JP2008252221A - ＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおける攻撃防御方法及びＤｏＳ攻撃防御装置 - Google Patents

Abstract

【課題】既存のネットワーク機器に変更を施すことなく、正規の利用者へのサービスを確保しながら、攻撃に対処する。
【解決手段】ＤｏＳ攻撃防御装置は、通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視する。このＤｏＳ攻撃防御装置は、前記パケットを受信するパケット受信手段と、受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段とを備える。これにより、ＤｏＳ攻撃防御装置は、正規ＳＩＰ端末の行う登録要求における処理パケットの監視によって正規ＳＩＰ端末のアドレスを把握しているので、送信元アドレスをパケットごとに変更するような攻撃が行われても、正規のパケットとそれ以外のパケットとを識別することができる。
【選択図】図２

Description

本発明は、ＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムに関するものであって、特に、ＳＩＰサーバに対するＤｏＳ攻撃への対策において、既存のネットワーク機器へ変更を施すことなく、正規の利用者へのサービスを確保しながら、ＤｏＳ攻撃に対処することを可能にするＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムに関する。

従来、電話サービスをＩＰ（Internet Protocol）ネットワーク上で実現するＶｏＩＰ（Voice over Internet Protocol）システムが、コスト削減の可能性などの理由から、普及しつつある。

このＶｏＩＰシステムに使用されるプロトコルとして代表的なものが、ＳＩＰ（（Session Initiation Protocol）（ＲＦＣ３２６１））である。

しかしながら、ＩＰネットワーク上のＷｅｂ（world wide web）システムやメールシステムと同じように、ＶｏＩＰシステムもネットワークを介した攻撃にさらされる恐れがある。

ネットワークを介した攻撃の代表的なものとしては、ＤｏＳ（Denial of service）攻撃があげられる。

このＤｏＳ攻撃とは、例えば、サーバに対してその処理能力を超える量のリクエストを送ることにより、サービス妨害やサーバダウン(自動復旧不可能なサービス停止状態)を引き起こすものである。

そこで、ネットワークを介してサービスを提供するシステムをＤｏＳ攻撃から防御するために、トラフィックの監視などによって、ＤｏＳ攻撃を受けていることを検出する方法などが提案されている。

そして、攻撃パケット追跡方法や、アクセス管理方法などに関するものが、特許文献１及び２に記載されている。
特開２００３−３３３０９２号公報 特開２００６−０２５３５４号公報

ところが、ＤｏＳ攻撃は、攻撃パケットを特定されブロックされることを避けるために、しばしば送信元アドレスをランダムに詐称したパケットによって行われる。

この場合、攻撃パケットの識別は困難であり、以下のような問題が起きる。

第１の問題点として、攻撃を受けていることを検出できたとしても、正規のパケットと攻撃パケットとを識別できなければ、サーバの処理負荷を低減するためにサーバへ向かうパケットの間引や遮断などの処置を正規のパケットも含めて行わなくてはならなくなり、サーバダウンを避けることはできても、サービス妨害は避けられない。

また、攻撃が送信元アドレスをランダムに詐称したパケットによって行われるような場合には、正規のパケットと攻撃パケットとを識別して遮断する従来の方法として、次のようなものがある。

まず、第１の方法としては、事前に正規の端末を防御システムに登録しておくことにより、正規のパケットと攻撃パケットを判別する。

また、第２の方法としては、攻撃パケットの経路上に存在する装置（ルータ等）との協働により、この装置を用いて攻撃パケットを追跡し対処する。

第１の方法に該当する例としては、守るべきサーバの前段にファイアウォールを設置し、既知の正規端末のアドレスを送信元とするパケットのみの通過を許可するように設定しておくことが考えられる。

しかしながら、このような方法には、次の問題がある。

第２の問題点として、端末のアドレスの変更や新しい端末の導入の都度、登録が必要である。

例えば、ＤＨＣＰ（dynamic host configuration protocol）などにより、端末が動的にＩＰアドレスを取得するような場合には、端末を登録することが困難となる。

また、第２の方法に該当する例として、先行技術の特許文献１（特開２００３−３３３０９２号公報）には、以下のような攻撃パケット追跡方法に関するものが記載されている。

特許文献１に記載の攻撃パケット追跡方法に関するものには、ＤｏＳ攻撃の攻撃対象となるホストのアクセス回線を収容したエッジルータがＤｏＳ攻撃を検出すると、次に当該エッジルータが近隣ルータに対して攻撃対象ホスト宛パケットの監視要請を行い、ＤｏＳ攻撃を検出した近隣ルータが、更に近隣ルータに対して攻撃対象ホスト宛パケットの監視要請を行い、その後、ＤｏＳ攻撃を検出したルータが、次々と近隣ルータに対して攻撃対象ホスト宛パケットの監視要請を行うことによって攻撃元を追跡する、という方法が提案されている。

しかしながら、このような方法には、次の問題がある。

第３の問題点として、攻撃元から攻撃対象へ至る経路上に、攻撃対策のための特殊な機能を持つ装置を導入し、配置する必要がある。

この場合、攻撃元から攻撃対象までの経路上のネットワークが複数の事業者によって運営されている場合には、複数の事業者の協調が必要となり、現実的でない。

また、特許文献２に記載されたアクセス管理サーバには、ユーザ認証を行うことによってパケットをフィルタリングするものが記載されている。

従って、特許文献２に記載されたアクセス管理サーバは、ユーザ認証によってパケットを許可するか破棄するかを判断しているに過ぎず、ＤｏＳ攻撃の対象になった場合には、ユーザ認証による判断だけでは、ＤｏＳ攻撃に対処することができない。

