JP2009500936A - 早期通知に基づいて異常なトラフィックを検出するためのシステム及び方法 - Google Patents

Abstract

通信ネットワークにおける異常なトラフィックを検出する方法及びシステムは、危険及び状態のカテゴリーでトラフィックを分類し、各ノードにおける各サービスに対するこの情報を有するサービス状態テーブルを保持することに基づいている。危険カテゴリーは、各サービスに対して認識された、既知のソフトウェアの脆弱性に基づいて初期に確立される。早期通知子は、マルウェアの伝播が疑われているサービスを、さらに処理することができるようにする。状態カテゴリーは、「攻撃中状態」と「非攻撃中」状態のトラフィックを区別することができるため、各ノードにおける侵入検知システムは、「攻撃中」トラフィックのみを処理できるようになる。この方法では、侵入検知システムによって行われる処理の時間および量を大幅に減少することができる。
【選択図】 図１

Description

本発明は、通信ネットワークに関し、より詳しくは、早期通知に基づいて異常なトラフィックを検出するための方法及びシステムに関する。

インターネットのような、全世界に基盤を置いた通信ネットワークは、制限されたアクセスを有する初期の調査基盤システムから、何百万ものユーザを有する実質的に世界的なネットワークとして発展してきた。初期のネットワークプロトコルであるＴＣＰ／ＩＰは、システムのユーザが、完全に合法的な目的のためにネットワークに接続するということに基づいて設計された。したがって、保安問題に対する特別な配慮はなされていなかった。ところが最近は、インターネットに対する悪意のある攻撃が驚くべき割合で増加している。インターネットの匿名性のため、インターネット・プロトコル（ＩＰ）は、ソースが知られることを望んでない場合には、任意の特定のデータグラム及びそれによる任意の特定のフローの実質的なソースを正確に識別することを極めて困難にしている。これらの攻撃は多様な形態で行われ、しばしば、標的にされた被害者に対するサービスを完全に中断させることになる。

破壊工作ソフト（マルウェア）（フラッディング、ワーム、ウィルス等のような、システムを損傷するために特別に設計されたソフトウェア）の伝播は、分散型ネットワークにおいて非常に破壊的であり得る。任意の特定の装備（たとえば、コンピュータ、サーバ、ルータ）上のワームまたはウィルスの影響が、非常に多くの場合に害のないものだとしても、マルウェアをできるだけ早く他の装備へ拡散させる、数万の感染した装置の累積効果は、破滅的なものとなり得る。そのような場合、ネットワークは、輻輳によって、それらのユーザへの効果的なサービスの提供を中止してしまう恐れがある。

そのような１つの攻撃は、被害者のサーバが処理することのできない膨大なトラフィックで被害者をフラッディングし、若しくは、より低いレートで、非常に効果的かつ悪意のあるパケットで被害者をフラッディングするという構想に基づいている。ネットワークユーザへのサービスを拒否させる別の方法は、ウィルスである。コンピュータウィルスは、多様な方法でネットワークを通してそれ自身を複製するプログラムまたはプログラミング・コードである。ウィルスは、ＤｏＳ（サービス拒否）攻撃として見なすことができ、この場合一般的に、被害者は特別に標的にされたわけではなく、単に、不幸にもウィルスに感染したホストである。特別なウィルスによっては、サービスの妨害が相当悪化するまでにほとんど感知されないこともある。

電子メールの添付ファイルとしてあるいはネットワーク・メッセージの一部として自分自身を再伝送することにより自らを複製するウィルスが、ワームとして知られている。これらは一般的に、それらの制御できない複製がシステム・リソースを消費したり、若しくは、他のタスクを遅延させたり中止させたりするときにのみ認知される。ワームは、アプリケーション及びシステムソフトウェアにおいて既に知られているか事前に知られていないソフトウェアの脆弱性を用いることで作動し、ネットワークを介して素早く伝播される。多くの国際的な承認下で運営されているウェブサーバ、メール伝送エージェント及びログインサーバのような、信頼性のあるアプリケーションをハイジャッキングすることにより、ワームは、システム・リソースへ完全にアクセスすることができ、完全なシステム障害を発生させる。

