためになされたものであって、パケットの宛先アドレスからは攻撃対象の通信機器を特定することができない攻撃、あるいは、攻撃対象の特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御方法であって、前記防御装置が、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継装置に対して通知するパケット転送指示通知工程と、前記中継装置が、前記パケット転送指示通知工程によって通知された前記シグネチャに該当するパケットを前記防御装置に転送するパケット転送工程と、前記防御装置が、前記パケット転送工程によって転送されたパケットのフィルタリングを行うフィルタ工程とを含んだことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記パケット転送指示通知工程は、前記攻撃情報に基づいて前記パケット転送指示の通知先となる少なくとも１つの中継装置を選択し、選択した当該中継装置に対して自装置への経路情報を含んだ前記パケット転送指示を通知することを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記フィルタ工程は、フィルタリング後のパケットを当該パケットの転送元となる中継装置に戻すことを特徴とする。

また、請求項４に係る発明は、上記の発明において、前記フィルタ工程は、フィルタリング後のパケットの転送先を複数の中継装置の中から選択したうえで選択した当該中継装置に対して当該パケットを転送することを特徴とする。

また、請求項５に係る発明は、上記の発明において、前記フィルタ工程は、前記パケット転送工程によって転送されたパケットのトラヒックが容疑トラヒックに該当すると判定した場合に、当該パケットの伝送帯域を制限したうえで前記中継装置に転送することを特徴とする。

また、請求項６に係る発明は、上記の発明において、前記フィルタ工程は、前記パケット転送工程によって転送されたパケットのトラヒックが不正トラヒックに該当すると判定した場合に、当該パケットを前記中継装置に転送しないことを特徴とする。

また、請求項７に係る発明は、上記の発明において、前記フィルタ工程は、前記パケット転送工程によって転送されたパケットを前記ネットワークに送出した利用者が正規利用者であると判定した場合に、当該パケットの伝送帯域を制限することなく前記中継装置に転送することを特徴とする。

また、請求項８に係る発明は、上記の発明において、前記パケット転送指示通知工程は、前記パケット転送指示の通知先となる中継装置のパケット転送性能に基づいて当該パケット転送指示に含まれる前記シグネチャの量を調整することを特徴とする。

また、請求項９に係る発明は、ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムであって、前記防御装置は、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継装置に対して通知するパケット転送指示通知手段と、前記パケット転送指示通知手段が通知したパケット転送指示に基づいて前記中継装置が転送したパケットのフィルタリングを行うフィルタ手段とを備え、前記中継装置は、前記パケット転送指示通知手段によって通知された前記シグネチャに該当するパケットを前記防御装置に転送するパケット転送手段を備えたことを特徴とする。

また、請求項１０に係る発明は、ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる防御装置であって、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継装置に対して通知するパケット転送指示通知手段と、前記パケット転送指示通知手段が通知したパケット転送指示に基づいて前記中継装置が転送したパケットのフィルタリングを行うフィルタ手段とを備えたことを特徴とする。

また、請求項１１に係る発明は、ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる防御装置に搭載される防御装置用プログラムであって、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継手順に対して通知するパケット転送指示通知手順と、前記パケット転送指示通知手順が通知したパケット転送指示に基づいて前記中継装置が転送したパケットのフィルタリングを行うフィルタ手順とをコンピュータに実行させることを特徴とする。

また、請求項１２に係る発明は、ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置であって、前記防御装置から攻撃パケットの属性をあらわすシグネチャを含んだパケット転送指示を受け付けるパケット転送指示受付手段と、前記パケット転送指示受付手段が受け付けたシグネチャに該当するパケットを前記中継装置に対して転送するパケット転送手段とを備えたことを特徴とする。

また、請求項１３に係る発明は、ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置に搭載される中継装置用プログラムであって、前記中継装置から攻撃パケットの属性をあらわすシグネチャを含んだパケット転送指示を受け付けるパケット転送指示受付手順と、前記パケット転送指示受付手順が受け付けた前記シグネチャに該当するパケットを前記中継装置に対して転送するパケット転送手順とをコンピュータに実行させることを特徴とする。

また、請求項１４に係る発明は、ネットワークを介してパケットを中継する中継装置で攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置であって、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成するシグネチャ生成手段と、前記シグネチャ生成手段が生成したシグネチャに該当するパケットを抽出するパケット抽出手段と、前記パケット抽出手段が抽出したパケットのフィルタリングを行うパケットフィルタ手段とを備えたことを特徴とする。

また、請求項１５に係る発明は、ネットワークを介してパケットを中継する中継装置で攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置に搭載される中継装置用プログラムであって、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成するシグネチャ生成手順と、前記シグネチャ生成手順が生成したシグネチャに該当するパケットを抽出するパケット抽出手順と、前記パケット抽出手順が抽出したパケットのフィルタリングを行うパケットフィルタ手順とをコンピュータに実行させることを特徴とする。

請求項１または９の発明によれば、防御装置が、通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を中継装置に対して通知し、中継装置が、通知されたシグネチャに該当するパケットを防御装置に転送し、防御装置が、転送されたパケットのフィルタリングを行うよう構成したので、パケットの宛先に依存することなく攻撃を引き起こしうるパケットの属性を拡大してフィルタリング処理の対象となるパケットの抽出およびパケットのフィルタリングをおこなうことによって、パケットの宛先アドレスからは攻撃対象の通信機器を特定することができない攻撃、あるいは、攻撃対象の通信機器の特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるという効果を奏する。

また、請求項２の発明によれば、パケット転送指示通知工程は、攻撃情報に基づいてパケット転送指示の通知先となる少なくとも１つの中継装置を選択し、選択した中継装置に対して自装置への経路情報を含んだパケット転送指示を通知するよう構成したので、攻撃を防御するうえで適切な中継装置を選択することによって、攻撃を効率的に防御することができるという効果を奏する。

また、請求項３の発明によれば、フィルタ工程は、フィルタリング後のパケットをこのパケットの転送元である中継装置に転送するよう構成したので、中継装置に処理負荷をかけることなくパケットのフィルタリング処理をおこなうことができるという効果を奏する。

