JP2008502183A - 高速ネットワーク内での攻撃を防御する方法及びモジュール並びに高速ネットワーク内での要求を処理する方法 - Google Patents

Abstract

【課題】 ネットワーク内のターゲットを攻撃から保護し、その結果そのネットワーク内のあらゆるサービスを無制限に利用できることを保証する、高速ネットワーク内での要求を取り扱う方法を提供する。
【解決手段】 高速ネットワーク内での攻撃からターゲットを保護する方法、モジュール及びコンピュータ・プログラム。本発明に記載の方法は、ネットワーク内の特定のノードに関連するソースＩＤによって識別されたイニシエータからの要求を受信した後、質問を作成するステップと、前記ソースＩＤによって識別されたノードに対する質問を送信するステップと、前記質問に対する回答が受信された場合に前記回答を評価するステップと、適切な回答が受信された場合に、さらなるメッセージを前記ターゲットから前記イニシエータへ送信することによって、前記イニシエータと前記ターゲット間の通信を可能にするステップとを含む。
【選択図】 図８

Description

本発明は、高速ネットワーク内での攻撃を防御する分野に関するものであって、より詳細には、高速ネットワーク内でのターゲットを攻撃から保護するための方法及びモジュールに関するものである。本発明はさらに、コンピュータ可読媒体と、コンピュータ・プログラムであって、前記コンピュータ・プログラムが或るコンピュータ上で作動する場合にそのような方法を実行するのに適したプログラム符号化手段を有する前記コンピュータ可読媒体に保存された、コンピュータ・プログラムと、を有するコンピュータ・プログラム製品に関するものである。さらに本発明は、高速ネットワーク内での要求を処理する方法に関するものである。

高速ネットワークでは、データ交換はＴＣＰ／ＩＰまたはＩｎｆｉｎｉＢａｎｄ等の標準化プロトコルに基づいて実行される。そのようなネットワーク内のノード間の通信は、関連ネットワーク・ノード間の正しいデータ転送を保証する、いわゆるハンドシェーク・プロトコルによって開始される。このようにして、ネットワーク内の特定のノード、いわゆるイニシエータが、以下ターゲットと表示される他のノードによって提供されるサービスを、使用することができるようになる。従って、前記イニシエータは前記イニシエータが求めるサービスを提供するターゲットに、要求を送信する。

サービス妨害攻撃のようなネットワーク内での攻撃は、或るサービスの正規のユーザがそのサービスを利用できないようにするという、アタッカによる明確な企てを特徴としている。これは、それぞれ偽のアドレスまたはソースＩＤを使用するとともに、リソースを要する多くの要求を送信してネットワーク内のターゲットをフラッディングさせ、これによってサーバに有意義な作業をさせないようにすることで達成することができる。

サービス妨害攻撃は、ネットワークを使用している多くの機関に、時間と金の重大な損失をもたらす。

周知の方法では、特定のパラメータを有する開始メッセージと、第１質問メッセージと、前記パラメータを有する前記質問への回答と、最終メッセージと、を含む４ウェイ・ハンドシェーク・プロトコルが使用されている。ところがこの解決策では、所定のシーケンスのハンドシェーク・メッセージに依存するプロトコルに対する大量の情報を送りつける（flooding）攻撃を効果的に防止できない。

本発明の目的は、先行技術では周知の欠点を克服する、高速ネットワーク内での攻撃からターゲットを保護するための方法及びモジュールを提供することである。より詳細には、本発明の目的は、ネットワーク内のターゲットを攻撃から保護し、その結果、そのネットワーク内のあらゆるサービスを無制限に利用できることを保証する、高速ネットワーク内での要求を処理する方法を提供することである。

これらの目的は、請求項１の特徴を有する、高速ネットワーク内での攻撃を防御する方法と、請求項９の特徴を有する、高速ネットワーク内での攻撃を防御するモジュールと、請求項１６に記載する、高速ネットワーク内での要求を処理する方法とを提案することによって達成される。

