JP2007142841A - 攻撃パケット迂回システム、方法、およびトンネル機能付きルータ - Google Patents

Abstract

【課題】正常パケットを、ループを発生することなく宛先に正しく転送する。
【解決手段】正常コンピュータ２が被攻撃サーバ３に正常パケットの送信を開始すると、トンネル機能付ルータ２２２は、宛先アドレスがアクセス制御リスト２００５の宛先アドレスとマッチするため該パケットを、トンネル２１２を使って攻撃パケット検出・対処装置２０１に転送する。装置２０１は、該パケットを分析し、この場合、正常パケットであるので該パケットを返信する。ルータ２３１は、ＩＰルーティングにより該パケットをルータ２２２に転送する。ルータ２２２では、受信したパケットの回線と宛先アドレスがアクセス制御リスト２００５の回線と宛先アドレスとマッチしないためルーティングテーブル２００６に従いそのパケットをルータ２３２に転送する。ルータ２３２は、ＩＰルーティングにより該パケットを被攻撃サーバ３に転送する。
【選択図】図６

Description

本発明は、あるユーザに対し過度のトラヒックを送信することによりそのユーザのサービス停止を狙ったＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）などの攻撃パケットを含む被疑パケットをネットワーク外部の装置に迂回させ、その装置で被疑パケットが攻撃か正常かを区別し、攻撃パケットは迂回先装置で対処するが、正常パケットはネットワーク内に戻すシステムに関する。

攻撃パケットを対処する方法として、ルータのような、攻撃パケットが疎通しているネットワーク内の装置が、その攻撃パケットをネットワーク外部の対処装置に転送し、その対処装置において、攻撃パケットを処理する方式が提案されている（例えば、特許文献１、非特許文献１参照）。

特許文献１の請求項１において記述されている攻撃パケット迂回システム構成を図１０に示す。図１０のシステムでは、ネットワーク１００は、攻撃コンピュータ１と正常コンピュータ２と攻撃コンピュータ１から攻撃を受ける被攻撃サーバ３を、それぞれトンネル機能付ルータ１１、トンネル機能付ルータ１２、迂回機能付ルータ１３を介して収容している。トンネル機能付ルータ１１、１２と迂回機能付ルータ１３との間にはそれぞれ、ＧＲＥ（Ｇｅｎｅｒｉｃ ｒｏｕｔｉｎｇ ｅｎｃａｐｓｕｌａｔｉｏｎ）、レイヤ２トンネルプロトコル、ＭＰＬＳ（ｍｕｌｔｉ−ｐｒｏｔｏｃｏｌ ｌａｂｅｌ ｓｗｉｔｃｈｉｎｇ）等のトンネルを設定するプロトコルを使って、トンネル２１，２２が設定されている。すなわち、トンネル機能付ルータ１１、１２と迂回機能付ルータ１３の間に複数のネットワーク中継装置があっても、このトンネルを使うことによって、トンネル機能付ルータ１１、１２を出発したパケットは必ず迂回機能付ルータ１３まで届けられる。

迂回機能付ルータ１３は、攻撃と疑うパケット（被疑パケット）を検出する被疑パケット検出装置４と、被疑パケットの迂回指示を行う迂回指示装置５と、迂回された被疑パケットから攻撃パケットを抽出し、その攻撃パケットを対処する攻撃パケット検出・対処装置６を収容している。

以下に説明するように、攻撃パケット迂回システムでは、攻撃パケットを攻撃パケット検出・対処装置６まで迂回させ、その装置で攻撃パケットを対処することにより、被攻撃サーバ３を攻撃から防御している。

なお、特許文献１では、被疑パケット検出装置４は明記されていないが、従来の技術の説明上、図１０では用意している。また、特許文献１の請求項１で用いられている“ｐｅｅｒｉｎｇ ｒｏｕｔｅｒ”、“ｄｉｖｅｒｔｉｎｇ ｒｏｕｔｅｒ”と“ｔｒａｆｆｉｃ ｐｒｏｃｅｓｓｏｒ”は、それぞれトンネル機能付ルータ、迂回機能付ルータと攻撃パケット検出・対処装置に対応する。特許文献１では、迂回指示装置５と攻撃パケット検出・対処装置６を同一筐体としているが、これも従来の技術の説明上、分けている。

非特許文献１では、“ｉｎｇｒｅｓｓ ｐｏｉｎｔｓ”と“ｃｌｅａｎｉｎｇ ｃｅｎｔｅｒ（ｍｉｔｉｇａｔｏｒ）”がそれぞれトンネル機能付ルータと攻撃パケット検出・対処装置に対応している。

被攻撃サーバ宛３へのパケットは、攻撃パケットのみならず、正常のパケットも含まれる。そこで、攻撃パケット検出・対処装置６では正常パケットをネットワーク１００に戻す。そのため、ネットワーク１００では、攻撃パケット検出・対処装置６から戻ってきた正常パケットを、ループが発生することなく被攻撃サーバ３まで正しく届ける機能が必要となる。

