JP2009218825A - Network attack detection device and defense device - Google Patents

Network attack detection device and defense device Download PDF

Info

Publication number
JP2009218825A
JP2009218825A JP2008060053A JP2008060053A JP2009218825A JP 2009218825 A JP2009218825 A JP 2009218825A JP 2008060053 A JP2008060053 A JP 2008060053A JP 2008060053 A JP2008060053 A JP 2008060053A JP 2009218825 A JP2009218825 A JP 2009218825A
Authority
JP
Japan
Prior art keywords
syn
packets
ack
attack
packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2008060053A
Other languages
Japanese (ja)
Other versions
JP5009200B2 (en
Inventor
Akira Agata
亮 縣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
KDDI Corp
Original Assignee
KDDI Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by KDDI Corp filed Critical KDDI Corp
Priority to JP2008060053A priority Critical patent/JP5009200B2/en
Publication of JP2009218825A publication Critical patent/JP2009218825A/en
Application granted granted Critical
Publication of JP5009200B2 publication Critical patent/JP5009200B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To provide a network attack detection device and a defense device detecting network attack and avoiding an increase in delay time taken before a start of communication by a simple structure. <P>SOLUTION: The defense device 1 includes an incoming short packet counter section 12 counting the number of control packets sent from a specific client, an outgoing short packet counter section 13 counting the number of control packets sent to the specific client and a control section 14 detecting a network attack by the specific client based on a ratio of the counter value of the incoming short packet counter section 12 to that of the outgoing short packet counter section 13. <P>COPYRIGHT: (C)2009,JPO&INPIT

Description

本発明は、ネットワーク攻撃検出装置及び防御装置に関する。   The present invention relates to a network attack detection device and a defense device.

近年、インターネット上のサーバが提供するサービスを妨害するネットワーク攻撃が問題となっている。このネットワーク攻撃としては、例えば、悪意のある攻撃者がサーバの機能を麻痺させようとして大量のパケットを送信するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃がある。   In recent years, network attacks that interfere with services provided by servers on the Internet have become a problem. As this network attack, for example, there is a DDoS (Distributed Denial of Service) attack in which a malicious attacker transmits a large number of packets in an attempt to paralyze the server function.

図７は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏl）の正常な接続確立手順を示すシーケンス図である。
ＴＣＰにおける正常な接続確立は以下に示す３ウェイハンドシェイクにより行われる。まず、クライアント２２がサーバ２３にアクセスする際に、クライアント２２は、サーバ２３へＳＹＮパケットを送信する。次に、サーバ２３は、クライアント２２へ受信したＳＹＮパケットに対する受信確認であるＳＹＮ−ＡＣＫパケットを返送する。最後に、ＳＹＮ−ＡＣＫパケットを受信したクライアントは、サーバ２３へＡＣＫパケットを送信する。これにより、クライアント２２とサーバ２３とは通信可能な状態となる。 FIG. 7 is a sequence diagram showing a normal connection establishment procedure of TCP (Transmission Control Protocol).
Normal connection establishment in TCP is performed by the following three-way handshake. First, when the client 22 accesses the server 23, the client 22 transmits a SYN packet to the server 23. Next, the server 23 returns a SYN-ACK packet that is a reception confirmation for the received SYN packet to the client 22. Finally, the client that has received the SYN-ACK packet transmits an ACK packet to the server 23. Thereby, the client 22 and the server 23 are in a communicable state.

図８は、ＤＤｏＳ攻撃の１つであるＳＹＮ Ｆｌｏｏｄ攻撃の概要を示すシーケンス図である。
ＳＹＮ Ｆｌｏｏｄ攻撃は、上記３ウェイハンドシェイクを悪用した攻撃である。悪意のあるクライアント２２は、サーバ２３へ送信元を詐称した多数のＳＹＮパケットを送信する。そのＳＹＮパケットを受信したサーバ２３は、ＳＹＮパケットを送信したクライアント２２ではなく、詐称された送信元に対してＳＹＮ−ＡＣＫパケットを送信する。しかし、当該送信元は詐称されたものであるため、送信元からはＡＣＫパケットがサーバ２３へ返送されることはない。やがて、サーバ２３ではＴＣＰ接続確立の要求数が許容量を超えて、ＴＣＰ接続確立の要求を受け付けることができなくなってしまう。このため、サーバ２３は、ＳＹＮパケットの応答としてこれ以上接続ができない事を示すＲＳＴパケットをＳＹＮパケットの送信元に送信する。このため、一般ユーザからのサーバ２３へのアクセスが妨害されてしまう。 FIG. 8 is a sequence diagram showing an outline of a SYN Flood attack, which is one of DDoS attacks.
The SYN Flood attack is an attack that exploits the 3-way handshake. The malicious client 22 transmits a large number of SYN packets in which the transmission source is spoofed to the server 23. The server 23 that has received the SYN packet transmits a SYN-ACK packet to the spoofed transmission source instead of the client 22 that has transmitted the SYN packet. However, since the transmission source is spoofed, an ACK packet is not returned to the server 23 from the transmission source. Eventually, the server 23 will not be able to accept TCP connection establishment requests because the number of TCP connection establishment requests exceeds the allowable amount. Therefore, the server 23 transmits an RST packet indicating that no further connection can be made as a response to the SYN packet to the source of the SYN packet. For this reason, access to the server 23 from a general user will be obstructed.

図９は、図８で示した攻撃以外の攻撃パターンの概要を示すシーケンス図である。
この攻撃パターンでは、悪意のあるクライアント２２は、サーバ２３へＳＹＮパケットを送信するが、そのＳＹＮパケットに対するＳＹＮ−ＡＣＫパケットを受信しても、サーバ２３へＡＣＫパケットを返送しない。そのため、クライアント２２が大量にＳＹＮパケットを送信すると、やがて、サーバ２３ではＴＣＰ接続確立の要求数が許容量を超えて、ＴＣＰ接続確立の要求を受け付けることができなくなってしまう。 FIG. 9 is a sequence diagram showing an outline of attack patterns other than the attack shown in FIG.
In this attack pattern, the malicious client 22 transmits a SYN packet to the server 23, but does not return an ACK packet to the server 23 even if it receives a SYN-ACK packet for the SYN packet. For this reason, when the client 22 transmits a large number of SYN packets, the server 23 eventually cannot accept TCP connection establishment requests because the number of TCP connection establishment requests exceeds the allowable amount.

このような攻撃に対する従来の防御方法には、正常トラフィックの到着レート変動が正規分布によりモデル化できることを利用して、攻撃トラフィックを検出する方法（例えば、非特許文献１参照）や、トラフィックの統計的性質を利用し、Ｗａｖｅｌｅｔ変換を応用した攻撃トラフィック検出方法（例えば、非特許文献２参照）が提案されている。
また、特許文献１に記載された防御装置では、攻撃可能性のあるクライアントからのＳＹＮパケットを一旦防御装置に蓄積し、ＳＹＮパケットの送信元アドレス（クライアント）の存在を確認したうえで当該ＳＹＮパケットを宛先アドレス（サーバ）に送信する。また、特許文献２に記載された防御装置は、単位時間あたりの上り方向のパケット数と下り方向のパケット数の統計情報から攻撃を検知する。
特開２００５−１２４０５５号公報 特開２００７−１６６１５４号公報 大木裕一他、「観測トラヒックの統計的性質を利用したDDoS Attackの検出方法」信学技報IN2003-201、pp23-28、2004 P. Shinde, et al., “Early DoS Attack Detection using Smoothened Time-Series and Wavelet Analysis,” IEEE 3rd International Symposium on Information Assurance and Security, 2007. Conventional defense methods against such attacks include a method of detecting attack traffic by utilizing the fact that normal traffic arrival rate fluctuations can be modeled by a normal distribution (see Non-Patent Document 1, for example), and traffic statistics. An attack traffic detection method (for example, see Non-Patent Document 2) that uses wavelet transformation by using the characteristic of the image has been proposed.
Further, in the defense device described in Patent Document 1, a SYN packet from a client that is likely to attack is temporarily stored in the defense device, and after confirming the existence of the source address (client) of the SYN packet, the SYN packet To the destination address (server). Further, the defense device described in Patent Document 2 detects an attack from statistical information on the number of packets in the upstream direction and the number of packets in the downstream direction per unit time.
JP 2005-124055 A JP 2007-166154 A Yuichi Ohki et al., "DDoS Attack detection method using statistical properties of observed traffic" IEICE Technical Report IN2003-201, pp23-28, 2004 P. Shinde, et al., “Early DoS Attack Detection using Smoothened Time-Series and Wavelet Analysis,” IEEE 3rd International Symposium on Information Assurance and Security, 2007.

