JP2007267151A - 異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラム - Google Patents

Abstract

【課題】ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することを課題とする。
【解決手段】異常トラフィック検知装置２０は、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知する。具体的には、異常トラフィック検知装置２０は、特定のトランザクション処理の状態で、意図しないＳＩＰパケットを受信した場合や、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知する。
【選択図】 図１

Description

この発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知する異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムに関する。

従来より、悪意のあるユーザが、インターネット上のウェブサーバなどが提供するサービスを妨害する方法として、当該サーバに対して大量のパケットを送信することで、当該サーバの負荷を増加させてサービスを妨害するＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃がある。そして、近年では、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いたＩＰ電話の普及に伴い、ＳＩＰサーバあるいはＳＩＰクライアントがＤｏＳ攻撃の標的になる恐れが発生している。

そこで、このＤｏＳ攻撃を検知する方法として、Ｓｉｇｎａｔｕｒｅ−ｂａｓｅｄ検出方法（例えば、非特許文献１）とａｎｏｍａｌｙ−ｂａｓｅｄ検出方法（例えば、非特許文献２）などが知られている。

かかるＳｉｇｎａｔｕｒｅ−ｂａｓｅｄ検出方法は、過去の攻撃トラフィックを分析することにより、攻撃検知の基準となるパケットパターンを抽出し、抽出したパケットパターンと攻撃対象とされるサーバが受信するパケットとのマッチングにより攻撃検知を行う。

また、ａｎｏｍａｌｙ−ｂａｓｅｄ検出方法は、特定の送信先に通常より大幅に大量のトラヒックが発生し、トラフィック量が所定の閾値を超えた場合に攻撃と検知する。

ＳＮＯＲＴ、［online］、［平成１８年３月１３日検索］、インターネット＜http://www.snort.org/pub-bin/sigs-search.cgi?sid=ddos＞ ＣＩＳＣＯ、"Advanced Policy Procedures"、［online］、［平成１８年３月１３日検索］、インターネット＜http://www.cisco.com/univercd/cc/td/doc/product/secure/ad_g/ad_g_308/grdum/advpolcy.pdf＞

ところで、上記した非特許文献１に係る従来技術では、パケットパターンに規定するもののみ攻撃と検知するので、パケットパターンに規定していない新たな攻撃などに対しては、攻撃検知が確実でないという課題があった。

また、上記した非特許文献２に係る従来技術では、設定される所定の閾値は、通常のパケットレートの上限値であるので、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知してしまい、攻撃検知が正確でないという課題があった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することが可能である異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知する異常トラフィック検知装置であって、前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手段と、前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手段と、前記パケット監視手段により監視されるＳＩＰパケットと前記状態情報取得手段により取得された状態情報とから異常パケットを検知する異常検知手段と、を備えたことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記異常検知手段は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記異常検知手段は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする。

また、請求項４に係る発明は、上記の発明において、前記異常検知手段は、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定することを特徴とする。

また、請求項５に係る発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することに適する異常トラフィック検知方法であって、前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得工程と、前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視工程と、前記パケット監視工程により監視されるＳＩＰパケットと前記状態情報取得工程により取得された状態情報とから異常パケットを検知する異常検知工程と、を備えたことを特徴とする。

また、請求項６に係る発明は、上記の発明において、前記異常検知工程は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする。

また、請求項７に係る発明は、上記の発明において、前記異常検知方法は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする。

また、請求項８に係る発明は、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することをコンピュータに実行させる異常トラフィック検知プログラムであって、前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手順と、前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手順と、前記パケット監視手順により監視されるＳＩＰパケットと前記状態情報取得手順により取得された状態情報とから異常パケットを検知する異常検知手順と、をコンピュータに実行させることを特徴とする。

請求項１、５または８の発明によれば、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知するので、例えば、パケットパターンに規定していない新たな攻撃などを検知でき、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知することを防ぐことができる結果、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することが可能である。

