JP2009504099A - ＩＰネットワークにおいてターゲット被害者自己識別及び制御によってＤｏＳ攻撃を防御する方法 - Google Patents

Abstract

攻撃のターゲット被害者が、攻撃の存在を認識し、攻撃のソースを識別し、識別されたソースから被害者へのパケットの送信を制限する（例えば、ブロックする）ようにそのキャリアネットワークに自動的に指示する、ＤｏＳ攻撃に対して防御する方法及び装置。被害者は、そのサイトのインフラストラクチャ内で判定されるさまざまな判断基準に基づいて攻撃の存在を識別することができ、イベント相関技法を使用して判定を行うことができる。次に、被害者は１以上のソース／宛先ＩＰアドレス対を通信事業者に通信し、次に、この通信事業者は指定された宛先ＩＰアドレスから対応するソースＩＰアドレスへのパケットの送信を制限する。被害者はセキュリティシグネチャを使用し、輻輳したネットワーク条件の下であっても配送を保証するためにキャリアネットワークへの冗長接続を使用することによってソース／宛先ＩＰアドレス対を有利に通信することができる。

Description

本発明は、概略としてインターネットプロトコル（ＩＰ）ネットワークなどのパケットベースの通信ネットワークでのコンピュータセキュリティの分野に関し、具体的には、ターゲット被害者自体がサービス拒否（ＤｏＳ）攻撃の存在を認識し、攻撃のソースを識別し、それに関連するキャリアネットワークによる悪意のあるパケットのルーティングの制御を要求する、そのようなネットワークでのＤｏＳ攻撃に対する防御の方法及び装置に関する。

毎日、数千台の新しい「ゾンビ」が、ハイジャックされたＰＣ（パーソナルコンピュータ）のプールに加わり、電子メールユーザにスパムを送信し、ｅ−コマース・サイト、政府リソース、及び他のネットワーク・インフラストラクチャに対してＤｏＳ攻撃を開始する。実際に、１７００００台もの多数のゾンビマシンが、毎日インターネットに追加されると推定されている。ＤｏＳ攻撃は、特に、限られたリソースが合法的ユーザではなく攻撃者に割り振られる必要がある時に、サービス混乱の主要な原因になり得る。そのような攻撃は、暦年２００４年に２６００００００ドルを超える損失をもたらしたと推定されている。攻撃するマシンは、通常、リモート・マスタによって制御された、危険にさらされたゾンビマシンであり、通常、インターネットを介して攻撃のターゲット被害者宛に膨大な個数のＩＰ（インターネットプロトコル）パケットを送信することによって損害を負わせる。そのような攻撃を始める犯罪者は、小さい会社を停止させることを目指すティーンエージャーから、大企業に金銭を要求することを試みる国際犯罪組織までの範囲にわたる。

現在、そのようなＤｏＳ攻撃に対する防御の一般的に使用される２つの手法があり、一方は主に手動であり、もう一方は自動化されている。第１の手法は、エンド・ユーザ（すなわち、ターゲット被害者）による攻撃の存在の手動識別、並びにその後の被害者のサービスプロバイダ（すなわち通信事業者）への攻撃の手動の（たとえば電話による）報告と、通信事業者が報告された攻撃のソースを識別し、その攻撃の一部であるパケットがネットワークを介して被害者に達するのを防ぐために保護バリヤを始めることの要求との組合せを必要とする。最も通常、そのような手法は、通信事業者が違反するパケットのソースを識別することと、その後にそのソースからのすべてのパケット（あるいは、少なくとも、攻撃の存在を識別し、報告した特定の攻撃被害者宛の、そのソースからのすべてのパケット）の受け入れを拒否することをもたらす。

そのようなＤｏＳ攻撃に対する防御の第２の手法は、サービスプロバイダが、保護されるエンドユーザ宛の各すべてのパケットがそれを通過しなければならない洗練された「パケット・ウォッシャ（ｐａｃｋｅｔ ｗａｓｈｅｒ）」又は「スクラバ」フィルタを含めることを必要とする、より自動化されたプロセスを提供する。すなわち、インターネット・ルーティング・テーブルに対して変更が行われ、その結果、所与のエンドユーザのトラフィックのすべてが、そのようなフィルタを介してルーティングされるようになり、このフィルタは、パケットが悪意のあるものであるか否かを判断することを試みて各パケットを検査する。パケットは、悪意のあるものと思われない場合に、エンドユーザに転送されるが、悪意のあるものと思われる場合には、フィルタ・アウトされ、破棄される。