本発明は、上記問題点に鑑みてなされたものであり、既存のネットワーク機器に変更を施すことなく、正規の利用者へのサービスを確保しながら、攻撃に対処するＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムを実現することを目的とする。

本発明に係るＤｏＳ攻撃防御装置は、通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置であって、前記パケットを受信するパケット受信手段と、受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段と、を備えることを特徴とする。

また本発明に係るＤｏＳ攻撃防御装置は、前記パケット送信手段が、受信した前記パケットが防御対象であるサーバから送信され、当該パケットが当該サーバへの登録要求に対する認証応答であって成功である場合には、当該パケットの宛先アドレスを記憶すると共に、当該パケットを前記宛先アドレスへ送信し、受信した前記パケットが防御対象である前記サーバから送信され、当該パケットが当該サーバへの登録要求に対する認証応答であって成功でない場合には、当該パケットを前記宛先アドレスへ送信するようにしても良い。

また本発明に係るＤｏＳ攻撃防御装置は、前記パケット送信手段が、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、送信元のアドレスが記憶されている場合には、当該パケットを送信し、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、レート閾値を超えていないか検査して、当該レート閾値を超えていない場合には、当該パケットを送信し、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、前記レート閾値を超えていないか検査して、当該レート閾値を超えている場合には、当該パケットを破棄するようにしても良い。

また本発明に係るＤｏＳ攻撃防御装置は、前記パケット送信手段が、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されており、前記アドレス毎の前記レート閾値を超えている場合には、当該パケットを破棄し、また、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されておらず、当該サーバへの登録要求ではない場合には、当該パケットを破棄するようにしても良い。

本発明によれば、ＤｏＳ攻撃防御装置が、通信端末と送受信されるパケットを監視することにより、通信端末のアドレスを把握しているので、送信元アドレスをパケットごとに変更するような攻撃が行われても、正規のパケットとそれ以外のパケットとを識別することができる。

これにより、通信端末やサーバを含む既存のネットワーク上の装置に変更する必要がないので、かくして、既存のネットワーク機器に変更を施すことなく、正規の利用者へのサービスを確保しながら、攻撃に対処するＤｏＳ攻撃防御システム、ＤｏＳ攻撃防御システムにおける攻撃防御方法、ＤｏＳ攻撃防御装置、ＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法及びＤｏＳ攻撃防御プログラムを実現できる。

次に、本発明の実施の形態の構成について図面を参照して詳細に説明する。
（第１の実施の形態）
（１）第１の実施の形態によるＤｏＳ攻撃防御装置を備えたＤｏＳ攻撃防御システム
（１−１）ＤｏＳ攻撃防御システムの構成
図１を参照すると、第１の実施の形態によるＤｏＳ攻撃防御システムは、正規ＳＩＰ端末（本発明に係る通信端末に該当する。）１と、攻撃ＳＩＰ端末２と、防御装置（本発明に係るＤｏＳ攻撃防御装置に該当する。）３と、防御対象ＳＩＰサーバ４と、外部ＳＩＰサーバ５と、外部ＳＩＰ端末６と、ネットワーク７から９とを備えている。

また、正規ＳＩＰ端末１と、攻撃ＳＩＰ端末２と、外部ＳＩＰサーバ５と、防御装置３は、ネットワーク８に接続される。

外部ＳＩＰ端末６と、外部ＳＩＰサーバ５は、ネットワーク７に接続される。

防御対象ＳＩＰサーバ４と、防御装置３は、ネットワーク９に接続される。

正規ＳＩＰ端末１は、正規の利用者の使用する、例えば、電話機である。なお、本実施の形態では、正規ＳＩＰ端末１の１台により代表して説明しているが、通常は複数台存在する。

攻撃ＳＩＰ端末２は、攻撃者の操作する、具体的には、計算機である。攻撃ＳＩＰ端末２は、防御対象ＳＩＰサーバ４に対し、ＤｏＳ攻撃を行う。

防御装置３は、攻撃ＳＩＰ端末２の攻撃から、防御対象ＳＩＰサーバ４を守る。

また、正規ＳＩＰ端末１の行う全てのＳＩＰ通信は、防御対象ＳＩＰサーバ４でのプロキシ処理を経由して行われる。

また、外部ＳＩＰ端末６の行う全てのＳＩＰ通信は、外部ＳＩＰサーバ５でのプロキシ処理を経由して行われる。

ここで言うプロキシ処理とは、ＳＩＰサーバが、受信したＳＩＰメッセージに情報を追加し、新たなパケットを生成して、ＳＩＰメッセージを転送する処理である。

なお、本実施の形態では、外部ＳＩＰサーバ５を、既知のアドレスを持つ信用すべきノードを代表するものとして構成に含めている。

なお、防御装置３は、ファイアウォールやＩＤＳ（Intrusion Detection System）のように、ルータやブリッジとして実現される。

従って、正規ＳＩＰ端末１や防御対象ＳＩＰサーバ４の上でＳＩＰの処理を行うプログラムからは、防御装置３は見えない。

但し、本実施の形態のように、防御装置３と防御対象ＳＩＰサーバ４とを別個の装置とすることが望ましい実施の形態であるが、本実施の形態の防御装置３により実施される処理を行う防御プログラム（本発明に係るＤｏＳ攻撃防御プログラムに該当する。）を、防御対象ＳＩＰサーバ４上に搭載してもよい。その場合、防御プログラムはＯＳのカーネル内で実行されることが望ましい。
（１−２）ＤｏＳ攻撃防御システムにおける防御装置の構成
次に、防御装置３の構成を図２に示す。