ネットワークインフラを保護するために、マルウェアの伝播をできるだけ早く検出し、ネットワークの内部において進行中の攻撃について効果的に反応する能力が、ネットワーク運営者に求められる実際の課題となっている。これは、特に、広い分散型のネットワークに関係する。そのようなネットワークにおいて、インフラを構成するネットワーク装備（ルータ、スイッチ）は、マルウェアの伝播を制限するのに重要な役割を果たさなければならない。現在、企業では、自らのネットワーク及びシステムを保護するために階層化防御モデルを配置しているが、これには、ファイアウォール、アンチウィルス・システム、アクセス管理及び侵入検知システム（ＩＤＳ）などが含まれる。防御モデルは、長年の間存在してきたにも関わらず、未だ、少ない関連コストで、かつ手間をかけずに全ての攻撃に対する完全な保護を提供するという究極の目的を達成したモデルはない。

たとえば、ＳＰ−８００−３１としてNIST Special Publicationウェブサイトで利用可能である、非特許文献１では、ＩＤＳの現状について記載している。この論文に記載された技術の一部は、電話通信ネットワークインフラにおけるマルウェアの伝播を検出するために特別に設計されたものである。それらは、２つの主要なカテゴリー、すなわち、フロー基盤分析とディープパケット（Deep-packet）分析とに分けることができる。フロー基盤分析は、一般的ではないパターンを検出するために、電話通信インフラ内においてトラフィックフローを分析することにより、ＩＰパケットの悪意のある連続フローを追跡する方法を含む。これは、通常、ルータに実装された、Ｎｅｔｆｌｏｗ、ＩＰＦｉｘ及びＲＴＦＭのような技術に依存する。そのような技術の一例が、リンク分析・テロ対策・プライバシーに関するワークショップ（Workshop on Link Analysis, Counter-terrorism, and Privacy, April 2004）で発行された、非特許文献２に記載されている。ディープパケット分析方法論は、既知の特徴、あるいはよく見られるパターンのうちのいずれかを検出するために各パケットを分析することにより、１つの悪意のあるＩＰパケットを逆追跡する方法を含んでいる。そのような技術の一例は、非特許文献３に記載されている。連続フローを追跡する方法のいくつかは、たとえば、上述したｉＴｒａｃｅ方法と同様に、単一パケットを逆追
跡することに用いることもできる。しかしながら、その所要コストが非常に莫大である。

これまでに利用可能だったソリューションは、ＤｏＳ攻撃を十分早くに検出することも、また止めることもできなかったにもかかわらず、非常に高コストである。現在のＩＤＳは、多数の構成要素、すなわち、ルータ、ファイアウォール、侵入／異常検出システムに基づいているという事実も、応答性に影響を与える。危険状況において、これらのシステムは、通信することに、また、要求された対応策を調整することに困難を有するようになる恐れもある。ハイエンド・ルータを通過するすべてのパケットのモニタリング及び分析は、現在の技術ではパケットを遅延及び損失させずに行うことは不可能であり、各ＩＤＳの効率性に影響を与える。ハイエンド・ルータを通過するすべてのパケットをモニタリングして分析することは、特殊なハードウェアまたはルータと連結された追加の装備を必要とし、これは、インフラの複雑性及びコストの増加に繋がる。たとえ、そうするとしても、依然としてこれは有効性の問題を有し得る。

さらに、通常のインライン・侵入防止システム（ＩＰＳ）は、ネットワークにおける悪意のある活動を検出して防止するため、特徴及びフローを測定することに依存しており、したがって、それらの能力は、ゼロデイ・ワーム（zero-day worm）を防止するのに限界を有する。また、それらの検出アルゴリズムが、統計的な観察（たとえば、フローの帯域幅、ホスト当たりの活動ポートの個数など）に基づく場合、ＩＰＳシステムがワーム防止を開始できるまでに多少時間がかかるということもあり得る。この時間の空白により、企業には、ワームの拡散に対する責任が負荷される可能性がある。また、攻撃が発生するまでは、悪意のあるソフトウェアを認識するポリシー（policy）を設定することは実行不可能であるため、特徴及び行為をモニタリングする技術は、新しいワームが初めてインターネットを介して拡散する場合には非効果的である。特徴及びポリシーは周期的に更新することができるが、それはワームまたは他の悪意のあるソフトウェアが認知されて、研究された後のことである。特徴のモニタリング技術は、新しいワームがインターネットを介して拡散する場合には非効果的である。また、「良い」及び「悪い」コードの識別または行為を区別することは、非常に難しい。これは、多くの防止システムの目的を、それらを保護することではなく事象を検出することだけに限定する「誤検出（false positives）」を多く発生させる。

また、特徴及び行為をモニタする技術は、攻撃の開始及びその検出の間に時間間隔を許容するため、運営するアプリケーションの行為をモニタリングすることにより破壊的な行為を検出するまでに、該アプリケーションは既にコンプロマイズされ、悪意のあるコードが既に作動するようになる。この時間間隔は、攻撃されたアクセスリンク上で運営されるネットワークの脆弱性を意味する。