しかし、これらの手法のそれぞれが、重大な制限を有する。第１の手法は、かなりの手動介入を必要とし、しばしば、重大な損害が既に生じるまで、攻撃の問題に対処することができない可能性がある。また、第２の手法は、しばしば、ターゲットだけがパケットのデータ内容を抽出でき、したがって分析できるので、パケットのアプリケーション分析を活用することができない（たとえば、暗号プロトコルが使用される場合に、符号化されたパケットデータを復号できるのは、通常はパケットの最終的な宛先だけである）。さらに、被害者のアプリケーションに対して活用される攻撃は、過度な帯域幅だけに基づくのではなく、あるタイプの機能的要求から生じる場合がある。したがって、攻撃が迅速に認識され、識別され、（好ましくは手動介入なしで）停止される、ＤｏＳ攻撃の問題に対する解決策が必要である。
米国特許出願第＿＿＿＿＿＿号、「Ｍｅｔｈｏｄ Ａｎｄ Ａｐｐａｒａｔｕｓ Ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ Ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ Ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ Ｂａｓｅｄ Ｏｎ Ｓｐｅｃｉｆｉｅｄ Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ Ｐａｉｒｓ」

我々は、ＤｏＳ攻撃の存在を認識する最適の場所が、ターゲット被害者（それ自体に対する攻撃を識別し、対処する最終的な動機づけを有する）であるが、攻撃に対して防御する最適の場所が、ネットワーク内（すなわち、通信事業者のネットワーク内）であることを認識した。したがって、本発明の原理によれば、２つの前述の従来技術の手法のそれぞれの利益を、対応する不利益なしに有利に実現することができる。具体的に言うと、本発明は、攻撃のターゲット被害者が攻撃の存在を認識し、攻撃のソースを識別し、そのキャリアネットワークに、識別されたソースからターゲット被害者へのパケットの送信を制限するように自動的に指示する、ＤｏＳ攻撃に対して防御する方法及び装置を提供する。

より具体的には、本発明は、キャリアネットワークに基づいてインターネットプロトコル（ＩＰ）によるサービスを提供されるターゲット被害者によってＤｏＳ攻撃に対して防御する方法及び装置であって、１以上のソースＩＰアドレスから受信されるＩＰパケットの分析に基づいてＤｏＳ攻撃が行われつつあることを判定するステップ（又は手段）と、そのようなソースＩＰアドレスの１つ及び宛先ＩＰアドレス（ターゲット被害者に関連するＩＰアドレスの１つ）とをそれぞれが含むＩＰアドレスの１以上の対を識別するステップ（又は手段）と、ＩＰアドレスの識別された対の１つのソースＩＰアドレス及び宛先ＩＰアドレスに一致するソースＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットの送信をキャリアネットワークが制限する（たとえば、ブロックする）ことを可能にするためにＩＰアドレスの前記識別された対をキャリアネットワークに送信するステップ（又は手段）を含む、方法及び装置を提供する。

本発明の例示的実施形態によれば、ゾンビ攻撃プロセッサ（以下では「ザッパ」）が、ＤｏＳ攻撃の被害者が攻撃者をその通信事業者に告発することによって「押しのける」ことを可能にする新しいタイプのセキュリティデバイスを提供し、この通信事業者は、これに応答して、ブロックされなければならないソース／宛先ＩＰアドレス対のテーブルを更新する。より具体的には、攻撃が行われていることを認識した時に、被害者は、攻撃の一部であると思われるパケットで指定されるソースＩＰアドレス及び宛先ＩＰアドレスの１以上の対を識別し、これらのＩＰアドレス対を、ブロックのためにその通信事業者に通信する。