図２に示す防御装置３は、パケット入力部３１と、レスポンス解析部３２と、アドレス記憶部３３と、アドレス検査部３４と、パケット出力部３５と、レート制限部３６と、ネットワークインタフェース３０１及び３０２と、アドレス登録部３０３と、閾値登録部３０４とを備えている。

ネットワークインタフェース３０１及び３０２は、受信したパケットをパケット入力部３１へ渡し、また、パケット出力部３５より渡されたパケットをネットワーク８又は９へ送出する。

ネットワークインタフェース３０２は、ネットワーク９に接続され、防御対象ＳＩＰサーバ４との間でパケットを送受信する。

ネットワークインタフェース３０１は、ネットワーク８に接続され、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、外部ＳＩＰサーバ５との間でパケットを送受信する。

なお、本実施の形態では、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、外部ＳＩＰサーバ５が同じネットワーク８に接続され、それらとパケットの送受信を行う防御装置３上のネットワークインタフェースも３０１の１つのみとしているが、本実施の形態はこれに限定されるものではなく、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、外部ＳＩＰサーバ５のそれぞれが、別個のネットワークに接続され、防御装置３上の別個のネットワークインタフェースと接続されてもよい。

パケット入力部３１は、ネットワークインタフェース３０１または３０２により、正規ＳＩＰ端末１、攻撃ＳＩＰ端末２、防御対象ＳＩＰサーバ４、外部ＳＩＰサーバ５から送られてきたパケットが渡され、防御対象ＳＩＰサーバ４から送られてきたパケットをレスポンス解析部３２へ転送し、防御対象ＳＩＰサーバ４へ向けて送られたパケットをアドレス検査部３４へ渡す。

なお、パケットの方向は、例えば、パケット入力部３１にパケットを渡したネットワークインタフェースが３０１であるのか、或いは、ネットワークインタフェース３０２であるのかに基づいて知ることができる。

レスポンス解析部３２は、受け取ったパケットのペイロードに記載されたＳＩＰメッセージを解析し、それが登録要求に対する認証応答であって成功であれば、登録要求を発行したＳＩＰ端末のアドレスをアドレス記憶部３３へ登録する。

ここで、登録要求に対する認証応答の成功について、具体例を図３に示す。

図３を参照すると、レスポンスが登録要求に対するものであることは、ＣＳｅｑヘッダを参照することにより判断できる。具体的には、「ＲＥＧＩＳＴＥＲ」により、登録要求に対するものであることを表しており、また、先頭行の「２００ ＯＫ」により、認証応答が取れ、成功を示すものである。

また、レスポンス解析部３２がアドレス記憶部３３へ登録するアドレスとしては、認証応答のＣｏｎｔａｃｔヘッダに記載された値を使用するか、認証応答パケットの宛先アドレスを使用する。

なお、アドレス記憶部３３での記憶に有効期限を設けなければ、ＳＩＰ端末の減少やアドレス変更によって無効となった記憶も残ってしまう。

そこで、例えば、レスポンス解析部３２は、認証応答のＣｏｎｔａｃｔヘッダに設定されたｅｘｐｉｒｅタグから取得した、登録要求の処理自体の有効期間を、アドレス記憶部３３における記憶の有効期間として、アドレスとともにアドレス記憶部３３へ渡す。

つまり、レスポンス解析部３２は、図３のような認証応答の成功を受け取ると、Ｃｏｎｔａｃｔヘッダに設定されたアドレス１92.１68.１.１00、及び、有効期間3600秒、という情報をアドレス記憶部３３へ渡す。

そして、アドレス記憶部３３は、レスポンス解析部３２から渡されたアドレスを、アドレスと共に渡された有効期間の間だけ記憶する。

また、アドレス記憶部３３に対して、防御装置３の管理者１０が、アドレス登録部３０３を介して、予め静的にアドレスを登録しておくこともでき、本実施の形態では外部ＳＩＰサーバ５のアドレスが登録される。その場合、記憶の有効期間は無期限とする。

次に、アドレス検査部３４では、受け取ったパケットの送信元アドレスがアドレス記憶部３３に記憶されているかどうかの検査を行い、その送信元アドレスが記憶されていればパケットをパケット出力部３５へ渡し、一方、その送信元アドレスが記憶されていない未知のアドレスであればパケットをレート制限部３６へ渡す。

パケット出力部３５は、受け取ったパケットを、パケットが防御対象ＳＩＰサーバ４から送られたものであるか、或いは防御対象ＳＩＰサーバ４へ向けて送られたものであるかに応じて、ネットワークインタフェース３０１または３０２へ渡す。

レート制限部３６は、受け取るパケットのレート、すなわち、時間あたりのパケットの数を計測しており、防御装置３の管理者１０が閾値登録部３０４を介して予め設定した閾値を超えた場合にパケットを破棄し、設定した閾値を超えない場合に、パケットをパケット出力部３５へ渡す。
（１−３）ＤｏＳ攻撃防御システムの全体動作
次に、図４のシーケンスを参照して、第１の実施の形態によるＤｏＳ攻撃防御システムの全体動作について、詳細に説明する。

