JP2009534001A - 悪質な攻撃の検出システム及びそれに関連する使用方法 - Google Patents

Abstract

悪質な攻撃を検出するシステム及びそれに関連する使用方法が開示される。これは、データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ又はＴＣＰ／ＩＰ）アドレスを得て、潜在的な悪質な攻撃の条件についてヘッダ情報を調べ、もし存在するときに制約フィルタ結果が生成され、インターネットプロトコル（ＩＰ）アドレスを比較して、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断し、制約フィルタ結果の数を判断して、所定の閾期間中にインクリメントされたカウントが所定の閾値を超えたかどうかを判断し、その判断に基づいて、少なくとも１つのデータパケットを除くことを含む。好ましくは、しかし必須ではないが、工程は、新しいデータパケットが到達したときに、先のデータパケットに関する上述した全ての処理が完了していることを意味するワイヤスピードで実行される。

Description

本発明は、サーバの保護に関し、特に、インターネットなどのグローバルなコンピュータネットワークを利用するサーバのためにサービス拒否（ＤｏＳ：Denial of Service）及びポートスキャンなどの悪質な攻撃を検出して防ぐための技術であって、好ましくは、しかし必ずしもではないが、ワイヤスピードで実現する改良された技術に関する。

企業などの多くのエンティティ（entities）は、情報を共有するためにそれらのコンピュータをネットワーク接続する。さらに、これらのエンティティは、通常、コンピュータを用いて、それらのネットワークの外で、インターネットなどのグローバルなコンピュータネットワークを使用して、典型的にはウェブサイトにより、少なくともいくつかの情報を共有することを望む。このネットワークの外での情報の共有は、インターネットなどのグローバルなコンピュータネットワークにネットワーク接続するための通信手段を外部コンピュータに提供するコンピュータサーバを用いて成し遂げられる。

不運にも、悪質なコンピュータのユーザは、インターネットの通信手段を利用して、インターネットを通してネットワーク通信を混乱させ、秘密データへのアクセスを取得し、又はデータを消去することが可能である。このような攻撃の一例として、アタッカがあるリソースへの犠牲のアクセス（victim's access）を拒否するように試みる、サービス拒否（ＤｏＳ）攻撃がある。サービス拒否（ＤｏＳ）攻撃は、サーバのプロセッサ（例えば、ＣＰＵ、メモリ、及びネットワークの通信手段）を消費し且つ使いつくすことを含む、種々の方法により達成されうる。

ネットワーク接続を確立するため、外部コンピュータとサーバとの間で、双方向通信又はハンドシェイク処理を行わなければならない。基本的な概要のネットワークの全体が、図１に図示されるように、符号１で示されている。例えば、外部（クライアント）コンピュータ２は、グローバルコンピュータネットワークなどのネットワーク６により、サービスについての要求をサーバに送信する。この要求に応えて、サーバはメモリ空間と処理時間を割り当て、コンピュータに応答を送り返し、コンピュータの応答を待つ。悪質な意図を持つ外部コンピュータ４、すなわち、アタッカは、サービスについての非常に多くの要求をサーバ３に送信できる。しかし、サーバに応答を返すことはない。外部コンピュータは、正当に見える又は信頼できるソース（コンピュータ）から来たように見えるＩＰアドレスを挿入する「ＩＰアドレスのなりすまし（ＩＰアドレススプーフィング）」９と呼ばれる一般技術を利用する。ＩＰアドレススプーフィング９は、サーバ３に、非常に多くの（多数の）接続が確立されることを要求されていると信じさせる。サーバ３は、メモリと処理時間を確保し及び消費しながら、決して受信しない応答を待つ。追加のデータパケットを待ち、受信している間、サーバ３は、メモリ、処理空間、又はネットワークへの通信手段を使い尽くしうる。非常の多くのメモリを消費する結果、サーバ３は、他の正当な外部コンピュータ２からのさらなる正当な要求１１を取り扱うのを拒否する。最終的に、要求が非常に多くなると、サーバ３が正当なユーザへの接続を提供できないだけでなく、ネットワーク全体を氾濫させ妨害できるようになり、インターネットを用いたサーバの通信が本質的に遮断する（８）。これにより、Ｅメール、インターネットのアクセス、及び／又はウェブサーバの機能を失う結果となる。

悪質なアタッカが、正当な外部コンピュータ又はユーザ２の要求を満たす（正当な）サーバ５として動作するふりをするとき、他の複雑な事態がさらに発生する。（正当な）サーバ５として動作するふりをする悪質なアタッカは、消耗（及びビジー）の理由で、もはや応答しない。アタッカ７は、他の正当なコンピュータ又はユーザ２から秘密データ１２を要求できる。正当なコンピュータ又はユーザ２は、図１に示されるように、偽サーバ５により攻撃される（７）ことに必ずしも気付いていない。

これらの攻撃の他の例は、ネットワークの利用可能な帯域幅の全てを消費するために、多量のデータパケットでサーバを氾濫させ、正当なユーザによるネットワークへのアクセスを拒否し、又は、サーバに非常に多くのプログラム又はスクリプトを実行させることにより、利用できるディスクの空き容量を使いつくすことを含む。

さらに悪質なコンピュータのユーザは、ネットワーク通信ポートについての情報を取得する（例えば、ポートが開放されているか又は閉鎖されているか、又は、どのサービス又はプログラムがポートを使用しているかを調べる）ためにポートスキャンを利用できる。アタッカは、ポートを用いたサービスの脆弱性について調べ、それらを利用して、システムへのアクセスを獲得することができる。そこで、アタッカは、データを消去し、又は他の悪質な行為を実行することができる。