しかしながら、非特許文献１、非特許文献２及び特許文献２に記載された技術では、通信トラヒックの統計的性質を計算する必要があるため、防御装置の処理が複雑になってしまう、という問題がある。また、特許文献１に記載された技術では、クライアントの存在をＳＹＮ−ＡＣＫパケットを送信することにより確認してから通信を開始するため、攻撃者ではない一般ユーザの通信開始に遅延増をもたらしてしまう、また、防御装置の構成が複雑になってしまう、という問題がある。
本発明は上記の点に鑑みてなされたものであり、その目的は、簡易な構成でネットワーク攻撃の検出を可能とし、かつ、通信開始までの遅延時間の増加を回避するネットワーク攻撃検出装置及び防御装置を提供することにある。 However, in the techniques described in Non-Patent Document 1, Non-Patent Document 2 and Patent Document 2, since it is necessary to calculate the statistical properties of communication traffic, there is a problem that the processing of the defense device becomes complicated. is there. In the technique described in Patent Document 1, since the communication is started after the existence of the client is confirmed by transmitting a SYN-ACK packet, an increase in delay is caused in the communication start of a general user who is not an attacker. In addition, there is a problem that the configuration of the defense device becomes complicated.
The present invention has been made in view of the above points, and an object of the present invention is to detect a network attack with a simple configuration and to prevent an increase in delay time until the start of communication and a defense To provide an apparatus.

本発明は上記の課題を解決するためになされたものであり、本発明の一態様は、特定クライアントから送信された制御パケットの個数を計数する第１のカウンタと、前記特定クライアント宛に送信された制御パケットの個数を計数する第２のカウンタと、前記第１及び第２のカウンタの各カウンタ値の比に基づいて、前記特定クライアントによるネットワーク攻撃を検出する検出手段と、を備えたことを特徴とするネットワーク攻撃検出装置である。   SUMMARY An advantage of some aspects of the invention is that a first counter that counts the number of control packets transmitted from a specific client, and a transmission addressed to the specific client are provided. A second counter that counts the number of control packets, and detection means that detects a network attack by the specific client based on a ratio of the counter values of the first and second counters. This is a featured network attack detection device.

また、本発明の一態様は、上記のネットワーク攻撃検出装置において、前記第１及び第２のカウンタは、パケット長によって制御パケットを識別することを特徴とする。   According to another aspect of the present invention, in the network attack detection apparatus, the first and second counters identify a control packet based on a packet length.

また、本発明の一態様は、上記のネットワーク攻撃検出装置において、前記第１のカウンタは、ＳＹＮパケットとＡＣＫパケットの合計個数を計数し、前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、前記検出手段は、ＳＹＮパケットとＡＣＫパケットの合計個数に対するＳＹＮ−ＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出することを特徴とする。   According to another aspect of the present invention, in the network attack detection apparatus, the first counter counts the total number of SYN packets and ACK packets, and the second counter calculates the number of SYN-ACK packets. The detecting means is characterized in that it detects a “SYN Flood attack” related to TCP when the ratio of the number of SYN-ACK packets to the total number of SYN packets and ACK packets is smaller than a predetermined value.

また、本発明の一態様は、上記のネットワーク攻撃検出装置において、前記第１のカウンタは、ＳＹＮパケットの個数を計数し、前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、前記検出手段は、ＳＹＮパケットの個数に対するＳＹＮ−ＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出することを特徴とする。   Further, according to one aspect of the present invention, in the network attack detection device, the first counter counts the number of SYN packets, the second counter counts the number of SYN-ACK packets, The detecting means detects a “SYN Flood attack” related to TCP when the ratio of the number of SYN-ACK packets to the number of SYN packets is smaller than a predetermined value.

また、本発明の一態様は、上記のネットワーク攻撃検出装置において、前記第１のカウンタは、ＳＹＮパケットの個数とＡＣＫパケットの個数を計数し、前記検出手段は、ＳＹＮパケットの個数に対するＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出することを特徴とする。   Also, according to one aspect of the present invention, in the network attack detection device, the first counter counts the number of SYN packets and the number of ACK packets, and the detection unit includes the number of ACK packets with respect to the number of SYN packets. When the ratio of the numbers is smaller than a predetermined value, a “SYN Flood attack” related to TCP is detected.

また、本発明の一態様は、上記のネットワーク攻撃検出装置において、前記第１のカウンタは、ＳＹＮパケットとＡＣＫパケットの合計個数を計数し、前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、前記検出手段は、ＳＹＮパケットとＡＣＫパケットの合計個数に対するＳＹＮ−ＡＣＫパケットの個数の比が所定の値より大きい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出することを特徴とする。   According to another aspect of the present invention, in the network attack detection apparatus, the first counter counts the total number of SYN packets and ACK packets, and the second counter calculates the number of SYN-ACK packets. The detecting means counts a “SYN Flood attack” related to TCP when the ratio of the number of SYN-ACK packets to the total number of SYN packets and ACK packets is larger than a predetermined value.

また、本発明の一態様は、上記のネットワーク攻撃検出装置において、前記第１のカウンタは、ＡＣＫパケット個数を計数し、前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、前記検出手段は、ＳＹＮ−ＡＣＫパケットの個数に対するＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出することを特徴とする。   Further, according to one aspect of the present invention, in the network attack detection apparatus, the first counter counts the number of ACK packets, the second counter counts the number of SYN-ACK packets, and detects the detection The means is characterized by detecting a “SYN Flood attack” related to TCP when the ratio of the number of ACK packets to the number of SYN-ACK packets is smaller than a predetermined value.

また、本発明の一態様は、上記のネットワーク攻撃検出装置と、ネットワーク攻撃が検出された特定のクライアントが送信元である制御パケットの帯域制限を行う帯域制限部と、を備えたことを特徴とする防御装置である。   According to another aspect of the present invention, there is provided the network attack detection apparatus described above and a bandwidth limiter that limits the bandwidth of a control packet whose source is a specific client in which a network attack is detected. It is a defensive device.

また、本発明の一態様は、上記の防御装置において、前記帯域制限対象は、ＴＣＰに係るＳＹＮパケットであることを特徴とする。   In addition, according to an aspect of the present invention, in the defense device described above, the bandwidth limitation target is a SYN packet related to TCP.

本発明によれば、特定クライアントから送信された制御パケットの個数と特定クライアント宛に送信された制御パケットの個数の比に基づいてネットワーク攻撃を検出するので、複雑な処理が必要なくなる。これにより、簡易な構成でネットワーク攻撃の検出が可能となる。また、クライアントを確認する必要がないので、通信開始までの遅延時間の増加を回避することができる。   According to the present invention, since a network attack is detected based on the ratio between the number of control packets transmitted from a specific client and the number of control packets transmitted to the specific client, complicated processing is not required. This makes it possible to detect a network attack with a simple configuration. In addition, since there is no need to check the client, an increase in delay time until the start of communication can be avoided.

以下、図面を参照しながら本発明の実施形態について詳しく説明する。
図１は、本発明の実施形態による防衛装置１の配置位置を示す概略図である。
この図に示すように、クライアント２とサーバ３は、ネットワークを介して接続される。防御装置１は、クライアント２とネットワークの間に設けられる。この防御装置１は、例えば、通信事業者の局舎内に設けられ、クライアント２と加入者線（光ケーブル等）で１対１に接続されている。クライアント２と１対１で接続されることにより、防御装置１は、特定のクライアント２からのパケットのみ制限することができる。防御装置１は、ネットワークを介してサーバ３へ、クライアント２から受信したパケットを送信する。また、防御装置１は、ネットワークを介してサーバ３から受信したパケットをクライアント２へ送信する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
FIG. 1 is a schematic view showing the arrangement position of the defense device 1 according to the embodiment of the present invention.
As shown in this figure, the client 2 and the server 3 are connected via a network. The defense device 1 is provided between the client 2 and the network. The defense device 1 is provided, for example, in a telecommunications carrier's office, and is connected to the client 2 and a subscriber line (such as an optical cable) in a one-to-one relationship. By connecting with the client 2 on a one-to-one basis, the defense device 1 can limit only packets from a specific client 2. The defense device 1 transmits the packet received from the client 2 to the server 3 via the network. Further, the defense device 1 transmits the packet received from the server 3 to the client 2 via the network.

