JP2010226635A - 通信サーバおよびＤｏＳ攻撃防御方法 - Google Patents

Abstract

【課題】通信サーバにてＤｏＳ攻撃の検出処理を行うことでコストを抑えるとともに、負荷率が高い場合には検出処理による通信サーバへの負荷を低減させる。
【解決手段】端末との間で信号の送受信を行う通信サーバ４において、通信サーバ４の負荷率と、ＤｏＳ攻撃の検知条件およびＤｏＳ攻撃に対する規制内容とを対応付けて記録した蓄積部４１と、通信サーバ４の負荷率を算出する負荷率算出部４２と、端末から受信した信号を監視するとともに、負荷率算出部４２にて算出された負荷率に蓄積部４１にて対応付けられた検知条件と監視の結果とに基づいて端末がＤｏＳ攻撃を行っているか否かを判断する検知部４４と、負荷率算出部４２にて算出された負荷率に蓄積部４１にて対応付けられた規制内容に基づいて、検知部４４にてＤｏＳ攻撃を行っていると判断された端末との間で送受信する信号に対して規制をかける規制部４５とを有する。
【選択図】図２

Description

本発明は、通信サーバおよびＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）攻撃防御方法に関する。

近年、インターネットを介して通信を行い、呼制御等のサービスを提供する通信システムが普及する一方で、このようなシステムの妨害を意図した不正なアクセスによる攻撃が増加している。

特に、システム内の通信サーバに対して大量の不正なアクセスを発生させ、通信サーバの負荷を上昇させてサービスの提供に不具合を生じさせたり、最悪の場合、通信サーバをダウンさせたりするＤｏＳ攻撃やＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）攻撃は、正当なアクセスとの区別がつきにくく有効な対策をとることが困難であり、システム管理者を悩ませている。なお、以降、ＤｏＳ攻撃とした場合、ＤＤｏＳ攻撃も含まれるものとする。

この様なＤｏＳ攻撃からシステムを防御する技術として、特許文献１には、ＤｏＳ攻撃からの保護対象となるＳＩＰサーバあるいはＳＩＰクライアントとインターネットとの間に、異常なトラヒックを検知する異常トラヒック検知装置を設置し、ＤｏＳ攻撃を検知する技術が記載されている。この、異常トラヒック検知装置は、ＳＩＰトランザクション処理の処理状態に関する情報をＳＩＰパケットのヘッダーから取得するとともに、ＳＩＰトランザクション処理にて処理されるＳＩＰパケットを監視し、監視したＳＩＰパケットと取得したＳＩＰトランザクション処理の処理状態に関する情報とに基づいて、不正アクセスによる異常なパケットのトラヒックを検知する。

また、ＤｏＳ攻撃からシステムを防御する他の技術として、特許文献２には、ユーザ端末を収容するエッジ・ルータにおいて、単位時間あたりに各ユーザ端末から受信したパケット数をカウントし、単位時間当たりのパケット数が事前に設定されている閾値を超える場合、ＤｏＳ攻撃と判断し、そのユーザ端末からのパケット送信を規制する技術が記載されている。

これら特許文献１や特許文献２に記載されている技術では、通信サーバ等とインターネットとの間に、異常トラヒック検知装置やＤｏＳ攻撃を検知する機能を有するエッジ・ルータ等を設置することで、通信サーバ等に負担をかけることなくＤｏＳ攻撃を防御することができる。

また、ＤｏＳ攻撃からシステムを防御するさらに他の技術として、特許文献３には、複数の端末を有するシステム内の通信サーバにおいて、各端末から第１の監視期間内に受信した信号数をカウントし、カウントした信号数が第１の閾値を越えた場合、その端末から第２の監視期間内に受信した信号の中から所定の処理内容の信号数をカウントし、カウントした所定の処理内容の信号数が第２の閾値を越えた場合にＤｏＳ攻撃と判断する技術が記載されている。この技術では、特定の処理内容の信号数をカウントするため、サービスの仕様に応じて、より高い精度でＤｏＳ攻撃を検知することができる。また、この技術では、特許文献１や特許文献２の技術のように異常トラヒック検知装置やエッジ・ルータ等の装置を準備する必要が無いため、ＤｏＳ攻撃からシステムを防御するために掛かるコストを抑えることができる。

特開２００７−２６７１５１号公報 特開２００６−１００８７４号公報 特開２００６−２３７８９２号公報

しかしながら、上述した特許文献１〜３に記載の技術には、以下に示すような課題がある。

特許文献１に記載の技術では、保護対象となるＳＩＰサーバやＳＩＰクライアント毎に異常トラヒック検知装置を準備する必要があり、ＤｏＳ攻撃からシステムを防御するために掛かるコストが高くなるという問題がある。

また、特許文献２に記載の技術では、事前に誰がＤｏＳ攻撃者となるかを特定することができないため、各ユーザ端末からのパケット数をカウントし、その結果に基づいてＤｏＳ攻撃か否かを判断する機能を全てのエッジ・ルータに追加する必要があり、ＤｏＳ攻撃からシステムを防御するために掛かるコストが高くなるという問題がある。

また、特許文献３に記載の技術では、上述したように通信サーバにＤｏＳ攻撃か否かを判断する機能を具備させるためコストを抑えることができる。しかし、この技術では、通信サーバにてＤｏＳ攻撃か否かの判断を行うため、その処理自体が通信サーバの負荷となり、通信サーバの負荷率が高い場合には、通信サーバ全体の処理に影響を及ぼす可能性がある。なお、負荷率とは、通信サーバの最大処理量に対する通信サーバが実際に行っている処理量の割合を示す値である。

本発明の目的は、通信サーバにてＤｏＳ攻撃の検出処理を行うことでコストを抑えるとともに、通信サーバの負荷率が高い場合には検出処理による負荷を低減させることができる通信サーバおよびＤｏＳ攻撃防御方法を提供することにある。