高速なネットワークトラフィックにおいて、悪質な攻撃を検出し、タイミングの良い適切な方法でシステムが攻撃されることを防ぐことは、企業にとって重要であることが分かる。ワイヤスピードでの攻撃の検出は、適切なタイミングで攻撃を検出するだけでなく、最速の可能な検出時間で攻撃（さらに攻撃されること）を防ぐ場合に非常に役に立つ。適切なタイミングで的確な検出が行われない場合、攻撃は、システムに侵入して主要なサービスの拒否（ＤｏＳ）攻撃を引き起こすことができるだけでなく、永久的なデータの紛失を引き起こすこともできる。

本発明は、上述した１以上の問題を克服することを対象とする。

本発明の一態様において、本発明は、サービス拒否攻撃及び／又はポートスキャンの検出システムを含む。検出システムは、インターネットのデータパケット（ＴＣＰ／ＩＰ又はＩＰ）を受信し、パケットがサービス拒否攻撃又はポートスキャンの試みであると判断した場合に、サーバからそのパケットを除く。パケットは、好ましくは、しかし必ずしもではないが、ワイヤスピードで除かれる。ワイヤスピードは、（ＴＣＰ／ＩＰ又はＩＰ）データパケット処理速度として定義される。ワイヤスピードは、サービス拒否（ＤｏＳ）又はポートスキャンの攻撃を検出するために必要な時間であり、個々の（ＴＣＰ／ＩＰ又はＩＰ）データパケットがシステムに入力してから、次の（ＴＣＰ／ＩＰ又はＩＰ）データパケットがシステムに入るまでに、必要とされる時間以下である。言い換えると、次の（直後の）（ＴＣＰ／ＩＰ又はＩＰ）データパケットがサービス拒否（ＤｏＳ）及び／又はポートスキャンの処理に到達するときまでに、前の（ＴＣＰ／ＩＰ又はＩＰ）データパケットについての検出が、既存のワイヤスピードの条件で、うまく完了していなければならない。このような攻撃の検出は、好ましくは、入ってくるインターネットパケットの発信元と送信先のアドレスが、以前に格納されたパケットの発信元と送信先のアドレスに合致しているかどうかを調べるシステムを含む。システムは、特定の時間閾値において、同一の発信元又は送信先のＩＰアドレスからのパケットの数をカウントし、カウントが所定の閾値を越えた場合に、システムからパケットを除くことにより攻撃を防ぐ。

ワイヤスピードでのサービス拒否（ＤｏＳ）及び／又はポートスキャンの検出器を有することが、必須ではないが、好ましい。この場合、サーバは、「サーバファーム」構成などの、高い帯域幅と高いスループットの環境を提供するように配置される。ワイヤスピードでの検出がない場合、多くのアタッカが（一般の及び従来の）検出技術を回避することを可能にし、また、アタッカは検出システム自身を使い尽くすことができ、又は検出システムは、重大なパケットの紛失と遅延を引き起こす進入（ＴＣＰ／ＩＰ又はＩＰ）データパケットを除かざるを得なくなる。

本発明の他の態様において、悪質な攻撃の検出システムが開示される。そのシステムは、データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るヘッダ解析機能と、潜在的な悪質な攻撃の条件についてヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、制約フィルタ結果を生成する制約フィルタ機能と、インターネットプロトコル（ＩＰ）アドレスを比較してインターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断する比較機能と、比較機能がインターネットプロトコル（ＩＰ）アドレスが以前に受信されたものであると判断した場合に、制約フィルタ結果がカウントをインクリメントしたことを判断し、且つ、カウントが所定の閾期間中に所定の閾値を超えたかどうかを判断する検出機能と、検出機能が所定の閾期間中にカウントが所定の閾値を超えたと判断したときに、システムから少なくとも１つのデータパケットを除く制御信号を出力する制御機能と、ヘッダ解析機能、制約フィルタ機能、検出機能、及び制御機能を実現する、少なくとも１つのプロセッサと、を有する。

本発明のさらに他の態様において、悪質な攻撃の検出システムが開示される。そのシステムは、ワイヤスピードでデータパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るヘッダ解析機能と、ワイヤスピードで潜在的な悪質な攻撃の条件についてヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、制約フィルタ結果を生成する制約フィルタ機能と（潜在的な悪質な攻撃の条件は、サービス拒否（ＤｏＳ）攻撃又はポートスキャンからなる群から選択され、制約フィルタ機能は、選択的にアクティブにできる複数の制約条件を含み）、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するために、ワイヤスピードで、インターネットプロトコル（ＩＰ）アドレスを比較する比較機能と、ワイヤスピードで動作して、比較機能がインターネットプロトコル（ＩＰ）アドレスが以前に受信されたものであると判断した場合に、制約フィルタ結果がカウントをインクリメントしたことを判断し、且つ、所定の閾期間中にカウントが所定の閾値を越えたかどうかを判断する、検出機能と（検出機能は、複数のカウンタと、対応する複数の閾カウンタ値比較と、複数の時間間隔を備えた関連する時間間隔フィルタ機能と、対応する複数の閾時間間隔値と、を含み）、ワイヤスピードで動作して、検出機能が所定の閾期間中にカウントが所定の閾値を超えたと判断したときに、システムから少なくとも１つのデータパケットを除く制御信号を出力する制御機能と、ヘッダ解析機能、制約フィルタ機能、検出機能、及び制御機能を実現する少なくとも１つのプロセッサと、少なくとも１つのプロセッサに関連付けられて制約フィルタ機能及び制御機能の制御を提供するインターフェースと、を有する。