非特許文献１では、ループが発生することなく正常パケットを転送させる方式として、次の二つの方式が記載されている。
１）物理ポート対応振り分け方式：迂回機能付ルータでは、トンネル機能付ルータからのパケット、攻撃パケット検出・対処装置からのパケット、被攻撃サーバへのパケットが疎通する回線を分類して物理ポートに収容し、入り物理ポートに応じて、出力物理ポートを決める。
２）下りトンネル設定方式：攻撃パケット検出・対処装置と被攻撃サーバを収容しているルータの間にトンネルを事前に設定し、そのトンネルを使って、被攻撃サーバ宛のパケットを疎通させる。

以下、各方式を説明する。

１）物理ポート対応振り分け方式
迂回機能付ルータ１３では物理ポート（以下ポート）を３１、３２、３３、３４に分け各装置を次のように収容する。

ポート３１：トンネル機能付ルータ１１、１２を始点とする上りトンネルを含む物理回線を収容する。

ポート３２：被攻撃サーバ３に接続されている物理回線を収容する。

ポート３３：攻撃パケット検出・対処装置６に接続されている物理回線を収容する。

ポート３４：被疑パケット検出装置４、迂回指示装置５に接続されている物理回線を収容する。

なお、特許文献１の第１ポート（ａ ｆｉｒｓｔ ｐｏｒｔ）、第２ポート（ａ ｓｅｃｏｎｄ ｐｏｒｔ）、第３ポート（ａ ｔｈｉｒｄ ｐｏｒｔ）がそれぞれ物理ポート３１、３２、３３に対応する。なお、物理ポート３４は、特許文献１には明記されていないが、従来の技術の説明上、用意している。

次に、図１０に示したシステム構成で、攻撃コンピュータ１が被攻撃サーバ３へ攻撃パケットを送信している場合の処理の流れを図１１により説明する。

攻撃コンピュータ１は被攻撃サーバ３に攻撃パケットを送信開始したとする（ステップ１００１、１００２）。迂回機能付ルータ１３は、疎通するトラヒックのサンプリング情報を被疑パケット検出装置４に送信する（ステップ１００３）。トラヒックのサンプリング情報を受信した被疑パケット検出装置４は、それを解析し、被疑パケットがあるかないか調べる。もし、被疑パケットを検出した場合（ステップ１００４）、迂回指示装置５に対し、被疑パケットの宛先アドレス情報とともに被疑パケット発生を通知する（ステップ１００５）。それを受けた迂回指示装置５は、トンネル機能付ルータ１１、１２に、被疑パケットの宛先アドレスと一致するパケットを迂回機能付ルータ１３に転送するよう指示する（ステップ１００６、１００７）。各トンネル機能付ルータ１１、１２は、上記パケットを迂回機能付ルータ１３に転送するようルーティングテーブルを更新する（ステップ１０１０、１０１１）。具体的には、トンネル機能付ルータ１１と１２では、被攻撃サーバ３宛のパケットはそれぞれトンネル２１、トンネル２２を使って転送するようにルーティングテーブルもしくはアクセス制御リストを更新する。

トンネル機能付ルータ１１は、被攻撃サーバ３向けのパケットを受信した場合、該パケットを、トンネル２１を使って迂回機能付ルータ１３に転送する（ステップ１０１２、１０１３）。迂回機能付ルータ１３は、ポート３３を介して、その被疑パケットを送信する（ステップ１０１４）。そのポート３３には、攻撃パケット検出・対処装置６が収容されているため、被疑パケットは攻撃パケット検出・対処装置６に届く（ステップ１０１５）。攻撃パケット検出・対処装置６では、その被疑パケットを分析し、真に悪意（つまり攻撃パケット）であればそのパケットを対処（例えば廃棄）する（ステップ１０１６、１０１７）。

次に、正常コンピュータ２が被攻撃サーバ３へ正常パケットを転送している場合の処理の流れを図１２により説明する。正常コンピュータ２は被攻撃サーバ３に正常パケットの送信を開始したとする（ステップ１１０１、１１０２）。前記の動作より、トンネル機能付ルータ１２は、被攻撃サーバ３向けパケットを正常・被疑に関わらず、トンネル２２を使って迂回機能付ルータ１３へ転送する（ステップ１１０３、１１０４）。迂回機能付ルータ１３は、ポート３３を介して、その正常パケットを送信する（ステップ１１０５）。そのポート３３には、攻撃パケット検出・対処装置６が収容されているため、正常パケットは攻撃パケット検出・対処装置６に届く（ステップ１１０６）。攻撃パケット検出・対処装置６では、そのパケットを分析し、正常パケットであればそのパケットを迂回機能付ルータ１３へ返信する（ステップ１１０７、１１０８、１１０９）。迂回機能付ルータ１３は、ポート３３から受信したパケット（すなわち攻撃パケット検出・対処装置６からのパケット）をポート３２を介して転送する（ステップ１１１０、１１１１）。ポート３２には、被攻撃サーバ３が収容されているため、このパケットは被攻撃サーバ３まで届く（ステップ１１１２）。以上より、正常コンピュータ２が被攻撃サーバ３宛へ送信した正常パケットはループを発生することなく正しく届けられる。

迂回機能付ルータ１３が、攻撃パケット検出・対処装置６からのパケットを前記物理ポートに関係なく転送した場合、ループが発生する場合を簡単に説明しておく。もし、迂回機能付ルータ１３が、このパケットをトンネル機能付ルータ１１に転送した場合、このパケットは再度トンネル２１を使って迂回機能付ルータ１３へ返信される。つまり、ループが発生してしまう。