本発明のある例示的な実施形態によれば、攻撃者（すなわち、識別された１以上のソースＩＰアドレス）は、ネットワークから完全に排除される必要があるのではなく、被害者（すなわち、識別された１以上の宛先ＩＰアドレス）にパケットを送信することだけを禁止されるものとすることができることに留意されたい。これは、特に１以上の識別されたソースＩＰアドレスが、被害者に対する所与の攻撃のために乗っ取られた合法的ユーザ（すなわち、ゾンビ）を表す場合に、有利である可能性がある。したがって、乗っ取られたマシンの所有者が、合法的目的にそのシステムを使い続けることができると同時に、被害者（合法的ユーザには未知）に対して行われる攻撃は、それでも有利に阻まれる。さらに、本発明のそのような例示的実施形態による技法が、所与の被害者による攻撃者の過度に熱狂的な識別からの保護をも有利に提供することに留意されたい。本発明の原理によれば、攻撃の識別は、明白な被害者の裁量に任されるので、所与の被害者へのトラフィックだけが排除され又は制限されることが、明らかに有利である。

有利なことに、告発プロトコルに、セキュリティシグネチャを含めることができ、その結果、ザッパ・インフラストラクチャ自体が、ＤｏＳ攻撃の開始に使用できなくなる。さらに、このプロトコルは、キャリアネットワークへの冗長接続及び冗長ＵＤＰ（ユーザ・データグラム・プロトコル）を有利に利用して、輻輳したネットワーク状態の下であっても配送を保証することができる（ＵＤＰは、当業者が十分に馴染んでいるＩＰ通信プロトコルである）。ネットワークプロセッサ及びメモリの進歩は、有利なことに被害者又は通信事業者のいずれによる手動介入をも必要とせずに（したがって極端にタイムリーな応答が可能である）潜在的に多数の攻撃者（以前のルータの容量をはるかに超える）までそのような防御をスケーリングすることを可能にする。

本発明のさまざまな例示的実施形態によれば、そのようなザッパ・フィルタリング・エンジンは、キャリアネットワークに含まれる独立型ボックスとして、又はその代わりにネットワーク内に既に存在するそれ以外の点では通常のネットワーク要素に組み込まれる回線カードとしてのいずれかとして実施することができる。さらに、本発明のある例示的実施形態によれば、ザッパ・フィルタを、ネットワーク内で攻撃起点に比較的近い位置に通信事業者によって有利に展開することができ、あるいは、当初に、プレミアム・カスタマを攻撃から有利に防御するために配置することができる。

本発明のさまざまな例示的実施形態によれば、ブロックされるＩＰアドレス対エントリは、タイム・アウトする（すなわち、所定の経過した時間期間の後に自動的に除去される）か、その代わりに、明示的に発行された執行猶予によってクリアできるかのいずれかとすることができる。この形で、ネットワークは、ガーベッジ・コレクション・アルゴリズムを使用する必要なしに、クリーンな状態に有利に戻る。例示的に、告発者（すなわち、攻撃を識別し、攻撃に対して保護することを可能にされている、キャリアネットワークのカスタマ）には、たとえば、限られた数、たとえば数十万個程度の「証文」（入力されブロックされるソース／宛先ＩＰアドレス対）を与えることができ、この個数は、たとえば、所与のカスタマが所与のサービスプロバイダ（すなわち通信事業者）を用いて行うビジネスの量に比例して基づくものとすることができる。

さらに、本発明のある例示的実施形態によれば、ネットワーク診断を、たとえばあるパケットがブロックされるソース／宛先ＩＰアドレス対を含むものとして識別されたので捨てられる時に必ずある所定の確率で、例示的ザッパにＩＣＭＰ（インターネット制御メッセージプロトコル、当業者が十分に馴染んでいる）到達不能メッセージを返させることによって、有利に提供することができる。そのようなエラー・リターンは、本発明の１つの例示的実施形態によれば、ブロックされたパケットの送信者がそのようなパケットに対するブロック要求を行った人及びおそらくはそのような要求の理由に関する詳細についてデータベースに照会することを可能にするコードを含む。