本発明によれば、高速ネットワーク内での攻撃からターゲットを保護する方法が提案されており、前記方法は、ネットワーク内の特定のノードに関連するソースＩＤによって識別されたイニシエータから要求を受信した後に、質問を作成するステップと、前記質問を前記ソースＩＤによって識別されたノードへ送信し、続いて前記質問への回答が受信された場合に、前記質問を評価するステップと、適切な回答が受信された場合に、さらなるメッセージ、例えば受信準備完了メッセージを前記ターゲットから前記イニシエータへ送信することによって、前記イニシエータと前記ターゲット間の通信が可能になるステップと、を有している。

本発明により、偽のソースＩＤを用いてイニシエータからターゲットに送信された多数の要求により引き起こされる、ネットワーク内でのサービス妨害攻撃を防止することが可能になる。

好適な実施態様によれば、本発明に記載の方法は３ウェイ・ハンドシェーク・プロトコルに組み込まれている。

好ましくは、質問を作成するステップと、回答を評価するステップとは、別々のモジュール内で実行される。この別々のモジュールは、ハードウェア・モジュール、例えば論理チップ、ＰＬＤまたはＦＰＧＡに組み入れることができ、その結果、高処理速度になる。

前記イニシエータに送信される質問は、ソースＩＤ及びターゲットに関連するパラメータを有するのが好ましい。この質問を暗号化して、本発明に記載の方法の信頼性をさらに増すことができる。

好適な実施態様によれば、本発明に記載の方法は、イニシエータ関連の情報をテーブルに入力するステップをさらに有する。従って、特定のイニシエータとターゲット間の接続数あるいは、要求数を監視することができる。監視される接続数または要求数が所定の値を超えるや否や、特定のイニシエータによる前記ターゲットの大量データ送り付けを防止するための接続が、もはや確立されなくなる。

好ましくは、前記ネットワークは、高速で優れた機能を提供するＩｎｆｉｎｉＢａｎｄネットワークである。

さらに本発明は、高速ネットワーク内での攻撃からターゲットを保護するモジュールであって、或る要求によりトリガされた質問を作成する手段と、この質問に対する回答を評価する手段と、を有するモジュールを対象としている。

このモジュールは、論理チップ、ＬＤまたはＦＰＧＡのような、ハードウェア・モジュールに組み入れられることが好ましい。このハードウェア・モジュールは、ネットワーク・アダプタ・ハウジングあるいはまた、別々のハウジングに一体化することができる。

別の実施態様によれば、前記モジュールは、好ましくは個別のプロセッサで作動するソフトウェア・モジュールに組み込まれる。

本発明は、コンピュータ可読媒体と、コンピュータ・プログラムであって、前記コンピュータ・プログラムが或るコンピュータ上で作動する場合に本発明に記載の方法を実行するのに適したプログラム符号化手段を有する前記コンピュータ可読媒体に保存された、コンピュータ・プログラムと、を有する、コンピュータ・プログラム製品をも対象としている。

さらに本発明は、共通のハンドシェーク・プロトコルであって、要求を処理することによって生じる前記ターゲットの負荷が所定の閾値を超えるや否や、請求項１乃至８のいずれかに記載の方法によって修正されるハンドシェーク・プロトコルを使用して、高速ネットワーク内での要求を、ターゲットで処理する方法を対象としている。

要求を大量に送り付けることからの保護は高利用時間帯のみに必要なものであるので、低利用時間帯には前記共通のハンドシェーク・プロトコル、通常３ウェイ・ハンドシェーク・プロトコルを使用することができる。本発明に記載の前記ハンドシェーク・プロトコルは、２つの付加的なステップを導入して、高利用時間帯に使用される。

本発明のさらなる特徴及び実施態様が、説明及び添付図面から明らかになるであろう。

上述の特徴及び後述する特徴は、特定の組み合わせのみならず、他の組み合わせまたはそれのみでも、本発明の範囲から逸脱することなく使用できるということが理解されるであろう。

