JP2010508598A - ストリング分析を利用する１つまたは複数のパケット・ネットワークでの望まれないトラフィックを検出する方法および装置 - Google Patents

Abstract

ストリング分析を利用して１つまたは複数のパケット・ネットワーク内で望まれないトラフィックを検出する方法および装置が提供される。悪意のある攻撃など、ターゲット犠牲者によって受信される望まれないトラフィックは、１つまたは複数のストリング表現を識別するルール・ベースを維持するステップと、ログ・ファイル内の１つまたは複数のエラー・エントリを分析するステップであって、ログ・ファイルが、ターゲット犠牲者によって受信される１つまたは複数の要求を含む、ステップと、１つまたは複数の要求がルール・ベース内のストリング表現のうちの１つまたは複数と一致するストリングを含むかどうかを判定するステップと、１つまたは複数の要求がルール・ベース内のストリング表現のうちの１つまたは複数と一致するストリングを含む場合に、告発メッセージを中央フィルタに送信するステップとによって検出される。ストリング表現は、たとえば、ストリングまたは正規表現を含むことができ、攻撃者がアクセスを試みる可能性がある１つまたは複数のリソースを表すことができる。

Description

本発明は、パケットベースの通信ネットワークのコンピュータ・セキュリティ技法に関し、より具体的には、そのようなパケットベースのネットワークでの、サービス拒否攻撃および他の悪意のある攻撃などの望まれないトラフィックを検出し、告発する方法および装置に関する。

サービス拒否ＤｏＳ攻撃などの悪意のある攻撃は、コンピュータ・リソースをその所期のユーザから使用不能にすることを試みる。たとえば、ウェブ・サーバに対するＤｏＳ攻撃は、しばしば、ホスティングされるウェブ・ページを使用不能にする。

ＤｏＳ攻撃は、限られたリソースが正当なユーザではなく攻撃者に割り振られる必要がある時に、かなりのサービス妨害を引き起こし得る。攻撃する機械は、通常、攻撃のターゲット犠牲者に向けられた多数のインターネット・プロトコルＩＰパケットをインターネットを介して送信することによって、損害を与える。たとえば、ＤｏＳ攻撃は、ネットワークを「氾濫させ」、これによって、正当なネットワーク・トラフィックを妨げる試み、またはサーバが処理できるものより多数の要求を送信し、これによって１つまたは複数のサーバへのアクセスを妨げることによってサーバを一時不通にする試みを含み得る。

複数の技法が、そのような悪意のある攻撃に対して防御するために提案され、または提唱されてきた。たとえば、米国特許出願第１１／１９７，８４２号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ ｂｙ Ｔａｒｇｅｔ Ｖｉｃｔｉｍ Ｓｅｌｆ−Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｃｏｎｔｒｏｌ」および米国特許出願第１１／１９７，８４１号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ Ｂａｓｅｄ ｏｎ Ｓｐｅｃｉｆｉｅｄ Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ Ｐａｉｒｓ」に、ＤｏＳ攻撃を検出し、告発する技法が開示されている。

そのような悪意のある攻撃に対して防御するシステムは、通常、カスタマ・ネットワークを悪意のある攻撃から保護するために、カスタマ・ネットワークに関連するディテクタと、サービス・プロバイダのネットワーク内の中央フィルタとを使用する。一般に、ディテクタは、カスタマ・ネットワークに対する悪意のある攻撃を検出し、中央フィルタに１つまたは複数の告発メッセージまたは通知メッセージを送信する。悪意のある攻撃は、通常、１つまたは複数の事前定義のストリングについて、ターゲット犠牲者で受信されるパケットを点検することによって検出される。しかし、この事前定義のストリングは、ターゲット犠牲者にアクセスする正当な試みにしばしば一致する可能性がある。したがって、ディテクタは、アクセスを行うソース・エンドポイントに関する情報を保ちながら、潜在的に多数のアクセスおよび応答を点検しなければならない。さらに、そのようなパケット点検技法は、暗号化されたリンク上では働かず、しばしば、アクセスされる経路内に追加要素を追加することによってだまされ得る。