また、本発明のある例示的実施形態によれば、補足ツールも有利に提供することができる。たとえば、そのようなツールに、活用されたＤｏＳ攻撃を認識するインターネット・サーバ・プラグイン、さまざまなＩＤＳシステム（侵入検出システム）へのリンク、ネットワーク診断用のデータベース（上の議論を参照されたい）、及び所与の通信事業者のインフラストラクチャ内のザッパ機能性の配置に関するガイダンスを提供する方法を含めることができる。これらの補足ツールのうちのさまざまな補足ツールを提供する本発明の例示的実施形態は、本明細書の開示に鑑みて、当業者に明白であろう。

本発明のある例示的実施形態によるザッパ・フィルタリング機構の動作が、潜在的に多数（たとえば、数百万個）の非常に単純なルールに基づいて動作することを除いて、従来のファイヤウォールの動作に似ていることに留意されたい。具体的に言うと、ザッパ・ルールは、「所与のパケットのソースＩＰアドレスがａ．ｂ．ｃ．ｄであり、そのパケットの宛先ＩＰアドレスがｗ．ｘ．ｙ．ｚである場合に、そのパケットをブロックせよ（すなわち、捨てよ）」という形で表すことができる。

また、本発明の他の例示的実施形態によれば、所与のソースＩＰアドレス及び宛先ＩＰアドレスを有するパケットの送信を禁止するのではなく、ザッパ・フィルタは、そのようなパケットの優先順位を下げることができる。すなわち、このフィルタリング機構は、そのようなパケットに低い優先順位を割り当てるか、そのようなパケットに対するパケットレート制限を実施するかのいずれかを行うことができる。どちらの場合でも、所与のソースＩＰアドレス及び宛先ＩＰアドレスを有するパケットは、トラフィックに対する大きい影響を有することができず、したがって、もはや被害者に対する成功のＤｏＳ攻撃をもたらさない。

本発明のさまざまな例示的実施形態によれば、攻撃検出を、被害者によって、多数が当業者に明白である、さまざまな単純さ又は洗練の度合のアルゴリズムによって有利に認識することができる。たとえば、本発明の１つの例示的実施形態によれば、アプリケーション・ログを検査することができ、攻撃を、単一の識別されたソース又は複数の識別されたソースのいずれかからの非常に高いトラフィックレベル（たとえば、高いパケットレート）の存在だけに基づいて識別することができる（これが、ＤｏＳ攻撃の存在を識別する１つの従来の方法であり、当業者に馴染みのあるものであることに留意されたい）。

しかし、本発明のもう１つの例示的実施形態によれば、たとえば、存在しないデータベース要素に関する頻繁なデータベース検索があったことを認識すること、ある人が開始できるものより高いレートで発生する、見かけは人間からの複数の要求があったことを認識すること、構文的に無効な要求を識別すること、及び通常発生するアクティビティの動作において特に敏感な時間のトラフィックの疑わしい量を識別することなど、パケット内容のアプリケーションベースの分析を実行して、疑わしい性質を有するパケット又はパケットのシーケンスを識別することができる（疑わしいパケットの後者のクラスの例は、たとえば、株式取引ウェブサイトが差し迫った株取引中の敏感な時に特に妨害的なトラフィックに気付く場合に、識別することができる）。また、本発明の他の例示的実施形態によれば、たとえば上で説明した情況のうちの１以上を含めることができる、可能な攻撃の複数の異なるしるしを、より洗練された分析で有利に組み合わせて、攻撃の存在を識別することができる。

図１に、本発明の例示的実施形態によるＤｏＳ攻撃に対して防御する例示的装置が使用されるネットワーク環境を示す。この図には、ターゲット被害者１１（たとえば、銀行又は他の金融機関とすることができる）が示されている。ターゲット被害者１１が、それに関連する１以上のＩＰアドレス（図示せず）を有すると仮定されることに留意されたい。また、ターゲット被害者１１には、本発明の原理に従って、攻撃ディテクタ１２が関連付けられ、この攻撃ディテクタ１２は、本発明の例示的実施形態に従って動作して、ＤｏＳ攻撃がターゲット被害者１１に対して行われつつあることを判定する。

キャリアネットワーク１３、すなわちターゲット被害者１１にサービスを提供するネットワーク通信事業者は、さまざまなソースからＩＰパケットを受信し、これらをターゲット被害者１１に送信する。この図に示されているように、被害者に送信されるＩＰパケットは、実際に、その被害者に対するＤｏＳ攻撃に関連し、多数のゾンビマシン１４によって送信されつつある。キャリアネットワーク１３には、ザッパ１５も含まれ、このザッパ１５は、本発明の例示的実施形態に従って、ＤｏＳ攻撃に対して有利に防御する。