ここで、本実施の形態の動作について、次のシナリオを具体例として用いて説明する。

本実施の形態の動作は、次の３つのステップのシナリオによって動作する。
（１）正規ＳＩＰ端末１が、登録要求処理パケットによる処理を行う。
（２）攻撃ＳＩＰ端末２が、防御対象ＳＩＰサーバ４に対し、インバイトフラッド攻撃（大量の接続要求送信による攻撃）を開始する。
（３）外部ＳＩＰ端末６が、正規ＳＩＰ端末１へ電話をかける。

上記のシナリオにおいて、図１に示したノードの間でやり取りされるＳＩＰメッセージ（要求（リクエスト）、又は応答（レスポンス））のシーケンスを、図４に示す。但し、図４のシーケンスでは、防御装置３は除いている。防御装置３を含めた動作については、後で詳細に記述する。

図４に示すシーケンスにおいて、矢印はノード間でやり取りされるＳＩＰメッセージを示し、矢印の上に、リクエストのメソッド名、または、レスポンスのステータスコード（例えば、２００など）と理由フレーズ（成功など）を示す。

図４において、メッセージ送信の箇所に付したステップ番号については、ステップＡ１からＡ４が上記シナリオの（１）に相当し、ステップＡ５が上記シナリオの（２）に相当し、ステップＡ６からＡ１０が上記シナリオの（３）に相当する。

次に、図４のシーケンスを説明する。

まず、正規ＳＩＰ端末１が、登録要求を送る（ステップＡ１）。

それを受け、防御対象ＳＩＰサーバ４が、認証がまだ済んでいないことを示す応答として、４０１認証未済を返す（ステップＡ２）。その中には、認証のためのデータ（チャレンジ）が含まれる。

それを受け、正規ＳＩＰ端末１が、登録要求を再送する（ステップＡ３）。その中には、認証のためのデータ（前記チャレンジに対するレスポンス）が含まれる。

それを受け、防御対象ＳＩＰサーバ４が認証を行い、認証が成功すると２００成功を返す（ステップＡ４）。

攻撃ＳＩＰ端末２が、防御対象ＳＩＰサーバ４に対し、大量の接続要求の送信（シナリオ（２）のインバイトフラッド攻撃に相当する。）を開始する（ステップＡ５）。

ステップＡ５以降、後述するステップＡ９に至るまで、及びそれ以降もインバイトフラッド攻撃は続くが、図４では省略している。

また、攻撃ＳＩＰ端末２の接続要求（ステップＡ５）に対し、サーバからエラーを示すレスポンスが返される可能性が高いが、図４では省略している。

そして、外部ＳＩＰ端末６が、正規ＳＩＰ端末１を呼び出すための接続要求（シナリオ（３）に相当する。）を送信する（ステップＡ６）。

ステップＡ６の接続要求は、外部ＳＩＰサーバ５及び防御対象ＳＩＰサーバ４において、順にプロキシ処理され、正規ＳＩＰ端末１へ届けられる。

それを受け、正規ＳＩＰ端末１が、ベルを鳴らすなどによりユーザを呼び出すとともに、呼び出し中であることを外部ＳＩＰ端末６へ通知するための１８０呼出中応答を送信する（ステップＡ７）。

また、１８０呼出中応答は、防御対象ＳＩＰサーバ４および外部ＳＩＰサーバ５において、順にプロキシ処理され、外部ＳＩＰ端末６へ届けられる。

正規ＳＩＰ端末１は、ユーザが電話を受けると、そのことを外部ＳＩＰ端末６へ通知するための２００成功を送信する（ステップＡ８）。

２００成功は、防御対象ＳＩＰサーバ４及び外部ＳＩＰサーバ５において、順にプロキシ処理され、外部ＳＩＰ端末６へ届けられる。

それを受け、外部ＳＩＰ端末６は、確認を送信する（ステップＡ９）。

確認は、外部ＳＩＰサーバ５及び防御対象ＳＩＰサーバ４において、順にプロキシ処理され、正規ＳＩＰ端末１へ届けられる。ここで、セッションが確立する。
（１−４）ＤｏＳ攻撃防御システムにおける防御装置の内部動作
次に、上記のシーケンスについて、図５のフローチャートを参照しながら、ＤｏＳ攻撃防御システムにおける防御装置３の内部動作について、詳細に説明する。

なお、本実施の形態では、防御装置３のレート制限部３６で実施されるレート制限の閾値として、「秒あたり１０００パケット」が設定されており、また、アドレス記憶部３３には、あらかじめ外部ＳＩＰサーバ５のアドレスが記憶されているものとする。

また、防御装置３は、正規ＳＩＰ端末１から送信されるパケットを待ち受けている時点を、フローチャート開始のＲＴ１とする。

ステップＡ１の登録要求における防御装置３の動作処理は、以下の通りである。

まず、正規ＳＩＰ端末１が、防御対象ＳＩＰサーバ４を宛先アドレスとしたパケットを送信する。すると、防御装置３のネットワークインタフェース３０１が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、受信したパケットの送信元が防御対象ＳＩＰサーバ４から送られてきたか判定を行う（ステップＢ１）。

ここで、パケット入力部３１は、パケットの送信元が防御対象ＳＩＰサーバ４ではなく、防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５に進み、パケットをアドレス検査部３４へ渡す。

アドレス検査部３４は、パケットの送信元アドレス（正規ＳＩＰ端末１）にてアドレス記憶部３３を検索し（ステップＢ５）、正規ＳＩＰ端末１のアドレスは記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。

レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えないため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２がパケットをネットワークへ送出する。

そして、防御対象ＳＩＰサーバ４が、それを受信する。

次に、ステップＡ２の４０１認証未済における防御装置３の動作処理は、以下の通りである。

防御対象ＳＩＰサーバ４が、正規ＳＩＰ端末１を宛先アドレスとしたパケットを送信する。

防御装置３のネットワークインタフェース３０２が、それを受信（ステップＢ０）し、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ステップＢ２へ進み、パケットをレスポンス解析部３２へ渡す。

レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功であるか否かの判定を行い（ステップＢ２）、まだ認証応答が成功していないため（すなわち認証未済である。）、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ネットワークインタフェース３０１へパケットを渡し、ネットワークインタフェース３０１がパケットをネットワークへ送出する。

そして、正規ＳＩＰ端末１が、それを受信する。

次に、ステップＡ３の登録要求における防御装置３の動作処理は、以下の通りである。

まず、正規ＳＩＰ端末１が、防御対象ＳＩＰサーバ４を宛先アドレスとしたパケットを送信する。

防御装置３のネットワークインタフェース３０１が、それを受信して（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。

アドレス検査部３４は、パケットの送信元アドレス（正規ＳＩＰ端末１）にてアドレス記憶部３３を検索し、未だ記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。

レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えないため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２がパケットをネットワークへ送出する。

そして、防御対象ＳＩＰサーバ４が、それを受信する。

次に、ステップＡ４の２００成功における防御装置３の動作処理は、以下の通りである。

まず、防御対象ＳＩＰサーバ４が、正規ＳＩＰ端末１を宛先アドレスとしたパケットを送信する。

防御装置３のネットワークインタフェース３０２が、そのパケットを受信して（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ステップＢ２へ進み、パケットをレスポンス解析部３２へ渡す。

レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功であるか否かの判定を行い、認証応答が成功であるため、ステップＢ３へ進み、アドレス記憶部３３にパケットの宛先アドレス（正規ＳＩＰ端末１のアドレス）と記憶の有効期間を渡す。

アドレス記憶部３３では、渡されたアドレスを記憶する（ステップＢ３）。

レスポンス解析部３２は、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ネットワークインタフェース３０１へパケットを渡し、ネットワークインタフェース３０１がパケットをネットワークへ送出する。

そして、正規ＳＩＰ端末１が、それを受信する。

次に、ステップＡ５のインバイトフラッド攻撃パケットにおける防御装置３の動作処理は、以下の通りである。

攻撃ＳＩＰ端末２が、１〜１０００個目のパケットを、防御対象ＳＩＰサーバ４を宛先アドレスとして送信する。

防御装置３のネットワークインタフェース３０１が、それを受信して（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。

アドレス検査部３４は、パケットの送信元アドレス（ランダムに詐称されたアドレス）にてアドレス記憶部３３を検索し（ステップＢ５）、記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。

レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えないため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２がパケットをネットワークへ送出する。

そして、防御対象ＳＩＰサーバ４が、それを受信する。

これに対し、防御ＳＩＰサーバ４は、エラーを示すレスポンスパケットを送信する可能性が高いが、本質的でないため省略する。

次に、攻撃ＳＩＰ端末２が、１００１個目のパケットを、防御対象ＳＩＰサーバ４を宛先アドレスとして送信する。

まず、防御装置３のネットワークインタフェース３０１が、それを受信して（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。

アドレス検査部３４が、パケットの送信元アドレス（ランダムに詐称されたアドレス）にてアドレス記憶部３３を検索し（ステップＢ５）、記憶されていないアドレスであるため、ステップＢ６へ進み、パケットをレート制限部３６へ渡す。

レート制限部３６は、パケットレートの閾値を超えるかどうかを検査し（ステップＢ６）、パケットレートの閾値を超えるため、ステップＢ７へ進み、パケットを破棄する。

このようにして、防御対象ＳＩＰサーバ４へ到達する攻撃パケットはレートが制限されるため、防御対象のＳＩＰサーバ４は、攻撃の影響を受けない。

次に、ステップＡ６の接続要求における防御装置３の動作処理は、以下の通りである。

まず、外部ＳＩＰ端末６が、外部ＳＩＰサーバ５を宛先アドレスとしたパケットを送信する。

外部ＳＩＰサーバ５が、それを受信し、情報を追加した新たなパケットを生成し、防御対象ＳＩＰサーバ４を宛先アドレスとして送信する。

防御装置３のネットワークインタフェース３０１が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ステップＢ５に進み、パケットをアドレス検査部３４へ渡す。

アドレス検査部３４は、パケットの送信元アドレス（外部ＳＩＰサーバ５のアドレス）にてアドレス記憶部３３を検索し（ステップＢ５）、送信元アドレスが記憶されているため、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られたものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２が、パケットをネットワークへ送出する。

そして、防御対象ＳＩＰサーバ４が、それを受信し、情報を追加した新たなパケットを生成し、正規ＳＩＰ端末１を宛先アドレスとして送信する。

ここで、また、防御装置３のネットワークインタフェース３０２が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、ステップＢ２へ進み、パケットをレスポンス解析部３２へ渡す。

レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功であるか否かを検査し（ステップＢ２）、認証応答が成功でないため（すなわち認証未済である。）、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、パケットが防御対象ＳＩＰサーバ４から送られたものであるため、パケットをネットワークインタフェース３０１に渡し、ネットワークインタフェース３０１が、パケットをネットワークへ送出する。