また、請求項４の発明によれば、フィルタ工程は、フィルタリング後のパケットの転送先を複数の中継装置の中から選択したうえで選択した中継装置に対してパケットを転送するよう構成したので、フィルタリング後のパケットを効率的に中継することができるという効果を奏する。また、パケット転送元の中継装置にパケットを転送すると、転送したパケットがこの中継装置から再転送されることによって無限ループ発生のおそれがある場合の対応策として機能するという効果を奏する。

また、請求項５の発明によれば、フィルタ工程は、パケット転送工程によって転送されたパケットのトラヒックが容疑トラヒックに該当すると判定した場合に、このパケットの伝送帯域を制限したうえで中継装置に転送するよう構成したので、攻撃の容疑がかけられたパケット（容疑パケット）の伝送帯域を制限することによって、攻撃に対して迅速に対応することができるという効果を奏する。

また、請求項６の発明によれば、フィルタ工程は、パケット転送工程によって転送されたパケットのトラヒックが不正トラヒックに該当すると判定した場合に、このパケットを中継装置に転送しないよう構成したので、不正トラヒックに該当する容疑パケットを攻撃パケットとみなして転送対象としないことによって、攻撃パケットがネットワーク上に流出することを効率的に防止することができるという効果を奏する。

また、請求項７の発明によれば、フィルタ工程は、パケット転送工程によって転送されたパケットをネットワークに送出した利用者が正規利用者であると判定した場合に、このパケットの伝送帯域を制限することなく中継装置に転送するよう構成したので、非攻撃パケットを通常どおり流通させることによって、非攻撃パケットの流通が攻撃の影響によって妨害されることを効率的に防止することができるという効果を奏する。

また、請求項８の発明によれば、パケット転送指示通知工程は、パケット転送指示の通知先となる中継装置のパケット転送性能に基づいてパケット転送指示に含まれるシグネチャの量を調整するよう構成したので、中継装置に過度な負担をかけることなく攻撃パケットのフィルタリングをおこなうことができるという効果を奏する。

また、請求項１０または１１の発明によれば、通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成してこのシグネチャを含んだパケット転送指示を中継装置に対して通知し、通知したパケット転送指示に基づいて中継装置が転送したパケットのフィルタリングを行うよう構成したので、パケットの宛先に依存することなく攻撃を引き起こしうるパケットの属性を拡大してフィルタリング処理の対象となるパケットの抽出およびパケットのフィルタリングをおこなうことによって、パケットの宛先アドレスからは攻撃対象の通信機器を特定することができない攻撃、あるいは、攻撃対象の通信機器の特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるという効果を奏する。

また、請求項１２または１３の発明によれば、防御装置から攻撃パケットの属性をあらわすシグネチャを含んだパケット転送指示を受け付け、受け付けたシグネチャに該当するパケットを中継装置に対して転送するよう構成したので、パケットの宛先に依存することなく攻撃を引き起こしうるパケットの属性を拡大してフィルタリング処理の対象となるパケットの抽出およびパケットのフィルタリングをおこなうことによって、パケットの宛先アドレスからは攻撃対象の通信機器を特定することができない攻撃、あるいは、攻撃対象の通信機器の特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるという効果を奏する。

また、請求項１４または１５の発明によれば、通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成し、生成したシグネチャに該当するパケットを抽出し、抽出したパケットのフィルタリングを行うよう構成したので、ルータなどの中継装置に防御装置としての機能を持たせることによって、パケットの宛先アドレスからは攻撃対象の通信機器を特定することができない攻撃、あるいは、攻撃対象の通信機器の特定が容易ではなく特定に時間がかかる攻撃をも確実に防御することができるという効果を奏する。

以下に添付図面を参照して、ネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラムの実施例１〜２を詳細に説明する。

各実施例の説明に先立って従来のネットワーク攻撃防御システムについて図１３を用いて説明しておく。図１３は、従来のネットワーク攻撃防御システムの構成を示す図である。同図に示すように、従来のネットワーク攻撃防御システムは、ネットワーク上を転送されるパケットを中継するルータ（図１３の８３および９３）と、パケットのフィルタリングを行う防御装置９０と、攻撃者９４による攻撃対象サーバ９２への攻撃を検知する攻撃検知装置９５とから構成される。なお、図１３においては、通信端末９４（攻撃者）が攻撃対象サーバ９２に対して攻撃を行っているものとする。

攻撃検知装置９５は、ルータ８３を介してトラヒックのモニタ（監視）をおこない（図１３の（１）参照）、パケットを受信する攻撃対象サーバ９２が攻撃を受けていることを検知すると、パケットの宛先アドレスから攻撃対象サーバ９２のアドレスを検知する（図１３の（２）参照）。そして、攻撃検知装置９５は、この攻撃対象サーバ９２のアドレスを防御装置９０に通知し（図１３の（３）参照）、攻撃対象サーバ９２のアドレスを受け取った防御装置９０は、攻撃対象サーバ９２宛てのパケットを自装置（防御装置９０）に経由（リルート）させるための経路情報を所定のルータ９３に通知する（図１３の（４）参照）。

そして、ルータ９３は、受信した経路情報に基づいてルーティングテーブルを更新し、更新したルーティングテーブルに従ってパケットを中継する。すなわち、ルータ９３は、攻撃対象サーバ９２宛てのパケットを防御装置９０に転送する（図１３の（５）参照）。防御装置９０は、ルータ９３から転送されたパケットのフィルタリングを行い（図１３の（６）参照）、フィルタリング済のパケット（非攻撃パケット）をルータ８３を介して攻撃対象サーバ９２へと転送する（図１３の（７）参照）。

しかし、図１３に示した従来のネットワーク攻撃防御システムは、攻撃対象サーバ９２のアドレスが判明している場合にのみ効果を発揮するものである。すなわち、攻撃されているサーバ装置（以下、「被害者」と記載する）のアドレスが詳細に特定できない場合や、被害者の特定が容易でなく被害者の特定に時間を要する場合には、従来のネットワーク攻撃防御システムでは被害者に対する攻撃を十分に防御することができないという問題があった。

このため、従来のネットワーク攻撃防御システムを用いる場合には、被害者となりうるすべてのサーバ装置ごとのトラヒックを監視せざるをえず、かかる監視作業が負担となるとともに、監視作業で検出できなかった攻撃を許容してしまうので被害者に対する攻撃を確実に防御することができなかった。