２）下りトンネル設定方式
特許文献１の請求項８において記述されている攻撃パケット迂回システムの構成を図１３に示す。図１３では、被攻撃サーバ３は迂回機能付ルータ１３ではなくトンネル機能付ルータ１４に収容されている。また、攻撃パケット検出・対処装置６とトンネル機能付ルータ１４との間にトンネル２３が設定されている。

図１３に示したシステム構成での処理フローは、攻撃パケット検出・対処装置６において正常パケットを受信してからの処理が図１０に示したシステム構成での処理フローと異なる。図１４に、攻撃パケット検出・対処装置６において正常パケットを受信後の処理フローを示す。攻撃パケット検出・対処装置が正常パケットを検出した場合は、それを転送するトンネル（この例では、トンネル２３）を求め、そのトンネルを使って正常パケットを送信する（ステップ１２０１〜１２０３）。トンネル２３を終端するトンネル機能付ルータ１４は、そのトンネルからパケットを受信した場合、そのルータ内のルーティングテーブルもしくはアクセス制御リストに従い被攻撃サーバ３宛へパケットを転送する（ステップ１２０４）。なお、トンネル機能付ルータ１４は、迂回指示装置５から被攻撃サーバ３宛のパケットの迂回指示を受けていないことを前提とする。
Selective Diversion and Injection of Communication Traffic: International Publication Number, WO 2004/090741, International Publication Date, 21 October 2004 米国ＳＰＲＩＮＴ社の技術資料"DDoS Mitigation via Regional Cleaning Centers"，S. Agarwal 他著 (http://ipmon.sprint.com/pubs#trs/trs/RR04-ATL-013177.pdf)

図１０と図１３に示した従来のシステム構成では、迂回機能付ルータ１３は、攻撃パケット検出・対処装置６をあるポート（図１０、１３ではポート３３）を介して直接収容することを前提としている。
１．このシステム構成では、迂回機能付ルータ１３が攻撃パケット検出・対処装置６を、ポート３３を介して直接収容していない場合は、トンネル機能付ルータから迂回されたパケットを攻撃パケット検出・対処装置６に転送できない場合がある。

この問題点が発生するシステムの構成例を図１５に示す。図１５では、迂回機能付ルータ１３と攻撃パケット検出・対処装置６はルータ１５を介して接続され、さらに、ルータ１５はサーバ７を収容している。この場合、迂回機能付ルータ１３は、ポート３３を介して攻撃パケット検出・対処装置６とサーバ７に接続しているため、迂回パケットを攻撃パケット検出・対処装置６ではなく、サーバ７に転送する場合がある。

また、トンネル機能付ルータがユーザを収容しているアクセス回線からの入力パケットをアクセス回線毎に区別することなくトンネルに統合する場合は、次の問題点が発生する。
２．一般に攻撃パケットの送信元アドレスは詐称されている。そのため、攻撃パケット検出・対処装置６では、攻撃パケットの入力したアクセス回線の特定は困難である。

この問題点が発生する例を説明する。前述した図１５において、攻撃コンピュータ４０を追加し、攻撃コンピュータ１と攻撃コンピュータ４０はそれぞれアクセス回線４１、４２を通してトンネル機能付ルータ１１に収容されている。トンネル機能付ルータ１１では、アクセス回線に関わらず、被攻撃サーバ３宛のパケットを１つのトンネル２１を使って迂回させる。もし、攻撃コンピュータ１と攻撃コンピュータ４０の送信元アドレスが詐称されている場合、攻撃パケット検出・対処装置６では、送信元アドレスが使えないため、攻撃パケットが進入しているアクセス回線４１もしくは４２を区別することができない。
３．さらに、図１０のシステム構成の場合、複数の被攻撃サーバが地理的に分散されている場合は、多数の迂回機能付ルータとそれに対応して攻撃パケット検出・対処装置が必要となり、導入コストが高くなる問題がある。

図１３のシステム構成では、問題点１は解決するものの、以下の問題点がある。
４．攻撃パケット検出・対処装置６では、正常パケットの宛先アドレスからそれを転送するトンネルを検索する処理が必要なため、トンネルが多数存在する場合、攻撃パケット検出・対処装置６でのこの処理量が大きくなる。
５．被攻撃サーバを収容するエッジルータがＮ個あった場合、図１０のシステム構成と比べてＮ個のトンネルを新たに管理する必要があり、このエッジルータが多くなるほど運用コストが増大する。

本発明の目的は、迂回機能付ルータの導入コストおよびシステムの運用コストを少なく抑えて、正常パケットを、ループを発生することなく宛先に正しく転送する攻撃パケット迂回システムを提供することにある。

上記目的を達成するために、本発明の攻撃パケット迂回システムは、第１の装置で、ネットワークを疎通する被疑パケットを検出し、そのパケットを第２の装置から第３の装置へ迂回させ、該第３の装置では被疑パケットが攻撃であるか正常であるかを区別し、攻撃パケットの場合は、そのパケットを対処し、正常パケットの場合は、ネットワーク内に戻す攻撃パケット迂回システムにおいて、第２の装置は、ユーザを収容している回線であるアクセス回線とユーザを収容していない回線であるネットワーク回線とを区別する手段と、前記アクセス回線からのパケットを迂回させ、ネットワーク回線からのパケットを迂回させない手段とを有することを特徴とする。