本発明は例示のために略図で表示し、以下図面を参照しながら詳細に説明する。前記説明は本発明の範囲を決して限定するものではなく、本発明の好適な実施態様の単なる一表示であるということが理解される。

前記詳細説明を見直し、前記図面を参照すれば、本発明の他の側面及び利点が明らかとなるであろう。

サービス妨害攻撃に対する可能なシナリオは、図１に示す。認可されたイニシエータ１２のソースＩＤを使用するアタッカ１０が、ファブリック１６を経由してターゲット１４に要求を送信する。本発明によれば、この要求はハードウェア・ネットワーク・モジュール１８内で評価されて、前記ターゲット内の主ＣＰＵ２０のリソースが消費されず、前記ターゲットのフラッディングが防止されることが確認される。

図２を参照すると、３ウェイ・ハンドシェーク・プロトコルが示される。ソースＩＤによって定義されたイニシエータが、宛先ＩＤによって識別されたターゲットに要求メッセージを送信する。前記ターゲットは、ターゲット・パラメータを含む受信準備完了メッセージを返信する。前記イニシエータは、前記接続を確立するために、イニシエータ・パラメータを含む受信準備完了メッセージを送信する。

偽アドレスを使用しているアタッカは、前記イニシエータの識別が実行される前に前記ターゲットがリソースを割り当てるので、３ウェイ・ハンドシェーク・プロトコルを用いて、前記ターゲットに接続要求をフラッディングすることができる。

図３を参照すると、ＴＣＰネットワークの４ウェイ・ハンドシェーク・プロトコルが示される。前記ターゲットは、イニシエータからの要求を受信した後に、リソースを割り当てるイニシエータに質問を送信する。前記イニシエータは、前記質問に対する回答を、イニシエータ・パラメータを含む受信準備完了メッセージと共に送信する。前記ターゲットは前記回答を評価し、それが有効な回答である場合には、受信準備完了メッセージを返信し、前記接続を確立する。従って、前記リソースの割当ては、前記イニシエータの識別後に実行される。

また一方、図４に示すように、４ウェイ・ハンドシェーク・プロトコルは、上層プロトコルを通さないＩ→Ｔ（イニシエータからターゲット）及びＴ→Ｉ（ターゲットからイニシエータ）という非透過性シーケンスの変化が起こるので、ＩｎｆｉｎｉＢａｎｄネットワークでの要求大量送り付け攻撃問題を解決しない。前記Ｉ→Ｔ及びＴメッセージは、上層接続確立パラメータ及びＱＰＮを含むので、この手法はＩｎｆｉｎｉＢａｎｄネットワークには適さない。前記問題は、前記ターゲットがいつ送信が許可されるか認識しないことである。さらにこの手法は、可能なキュー・ペアの数の限定数に関連した問題を解決しない。

図５を参照すると、本発明に記載の５ウェイ・ハンドシェーク・プロトコルが、３ウェイ・ハンドシェーク・プロトコルに組み込まれている。ターゲット、好ましくは前記ターゲットに関連するハードウェア・モジュールが、ソースＩＤによって識別されたイニシエータからの要求を受信した後、前記ソースＩＤから派生し、前記ソースＩＤによって識別されたノードに対して持続性のあるデータを含まない質問を、作成する。その結果、偽アドレスを用いるアタッカはこの質問を受信しないので、前記質問に回答することができない。有効なソースＩＤが使用された場合には、前記ターゲットは前記質問に回答する。この回答は前記ターゲットにより評価される。前記回答が一致すれば、接続は確立される。

前記質問の作成及び回答の検査は、前記ターゲットのソフトウェアを伴わずに実行される。前記質問と回答間では、持続性のあるデータをターゲット内に保存する必要はない。さらに前記手法は、通常の状況における上位プロトコル及び後方互換性については透過的である。