また、請求項２または６の発明によれば、特定のトランザクション処理の状態で、当該処理状態では意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、特定のトランザクション処理に不必要なＳＩＰパケットを異常パケットとして検知することができる結果、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。

また、請求項３または７の発明によれば、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、通信状態が悪い場合に起こる再送処理を異常パケットとして誤検知することなく、また、必要以上の再送処理を異常パケットとして検知することができる結果、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。

また、請求項４の発明によれば、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定するので、例えば、何らかの原因で突発的に発生した異常パケットをすぐにＤｏＳ攻撃と判断しないなど、より正確にＤｏＳ攻撃を検知することが可能である。

以下に添付図面を参照して、この発明に係る異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムの実施例を詳細に説明する。

以下の実施例１では、本発明に係る異常トラフィック検知装置の概要および特徴、異常トラフィック検知装置の構成および処理の流れ、実施例１による効果等を順に説明する。

［異常トラフィック検知装置の概要および特徴］
まず最初に、図１を用いて、実施例１に係る異常トラフィック検知装置の概要および特徴を説明する。図１は、実施例１に係る異常トラフィック検知装置を含むシステムの全体構成を示すシステム構成図である。

図１に示すように、実施例１に係る異常トラフィック検知装置２０は、ＤｏＳ攻撃などからの保護対象とされるＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０とインターネットとの間に接続される。また、インターネットには、他の複数のＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０が接続され、さらに、ＤｏＳ攻撃などを行う悪意のあるユーザ端末装置（以下、ユーザ端末装置）４０も接続される。

ここで、ＳＩＰサーバ装置１０およびＳＩＰクライアント装置３０は、インターネットを介して、他のＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０とやりとりを行うＳＩＰパケットを用いて、ＳＩＰトランザクション処理を行う端末装置である。一方、ユーザ端末装置３０は、ＳＩＰトランザクション処理に不要であり、異常トラフィックを発生させる原因となるＳＩＰパケット（異常パケット）をＳＩＰサーバ装置１０やＳＩＰクライアント装置３０に送信する端末装置である。

このような構成のもと、実施例１に係る異常トラフィック検知装置２０は、ＳＩＰトランザクション処理を行うＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０に対する異常トラフィックを検知することを概要とするものであり、特に、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０へのＤｏＳ攻撃（異常トラフィックなど）を正確かつ確実に検知することが可能である点に主たる特徴がある。

この主たる特徴を具体的に説明すると、異常トラフィック検知装置２０は、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し（図１の（１））、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し（図１の（２））、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知する（図１の（３））。

これをより詳細に説明すると、異常トラフィック検知装置２０は、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０によるＳＩＰトランザクション処理の状態遷移ルールとして、ＳＩＰトランザクション処理を進行するにあたり、特定のトランザクション処理において、予想されるメッセージ種別などを記憶する（図４〜図８参照）。そして、異常トラフィック検知装置２０は、ＤｏＳ攻撃などからの保護対象とされるＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０がやりとりするＳＩＰパケットをネットワークから取り出し、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０におけるＳＩＰトランザクション処理の状態情報を推測するとともに、ＳＩＰパケットのヘッダーから、送信ＳＩＰパケットか受信ＳＩＰパケットか、新しいセッションか否か、レスポンスパケットか否かなどの情報を取得する。

そして、異常トラフィック検知装置２０は、状態遷移ルール（図４〜図８参照）を参照し、特定のトランザクション処理の状態で、意図しないＳＩＰパケットを受信した場合や、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知する。

このようなことから、実施例１に係る異常トラフィック検知装置２０は、例えば、パケットパターンに規定していない新たな攻撃などを検知でき、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知することを防ぐことができる結果、上記した主たる特徴のごとく、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃（異常トラフィックなど）を正確かつ確実に検知することが可能である。