本発明のさらに他の態様において、少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法が開示される。その方法は、データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るステップと、潜在的な悪質な攻撃の条件について、ヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、制約フィルタ結果を生成するステップと、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するためにインターネットプロトコル（ＩＰ）アドレスを比較するステップと、インターネットプロトコル（ＩＰ）アドレスの比較ステップ中に、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するステップと、制約フィルタ結果の数を判断し、インクリメントされたカウントが、所定の閾期間中に所定の閾値を越えたかどうかを判断するステップと、検出機能が所定の閾期間中にカウントが所定の閾値を越えたと判断したときに、システムから少なくとも１つのデータパケットを除くステップと、を有する。

本発明のさらに他の態様において、少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法が開示される。その方法は、ワイヤスピードでデータパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るステップと、ワイヤスピードで潜在的な悪質な攻撃の条件についてヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、複数の制約条件の選択的なアクティブ化により、制約フィルタ結果を生成するステップと（潜在的な悪質な攻撃の条件は、サービス拒否（ＤｏＳ）攻撃又はポートスキャンからなる群から選択され）、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するためにワイヤスピードでインターネットプロトコル（ＩＰ）アドレスを比較するステップと、ワイヤスピードでインターネットプロトコル（ＩＰ）アドレスの比較ステップ中に、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するステップと、ワイヤスピードで制約フィルタ結果の数を判断し、インクリメントされたカウントが所定の閾期間中に所定の閾値を越えたかどうかを判断するステップと、複数のカウンタと、対応する複数の閾カウンタ値比較と、複数の時間間隔と、対応する複数の閾時間間隔値と、を用いて、検出機能が所定の閾期間中にカウントが所定の閾値を越えたと判断したときに、ワイヤスピードで、システムから少なくとも１つのデータパケットを除くステップと、を有する。

これらは、本発明の無数の態様の中のほんのいくつかであって、本発明に関連する無数の態様の全てを含むリストと見なされるべきではない。これら及び他の態様は、下記の明細と添付の図面に照らすことにより、当業者によれば明らかとなる。

下記の詳細な記述において、本発明の徹底的な理解を提供するために、多数の具体的な詳細について説明する。しかしながら、当業者であれば、本発明は、これらの具体的な詳細がなくても実施できることが理解されうる。他の例では、周知の方法、手順、及び構成要素は本発明をわかりにくくするため、詳細は記述されない。

添付の図を参照すると、図１は、本発明による、サービス拒否（ＤｏＳ）及びポートスキャンなどの悪質な攻撃の検出システム（全体が符号１０で示される。）の概略図を示している。本発明において、ヘッダフレーム、例えば、一般的にイーサネットフレームに関連するＬ２フレーム（符号１５により示される。）が受信され、先入れ／先出し（ＦＩＦＯ）メモリバッファ（符号１０４により全体を示される。）に渡される。

また、このヘッダフレームは、同時に、ヘッダフレームを受信する解析ブロック２０に渡される。ヘッダフレームは、解析ブロック２０内で解析され、ヘッダフレーム（例えば、Ｌ２）の種類が識別され、（ＴＣＰ／ＩＰデータパケットに対して同意語である）他のヘッダフレーム（例えば、インターネットプロトコル（ＩＰ）ヘッダに関連するＬ３ヘッダ及び伝送制御プロトコル（ＴＣＰ）ヘッダに関連するＬ４ヘッダ）の第１のバイトが探し出される。また、解析ブロック２０は、伝送制御プロトコル（ＴＣＰ）フラグとタイミング情報などの他のヘッダ情報を検索する。送信先インターネットプロトコルアドレス（ＤＩＰ）及び発信元インターネットプロトコルアドレス（ＳＩＰ）５２は、検出ブロック（符号５０で全体を示される。）に送信される。検出ブロック５０において、送信先インターネットプロトコルアドレス（ＤＩＰ）及び発信元インターネットプロトコルアドレス（ＳＩＰ）５２は、インターネットプロトコル（ＩＰ）アドレス記憶ブロック５４に送信される。

Ｌ２及び／又はＬ３及び／又はＬ４ヘッダフレームなどの残りのヘッダ情報２２は、伝送制御プロトコル（ＴＣＰ）フラグとタイミング情報と同様に、制約フィルタブロック（符号３０で示される。）に送信される。制約フィルタブロック３０は、サービス拒否（ＤｏＳ）及びポートスキャンなどの潜在的な悪質な攻撃について、残りのヘッダ情報２２を調べる。制約フィルタブロック３０は、実例となる制約１（符号３２で示される。）、実例となる制約２（符号３４で示される。）、及び実例となる制約Ｎ（符号３６で示される。）などの複数の制約を含むことができる。第１の制約フィルタブロック３０において、フィルタの条件は、プロセッサインターフェースブロック（符号４０で示される。）により、検出の種類によってアクティブ化及び非アクティブ化される。１又はそれ以上の条件が検出されるとき、制約フィルタ結果６６が生成される。制約フィルタ結果６６は、状態機械制御ブロック６８とカウント累積比較ブロック（符号７２で全体を示される。）に送信される。