サーバ３は、防御対象となるサーバ装置である。クライアント２は、パーソナルコンピュータなどのＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏl）に準拠した通信を行うことができる装置である。   The server 3 is a server device to be protected. The client 2 is a device that can perform communication conforming to TCP (Transmission Control Protocol) such as a personal computer.

なお、図１においては、クライアント２及びサーバ３を１台ずつ示しているが、複数台存在しても構わない。以下では、クライアント２からサーバ３へ向かう方向を「上り方向」、サーバ３からクライアント２へ向かう方向を「下り方向」として説明する。   In FIG. 1, one client 2 and one server 3 are shown, but a plurality of clients may exist. Hereinafter, the direction from the client 2 to the server 3 will be described as “uplink direction”, and the direction from the server 3 to the client 2 will be described as “downlink direction”.

本実施形態では、ＴＣＰに係るＳＹＮ Ｆｌｏｏｄ攻撃を防御する。まず、本発明の原理を説明する。ＴＣＰにおける正常な接続確立手順では、図７のように、ＳＹＮパケット数：ＳＹＮ−ＡＣＫパケット数：ＡＣＫパケット数の比は、１：１：１になる。一方、図８の攻撃パターンでは、上り方向のＳＹＮパケットが多いのに比して、下り方向のＳＹＮ−ＡＣＫパケットは少なくなる。また、上り方向のＡＣＫパケットも少ない。この知見に基づき、いくつかのＳＹＮ Ｆｌｏｏｄ攻撃の判定方法を着想した。以下では、上り方向のＳＹＮパケット数と下り方向のＳＹＮ−ＡＣＫパケット数の比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。又は、上り方向のＳＹＮパケット数と上り方向のＡＣＫパケット数の比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。   In this embodiment, the SYN Flood attack related to TCP is protected. First, the principle of the present invention will be described. In a normal connection establishment procedure in TCP, as shown in FIG. 7, the ratio of the number of SYN packets: the number of SYN-ACK packets: the number of ACK packets is 1: 1: 1. On the other hand, in the attack pattern of FIG. 8, the number of downlink SYN-ACK packets is smaller than the number of upstream SYN packets. Also, there are few uplink ACK packets. Based on this finding, several methods for determining SYN Flood attacks were conceived. Hereinafter, the SYN Flood attack is determined from the ratio of the number of uplink SYN packets to the number of downlink SYN-ACK packets. Alternatively, the SYN Flood attack is determined from the ratio between the number of uplink SYN packets and the number of uplink ACK packets.

（判定方法１）この判定方法では、上り方向のＳＹＮパケットとＡＣＫパケットの合計数Ａと下り方向のＳＹＮ−ＡＣＫパケット数Ｂの比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。ＴＣＰにおける正常な接続確立手順では、ＳＹＮ−ＡＣＫパケット数Ｂの合計数Ａに対する比（Ｂ／Ａ）は０．５となり、極端に小さな値にはならない。一方、図８の攻撃パターンでは、Ｂ／Ａは小さな値になる。この場合の判定条件は、Ｂ／Ａが所定の閾値より小さくなる場合にＳＹＮ Ｆｌｏｏｄ攻撃と判定する。所定の閾値は０．５より小さい値である。   (Determination method 1) In this determination method, a SYN Flood attack is determined from the ratio of the total number A of uplink SYN packets and ACK packets to the number of downlink SYN-ACK packets B. In a normal connection establishment procedure in TCP, the ratio (B / A) of the number B of SYN-ACK packets to the total number A is 0.5, which is not an extremely small value. On the other hand, in the attack pattern of FIG. 8, B / A has a small value. The determination condition in this case is determined as a SYN Flood attack when B / A is smaller than a predetermined threshold. The predetermined threshold is a value smaller than 0.5.

（判定方法２）この判定方法では、上り方向のＳＹＮパケット数Ｃと下り方向のＳＹＮ−ＡＣＫパケット数Ｂの比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。ＴＣＰにおける正常な接続確立手順では、ＳＹＮ−ＡＣＫパケット数ＢのＳＹＮパケット数Ｃに対する比（Ｂ／Ｃ）は１となり、極端に小さな値にはならない。一方、図８の攻撃パターンでは、Ｂ／Ｃは小さな値になる。この場合の判定条件は、Ｂ／Ｃが所定の閾値より小さくなる場合にＳＹＮ Ｆｌｏｏｄ攻撃と判定する。所定の閾値は１より小さい値である。   (Determination method 2) In this determination method, a SYN Flood attack is determined from the ratio of the number of SYN packets in the upstream direction and the number of SYN-ACK packets in the downstream direction. In a normal connection establishment procedure in TCP, the ratio (B / C) of the number of SYN-ACK packets B to the number of SYN packets C is 1, which is not an extremely small value. On the other hand, in the attack pattern of FIG. 8, B / C becomes a small value. The determination condition in this case is determined as a SYN Flood attack when B / C is smaller than a predetermined threshold. The predetermined threshold is a value smaller than 1.

（判定方法３）この判定方法では、上り方向のＳＹＮパケット数Ｃと上り方向のＡＣＫパケット数Ｄの比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。ＴＣＰにおける正常な接続確立手順では、ＡＣＫパケット数ＤのＳＹＮパケット数Ｃに対する比（Ｄ／Ｃ）は１となり、極端に小さな値にはならない。一方、図８の攻撃パターンでは、Ｄ／Ｃは小さな値になる。この場合の判定条件は、Ｄ／Ｃが所定の閾値より小さくなる場合にＳＹＮ Ｆｌｏｏｄ攻撃と判定する。所定の閾値は１より小さい値である。   (Determination Method 3) In this determination method, a SYN Flood attack is determined from the ratio of the number of uplink SYN packets C and the number of uplink ACK packets D. In a normal connection establishment procedure in TCP, the ratio (D / C) of the number of ACK packets D to the number of SYN packets C is 1, which is not an extremely small value. On the other hand, in the attack pattern of FIG. 8, D / C becomes a small value. The determination condition in this case is determined as a SYN Flood attack when D / C is smaller than a predetermined threshold. The predetermined threshold is a value smaller than 1.

図９のＡＣＫパケットを送信しない攻撃パターンでは、上り方向のＳＹＮパケットが多いが、上り方向のＡＣＫパケットは少ない。この知見に基づき、以下の方法でＳＹＮ Ｆｌｏｏｄ攻撃を判定できる。   In the attack pattern that does not transmit the ACK packet in FIG. 9, there are many uplink SYN packets, but there are few uplink ACK packets. Based on this knowledge, the SYN Flood attack can be determined by the following method.

（判定方法４）この判定方法では、上り方向のＳＹＮパケット及びＡＣＫパケットの合計数Ａと下り方向のＳＹＮ−ＡＣＫパケット数Ｂの比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。図９の攻撃パターンでは、ＳＹＮ−ＡＣＫパケット数Ｂの合計数Ａに対する比（Ｂ／Ａ）は１となる。この場合の判定条件は、Ｂ／Ａが所定の閾値より大きくなる場合にＳＹＮ Ｆｌｏｏｄ攻撃と判定する。所定の閾値は０．５より大きい値である。   (Determination Method 4) In this determination method, a SYN Flood attack is determined from the ratio of the total number A of uplink SYN packets and ACK packets to the number of downlink SYN-ACK packets B. In the attack pattern of FIG. 9, the ratio (B / A) of the SYN-ACK packet number B to the total number A is 1. The determination condition in this case is determined as a SYN Flood attack when B / A is greater than a predetermined threshold. The predetermined threshold is a value greater than 0.5.