米国特許出願第１１／１９７，８４２号 米国特許出願第１１／１９７，８４１号

したがって、ストリング分析を利用して１つまたは複数のパケット・ネットワーク内で望まれないトラフィックを検出する改善された方法および装置の必要が存在する。

一般に、ストリング分析を利用して１つまたは複数のパケット・ネットワーク内で望まれないトラフィックを検出する方法および装置が提供される。本発明の一態様によれば、悪意のある攻撃など、ターゲット犠牲者によって受信される望まれないトラフィックは、１つまたは複数のストリング表現を識別するルール・ベースを維持するステップと、ログ・ファイル内の１つまたは複数のエラー・エントリを分析するステップであって、ログ・ファイルが、ターゲット犠牲者によって受信される１つまたは複数の要求を含む、ステップと、１つまたは複数の要求がルール・ベース内のストリング表現のうちの１つまたは複数と一致するストリングを含むかどうかを判定するステップと、１つまたは複数の要求がルール・ベース内のストリング表現のうちの１つまたは複数と一致するストリングを含む場合に、告発メッセージを中央フィルタに送信するステップとによって検出される。

ストリング表現は、たとえば、ストリングまたは正規表現を含むことができる。ストリング表現は、攻撃者がアクセスを試みる可能性がある１つまたは複数のリソースを表すことができる。エラー・エントリは、一般に、ターゲット犠牲者によって維持される１つまたは複数のリソースの格納された位置をプローブで探る、攻撃者による試みに対応する。ルール・ベースは、任意選択で、ストリング表現のそれぞれの対応するアクションを識別する。

本発明のより完全な理解ならびに本発明のさらなる特徴および利益は、次の詳細な説明および図面を参照することによって得られる。

本発明が動作できるネットワーク環境を示す図である。 図１の中央フィルタ・システムを示す概略ブロック図である。 図１のディテクタを示す概略ブロック図である。 本発明の特徴を組み込むサービス拒否プロセスの例示的実施態様を説明する流れ図である。 本発明の特徴を組み込むサービス拒否プロセスの例示的実施態様を説明する流れ図である。 本発明の特徴を組み込んだディテクタ・ルール・ベースの例示的実施態様を説明するサンプルのテーブルを示す図である。 本発明の特徴を組み込んだストリング照合検出プロセスの例示的実施態様を説明する流れ図である。

本発明は、ストリング分析を利用して１つまたは複数のパケット・ネットワーク内で望まれないトラフィックを検出する改善された方法および装置を提供する。本発明の一態様によれば、サービス拒否攻撃または別の悪意のある攻撃など、ターゲット犠牲者で受信される望まれないトラフィックは、ウェブ・サービス・ログ・ファイルなどの１つまたは複数のログ・ファイルを分析することによって検出される。攻撃者は、通常、ターゲット・システム内の弱さを利用してそのシステムを危険にさらすことを試みる。たとえば、１つまたは複数の脆弱性を、ターゲット・システム上のファイルにアクセスすることによって利用することができる。通常、攻撃者は、ターゲット・ファイルがターゲット・システムのどこに格納され、またはどこをルートとするかを正確には知らず、したがって、複数の攻撃が、しばしば、ターゲット・ファイルへのアクセスを行うために行われ、これを、しばしば、「プローブ」と呼ぶ。