そこで、本発明に係るネットワーク攻撃防御システムでは、攻撃パケットの属性をあらわすシグネチャを用いることによって、パケットの宛先に依存することなく攻撃を引き起こしうるパケットの属性を拡大してフィルタリング処理の対象となるパケットの抽出およびパケットのフィルタリングをおこなうこととした。したがって、攻撃されている被害者のアドレスが詳細に特定できない攻撃や、被害者の特定が容易でなく被害者の特定に時間を要する攻撃からも被害者を確実に防御することができる。

次に、本発明に係るネットワーク攻撃防御システムの概要について図１を用いて説明する。図１は、本発明に係るネットワーク攻撃防御システムの概要を示す図である。なお、図１においては、ネットワーク８上の攻撃者からネットワーク９上の被害者が攻撃を受けているものとする。

図１に示すように、本発明に係るネットワーク攻撃防御システムは、ネットワーク上で転送されるパケットを中継する中継装置２１と、ネットワーク上の攻撃を防御する防御装置２２とを備えている。たとえば、図１に示した中継装置２１はルータとして機能し、防御装置２２はパケットフィルタリング装置として機能する。

図１に示したネットワーク攻撃防御システムでは、図示しないＩＤＳ（Intrusion Detection System）が、ネットワーク８あるいはネットワーク９における攻撃を検出した際に、攻撃に関する詳細情報である「攻撃情報」を防御装置２２に対して通知する（図１の（１）参照）。

なお、防御装置２２がかかるＩＤＳの機能を備えることとしてもよい。また、防御装置２２をネットワーク８あるいはネットワーク９を管理する管理用ネットワークに接続することとし、上記した「攻撃情報」を管理用ネットワークを介して受け取るよう構成してもよい。

攻撃情報を受け取った防御装置２２は、受け取った攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成する（図１の（２）参照）。そして、生成したシグネチャを含んだパケット転送指示を中継装置２１に対して通知する。

具体的には、防御装置２２は生成したシグネチャをパケット転送指示に含めて中継装置２１に対して通知し（図１の（３）参照）、中継装置２１は防御装置２２から通知されたシグネチャに該当するパケットを抽出し、抽出したパケットを防御装置２２に対して転送する（図１の（４）参照）。

そして、防御装置２２は中継装置２１から転送されたパケットのフィルタリングを行い（図１の（５）参照）、フィルタリング済のパケット（非攻撃パケット）を中継装置２１を介してネットワーク９に中継させる（図１の（６）参照）。ここで、「パケットのフィルタリング」とは、所定の条件下で特定のパケットの通過または遮断を制御することを指す。

また、「攻撃パケットの属性」とは、たとえば、ＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）に準拠したパケットであれば、ＩＰヘッダ部を構成するデータ長、生存時間（ＴＴＬ，Time To Live）、送信元アドレスなどの値や、ＴＣＰヘッダ部を構成するポート番号などの各項目に設定されている値が所定値であるか、あるいは、所定範囲に含まれるかをあらわす情報である。

中継装置２１は、たとえば、パケットの宛先アドレスと次の転送先とを対応させたルーティングテーブルを有しており、このルーティングテーブルに従って受信パケットを次の転送先に中継する。また、この中継装置２１はポリシーベースルーティング（Policy-based Routing，以下、ＰＢＲと記載する）機能を用いてパケットをルーティングする。

防御装置２２は、たとえば、ネットワーク９に設置されているＩＤＳが攻撃を検出して上記した「攻撃情報」を通知すると、この攻撃情報を受け取って攻撃の容疑があるパケットを抽出するための容疑シグネチャを生成する。そして、生成した容疑シグネチャを含んだパケット転送指示を中継装置２１に送信することによって容疑パケットを自装置（防御装置２２）に転送するよう依頼し、中継装置２１から転送されたパケットのフィルタリングをおこなう。なお、中継装置２１から容疑シグネチャに該当するパケットを転送された防御装置２２は、転送されたパケットが正規なパケットであるか否かの判定などを行うことによって転送パケットのフィルタリングをおこなう。

また、防御装置２２が受信する「攻撃情報」には、容疑シグネチャを生成するための情報や後述する正規条件情報などの情報が含まれるものとする。そして、防御装置２２が中継装置２１に送信する容疑シグネチャは、生成した容疑シグネチャの全てであってもよく、一部であってもよい。すなわち、防御装置２２は中継装置２１のルーティング能力（パケット転送性能）に応じて容疑シグネチャの量を制御する。

ここで、上記した「容疑シグネチャ」の例について図２を用いて説明しておく。図２は、容疑シグネチャの一例を示す図である。同図に示すように、番号１のレコードでは、パケットの宛先ＩＰアドレスに対応するプロトコル種別（図２の「Ｐｒｏｔｏｃｏｌ」）が「ＴＣＰ」であり、かつ、「ＴＣＰ」がどのアプリケーションに関する情報であるかを示す宛先ポート番号（図２の「Ｐｏｒｔ」）が「８０」であるパケットが容疑パケットに該当する旨が定義されている。なお、図２に示した「番号」は、各レコードの説明をおこなうために便宜上設けたものである。

このように、本発明に係るネットワーク攻撃防御システムでは、防御装置２２が攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成し、生成したシグネチャを含んだパケット転送指示を中継装置２１に対して通知し、中継装置２１が通知されたシグネチャに該当するパケットを防御装置２２に転送し、防御装置２２が転送されたパケットのフィルタリングを行うこととした。したがって、本発明に係るネットワーク攻撃防御システムは、攻撃されている被害者のアドレスが詳細に特定できない攻撃や、被害者の特定が容易でなく被害者の特定に時間を要する攻撃からも被害者を確実に防御することができる。

なお、以下に示す実施例１では、中継装置からパケットを転送された防御装置がこの中継装置にフィルタリング後のパケットを戻す構成について説明し、実施例２では、防御装置が複数の中継装置の中から最適な中継装置を選択し、選択した中継装置に対してパケット転送を依頼する構成について説明することとする。

実施例１では、中継装置からパケットを転送された防御装置がこの中継装置にフィルタリング後のパケットを戻す構成について説明する。まず、本実施例１のネットワーク攻撃防御システムに係る中継装置２１および防御装置２２の構成について図３および図４を用いて説明する。図３は、本実施例１に係る中継装置２１の構成を示すブロック図であり、図４は、本実施例１に係る防御装置２２の構成を示すブロック図である。