より具体的には、動作中に、本発明の例示的実施形態に従って、攻撃ディテクタ１２は、ＤｏＳ攻撃がターゲット被害者１１に対して行われつつあると判定した時に、１以上のソース／宛先ＩＰアドレス対をザッパ１５に送信し、ザッパ１５は、そのソースＩＰアドレス及び宛先ＩＰアドレスが送信されたソース／宛先ＩＰアドレス対のいずれかのソースＩＰアドレス及び宛先ＩＰアドレスと一致するＩＰパケットの送信をキャリアネットワーク１３に制限させ（たとえば、ブロックさせ）、これによって、ターゲット被害者１１へのゾンビ１４からのＤｏＳ攻撃を制限する（又は除去する）。攻撃ディテクタ１２が、冗長接続１７を使用することによってソース／宛先ＩＰアドレス対を有利に送信することに留意されたい。また、ゾンビ１４から無関係のサーバ１６に送信されるＩＰパケットは、有利に、影響を受けないことに留意されたい。

図２に、本発明の例示的実施形態によるＤｏＳ攻撃に対して防御する方法の流れ図を示す。図２の例示的方法は、ターゲット被害者の側で実行され、受信されたＩＰパケットの分析に基づいて、ＤｏＳ攻撃がそれに対して行われつつあることを判定することによって開始される（ブロック２１に示されているように）。次に（ブロック２２に示されているように）、１以上のソース／宛先ＩＰアドレス対が、ＤｏＳ攻撃を阻むためにブロックされなければならないＩＰパケットを表すものとして識別される（例示的に、ソースＩＰアドレスは、攻撃する「ゾンビ」マシンのＩＰアドレスであり、宛先ＩＰアドレスは、ターゲット被害者自体に関連するＩＰアドレスである）。最後に（ブロック２３に示されているように）、識別されたソース／宛先ＩＰアドレス対が、被害者のキャリアネットワークに送信されて、キャリアネットワークが、一致するソースＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットの送信をブロックすることを可能にする。

詳細な説明に対する追加
前の議論のすべてが、単に、本発明の全般的な原理を例示することに留意されたい。当業者が、本明細書で明示的に説明されず、図示されてはいないが、本発明の原理を実施し、本発明の趣旨及び範囲に含まれるさまざまな他の配置を考案できることを了解されたい。たとえば、本発明を、インターネットプロトコル（ＩＰ）ネットワークに関して具体的に説明したが、使用される特定の通信プロトコルが、本発明の原理に関係せず、したがって、本発明を、関連するソースアドレス及び宛先アドレスを有するパケットがネットワークを介して送信されるすべてのデータパケットベースのネットワークの文脈で同一の形で使用できることが、当業者には明白であろう。

さらに、本明細書で列挙されたすべての例及び条件の言語が、主に、当技術を促進するために本発明人によって貢献される本発明の原理及び概念を読者が理解するのを助けるために明示的に教育学的目的だけを意図されており、そのような具体的に列挙された例及び条件に限定されないものとして解釈されなければならない。さらに本発明の原理、態様、及び実施形態並びに本発明の特定の例を列挙する本明細書のすべての言説は、その構造的同等物と機能的同等物との両方を含むことが意図されている。また、そのような同等物が、現在既知の同等物と将来に開発される同等物すなわち、構造にかかわりなく、同一の機能を実行する開発されるすべての要素との両方を含むことが意図されている。

本発明の例示的実施形態によるＤｏＳ攻撃に対して防御する装置が使用されるネットワーク環境を示す図である。 本発明の例示的実施形態によるＤｏＳ攻撃に対して防御する方法を示す流れ図である。

Claims (10)