上記目的を達成するために本発明の通信サーバは、
端末との間で信号の送受信を行う通信サーバにおいて、
前記通信サーバの負荷率と、ＤｏＳ攻撃の検知条件およびＤｏＳ攻撃に対する規制内容とを対応付けて記録した蓄積部と、
前記通信サーバの負荷率を算出する負荷率算出部と、
前記端末から受信する信号を監視するとともに、前記負荷率算出部にて算出された負荷率に前記蓄積部にて対応付けられた検知条件と前記監視の結果とに基づいて前記端末がＤｏＳ攻撃を行っているか否かを判断する検知部と、
前記負荷率算出部にて算出された負荷率に前記蓄積部にて対応付けられた規制内容に基づいて、前記検知部にてＤｏＳ攻撃を行っていると判断された前記端末との間で送受信する信号に対して規制をかける規制部とを有することを特徴とする。

上記目的を達成するために本発明のＤｏＳ攻撃防御方法は、
ＤｏＳ攻撃の検知条件およびＤｏＳ攻撃に対する規制内容を記録した蓄積部を有し、端末と通信する通信サーバが行うＤｏＳ攻撃防御方法であって、
前記通信サーバの負荷率と、ＤｏＳ攻撃の前記検知条件およびＤｏＳ攻撃に対する前記規制内容とを対応付けて前記蓄積部に記録する記録ステップと、
前記通信サーバの負荷率を算出する算出ステップと、
前記端末から受信した信号を監視するとともに、前記算出ステップで算出された負荷率に前記蓄積部にて対応付けられた検知条件と前記監視の結果とに基づいて前記端末がＤｏＳ攻撃を行っているか否かを判断する検知ステップと、
前記算出ステップで算出された負荷率に前記蓄積部にて対応付けられた規制内容に基づいて、前記検知ステップでＤｏＳ攻撃を行っていると判断された前記端末との間で送受信する信号に対して規制をかける規制ステップとを有する。

上述したように本発明においては、通信サーバは、自身の負荷率を算出し、算出した負荷率に応じてＤｏＳ攻撃の検知条件やＤｏＳ攻撃に対する規制内容を変更しながらＤｏＳ攻撃の検知および規制を行う。

この様に、通信サーバにてＤｏＳ攻撃の検知および規制を行うため、コストを抑えることができ、また、通信サーバの負荷率に応じてＤｏＳ攻撃の検出条件や規制内容を変更することで、負荷率が高い場合には通信サーバに負荷が掛からないようにＤｏＳ攻撃の検出および規制を行うことができる。

本発明の一実施形態の通信システムの構成を示すブロック図である。 図１に示した呼制御装置の構成の一例を示すブロック図である。 図２に示した検知条件テーブルの構成の一例を示す図である。 図２に示した規制条件テーブルの構成の一例を示す図である。 図２に示した負荷率対応テーブルの構成の一例を示す図である。 図２に示した呼制御装置の負荷率が低い場合の、検知部および規制部の動作の一例を説明する概念図。 図２に示した呼制御装置の負荷率が高い場合の、検知部および規制部の動作の一例を説明する概念図。 図２に示した呼制御装置の負荷率が低い場合の動作の一例を説明するフローチャートである。 図２に示した呼制御装置の負荷率が高い場合の動作の一例を説明するフローチャートである。 図１に示した通信システムの動作の一例を説明するシーケンスチャートである。

以下に、本発明を実施するための最良の形態について図面を参照して説明する。

図１は、本発明の一実施形態の通信システムの構成を示すブロック図である。

図１に示すように、本実施形態の通信システムは、ＮＧＮ（次世代ネットワーク：Ｎｅｘｔ Ｇｅｎｅｒａｔｉｏｎ Ｎｅｔｗｏｒｋ）１と、ＮＧＮ１に接続された端末装置５ａ，５ｂとを有している。

ＮＧＮ１は、パケット転送層２とサービス制御層３とを有するネットワークである。

パケット転送層２は、パケットを転送する機能の集合体である。

サービス制御層３は、構成装置として呼制御装置４を含み、端末装置５ａ，５ｂに提供する各種のサービスを制御する機能の集合体である。

呼制御装置４は、端末装置５ａ，５ｂ間の呼制御を行う通信サーバであり、予め設定されている検知条件に基づいてＤｏＳ攻撃を検知し、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信を規制する。また、呼制御装置４は、定期的に自身の負荷率を算出し、負荷率の算出結果に応じて、ＤｏＳ攻撃の検知条件やＤｏＳ攻撃に対する規制内容を変更する。なお、呼制御装置４が行う呼制御には、自身が収容する端末装置５ａ，５ｂについて、発信元の端末装置５ａ，５ｂから発せられた呼を受け付け、また着信先の端末装置５ａ，５ｂに着信を伝える加入者系の呼制御と、不図示の他の呼制御装置４で受け付けられた呼を、不図示のさらに他の呼制御装置４に転送する中継系の呼制御とが存在する。また、図１中では呼制御装置４は１台しか存在しないが、複数台存在してもよい。

端末装置５ａ，５ｂは、本実施形態の通信システムが提供する通信サービスの利用者が操作する端末装置である。図１中では端末装置は端末装置５ａ，５ｂのみしか存在しないが、１台でも良いし、２台よりも多い台数存在してもよい。

以下に、本発明の特徴となる呼制御装置４の構成について詳細に説明する。
（呼制御装置４の構成）
図２は、図１に示した呼制御装置４の構成の一例を示すブロック図である。なお、図２においては、呼制御装置４の機能のうち、本発明の特徴であるＤｏＳ攻撃を検知し、規制する機能に関係する構成要素のみを示している。上述した呼制御については、ＳＩＰベースの呼制御など公知の技術を用いて実現することができるため、ここでは説明を割愛する。