まず、中継装置２１の構成について図３を用いて説明する。図３に示すように、中継装置２１は、ネットワークインタフェース部２１ａと、中継処理部２１ｂと、シグネチャ受信部２１ｃと、転送パケット抽出部２１ｄとを備えている。ネットワークインタフェース部２１ａは、ＬＡＮ（Local Area Interface）ボードなどの通信デバイスであり、他の中継装置２１や防御装置２２とのデータ送受信処理をおこなう。

中継処理部２１ｂは、ネットワークインタフェース部２１ａを介して受け取ったパケットの転送先をルーティングテーブルに基づいて決定し、かかるパケットを決定した宛先に対して転送する処理をおこなう処理部である。また、シグネチャ受信部２１ｃは、防御装置２２が通知するパケット転送指示に含まれるシグネチャ（容疑シグネチャ）のレコードをネットワークインタフェース部２１ａを介して受け取り、受け取ったレコードを転送パケット抽出部２１ｄに渡す処理をおこなう処理部である。

転送パケット抽出部２１ｄは、シグネチャ受信部２１ｃから渡されたシグネチャレコードの条件に合致したパケット（容疑パケット）をＰＢＲ機能を用いて抽出し、抽出した容疑パケットを中継処理部２１ｂを介することによって防御装置２２に転送する処理をおこなう処理部である。

次に、防御装置２２の構成について図４を用いて説明する。図４に示すように、防御装置２２は、ネットワークインタフェース部２２ａと、攻撃情報処理部２２ｂと、シグネチャ通知部２２ｃと、フィルタ部２２ｄとを備えている。ネットワークインタフェース部２２ａは、ＬＡＮ（Local Area Interface）ボードなどの通信デバイスであり、中継装置２１などの他装置とのデータ送受信処理をおこなう。

攻撃情報処理部２２ｂは、ＩＤＳから通知された「攻撃情報」を受け取るとともに、この攻撃情報に基づき、攻撃の容疑があるパケットを抽出するための容疑シグネチャなどのシグネチャを生成する処理をおこなう処理部である。また、この攻撃情報処理部２２ｂは、生成したシグネチャをシグネチャ通知部２２ｃに対して通知する処理をおこなう処理部でもある。

シグネチャ通知部２２ｃは、攻撃情報処理部２２ｂから通知されたシグネチャの一部または全部を中継装置２１に対して通知する処理をおこなう処理部である。具体的には、このシグネチャ通知部２２ｃは、シグネチャの通知先となる中継装置２１の処理能力に応じて容疑シグネチャに含まれるレコードの量（数）を決定し、決定したレコードをパケット転送指示に含めて中継装置２１に通知することで、自装置（防御装置２２）への容疑パケット転送を中継装置２１に対して依頼する。

フィルタ部２２ｄは、中継装置２１から転送された容疑パケットのフィルタリング処理をおこなう処理部である。具体的には、このフィルタ部２２ｄは、中継装置２１から転送された容疑パケットを後述する正規シグネチャおよび不正シグネチャを用いてフィルタリングし、容疑パケットの転送元である中継装置２１に伝送帯域制限なしでパケット転送したり、伝送帯域を制限したうえでパケット転送したり、あるいは、パケット転送をおこなわないといった転送制御をおこなう。なお、このフィルタリング処理の詳細については図８を用いて後述することとする。

次に、本実施例１に係るネットワーク攻撃防御システムの処理手順の概要について図５を用いて説明する。図５は、本実施例１に係るネットワーク攻撃防御システムの処理手順の概要を示すフローチャートである。同図に示すように、防御装置２２がＩＤＳなどから攻撃情報を受信すると（ステップＳ１０１）、容疑シグネチャや正規シグネチャといったシグネチャを生成し（ステップＳ１０２）、生成した容疑シグネチャのレコードを含んだパケット転送指示を中継装置２１に対して送信する（ステップＳ１０３）。なお、中継装置２１に送信する容疑シグネチャのレコード数は、中継装置２１の処理性能に応じて決定される。

防御装置２２から容疑シグネチャを受信した中継装置２１は、自装置が中継するパケットの中から、かかる容疑シグネチャに該当するパケットを抽出する処理をおこなう（ステップＳ１０４）。そして、容疑シグネチャのレコードと合致するパケットである場合には（ステップＳ１０４，Ｙｅｓ）、抽出したパケットを防御装置２２に対して転送する（ステップＳ１０５）。なお、容疑シグネチャのレコードと合致しないパケットである場合には（ステップＳ１０４，Ｎｏ）、通常のパケット転送処理をおこなう。

つづいて、中継装置２１からパケットを転送された防御装置２２は、フィルタリング処理を実行し（ステップＳ１０６）、所定の条件を満たした場合には転送されたパケットを、中継装置２１に転送する（戻す）処理をおこなう（ステップＳ１０７）。なお、防御装置２２が中継装置から転送されたパケットを攻撃パケットであると判定した場合には、かかる転送処理（ステップＳ１０７）はおこなわない。

ここで、図５のステップＳ１０２に示した容疑シグネチャおよび正規シグネチャの生成処理について図６を用いてさらに詳細に説明する。図６は、シグネチャに係る情報を示す図である。なお、図６の（ａ）に示したのは、正当な利用者が利用している端末から送信されるパケットをあらわす情報である「正規条件」の例であり、図６の（ｂ）に示したのは、不正なトラヒックを検出するための情報である「不正トラヒック検出条件」の例である。

図６の（ａ）に示すように、「正規条件」は、ＩＰパケットにおける属性の種別および各属性の属性値を含んだレコードを１または複数個含んだ情報である。なお、図６の（ａ）に示した「番号」は、各レコードの説明をおこなうために便宜上設けたものである。

図６の（ａ）に示したように、番号１のレコードの検出属性は、ＩＰヘッダ内の「Source IP Address（送信元ＩＰアドレス）」が「１７２．１６．１０／２４」であることをあらわしている。また、番号２のレコードの検出属性は、ＩＰ上のサービス品質を示す「Type Of Service（サービスタイプ）」が「（１６進で）０１」であることをあらわしている。