（判定方法５）この判定方法では、上り方向のＡＣＫパケット数Ｄと下り方向のＳＹＮ−ＡＣＫパケット数Ｂの比からＳＹＮ Ｆｌｏｏｄ攻撃を判定する。ＴＣＰにおける正常な接続確立手順では、ＡＣＫパケット数ＤのＳＹＮ−ＡＣＫパケット数Ｂに対する比（Ｄ／Ｂ）は１となり、極端に小さな値にはならない。一方、図９の攻撃パターンでは、Ｄ／Ｂは小さな値になる。この場合の判定条件は、Ｄ／Ｂが所定の閾値より小さくなる場合にＳＹＮ Ｆｌｏｏｄ攻撃と判定する。所定の閾値は１より小さい値である。
また、上述した判定方法３でもこの攻撃パターンの判定をすることができる。以下、各実施形態を説明する。 (Determination method 5) In this determination method, a SYN Flood attack is determined from the ratio of the number D of uplink ACK packets and the number B of SYN-ACK packets in the downlink direction. In a normal connection establishment procedure in TCP, the ratio (D / B) of the number of ACK packets D to the number of SYN-ACK packets B (D / B) is 1, which is not an extremely small value. On the other hand, in the attack pattern of FIG. 9, D / B becomes a small value. The determination condition in this case is determined as a SYN Flood attack when D / B is smaller than a predetermined threshold. The predetermined threshold is a value smaller than 1.
The attack pattern can also be determined by the determination method 3 described above. Each embodiment will be described below.

［第１の実施形態］
本実施形態は、判定方法１又は４の実施形態である。また、本実施形態では、制御パケット（ＳＹＮパケット、ＡＣＫパケット及びＳＹＮ−ＡＣＫパケット等）をカウントする手段として短パケットをカウントする。短パケットとは、あらかじめ設定された所定の値よりサイズの小さいパケットのことである。これは、制御パケットのパケット長が比較的短いこと、及びデータトラヒックのパケット長が比較的長く、制御パケットのパケット長と同程度になる確率が極めて低いことを利用している。制御パケットは、ＳＹＮパケット、ＡＣＫパケット及びＳＹＮ−ＡＣＫパケット以外にも存在するが、ＳＹＮ Ｆｌｏｏｄ攻撃がある場合には、判定方法１又は判定方法４の傾向が強くなるため上り方向の短パケットと下り方向の短パケットの比で判定できる。なお、制御パケットは、ＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）タグ等がない状態で６４バイトである。 [First Embodiment]
The present embodiment is an embodiment of the determination method 1 or 4. In this embodiment, short packets are counted as means for counting control packets (such as SYN packets, ACK packets, and SYN-ACK packets). A short packet is a packet having a size smaller than a predetermined value set in advance. This utilizes the fact that the packet length of the control packet is relatively short, and the packet length of the data traffic is relatively long, and the probability of becoming the same as the packet length of the control packet is extremely low. Control packets exist in addition to SYN packets, ACK packets, and SYN-ACK packets. However, when there is a SYN Flood attack, the tendency of determination method 1 or determination method 4 becomes strong, and therefore, an upstream short packet and a downlink packet are transmitted. It can be determined by the ratio of short packets in the direction. The control packet is 64 bytes without a VLAN (Virtual LAN) tag or the like.

図２は、第１の実施形態における防御装置１の構成を示すブロック図である。
防御装置１は、第１のネットワークインタフェース部１１と、上り短パケットカウンタ部１２（第１のカウンタ）と、下り短パケットカウンタ部１３（第２のカウンタ）と、制御部１４（検出手段）と、振り分け部１５と、帯域制限部１６と、統合部１７と、第２のネットワークインタフェース部１８と、を含んで構成される。本実施形態における防御装置１は、上り方向の短パケット数と下り方向の短パケット数を算出し、それらの比に基づいてネットワーク攻撃であるか否かを判定する。 FIG. 2 is a block diagram illustrating a configuration of the defense device 1 according to the first embodiment.
The defense device 1 includes a first network interface unit 11, an uplink short packet counter unit 12 (first counter), a downlink short packet counter unit 13 (second counter), a control unit 14 (detection means), The distribution unit 15, the bandwidth limiting unit 16, the integration unit 17, and the second network interface unit 18 are configured. The defense device 1 according to the present embodiment calculates the number of short packets in the uplink direction and the number of short packets in the downlink direction, and determines whether the attack is a network attack based on the ratio thereof.

第１のネットワークインタフェース部１１は、クライアント２から送信されるパケットを受信し、受信したパケットを上り短パケットカウンタ部１２に出力する。また、クライアント２宛てのパケットをクライアント２へ送信する。   The first network interface unit 11 receives a packet transmitted from the client 2 and outputs the received packet to the uplink short packet counter unit 12. Further, the packet addressed to the client 2 is transmitted to the client 2.

上り短パケットカウンタ部１２は、単位時間あたりに入力される短パケットの数をカウントし、カウントした値（Ｎ１）を制御部１４に出力する。また、上り短パケットカウンタ部１２は、入力されたパケットを振り分け部１５に出力する。   The upstream short packet counter unit 12 counts the number of short packets input per unit time, and outputs the counted value (N1) to the control unit 14. The uplink short packet counter unit 12 outputs the input packet to the distribution unit 15.

第２のネットワークインタフェース部１８は、サーバ３からクライアント２宛てのパケットを受信し、受信したパケットを下り短パケットカウンタ部１３に出力する。また、第２のネットワークインタフェース部１８は、統合部１７から入力された上り方向のパケットをサーバ３へネットワークを介して送信する。   The second network interface unit 18 receives a packet addressed to the client 2 from the server 3 and outputs the received packet to the downlink short packet counter unit 13. Further, the second network interface unit 18 transmits the uplink packet input from the integration unit 17 to the server 3 via the network.

下り短パケットカウンタ部１３は、単位時間あたりに入力される短パケットの数をカウントし、カウントした値（Ｎ２）を制御部１４に出力する。また、下り短パケットカウンタ部１３は、入力されたパケットを第１のネットワークインタフェース部１１に出力する。   The downlink short packet counter unit 13 counts the number of short packets input per unit time, and outputs the counted value (N2) to the control unit 14. The downlink short packet counter unit 13 outputs the input packet to the first network interface unit 11.

制御部１４は、上り短パケットカウンタ部１２から入力されたカウンタ値Ｎ１及び下り短パケットカウンタ部１３から入力されたカウンタ値Ｎ２に基づいて、ネットワーク攻撃を検出する。また、制御部１４は、ネットワーク攻撃があると判定した場合、帯域制限部１６を制御して上り方向の短パケットに帯域制限をかける。その詳細については後述する。   The control unit 14 detects a network attack based on the counter value N1 input from the uplink short packet counter unit 12 and the counter value N2 input from the downlink short packet counter unit 13. If the control unit 14 determines that there is a network attack, the control unit 14 controls the band limiting unit 16 to limit the bandwidth of the short packets in the uplink direction. Details thereof will be described later.

振り分け部１５は上り短パケットカウンタ部１２から入力されたパケットをＳＹＮパケットとその他のパケットに分類する。また、振り分け部１５は、ＳＹＮパケットを帯域制限部１６に、その他のパケットを統合部１７に出力する。帯域制限部１６は、入力されたＳＹＮパケットを統合部１７へ出力する。その際、制御部１４からの制御信号に基づいて、ＳＹＮパケットの通過量を制限する。   The distribution unit 15 classifies the packet input from the uplink short packet counter unit 12 into a SYN packet and other packets. In addition, the distribution unit 15 outputs the SYN packet to the band limiting unit 16 and the other packets to the integration unit 17. The band limiting unit 16 outputs the input SYN packet to the integration unit 17. At that time, the passing amount of the SYN packet is limited based on the control signal from the control unit 14.

統合部１７は、帯域制限部１６から入力されたＳＹＮパケットのトラヒックと振り分け部１５から入力されたその他のパケットのトラヒックを統合し、第２のネットワークインタフェース部１８に出力する。   The integration unit 17 integrates the traffic of the SYN packet input from the bandwidth limiting unit 16 and the traffic of the other packet input from the distribution unit 15 and outputs the integrated traffic to the second network interface unit 18.

図３は、本実施形態の制御部１４における防御処理の流れの一例を示すシーケンス図である。
制御部１４は、防御処理を開始する前に、ネットワーク攻撃検出のための閾値Ｘを設定する（ステップＳ１）。なお、閾値Ｘは、オペレータなどによって防御装置１に入力された値である。次に、制御部１４は、カウンタ値を取得する（ステップＳ２）。本実施形態では、制御部１４は、カウンタ値として、上り短パケットカウンタ部１２からＮ１を、下り短パケットカウンタ部１３からＮ２を取得する。Ｎ１はＳＹＮパケットとＡＣＫパケットの合計数Ａに対応する。Ｎ２はＳＹＮ−ＡＣＫパケット数Ｂに対応する。 FIG. 3 is a sequence diagram illustrating an example of the flow of defense processing in the control unit 14 of the present embodiment.
The control unit 14 sets a threshold value X for detecting a network attack before starting the defense process (step S1). The threshold value X is a value input to the defense device 1 by an operator or the like. Next, the control part 14 acquires a counter value (step S2). In the present embodiment, the control unit 14 acquires N1 from the uplink short packet counter unit 12 and N2 from the downlink short packet counter unit 13 as counter values. N1 corresponds to the total number A of SYN packets and ACK packets. N2 corresponds to the number B of SYN-ACK packets.