また、ファイアウォールは、すべてのものを止めることはできず、それらは、ある種類または形態のデータを、防御されているネットワークに通過させるように構成される。ファイアウォールを通じて許容されるサービスを用いたすべての悪意のある行動は、成功的に拡散するはずである。結果的に、ファイアウォールは、ウィルス、システム侵入、なりすまし（スプーフィング）、データ及びネットワークの破壊、また、ファイアウォールにより許容されたプロトコルでの脆弱性を用いたサービス拒否攻撃から、企業のネットワークをもはや十分に保護することができなくなるかもしれない。
Rebecca Bace及びPeter Mellによる「侵入検知システム（Intrusion Detection System）」（２００１年１１月付） C. Abadらによる「ネットフロー・システム及び侵入検出のためのネットワーク・ビューの間の相関関係（Correlation Between Netflow System and Network Views for Intrusion Detection）」 S. Dharmapurikarらによる「パラレル・ブルーム・フィルタを用いたディープパケットの検査（Deep Packet Inspection Using Parallel Bloom Filters）」（IEEE Micro Jan, 2004）

ＩＰネットワークの信頼性及び安全性は、コンピュータネットワークが、エンティティ内及びエンティティ間通信ならびにトランザクションに重要な要素となるところでは、必須である。実際のＩＤＳ技術では、ハイエンド・ルータに求められる適切な性能レベルを提供していない。このような問題点を解決するために、現在、新しい技術の研究が行なわれている。これは、テレコム産業における主な課題であって、多数の部分的な解決策が、現在まで提案されている。それに伴って、設置及びメンテナンスが容易であり、ネットワークにおける悪意のある活動（たとえば、インターネットワーム）を確認して検出することができるシステムに対する要求がある。

本発明の目的は、早期通知に基づいて異常なトラフィックを検出するための方法及びシステムを提供することにある。

したがって、本発明は、ＩＤＳ／ＩＰＳが装備された通信ネットワークのノードにおいて異常なトラフィックを検出する方法であって、トラフィックフローが、不審なデータトラフィックを運搬しているかどうかを確認するために、トラフィックフローにおけるデータトラフィックの重要なサブセットのみを観察することにより、ノードに入力されたトラフィックフローの状態をモニタリングするステップと、トラフィックフローの状態が不審な場合、早期通知を発生して、そのトラフィックフローを不審なトラフィックフローとして印をつけるステップと、を含む方法を提供する。

さらに詳しくは、本発明は、 侵入検知／防止システム（ＩＤＳ／ＩＰＳ）が装備された通信ネットワークのネットワークノードにおいて異常なトラフィックを検出する方法に関する。この方法は、ａ）ネットワークノードに入力されたそれぞれのトラフィックフローに対する状態を有するサービス状態テーブルを保持するステップと、ｂ）それぞれのトラフィックフローに割り当てられた危険クラスに基づいて、「不審な」若しくは「不審ではない」としてトラフィックフローの状態を評価するステップと、ｃ）トラフィックフローの状態を「不審ではない」状態から「不審な」状態に変更する度にサービス状態テーブルを更新して、そのトラフィックフローを不審なトラフィックフローとして印をつけるステップと、ｄ）「攻撃中」状態または「非攻撃中」状態を識別するために、不審なトラフィックフローの状態をさらに評価するステップと、ｅ）その不審なトラフィックフローの状態を「攻撃中」状態としてさらに更新し、その不審なトラフィックフローを攻撃中トラフィックフローとして印をつけるステップと、ｆ）攻撃中トラフィックフローを、ＩＤＳ／ＩＰＳにルーティングするステップと、を備える。

他の態様によると、本発明は、早期通知で異常なトラフィックを検出（ＡＴＤＥＮ）するためのシステムであって、通信ノードに入力されたそれぞれのトラフィックフローに対するサービス状態を有するサービス状態テーブルを保持するサービス状態手段と、トラフィックフローの状態を評価して、トラフィックフローの状態が変化する度にサービス状態テーブルを更新するモニタと、トラフィックフローを、トラフィックフローが「不審な」状態を有する場合はモニタに、トラフィックフローが「攻撃中」状態を有する場合は侵入検知／防止システム（ＩＤＳ／ＩＰＳ）に、システムの出力にルーティングするトラフィック弁別手段（１８）と、を備えたシステムを提供する。

上述したように、ＩＤＳ技術はテレコム産業の主な課題である。本発明の方法は、有利に、トラフィック分析に対する目標化された手法及び攻撃軽減作用を利用し、それにより、ネットワークの性能を強化する。