［異常トラフィック検知装置の構成（実施例１）］
次に、図２を用いて、図１に示した異常トラフィック検知装置２０の構成を説明する。図２は、異常トラフィック検知装置２０の構成を示すブロック図である。同図に示すように、この異常トラフィック検知装置２０は、通信制御Ｉ／Ｆ部２１と、記憶部２２と、パケット処理部２３と、異常パケットカウント部２４と、異常パケット処理部２５とから構成される。

かかる通信制御Ｉ／Ｆ部２１は、ＳＩＰサーバ装置１０やＳＩＰクライアント装置３０など外部装置との間でやり取りする各種情報に関する通信を制御する手段である。具体的には、ＳＩＰサーバ装置１０やＳＩＰクライアント装置３０など外部装置との間でやり取りされるパケットをネットワークから取り出して受信する。

記憶部２２は、異常パケットの検知処理に必要なデータを格納する格納手段（記憶手段）であり、特に本発明に密接に関連するものとしては、状態遷移テーブル２２ａと、状態遷移ルール２２ｂとを備える。

このうち、状態遷移テーブル２２ａは、ＳＩＰトランザクション処理の状態遷移をリアルタイムに記憶する手段であり、具体的には、図３に示すように、ＳＩＰトランザクション処理（セッション）ごとに、セッションＩＤ、トランザクションタイプ、最新パケット受信時間などを対応付けて記憶して構成される。なお、図３は、状態遷移テーブルの構成例を示す図である。

例えば、図３に示すように、ＳＩＰトランザクション処理（セッション）ごとに、「ＳｅｓｓｉｏｎＩＤ、ＴｒａｎｓａｃｔｉｏｎＴｙｐｅ、Ｓｅｓｓｉｏｎ開始時間、ＣｕｒｅｎｔＳｔａｔｅ、最新パケット受信時間、ＥｒｒｏｒＣｏｕｎｔ」として、「ａａａ、ＩＮＶＩＴＥ ＳＴ、３ Ｆｅｂ ２００６ ２０：４０：０１、Ｐｒｏｃｅｅｄｉｎｇ、３ Ｆｅｂ ２００６ ２０：４０：０３、０」などを記憶する。

状態遷移ルール２２ｂは、ＳＩＰトランザクション処理の状態遷移ルールを記憶する手段であり、具体的には、図４〜図８に示すように、ＳＩＰトランザクション処理を進行するにあたり、特定のトランザクション処理において、予想されるメッセージ種別などを記憶する。なお、図４は、ＳＩＰパケットを受信した際に遷移するＳＩＰトランザクション状態を示した図であり、図５は、「ＩＮＶＩＴＥ ＳＴ」状態を詳細に示した図であり、図６は、「ＩＮＶＩＴＥ ＣＴ」状態を詳細に示した図であり、図７は、「Ｎｏｎ＿ＩＮＶＩＴＥ ＳＴ」状態を詳細に示した図であり、図８は、「Ｎｏｎ＿ＩＮＶＩＴＥ ＣＴ」状態を詳細に示した図である。なお、「ＳＴ」とは、ＳＩＰサーバ装置のＳＩＰトランザクション処理で遷移する状態であり、「ＣＴ」は、ＳＩＰクライアント装置のＳＩＰトランザクション処理で遷移する状態である。