続いて、制御部１４は、ネットワーク攻撃判定を行う（ステップＳ３）。本実施形態では、制御部１４は、Ｎ２のＮ１に対する比（Ｎ２／Ｎ１）を算出し、算出した値を閾値Ｘと比較する。判定方法１の場合は、閾値Ｘは、０．５−αである。この場合、制御部１４は、Ｎ２／Ｎ１が閾値Ｘより小さい場合にネットワーク攻撃であると判定する。また、判定方法４の場合は、閾値Ｘは０．５＋βである。この場合、制御部１４は、Ｎ２／Ｎ１が閾値Ｘより大きい場合にネットワーク攻撃であると判定する。α，βは予め決められた正の定数である。なお、判定方法は、判定方法１または判定方法４いずれを用いてもよい。あるいは、両方を用いて判定を行ってもよい。   Subsequently, the control unit 14 performs network attack determination (step S3). In the present embodiment, the control unit 14 calculates the ratio (N2 / N1) of N2 to N1, and compares the calculated value with the threshold value X. In the case of the determination method 1, the threshold value X is 0.5−α. In this case, the control unit 14 determines that the attack is a network attack when N2 / N1 is smaller than the threshold value X. In the case of the determination method 4, the threshold value X is 0.5 + β. In this case, the control unit 14 determines that the attack is a network attack when N2 / N1 is larger than the threshold value X. α and β are positive constants determined in advance. As the determination method, either determination method 1 or determination method 4 may be used. Or you may perform determination using both.

ネットワーク攻撃であると判定した場合、制御部１４は、帯域制限部１６を制御してＳＹＮパケットに帯域制限をかける（ステップＳ４）。このとき、制御部１４は、最大パケット数を指定する。帯域制限部１６は、制御部１４からの制御信号に基づいて、単位時間あたり最大パケット数のＳＹＮパケットのみを統合部１７に通過させる。ここで、制御部１４は、例えば、最大パケット数をＮ２×ａとして帯域制限部１６に制御信号を出力する。ａは、１以上の定数である。最大パケット数はＮ２の値に基づいているため、単位時間毎に変化する。   If it is determined that the attack is a network attack, the control unit 14 controls the bandwidth limiting unit 16 to limit the bandwidth of the SYN packet (step S4). At this time, the control unit 14 designates the maximum number of packets. Based on the control signal from the control unit 14, the band limiting unit 16 allows only the SYN packet having the maximum number of packets per unit time to pass through the integration unit 17. Here, for example, the control unit 14 outputs a control signal to the band limiting unit 16 with the maximum number of packets set to N2 × a. a is a constant of 1 or more. Since the maximum number of packets is based on the value of N2, it changes every unit time.

一方、ネットワーク攻撃でないと判定した場合には、制御部１４は、帯域制限部１６が帯域制限設定済みか否かを判定する（ステップＳ５）。帯域制限設定済みでない場合には、ステップＳ２へ移行する。一方、帯域制限設定済みである場合には、制御部１４は、帯域制限部１６の帯域制限を解除して（ステップＳ６）、ステップＳ２へ移行する。   On the other hand, if it is determined that the network attack has not occurred, the control unit 14 determines whether or not the bandwidth limiter 16 has already been set (step S5). If the band limitation has not been set, the process proceeds to step S2. On the other hand, when the band limitation has been set, the control unit 14 releases the band limitation of the band limitation unit 16 (step S6), and proceeds to step S2.

このように、本実施形態によれば、防御装置１は、単位時間あたりの上り方向の短パケット数と、下り方向の短パケット数の比に基づいて、ネットワーク攻撃を検出するため、複雑な処理を行う必要がない。これにより、簡易な装置構成により、ネットワーク攻撃を検出することができる。また、防御装置１は、クライアントの存在を確認する必要がないため、一般ユーザの通信開始に遅延増をもたらすことはない。また、防御装置１は、ネットワーク攻撃が検出された場合には、単位時間あたりの上り方向のＳＹＮパケットの数を制限することにより、サーバ３への攻撃を抑制することができる。   Thus, according to the present embodiment, the defense device 1 detects a network attack based on the ratio of the number of short packets in the upstream direction and the number of short packets in the downstream direction per unit time. There is no need to do. Thereby, a network attack can be detected with a simple device configuration. Moreover, since it is not necessary for the defense device 1 to confirm the presence of the client, there is no delay increase in the communication start of general users. Further, when a network attack is detected, the defense device 1 can suppress attacks on the server 3 by limiting the number of uplink SYN packets per unit time.

［第２の実施形態］
この発明の第２の実施形態は、判定方法１又は判定方法４の実施形態である。第１の実施形態では、単位時間あたりの上り方向の短パケット数と下り方向の短パケット数を用いてネットワーク攻撃の検出を行ったが、本実施形態では、単位時間あたりのＳＹＮパケットとＡＣＫパケットの合計数とＳＹＮ−ＡＣＫパケット数を算出し、算出した値を用いてネットワーク攻撃の検出を行う。 [Second Embodiment]
The second embodiment of the present invention is an embodiment of determination method 1 or determination method 4. In the first embodiment, the network attack is detected by using the number of short packets in the uplink direction and the number of short packets in the downlink direction per unit time. In this embodiment, the SYN packet and the ACK packet per unit time are used. The total number and the number of SYN-ACK packets are calculated, and a network attack is detected using the calculated values.

図４は、本実施形態における防御装置５の構成を示すブロック図である。
防御装置５は、第１のネットワークインタフェース部５１と、ＳＹＮ／ＡＣＫカウンタ部５２（第１のカウンタ）と、ＳＹＮ−ＡＣＫカウンタ部５３（第２のカウンタ）と、制御部５４（検出手段）と、振り分け部５５と、帯域制限部５６と、統合部５７と、第２のネットワークインタフェース部５８と、を含んで構成される。 FIG. 4 is a block diagram showing a configuration of the defense device 5 in the present embodiment.
The defense device 5 includes a first network interface unit 51, a SYN / ACK counter unit 52 (first counter), a SYN-ACK counter unit 53 (second counter), and a control unit 54 (detection means). A distribution unit 55, a bandwidth limiting unit 56, an integration unit 57, and a second network interface unit 58.

ＳＹＮ／ＡＣＫカウンタ部５２は、第１のネットワークインタフェース部５１を介してクライアント２から受信したＳＹＮパケットとＡＣＫパケットの単位時間あたりの合計数をカウントし、カウントした値（Ｎ５１）を制御部５４に出力する。また、ＳＹＮ／ＡＣＫカウンタ部５２は、入力されたパケットを振り分け部５５に出力する。   The SYN / ACK counter unit 52 counts the total number of SYN packets and ACK packets per unit time received from the client 2 via the first network interface unit 51, and sends the counted value (N51) to the control unit 54. Output. Further, the SYN / ACK counter unit 52 outputs the input packet to the distribution unit 55.

ＳＹＮ−ＡＣＫカウンタ部５３は、第２のネットワークインタフェース部５８を介してネットワークから受信したＳＹＮ−ＡＣＫパケットの単位時間あたりの数をカウントし、カウントした値（Ｎ５２）を制御部５４に出力する。また、ＳＹＮ−ＡＣＫカウンタ部５３は、入力されたパケットを第１のネットワークインタフェース部５１に出力する。   The SYN-ACK counter unit 53 counts the number of SYN-ACK packets received from the network via the second network interface unit 58 per unit time, and outputs the counted value (N52) to the control unit 54. Further, the SYN-ACK counter unit 53 outputs the input packet to the first network interface unit 51.