これにより、迂回機能付ルータの導入コストおよびシステムの運用コストを少なく抑えて、正常パケットを、ループを発生することなく宛先に正しく転送することができる。

本発明の実施態様では、第２の装置と第３の装置の間にアクセス回線毎にトンネルを設定する手段を有し、第２の装置が、各アクセス回線からのパケットを事前に決められたトンネルを使って迂回させる手段を有する。

請求項１の発明によれば、迂回機能付ルータの導入コストおよびシステムの運用コストを少なく抑えて、正常パケットを、ループを発生することなく宛先に正しく転送することができる。

請求項３の発明によれば、
１．迂回機能付ルータと攻撃パケット検出・対処装置との間は、ネットワークを介すことができるため、柔軟性の高い攻撃パケット防御システムを構成できる。
２．詐称された送信元アドレスを使うことなく、被疑パケットの進入アクセス回線を特定できる。
３．迂回機能付ルータに防御対象である被攻撃サーバを直接収容する必要がないため、少ない数の迂回機能付ルータを用意するだけでよく、導入コストは少なく抑えられる。
４．設定すべきトンネル数は、トンネル機能付ルータから攻撃パケット検出・対処装置へ向かう上り方向だけでよいため、運用コストは少なく抑えられる。

次に、本発明の実施の形態について図面を参照して説明する。

［第１の実施形態］
図１は本実施形態による攻撃パケット迂回システムの構成図である。本実施形態では、本発明でのトンネル機能付ルータ２２１、２２２と本発明の攻撃パケット検出・対処装置２０１との間に、アクセス回線ごとにトンネルが事前に設定されている。例えば、アクセス回線４１、４２に対応してトンネル２１１と２１２がトンネル機能付ルータ２２１と攻撃パケット検出・対処装置２０１との間に設定され、アクセス回線４３に対応してトンネル２１３がトンネル機能付ルータ２２２と攻撃パケット検出・対処装置２０１との間に設定されている。さらに、トンネル機能付ルータ２２１は、ユーザを収容していない回線であるネットワーク回線５１、５２を、トンネル機能付ルータ２２２はネットワーク回線５３を収容している。トンネル２１１と２１２はネットワーク回線５１上に設定されている。なお、本実施形態の被疑パケット検出装置４、トンネル機能付ルータ２２１、２２２、攻撃パケット検出・対処装置２０１が、請求項に記載された第１の装置、第２の装置、第３の装置にそれぞれ対応している。

本実施形態で扱うトンネルは、ＧＲＥを使ってＩＰパケットをさらにＩＰパケットでカプセル化するトンネル（ＩＰ−ｉｎ−ＩＰトンネルとも呼ばれる）を仮定するが、レイヤ２トンネルプロトコルで設定されたトンネル、ＭＰＬＳによって設定されたトンネルであってもよい。なお、図２に示すように、ＧＲＥトンネルによりカプセル化されたパケットは、ＧＲＥトンネルのカプセル化用ＩＰヘッダ３００１、ＧＲＥヘッダ３００２、ＧＲＥトンネルの内側のＩＰヘッダ３００３、ＩＰユーザデータ３００４から構成される。トンネル機能付きルータ２２１内のトンネル２１１と２１２に付与されたＩＰアドレスは、それぞれＡ．Ｂ．Ｃ．Ｄ，Ｅ．Ｆ．Ｇ．Ｈとする。また、トンネル機能付きルータ２２２内のトンネル２１３に付与されたＩＰアドレスはＩ．Ｊ．Ｋ．Ｌ．とする。さらに、攻撃パケット検出・対処装置２０１に付与されたＩＰアドレスは、Ｐ．Ｑ．Ｒ．Ｓとする。

図３にトンネル機能付ルータ２２１の機能ブロックを示す。トンネル機能付ルータ２２１は、アクセス制御リスト２００５とルーティングテーブル２００６にしたがってルーティング処理を行うルーティング部２００１と、トンネル情報テーブル２００４から、トンネル２１１、２１２に関連する情報を取得して、ＩＰ−ｉｎ−ＩＰカプセル化処理を行うカプセル化処理部２００２と、迂回指示装置５からの指示に従いアクセス制御リスト２００５を更新するアクセス制御リスト更新部２００３から構成されている。

アクセス制御リスト２００５とルーティングテーブル２００６には、次の条件の基で、ルーティングルールが記載されている。

アクセス制御リスト２００５に、受信パケットを攻撃パケット検出・対処装置２０１宛へのトンネルへ転送するルールがある場合、そのルールでの入力回線は、アクセス回線に限る。