図６によれば、接続ＨＷ支援モジュール３０が、送信前の発信メッセージを含む送信バッファ３２に接続されている。ＳＥＲＤＥＳ（シリアライザ／デシリアライザ）３４は、受信バッファ３６に保存された全ての着信メッセージを読み出す。前記モジュール３０は制御ロジック３８に接続されて「メッセージ転送」及び「メッセージ・ドロップ」操作をトリガし、「追加の高負荷情報」、例えばソース・アドレスによる接続要求の着信または着信率を信号で伝える。イニシエータ関連のデータを有するテーブルを含む負荷検出モジュール４０は、「通常動作」、「高負荷」及び「検証されたイニシエータからの全ての接続要求のドロップ」を、接続ＨＷ支援モジュールに信号で伝える。

前記提案された５ウェイ・ハンドシェーク・プロトコルは、ターゲットのフラッディングを防止するのに効果的な解決策である。要求フラッディングに対する保護は、高利用時間帯のみに必要なものであるから、低利用時間帯には、前記３ウェイ・ハンドシェークを使用することができる。前記５ウェイ・ハンドシェークは、２つの付加的メッセージ、つまり前記質問またはユーザ確認それぞれと、ユーザ確認の質問への応答とを導入する。

図７を参照すると、ソースＩＤを使用するイニシエータが、接続を確立するために要求Ｒをターゲットへ送信する。前記ターゲットは、Ｒに含まれる前記ソースＩＤによって識別されたエンティティに交換網経由で送信される質問Ｑ＝ｆ（．．．）を、作成する。Ｑを受信するエンティティのみが、前記ターゲットに返信される回答Ａを作成することができる。前記交換網は、Ｑに含まれる宛先ＩＤに基づいて前記ターゲットにＡを転送する。前記ターゲットは、Ａの前記作成者がｇ（Ａ，．．．）によりＱを見たか否かを認証する。好適な実施態様においては、Ｑ＝ｆ（ｓｏｕｒｃｅＩＤ，ｋｅｙ，．．．）であり、ｖａｌｉｄ＝ｇ（Ａ，ｓｏｕｒｃｅＩＤ，ｋｅｙ，．．．）である。

ｆの結果は、任意のイニシエータが，「キー」（平文暗号攻撃、自由に選択可能な平文）を知らないで予測することが難しいものでなければならない（例えば定期的に変更されるキーを使用する）。前記キーの作成は、任意のイニシエータが予測可能なものであってはならない（例えば物理的ノイズを使用してキーを作成する）。さらに、様々なイニシエータが、例えば入力パラメータとしてのＩｎｆｉｎｉＢａｎｄ ＬＩＤ、ＧＩＤ、ＧＵＩＤの使用により，様々なキーにつながっていなければならない。前記ターゲットは、Ａ及び「キー」に基づいて、そのアドレスがＱに一致するイニシエータにより回答Ａが送信されたか否かを決定する。

代替処理において、前記質問メッセージは、回答に使用されるＩｎｆｉｎｉＢａｎｄパラメータを含むＩｎｆｉｎｉＢａｎｄリダイレクション・メッセージ（ＧｅｔＲｅｓｐ（ＣｌａｓｓＰｏｒｔＩｎｆｏ））とすることができる。前記回答は、質問メッセージ（ＧｅｔＲｅｓｐ（ＣｌａｓｓＰｏｒｔＩｎｆｏ）で特定された前記パラメータ以外の、元の組のパラメータを有する反復接続確立メッセージ（ＩｎｆｉｎｉＢａｎｄＲＥＱ）である。リダイレクトできるすべてのパラメータを使用して、質問メッセージを作成することができる。

図８を参照すると、保護すべきターゲットに関連するモジュールが着信メッセージを待つ（ステップ５０）。メッセージを受信すると、該メッセージのヘッダは、ステップ５２で分析される。前記受信されたメッセージが接続の要求（５４）である場合、ステップ５６で質問が作成され、前記受信されたソースＩＤによって識別されたノードに送信される（ステップ５８）。

前記受信されたメッセージが回答（６０）である場合、ステップ６２でこの回答が評価される。前記回答が有効である場合、前記メッセージはターゲットに転送される（ステップ６４）。有効でない場合には、前記メッセージはドロップされる（ステップ６６）。