したがって、本発明の例示的実施形態は、１つまたは複数のログ・ファイルを分析して、ターゲット・システムへの各試みられたアクセスが成功であったかどうかを判定する。アクセスが成功であった（たとえば、その正しい位置でファイルにアクセスする試み）場合には、そのアクセスは、正当なアクセスと仮定され、そのエンドポイントによるさらなるアクセスが、許可される（それでも、本発明の一実施形態は、さらなる分析のために成功のアクセスを記録することを可能にし、後にブロックされ得る）。不成功のアクセスは、試みられた経路が、ターゲット・システムが保護を望むファイルに関連する１つまたは複数の事前定義のストリングと一致するかどうかを判定するために、さらに分析される。１つまたは複数の事前定義のストリングと一致する不成功の試みは、悪意のある攻撃と考えられ、告発メッセージが、中央フィルタに送信される。したがって、本発明は、最初の不成功のプローブを検出し、送信側がさらなるプローブを送信するのをブロックする。

図１に、本発明が動作することのできるネットワーク環境１００を示す。図１に示されているように、企業ネットワーク１５０は、図３に関して下でさらに述べるディテクタ３００を使用して、スパムまたは悪意のある攻撃などの望まれないトラフィックに対してそれ自体を保護する。企業ネットワーク１５０は、企業ユーザが、サービス・プロバイダ・ネットワーク１２０によってインターネットまたは別のネットワークにアクセスすることを可能にする。サービス・プロバイダ・ネットワーク１２０は、企業ネットワーク１５０のユーザにサービスを提供し、入ポート１１５によってさまざまなソースからパケットを受信し、これらを企業ネットワーク１５０内の示された宛先に送信する。

１つの例示的実施形態で、ディテクタ３００は、図２に関して下でさらに述べる中央フィルタ２００と協力して、悪意のある攻撃からそれ自体を保護する。一般に、下でさらに述べるように、ディテクタ３００は、企業ネットワーク１５０に対する、サービス拒否攻撃などの悪意のある攻撃を検出し、サービス・プロバイダによって維持される中央フィルタ２００に通知する。

中央フィルタ２００は、サービス・プロバイダ・ネットワーク１２０によって企業ネットワーク１５０に達するトラフィックを制限するように働く。ディテクタ３００は、通常、企業ネットワーク１５０のファイヤウォールの背後にあり、ディテクタ３００は、通常、告発メッセージをＩＳＰの中央フィルタ２００に送信する。ディテクタ３００および中央フィルタ２００は、本発明の特徴および機能を組み込むように本明細書で変更される、米国特許出願第１１／１９７，８４２号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ ｂｙ Ｔａｒｇｅｔ Ｖｉｃｔｉｍ Ｓｅｌｆ−Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｃｏｎｔｒｏｌ」および米国特許出願第１１／１９７，８４１号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ Ｂａｓｅｄ ｏｎ Ｓｐｅｃｉｆｉｅｄ Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ Ｐａｉｒｓ」の教示に基づいて実施することができる。

ディテクタ３００は、サービス拒否攻撃が企業ネットワーク１５０に対して行われつつあると判定した時に、１つまたは複数のソース／宛先ＩＰアドレス対を中央フィルタ２００に送信し、このソース／宛先ＩＰアドレス対は、サービス・プロバイダ・ネットワーク１２０に、そのソースＩＰアドレスおよび宛先ＩＰアドレスが送信されたソース／宛先ＩＰアドレス対のいずれかのソースＩＰアドレスおよび宛先ＩＰアドレスと一致するＩＰパケットの送信を制限させ（たとえば、ブロックさせるかレート制限させる）、これによって、企業ネットワーク１５０内の攻撃犠牲者への１つまたは複数のソース・デバイス１１０からのサービス拒否攻撃を制限する（または除去する）。ディテクタ３００は、任意選択で、冗長接続１３５または主接続１３０の使用を伴って、ソース／宛先ＩＰアドレス対を送信する。本発明の一態様によれば、ディテクタ３００と中央フィルタ２００との間の通信のために告発プロトコルが提供される。

したがって、サービス拒否攻撃の犠牲者は、攻撃者をそのサービス・プロバイダに告発することによって「押し戻す」ことができ、このサービス・プロバイダは、これに応答して、ブロックされなければならないソース／宛先ＩＰ対のテーブルを更新する。より具体的には、攻撃が行われつつあることを認識した時に、犠牲者（企業ネットワーク１５０）は、攻撃の一部と思われるパケットで指定されるソースＩＰアドレスおよび宛先ＩＰアドレスの１つまたは複数の対を識別し、中央フィルタ２００によるブロックのためにこれらのＩＰアドレス対をサービス・プロバイダに通信する。