ルーティングテーブル２００６には、受信パケットを攻撃パケット検出・対処装置２０１宛へのトンネルへ転送するルールは記載されていない。

表１、表２、表３にそれぞれアクセス制御リスト２００５、ルーティングテーブル２００６、トンネル情報テーブル２００４の例を示す。

次に、アクセス回線４１、４２もしくはネットワーク回線５１、５２からパケットを受信した時のトンネル機能付ルータ２２１での処理フローを図４に示す。ルーティング部２００１では、まずアクセス制御リスト２００５に従い、受信したパケットの宛先アドレスとそのパケットを受信したアクセス回線の情報により転送すべきトンネルがあるかどうか調べる（ステップ４００１）。もし、アクセス制御リスト２００５内のアクセス回線識別子属性子と受信パケットのアクセス回線と等しい要素があり、さらにその要素において宛先アドレス属性値が受信パケットの宛先アドレスと一致する場合、カプセル化処理部２００２では、トンネル情報テーブル２００４から、トンネルに関連する送信元ＩＰアドレスと攻撃パケット検出・対処装置のＩＰアドレスを取得し、それらを図２に示したカプセル化用ＩＰヘッダ３００１内の送信元ＩＰアドレス、宛先ＩＰアドレスとしたＩＰ−ｉｎ−ＩＰパケットを作成する（ステップ４００３）。次に、カプセル化処理部２００２は、トンネル情報テーブル２００４から、トンネルに対応するネットワーク回線識別子を取得し、この識別子のネットワーク回線に受信パケットを送信する（ステップ４００４）。もし、ステップ４００１の処理において、アクセス制御リスト２００５にマッチしない場合は、ルーティングテーブル２００６を検索し、受信パケットの宛先アドレスとＩＰアドレスとマッチする要素を調べ、出力回線を特定する（ステップ４００５）。次に、そのパケットをルーティングテーブル２００６にマッチした回線へ送信する（ステップ４００６）。例えば、表１に示したアクセス制御リスト２００５の場合、アクセス回線４１から受信したパケットの内、そのパケットの宛先アドレスが、被攻撃サーバ３のアドレスと一致するパケットは、そのパケットを図２に示したＩＰユーザデータ３００４とするＩＰ−ｉｎ−ＩＰトンネルパケットを作成し、トンネル識別子２１１のトンネルが疎通されているネットワーク回線５１に送信する。

一方、ネットワーク回線５１から受信した、攻撃コンピュータ４０宛のパケットはアクセス制御リスト２００５にマッチしないが、ルーティングテーブル２００６のネットワーク回線５２の要素にマッチするため、ネットワーク回線５２に受信パケットを送信する。

アクセス制御リスト更新処理部２００３は、迂回指示装置５から、指定された宛先アドレスを持つパケットを迂回するよう指示を受けた場合、迂回できるようにアクセス制御リスト２００５のアクセス回線識別子、宛先アドレスとトンネル識別子を更新する。

図５に、攻撃パケット検出・対処装置２０１の機能ブロックを示す。この装置は、トンネル機能付ルータ２２１からトンネル２１１、２１２を、トンネル機能付ルータ２２２からトンネル２１３を、ネットワーク回線６１を介して収容している。この装置では、デカプセル化処理を行うデカプセル化処理部６００１と、疎通しているトンネルに関する情報が保存されているトンネル情報テーブル６００２と、トンネルから流入するトラヒックを格納するトンネルフローテーブル６００３と、これらのテーブルを使って攻撃パケットが流れているトンネルを検出する攻撃トンネル検出部６００４と、攻撃パケットが進入しているアクセス回線を特定する攻撃パケット進入アクセス回線特定部６００５と、攻撃パケット進入アクセス回線テーブル６００６と、攻撃パケットは対処し、正常パケットはネットワーク回線６１に送信する攻撃パケット対処・正常パケット送信部６００７から構成されている。

表４にトンネル情報テーブル６００２の例を示す。表５と表６に、それぞれトンネルフローテーブル６００３、攻撃パケット進入アクセス回線テーブル６００６の例を示す。

攻撃パケット検出・対処装置２０１でのトンネル機能付ルータ２２１、２２２からのパケットを受信した時の処理を示す。デカプセル化処理部６００１では、受信パケットのトンネル識別子、カプセル化用ＩＰヘッダ３００１の送信元ＩＰアドレスを調べる。また、受信したパケットをトンネルごとにフロー（ここでは宛先アドレス単位のパケットの流れ）単位でレート（単位時間当たりに疎通したパケット数）を計測し、その結果をトンネルフローテーブル６００３に格納する。

攻撃トンネル検出部６００４では、攻撃パケット検出アルゴリズムにしたがってフローが攻撃であるかどうか調べる。ここでは文献ＡＣＭ ＳＩＧＣＯＭＭ Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｒｅｖｉｅｗ， Ｖｏｌｕｍｅ ３４， Ｉｓｓｕｅ ２（Ａｐｒｉｌ ２００４）Ｐａｇｅｓ： ３９−５３ “Ａ Ｔａｘｏｎｏｍｙ ｏｆ ＤＤｏＳ Ａｔｔａｃｋｓ ａｎｄ ＤＤｏＳ Ｄｅｆｅｎｓｅ Ｍｅｃｈａｎｉｓｍｓ”、Ｊ．Ｍｉｒｋｏｖｉｃら著において記述されているアルゴリズムである「宛先ＩＰアドレスごとに集約したフローのレートが閾値を超えた場合被疑攻撃フローと判断する」を使用しているとする。表５の宛先ＩＰアドレスα．β．γ．ε宛のパケットレートの総和が閾値を超えていた場合、その宛先ＩＰアドレスのフローの状態を「攻撃」とする。攻撃トンネル検出部６００４は、新たに攻撃フローを検出した場合、攻撃パケット進入アクセス回線特定部６００５に通知する。その通知を受け取った攻撃パケット進入アクセス回線特定部６００５は、フロー状態が「攻撃」であるフローを含むトンネル識別子を取得する。次に、トンネル情報テーブル６００２から、取得したトンネル識別子と一致するトンネル機能付ルータ識別子、アクセス回線識別子を取得し、攻撃パケットアクセス回線テーブル６００６に保存する。