前記受信されたメッセージが要求でも回答でもない場合（６８）、前記メッセージは前記ターゲットに転送される（７０）。

サービス妨害攻撃に対する可能なシナリオを示す。 ３ウェイ・ハンドシェーク・プロトコルを説明する図式を示す。 ＴＣＰネットワークの４ウェイ・ハンドシェーク・プロトコルを説明する図式を示す。 ＩｎｆｉｎｉＢａｎｄネットワークの４ウェイ・ハンドシェーク・プロトコルを説明する図式を示す。 本発明に記載のＩｎｆｉｎｉＢａｎｄネットワークの５ウェイ・ハンドシェーク・プロトコルを表す図式を示す。 ネットワーク環境内の、本発明に記載のモジュールを図式的に示すブロック図である。 本発明に記載の、ネットワーク内の要求の処理を説明する図式を示し、図８の名前付けを含む。 本発明に記載の方法を表すフローチャートである。

Claims (16)

1. 高速ネットワーク内で攻撃からターゲットを保護する方法であって、
   ‐前記ネットワーク内の特定のノードに関連するソースＩＤによって識別されたイニシエータからの要求を受信した後、質問を作成するステップと、
   ‐前記ソースＩＤによって識別された前記ノードに、前記質問を送信するステップと、
   ‐前記質問に対する回答が受信された場合に、前記回答を評価するステップと、
   ‐適切な回答が受信された場合に、さらなるメッセージを前記ターゲットから前記イニシエータへ送信することによって、前記イニシエータと前記ターゲット間の通信を可能にするステップと、
   を含む方法。
2. 前記方法が３ウェイ・ハンドシェーク・プロトコルに組み入れられている、請求項１に記載の方法。
3. 前記質問を作成するステップと、前記回答を評価するステップとが、別々のモジュールで実行される、請求項２に記載の方法。
4. 前記別々のモジュールがハードウェア・モジュールに組み込まれている、請求項３に記載の方法。
5. 前記質問が、前記ソースＩＤ及び前記ターゲットに関連するパラメータを有する、請求項１に記載の方法。
6. 前記質問を暗号化するステップをさらに有する、請求項１に記載の方法。
7. イニシエータ関連情報をテーブルに入力するステップをさらに有する、請求項１に記載の方法。
8. 前記ネットワークがＩｎｆｉｎｉＢａｎｄネットワークである、請求項１に記載の方法。
9. 要求に応じてトリガされる質問を作成する手段と、前記質問に対する回答を評価する手段とを有する、高速ネットワーク内でターゲットを攻撃から保護するモジュール。
10. ハードウェア・モジュールに組み込まれている、請求項９に記載のモジュール。
11. 前記モジュールが、ネットワーク・アダプタのハウジングに一体化されている、請求項１０に記載のモジュール。
12. 前記モジュールが、別々のハウジングに一体化されている、請求項１０に記載のモジュール。
13. ソフトウェア・モジュールに組み込まれている、請求項１０に記載のモジュール。
14. コンピュータ可読媒体と、コンピュータ・プログラムであって、前記コンピュータ・プログラムが或るコンピュータ上で作動する場合に請求項１乃至８のいずれかに記載の方法を実行するのに適したプログラム符号化手段を有する前記コンピュータ可読媒体に保存された、コンピュータ・プログラムと、
    を有するコンピュータ・プログラム製品。
15. 前記コンピュータ・プログラムが或るコンピュータ上で作動する場合に、請求項１乃至８のいずれかに記載の方法を実行するのに適したプログラム符号化手段を有する、コンピュータ・プログラム。
16. 高速ネットワーク内での要求を、共通のハンドシェーク・プロトコルを使用してターゲットで処理する方法であって、前記共通のハンドシェーク・プロトコルは、前記ターゲットの負荷が所定の閾値を超えるや否や、請求項１乃至８のいずれかに記載の方法によって修正される、方法。

Images