フィルタの条件は、差し迫った悪質な攻撃の各種類、すなわち、サービス拒否（ＤｏＳ）及びポートスキャンを調べるのに利用される。プロセッサインターフェースブロック４０は、制約フィルタブロック３０に電気的に接続されており、検出種類に従って、フィルタの条件をアクティブ及び非アクティブにする。検出ブロック５０は、電気的に、ヘッダ解析ブロック２０、制約フィルタブロック３０、及びプロセッサインターフェースブロック４０に接続されている。検出ブロック５０は、ヘッダ解析ブロック２０から受信される発信元及び送信先インターネットプロトコル（ＩＰ）アドレスを受信し格納する。また、検出ブロック５０は、制約フィルタブロック３０から制約フィルタ結果を受け取り、閾攻撃カウントが超えたかどうか又は攻撃間の閾時間間隔が超えたかどうかを判断する。

好ましくは、検出ブロック５０は、連想メモリ（ＣＡＭ）検索ブロック６４を含む。ＣＡＭ検索ブロック６４は、ヘッダ解析ブロック２０に電気的に接続され、発信元及び送信先インターネットプロトコル（ＩＰ）アドレス５２を受信し、それらを検索し、それらが既にＣＡＭ検索ブロック６４に格納されているかどうかを判断する。連想メモリ（ＣＡＭ）は、高速でリストを検索し、対応する結果を提供することが可能な集積回路である。連想メモリ（ＣＡＭ）は、そのコンテンツにより索引を付けられる位置に情報を格納することを可能にする非常に密集した集積デジタル回路に対する特有のメモリ構造を有する。コンテンツの検索は、単にコンテンツを必要とするだけである。従って、連結リスト及びハッシュテーブルなどの任意の従来の検索技術と比較すると、論理アレイに実現される場合、コンテンツの検索は二つのサイクルを必要とするだけである。その特性により、ＣＡＭは情報検索処理を加速するのに非常に役に立ち、高速で、例えばワイヤスピードで、サービス拒否（ＤｏＳ）及びポートスキャンの攻撃に気付くのに利用されうる。ＣＡＭ検索ブロック６４は、セレクタエントリのリストで構成される。これらのセレクタエントリは、情報を含むコンテンツに関連している。各セレクタエントリは、対応する結果を持つ。ＣＡＭ検索ブロック６４は入力セレクタを受信したとき、合致について、セレクタエントリのリストを検索する。検索は、各セレクタエントリを入力セレクタと同時に比較することにより、高速で達成される。

検索処理の結果が否定的な場合、インターネットプロトコル（ＩＰ）アドレスは、以前に受信されていない。検索処理の結果が肯定的であると、合致しており、インターネットプロトコル（ＩＰ）アドレスが以前に受信されている。いずれの場合にも、合致結果７０が、インターネットプロトコル（ＩＰ）記憶制御ブロック５６とカウント累積／比較ブロック７２に送信される。

合致結果７０と制約フィルタ結果６６は、カウント累積／比較ブロック７２により受信される。複数のカウンタ（例えば、実例となるカウンタ１（符号７４により示される。）、実例となるカウンタ２（符号７８により示される。）、及び実例となるカウンタＮ（符号８２により示される。）まで）がある。各カウンタは、閾比較値（例えば、実例となる閾値比較１（符号７６により示される。）、実例となる閾値比較２（符号８０により示される。）、及び実例となる閾値比較Ｎ（符号８４により示される。））に関連している。この閾攻撃カウントの値は、インターフェースブロック４０により設定される。カウント累積／比較ブロック７２は、電気的に制御され、プロセッサインターフェースブロック４０内に設けられた攻撃／企ての種類毎のカウント閾値制御４４に接続される。

複数の時間間隔値（例えば、実例となる時間間隔値１（符号９２により示される。）、実例となる時間間隔値２（符号９６により示される。）、実例となる時間間隔Ｎ（符号１００により示される。）まで）を有する時間間隔フィルタブロック（符号９０により示される。）がある。各時間間隔値９２、９６、及び１００は、閾比較値（例えば、実例となる閾値比較１（符号９４により示される。）、実例となる閾値比較２（符号９８により示される。）、実例となる閾値比較Ｎ（符号１０２により示される。）まで）に関連している。時間間隔フィルタブロック９０は、電気的に制御され、プロセッサインターフェースブロック４０内に設けられた攻撃／企ての種類毎の時間間隔閾値制御４６に接続される。

第１の制約フィルタ結果６６は、時間間隔フィルタブロック９０の制約の種類に従って、カウント累積／比較ブロック７２内で、カウントのインクリメントを開始し、インクリメントされたカウントが所定の時間間隔内においてカウント閾値を超えたかどうかを判断する。インクリメントされたカウンタが閾値を超えた場合、比較結果及び検出した種類８６が生成され、フレーム（例えば、ヘッダフレーム「Ｌ２」）読み出し制御ブロック８８と検出された種類の報告生成器４８に送信される。

フレーム（例えば、ヘッダフレーム「Ｌ２」）読み出し制御８８は、以前に参照された先入れ／先出し（ＦＩＦＯ）メモリバッファ１０４から受信してフレーム除去ブロック１０６内にある関連するデータパケットを除く動作をする読み出し制御機能８９を生成する。「Ｌ２」などの関連するヘッダフレームを有するデータパケットが除かれると、検出されたフレームの報告生成器４９が、「Ｌ２」などの特定のヘッダフレームを備えたデータパケットが除かれたことを示す読み出し１０８と共に、アクティブにされる。