ここで、図４〜図８を簡単に説明すると、まず、図４に示すように、ＳＩＰサーバ装置１０は、新しいセッションのＳＩＰパケットであって、種別がＩＮＶＩＴＥであるセッション開始のＳＩＰパケットを受信した場合、中心の「アイドリング」状態から「ＩＮＶＩＴＥ ＳＴ」状態へ遷移し、また、新しいセッションのＳＩＰパケットであって、ＩＮＶＩＴＥ以外のパケット（例えば、Ｒｉｎｇｉｎｇ、ＯＫ、ＡＣＫなど）を受信した場合、「アイドリング」状態から「Ｎｏｎ＿ＩＮＶＩＴＥ ＳＴ」状態へ遷移する。同様に、ＳＩＰクライアント装置３０は、新しいセッションのＳＩＰパケットであって、種別がＩＮＶＩＴＥであるセッション開始のＳＩＰパケットを受信した場合、中心の「アイドリング」状態から「ＩＮＶＩＴＥ ＣＴ」状態へ遷移し、また、新しいセッションのＳＩＰパケットであって、ＩＮＶＩＴＥ以外のパケット（例えば、Ｒｉｎｇｉｎｇ、ＯＫ、ＡＣＫなど）を受信した場合、「アイドリング」状態から「Ｎｏｎ＿ＩＮＶＩＴＥ ＣＴ」状態へ遷移する。

一方、ＳＩＰサーバ装置１０およびＳＩＰクライアント装置３０は、新しいセッションのＳＩＰパケットであるが、存在しないセッションのｒｅｓｐｏｎｓｅを受信した場合、「ＥＲＲＯＲ」状態へ遷移する。つまり、存在しないセッションのｒｅｓｐｏｎｓｅを受信した場合、異常トラフィック検知装置２０は、「存在しないセッションのｒｅｓｐｏｎｓｅ」を「不要パケット」として検知する。

続いて、図５〜図８に示した各トランザクション処理の状態のうちから、図５を用いて、「ＩＮＶＩＴＥ ＳＴ」状態を詳細に説明すると、ＳＩＰサーバ装置１０において、ＳＩＰトランザクション処理の「ＩＮＶＩＴＥ ＳＴ」状態は、「Ｐｒｏｃｅｅｄｉｎｇ」と「Ｃｏｍｐｌｅｔｅｄ」と「Ｃｏｎｆｉｒｍｅｄ」と「Ｔｅｒｍｉｎａｔｅｄ」と「Ｅｒｒｏｒ」との５つのＳｔａｔｅから構成される。

例えば、ＳＩＰサーバ装置１０が「アイドリング」状態から「ＩＮＶＩＴＥ ＳＴ」状態へ遷移すると、ＳＩＰサーバ装置１０におけるＳＩＰトランザクション状態は、「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態となる。その後、ＳＩＰサーバ装置１０が、「ＩＮＶＩＴＥ」または「１ｘｘ」種別のＳＩＰパケットを受信すると、「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態のままであり、「３００〜６９９」種別のＳＩＰパケットを送信すると、「Ｃｏｍｐｌｅｔｅｄ」Ｓｔａｔｅ状態に遷移し、「２ｘｘ」または「transport error」種別のＳＩＰパケットを受信すると、「Ｔｅｒｍｉｎａｔｅｄ」Ｓｔａｔｅ状態に遷移する。なお、「１ｘｘ」はＳＩＰパケットのｉｎｆｏｒｍａｔｉｏｎａｌレスポンスパケットを示し、「２ｘｘ」は、ｓｕｃｃｅｓｓレスポンスパケットを示し、「３００−６９９」はエラーレスポンスパケットを示している。

ところが、ＳＩＰサーバ装置１０におけるＳＩＰトランザクション状態がこの「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態である場合に、ＳＩＰサーバ装置１０が、「非ＩＮＶＩＴＥ」種別のＳＩＰパケットを受信、または、「ＩＮＶＩＴＥ」再送回数が閾値以上となった場合、ＳＩＰトランザクション状態は、「Ｐｒｏｃｅｅｄｉｎｇ」から「Ｅｒｒｏｒ」Ｓｔａｔｅに遷移する。つまり、異常トラフィック検知装置２０は、ＳＩＰサーバ装置１０におけるＳＩＰトランザクション状態が「Ｐｒｏｃｅｅｄｉｎｇ」Ｓｔａｔｅ状態である場合に、「非ＩＮＶＩＴＥ」種別のＳＩＰパケットを検知、または、「ＩＮＶＩＴＥ」再送回数が閾値以上となった場合、それぞれ起因となるＳＩＰパケットを「不要パケット」として検知する。