図２に示すように、図１に示した呼制御装置４は、蓄積部４１と、負荷率算出部４２と、選択部４３と、検知部４４と、規制部４５とを有している。

また、蓄積部４１は、検知条件テーブル４１１と、規制条件テーブル４１２と、負荷率対応テーブル４１３とを有している。

検知条件テーブル４１１は、本実施形態の通信システムの保守者により入力された、ＤｏＳ攻撃を検知するための検知条件を識別子となる検知種別ごとに記録したテーブルである。

規制条件テーブル４１２は、保守者により入力された、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信を規制するための規制内容を識別子となる規制種別ごとに記録したテーブルである。

負荷率対応テーブル４１３は、検知条件テーブル４１１に記録されている検知種別と規制条件テーブル４１２に記録されている規制種別とを、呼制御装置４の負荷率に対応付けて記録したテーブルである。

負荷率算出部４２は、保守者により設定された所定の期間におけるＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）使用率の変動に基づいて呼制御装置４の負荷率を算出し、選択部４３に通知する。ここでは、例えば、保守者により所定の期間が３０秒に設定された場合、負荷率算出部４２は、ＣＰＵ使用率が７０％以上の状態が３０秒間以上継続した場合に負荷率７０％と算出するものとする。なお、呼制御装置４の負荷率の算出方法については、上述したＣＰＵ使用率に基づいた算出方法に限定されるものではなく、例えばメモリ使用率等の呼制御装置４の他のハードウェア資源の使用状況に応じて算出する方法を用いても良い。

選択部４３は、蓄積部４１にアクセスし、負荷率算出部４２から通知された負荷率に基づいて、その負荷率に対応した検知種別および規制種別を負荷率対応テーブル４１３から取得する。また、選択部４３は、取得した検知種別の検知条件および規制種別の規制内容をそれぞれ検知条件テーブル４１１および規制条件テーブル４１２から取得し、検知部４４および規制部４５に通知する。

検知部４４は、端末装置５ａ，５ｂからの発信および端末装置５ａ，５ｂへの着信を監視し、その監視結果と選択部４３から通知された検知条件とに基づいて端末装置５ａ，５ｂがＤｏＳ攻撃を行っている否かを判断する。例えば、呼制御にＳＩＰを用いる場合であれば、検知部４４は、通知された検知条件に基づいて、呼制御装置４と端末装置５ａ，５ｂとの間で送受信されるＳＩＰメッセージ信号の信号数をカウントし、カウントした信号数が検知条件を満たす場合、端末装置５ａ，５ｂがＤｏＳ攻撃を行っていると判定する。また、検知部４４は、例えば、端末装置５ａがＤｏＳ攻撃を行っていると判断した場合、端末装置５ａからのＤｏＳ攻撃を検知した旨を規制部４５に通知する。また、検知部４４は、ＤｏＳ攻撃検知後も、その攻撃が継続状態にあることを検知した場合、その旨を規制部４５に通知する。なお、呼制御にＳＩＰを用いる場合に、検知部４４が、ＳＩＰメッセージ信号のうちＳＩＰセッションを確立するために使用されるＩＮＶＩＴＥメッセージ信号のみをカウントするようにしても良い。

規制部４５は、検知部４４からの通知を受け、選択部４３から通知された規制内容に基づいて、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に規制をかける。また、規制部４５は、規制をかけていることを通知するアラームを保守者に対して送信する。なお、ここで端末装置５ａ，５ｂからの発信に規制をかけるとは、あて先がどこであるかに限らず端末装置５ａ，５ｂから受信した信号を破棄することを指す。また、端末装置５ａ，５ｂへの着信に規制をかけるとは、送信元がどこであるかに限らずあて先が端末装置５ａ，５ｂの信号を破棄することを指す。

以下に、検知条件テーブル４１１、規制条件テーブル４１２および負荷率対応テーブル４１３の構成について説明する。
（検知条件テーブル４１１の構成）
図３−１は、図２に示した検知条件テーブル４１１の構成の一例を示す図である。

図３−１に示すように、図２に示した検知条件テーブル４１１には、検知種別ごとに、呼制御装置４にて同一ＩＰアドレス、同一ポート番号から受信した信号数をカウントする期間を示す時間幅と、その時間幅の間にカウントした信号数に基づいてＤｏＳ攻撃か否かを判断する際に使用する閾値となる個数とがＤｏＳ攻撃の検知条件として記録されている。

例えば、図３−１に示した例では、検知部４４は、検知種別Ａの場合、時間幅Ｎｄの間に、同一ＩＰアドレス、同一ポート番号からＭｄ個以上の信号を受信することを条件として、そのＩＰアドレスを有する端末装置５ａ，５ｂからＤｏＳ攻撃を受けていると判断する。同様に、検知部４４は、検知種別Ｂの場合、時間幅Ｎｅの間に、同一ＩＰアドレス、同一ポート番号からＭｅ個以上の信号を受信することを条件にＤｏＳ攻撃と判断し、検知種別Ｃの場合、時間幅Ｎｆの間に、同一ＩＰアドレス、同一ポート番号からＭｆ個以上の信号を受信することを条件にＤｏＳ攻撃と判断する。

なお、時間幅はＮｄ＞Ｎｅ＞Ｎｆの関係にあり、閾値となる個数はＭｄ＜Ｍｅ＜Ｍｆの関係にあるものとする。そのため、図３−１に示した例においては、検知種別Ａ＜検知種別Ｂ＜検知種別Ｃの順で検知条件が厳しくなり、また、この順で検知条件に合致した端末装置５ａ，５ｂからＤｏＳ攻撃を受けている可能性が高くなる。
（規制条件テーブル４１２の構成）
図３−２は、図２に示した規制条件テーブル４１２の構成の一例を示す図である。

図３−２に示すように、図２に示した規制条件テーブル４１２には、規制種別ごとに、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信に対する規制内容と、その端末装置５ａ，５ｂへの着信に対する規制内容とが記録されている。なお、ここで、一部規制とは、保守者により設定された一定の割合、例えば３回に１回の割合で信号を破棄することを意味し、また、全面規制とは、全ての信号を破棄することを意味する。