本発明のまた別の長所は、マルウェアの検出のために処理されるトラフィックの量を相当減少して、特定のトラフィックが攻撃中という判断を、既存のシステムよりも速く行うことができるということである。既存のＩＤＳ／ＩＰＳと組み合わせる場合に、非常に多様な攻撃に対する効果的な検出能力及び反応能力が大きく増大する。

さらに、トラフィックの一部分だけが本発明によるシステムによって分析されることになるため、本発明のシステムのハードウェア及び演算時間が、以前のソリューションよりも一層効果的に用いられるようになる。

本発明の上述したような、また、さらなる目的、特徴及び長所は、添付の図面に示されているように、以下の好ましい実施形態の詳細な説明によって明確になるだろう。

本発明のシステムは、従来の侵入検知システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）技術が装備されたノードに設置され、特に、加入者端末（ＣＥ：customer equipment）及び境界ルータアプリケーションに効果的である。しかし、いずれのルータも、他の拡張においてこの方法から利益が得られる。

本発明は、マルウェア攻撃の既知の特性を用いて「不審な」トラフィックを迅速に識別することができる、早期通知メカニズムを提案する。また、本発明のシステムは、ハイエンド・ルータへのＩＤＳ／ＩＰＳ技術の統合を容易にする目的で、ネットワークノードを通過するトラフィックの一部分に対してのみ、コストのかかるＩＤＳ／ＩＰＳの作動を起こさせる。

図１は、本発明に係わる、早期通知に基づいて異常なトラフィックを検出（ＡＴＤＥＮ）するためのシステムのブロック図を示しており、これは、参照符号５として記載されている。ＡＴＤＥＮシステム５は、ホストノード（ルータ、ＣＥ）に入力されたそれぞれのトラフィックフロー（サービス）に対する状態を有する状態サービステーブルを保持するサービス状態ユニット１４と、それぞれのトラフィックフローのサービス状態を確認し、それに応じて状態サービステーブルを更新するモニタ２５と、入力されたトラフィックフローを出力に、つまり、モニタ２５に、または侵入検知／防止ブロック２０にルーティングするためのトラフィック弁別手段１８とを備える。この弁別手段は、サービス状態に基づいてルーティングを行うものであるが、すなわち「不審な」状態を有するトラフィックは再びモニタリングを受けるようになり、「攻撃中」状態を有するトラフィックは、ブロック２０において緩和処置が行われるようになる。

システム５はさらに、サービス（ＴＣＰ／ＵＤＰポート）を、それぞれのトラフィックフローにより用いられたプロトコルに対して認識されたソフトウェアの脆弱性に基づいてサービスクラス別に分類する手段１５を用いる。好ましくは、２つのサービスクラスが認識されるが、すなわち「危険状態」クラスと、「非危険状態」クラスである。

ユニット１４のサービス状態テーブルは、対象となるポート／サービスに対するサービス情報を含み、これは、ユニット１５によって提供された情報を用いて、起動の際に初期化される。テーブルには、少なくとも、ポート識別番号、トラフィックによって使用されたそれぞれのプロトコル、サービスのクラス（危険状態または非危険状態）、及び各サービスの現在の状態が含まれる。１つのポートが１つ以上のサービスをサポートする場合に、各個別サービスの状態がテーブルにリストアップされるということに注意しなければならない。そのテーブルは、勿論、サービス／ポートが攻撃中か、あるいは不審なトラフィックを運搬している各場合に対するエントリー、サービス状態のそれぞれの変更時の日付及び時間などのような、ＡＴＤＥＮシステム５の作動中に集められた付加的な情報を含んでいてもよい。動的テーブルを用いることもできるが、その場合それはオーバーフローされる場合に自ら更新を行う。また、ハッシュ・テーブル（Hash table）をより一層精巧なシステムにおいて用いることもできる。

攻撃中トラフィックの検出は、２つの区別されたステージで行われる。第１ステージでは、モニタ２５が、各サービスに対するトラフィックの重要なサブセットに対してのみ観察を行うことで、マルウェア伝播の第１の兆候を検出する。マルウェア伝播の兆候が検出された場合は、それぞれのトラフィックフローの状態は、「不審な」に更新され、そうでなければ更新されない。トラフィックフローが「不審な」状態とされた場合に、早期通知１３がサービス状態ユニット１４にトリガーされ、それによってトラフィック弁別手段１８を制御して、「不審な」トラフィックを、そのサービスの状態をさらに評価するためにモニタ２５にルーティングする。このステージ中では、トラフィックの一部分のみをモニタリングするため、早期通知１３は、トラフィックフロー内のすべてのパケットをモニタリングする場合よりも速くトリガーされる。