このように、図４に示したＳＩＰパケットを受信した際に遷移するＳＩＰトランザクション状態、または、図５〜図８に示したそれぞれの詳細なＳＩＰトランザクション状態において、異常トラフィック検知装置２０は、状態を遷移させるために意図しないＳＩＰパケットを検知した場合や、あるパケットの再送回数が閾値以上となった場合に、当該ＳＩＰパケットを「不要パケット」として検知する。

図２の説明に戻ると、パケット処理部２３は、通信制御Ｉ／Ｆ部２１にて受信したパケットからＳＩＰに関する情報を取得し、ＳＩＰパケットを制御する手段であり、特に本発明に密接に関連するものとしては、パケット監視部２３ａと、状態情報取得部２３ｂと、異常検知部２３ｃと、攻撃検出部２３ｄとから構成される。なお、パケット監視部２３ａは、特許請求の範囲に記載の「パケット監視手段」に対応し、同様に、状態情報取得部２３ｂは、「状態情報取得手段」に対応し、異常検知部２３ｃと攻撃検出部２３ｄは、「異常検知手段」に対応する。

このうち、パケット監視部２３ａは、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０のＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視する手段であり、具体的には、通信制御Ｉ／Ｆ部２１で取り出されたＳＩＰパケットを監視し、ＳＩＰパケットのヘッダーから各種情報を取得する。例えば、ＳＩＰパケットのヘッダーから、送信ＳＩＰパケットか受信ＳＩＰパケットか、新しいセッションか否か、レスポンスパケットか否かなどの情報を取得する。

また、状態情報取得部２３ｂは、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する手段であり、具体的には、状態遷移ルール２２ｂに記憶されたルールやパケット監視部２３ａにより取得された情報により、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０におけるＳＩＰトランザクション処理の状態情報を推測し、状態遷移テーブル２２ａに書き込む。なお、状態情報取得部２３ｂは、新しいセッション、かつ、セッション数が上限値を超えるか否かを判定し、上限数を超えない場合に、新たなトランザクション処理として、状態遷移テーブル２２ａに新しいテーブルを作成する。

異常検知部２２ｃは、パケット監視部２２ａにより監視されるＳＩＰパケットと状態情報取得部２２ｂにより取得された状態情報とから異常パケット（不要パケット）を検知する手段である。具体的には、状態遷移ルール２２ｂに記憶されたルールを参照し、特定のトランザクション処理の状態で、意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検知し、同一のトランザクション処理の状態で、ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知する。言い換えれば、異常検知部２２ｃは、状態遷移ルール２２ｂに記憶されたルールを参照し、ＳＩＰパケットを受信したことによってトランザクション処理の状態が「Ｅｒｒｏｒ」状態に遷移した場合に、そのＳＩＰパケットを異常パケットとして検知する（図５〜図８参照）。

また、異常検知部２２ｃは、新しいセッションのＳＩＰパケットを受信した場合、当該ＳＩＰパケットがレスポンスパケットか否かを判定し、レスポンスパケットである場合、そのＳＩＰパケットを異常パケットとして検知する（図４参照）。なお、レスポンスパケットである場合、後述する異常パケットカウント部２５により異常パケットとしてカウントされる。一方、レスポンスパケットでない場合、状態情報取得部２３ｂによりセッション状態上限数が超過するか否かが判定される。

攻撃検出部２３ｄは、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定する手段であり、具体的には、意図しないＳＩＰパケットを受信した場合やレスポンスパケットを受信した場合など、異常検知部２２ｃにより異常パケットとして検知されたパケット数が後述する異常パケットカウント部２５にてカウントされ、所定の閾値以上になった場合に、攻撃を受けていると判定する。