そして、正規ＳＩＰ端末１が、それを受信する。

次に、ステップＡ７の１８０呼出中応答における防御装置３の動作処理は、以下の通りである。

まず、正規ＳＩＰ端末１が、防御対象ＳＩＰサーバ４を宛先アドレスとしたパケットを送信する。

防御装置３のネットワークインタフェース３０１が、それを受信し（ステップＢ０）、パケット入力部３１へ渡す。

パケット入力部３１は、ステップＢ１において、パケットが防御対象ＳＩＰサーバ４から送られたものではないため、ステップＢ５へ進み、パケットをアドレス検査部３４へ渡す。

アドレス検査部３４が、パケットの送信元アドレス（正規ＳＩＰ端末１のアドレス）においてアドレス記憶部３３を検索し（ステップＢ５）、記憶されているため、パケットをパケット出力部３５へ渡す。

パケット出力部３５は、ステップＢ４において、パケットが防御対象ＳＩＰサーバ４へ送られるものであるため、ネットワークインタフェース３０２へパケットを渡し、ネットワークインタフェース３０２が、パケットをネットワークへ送出する。

そして、防御対象ＳＩＰサーバ４が、それを受信し、情報を追加した新たなパケットを生成し、外部ＳＩＰサーバ５を宛先アドレスとして送信する。

外部ＳＩＰサーバ５が、それを受信し、情報を追加した新たなパケットを生成し、外部ＳＩＰ端末６を宛先アドレスとして送信する。

外部ＳＩＰ端末６が、それを受信する。

次に、ステップＡ８の２００成功における防御装置３の動作処理は、ステップＡ７の処理と同様に行われる。

また、ステップＢ９の確認応答における防御装置３の動作処理は、ステップＡ６の処理と同様に行われる。

以上のように、ＤｏＳ攻撃が実行されている最中であっても、ＳＩＰ端末が登録要求処理パケットによる処理を済ませていれば、ＤｏＳ攻撃の影響を受けることなく、ＳＩＰ通信を行うことができる。
（１−５）ＤｏＳ攻撃防御システムの動作及び効果
本実施の形態によれば、防御装置が、正規ＳＩＰ端末と送受信されるパケットを監視することにより、正規ＳＩＰ端末のアドレスを把握しているので、送信元アドレスをパケットごとに変更するような攻撃が行われても、正規のパケットとそれ以外のパケットとを識別することができる。

また、本実施の形態によれば、防御装置が、正規ＳＩＰ端末と送受信されるパケットを監視することによって動的に正規ＳＩＰ端末のアドレスを知ることができるので、正規ＳＩＰ端末のアドレスを予め防御装置に登録しておく必要がなくなる。

また、本実施の形態によれば、防御装置は、防御対象のＳＩＰサーバへ送られる、又はＳＩＰサーバから送られたパケットが監視できれば良いので、ファイアウォールのようにルータもしくはブリッジとして実現することができる。

また、防御装置の行う処理を実装した防御プログラムをＳＩＰサーバ上に搭載することも可能だが、その場合も、防御プログラムをカーネル内の処理として実装すれば、既存のＳＩＰサーバプログラムに変更の必要がない。

これにより、本実施の形態によれば、ＳＩＰ端末やＳＩＰサーバを含む既存のネットワーク上の装置に変更の必要がない。

更に、このＤｏＳ攻撃防御システムでは、アドレスの検索処理に関し、検索されるアドレスが固定長の整数情報であるため、高速な検索処理の実装が可能である。

また、記憶されるアドレスは、わずか防御対象のＳＩＰサーバの配下に存在する正規ＳＩＰ端末の数程度であるので、容易に記憶することができる。

更に、アドレスを記憶する処理、及び有効期間を過ぎた記憶を削除する処理は、頻度が低いので（なお、ＳＩＰプロトコルにて定義されている登録要求処理パケットによる処理のデフォルトの有効期間は３６００秒である。）、処理負荷が少ない。

また、ペイロードの解析に関しても、文字列検索程度の単純な処理であり、ＳＩＰサーバから送られたパケットについてのみ行えばよく、攻撃パケットは含まれない。

これにより、本実施の形態によれば、ＤｏＳ攻撃防御システムは、処理が高速に行えるためＤｏＳ攻撃の対策に適している。
（第２の実施の形態）
（２）第２の実施の形態によるＤｏＳ攻撃防御システム
（２−１）ＤｏＳ攻撃防御システムの構成
次に、第２の実施の形態によるＤｏＳ攻撃防御システムについて説明する。

図６を参照すると、第２の実施の形態によるＤｏＳ攻撃防御システムでは、第１の実施の形態の構成に、以下の３つの拡張を加えたものである。

まず、第１の実施の形態では、もしも攻撃ＳＩＰ端末２を操作する攻撃者が、正規ＳＩＰ端末１のアドレスを知り、正規ＳＩＰ端末１のアドレスを詐称したパケットにてＤｏＳ攻撃を行った場合には、攻撃パケットがレート制限を受けずに通過してしまう恐れがある。

また、正規ＳＩＰ端末１が、ウィルスやボット（ボットとは、コンピュータウイルスの一種で、コンピュータに感染し、そのコンピュータを、ネットワーク(インターネット)を通じて外部から操ることを目的として作成されたプログラムのことをいう。）に感染するなどにより、ユーザの意図しない間に攻撃を行ってしまう可能性もあり、この場合も攻撃パケットがレート制限を受けずに通過してしまう恐れがある。