この正規条件には、たとえば、サーバ所有者の会社の支店や、関連会社などが保有するサーバのＩＰアドレスや、サーバが収容されているＬＡＮの所有者が正規ユーザであると認識しているネットワークのＩＰアドレスなどが設定される。

防御装置２２は、攻撃情報に含まれる図６の（ａ）に示すような正規条件を参照し、正規条件のすべてのレコードごとに容疑シグネチャとのＡＮＤ条件をとり、その結果を正規シグネチャとして生成する。なお、この正規シグネチャは、容疑シグネチャから正規ユーザの通信パケット（正規パケット）を除外するために用いられる。すなわち、容疑シグネチャに該当するパケットであっても、正規シグネチャに該当するパケットであれば転送制限の対象とはしない。

たとえば、図２および図６の（ａ）の例を用いて説明すると、図２における番号１のレコードの条件で検出されるパケットの容疑シグネチャは、｛Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｐｏｒｔ＝８０｝となり、正規シグネチャは、｛ｓｒｃ＝１７２．１６．１０．２４，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｐｏｒｔ＝８０｝および｛ＴＯＳ＝０ｘ０１，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｐｏｒｔ＝８０｝となる。

また、防御装置２２がおこなうフィルタリング処理においては、中継装置２１から転送されたパケットから不正なトラヒックを検出することとしてもよい。防御装置２２が不正トラヒックを検出する場合には、図６の（ｂ）に示した不正トラヒック検出条件を保有することになる。

図６の（ｂ）に示したように、不正トラヒック条件は、既知のＤＤｏｓ攻撃などの複数のトラヒックパターンから構成され、中継装置２１から転送された容疑パケットのトラヒックがいずれかのトラヒックパターンに合致するか否かの判定に用いられる条件である。言い換えると、この不正トラヒック条件は、攻撃パケットの容疑をかけられた容疑パケットの中から攻撃パケットのトラヒックパターンに合致するパケットを抽出するための条件である。すなわち、容疑パケットがいずれかのトラヒックパターンに合致した場合には、かかる容疑パケットは攻撃パケットであると判定される。

番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示しており、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、ＩＣＭＰ（Internet Control Message Protocol）におけるエコー応答（Echo Reply）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。また、番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データ長超過のため一つのデータを複数のＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。

防御装置２２は、図６の（ｂ）に例示したいずれかのトラヒックパターンに合致するトラヒックを検出した場合には、検出したパケットの送信元アドレスを不正アドレス範囲として特定する。そして、不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとして生成する。

次に、防御装置２２がおこなう不正トラヒック検出処理の処理手順について図７を用いて説明する。図７は、不正トラヒック検出処理の処理手順を示すフローチャートである。同図に示すように、防御装置２２の攻撃情報処理部２２ｂが、図６の（ｂ）に示した不正トラヒック条件などに基づいて不正トラヒックを検出すると（ステップＳ２０１）、容疑シグネチャとのＡＮＤ条件をとることによって不正シグネチャを生成し（ステップＳ２０２）、生成した不正シグネチャに従ってフィルタ部２２ｄがパケットのフィルタリング処理をおこなう（ステップＳ２０３）。

次に、防御装置２２がおこなうフィルタ処理の処理手順について図８を用いて説明する。図８は、フィルタ処理の処理手順を示すフローチャートである。なお、図８において破線の矩形で囲んだ部分（Ｓ３０４〜Ｓ３１２）が、かかるフィルタ処理に相当する。

図８に示すように、中継装置２１が中継対象となるパケットを受信すると（ステップＳ３０１）、中継装置２１は受信したパケットが容疑シグネチャのレコードと合致するか否かを判定する（ステップＳ３０２）。そして、容疑シグネチャのレコードと合致すると判定した場合には（ステップＳ３０２，Ｙｅｓ）、防御装置２２に対してパケットを転送する（ステップＳ３０３）。なお、容疑シグネチャのレコードと合致しない（ステップＳ３０２，Ｎｏ）パケットについては、通常のルーティング処理によってパケット出力する（ステップＳ３１０）。

中継装置２１からパケットを転送された防御装置２２は、このパケットが正規シグネチャと合致するか否かを判定する（ステップＳ３０４）。そして、正規シグネチャと合致した場合には（ステップＳ３０４，Ｙｅｓ）、かかるパケットを正規キューへ入れる（ステップＳ３０５）。なお、正規キューに入れられたパケットは伝送帯域制限されることなく所定のタイミングで中継装置２１へと転送される（ステップＳ３０６）。

一方、パケットが正規シグネチャと合致しない場合には（ステップＳ３０４，Ｎｏ）、つづいて、パケットが不正シグネチャと合致するか否かを判定する（ステップＳ３０７）。そして、不正シグネチャと合致しない場合には（ステップＳ３０７，Ｎｏ）、かかるパケットを容疑キューへ入れる（ステップＳ３０８）。なお、容疑キューに入れられたパケットは伝送帯域制限されたうえで所定のタイミングで中継装置２１へ転送される（ステップＳ３０９）。

つづいて、パケットが不正シグネチャと合致する場合には（ステップＳ３０７，Ｙｅｓ）、かかるパケットを不正キューへ入れる（ステップＳ３１１）。なお、不正キューに入れられたパケットは中継装置２１への転送をおこなわない（ステップＳ３１２）。

すなわち、防御装置２２におけるフィルタ処理においては、正規キューにあるパケットを伝送帯域制限せずに中継装置２１へ転送し、容疑キューにあるパケットを所定の伝送帯域制限値に基づいて帯域制限したうえで中継装置２１へ転送する。一方、不正キューにあるパケットは遮断される（中継装置２１へ転送されない）ことになる。

また、攻撃が終了したことを中継装置２１が検知した場合には、中継装置２１は、防御装置２２へのパケット転送のためのパケット抽出処理を停止し、防御装置２２へのパケット転送処理をおこなわない。

なお、本実施例１においては、防御装置２２が正規シグネチャを用いてパケットのフィルタ処理をおこなっている場合について説明している。しかしながら、これに限らず、中継装置２１が正規シグネチャを保持することとし、正規シグネチャに合致するパケットを１通過させ、正規シグネチャに合致しないパケットを防御装置２２に転送するよう構成してもよい。