そして、異常パケットカウント部２５は、異常パケット数をカウントする手段であり、具体的には、異常検知部２２ｃにより異常パケットとして検知されたパケット数をカウントする。

異常パケット処理部２６は、検知された異常パケットを処理する手段であり、具体的には、異常検知部２２ｃにより検知された異常パケットを破棄したり、攻撃検出部２３ｄによる攻撃検知に応じて警報処理を行ったりなど、攻撃に対する適切な処理を行う。

［異常トラフィック検知装置による処理（実施例１）］
次に、図９を用いて、実施例１に係る異常トラフィック検知装置２０による処理を説明する。図９は、実施例１に係る異常トラフィック検知処理の流れを示すフローチャートである。

図９に示すように、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０にてＳＩＰパケットの送受信が行われると（ステップＳ９０１肯定）、異常トラフィック検知装置２０の通信制御Ｉ／Ｆ部２１は、送受信されるＳＩＰパケットをネットワークから取り出して受信する（ステップＳ９０２）。

そして、異常トラフィック検知装置２０のパケット監視部２３ａは、ＳＩＰパケットのヘッダーから各種情報を取得する（ステップＳ９０３）。続いて、状態情報取得部２３ｂは、パケット監視部２３ａにより取得したヘッダー情報から当該ＳＩＰパケットが新しいセッションのパケットか否かを判定する（ステップＳ９０４）。

その後、新しいセッションのパケットでない場合（ステップＳ９０４否定）、状態情報取得部２３ｂは、状態遷移テーブル２２ａに該当セッションの状態をアップデートする（ステップＳ９０５）。続いて、状態情報取得部２３ｂは、当該トランザクションの状態がＥｒｒｏｒか否か、つまり、異常か否かを判定する（ステップＳ９０６）。

そして、Ｅｒｒｏｒでない、つまり、異常でない場合（ステップＳ９０６否定）、異常トラフィック検知装置２０は、処理を終了し、次のパケットを監視する。一方、Ｅｒｒｏｒである、つまり、異常である場合（ステップＳ９０６肯定）、状態情報取得部２３ｂは、異常パケット発生を異常パケットカウント部２５に通知し、異常パケットカウント部２５は、異常パケットをカウントし（ステップＳ９０８）、攻撃検出部２３ｄは、異常パケット数が閾値超過したか否かを判定する（ステップＳ９０９）。

一方、上記したステップＳ９０４に戻り、新しいセッションのＳＩＰパケットである場合（ステップＳ９０４肯定）、異常検知部２３ｃは、当該ＳＩＰパケットがレスポンスパケットか否かを判定する（ステップＳ９０７）。

そして、レスポンスパケットである場合（ステップＳ９０７肯定）、異常検知部２３ｃは、異常パケット発生を異常パケットカウント部２５に通知し、異常パケットカウント部２５は、異常パケットをカウントする（ステップＳ９０８）。その後、攻撃検出部２３ｄは、異常パケット数が閾値超過したか否かを判定する（ステップＳ９０９）。

続いて、異常パケット数が閾値超過した場合（ステップＳ９０９肯定）、攻撃検出部２３ｄは、攻撃を受けていると判定し、攻撃を検出する（ステップＳ９１０）。一方、異常パケット数が閾値超過していない場合（ステップＳ９０９否定）、異常トラフィック検知装置２０は、処理を終了し、次のパケットを監視する。

一方、上記したステップＳ９０７に戻り、ＳＩＰパケットがレスポンスパケットでない場合（ステップＳ９０７否定）、状態情報取得部２３ｂは、セッション数が上限値を超過したか否かを判定する（ステップＳ９１１）。

そして、セッション数が上限値を超過した場合（ステップＳ９１１肯定）、異常検知部２３ｃは、異常パケット発生を異常パケットカウント部２５に通知し、異常パケットカウント部２５は、異常パケットをカウントし（ステップＳ９０８）、攻撃検出部２３ｄは、異常パケット数が閾値超過したか否かを判定する（ステップＳ９０９）。