制御部５４は、ＳＹＮ／ＡＣＫカウンタ部５２から入力されたカウンタ値Ｎ５１及びＳＹＮ−ＡＣＫカウンタ部５３から入力されたカウンタ値Ｎ５２に基づいて、ネットワーク攻撃を検出する。具体的には、制御部５４が、Ｎ５２のＮ５１に対する比（Ｎ５２／Ｎ５１）を算出する。Ｎ５１はＳＹＮパケットとＡＣＫパケットの合計数Ａに対応する。Ｎ５２はＳＹＮ−ＡＣＫパケット数Ｂに対応する。そして、制御部５４は、判定方法１では、Ｎ５２／Ｎ５１の値が「０．５−α」より小さい場合にネットワーク攻撃であると判定する。また、制御部５４は、判定方法４では、Ｎ５２／Ｎ５１の値が「０．５＋β」より大きい場合にネットワーク攻撃であると判定する。なお、判定方法は、判定方法１または判定方法４いずれを用いてもよい。あるいは、両方を用いて判定を行ってもよい。他の構成は第１の実施形態と同様なので説明を省略する。   The control unit 54 detects a network attack based on the counter value N51 input from the SYN / ACK counter unit 52 and the counter value N52 input from the SYN-ACK counter unit 53. Specifically, the control unit 54 calculates the ratio of N52 to N51 (N52 / N51). N51 corresponds to the total number A of SYN packets and ACK packets. N52 corresponds to the number B of SYN-ACK packets. Then, in the determination method 1, the control unit 54 determines that the attack is a network attack when the value of N52 / N51 is smaller than “0.5−α”. In the determination method 4, the control unit 54 determines that the attack is a network attack when the value of N52 / N51 is greater than “0.5 + β”. As the determination method, either determination method 1 or determination method 4 may be used. Or you may perform determination using both. Since other configurations are the same as those of the first embodiment, the description thereof is omitted.

このように、本実施形態によれば、単位時間あたりのＳＹＮパケット及びＡＣＫパケットの合計数とＳＹＮ−ＡＣＫパケット数の比に基づいてネットワーク攻撃を検出している。これにより、より正確なネットワーク攻撃の検知及び抑制が可能になる。   Thus, according to the present embodiment, a network attack is detected based on the ratio of the total number of SYN packets and ACK packets per unit time and the number of SYN-ACK packets. This enables more accurate network attack detection and suppression.

［第３の実施形態］
この発明の第３の実施形態は、判定方法２又は判定方法５の実施形態である。第２の実施形態では、ＳＹＮパケットとＡＣＫパケットの区別をせずカウントしたが、本実施形態では、ＳＹＮパケットとＡＣＫパケットを別々にカウントする。 [Third Embodiment]
The third embodiment of the present invention is an embodiment of the determination method 2 or the determination method 5. In the second embodiment, the SYN packet and the ACK packet are counted without being distinguished, but in the present embodiment, the SYN packet and the ACK packet are counted separately.

図５は、本実施形態における防御装置６の構成を示すブロック図である。
防御装置６は、第１のネットワークインタフェース部６１と、ＳＹＮ／ＡＣＫ別カウンタ部６２（第１のカウンタ）と、ＳＹＮ−ＡＣＫカウンタ部６３（第２のカウンタ）と、制御部６４（検出手段）と、振り分け部６５と、帯域制限部６６と、統合部６７と、第２のネットワークインタフェース部６８と、を含んで構成される。 FIG. 5 is a block diagram showing the configuration of the defense device 6 in the present embodiment.
The protection device 6 includes a first network interface unit 61, a SYN / ACK-specific counter unit 62 (first counter), a SYN-ACK counter unit 63 (second counter), and a control unit 64 (detection means). A distribution unit 65, a band limiting unit 66, an integration unit 67, and a second network interface unit 68.

ＳＹＮ／ＡＣＫ別カウンタ部６２は、第１のネットワークインタフェース部６１を介してクライアント２から受信したＳＹＮパケットとＡＣＫパケットの単位時間あたりの数をそれぞれカウントし、ＳＹＮパケットをカウントした値（Ｎ６１）とＡＣＫパケットをカウントした値（Ｎ６３）を制御部６４に出力する。また、ＳＹＮ／ＡＣＫ別カウンタ部６２は、入力されたパケットを振り分け部６５に出力する。   The SYN / ACK-specific counter unit 62 counts the number of SYN packets and ACK packets received from the client 2 via the first network interface unit 61 per unit time, and the value obtained by counting the SYN packets (N61). A value (N63) obtained by counting the ACK packets is output to the control unit 64. Also, the SYN / ACK-specific counter unit 62 outputs the input packet to the distribution unit 65.

制御部６４は、ＳＹＮ／ＡＣＫ別カウンタ部６２から入力されたカウンタ値Ｎ６１、カウンタ値Ｎ６３及びＳＹＮ−ＡＣＫカウンタ部６３から入力されたＳＹＮ−ＡＣＫパケットの単位時間あたりのカウント数であるカウンタ値Ｎ６２に基づいて、ネットワーク攻撃を検出する。具体的には、制御部６４が、Ｎ６２のＮ６１に対する比（Ｎ６２／Ｎ６１）と、Ｎ６３に対するＮ６２の比（Ｎ６３／Ｎ６２）を算出する。Ｎ６１はＳＹＮパケット数Ｃに対応する。Ｎ６２は、ＳＹＮ−ＡＣＫパケット数Ｂに対応する。Ｎ６３は、ＡＣＫパケット数Ｄに対応する。   The control unit 64 has a counter value N62 that is a count value per unit time of the counter value N61, the counter value N63, and the SYN-ACK packet input from the SYN-ACK counter unit 63. Detect network attacks based on Specifically, the control unit 64 calculates the ratio of N62 to N61 (N62 / N61) and the ratio of N62 to N63 (N63 / N62). N61 corresponds to the number C of SYN packets. N62 corresponds to the number B of SYN-ACK packets. N63 corresponds to the number D of ACK packets.

そして、制御部６４は、判定方法２では、Ｎ６２／Ｎ６１の値が「１−γ」より小さい場合にネットワーク攻撃であると判定する。また、制御部６４は、判定方法５では、Ｎ６３／Ｎ６２の値が「１−γ」より小さい場合に、ネットワーク攻撃であると判定する。γは、予め決められた正の定数である。なお、判定方法は、判定方法２または判定方法５いずれを用いてもよい。あるいは、両方を用いて判定を行ってもよい。他の構成は第２の実施形態と同様なので説明を省略する。   In the determination method 2, the control unit 64 determines that the attack is a network attack when the value of N62 / N61 is smaller than “1-γ”. In the determination method 5, the control unit 64 determines that the attack is a network attack when the value of N63 / N62 is smaller than “1-γ”. γ is a predetermined positive constant. As the determination method, either determination method 2 or determination method 5 may be used. Or you may perform determination using both. Since other configurations are the same as those of the second embodiment, description thereof is omitted.

このように、本実施形態によれば、ＳＹＮパケットとＡＣＫパケットの単位時間あたりの数を別々にカウントして、その値に基づいてネットワーク攻撃の検出をしている。これにより、より正確なネットワーク攻撃の検出が可能になる。   Thus, according to the present embodiment, the number of SYN packets and ACK packets per unit time is counted separately, and a network attack is detected based on the values. This makes it possible to detect network attacks more accurately.

［第４の実施形態］
この発明の第４の実施形態は、判定方法３の実施形態である。本実施形態では、ＳＹＮパケット及びＡＣＫパケットのそれぞれの単位時間あたりの数に基づいてネットワーク攻撃の検出を行う。 [Fourth Embodiment]
The fourth embodiment of the present invention is an embodiment of the determination method 3. In this embodiment, a network attack is detected based on the number of SYN packets and ACK packets per unit time.

図６は、本実施形態における防御装置７の構成を示すブロック図である。
防御装置７は、第１のネットワークインタフェース部７１と、ＳＹＮ／ＡＣＫ別カウンタ部７２（第１のカウンタ）と、制御部７４（検出手段）と、振り分け部７５と、帯域制限部７６と、統合部７７と、第２のネットワークインタフェース部７８と、を含んで構成される。 FIG. 6 is a block diagram showing a configuration of the defense device 7 in the present embodiment.
The defense device 7 includes a first network interface unit 71, a SYN / ACK-specific counter unit 72 (first counter), a control unit 74 (detection means), a distribution unit 75, and a band limiting unit 76. Part 77 and a second network interface part 78.