上述してきたように、本実施例１においては、防御装置が攻撃情報に基づいて攻撃の容疑があるパケットを抽出するためのシグネチャを生成して生成したシグネチャを含んだパケット転送指示を中継装置に対して通知し、中継装置が中継装置から受信したシグネチャに該当するパケットを防御装置に転送し、防御装置が中継装置から転送されたパケットのフィルタリングをおこなうよう構成した。したがって、攻撃されている被害者のアドレスが詳細に特定できない攻撃や、被害者の特定が容易でなく被害者の特定に時間を要する攻撃からも被害者を確実に防御することができる。すなわち、パケットの宛先に依存することなく攻撃を引き起こしうるパケットの属性を拡大してパケットフィルタリングをおこなうので、攻撃を確実かつ効率的に防御することが可能である。

なお、上述した実施例１では中継装置と防御装置とを別装置として構成した場合について説明したが、防御装置の機能を中継装置に含めるよう構成することもできる。この変形例について図９を用いて説明する。図９は、実施例１に係るネットワーク攻撃防御システムの変形例を示す図である。

同図に示すように、中継装置１０は、ネットワーク上で攻撃が検出された際に、ネットワーク８から受信したパケットの中から攻撃の属性をもつパケットをフィルタ機能１２に渡すとともに、攻撃の属性をもたないパケットをネットワーク９へ通過させる中継機能１１と、中継機能１１によって転送されたパケットのフィルタリングをおこなうフィルタ機能１２とを備えている。

また、中継機能１１は実施例１で説明した中継装置２１（図３参照）の各機能部の処理をおこなう機能であり、フィルタ機能１２は同じく防御装置２２（図４参照）の各機能部の処理をおこなう機能である。このように、実施例１で示した防御装置２２の機能を備えた中継装置１０を構成することで、実施例１で示した効果と同様の効果を得ることができる。

なお、中継装置１０は、上記した中継機能１１およびフィルタ機能１２の他に、ネットワークインタフェース、ＣＰＵ（Central Processing Unit）、メモリ、ハードディスクといったデバイスを備えているものとする。また、中継機能１１およびフィルタ機能１２は、それぞれＣＰＵによって処理されるプログラムのモジュールであってもよい。そして、各モジュールは１つのＣＰＵで処理されてもよく、複数のＣＰＵに分散して処理されてもよい。

実施例２では、防御装置が複数の中継装置の中から最適な中継装置を選択し、選択した中継装置に対してパケット転送を依頼する構成について説明する。なお、以下では、実施例１との差異点について主に説明し、共通点についての説明については簡単なものにとどめることとする。

まず、本実施例２に係るネットワーク攻撃防御システムの構成について図１０を用いて説明する。図１０は、実施例２に係るネットワーク攻撃防御システムの構成を示す図である。

図１０に示すように、本実施例２に係るネットワーク攻撃防御システム１００は、ネットワーク上のＤｏｓ攻撃あるいはＤＤｏｓ攻撃が検出された際に、この攻撃から被害者（攻撃対象サーバ装置など）を防御する防御装置４０と、ネットワーク上で転送されるパケットを中継する複数の中継装置２１とを備えている。以下、図示した中継装置２１の各々を区別する場合には、中継装置２１−１、中継装置２１−２のように枝番を付することとする。

なお、中継装置２１および防御装置４０がルータとして機能する場合、中継装置２１および防御装置４０には、パケットの宛先に対するルーティングテーブルが登録されている。このルーティングテーブルを各装置（２１および４０）に登録する方法としては、たとえば、ＯＳＰＦ（Open Shortest Path First）、ＲＩＰ（Routing Information Protocol）、あるいは、ＢＧＰ（Border Gateway Protocol）などの公知のルーティングプロトコルに準拠する方法がある。

図１０に示したように、ＩＤＳ機能を有する攻撃検知装置５１が、ネットワーク８あるいはネットワーク９における攻撃を検知すると、攻撃に関する詳細な情報である攻撃情報を防御装置４０に対して通知する。そして、防御装置４０は、受け取った攻撃情報に基づいて攻撃防御のための処理を開始する。なお、防御装置４０をネットワーク８およびネットワーク９を管理する管理用ネットワークに接続することとし、この管理用ネットワークを介してかかる攻撃情報を受け取るよう構成してもよい。

防御装置４０は、攻撃検知装置５１から攻撃情報を受信すると、受信した攻撃情報に基づいて中継装置２１−１または中継装置２１−２のうち一つを選択するとともに、実施例１で説明した容疑シグネチャを生成する。なお、防御装置４０が中継装置２１を選択する方法としては、たとえば、攻撃を受けている被害者からルーティング上の距離が最も近い中継装置２１以外の中継装置２１を選択する方法がある。また、図１０には、２台の中継装置２１を示しているが、中継装置２１の数を限定するものではない。

次に、防御装置４０は、選択した中継装置２１が受信したパケットを自装置（防御装置４０）に経由させるための経路情報を、この中継装置２１に送信する。なお、この経路情報には上記した容疑シグネチャが含まれるものとする。また、かかる経路情報には、選択された中継装置２１のルーティング能力に応じ、容疑シグネチャを構成するレコードのうち一部または全部のレコードが含まれる。

防御装置４０から容疑シグネチャのレコードを受信した中継装置２１は、ＰＢＲ機能を用いてレコードの条件に合致したパケットを抽出し、抽出したパケットを防御装置４０に対して転送する。また、防御装置４０は、中継装置２１から転送されたパケットを受信すると、受信したパケットが攻撃パケットであるか否かの判定をおこなってパケットをフィルタリングするとともに、フィルタリングをおこなったパケットの中継先をルーティングテーブルから求め、かかるパケットを次の中継先となる中継装置２１に転送する。

次に、本実施例２に係る防御装置４０の構成について図１１を用いて説明する。図１１は、本実施例２に係る防御装置４０の構成を示す図である。同図に示すように、防御装置４０は、ネットワークインタフェース部４０ａと、攻撃情報処理部４０ｂと、中継装置選択部４０ｃと、経路情報通知部４０ｄと、パケット中継部４０ｅと、フィルタ部４０ｆとを備えている。なお、図１１に示したネットワークインタフェース部４０ａ、攻撃情報処理部４０ｂおよびフィルタ部４０ｅは、実施例１で説明した防御装置２２のネットワークインタフェース部２２ａ、攻撃情報処理部２２ｂおよびフィルタ部２２ｄにそれぞれ対応している（図４参照）。