一方、セッション数が上限値を超過していない場合（ステップＳ９１１否定）、状態情報取得部２３ｂは、状態遷移テーブル２２ａに新しいエントリを追加する（ステップＳ９１２）。その後、異常トラフィック検知装置２０は、処理を終了し、次のパケットを監視する。

［実施例１による効果］
このように、実施例１によれば、ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得し、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視されるＳＩＰパケットと取得された状態情報とから異常パケットを検知するので、例えば、パケットパターンに規定していない新たな攻撃などを検知でき、攻撃以外の正規ユーザからの集中アクセスも攻撃と誤検知することを防ぐことができる結果、ＳＩＰサーバ装置１０あるいはＳＩＰクライアント装置３０へのＤｏＳ攻撃を正確かつ確実に検知することが可能である。

また、実施例１によれば、特定のトランザクション処理の状態で、当該処理状態で意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、特定のトランザクション処理に不必要なＳＩＰパケットを異常パケットとして検知することができる結果、ＳＩＰサーバ装置１０あるいはＳＩＰクライアント装置３０へのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。

また、実施例１によれば、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超過した場合に、ＳＩＰパケットを異常パケットとして検知するので、例えば、通信状態が悪い場合に起こる再送処理を異常パケットとして誤検知することなく、また、必要以上の再送処理を異常パケットとして検知することができる結果、ＳＩＰサーバ装置１０あるいはＳＩＰクライアント装置３０へのＤｏＳ攻撃をより正確かつ確実に検知することが可能である。

また、実施例１によれば、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定するので、例えば、何らかの原因で突発的に発生した異常パケットをすぐにＤｏＳ攻撃と判断しないなど、より正確にＤｏＳ攻撃を検知することが可能である。

また、実施例１では、ＳＩＰサーバ装置１０またはＳＩＰクライアント装置３０に対する異常トラフィックを別々の異常トラフィック検知装置２０で検知する場合を説明したが、本発明はこれに限定されるものではなく、ＳＩＰクライアント装置１０またはＳＩＰサーバ装置３０との両方に対する異常トラフィックを１台の異常トラフィック検知装置２０で検知するようにしてもよい。

ところで、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）システム構成等、（２）プログラムにそれぞれ区分けして実施例２として説明する。

（１）システム構成等
例えば、図１０に示したように、ＳＩＰサーバ装置とＳＩＰクライアント装置とが各々インターネットと接続されている中間に異常トラフィック検知装置を接続するようにしてもよい。これにより、既存のシステムに付加的に異常トラフィック検知装置を挿入することが可能である。

また、図１１に示したように、ＳＩＰサーバ装置とＳＩＰクライアント装置とが各々インターネットと接続されている中間に、ｔａｐなどを用いて、異常トラフィック検知装置を接続するようにしてもよい。これにより、既存のシステムに付加的に異常トラフィック検知装置を挿入することが可能である。

また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図２に示した異常トラフィック検知装置２０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち異常トラフィック検知装置２０の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる（例えば、異常パケット処理部２５をパケット処理部２３に統合するなど）。さらに、異常トラフィック検知装置２０にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（２）プログラム
なお、上記の実施例では、本発明を実現する異常トラフィック検知装置２０を機能面から説明したが、異常トラフィック検知装置２０の各機能はパーソナルコンピュータやワークステーションなどのコンピュータにプログラムを実行させることによって実現することもできる。すなわち、上記の実施例で説明した各種の処理手順（例えば、図９参照）は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。つまり、例を挙げれば、実施例に示したような異常トラフィック検知プログラムを格納したＣＤ−ＲＯＭ（装置ごとに別個のＣＤ−ＲＯＭであってもよい）を配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい（図１２参照）。