図１に示されているように、加入者（企業ネットワーク１５０）宛のパケットは、一般に「よい」トラフィックおよび「悪い」トラフィックに対応するクラスに分類される。たとえば、それぞれ、カテゴリＡ １０５−Ａからのよいトラフィックは、配送され（許可され）、カテゴリＢ １０５−ＢおよびカテゴリＮ １０５−Ｎからの悪いトラフィックは、レート制限されるか捨てられる。企業ネットワーク１５０に関連する宛先アドレスにトラフィックを送信するソース・コンピューティング・デバイス１１０は、Ｎ個の例示的カテゴリのうちの１つに分類される。告発は、よいトラフィックと悪いトラフィックとの間の境界をシフトする。

ある種の例示的実施形態によれば、攻撃者（すなわち、１つまたは複数の識別されたソースＩＰアドレス）は、ネットワークから完全に排除される必要があるのではなく、パケットを犠牲者（すなわち、１つまたは複数の識別された宛先ＩＰアドレス）に送信することだけを禁じられることに留意されたい。これは、特に、１つまたは複数の指定されたソースＩＰアドレスが、犠牲者に対する所与の攻撃のために乗っ取られた正当なユーザ（たとえば、ゾンビ）を表す場合に、有利である場合がある。したがって、乗っ取られた機械の所有者は、正当な目的にそのシステムを使用し続けることができるが、犠牲者に対して行われる攻撃（おそらくは、正当なユーザに未知の）は、それでも、有利に阻まれる。さらに、そのような例示的実施形態による技法が、所与の犠牲者による攻撃者の過度に熱心な識別からの保護をも有利に提供することに留意されたい。本発明の原理によれば、攻撃の識別は、明白な犠牲者の裁量に一任されるので、所与の犠牲者へのトラフィックだけが排除されまたは制限されていることが、明らかに有利である。

本発明は、１つまたは複数のログ・ファイルを分析することによって、悪意のある攻撃などの望まれないトラフィックを検出する、図７に関して下でさらに述べる、ストリング照合検出プロセス７００を提供する。悪意のある攻撃を、変化する度合の単純さまたは洗練を有する１つまたは複数の追加アルゴリズムによって、犠牲者によって認識することもでき、これらのアルゴリズムは、本発明の範囲の外であるが、多数のアルゴリズムが、当業者に明白であろう。たとえば、本発明の１つの例示的実施形態によれば、アプリケーション・ログを検査することができ、攻撃を、単一の識別されたソースまたは複数の識別されたソースのいずれかからの非常に高いトラフィック・レベル（たとえば、高いパケット・レート）の存在だけに基づいて識別することができる。これが、サービス拒否攻撃の存在を識別する１つの従来の方法であり、当業者に馴染みのあるものであろうことに留意されたい。

しかし、他の実施態様では、パケット内容のアプリケーション・ベースの分析を実行して、たとえば、存在しないデータベース要素の頻繁なデータベース検索があったことを認識すること、１人の人が開始できるレートより高いレートで発生する、一見人間からの複数の要求があったことを認識すること、構文的に無効な要求を識別すること、および通常に発生するアクティビティの動作での特に敏感な時刻でのトラフィックの疑わしい量を識別することなど、疑わしい性質を有するパケットまたはパケットのシーケンスを識別することができる。後者のクラスの疑わしいパケットの例は、たとえば、株式取引ウェブ・サイトが、差し迫った株取引中の敏感な時に特に破壊的なトラフィックに気付く場合に、識別することができる。さらなる変形では、たとえば上で説明した状況のうちの１つまたは複数を含めることができる可能な攻撃の複数の異なるしるしを、より洗練された分析で有利に組み合わせて、攻撃の存在を識別することができる。