従って、これらの事態を避けるため、第１の拡張として、登録要求処理パケットによる処理の成功したＳＩＰ端末のアドレスを送信元アドレスとして持つパケットであっても、送信元アドレス毎にレート制限を実施することが考えられる。

この場合、攻撃者にアドレスを使われてしまった正規ＳＩＰ端末１へのサービスは阻害される可能性があるが、その他の正規ＳＩＰ端末へのサービス妨害や防御対象ＳＩＰサーバ４のサーバダウンを避けることができる。

また、第１の実施の形態では、攻撃ＳＩＰ端末２は、インバイトフラッド攻撃を行うこととしたが、第２の拡張として、正規ＳＩＰ端末が全てのリクエストに先立って、必ず登録要求処理パケットによる処理を行うようにすれば、未知のアドレスから防御対象ＳＩＰサーバへ宛てて発信されるパケットのうち、登録要求以外を破棄することにより、レート制限するまでもなく対処が可能である。

また、第１の実施の形態では、アドレス記憶部３３にて記憶するのはアドレスのみであったが、正規ＳＩＰ端末１と攻撃ＳＩＰ端末２とが、同じＮＡＴ（network address translation）装置に存在する場合などに同じアドレスを共有する可能性があり、その場合、攻撃ＳＩＰ端末２からのパケットが制限を受けずに通過してしまう恐れがある。

これを避けるためには、第３の拡張として、送信元アドレスのみに基づいて正規のパケットを識別するのではなく、送信元ポート番号を併用することが考えられる。

そこで、図６に示す第２の実施の形態による防御装置３内部の構成では、第１の実施の形態を示した図２の構成と比較して、送信元毎レート制限部３７と、リクエスト解析部３８と、を追加している。
（２−２）ＤｏＳ攻撃防御システムの全体動作
次に、図７のフローチャートを参照して、第２の実施の形態によるＤｏＳ攻撃防御システムの全体動作について、図５のフローチャートと異なる点を詳細に説明する。

なお、図７に示す本実施の形態における防御装置３内部の動作のフローチャートでは、図５のフローチャートに比較し、ステップＢ８と、ステップＢ９とを追加している。

以下に、本実施の形態における動作と、第１の実施の形態における動作との違いについて、図７のフローチャートを参照しながら説明する。

レスポンス解析部３２は、パケットが、登録要求に対する認証応答として成功したことを検出すると、登録要求を発行したＳＩＰ端末１のアドレスに加えて、ポート番号をアドレス記憶部３３へ登録する。

レスポンス解析部３２がアドレス記憶部３３へ登録するアドレスとポート番号としては、認証応答パケットの宛先アドレスと宛先ポート番号とを使用するか、認証応答のＣｏｎｔａｃｔヘッダに記載された値を使用する。

例えば、図３の例では、アドレス１９２.１６８.１.１００、ポート番号５０６０である。

アドレス検査部３４は、パケットの送信元アドレスとポート番号の組がアドレス記憶部３３に記憶されているものであるかどうかを検査し（ステップＢ５）、アドレス記憶部３３に記憶されている場合には、ステップＢ８へ進み、パケットを送信元毎レート制限部３７に渡し、一方、アドレス記憶部３３に記憶されていない場合には、ステップＢ９へ進み、パケットをリクエスト解析部３８に渡す。

送信元毎レート制限部３７は、アドレスとポート番号の組で特定される送信元毎に、時間当たりのパケット数を計測し、レート制限を行う。

送信元毎レート制限部３７は、送信元毎のパケットレートが閾値を超える場合には、ステップＢ７へ進み、パケットを破棄し、一方、送信元毎のパケットレートが閾値を超えない場合には、ステップＢ４へ進み、パケットをパケット出力部３５へ渡す。

送信元毎レート制限部３７で使用される閾値は、レート制限部３６で使用される閾値とは別のものであり、防御装置３の管理者１０が、閾値登録部３０４を介して予め設定しておく。

リクエスト解析部３８は、パケットが登録要求であるか否かを検査し、登録要求である場合には、ステップＢ６へ進み、パケットをレート制限部３６へ渡し、登録要求でない場合には、ステップＢ７へ進み、パケットを破棄する。

なお、リクエスト名の判定は、パケットペイロードの冒頭数バイトを検査すればよい。
（２−３）ＤｏＳ攻撃防御システムの効果
第２の実施の形態によるＤｏＳ攻撃防御システムでは、アドレスの検索処理に関し、第１の実施の形態で検索されるアドレスと同様に、ポート番号も固定長の整数情報であるため高速な検索処理の実装が可能である。

また、第２の実施の形態では、第１の実施の形態で記憶されるアドレスと同様に、ポート番号も、わずか防御対象のＳＩＰサーバの配下に存在する正規ＳＩＰ端末の数程度であるので、容易に記憶することができる。

更に、アドレスを記憶する処理、及び有効期間を過ぎた記憶を削除する処理は、頻度が低いので（なお、ＳＩＰプロトコルにて定義されている登録要求処理パケットによる処理のデフォルトの有効期間は３６００秒である。）、処理負荷も少ない。