例えば、図３−２に示した例では、規制部４５は、規制種別１の場合、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信を一部規制し、その端末装置５ａ，５ｂへの着信については規制しない。同様に、規制部４５は、規制種別２の場合、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信を全面規制し、その端末装置５ａ，５ｂへの着信については規制せず、規制種別３の場合、ＤｏＳ攻撃を行っている端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信ともに全面規制する。
（負荷率対応テーブル４１３の構成）
図３−３は、図２に示した負荷率対応テーブル４１３の構成の一例を示す図である。

図３−３に示すように、図２に示した負荷率対応テーブル４１３には、呼制御装置４の負荷率と、検知条件および規制種別とが対応付けられて記録されている。ここでは、呼制御装置４の負荷率を、負荷率が高い状態と低い状態の２つに分け、それぞれに検知条件および規制種別を対応付けて記録している。なお、ここでは、負荷率が７０％以上の場合を負荷率が高い状態として定義し、負荷率が７０％よりも小さな場合を負荷率が低い状態として定義している。

保守者は、呼制御装置４の負荷率と、検知条件および規制種別とを関連付けて負荷率対応テーブル４１３に記録することができ、図３−３に示した例では、負荷率が低い状態に対して、検知種別Ａ〜Ｃをそれぞれ規制種別１〜３に対応付けて記録し、負荷率が高い状態に対しては、検知種別Ａまたは検知種別Ｃを規制種別３と対応付けて記録している。

以下に、図２に示した検知部４４がＤｏＳ攻撃を検知する検知処理および規制部４５が端末装置５ａ，５ｂからの発信及び端末装置５ａ，５ｂへの着信を規制する規制処理の動作について説明する。
（呼制御装置４の負荷率が低い場合の検知処理および規制処理）
図４−１は、図２に示した呼制御装置４の負荷率が低い場合の、検知部４４の検知処理および規制部４５の規制処理の動作の一例を説明する概念図である。

図４−１に示すように、図２に示した負荷率算出部４２にて算出された負荷率が７０％よりも小さな場合、つまり負荷率が低い場合は、まず、検知部４４は、検知条件が一番ゆるい検知種別Ａの検知条件に基づいて検知処理を行い、ＤｏＳ攻撃を検知すると、その旨を規制部４５に通視する。これを受け、規制部４５は、検知種別１に対応する規制種別１の規制をかけ、その旨を示すアラームを保守者に送信する。

次に、検知部４４は、検知種別Ｂの検知条件に基づいて検知処理を行い、ＤｏＳ攻撃を検知すると、その旨を規制部４５に通知する。これを受け、規制部４５は、検知条件Ｂに対応する規制種別２の規制をかけ、規制種別２の規制をかけた旨を示すアラーム２を保守者に送信する。

次に、検知部４４は、検知条件が一番厳しい検知種別Ｃの検知条件に基づいて検知処理を行い、ＤｏＳ攻撃を検知すると、その旨を規制部４５に通知する。これを受け、規制部４５は、検知条件Ｃに対応する規制種別３の規制をかけ、その旨を示すアラーム３を保守者に送信する。

なお、検知部４４は、ＤｏＳ攻撃検知後、検知種別Ａの検知条件に基づいて検知処理を行った結果、検知条件に合致しなかった場合、ＤｏＳ攻撃が沈静化されたと判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、規制を解除し通常の状態に戻す処理を行う。また、検知部４４は、検知種別Ｂの検知条件に基づいて検知処理を行った結果、検知条件に合致しなかった場合、ＤｏＳ攻撃が沈静化に向かいつつあると判断し、ＤｏＳ攻撃の判断に使用する検知条件を検知条件Ｂから検知条件Ａに変更し、その旨を規制部４５に通知する。これを受け、規制部４５は、検知条件Ａに対応する規制種別１の規制に戻すか、あるいは規制を解除し通常の状態に戻す処理を行う。同様に、検知部４４は、検知種別Ｃの検知条件に基づいて検知処理を行った結果、検知条件に合致しなかった場合、ＤｏＳ攻撃が沈静化に向かいつつあると判断し、ＤｏＳ攻撃の判断に使用する検知条件を検知条件Ｃから検知条件Ｂあるいは検知条件Ａに変更し、その旨を規制部４５に通知する。これを受け、規制部４５は、検知種別Ｂに対応する規制種別２の規制、もしくは検知種別Ａに対応する規制種別１の規制に戻すか、あるいは沈静化されたと判断し、規制を解除し通常の状態に戻す処理を行う。
（呼制御装置４の負荷率が高い場合の検知処理および規制処理）
図４−２は、図２に示した呼制御装置４の負荷率が高い場合の、検知部４４の検知処理および規制部４５の規制処理の動作の一例を説明する概念図である。

図４−２に示すように、図２に示した負荷率算出部４２にて算出された負荷率が７０％以上の場合、つまり負荷率が高い場合は、まず、検知部４４は、検知種別Ａまたは検知種別Ｃのいずれかの検知条件に基づいて検知処理を行い、ＤｏＳ攻撃を検知すると、その旨を規制部４５に通知する。これを受けて、規制部４５は、規制種別３の規制をかけ、その旨を示すアラーム３を保守者に送信する。なお、検知部４４は、検知種別Ａと検知種別Ｃの条件のうち、保守者により選択された方の条件を使用するものとする。

また、検知部４４は、ＤｏＳ攻撃検知後、検知種別Ａもしくは検知種別Ｃの条件に基づいて検知処理を行った結果、検知条件に合致しなかった場合、ＤｏＳ攻撃が沈静化されたと判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、規制を解除し通常の状態に戻す処理を行う。