中継装置選択部４０ｃは、攻撃情報処理部４０ｂによって受信された攻撃情報に基づいて防御装置４０と隣接する複数の中継装置２１の中から少なくとも１つの中継装置２１を選択する処理をおこなう処理部である。たとえば、この中継装置選択部４０ｃが中継装置２１を選択する方法としては、攻撃を受けている被害者からルーティング上の距離が最も近い中継装置２１以外の中継装置２１を選択する方法がある。

経路情報通知部４０ｄは、攻撃パケットの疑いがあるパケットを防御装置４０に経由するための経路情報を、中継装置選択部４０ｃによって選択された中継装置２１に通知する処理をおこなう処理部である。なお、この経路情報には、攻撃情報処理部４０ｂが生成した容疑シグネチャが含まれる。また、かかる経路情報は、ＢＧＰやその他のルーティングプロトコルに準拠したものでもよい。

パケット中継部４０ｅは、パケットの宛先アドレスと次の転送先とを対応させたルーティングテーブルを有しており、受信したパケットをこのルーティングテーブルに従って次ぎの転送先に中継する処理をおこなう処理部である。

なお、防御装置４０の各処理部（４０ｂ〜４０ｆ）は、それぞれＣＰＵによって処理されるプログラムのモジュールであってもよい。そして、各モジュールは１つのＣＰＵで処理されてもよく、複数のＣＰＵに分散して処理されてもよい。

次に、本実施例２に係るネットワーク攻撃防御システムの処理手順の概要について図１２を用いて説明する。図１２は、本実施例２に係るネットワーク攻撃防御システムの処理手順の概要を示すフローチャートである。同図に示すように、防御装置２２の攻撃情報処理部４０ｂが攻撃検知装置５１などから攻撃情報を受信すると（ステップＳ４０１）、容疑シグネチャや正規シグネチャといったシグネチャを生成する（ステップＳ４０２）。そして、中継装置選択部４０ｃが隣接する中継装置２１の中から少なくとも一つの中継装置２１を選択し（ステップＳ４０３）、選択した中継装置２１に対して容疑シグネチャのレコードを含んだ経路情報を通知する（ステップＳ４０４）。なお、中継装置２１に送信する容疑シグネチャのレコード数は、中継装置２１の処理性能に応じて決定される。

防御装置４０から容疑シグネチャを受信した中継装置２１は、自装置が中継するパケットの中から、かかる容疑シグネチャに該当するパケットを抽出する処理をおこなう（ステップＳ４０５）。そして、容疑シグネチャのレコードと合致するパケットである場合には（ステップＳ４０５，Ｙｅｓ）、抽出したパケットを防御装置４０に対して転送する（ステップＳ４０６）。なお、容疑シグネチャのレコードと合致しないパケットである場合には（ステップＳ４０５，Ｎｏ）、通常のパケット転送処理をおこなう。

つづいて、中継装置２１からパケットを転送された防御装置４０は、フィルタリング処理を実行し（ステップＳ４０７）、所定の条件を満たした場合には転送されたパケットを、中継装置２１に転送する処理をおこなう。なお、防御装置４０が中継装置２１から転送されたパケットを攻撃パケットであると判定した場合には、かかる転送処理をおこなわない。なお、フィルタ処理（ステップＳ４０７）の処理内容は、実施例１で説明した内容と同様であるので省略する（図８参照）。

上述したように、本実施例２においては、防御装置が攻撃情報に基づいて攻撃の容疑があるパケットを抽出するためのシグネチャを生成するとともに、かかる攻撃情報に基づいてパケットの転送依頼をおこなう中継装置を選択するよう構成した。したがって、攻撃を防御するうえで適切な中継装置を選択することによって、攻撃を効率的に防御することができる。

ところで、上記した各実施例では、防御装置に転送するための条件とする転送条件情報（たとえば、容疑シグネチャのレコードや経路情報）を、防御装置が中継装置に対して送信する場合について示している。しかしながら、これに限らず、防御装置以外の通信装置がかかる転送条件情報を中継装置に対して送信するよう構成してもよい。

また、上記した各実施例では、本発明を実現する各装置（中継装置や防御装置）を機能面から説明したが、各装置の各機能はパーソナルコンピュータやワークステーションなどのコンピュータ、あるいはプログラムを搭載可能なルータなどの通信機器にプログラムを実行させることによって実現することもできる。

すなわち、上述した各種の処理手順は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

つまり、例を挙げれば、各実施例に示した中継装置用プログラムおよび防御装置用プログラムを格納したＣＤ−ＲＯＭを配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい。

以上のように、本発明に係るネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラムは、ネットワークを介した攻撃からサーバ装置などの通信機器を防御する場合に有用であり、特に、パケットの宛先アドレスからは攻撃先を特定することができない攻撃、あるいは、攻撃先の特定が容易ではなく特定に時間がかかる攻撃から通信機器を防御する場合に適している。

本発明に係るネットワーク攻撃防御システムの概要を示す図である。 容疑シグネチャの一例を示す図である。 実施例１に係る中継装置の構成を示すブロック図である。 実施例１に係る防御装置の構成を示すブロック図である。 実施例１に係るネットワーク攻撃防御システムの処理手順の概要を示すフローチャートである。 シグネチャに係る情報を示す図である。 不正トラヒック検出処理の処理手順を示すフローチャートである。 パケットフィルタリング処理の処理手順を示すフローチャートである。 実施例１に係るネットワーク攻撃防御システムの変形例を示す図である。 実施例２に係るネットワーク攻撃防御システムの構成を示す図である。 実施例２に係る防御装置の構成を示すブロック図である。 実施例２に係るネットワーク攻撃防御システムの処理手順の概要を示すフローチャートである。 従来のネットワーク攻撃防御システムの構成を示す図である。