以前に参照されたインターネットプロトコル（ＩＰ）アドレス記憶ブロック５６は、ＣＡＭ検索ブロック６４から合致結果７０を受信する。インターネットプロトコル（ＩＰ）アドレス記憶ブロック５６は、所定のアルゴリズム（例えば、連結リスト）に基づいて、インターネットプロトコル（ＩＰ）アドレスを格納するための所定の且つ潜在的に制限された数のビン（bins）を、検出ブロック５０内のビンと共有するように制御する。インターネットプロトコル（ＩＰ）アドレス記憶ブロック５６は、割り当てられたインターネットプロトコル（ＩＰ）アドレス５７（検出ブロック５０内で調べられる。）を生成する。ＣＡＭ検索ブロック６４からの合致結果７０が肯定的であるとき、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたことを意味し、割り当てられたインターネットプロトコル（ＩＰ）アドレス５７は同一のままとなる。ＣＡＭ検索ブロック６４からの合致結果７０が否定的であるとき、インターネットプロトコル（ＩＰ）アドレスが以前に受信されなかったことを意味し、割り当てられたアドレス５７の値は新しい値を含むようにインクリメントされる。

インターネットプロトコル（ＩＰ）アドレス記憶ブロック５６は、割り当てられたインターネットプロトコル（ＩＰ）アドレス５７により提供されるアドレス位置に、受信したインターネットプロトコル（ＩＰ）アドレスを格納する。この割り当てられたインターネットプロトコル（ＩＰ）アドレス５７は、以前に参照されたインターネットプロトコル（ＩＰ）アドレス記憶ブロック５４に提供される。状態の後半中、更新／リセットアドレス生成ブロック５８は、インターネットプロトコル（ＩＰ）アドレスを消去する指令６０又はインターネットプロトコル（ＩＰ）アドレスを更新する指令６２と共に、ＣＡＭ検索ブロック６４内のコンテンツをリセット及び更新するアドレスを生成する。

状態機械制御ブロック６８は、制約フィルタブロック３０に電気的に接続され、制約フィルタ結果６６を受信する。また、状態機械制御ブロック６８は、電気的に接続されて、ＣＡＭ検索ブロック６４、ＩＰアドレス記憶制御ブロック５６、インターネットプロトコル（ＩＰ）アドレス記憶ブロック５４、更新／リセットアドレス生成ブロック５８、カウント累積／比較ブロック７２、時間間隔フィルタブロック９０、及びフレーム読み出し制御ブロック８８を作動させる所定の状態を生成する。

検出ブロック５０は、受信した発信元及び送信先インターネットプロトコル（ＩＰ）アドレス間の合致を調べ、制約フィルタ結果６６に基づいてカウントを増加させる。カウント閾値が時間間隔閾値内において超えられたとき、検出ブロック５０は、サーバネットワークからインターネットフレームを除く信号を生成する。

ヘッダ解析ブロック２０がインターネットデータパケットを受信しているとき、このデータパケットは、フレーム受信ブロック１０４により受信される。フレーム受信ブロック１０４は、先入れ／先出しメモリバッファとして動作し、検出工程中、インターネットフレームを格納する。フレーム受信ブロック１０４は、フレーム除去制御ブロック１０６に電気的に接続される。フレーム除去制御ブロック１０６は、フレーム受信ブロック１０４からインターネットデータパケットを受信する。また、フレーム除去制御ブロック１０６は、フレーム（例えば、ヘッダフレーム「Ｌ２」）読み出し制御ブロック８８により検出ブロック５０に電気的に接続され、読み出し制御信号８９を受信する。検出ブロック５０は、サービス拒否（ＤｏＳ）又はポートスキャンの攻撃が検出されたかどうかに基づいて、コンピュータネットワーク（例えば、グローバルコンピュータネットワーク上のサーバネットワーク）に、フレーム除去制御ブロック１０６がインターネットフレームを除去すべきか又は送信すべきかを伝達する。これにより、攻撃を防止する。

ここで図３を参照する。図３は、好ましくは、しかし必須ではないが、ワイヤスピードで発生する、サービス拒否（ＤｏＳ）攻撃又はポートスキャンの検出工程（符号２００により全体を示される。）の概略図である。フローチャートに関する記載において、山括弧＜ｎｎｎ＞内の符号が付いた機能説明は、その数を有するフローチャートのブロックを参照する。

総体的な動作がステップ＜２０２＞で開始する。図２にも示されるように、ヘッダフレームは、解析ブロック２０内で解析され（ステップ＜２０４＞により示される。）、ヘッダフレーム（例えば、Ｌ２）の種類を識別し、他のヘッダフレーム（「ＴＣＰ／ＩＰ」データパケットに対し同意語である。例えば、インターネットプロトコル（ＩＰ）ヘッダに関連付けられたＬ３ヘッダと伝送制御プロトコル（ＴＣＰ）ヘッダに関連付けられたＬ４ヘッダ）の第１のバイトを検索する。また、解析ブロック２０は、伝送制御プロトコル（ＴＣＰ）フラグとタイミング情報などの他のヘッダ情報を検索する。このヘッダ情報２２（例えば、Ｌ２及び／又はＬ３及び／又はＬ４ヘッダフレーム）は、伝送制御プロトコル（ＴＣＰ）フラグとタイミング情報と同様に解析され（工程ステップ＜２０６＞により示される。）、制約フィルタブロック（符号３０により示される。）に送信される（図２に示され、且つ、図３の工程ステップ＜２０８＞である。）。