図１で説明した構成例では、攻撃コンピュータ１が収容しているトンネル機能付ルータおよびアクセス回線はそれぞれ２２１、４１であるから、表６のような値となる。

上記の処理により、攻撃パケットの発生源のアクセス回線を特定することができる。

攻撃パケット対処・正常パケット送信部６００７では、攻撃トンネル検出部６００４で攻撃と判断されたパケットを廃棄する。一方、正常と判断されたパケットは、ネットワーク回線６１に戻す。

次に、本発明の効果を、図６を使って説明する。

図６では、ルータ２３１とトンネル機能付ルータ２２１との間はネットワーク回線８１により、トンネル機能付ルータ２２１と２２２の間はネットワーク回線８２により、トンネル機能付ルータ２２１とルータ２３２の間はネットワーク回線８３により接続されている。ルータ２３１、２３２はＩＰパケットを転送する通常のルータでよい。

次に、図６で示したシステム構成で、攻撃コンピュータ１が被攻撃サーバ３へ攻撃パケットを送信している場合の処理の流れを図７により説明する。

攻撃コンピュータ１の被攻撃サーバ３への攻撃パケットの送信開始（ステップ７００１）から被疑攻撃パケット迂回指示（ステップ７００７）までは従来のシステムと同じである。トンネル機能付ルータ２２１、２２２は上記パケットを迂回機能付ルータ２３１に転送するようアクセス制御リスト２００５のアクセス回線識別子、宛先アドレス、トンネル識別子を更新する（ステップ７０１０、７０１１）。トンネル機能付ルータ２２１は、アクセス回線４１から被攻撃サーバ３向けのパケットを受信した場合、受信したアクセス回線と宛先アドレスが、更新されたアクセス制御リスト２００５のアクセス回線識別子、宛先アドレスとマッチするのでトンネル２１１を使って攻撃パケット検出・対処装置２０１に転送する（ステップ７０１２〜７０１４）。攻撃パケット検出・対処装置２０１では、その被疑パケットを分析し、真に悪意（つまり攻撃パケット）であればそのパケットを対処（例えば廃棄）する（ステップ７０１５、７０１６）。

次に、正常コンピュータ２が被攻撃サーバ３へ正常パケットを転送している場合の処理フローを図８により説明する。正常コンピュータ２は被攻撃サーバ３に正常パケットの送信を開始したとする（ステップ７１０１、７１０２）。前記の動作より、トンネル機能付ルータ２２２は、受信したアクセス回線と宛先アドレスがアクセス制御リスト２００５のアクセス回線、宛先アドレスとマッチするため正常パケットを、トンネル２１３を使って攻撃パケット検出・対処装置２０１に転送する（ステップ７１０３〜７１０５）。攻撃パケット検出・対処装置２０１では、そのパケットを分析し、この場合、正常パケットであるのでそのパケットを返信する（ステップ７１０６、７１０７、７１０８）。ルータ２３１は、ＩＰルーティングによりそのパケットをトンネル機能付ルータ２２２に転送する（ステップ７１０９）。トンネル機能付ルータ２２２では、受信したパケットのネットワーク回線識別子と宛先アドレスが自ルータ内のアクセス制御リストの宛先アドレスとマッチしないためルーティングテーブル２００６に従いそのパケットをルータ２３２に転送する（ステップ７１１０、７１１１）。ルータ２３２は、ＩＰルーティングによりそのパケットを被攻撃サーバ３に転送する（ステップ７１１２）。よって、このパケットは被攻撃サーバ３まで届く。以上より、正常コンピュータ２が被攻撃サーバ３宛へ送信した正常パケットはループを発生することなく正しく届けられる。

また、トンネル機能付ルータ２２１、２２２と攻撃パケット検出・対処装置２０１との間にトンネルが直接設定されているため、この間に複数のルータが設定されていてもよい。また、トンネルはトンネル機能付ルータ２２１、２２２から攻撃パケット検出・対処装置２０１への上り方向だけでよく従来のシステムより少なくてすむ。

［第２の実施形態］
図９に本実施形態による攻撃パケット迂回システムの構成および各事業者間の処理のシーケンスを示している。

本実施形態は、攻撃パケットが発生するインターネットサービスを提供するインターネットサービス提供事業者１０００２と、そのサービスの利用者であるインターネットサービス利用者１０００１と、攻撃対処を行う攻撃対処事業者１０００３から構成される。

インターネットサービス提供事業者１０００２は、前記のトンネル機能付ルータおよびルータを保持するネットワーク１００を管理し、さらに、インターネットサービス利用者を管理するインターネットサービス利用者管理装置１１０００とインターネットサービス利用者のデータベース１１００１を所有している。