以上のように、本発明に係る異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラムは、ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することに有用であり、特に、ＳＩＰサーバあるいはＳＩＰクライアントへのＤｏＳ攻撃を正確かつ確実に検知することに適する。

実施例１に係る異常トラフィック検知装置を含むシステムの全体構成を示すシステム構成図である。 実施例１に係る異常トラフィック検知装置の構成を示すブロック図である。 状態遷移テーブルの構成例を示す図である。 ＳＩＰトランザクション状態を示す図である。 ＩＮＶＩＴＥ ＳＴ状態を詳細に示す図である。 ＩＮＶＩＴＥ ＣＴ状態を詳細に示す図である。 Ｎｏｎ＿ＩＮＶＩＴＥ ＳＴ状態を詳細に示す図である。 Ｎｏｎ＿ＩＮＶＩＴＥ ＣＴ状態を詳細に示す図である。 異常トラフィック検知処理の流れを示すフローチャートである。 異常トラフィック検知装置を用いたシステムの例を示す図である。 異常トラフィック検知装置を用いたシステムの例を示す図である。 異常トラフィック検知プログラムを用いたコンピュータシステムの例を示す図である。

符号の説明

１０ ＳＩＰサーバ装置
２０ 異常トラフィック検知装置
２１ 通信制御Ｉ／Ｆ部
２２ 記憶部
２２ａ 状態遷移テーブル
２２ｂ 状態遷移ルール
２３ パケット処理部
２３ａ パケット監視部
２３ｂ 状態情報取得部
２３ｃ 異常検知部
２３ｄ 攻撃検出部
２４ 異常パケットカウント部
２５ 異常パケット処理部
３０ ＳＩＰクライアント装置
４０ 悪意のあるユーザ端末装置

Claims (8)

1. ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知する異常トラフィック検知装置であって、
   前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手段と、
   前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手段と、
   前記パケット監視手段により監視されるＳＩＰパケットと前記状態情報取得手段により取得された状態情報とから異常パケットを検知する異常検知手段と、
   を備えたことを特徴とする異常トラフィック検知装置。
2. 前記異常検知手段は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項１に記載の異常トラフィック検知装置。
3. 前記異常検知手段は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項１または２に記載の異常トラフィック検知装置。
4. 前記異常検知手段は、検知した異常パケットの数が所定の閾値以上になった場合に、攻撃を受けていると判定することを特徴とする請求項１〜３のいずれか一つに記載の異常トラフィック検知装置。
5. ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することに適する異常トラフィック検知方法であって、
   前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得工程と、
   前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視工程と、
   前記パケット監視工程により監視されるＳＩＰパケットと前記状態情報取得工程により取得された状態情報とから異常パケットを検知する異常検知工程と、
   を備えたことを特徴とする異常トラフィック検知方法。
6. 前記異常検知工程は、特定のトランザクション処理の状態で、当該処理状態では意図しない当該ＳＩＰパケットを受信した場合に、前記ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項５に記載の異常トラフィック検知方法。
7. 前記異常検知方法は、同一のトランザクション処理の状態で、前記ＳＩＰパケットの再送回数が所定の閾値を超過した場合に、当該ＳＩＰパケットを異常パケットとして検知することを特徴とする請求項５または６に記載の異常トラフィック検知方法。
8. ＳＩＰトランザクション処理を行うＳＩＰクライアント装置および／またはＳＩＰサーバ装置に対する異常トラフィックを検知することをコンピュータに実行させる異常トラフィック検知プログラムであって、
   前記ＳＩＰトランザクション処理の状態情報をＳＩＰパケットのヘッダーから取得する状態情報取得手順と、
   前記ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視するパケット監視手順と、
   前記パケット監視手順により監視されるＳＩＰパケットと前記状態情報取得手順により取得された状態情報とから異常パケットを検知する異常検知手順と、
   をコンピュータに実行させることを特徴とする異常トラフィック検知プログラム。

Images