符号の説明

８、９ ネットワーク
１０ 中継装置
１１ 中継機能
１２ フィルタ機能
２１ 中継装置
２１ａ ネットワークインタフェース部
２１ｂ 中継処理部
２１ｃ シグネチャ受信部
２１ｄ 転送パケット抽出部
２２、４０ 防御装置
２２ａ ネットワークインタフェース部
２２ｂ 攻撃情報処理部
２２ｃ シグネチャ通知部
２２ｄ フィルタ部
４０ａ ネットワークインタフェース部
４０ｂ 攻撃情報処理部
４０ｃ 中継装置選択部
４０ｄ 経路情報通知部
４０ｅ パケット中継部
４０ｆ フィルタ部
５１ 攻撃検知装置
８３、９３ ルータ
９０ 防御装置
９２ 攻撃対象サーバ
９４ 攻撃者
９５ 攻撃検知装置

Claims (15)

1. ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御方法であって、
   前記防御装置が、前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継装置に対して通知するパケット転送指示通知工程と、
   前記中継装置が、前記パケット転送指示通知工程によって通知された前記シグネチャに該当するパケットを前記防御装置に転送するパケット転送工程と、
   前記防御装置が、前記パケット転送工程によって転送されたパケットのフィルタリングを行うフィルタ工程と
   を含んだことを特徴とするネットワーク攻撃防御方法。
2. 前記パケット転送指示通知工程は、
   前記攻撃情報に基づいて前記パケット転送指示の通知先となる少なくとも１つの中継装置を選択し、選択した当該中継装置に対して自装置への経路情報を含んだ前記パケット転送指示を通知することを特徴とする請求項１に記載のネットワーク攻撃防御方法。
3. 前記フィルタ工程は、
   フィルタリング後のパケットを当該パケットの転送元である中継装置に転送することを特徴とする請求項１または２に記載のネットワーク攻撃防御方法。
4. 前記フィルタ工程は、
   フィルタリング後のパケットの転送先を複数の中継装置の中から選択したうえで選択した当該中継装置に対して当該パケットを転送することを特徴とする請求項１または２に記載のネットワーク攻撃防御方法。
5. 前記フィルタ工程は、
   前記パケット転送工程によって転送されたパケットのトラヒックが容疑トラヒックに該当すると判定した場合に、当該パケットの伝送帯域を制限したうえで前記中継装置に転送することを特徴とする請求項１〜４のいずれか一つに記載のネットワーク攻撃防御方法。
6. 前記フィルタ工程は、
   前記パケット転送工程によって転送されたパケットのトラヒックが不正トラヒックに該当すると判定した場合に、当該パケットを前記中継装置に転送しないことを特徴とする請求項１〜５のいずれか一つに記載のネットワーク攻撃防御方法。
7. 前記フィルタ工程は、
   前記パケット転送工程によって転送されたパケットを前記ネットワークに送出した利用者が正規利用者であると判定した場合に、当該パケットの伝送帯域を制限することなく前記中継装置に転送することを特徴とする請求項１〜６のいずれか一つに記載のネットワーク攻撃防御方法。
8. 前記パケット転送指示通知工程は、
   前記パケット転送指示の通知先となる中継装置のパケット転送性能に基づいて当該パケット転送指示に含まれる前記シグネチャの量を調整することを特徴とする請求項１〜７のいずれか一つに記載のネットワーク攻撃防御方法。
9. ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムであって、
   前記防御装置は、
   前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継装置に対して通知するパケット転送指示通知手段と、
   前記パケット転送指示通知手段が通知したパケット転送指示に基づいて前記中継装置が転送したパケットのフィルタリングを行うフィルタ手段と
   を備え、
   前記中継装置は、
   前記パケット転送指示通知手段によって通知された前記シグネチャに該当するパケットを前記防御装置に転送するパケット転送手段
   を備えたことを特徴とするネットワーク攻撃防御システム。
10. ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる防御装置であって、
    前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成して当該シグネチャを含んだパケット転送指示を前記中継装置に対して通知するパケット転送指示通知手段と、
    前記パケット転送指示通知手段が通知したパケット転送指示に基づいて前記中継装置が転送したパケットのフィルタリングを行うフィルタ手段と
    を備えたことを特徴とする防御装置。
11. ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる防御装置に搭載される防御装置用プログラムであって、
    前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成し、当該シグネチャを含んだパケット転送指示を前記中継手順に対して通知するパケット転送指示通知手順と、
    前記パケット転送指示通知手順が通知したパケット転送指示に基づいて前記中継装置が転送したパケットのフィルタリングを行うフィルタ手順と
    をコンピュータに実行させることを特徴とする防御装置用プログラム。
12. ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置であって、
    前記防御装置から攻撃パケットの属性をあらわすシグネチャを含んだパケット転送指示を受け付けるパケット転送指示受付手段と、
    前記パケット転送指示受付手段が受け付けたシグネチャに該当するパケットを前記中継装置に対して転送するパケット転送手段と
    を備えたことを特徴とする中継装置。
13. ネットワークを介してパケットを中継する中継装置と、前記ネットワーク上における攻撃を防御する防御装置とで攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置に搭載される中継装置用プログラムであって、
    前記中継装置から攻撃パケットの属性をあらわすシグネチャを含んだパケット転送指示を受け付けるパケット転送指示受付手順と、
    前記パケット転送指示受付手順が受け付けた前記シグネチャに該当するパケットを前記中継装置に対して転送するパケット転送手順と
    をコンピュータに実行させることを特徴とする中継装置用プログラム。
14. ネットワークを介してパケットを中継する中継装置で攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置であって、
    前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成するシグネチャ生成手段と、
    前記シグネチャ生成手段が生成したシグネチャに該当するパケットを抽出するパケット抽出手段と、
    前記パケット抽出手段が抽出したパケットのフィルタリングを行うパケットフィルタ手段と
    を備えたことを特徴とする中継装置。
15. ネットワークを介してパケットを中継する中継装置で攻撃対象となる通信機器への攻撃を防御するネットワーク攻撃防御システムに用いられる中継装置に搭載される中継装置用プログラムであって、
    前記通信機器に対する攻撃の内容を示した攻撃情報に基づいて攻撃パケットの属性をあらわすシグネチャを生成するシグネチャ生成手順と、
    前記シグネチャ生成手順が生成したシグネチャに該当するパケットを抽出するパケット抽出手順と、
    前記パケット抽出手順が抽出したパケットのフィルタリングを行うパケットフィルタ手順と
    をコンピュータに実行させることを特徴とする中継装置用プログラム。

Images