また、ペイロードの解析に関し、第２の実施の形態では、ＳＩＰサーバへ送られるパケットについても行われるが、その場合も冒頭数バイトを処理すればよい。

これにより、本実施の形態によれば、更に処理が高速に行えるため、ＤｏＳ攻撃の対策に適している。

本発明における第１の実施の形態によるＤｏＳ攻撃防御システムの構成を示す構成図である。 本発明における第１の実施の形態による防御装置のブロック図である。 本発明における第１の実施の形態による登録要求に対する認証応答の成功について、具体例を示したものである。 本発明における第１の実施の形態によるＤｏＳ攻撃防御システムの全体動作を示すシーケンスである。 本発明における第１の実施の形態による防御装置の内部動作を示すフローチャートである。 本発明における第２の実施の形態によるＤｏＳ攻撃防御システムの構成を示す構成図である。 本発明における第２の実施の形態による防御装置の内部動作を示すフローチャートである。

符号の説明

１ 正規ＳＩＰ端末
２ 攻撃ＳＩＰ端末
３ 防御装置（本発明に係るＤｏＳ攻撃防御装置である。）
４ 防御対象ＳＩＰサーバ
５ 外部ＳＩＰサーバ
６ 外部ＳＩＰ端末
７、８、９ ネットワーク
１０ 管理者
３１ パケット入力部
３２ レスポンス解析部
３３ アドレス記憶部
３４ アドレス検査部
３５ パケット出力部
３６ レート制限部
３７ 送信元毎レート制限部
３８ リクエスト解析部
３０１、３０２ ネットワークインタフェース
３０３ アドレス登録部
３０４ 閾値登録部

Claims (11)

1. 通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置であって、
   前記パケットを受信するパケット受信手段と、
   受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信手段と、
   を備えることを特徴とするＤｏＳ攻撃防御装置。
2. 前記パケット送信手段は、
   受信した前記パケットが防御対象であるサーバから送信され、
   当該パケットが当該サーバへの登録要求に対する認証応答であって成功である場合には、当該パケットの宛先アドレスを記憶すると共に、当該パケットを前記宛先アドレスへ送信し、
   受信した前記パケットが防御対象である前記サーバから送信され、
   当該パケットが当該サーバへの登録要求に対する認証応答であって成功でない場合には、当該パケットを前記宛先アドレスへ送信する
   ことを特徴とする請求項１に記載のＤｏＳ攻撃防御装置。
3. 前記パケット送信手段は、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、送信元のアドレスが記憶されている場合には、当該パケットを送信し、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、レート閾値を超えていないか検査して、当該レート閾値を超えていない場合には、当該パケットを送信し、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、前記レート閾値を超えていないか検査して、当該レート閾値を超えている場合には、当該パケットを破棄する
   ことを特徴とする請求項２に記載のＤｏＳ攻撃防御装置。
4. 前記パケット送信手段は、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されており、前記アドレス毎の前記レート閾値を超えている場合には、当該パケットを破棄し、
   また、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されておらず、当該サーバへの登録要求ではない場合には、当該パケットを破棄する
   ことを特徴とする請求項３に記載のＤｏＳ攻撃防御装置。
5. 通信端末と、ネットワークを介して前記通信端末に接続されるサーバとにおいて、送受信されるパケットを監視するＤｏＳ攻撃防御装置におけるＤｏＳ攻撃防御方法であって、
   前記パケットを受信するパケット受信ステップと、
   受信した前記パケットに基づいて、当該パケットを送信可能か判断すると共に、送信可能な場合には、当該パケットを送信するパケット送信ステップと、
   を備えることを特徴とするＤｏＳ攻撃防御方法。
6. 前記パケット送信ステップは、
   受信した前記パケットが防御対象であるサーバから送信され、
   当該パケットが当該サーバへの登録要求に対する認証応答であって成功である場合には、当該パケットの宛先アドレスを記憶すると共に、前記パケットを当該宛先アドレスへ送信し、
   受信した前記パケットが防御対象であるサーバから送信され、
   当該パケットが当該サーバへの登録要求に対する認証応答であって成功でない場合には、当該パケットを前記宛先アドレスへ送信する
   ことを特徴とする請求項５に記載のＤｏＳ攻撃防御方法。
7. 前記パケット送信ステップは、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、送信元のアドレスが記憶されている場合には、当該パケットを送信し、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、レート閾値を超えていないか検査して、当該レート閾値を超えていない場合には、当該パケットを送信し、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されていない場合には、前記レート閾値を超えていないか検査して、当該レート閾値を超えている場合には、当該パケットを破棄する
   ことを特徴とする請求項６に記載のＤｏＳ攻撃防御方法。
8. 前記パケット送信ステップは、
   受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されており、前記アドレス毎の前記レート閾値を超えている場合には、当該パケットを破棄し、
   また、受信した前記パケットが防御対象である前記サーバから送信されたものではなく、前記送信元のアドレスが記憶されておらず、当該サーバへの登録要求ではない場合には、当該パケットを破棄する
   ことを特徴とする請求項７に記載のＤｏＳ攻撃防御方法。
9. コンピュータを、請求項１から４の何れか１項に記載されたＤｏＳ攻撃防御装置として機能させることを特徴とするＤｏＳ攻撃防御プログラム。
10. 請求項１から４の何れか１項に記載されたＤｏＳ攻撃防御装置を備える
    ことを特徴とするＤｏＳ攻撃防御システム。
11. 請求項５から８の何れか１項に記載されたＤｏＳ攻撃防御方法を備える
    ことを特徴とするＤｏＳ攻撃防御システムにおけるＤｏＳ攻撃防御方法。

Images