制御部７４は、ＳＹＮ／ＡＣＫ別カウンタ部７２から入力されたＳＹＮパケットの単位時間あたりの数であるカウンタ値Ｎ７１及びＡＣＫパケットの単位時間あたりの数であるカウンタ値Ｎ７２に基づいて、ネットワーク攻撃を検出する。具体的には、制御部７４が、Ｎ７２のＮ７１に対する比（Ｎ７２／Ｎ７１）を算出する。Ｎ７１はＳＹＮパケット数Ｃに対応する。Ｎ７２はＡＣＫパケット数Ｄに対応する。そして、制御部７４は、Ｎ７２／Ｎ７１の値が「１−γ」未満の場合に、ネットワーク攻撃であると判定する。他の構成は第３の実施形態と同様なので説明を省略する。   Based on the counter value N71 that is the number of SYN packets per unit time input from the SYN / ACK-specific counter unit 72 and the counter value N72 that is the number of ACK packets per unit time, the control unit 74 performs a network attack. To detect. Specifically, the control unit 74 calculates the ratio of N72 to N71 (N72 / N71). N71 corresponds to the number C of SYN packets. N72 corresponds to the number D of ACK packets. And the control part 74 determines with it being a network attack, when the value of N72 / N71 is less than "1-gamma". Since other configurations are the same as those of the third embodiment, description thereof is omitted.

このように、本実施形態によれば、ＳＹＮパケットとＡＣＫパケットの単位時間あたりの数に基づいてネットワーク攻撃の検出をしている。これにより、より簡易な構成でネットワーク攻撃の検出が可能になる。   Thus, according to this embodiment, a network attack is detected based on the number of SYN packets and ACK packets per unit time. This makes it possible to detect a network attack with a simpler configuration.

以上、図面を参照してこの発明の実施形態について詳しく説明してきたが、具体的な構成は上述のものに限られることはなく、この発明の要旨を逸脱しない範囲内において様々な設計変更等をすることが可能である。   The embodiments of the present invention have been described in detail above with reference to the drawings. However, the specific configuration is not limited to the above-described one, and various design changes and the like can be made without departing from the scope of the present invention. Is possible.

例えば、本実施形態では、防御装置１，５，６，７をクライアント２と１対１になるように設けたが、複数のクライアント２に１台の防御装置１，５，６，７を設けてもよい。その場合、防御装置１，５，６，７は、各クライアント２について、ネットワーク攻撃を検出する。また、ネットワーク攻撃が検出された場合には、ネットワーク攻撃が検出されたクライアント２からのＳＹＮパケットにのみ帯域制限をかける。このとき、防御装置１，５，６，７には、制御部１４，５４，６４，７４以外の各部が接続されたクライアント２の数分設けられる。   For example, in the present embodiment, the defense devices 1, 5, 6, and 7 are provided so as to be in a one-to-one relationship with the client 2. However, a single defense device 1, 5, 6, and 7 is provided for a plurality of clients 2. May be. In that case, the defense devices 1, 5, 6, and 7 detect a network attack for each client 2. When a network attack is detected, the bandwidth is limited only to the SYN packet from the client 2 where the network attack is detected. At this time, the defense devices 1, 5, 6, and 7 are provided as many as the number of clients 2 to which each unit other than the control units 14, 54, 64, 74 is connected.

また、上述した実施形態では、防御装置１，５，６，７をユーザ端末２とネットワークの間に設置したが、サーバ３とネットワークの間に設置してもよい。このとき、防御装置１，５，６，７は、サーバ３に送信されてくる全てのパケットについて防御処理を行う。   In the above-described embodiment, the defense devices 1, 5, 6, and 7 are installed between the user terminal 2 and the network, but may be installed between the server 3 and the network. At this time, the defense devices 1, 5, 6, and 7 perform defense processing for all packets transmitted to the server 3.

第１の実施形態による防衛装置の配置位置を示す概略図である。It is the schematic which shows the arrangement position of the defense apparatus by 1st Embodiment. 本実施形態における防衛装置の構成を示すブロック図である。It is a block diagram which shows the structure of the defense apparatus in this embodiment. 本実施形態の制御部における処理の流れの一例を示すシーケンス図である。It is a sequence diagram which shows an example of the flow of a process in the control part of this embodiment. 第２の実施形態における防御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the defense apparatus in 2nd Embodiment. 第３の実施形態における防御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the defense apparatus in 3rd Embodiment. 第４の実施形態における防御装置の構成を示すブロック図である。It is a block diagram which shows the structure of the defense apparatus in 4th Embodiment. ＴＣＰの正常な接続確立手段を示すシーケンス図である。It is a sequence diagram which shows the normal connection establishment means of TCP. ＤＤｏｓ攻撃の１つであるＳＹＮ Ｆｌｏｏｄ攻撃の概要を示すシーケンス図である。It is a sequence diagram which shows the outline | summary of the SYN Flood attack which is one of the DDos attacks. ＤＤｏｓ攻撃の１つであるＳＹＮ Ｆｌｏｏｄ攻撃の概要を示すシーケンス図である。It is a sequence diagram which shows the outline | summary of the SYN Flood attack which is one of the DDos attacks.

符号の説明Explanation of symbols

１，５，６，７…防衛装置 ２，２２…クライアント ３，２３…サーバ １１，５１，６１，７１…第１のネットワークインタフェース部 １２…上り短パケットカウンタ部 １３…下り短パケットカウンタ部 １４，５４，６４，７４…制御部 １５，５５，５６，６６，７６…振り分け部 １６，５６，６６，７６…帯域制限部 １７，５７，６７，７７…統合部 １８，５８，６８，７８…第２のネットワークインタフェース部 ５２…ＳＹＮ／ＡＣＫカウンタ部 ５３，６３…ＳＹＮ−ＡＣＫカウンタ部 ６２，７２…ＳＹＮ／ＡＣＫ別カウンタ部   DESCRIPTION OF SYMBOLS 1,5,6,7 ... Defense apparatus 2,22 ... Client 3,23 ... Server 11,51,61,71 ... First network interface part 12 ... Uplink short packet counter part 13 ... Downlink short packet counter part 14, 54, 64, 74 ... control unit 15, 55, 56, 66, 76 ... distribution unit 16, 56, 66, 76 ... band limiting unit 17, 57, 67, 77 ... integration unit 18, 58, 68, 78 ... first 2 network interface unit 52... SYN / ACK counter unit 53, 63... SYN-ACK counter unit 62, 72.

Claims (9)