好ましくは、モニタ２５は、第１ステージにおいて、トラフィックのサブセットとしてＩＣＭＰパケットを用いる。ＩＣＭＰは、インターネット・コントロール・メッセージ・プロトコル（Internet Control Messages Protocol）を意味し、ルータとホストとの間で制御メッセージを伝送するために用いられる。たとえば、ＩＣＭＰパケットは、ルータが輻輳しているか、あるいは目的のホストが利用できなくなったときに、伝送されてもよい。ＩＣＭＰパケットは、ＩＣＭＰヘッダーがＩＰヘッダーに従うが、レイヤ４ヘッダー（Ｌａｙｅｒ ４ ｈｅａｄｅｒ）としては見なされないという点で、データパケット（情報を有するパケット）とは若干異なる構造を有する。ＩＣＭＰメッセージは、タイプ及びコード領域で提供され、その数値は、特定のＩＣＭＰメッセージを表わす。ＩＰのすべてのベンダーの実行は、ＩＣＭＰを含むことが要求される。

モニタ２５は、ユニット１０で分離したＩＣＭＰパケットを、データトラフィックから受信するＩＣＭＰレートモニタ１２を含む。ＩＣＭＰレートモニタ１２は、２つの異なる閾値を用いて、サービスクラスに応じて「不審な」ものとして、あるいはそうではないものとしてトラフィックフローを分類する。たとえば、「危険状態」のトラフィックに対する閾値は、Ｔｈ１であり得る。「非危険状態」のトラフィックに対する閾値は、Ｔｈ２であり得る。好ましくは、「危険状態」のトラフィックに対する安全性の要求が「非危険状態」のトラフィックに対するそれよりも高いことから、Ｔｈ１はＴｈ２より小さい。また、「不審な」トラフィック状態について、２つのレベルよりも多数のレベルで評価する必要があるときには、より多くの閾値を用いることもでき、それぞれの伝送プロトコルによって、異なる閾値を異なるトラフィックフローに対して用いることもできる。閾値のうちのいずれかが、それぞれのトラフィックフローにおけるＩＣＭＰレートによって違反される場合に、ＩＣＭＰレートモニタは、それぞれのトラフィックフローが不審であるという旨を示す、「早期トラフィック状態通知子」１３を発する。１１で見られるように、ＩＣＭＰトラフィックは、データトラフィック内に再挿入される。

第１ステージの結果は、サービス状態ユニット１４が、サービス状態テーブルにおけるポートサービス状態を更新して、どのポートが「不審なトラフィック」を運搬しているかをトラフィック弁別手段１８に通知することである。図１に示されているように、トラフィック弁別手段１８は、不審ではないトラフィック（ＩＣＭＰモニタ１２によって「不審なトラフィック」としてタグ付けされていない「危険状態」及び「非危険状態」のトラフィック）を入力からシステム５の出力にルーティングする。

第２ステージでは、さらに、各サービスが攻撃中かどうかを識別するために、特定化されたトラフィック・パラメータのモニタリングが行われる。好ましくは、このパラメータはトラフィックレートであるが、このステージでは、他の形態のモニタリングが用いられてもよい。図１の実施形態において、トラフィック弁別手段１８は、「不審な」としてサービス状態ユニット１４によりタグ付けされたトラフィックを、トラフィックレートモニタ１６にルーティングする。トラフィックレートモニタ１６は、不審なサービスに対するトラフィックのレートを測定して、これが第３の閾値（Ｔｈ３）を超過するかどうかを検出し、「不審な」トラフィックを出力へと方向変更させる。代替として、（図１の点線で示されるように）不審なトラフィックが、トラフィック弁別手段１８の入力に戻るようにルーティングしてもよい。この代替実施形態は、それぞれのトラフィックフローの状態が「不審な」から「攻撃中」に最終的に変更されるまでは、悪意のあるパケットが、その間隔中に出力に到逹しないようにすることを保証するものである。

トラフィックレートがＴｈ３に達する（cross）場合、トラフィックレートモニタ１６は「攻撃中トラフィック通知子」１７を生成して、サービス状態ユニット１４へ伝送し、サービス状態テーブルでこの情報を更新する。次に、ユニット１４は、モニタリングした不審なトラフィックが実際に攻撃中であることをトラフィック弁別手段１８に通知する。有利に、このステージでは、不審なトラフィックのみがモニタリングされるため、そのトラフィックが攻撃中かどうかを判断するのに必要な時間が相対的に速く、不審ではないサービスに対するトラフィックには、全然影響を与えることがない。