1. ターゲット被害者に対するサービス拒否（ＤｏＳ）攻撃に対して防御する完全に自動化された方法であって、該方法が前記ターゲット被害者の側で実施され、前記ターゲット被害者が、前記ターゲット被害者にインターネットプロトコル（ＩＰ）パケットを送信するＩＰベースのキャリアネットワークによってサービスを提供され、前記ターゲット被害者が、１以上のＩＰアドレスを関連付けられ、前記方法が、
   １以上のソースＩＰアドレスから受信されたＩＰパケットの分析に基づいて、ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップ、
   ＩＰアドレスの１以上の対を識別するステップであって、ＩＰアドレスの前記対のそれぞれがソースＩＰアドレス及び宛先ＩＰアドレスを含み、前記ソースＩＰアドレスが前記ＩＰパケットのうちの１つがそこから受信された前記ソースＩＰアドレスのうちの１つであり、前記宛先ＩＰアドレスが前記ターゲット被害者に関連する前記ＩＰアドレスのうちの１つである、ステップ、及び
   前記キャリアネットワークに送信されたＩＰアドレスの識別された対の１つに含まれる前記ソースＩＰアドレス及び前記宛先ＩＰアドレスと等しいソースＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットの送信を前記キャリアネットワークが制限することを可能にするためにＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップ
   からなる方法。
2. 請求項１記載の方法において、前記ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップが、前記１以上のソースＩＰアドレスから受信される前記ＩＰパケットのパケットレートが所定の閾値を超えることを判定するステップからなる方法。
3. 請求項１記載の方法において、前記ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップは、前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、存在しないデータベース要素に関するデータベース検索を実行する要求を含むことを判定するステップであって、存在しないデータベース要素に関するデータベース検索を実行するそのような要求を含む前記ＩＰパケットのうちの前記複数の受信のレートが所定の閾値を超える、ステップからなる方法。
4. 請求項１記載の方法において、前記ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップは、前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、その称するところでは人間からである要求を含むことを判定するステップであって、その称するところでは人間からである要求を含む前記ＩＰパケットのうちの前記複数の受信のレートが所定の閾値を超える、ステップからなる方法。
5. 請求項１記載の方法において、前記ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップは、前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、構文的に無効な要求を含むことを判定するステップであって、構文的に無効な要求を含む前記ＩＰパケットのうちの前記複数の受信のレートが所定の閾値を超える、ステップからなる方法。
6. 請求項１記載の方法において、前記ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップは、前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、前記ターゲット被害者の敏感な動作中に所定の閾値を超えるレートで受信されることを判定するステップからなる方法。
7. 請求項１記載の方法において、前記ＤｏＳ攻撃が前記ターゲット被害者に対して行われつつあることを判定するステップが、条件の所定の組のうちの少なくとも２つが満足されることを判定するステップからなり、条件の前記組が、
   前記１以上のソースＩＰアドレスから受信される前記ＩＰパケットのパケットレートが所定の閾値を超えることを判定するステップ、
   前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、存在しないデータベース要素に関するデータベース検索を実行する要求を含むことを判定するステップであって、存在しないデータベース要素に関するデータベース検索を実行するそのような要求を含む前記ＩＰパケットのうちの前記複数の受信のレートが所定の閾値を超える、判定するステップ、
   前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、その称するところでは人間からである要求を含むことを判定するステップであって、その称するところでは人間からである要求を含む前記ＩＰパケットのうちの前記複数の受信のレートが所定の閾値を超える、判定するステップ、
   前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、構文的に無効な要求を含むことを判定するステップであって、構文的に無効な要求を含む前記ＩＰパケットのうちの前記複数の受信のレートが所定の閾値を超える、判定するステップ、及び
   前記１以上のソースＩＰアドレスから受信された前記ＩＰパケットのうちの複数が、前記ターゲット被害者の敏感な動作中に所定の閾値を超えるレートで受信されることを判定するステップ
   のうちの複数を含む方法。
8. 請求項１記載の方法において、前記ＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップが、セキュリティシグネチャを使用して、ＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップからなる方法。
9. 請求項１記載の方法において、前記ＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップが、前記キャリアネットワークへの冗長接続を使用して、ＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップからなる方法。
10. 請求項１記載の方法において、前記ＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップが、冗長通信プロトコルを使用して、ＩＰアドレスの前記１以上の識別された対を前記キャリアネットワークに送信するステップからなる方法。

Images