特定クライアントから送信された制御パケットの個数を計数する第１のカウンタと、
前記特定クライアント宛に送信された制御パケットの個数を計数する第２のカウンタと、
前記第１及び第２のカウンタの各カウンタ値の比に基づいて、前記特定クライアントによるネットワーク攻撃を検出する検出手段と、
を備えたことを特徴とするネットワーク攻撃検出装置。 A first counter for counting the number of control packets transmitted from a specific client;
A second counter for counting the number of control packets transmitted to the specific client;
Detecting means for detecting a network attack by the specific client based on a ratio of the counter values of the first and second counters;
A network attack detection apparatus comprising: 前記第１及び第２のカウンタは、パケット長によって制御パケットを識別することを特徴とする請求項１に記載のネットワーク攻撃検出装置。   The network attack detection apparatus according to claim 1, wherein the first and second counters identify a control packet based on a packet length. 前記第１のカウンタは、ＳＹＮパケットとＡＣＫパケットの合計個数を計数し、
前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、
前記検出手段は、ＳＹＮパケットとＡＣＫパケットの合計個数に対するＳＹＮ−ＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出する
ことを特徴とする請求項１に記載のネットワーク攻撃検出装置。 The first counter counts the total number of SYN packets and ACK packets,
The second counter counts the number of SYN-ACK packets,
The detection unit detects a “SYN Flood attack” related to TCP when the ratio of the number of SYN-ACK packets to the total number of SYN packets and ACK packets is smaller than a predetermined value. The described network attack detection device. 前記第１のカウンタは、ＳＹＮパケットの個数を計数し、
前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、
前記検出手段は、ＳＹＮパケットの個数に対するＳＹＮ−ＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出する
ことを特徴とする請求項１に記載のネットワーク攻撃検出装置。 The first counter counts the number of SYN packets,
The second counter counts the number of SYN-ACK packets,
2. The network attack according to claim 1, wherein the detection unit detects a “SYN Flood attack” related to TCP when a ratio of the number of SYN-ACK packets to the number of SYN packets is smaller than a predetermined value. Detection device. 前記第１のカウンタは、ＳＹＮパケットの個数とＡＣＫパケットの個数を計数し、
前記検出手段は、ＳＹＮパケットの個数に対するＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出する
ことを特徴とする請求項１に記載のネットワーク攻撃検出装置。 The first counter counts the number of SYN packets and the number of ACK packets,
2. The network attack detection device according to claim 1, wherein the detection unit detects a “SYN Flood attack” related to TCP when a ratio of the number of ACK packets to the number of SYN packets is smaller than a predetermined value. . 前記第１のカウンタは、ＳＹＮパケットとＡＣＫパケットの合計個数を計数し、
前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、
前記検出手段は、ＳＹＮパケットとＡＣＫパケットの合計個数に対するＳＹＮ−ＡＣＫパケットの個数の比が所定の値より大きい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出する
ことを特徴とする請求項１に記載のネットワーク攻撃検出装置。 The first counter counts the total number of SYN packets and ACK packets,
The second counter counts the number of SYN-ACK packets,
The detection unit detects a “SYN Flood attack” related to TCP when the ratio of the number of SYN-ACK packets to the total number of SYN packets and ACK packets is larger than a predetermined value. The described network attack detection device. 前記第１のカウンタは、ＡＣＫパケット個数を計数し、
前記第２のカウンタは、ＳＹＮ−ＡＣＫパケットの個数を計数し、
前記検出手段は、ＳＹＮ−ＡＣＫパケットの個数に対するＡＣＫパケットの個数の比が所定の値より小さい場合にＴＣＰに係る「ＳＹＮ Ｆｌｏｏｄ攻撃」を検出する
ことを特徴とする請求項１に記載のネットワーク攻撃検出装置。 The first counter counts the number of ACK packets;
The second counter counts the number of SYN-ACK packets,
2. The network attack according to claim 1, wherein the detection unit detects a “SYN Flood attack” related to TCP when a ratio of the number of ACK packets to the number of SYN-ACK packets is smaller than a predetermined value. Detection device. 請求項１から請求項７のいずれか１項に記載のネットワーク攻撃検出装置と、
ネットワーク攻撃が検出された特定のクライアントが送信元である制御パケットの帯域制限を行う帯域制限部と、
を備えたことを特徴とする防御装置。 The network attack detection device according to any one of claims 1 to 7,
A bandwidth limiter that limits the bandwidth of control packets originating from a specific client in which a network attack is detected;
A defensive device comprising: 前記帯域制限対象は、ＴＣＰに係るＳＹＮパケットであることを特徴とする請求項８に記載の防御装置。   The defense apparatus according to claim 8, wherein the bandwidth restriction target is a SYN packet related to TCP.
JP2008060053A 2008-03-10 2008-03-10 Network attack detection device and defense device Expired - Fee Related JP5009200B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2008060053A JP5009200B2 (en) 2008-03-10 2008-03-10 Network attack detection device and defense device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2008060053A JP5009200B2 (en) 2008-03-10 2008-03-10 Network attack detection device and defense device

Publications (2)

Publication Number Publication Date
JP2009218825A true JP2009218825A (en) 2009-09-24
JP5009200B2 JP5009200B2 (en) 2012-08-22

Family

ID=41190271

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008060053A Expired - Fee Related JP5009200B2 (en) 2008-03-10 2008-03-10 Network attack detection device and defense device

Country Status (1)

Country Link
JP (1) JP5009200B2 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019029798A (en) * 2017-07-28 2019-02-21 日本電信電話株式会社 Abnormality detection system and abnormality detection method
JP2019097216A (en) * 2017-06-02 2019-06-20 株式会社三菱Ｕｆｊ銀行 Communication route control system

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020103916A1 (en) * 2000-09-07 2002-08-01 Benjie Chen Thwarting connection-based denial of service attacks
US20030226035A1 (en) * 2002-05-31 2003-12-04 Jean-Marc Robert Statistical methods for detecting TCP SYN flood attacks
JP2004164107A (en) * 2002-11-11 2004-06-10 Kddi Corp Unauthorized access monitoring system
JP2004312064A (en) * 2003-02-21 2004-11-04 Intelligent Cosmos Research Institute Apparatus, method , and program for detecting network abnormity
JP2006005673A (en) * 2004-06-17 2006-01-05 Mitsubishi Electric Corp Communication device and packet communication method
JP2007082242A (en) * 2006-09-28 2007-03-29 Fujitsu Ltd Communication interrupting apparatus, communication interrupting program, and communication interrupting method
WO2007055222A1 (en) * 2005-11-08 2007-05-18 Tohoku University Network failure detection method and network failure detection system

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020103916A1 (en) * 2000-09-07 2002-08-01 Benjie Chen Thwarting connection-based denial of service attacks
US20030226035A1 (en) * 2002-05-31 2003-12-04 Jean-Marc Robert Statistical methods for detecting TCP SYN flood attacks
JP2004164107A (en) * 2002-11-11 2004-06-10 Kddi Corp Unauthorized access monitoring system
JP2004312064A (en) * 2003-02-21 2004-11-04 Intelligent Cosmos Research Institute Apparatus, method , and program for detecting network abnormity
JP2006005673A (en) * 2004-06-17 2006-01-05 Mitsubishi Electric Corp Communication device and packet communication method
WO2007055222A1 (en) * 2005-11-08 2007-05-18 Tohoku University Network failure detection method and network failure detection system
JP2007082242A (en) * 2006-09-28 2007-03-29 Fujitsu Ltd Communication interrupting apparatus, communication interrupting program, and communication interrupting method

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019097216A (en) * 2017-06-02 2019-06-20 株式会社三菱Ｕｆｊ銀行 Communication route control system
JP2019029798A (en) * 2017-07-28 2019-02-21 日本電信電話株式会社 Abnormality detection system and abnormality detection method

Also Published As

Publication number Publication date
JP5009200B2 (en) 2012-08-22

Similar Documents

Publication Publication Date Title
US10284594B2 (en) Detecting and preventing flooding attacks in a network environment
US8819821B2 (en) Proactive test-based differentiation method and system to mitigate low rate DoS attacks
US8879388B2 (en) Method and system for intrusion detection and prevention based on packet type recognition in a network
CN109005175B (en) Network protection method, device, server and storage medium
US20040236966A1 (en) Queuing methods for mitigation of packet spoofing
US20120227088A1 (en) Method for authenticating communication traffic, communication system and protective apparatus
US7404210B2 (en) Method and apparatus for defending against distributed denial of service attacks on TCP servers by TCP stateless hogs
KR20120060655A (en) Routing Method And Apparatus For Detecting Server Attacking And Network Using Method Thereof
CN112134894A (en) Moving target defense method for DDoS attack
KR20190053540A (en) System of defensing against Slow HTTP DDoS attack based on SDN and method thereof
Kavisankar et al. A mitigation model for TCP SYN flooding with IP spoofing
CN108616488B (en) Attack defense method and defense equipment
US7464398B2 (en) Queuing methods for mitigation of packet spoofing
Wang et al. Efficient and low‐cost defense against distributed denial‐of‐service attacks in SDN‐based networks
Huang et al. Detecting stepping-stone intruders by identifying crossover packets in SSH connections
JP5009200B2 (en) Network attack detection device and defense device
Wang et al. An approach for protecting the openflow switch from the saturation attack
Zhu et al. Research and survey of low-rate denial of service attacks
CN101795277A (en) Flow detection method and equipment in unidirectional flow detection mode
EP2109281A1 (en) Method and system for server-load and bandwidth dependent mitigation of distributed denial of service attacks
Zhang et al. Robustness of RED in mitigating LDoS attack
KR101449627B1 (en) Method and apparatus for detecting abnormal session
Patel et al. Survey: Impact of jellyfish on wireless ad-hoc network
JP4481780B2 (en) Method and apparatus for protecting against SYN packet bandwidth attack on TCP server
JP2008252221A (en) DoS ATTACK/DEFENCE SYSTEM, AND ATTACK/DEFENCE METHOD AND DEVICE IN DoS ATTACK DEFENCE/SYSTEM

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20100716

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20100720

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20111028

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20111101

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111215

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20111215

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20120207

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120327

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20120328

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120508

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120530

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150608

Year of fee payment: 3

LAPS Cancellation because of no payment of annual fees