「攻撃中」トラフィックは、さらに、トラフィック弁別手段１８から侵入検知／防止ブロック２０にルーティングされる。ブロック２０は、侵入検知システム（ＩＤＳ）及び／または侵入防止システム（ＩＰＳ）２１を含み、ここで、周知のワーム、ウィルスから集められた攻撃特徴２２、若しくは、異常行為特徴などに基づいて攻撃の形態の判断を行う。攻撃が特定化されると、ブロック２０は、従来のフィルタリング機構２３を用いることにより、この攻撃の衝撃を緩和させることを試みる。このような方法で、システム５は、ルータを通過するトラフィックの一部分に対してのみ高コストのＩＤＳ／ＩＰＳ技術をトリガーし、それによって、プロセッシングリソース及びブロック２０の作動時間が大幅に減少される。

図２は、入力トラフィックの一部分のみが侵入検知／防止ブロック２０を通過する方法を示す、ＡＴＤＥＮシステムの作動方法のブロック図を示している。ステップＳ１において、サービス状態テーブルは、各サービスに対し、既知のＳＷの脆弱性に基づいて初期化される。このステージにおいて、ポート／サービスは、「危険状態」クラス及び「非危険状態」クラスに分離される。その後、トラフィックが、それぞれのホストルータまたはＣＥの入力で受信されると（ステップＳ２）、モニタ２５は、ステップＳ３において示されているようにそれぞれのトラフィックフローのサービス状態を判断する。これは、トラフィッククラスによって、上述した２つのステージにおいて行われる。

次いで、モニタ２５は、ステップＳ４に示されているように、現状態を反映するためにそれぞれのトラフィックフローの状態を更新する。サービス状態ユニット１４から受信した状態情報に基づいて、弁別手段１８が「攻撃中」トラフィックを孤立させて、決定ブロックＳ５の「ＹＥＳ」に移動することで、図示されているとおり処理のためにそれを侵入検知／防止ブロック２０にルーティングする。「非攻撃中」状態のトラフィックは、決定ブロックＳ５の「ＮＯ」に移動することで、図示されているとおり出力にルーティングされる。侵入検知／防止ブロック２０は、ウィルスの攻撃特徴２２に対する攻撃を特定化し、フィルタリング機構２３を用いて、攻撃の衝撃を緩和しようと試みる（ステップＳ６）。その後、トラフィックは、出力にルーティングされ、あるいは、修正不可能なものは廃棄されることになる。整理すると、図２は、システム５が、ルータを通過するトラフィックの選択された部分に対してのみ、ブロック２０の作動をトリガーする方法を説明している。

図３ａ及び図３ｂは、トラフィックフローのサービス状態を評価するための２つのステージについて説明するフローチャートである。図３ａは、第１ステージを示したものであり、ここでモニタ２５は、「不審な」若しくはそうではないものとして各サービスを特徴付ける（ステップＳ１１）。ステップＳ１２において、トラフィックが不審なときは、決定ブロックの「ＹＥＳ」に移動し（Ｓ１１）、モニタが早期通知１３をサービス状態ユニット１４にトリガーするようにする。上述したように、トラフィックのインテグリティ特性はサービスの形態及び危険レベルによって異なるため、このステージの中で、モニタ２５はそれぞれのトラフィッククラスに対して異なる閾値を用いる。その後、ステップＳ１３において示されているように、サービス状態ユニット１４はそれに応じて状態テーブルを更新する。不審なトラフィックだけではなく、その残りのトラフィックはその後、弁別手段１８によって出力にルーティングされる（図２のフローチャートのステップＳ７）。

図３ｂは、第２ステージを説明するものであり、ここでモニタリングシステムは、それぞれのサービスのレートをモニタリングすることにより、不審なサービスのみを攻撃中若しくはそうではないものとして特徴付ける。「不審な」トラフィックフローにおいてトラフィックレートの閾値よりも高いということは、決定ブロックＳ１６の「ＮＯ」に示されているとおり、各サービスが実際に攻撃中である旨を示す。この場合、サービス状態ユニット１４は、これに応じて状態テーブルを更新する（ステップＳ１７）。トラフィックレートモニタ１６の出力におけるトラフィックは、弁別手段１８の入力に戻り、ここで、トラフィックサービス状態に応じてルーティングが行われる（図２のフローチャートのステップＳ５）。不審なトラフィックのレートが閾値を下回ると（決定ブロックＳ１６の「ＹＥＳ」）、各サービスは、図２のステップＳ７に示されているとおり、出力にルーティングされる。