インターネットサービス提供利用者１０００１は被攻撃サーバ３を所有している。

攻撃対処事業者１０００３は、被疑パケット検出装置４、迂回指示装置５、攻撃パケット検出・対処装置２０１を所有し、さらに、攻撃対処サービスを管理する攻撃対処サービス管理装置１２０００と攻撃対処サービス利用者のデータベース１２００１を所有している。

次に、本実施形態の動作を説明する。

まず、インターネットサービス利用者１０００１は、利用しているコンピュータ３が攻撃を受けていると認識した場合、インターネットサービス提供事業者１０００２に攻撃対処依頼を行う（ステップ１００１１）。

それを受けたインターネットサービス提供事業者１０００２は、インターネットサービス利用者管理装置１１０００を通して、インターネットサービス利用者管理データベース１１００１にそのサービス利用を記録する。また、攻撃対処事業者１０００３に対し攻撃対処依頼を行う（ステップ１００１２）。

それを受けた攻撃対処事業者１０００３は、攻撃対処サービス管理装置１２０００を通して、攻撃対処サービス利用者管理データベース１２００１にそのサービス利用を記録する。また、攻撃対処サービス管理装置１２０００を通して、前記の手段により、攻撃パケットを対処するとともに、インターネットサービス提供事業者１０００２に対処費を請求する（ステップ１００１３）。

それを受けたインターネットサービス提供事業者１０００２は、攻撃対処結果を、インターネットサービス利用者管理装置１１０００を通して、インターネットサービス利用者管理データベース１１００１に記録し、インターネットサービス利用者１０００１に攻撃対処結果を提供するとともに対処費を請求する（ステップ１００１４）。

これに従い、インターネットサービス利用者１０００１は対処費をインターネットサービス提供事業者１０００２に支払い（ステップ１００１５）、インターネットサービス提供事業者１０００２は攻撃対処事業者１０００３に対処費を支払う（ステップ１００１６）。

インターネットサービス利用者１０００１から対処費を受領したインターネットサービス提供事業者１０００２は、インターネットサービス利用者管理装置１１０００を通して、インターネットサービス利用者管理データベース１１００１にその支払い情報を記録する。

インターネットサービス提供事業者１０００２から対処費を受領した攻撃対処事業者１０００３は、攻撃対処サービス管理装置１２０００を通して、攻撃対処サービス利用者管理データベース１２００１にその支払い情報を記録する。

本発明の第１の実施形態による攻撃パケット迂回システムの構成図である。 ＧＲＥトンネル（ＩＰ−ｉｎ−ＩＰトンネル）によりカプセル化されたパケットの構成を示す図である。 図１におけるトンネル機能付ルータ２２１の機能ブロック図である。 トンネル機能付ルータ２２１でのパケット受信時の処理フローを示す図である。 図１におけるパケット検出・対処装置２０１の機能ブロック図である。 本発明の効果を示す攻撃パケット迂回システムの構成図である。 図６に示したシステム構成で、攻撃コンピュータ１が攻撃パケットを送信している場合の処理の流れを示す図である。 図６に示したシステム構成で、正常コンピュータ２が被攻撃サーバ３へ正常パケットを転送している場合の処理の流れを示す図である。 本発明の第２の実施形態による攻撃パケット迂回システムの構成および各事業者間の処理のシーケンスを示す図である。 従来の攻撃パケット迂回システムの構成図である。 図１０に示したシステム構成で、攻撃コンピュータ１が被攻撃サーバ３へ攻撃パケットを送信している場合の処理の流れを示す図である。 図１０に示したシステム構成で、正常コンピュータ２が被攻撃サーバ３へ正常パケットを送信している場合の処理の流れを示す図である。 特許文献１の請求項８に記述されている攻撃パケット迂回システムの構成を示す図である。 図１３のシステム構成での処理の流れを示す図である。 問題点が発生するシステムの構成図である。

符号の説明

１ 攻撃コンピュータ
２ 正常コンピュータ
３ 被攻撃サーバ
４ 被疑パケット検出装置
５ 迂回指示装置
７ サーバ
４０ 攻撃コンピュータ
４１〜４３ アクセス回線
５１〜５３ ネットワーク回線
６１、８１〜８３ ネットワーク回線
１００ ネットワーク
２０１ 攻撃パケット検出・対処装置
２１１〜２１３ トンネル
２２１、２２２ トンネル機能付ルータ
２３１ ルータ
２００１ ルーティング部
２００２ カプセル化処理部
２００３ アクセス制御リスト更新部
２００４ トンネル情報テーブル
２００５ アクセス制御リスト
２００６ ルーティングテーブル
３００１ ＧＲＥトンネルのカプセル化用ヘッダ
３００２ ＧＲＥヘッダ
３００３ ＧＲＥトンネルの内側のＩＰ
３００４ ＩＰユーザデータ
４００１〜４００６ ステップ
７００１〜７０１６、７１０１〜７１１２ ステップ
６００１ デカプセル化処理部
６００２ トンネル情報テーブル
６００３ トンネルフローテーブル
６００４ 攻撃トンネル検出部
６００５ 攻撃パケット進入アクセス回線特定部
６００６ 攻撃パケット進入アクセス回線テーブル
６００７ 攻撃パケット対処・正常パケット送信部
１０００１ インターネットサービス利用者
１０００２ インターネットサービス提供事業者
１０００３ 攻撃対処事業者
１１０００ インターネットサービス利用者管理装置
１１００１ インターネットサービス利用者管理データベース
１２０００ 攻撃対処サービス管理装置
１２００１ 攻撃対処サービス利用者管理データベース
１００１１〜１００１６ ステップ