上述したように、本実施形態の通信システムにおいては、呼制御装置４の負荷率が高い場合の処理は、負荷率が低い場合の処理と比較してステップ数が少なくなっている。この様に、呼制御装置４の負荷率に応じて、実施する検知処理や規制処理の処理内容を変更することで、負荷率が高い場合に検知処理および規制処理により呼制御装置４にかかる負荷を少なくすることができる。

以下に、図２に示した呼制御装置４の動作について詳細に説明する。
（負荷率が低い場合の呼制御装置４の動作）
最初に、図２に示した呼制御装置４の負荷率が低い場合の動作について説明する。

図５は、図２に示した呼制御装置４の負荷率が低い場合の動作の一例を説明するフローチャートである。

図５に示すように、まず、図２に示した蓄積部４１は、保守者により、検知条件と、規制内容と、呼制御装置４の負荷率と検知条件および規制内容との対応付けと、が入力されると、それぞれ検知条件テーブル４１１、規制条件テーブル４１２および負荷率対応テーブル４１３に記録する（ステップＡ１）。

次に、負荷率算出部４２は、定期的に、呼制御装置４の負荷率を算出し（ステップＡ２）、選択部４３に通知する。

次に、選択部４３は、負荷率算出部４２から通知された負荷率に基づいて負荷率対応テーブル４１３から検知種別と規制種別を取得する。なお、ここでは、呼制御装置４の負荷率が低いため、検知種別Ａ〜Ｃと、それらに対応する規制種別１〜３が取得される。

次に、選択部４３は、検知条件テーブル４１１から検知種別Ａ〜Ｃの検知条件を取得するとともに、規制条件テーブル４１２から規制種別１〜３の規制内容を取得し（ステップＡ３）、それらを検知部４４および規制部４５に通知する。

次に、検知部４４は、検知種別Ａの検知条件に基づいて、時間幅Ｎｄの間に端末装置５ａ，５ｂの各々から受信した信号数をカウントし（ステップＡ４）、端末装置５ａ，５ｂからＭｄ個以上の信号を受信した場合（ステップＡ５）、その端末装置５ａ，５ｂがＤｏＳ攻撃を行っていると判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、ＤｏＳ攻撃を行っていると判断された端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に対して規制種別１の規制をかけ（ステップＡ６）、アラーム１を保守者に送信する（ステップＡ７）。

また、検知部４４は、検知種別Ａの検知条件にてＤｏＳ攻撃を検知した場合、検知種別Ｂの検知条件に基づいて、時間幅Ｎｅの間に端末装置５ａ，５ｂの各々から受信した信号数をカウントし（ステップＡ８）、端末装置５ａ，５ｂからＭｅ個以上の信号を受信した場合（ステップＡ９）、その端末装置５ａ，５ｂがＤｏＳ攻撃を行っていると判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、ＤｏＳ攻撃を行っていると判断された端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に対して規制種別２の規制をかけ（ステップＡ１０）、アラーム２を保守者に送信する（ステップＡ１１）。

さらに、検知部４４は、検知種別Ｂの検知条件にてＤｏＳ攻撃が検知された場合、検知種別Ｃの検知条件に基づいて、時間幅Ｎｆの間に端末装置５ａ，５ｂの各々から受信した信号数をカウントし（ステップＡ１２）、端末装置５ａ，５ｂからＭｆ個以上の信号を受信した場合（ステップＡ１３）、その端末装置５ａ，５ｂがＤｏＳ攻撃を行っていると判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、ＤｏＳ攻撃を行っていると判断された端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に対して規制種別３の規制をかけ（ステップＡ１４）、アラーム３を保守者に送信する（ステップＡ１５）。

アラーム３の送信後も、検知部４４は、検知種別Ｃの検知条件に基づいて、時間幅Ｎｆの間に端末装置５ａ，５ｂの各々から受信した信号数のカウントを繰り返し（ステップＡ１６）、端末装置５ａ，５ｂからＭｆ個以上の信号を受信した場合（ステップＡ１７）、その旨を規制部４５に通知する。これを受け、規制部４５は、ＤｏＳ攻撃が継続していると判断し、ＤｏＳ攻撃を行っていると判断された端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に対する規制種別３による規制を継続する。

なお、検知部４４は、ステップＡ５において、時間幅Ｎｄの間にカウントした信号数がＭｄよりも小さな場合、端末装置５ａ，５ｂのいずれからもＤｏＳ攻撃を受けていないと判断し、ステップＡ４に戻り、カウントを繰り返す。

また、検知部４４は、ステップＡ９において、時間幅Ｎｅの間にカウントした信号数がＭｅよりも小さな場合、カウント数がＭｄよりも小さければ、ＤｏＳ攻撃が沈静化したと判断し、その旨を規制部４５に通知するとともに、ステップＡ４に戻りカウントを繰り返す。また、規制部４５は、その通知に基づいて規制を解除する（ステップＡ１８）。なお、検知部４４は、カウント数がＭｄ以上でＭｅよりも小さな場合、ステップＡ８に戻り、カウントを繰り返す。

また、検知部４４は、ステップＡ１３において、時間幅Ｎｆの間にカウントした信号数がＭｆ以上の場合、カウント数がＭｄよりも小さければ、ＤｏＳ攻撃が沈静化したと判断し、その旨を規制部４５に通知するとともに、ステップＡ４に戻りカウントを繰り返す。また、規制部４５は、ステップＡ１８に戻り、その通知に基づいて規制を解除する。

また、検知部４４は、ステップＡ１３において、時間幅Ｎｆの間のカウント数がＭｄ以上でＭｅよりも小さな場合、ＤｏＳ攻撃が沈静化に向かっていると判断し、その旨を規制部４５に通知するとともに、ステップＡ８に戻りカウントを繰り返す。また、規制部４５は、その通知に基づいて規制種別を規制種別２から規制種別１に変更する（ステップＡ１９）。なお、検知部４４は、カウント数がＭｅ以上でＭｆよりも小さな場合、ステップＡ１２に戻り、カウントを繰り返す。