例示的な検出システムは、２つのモードのうちの１つで動作することができる。ゾーンが、「デフォルトドロップ」モードである時に、デフォルト挙動は、デフォルトドロップ上に明示的にリストされたトラフィックを除く、そのゾーン宛のすべてのトラフィックをフィルタリングすることである。一般に、デフォルトドロップ・モードでは、フィルタは、明示的に許可され（たとえば、事前定義の許可フィルタと一致し）ない限り、すべてのトラフィックを自動的に捨てる。その一方で、ゾーンがデフォルトアロウモードである時に、事前定義のドロップ・フィルタと明示的に一致するトラフィックを除いて、加入者へのすべてのトラフィックが、フィルタによって渡される。

図２は、本発明のプロセスを実施できる、図１の中央フィルタ・システム２００の概略ブロック図である。図２に示されているように、メモリ２３０は、本明細書で開示されるサービス拒否フィルタリングの方法、ステップ、および機能を実施するようにプロセッサ２２０を構成する。メモリ２３０は、分散させまたはローカルとすることができ、プロセッサ２２０は、分散させまたは単一とすることができる。メモリ２３０は、電気メモリ、磁気メモリ、もしくは光学メモリ、またはこれらの任意の組合せ、あるいは他のタイプのストレージ・デバイスとして実施することができる。プロセッサ２２０を構成する各分散プロセッサが、一般に、それ自体のアドレス可能メモリ空間を含むことに留意されたい。コンピュータ・システム２００の一部またはすべてを、特定用途向け集積回路または汎用集積回路に組み込むことができることにも留意されたい。

図２に示されているように、例示的なメモリ２３０は、サービス拒否フィルタ・ルール・ベース２６０と、図４に関して下でさらに述べる１つまたは複数のサービス拒否フィルタリング・プロセス４００とを含む。一般に、例示的なサービス拒否フィルタ・ルール・ベース２６０は、中央フィルタ２００によって制限されまたは許可されなければならないトラフィックに関連するソース／宛先アドレス対を含む従来のフィルタ・ベースである。サービス拒否フィルタリング・プロセス４００は、本発明による、サービス拒否または他の攻撃に対して防御する例示的な方法である。

中央フィルタ２００を、サービス・プロバイダ・ネットワーク１２０に含まれる独立型ボックスとして、またはその代わりに、ネットワーク１２０内に既に存在する他の点では通常のネットワーク要素に組み込まれた回線カードとして、実施することができる。さらに、ある種の例示的実施形態によれば、中央フィルタ２００を、ネットワーク１２０内で攻撃起点に相対的に近い位置にキャリアによって有利に展開することができ、あるいは、中央フィルタ２００を、当初に、プレミアム・カスタマを攻撃から有利に防御するように配置することができる。

図３は、本発明のプロセスを実施できる、図１のディテクタ３００の概略ブロック図である。図３に示されているように、メモリ３３０は、本明細書で開示されるサービス拒否フィルタリングの方法、ステップ、および機能を実施するようにプロセッサ３２０を構成する。メモリ３３０は、分散させまたはローカルとすることができ、プロセッサ３２０は、分散させまたは単一とすることができる。メモリ３３０は、電気メモリ、磁気メモリ、もしくは光学メモリ、またはこれらの任意の組合せ、あるいは他のタイプのストレージ・デバイスとして実施することができる。プロセッサ３２０を構成する各分散プロセッサが、一般に、それ自体のアドレス可能メモリ空間を含むことに留意されたい。コンピュータ・システム３００の一部またはすべてを、特定用途向け集積回路または汎用集積回路に組み込むことができることにも留意されたい。