ポートスキャン又はサービス拒否（ＤｏＳ）攻撃などの悪質な攻撃が検出されたかどうかを判断する（符号＜２１２＞で示される）。この検出が否定的な場合、処理は工程の始め（工程ステップ＜２０２＞により示される。）に戻る。

１以上の条件が検出されて、検出が肯定的な場合、制約フィルタ結果６６が生成され、制約フィルタ結果６６が状態機械制御ブロック６８に送信される（図２に示され、且つ、図３の工程ステップ＜２１６＞である）。これらの制約フィルタ結果は、カウント累積比較ブロック７２に送信される（図２に示され、且つ、図３の工程ステップ＜２２０＞である。）。

同時に、工程ステップ＜２０６＞から、解析された送信先インターネットプロトコルアドレス（ＤＩＰ）及び発信元インターネットプロトコルアドレス（ＳＩＰ）５２が、検出ブロック（図２において符号５０で全体を示される。）に送信される（図３の工程ステップ＜２１０＞により示される）。検出ブロック５０において、送信先インターネットプロトコルアドレス（ＤＩＰ）と発信元インターネットプロトコルアドレス（ＳＩＰ）５２は、インターネットプロトコル（ＩＰ）アドレス記憶ブロック５４に送信される。好ましくは、検出ブロック５０は、連想メモリ（ＣＡＭ）検索ブロック６４を含む。図２に示されるように、ＣＡＭ検索ブロック６４は、発信元及び送信先インターネットプロトコル（ＩＰ）アドレス５２を受信し、それらを検索し、ＣＡＭ検索ブロック６４のメモリに既に格納されているかどうかを判断する。ＣＡＭ検索が否定的な場合、工程は、工程の始め（、図３において工程ステップ＜２０２＞で示される。）に戻る。図２に示されるように、ＣＡＭ検索が肯定的な場合、インターネットプロトコル（ＩＰ）アドレス記憶ブロック５６は受信したインターネットプロトコル（ＩＰ）アドレスを、割り当てられたインターネットプロトコル（ＩＰ）アドレス５７により提供されるアドレス位置に格納する。この割り当てられたインターネットプロトコル（ＩＰ）アドレス５７は、先に参照したインターネットプロトコル（ＩＰ）アドレス記憶ブロック５４に提供される。状態の後半中、更新／リセットアドレス生成ブロック５８は、アドレスを生成し、インターネットプロトコル（ＩＰ）アドレスを消去する指令６０又はインターネットプロトコル（ＩＰ）アドレスを更新する指令６２により、ＣＡＭ検索ブロック６４のコンテンツをリセット及び更新する。この工程ステップは、図４の＜２１８＞により示されている。それから、これらのＣＡＭ検索結果は、カウント累積比較ブロック７２に送信される（図２に示され、且つ、図３の工程ステップ＜２２０＞で示される）。

それから、制約フィルタ結果がカウント累積比較ブロック７２に送信され（図２に示される。）、その後、ＣＡＭ検索結果がカウント累積比較ブロック７２に送信される（図２に示される。）（両者とも図３の工程ステップ＜２２０＞により示される。）。

検出ブロック５０が制約フィルタブロック３０からの制約フィルタ結果を受信したかどうかを判断し、閾値攻撃カウントが超えられたかどうか、又は、攻撃間の閾時間間隔が超えられたかどうかを判断する（図２に示され、且つ、図３の工程ステップ＜２２２＞である。）。この判断が否定的な場合、工程は、工程ステップ＜２０２＞で示される工程の始めに戻る。この判断が肯定的な場合、報告機能が、検出された種類の報告生成器４８及び／又は検出されたフレームの報告生成器４９を用いて、すなわち、プロセッサインターフェースブロック４０により、アクティブにされる（図２に示され、且つ、図３の工程ステップ＜２２４＞である。）。

フレーム受信ブロック１０４は、図２に示されるように、検出工程中、インターネットフレームを格納する先入れ／先出しメモリバッファとして動作する。フレーム受信ブロック１０４は、フレーム除去制御ブロック１０６に電気的に接続される。フレーム除去制御ブロック１０６は、フレーム受信ブロック１０４からインターネットデータパケットを受信する。また、フレーム除去制御ブロック１０６は、フレーム（例えば、ヘッダフレーム“Ｌ２”）読み出し制御ブロック８８により検出ブロック５０に電気的に接続され、読み出し制御信号８９を受信する。検出ブロック５０は、サービス拒否（ＤｏＳ）又はポートスキャンの攻撃が検出されたかどうかに基づいて、フレーム除去制御ブロック１０６がインターネットフレームを除去すべきか又はコンピュータネットワーク（例えばグローバルコンピュータネットワーク上のサーバネットワーク）に送信すべきかを知らせ、これにより攻撃を防ぐ（図２に示される。フレームは通過するか又は除去される＜２２４＞）。それから、新しい“Ｌ２”ヘッダフレームが受信され、工程が工程の始め（工程ステップ＜２０２＞として、図３に示される）に戻る。好ましくは、しかし必須ではないが、これはワイヤスピードで発生する。