また、検知部４４は、ステップＡ１７において、時間幅Ｎｆの間にカウントした信号数がＭｆよりも小さな場合、カウント数がＭｄよりも小さければ、ＤｏＳ攻撃が沈静化したと判断し、その旨を規制部４５に通知するとともに、ステップＡ４に戻りカウントを繰り返す。また、規制部４５は、ステップＡ１８に戻り、その通知に基づいて規制を解除する。

また、検知部４４は、ステップＡ１７において、時間幅Ｎｆの間のカウント数がＭｄ以上でＭｅよりも小さな場合、ＤｏＳ攻撃が沈静化に向かっていると判断し、その旨を規制部４５に通知するとともに、ステップＡ８に戻りカウントを繰り返す。また、規制部４５は、ステップ１９に戻り、その通知に基づいて規制種別を規制種別３から規制種別１に変更する。

また、検知部４４は、ステップＡ１７において、時間幅Ｎｆの間のカウント数がＭｅ以上でＭｆよりも小さな場合、ＤｏＳ攻撃が沈静化に向かっていると判断し、その旨を規制部４５に通知するとともに、ステップＡ１２に戻りカウントを繰り返す。また、規制部４５は、その通知に基づいて規制種別を規制種別３から規制種別２に変更する（ステップＡ２０）。
（負荷率が高い場合の呼制御装置４の動作）
続いて、呼制御装置４の負荷率が高い場合の動作について説明する。

図６は、図２に示した呼制御装置４の負荷率が高い場合の動作の一例を説明するフローチャートである。なお、予め保守者により負荷率が高い場合に検知部４４が使用する検知種別として検知種別Ａが選択されているものとする。

図６に示すように、まず、図２に示した蓄積部４１は、保守者により、検知条件と、規制内容と、呼制御装置４の負荷率と検知条件および規制内容との関連付けと、が入力されると、それぞれ検知条件テーブル４１１、規制条件テーブル４１２および負荷率対応テーブル４１３に記録する（ステップＢ１）。

次に、負荷率算出部４２は、定期的に、呼制御装置４の負荷率を算出し（ステップＢ２）、選択部４３に通知する。

次に、選択部４３は、負荷率算出部４２から通知された負荷率に基づいて負荷率対応テーブル４１３から検知種別と規制種別を取得する。なお、ここでは、呼制御装置４の負荷率が高いため、検知種別Ａと規制種別３とが取得される。

次に、選択部４３は、それらに基づいて、検知条件テーブル４１１から検知種別Ａの検知条件を取得するとともに、規制条件テーブル４１２から規制種別３の規制内容を取得し（ステップＢ３）、それらを検知部４４および規制部４５に通知する。

次に、検知部４４は、検知種別Ａの検知条件に基づいて、時間幅Ｎｄの間に端末装置５ａ，５ｂの各々から受信した信号数をカウントし（ステップＢ４）、端末装置５ａ，５ｂからＭｄ個以上の信号を受信した場合（ステップＢ５）、その端末装置５ａ，５ｂがＤｏＳ攻撃を行っていると判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、ＤｏＳ攻撃を行っていると判断された端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に対して規制種別３の規制をかけ（ステップＢ６）、アラーム３を保守者に送信する（ステップＢ７）。

アラーム３の送信後も、検知部４４は、検知種別Ａの検知条件に基づいて、時間幅Ｎｄの間に端末装置５ａ，５ｂの各々から受信した信号数のカウントを繰り返し（ステップＢ８）、端末装置５ａ，５ｂからＭｄ個以上の信号を受信した場合（ステップＢ９）、ＤｏＳ攻撃が継続していると判断し、その旨を規制部４５に通知する。これを受け、規制部４５は、ＤｏＳ攻撃を行っていると判断された端末装置５ａ，５ｂからの発信およびその端末装置５ａ，５ｂへの着信に対する規制種別３による規制を継続する。

なお、検知部４４は、ステップＢ５において、時間幅Ｎｄの間にカウントした信号数がＭｄよりも小さな場合、端末装置５ａ，５ｂのいずれからもＤｏＳ攻撃を受けていないと判断し、ステップＢ４に戻り、カウントを繰り返す。

また、検知部４４は、ステップＢ９において、時間幅Ｎｄの間にカウントした信号数がＭｄよりも小さな場合、ＤｏＳ攻撃が沈静化したと判断し、その旨を規制部４５に通知するとともに、ステップＢ４に戻りカウントを繰り返す。また、規制部４５は、その通知に基づいて規制を解除する（ステップＢ１０）。

以下に、本実施形態の通信システムの動作について説明する。
（通信システムの動作）
図７は、図１に示した通信システムの動作の一例を説明するシーケンスチャートである。なお、図７は、端末装置５ａおよび呼制御装置４の間のシーケンスを示している。

ここでは、図１に示した呼制御装置４の負荷率が低い場合の通信システムの動作について説明する。

図７に示すように、まず、図１に示した呼制御装置４において、図２に示した蓄積部４１は、保守者により入力された検知条件と、規制内容と、呼制御装置４の負荷率と検知条件および規制内容との対応付けとを、それぞれ検知条件テーブル４１１、規制条件テーブル４１２および負荷率対応テーブル４１３に記録する（ステップＣ１）。

次に、呼制御装置４において、負荷率算出部４２は、呼制御装置４の負荷率を算出し、算出結果を選択部４４に通知する（ステップＣ２）。これを受けて、選択部４４は、その算出結果に基づいて、検知条件テーブル４１１、規制条件テーブル４１２および負荷率対応テーブル４１３から、負荷率が低い場合のＤｏＳ攻撃の検知条件である検知種別Ａ〜Ｃと、それらに対応する規制種別１〜３を取得し（ステップＣ３）、それらを検知部４４および規制部４５に通知する。