本発明の実施形態に係わる、早期通知で異常なトラフィックを検出（ＡＴＤＥＮ）するためのシステムのブロック図である。 トラフィックの一部分のみに侵入検知／防止処理を実行する方法を示す、ＡＴＤＥＮシステムの作動方法のフローチャートである。 トラフィックのサービス状態を評価するための第１ステージを説明するフローチャートである。 トラフィックのサービス状態を評価するための第２ステージを説明するフローチャートである。

Claims (23)

1. ＩＤＳ／ＩＰＳが装備された通信ネットワークのノードにおいて異常なトラフィックを検出する方法であって、
   トラフィックフローが不審なデータトラフィックを運搬しているかどうかを確認するために、前記トラフィックフローにおけるデータトラフィックの重要なサブセットのみを観察することにより、前記ノードに入力されたトラフィックフローの状態をモニタリングするステップと、
   前記トラフィックフローの状態が不審な場合、早期通知をトリガーして、前記トラフィックフローを不審なトラフィックフローとして印をつけるステップと、
   を含む、方法。
2. 前記トラフィックフローが攻撃中であるかどうかを判断するために、前記不審なトラフィックフローの特定化したパラメータを観察することにより前記不審なトラフィックフローの状態を追加的にモニタリングし、それに応じて、前記トラフィックフローの状態を「不審な」から「攻撃中」に更新し、前記不審なトラフィックフローを攻撃中トラフィックフローとして印をつけるステップと、
   攻撃中トラフィックフローについてのみ、ＩＤＳ／ＩＰＳで軽減作用を行うステップと、
   をさらに含む、請求項１に記載の方法。
3. 前記トラフィックデータの重要なサブセットは、前記トラフィックフロー内にＩＣＭＰパケットを含む、請求項１に記載の方法。
4. 前記モニタリングするステップは、
   前記トラフィックフローに危険クラスを割り当てることと、
   前記トラフィックフロー内のＩＣＭＰパケットのレートを測定することと、
   前記危険カテゴリーに応じて、確認されたそれぞれの閾値をＩＣＭＰパケットのレートと比較することと、
   を含む、請求項３に記載の方法。
5. 前記モニタリングするステップは、前記トラフィックフローの危険クラスによって複数の閾値を用いて実行する、請求項１に記載の方法。
6. 前記第１及び第２の閾値は、前記トラフィックフローにより用いられる伝送プロトコルに応じて選択される、請求項５に記載の方法。
7. 前記特定化されたパラメータは、前記不審なトラフィックフローのレートである、請求項２に記載の方法。
8. 前記追加的なモニタリングを行うステップは、
   前記不審なトラフィックフローのレートを測定することと、
   前記不審なトラフィックフローが実際に「攻撃中」かどうかを確認するために、前記不審なトラフィックフローのレートを他の閾値と比較することと、
   を含む、請求項７に記載の方法。
9. 侵入検知／防止システム（ＩＤＳ／ＩＰＳ）が装備された通信ネットワークのネットワークノードにおいて異常なトラフィックを検出する方法であって、
   ａ）前記ネットワークノードに入力された各トラフィックフローに対する状態を有するサービス状態テーブルを保持するステップと、
   ｂ）前記各トラフィックフローに割り当てられた危険クラスに基づいて、「不審な」若しくは「不審ではない」としてトラフィックフローの状態を評価するステップと、
   ｃ）前記トラフィックフローの状態を「不審ではない」状態から「不審な」状態に変更する度に前記サービス状態テーブルを更新して、前記トラフィックフローを不審なトラフィックフローとして印をつけるステップと、
   ｄ）「攻撃中」状態または「非攻撃中」状態を識別するために、前記不審なトラフィックフローの状態をさらに評価するステップと、
   ｅ）「攻撃中」状態として前記不審なトラフィックフローの状態をさらに更新し、前記不審なトラフィックフローを攻撃中トラフィックフローとして印をつけるステップと、
   ｆ）前記攻撃中トラフィックフローを、前記ＩＤＳ／ＩＰＳにルーティングするステップと、
   を含む、方法。
10. 前記ステップａ）は、前記トラフィックフローにより用いられたプロトコルに対して認識されたソフトウェアの脆弱性に基づいて、それぞれのトラフィックフローを「危険状態」クラスと「非危険状態」クラスとに分類することを含む、請求項９に記載の方法。
11. 前記ステップｂ）は、