Claims (10)

1. 第１の装置で、ネットワークを疎通する被疑パケットを検出し、そのパケットを第２の装置から第３の装置へ迂回させ、該第３の装置では被疑パケットが攻撃であるか正常であるかを区別し、攻撃パケットの場合は、そのパケットを対処し、正常パケットの場合は、ネットワーク内に戻す攻撃パケット迂回システムにおいて、
   前記第２の装置は、ユーザを収容している回線であるアクセス回線とユーザを収容していない回線であるネットワーク回線とを区別する手段と、前記アクセス回線からのパケットを迂回させ、前記ネットワーク回線からのパケットを迂回させない手段とを有することを特徴とする攻撃パケット迂回システム。
2. 前記第２の装置と前記第３の装置の間にトンネルを設定する手段をさらに有する、請求項１記載の攻撃パケット迂回システム。
3. 前記第２の装置と前記第３の装置の間にアクセス回線毎にトンネルを設定する手段を有し、前記第２の装置が、各アクセス回線からのパケットを事前に決められたトンネルを使って迂回させる手段を有する、請求項２記載の攻撃パケット迂回システム。
4. 前記第２の装置は、前記アクセス回線から受信したパケットを前記第３の装置宛のトンネルへ転送するルールを有し、前記ネットワーク回線から受信したパケットを前記第３の装置宛のトンネルへ転送するルールを持たない、もしくは転送するのを禁止するルールを有する、請求項３記載の攻撃パケット迂回システム。
5. 前記ルールが記載されたテーブルが第１のルールテーブルと第２のルールテーブルからなり、該第１のルールテーブルには、アクセス回線から受信したパケットを前記第３の装置宛のトンネルへ転送するルールが記載され、該第２のルールテーブルには、ネットワーク回線から受信したパケットを前記第３の装置宛のトンネルへ転送するルールが記載されていない、もしくは転送するのを禁止するルールが記載され、
   パケットの受信時、前記第１のルールテーブルに基づきルーティング処理を行い、第１のルールテーブルでマッチしない場合、前記第２のルールテーブルでルーティング処理を行う、請求項４記載の攻撃パケット迂回システム。
6. 前記第３の装置は、迂回されたパケットから攻撃を検出する手段を有する、請求項２記載の攻撃パケット迂回システム。
7. 前記第３の装置は、迂回させた第１の装置または攻撃パケットが進入したアクセス回線を特定する手段を有する、請求項６記載の攻撃パケット迂回システム。
8. 前記第３の装置は、正常パケットを、入力した物理回線に戻す手段を有する、請求項６記載の攻撃パケット迂回システム。
9. 第１の装置で、ネットワークを疎通する被疑パケットを検出し、そのパケットを第２の装置から第３の装置へ迂回させ、該第３の装置では被疑パケットが攻撃であるか正常であるかを区別し、攻撃パケットの場合は、そのパケットを対処し、正常パケットの場合は、ネットワーク内に戻す攻撃パケット迂回システムにおいて、
   前記第２の装置において、ユーザを収容している回線であるアクセス回線とユーザを収容していない回線であるネットワーク回線を区別するステップと、前記アクセス回線からのパケットを迂回させ、前記ネットワーク回線からのパケットを迂回させないステップとを有することを特徴とする攻撃パケット迂回方法。
10. 被疑パケット検出装置で検出された、ネットワークを疎通する被疑パケットを、攻撃パケット検出し、対処する攻撃パケット検出・対処装置へ迂回させるトンネル機能付きルータであって、
    該ルータが収容しているアクセス回線毎の回線識別子、当該アクセス回線からのパケットの宛先アドレス、当該アクセス回線に対応するトンネルの識別子からなるアクセス制御リストと、
    該ルータが収容している端末のアドレスと、該端末との間の回線の識別子からなるルーティングテーブルと、
    攻撃パケット検出・対処装置のアドレスと、該攻撃パケット検出・対処装置とトンネル機能付きルータとの間のトンネルの識別子およびアドレスと、該トンネルを収容しているネットワーク回線の識別子とからなるトンネル情報テーブルと、
    受信したパケットの宛先アドレスと、該パケットを入力した回線により該パケットを転送すべきトンネルがあるか前記アクセス制御リストにより調べ、ない場合、前記ルーティングテーブルにしたがって出力回線を特定し、前記パケットを該出力回線に送信するルーティング処理を行うルーティング部と、
    前記パケットを転送すべきトンネルがある場合、前記トンネル情報テーブルから該トンネルに関連する送信元アドレスと攻撃パケット検出・対処装置のアドレスを取得し、関する情報を取得し、受信したパケットのカプセル化処理を行うカプセル化処理部と、
    迂回指示装置から、指定された宛先アドレスを持つパケットの迂回指示を受けた場合、前記アクセス制御リストの宛先アドレスとトンネル識別子を更新するアクセス制御リスト更新部と
    を有するトンネル機能付きルータ。

Images