ここで、図７に示すように、図１に示した端末装置５ａが、呼制御装置４に対して、ＤｏＳ攻撃として例えばセッション確立要求の繰り返し送信を開始するものとする（ステップＣ４）。

次に、呼制御装置４において、検知部４４は、検知種別１の検知条件に基づいて端末装置５ａから受信した信号数をカウントし（ステップＣ５）、検知条件と合致した場合、規制部４５は、端末装置５ａに対して規制種別１の規制をかける（ステップＣ６）。また、検知部４４は、検知種別２の検知条件に基づいて端末装置５ａから受信した信号数をカウントし（ステップＣ７）、合致した場合、規制部４５は、端末装置５ａに対して規制種別２の規制をかける（ステップＣ８）。更に、検知部４４は、検知種別３の検知条件に基づいて端末装置５ａから受信した信号数をカウントし（ステップＣ９）、検知条件と合致した場合、規制部４５は、端末装置５ａに対して規制種別３の規制をかける（ステップＣ１０）。

その後、呼制御装置４において、検知部４４は、規制部４５にて規制種別３による規制をかけた後も端末装置５ａから受信した信号数のカウントを継続し（ステップＣ１１）、端末装置５ａによるＤｏＳ攻撃が沈静化したことを検知した場合、その旨を規制部４５に通知する。これを受け、規制部４５は、端末装置５ａに対する規制を解除する（ステップＣ１２）。

上述したように、本実施形態においては、呼制御装置４は、自身の負荷率を算出し、算出した負荷率に応じてＤｏＳ攻撃の検知条件やＤｏＳ攻撃に対する規制内容を変更しながらＤｏＳ攻撃の検知および規制を行う。

この様に、呼制御装置４にてＤｏＳ攻撃の検知および規制を行うため、コストを抑えることができ、また、呼制御装置４の負荷率に応じて検出条件や規制内容を変更することで、負荷率が高い場合には呼制御装置４に負荷が掛からないようにＤｏＳ攻撃の検出および規制を行うことができる。

また、ＤｏＳ攻撃の検出および規制を行うことができるため、端末装置５ａ，５ｂの利用者であるエンドユーザにとっては、ネットワークの安全性が高まることからいつでも安心してネットワークを使えるようになり、通信事業者にとっては、安全なネットワークを提供することで、エンドユーザおよびサービス提供者の満足度を高められ、エンドユーザおよびサービス提供者の囲い込みができるようになる。

１ ＮＧＮ（Ｎｅｘｔ Ｇｅｎｅｒａｔｉｏｎ Ｎｅｔｗｏｒｋ）
２ パケット転送層
３ サービス制御層
４ 呼制御装置
５ａ，５ｂ 端末装置
４１ 蓄積部
４２ 負荷率算出部
４３ 選択部
４４ 検知部
４５ 規制部
４１１ 検知条件テーブル
４１２ 規制条件テーブル
４１３ 負荷率対応テーブル

Claims (14)