    ｂ１）前記各トラフィックフローに対して、全てのインターネット・コントロール・メッセージ・プロトコル（ＩＣＭＰ）パケットを分離することと、
    ｂ２）各トラフィックフローのサービスクラスに基づいて、前記ＩＣＭＰパケットをレートモニタリングすることと、
    ｂ３）前記トラフィックフローの状態が「不審な」に変更されると、早期トラフィック状態通知子を生成することと、
    ｂ４）前記ＩＣＭＰパケットを、前記トラフィックフロー内に戻して併合することと、
    を含む、請求項９に記載の方法。
12. 前記ステップｂ２）は、
    前記トラフィックフローが「危険状態」クラスに属すると、前記ＩＣＭＰパケットのレートを第１の閾値と比較することと、
    前記トラフィックフローが「非危険状態」クラスに属すると、前記ＩＣＭＰパケットのレートを第２の閾値と比較することと、
    を含む、請求項１１に記載の方法。
13. 前記ステップｂ３）は、前記ＩＣＭＰレートが、前記第１及び第２の閾値のうちのそれぞれの１つを違反する度に前記早期トラフィック状態通知子を生成することを含む、請求項１２に記載の方法。
14. 前記ステップｄ）は、
    ｄ１）不審な前記トラフィックフローのレートを測定することと、
    ｄ２）前記不審なトラフィックフローのレートを第３の閾値と比較することと、
    ｄ３）不審なトラフィックフローのレートが前記第３の閾値を違反する度に攻撃中トラフィック通知子を生成することと、
    を含む、請求項９に記載の方法。
15. 前記第３の閾値は、前記トラフィックフローにより用いられる伝送プロトコルに応じて選択される、請求項１４に記載の方法。
16. 前記ステップｆ）は、攻撃の形態を識別することと、その攻撃形態に基づいて前記トラフィックフローにそれぞれの軽減作用を実行することと、を含む、請求項９に記載の方法。
17. 前記軽減作用は、ｉ）前記トラフィックフローの全てを廃棄すること、ｉｉ）前記トラフィックフローのレートをレート制限すること、ｉｉｉ）攻撃特徴と一致する前記トラフィックフローでパケットをレート制限すること、ｉｖ）パケット検証を通じて発見されたパケットをレート制限すること、のうちの１つである、請求項１６に記載の方法。
18. 通信ノードに入力された各トラフィックフローに対するサービス状態を有するサービス状態テーブルを保持するサービス状態手段と、
    トラフィックフローの状態を評価して、前記トラフィックフローの状態が変化する度に前記サービス状態テーブルを更新するモニタと、
    前記トラフィックフローを、前記トラフィックフローが「不審な」状態を有する場合は前記モニタに、前記トラフィックフローが「攻撃中」状態を有する場合は侵入検知／防止システム（ＩＤＳ／ＩＰＳ）に、前記システムの出力にルーティングするトラフィック弁別手段（１８）と、
    を備える、早期通知で異常なトラフィックを検出する（ＡＴＤＥＮ）システム。
19. 前記トラフィックフローを、前記トラフィックフローにより用いられるプロトコルに対して認識されたソフトウェアの脆弱性に基づいて、少なくとも「危険状態」と「非危険状態」とに分類する手段をさらに備える、請求項１８に記載のシステム。
20. 前記モニタは、
    全てのインターネット・コントロール・メッセージ・プロトコル（ＩＣＭＰ）パケットを前記トラフィックフローから分離する手段と、
    前記クラスに基づいて前記トラフィックフローの状態を決定し、「不審な」に変更された状態を前記サービス状態手段へ通知するＩＣＭＰレートモニタと、
    前記ＩＣＭＰパケットを、前記トラフィックフロー内に戻して併合する手段と、
    を備える、請求項１９に記載のシステム。
21. 前記ＩＣＭＰレートモニタは、前記「危険状態」クラスに関する第１の閾値に対して、さらに、前記「非危険状態」クラスに関する第２の閾値に対して分離するために、前記手段から受信した前記ＩＣＭＰパケットのレートを測定する、請求項２０に記載のシステム。
22. 前記ＩＣＭＰレートモニタは、前記ＩＣＭＰパケットのレートが前記第１及び第２の閾値のうちのいずれかに達する度に、前記サービス状態手段に早期トラフィック状態通知子を生成する、請求項１９に記載のシステム。
23. 前記モニタは、第３の閾値に対する前記トラフィックフローのレートを測定し、前記トラフィックフローのレートが前記第３の閾値に達する度に、前記サービス状態手段に「攻撃中」通知子を生成するトラフィックレートモニタをさらに備える、請求項２２に記載のシステム。

Images