新しい発明の種々の実施形態が示され記述された。上述のものから明らかなように、本発明のある態様は、ここで説明した詳細な例に限定されない。それ故、他の変形及び応用又はそれと同等のものが当業者であれば思い浮かぶことが考えられる。上述の明細書内で使用される用語「有する」（“have”、“having”、“includes”、“including”）及び同様の文言は、“任意に（optional）”又は“有してもよい（may include）”の意味で及び“必須（required）”としてではなく用いられる。しかし、多くの変更、修正、変形、及び他の利用と本構成の応用が、本明細書及び添付の図面を考慮して、当業者に明らかとなる。本発明の精神と範囲から離れることのない、全てのこのような変更、修正、変形、及び他の利用と応用は、特許請求の範囲のみによって限定される本発明により保護されると見なされる。

本発明のより良い理解のため、添付の図面について言及する。

ＤｏＳ攻撃、（ＩＰ）インターネットプロトコルアドレススプーフィング、偽サーバ、及び従来から知られている他の種類の悪質な攻撃の概念を示す、コンピュータネットワークの一般の図 本発明における、差し迫った悪質な攻撃、すなわち、サービス拒否及びポートスキャンの検出システムの概略図 本発明における、差し迫った悪質な攻撃、すなわち、サービス拒否及びポートスキャンの検出システムに関連する工程のフローチャート

Claims (26)

1. データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るヘッダ解析機能と、
   潜在的な悪質な攻撃の条件について前記ヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、制約フィルタ結果を生成する制約フィルタ機能と、
   インターネットプロトコル（ＩＰ）アドレスを比較して、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断する比較機能と、
   前記比較機能がインターネットプロトコル（ＩＰ）アドレスが以前に受信されたものであると判断した場合に、前記制約フィルタ結果がカウントをインクリメントしたことを判断し、それから所定の閾期間中に前記カウントが所定の閾値を超えたかどうかを判断する検出機能と、
   前記検出機能が所定の閾期間中に前記カウントが所定の閾値を超えたと判断したときに、前記システムから少なくとも１つのデータパケットを除く制御信号を出力する制御機能と、
   前記ヘッダ解析機能、前記制約フィルタ機能、前記検出機能、及び前記制御機能を実現する少なくとも１つのプロセッサと、
   を有する悪質な攻撃の検出システム。
2. 前記潜在的な悪質な攻撃の条件はサービス拒否（ＤｏＳ）攻撃を含む、請求項１に記載の悪質な攻撃の検出システム。
3. 前記潜在的な悪質な攻撃の条件はポートスキャンを含む、請求項１に記載の悪質な攻撃の検出システム。
4. 前記ヘッダ解析機能、前記制約フィルタ機能、前記検出機能、及び前記制御機能のうち少なくとも一つはワイヤスピードで実行される、請求項１に記載の悪質な攻撃の検出システム。
5. 前記制約フィルタ機能は選択的にアクティブにできる複数の制約条件を含む、請求項１に記載の悪質な攻撃の検出システム。
6. 前記検出機能は、複数のカウンタと、対応する複数の閾カウンタ値比較と、複数の時間間隔を備えた関連する時間間隔フィルタ機能と、対応する複数の閾時間間隔値と、を含む、請求項１に記載の悪質な攻撃の検出システム。
7. 前記ヘッダ情報は、少なくとも１つの先入れ／先出しメモリバッファにより受信される、請求項１に記載の悪質な攻撃の検出システム。
8. 前記少なくとも１つのプロセッサにより実現されるものであって、前記比較機能により利用されるインターネットプロトコル（ＩＰ）アドレスのリストを修正する、更新記憶機能をさらに有する、請求項１に記載の悪質な攻撃の検出システム。
9. 前記比較機能は少なくとも１つの連想メモリ（ＣＡＭ）を利用する、請求項１に記載の悪質な攻撃の検出システム。
10. 前記少なくとも１つのプロセッサにより実現されるものであって、前記システムから少なくとも１つのデータパケットを除く前に、差し迫った悪質な攻撃の種類の報告を出力する報告機能をさらに有し、前記悪質な攻撃の種類は、サービス拒否（ＤｏＳ）攻撃又はポートスキャンからなる群から選択される、請求項１に記載の悪質な攻撃の検出システム。
11. 前記少なくとも１つのプロセッサにより実現されるものであって、前記システムから除かれた少なくとも１つのデータパケットを知らせるのに利用されうる報告機能をさらに有する、請求項１に記載の悪質な攻撃の検出システム。
12. 前記少なくとも１つのプロセッサにより実現されるものであって、前記システムから除かれた少なくとも１つのデータパケットの表示を提供する出力機能をさらに有する、請求項１に記載の悪質な攻撃の検出システム。
13. 前記少なくとも１つのプロセッサに関連付けられたものであって、前記制約フィルタ機能及び前記検出機能の制御を提供するインターフェースをさらに有する、請求項１に記載の悪質な攻撃の検出システム。
14. 前記少なくとも１つのプロセッサに関連付けられたものであって、前記制約フィルタ機能と、前記制御機能と、前記システムから少なくとも１つのデータパケットを除く前の差し迫った悪質な攻撃の種類についての第１の報告機能を実現する第１の報告機能と、前記システムから除かれた少なくとも１つのデータパケットを知らせるのに利用されうる第２の報告機能と、についての制御を提供するインターフェースをさらに有し、
    前記悪質な攻撃の種類は、サービス拒否（ＤｏＳ）攻撃又はポートスキャンからなる群から選択され、
    前記第１の報告機能と前記第２の報告機能は、前記少なくとも１つのプロセッサにより実現されうる、請求項１に記載の悪質な攻撃の検出システム。
15. ワイヤスピードで、データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るヘッダ解析機能と、
    ワイヤスピードで、潜在的な悪質な攻撃の条件について前記ヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、制約フィルタ結果を生成する制約フィルタ機能と、
    前記潜在的な悪質な攻撃の条件は、サービス拒否（ＤｏＳ）攻撃又はポートスキャンからなる群から選択され、
    前記制約フィルタ機能は、選択的にアクティブにできる複数の制約条件を含み、
    ワイヤスピードで、インターネットプロトコル（ＩＰ）アドレスを比較して、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断する比較機能と、
    ワイヤスピードで動作して、前記比較機能がインターネットプロトコル（ＩＰ）アドレスが以前に受信されたものであると判断した場合に、前記制約フィルタ結果がカウントをインクリメントしたことを判断し、且つ、所定の閾期間中に前記カウントが所定の閾値を超えたかどうかを判断する検出機能と、
    前記検出機能は、複数のカウンタと、対応する複数の閾カウンタ値比較と、複数の時間間隔を備えた関連する時間間隔フィルタ機能と、対応する複数の閾時間間隔値と、を含み、
    ワイヤスピードで動作して、前記検出機能が所定の閾期間中に前記カウントが所定の閾値を超えたと判断したときに、前記システムから少なくとも１つのデータパケットを除く制御信号を出力する制御機能と、
    前記ヘッダ解析機能、前記制約フィルタ機能、前記検出機能、及び前記制御機能を実現する、少なくとも１つのプロセッサと、
    前記少なくとも１つのプロセッサに関連付けられて、前記制約フィルタ機能及び前記制御機能の制御を提供するインターフェースと、
    を有する悪質な攻撃の検出システム。
16. データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るステップと、
    潜在的な悪質な攻撃の条件について、前記ヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、制約フィルタ結果を生成するステップと、
    インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するために、インターネットプロトコル（ＩＰ）アドレスを比較するステップと、
    前記インターネットプロトコル（ＩＰ）アドレスの比較ステップ中に、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するステップと、
    前記制約フィルタ結果の数を判断し、インクリメントされたカウントが、所定の閾期間中に所定の閾値を越えたかどうかを判断するステップと、
    検出機能が、所定の閾期間中に前記カウントが所定の閾値を越えたと判断したときに、前記システムから少なくとも１つのデータパケットを除くステップと、
    を有する、少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
17. 前記潜在的な悪質な攻撃の条件はサービス拒否（ＤｏＳ）攻撃を含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
18. 前記潜在的な悪質な攻撃の条件はポートスキャンを含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
19. 前記少なくとも１つのプロセッサを用いて悪質な攻撃を検出するステップは、ワイヤスピードで起こる、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
20. 前記制約フィルタ結果の数を判断するステップの後、複数の制約条件を選択的にアクティブにするステップをさらに含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
21. 前記制約フィルタ結果の数を判断して、インクリメントされたカウントが所定の閾期間中に所定の閾値を越えたかどうかを判断するステップは、複数のカウンタと、対応する複数の閾カウンタ値比較と、複数の時間間隔と、対応する複数の閾時間間隔値と、を利用することを含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
22. 少なくとも１つの先入れ／先出しメモリバッファにより前記ヘッダ情報を受信するステップをさらに含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
23. インターネットプロトコル（ＩＰ）アドレスのリストを更新し記憶するステップをさらに含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
24. インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するために前記インターネットプロトコル（ＩＰ）アドレスを比較するステップは、少なくとも１つの連想メモリ（ＣＡＭ）を利用することを含む、請求項１６に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
25. 前記システムから少なくとも１つのデータパケットを除く前に、悪質な攻撃の種類の第１の報告を生成するステップと、前記システムから除かれた少なくとも１つのデータパケットを示す第２の報告を生成するステップと、前記システムから除かれた少なくとも１つのデータパケットを示す出力とのうち、少なくとも１つをさらに含む、請求項１５に記載の少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。
26. ワイヤスピードで、データパケットのヘッダフレームを受信して解析し、ヘッダ情報とインターネットプロトコル（ＩＰ）アドレスを得るステップと、
    ワイヤスピードで、潜在的な悪質な攻撃の条件について、前記ヘッダ情報を調べ、潜在的な悪質な攻撃の条件が存在するとき、複数の制約条件の選択的なアクティブ化により、制約フィルタ結果を生成するステップと、
    前記潜在的な悪質な攻撃の条件は、サービス拒否（ＤｏＳ）攻撃又はポートスキャンからなる群から選択され、
    インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するために、ワイヤスピードで、インターネットプロトコル（ＩＰ）アドレスを比較するステップと、
    ワイヤスピードで、前記インターネットプロトコル（ＩＰ）アドレスの比較ステップ中に、インターネットプロトコル（ＩＰ）アドレスが以前に受信されたかどうかを判断するステップと、
    ワイヤスピードで、前記制約フィルタ結果の数を判断し、インクリメントされたカウントが、所定の閾期間中に所定の閾値を越えたかどうかを判断するステップと、
    複数のカウンタと、対応する複数の閾カウンタ値比較と、複数の時間間隔と、対応する複数の閾時間間隔値とを用いて、検出機能が所定の閾期間中に前記カウントが所定の閾値を越えたと判断したときに、ワイヤスピードで、前記システムから少なくとも１つのデータパケットを除くステップと、
    を有する、少なくとも１つのプロセッサを用いて悪質な攻撃を検出する方法。

Images