1. 端末との間で信号の送受信を行う通信サーバにおいて、
   前記通信サーバの負荷率と、ＤｏＳ攻撃の検知条件およびＤｏＳ攻撃に対する規制内容とを対応付けて記録した蓄積部と、
   前記通信サーバの負荷率を算出する負荷率算出部と、
   前記端末から受信する信号を監視するとともに、前記負荷率算出部にて算出された負荷率に前記蓄積部にて対応付けられた検知条件と前記監視の結果とに基づいて前記端末がＤｏＳ攻撃を行っているか否かを判断する検知部と、
   前記負荷率算出部にて算出された負荷率に前記蓄積部にて対応付けられた規制内容に基づいて、前記検知部にてＤｏＳ攻撃を行っていると判断された前記端末との間で送受信する信号に対して規制をかける規制部とを有することを特徴とする通信サーバ。
2. 請求項１に記載の通信サーバにおいて、
   前記蓄積部は、
   前記検知条件ごとに、該検知条件の識別子である検知種別と、前記通信サーバにて前記端末から受信した信号数をカウントする期間を示す時間幅と、該時間幅の間にカウントした信号数に基づいて前記端末がＤｏＳ攻撃を行っているか否かを判断する際に使用する閾値とを記録した検知条件テーブルと、
   前記規制内容ごとに、該規制内容の識別子である規制種別と、前記検知部にてＤｏＳ攻撃を行っていると判断された前記端末から受信した信号に対する規制内容と、該端末に送信する信号に対する規制内容とを記録した規制条件テーブルと、
   前記負荷率と、前記検知種別および前記規制種別とを対応付けて記録した負荷率対応テーブルとを有し、
   前記負荷率算出部にて算出された負荷率に対応する前記検知種別および前記規制種別を前記負荷率対応テーブルから取得し、取得した前記検知種別および前記規制種別に基づいて、前記負荷率に対応する前記検知条件および前記規制内容を前記検知条件テーブルおよび前記規制条件テーブルから取得する選択部をさらに有し、
   前記検知部は、前記選択部にて取得された前記検知条件に基づいて、前記端末がＤｏＳ攻撃を行っているか否かの判断を行い、
   前記規制部は、前記選択部にて取得された前記規制内容に基づいて、前記端末との間で送受信する信号に対して規制をかける、通信サーバ。
3. 請求項２に記載の通信サーバにおいて、
   前記検知部は、前記監視において前記選択部にて取得された前記検知条件に含まれる前記時間幅の間に前記端末から受信した信号数をカウントし、該信号数が前記閾値以上の場合に、前記端末がＤｏＳ攻撃を行っていると判断する、通信サーバ。
4. 請求項３に記載の通信サーバにおいて、
   前記検知部は、前記端末がＤｏＳ攻撃を行っていると判断した後も、継続して前記時間幅の間に前記端末から受信した信号数をカウントし、
   前記規制部は、前記検知部にてカウントされた信号数が前記閾値よりも小さな場合、前記端末に対する規制を解除する、通信サーバ。
5. 請求項３または請求項４に記載の通信サーバにおいて、
   前記負荷率対応テーブルは、前記検知種別と前記規制種別とを対応付けて記録しており、
   前記検知部は、前記選択部にて複数の検知条件が取得された場合、前記監視においてカウントした信号数に応じて、前記端末がＤｏＳ攻撃を行っているか否かの判断に使用する前記検知条件を変更し、
   前記規制部は、前記検知部にて前記検知条件が変更された場合、前記規制に使用する前記規制内容を、変更された前記検知条件に対応する前記規制内容に変更する、通信サーバ。
6. 請求項３〜請求項５のいずれか１項に記載の通信サーバにおいて、
   当該通信サーバは、前記信号としてＳＩＰメッセージ信号を前記端末との間で送受信し、該端末の呼制御を行うものとし、
   前記検知部は、前記監視において前記端末から受信したＳＩＰメッセージ信号の信号数をカウントする、通信サーバ。
7. 請求項６に記載の通信サーバにおいて、
   前記検知部は、前記監視において前記端末から受信したＳＩＰのメッセージ信号のうちＩＮＶＩＴＥメッセージ信号の信号数をカウントする、通信サーバ。
8. ＤｏＳ攻撃の検知条件およびＤｏＳ攻撃に対する規制内容を記録した蓄積部を有し、端末と通信する通信サーバが行うＤｏＳ攻撃防御方法であって、
   前記通信サーバの負荷率と、ＤｏＳ攻撃の前記検知条件およびＤｏＳ攻撃に対する前記規制内容とを対応付けて前記蓄積部に記録する記録ステップと、
   前記通信サーバの負荷率を算出する算出ステップと、
   前記端末から受信した信号を監視するとともに、前記算出ステップで算出された負荷率に前記蓄積部にて対応付けられた検知条件と前記監視の結果とに基づいて前記端末がＤｏＳ攻撃を行っているか否かを判断する検知ステップと、
   前記算出ステップで算出された負荷率に前記蓄積部にて対応付けられた規制内容に基づいて、前記検知ステップでＤｏＳ攻撃を行っていると判断された前記端末との間で送受信する信号に対して規制をかける規制ステップとを有するＤｏＳ攻撃防御方法。
9. 請求項８に記載のＤｏＳ攻撃防御方法において、
   前記蓄積部は、
   前記検知条件ごとに、該検知条件の識別子である検知種別と、前記通信サーバにて前記端末から受信した信号数をカウントする期間を示す時間幅と、該時間幅の間にカウントした信号数に基づいて前記端末がＤｏＳ攻撃を行っているか否かを判断する際に使用する閾値とを記録した検知条件テーブルと、
   前記規制内容ごとに、該規制内容の識別子である規制種別と、前記検知部にてＤｏＳ攻撃を行っていると判断された前記端末から受信した信号に対する規制内容と、該端末に送信する信号に対する規制内容とを記録した規制条件テーブルと、
   前記負荷率と、前記検知種別および前記規制種別とを対応付けて記録した負荷率対応テーブルとを有するものとし、
   前記算出ステップで算出された負荷率に対応する前記検知種別および前記規制種別を前記負荷率対応テーブルから取得し、取得した前記検知種別および前記規制種別に基づいて、前記負荷率に対応する前記検知条件および前記規制内容を前記検知条件テーブルおよび前記規制条件テーブルから取得する選択ステップをさらに有し、
   前記検知ステップでは、前記選択ステップで取得された前記検知条件に基づいて、前記端末がＤｏＳ攻撃を行っているか否かの判断を行い、
   前記規制ステップでは、前記選択ステップで取得された前記規制内容に基づいて、前記端末との間で送受信する信号に対して規制をかける、ＤｏＳ攻撃防御方法。
10. 請求項９に記載のＤｏＳ攻撃防御方法において、
    前記検知ステップでは、前記監視において前記選択ステップで取得された前記検知条件に含まれる前記時間幅の間に前記端末から受信した信号数をカウントし、該信号数が前記閾値以上の場合に、前記端末がＤｏＳ攻撃を行っていると判断する、ＤｏＳ攻撃防御方法。
11. 請求項１０に記載のＤｏＳ攻撃防御方法において、
    前記検知ステップでは、前記端末がＤｏＳ攻撃を行っていると判断した後も、継続して前記時間幅の間に前記端末から受信した信号数をカウントし、
    前記規制ステップでは、前記検知ステップでカウントされた信号数が前記閾値よりも小さな場合、前記端末に対する規制を解除する、ＤｏＳ攻撃防御方法。
12. 請求項１０または請求項１１に記載のＤｏＳ攻撃防御方法において、
    前記負荷率対応テーブルは、前記検知種別と前記規制種別とを対応付けて記録しているものとし、
    前記検知ステップでは、前記選択ステップで複数の前記検知条件が取得された場合、前記監視においてカウントした信号数に応じて、前記端末がＤｏＳ攻撃を行っているか否かの判断に使用する前記検知条件を変更し、
    前記規制ステップでは、前記検知ステップで前記検知条件が変更された場合、前記規制に使用する前記規制内容を、変更された前記検知条件に対応する前記規制内容に変更する、ＤｏＳ攻撃防御方法。
13. 請求項１０〜請求項１２のいずれか１項に記載のＤｏＳ攻撃防御方法において、
    前記通信サーバは、前記信号としてＳＩＰメッセージ信号を前記端末との間で送受信し、該端末の呼制御を行うものとし、
    前記検知ステップでは、前記監視において前記端末から受信したＳＩＰメッセージ信号の信号数をカウントする、ＤｏＳ攻撃防御方法。
14. 請求項１３に記載のＤｏＳ攻撃防御方法において、
    前記検知ステップでは、前記監視において前記端末から受信したＳＩＰのメッセージ信号のうちＩＮＶＩＴＥメッセージ信号の信号数をカウントする、ＤｏＳ攻撃防御方法。

Images