図３に示されているように、例示的なメモリ３３０は、それぞれ下で図５から７までに関してさらに述べる、１つまたは複数のサービス拒否検出プロセス５００、ディテクタ・ルール・ベース６００、およびストリング照合検出プロセス７００を含む。サービス拒否検出プロセス５００は、本発明による、サービス拒否攻撃または他の攻撃を検出し、これに対して防御する例示的な方法である。ディテクタ・ルール・ベース６００は、ターゲット・システムが保護を望むファイルに関連するストリングを記録する。ストリング照合検出プロセス７００は、１つまたは複数のログ・ファイルを分析して、ディテクタ・ルール・ベース６００からの１つまたは複数の事前定義のストリングと一致するターゲット・システムの１つまたは複数のファイルにアクセスする不成功の試みを識別する。

図４は、本発明の特徴を組み込むサービス拒否フィルタリング・プロセス４００の例示的実施態様を説明する流れ図である。例示的なサービス拒否フィルタリング・プロセス４００が、「デフォルトアロウ」モード用に実施されることに留意されたい。「デフォルトドロップ」モード用の実施態様は、当業者にたやすく明白になるはずである。一般に、サービス拒否フィルタリング・プロセス４００は、本発明による、サービス拒否または他の攻撃に対して防御する例示的方法である。例示的なサービス拒否フィルタリング・プロセス４００は、中央フィルタ２００で実行され、ステップ４１０中に、企業ネットワーク１５０内の所与のターゲット犠牲者に対してサービス拒否攻撃または別の悪意のある攻撃が行われつつあることの表示をディテクタ３００から受信することによって開始される。

その後、ステップ４２０中に、ネットワーク・キャリアが、サービス拒否攻撃を阻むためにブロックされなければならないＩＰパケットを表す１つまたは複数のソース／宛先ＩＰアドレス対をディテクタ３００から受信する。実例として、ソースＩＰアドレスは、攻撃する（たとえば、「ゾンビ」）コンピューティング・デバイス１１０のアドレスであり、宛先ＩＰアドレスは、ターゲット犠牲者自体に関連するアドレスである。ディテクタ３００からのメッセージは、下で述べるＤＰに従って送信される。

次に、ネットワーク・キャリアは、ステップ４３０中に、そのソースＩＰアドレスおよび宛先ＩＰアドレスが受信されたソース／宛先ＩＰアドレス対のソースＩＰアドレスおよび宛先ＩＰアドレスと一致するＩＰパケットを識別するために、ＩＰパケット・トラフィックを監視する。ステップ４４０中にテストを実行して、１つまたは複数のパケットが、サービス拒否フィルタ・ルール・ベース２６０内のアドレス対と一致するかどうかを判定する。

ステップ４４０中に、１つまたは複数のパケットがサービス拒否フィルタ・ルール・ベース２６０内のアドレス対と一致すると判定される場合には、ステップ４６０中に、そのパケットを捨てるか制限しなければならない。

ステップ４４０中に、１つまたは複数のパケットがサービス拒否フィルタ・ルール・ベース２６０内のアドレス対と一致しないと判定される場合には、ステップ４７０中に、そのパケットが、企業ネットワーク１５０への送信を許可される。

図５は、本発明の特徴を組み込むサービス拒否検出プロセス５００の例示的実施態様を説明する流れ図である。一般に、サービス拒否検出プロセス５００は、本発明による、サービス拒否または他の攻撃に対して防御する例示的方法である。例示的なサービス拒否検出プロセス５００は、ディテクタ３００によってターゲット犠牲者で実行され、ステップ５１０中に、受信されたＩＰパケットおよび／またはサーバ・ログの分析に基づいて、ターゲット犠牲者に対してサービス拒否攻撃または別の悪意のある攻撃が行われつつあることを判定することによって開始される。下で図７に関してさらに述べるように、本発明は、サーバ・ログ・ファイルに対してストリング照合動作を実行することによって攻撃を検出する例示的なストリング照合検出プロセス７００を提供する。

次に、ステップ５２０中に、サービス拒否攻撃を阻むために、１つまたは複数のソース／宛先ＩＰアドレス対を、ブロックされなければならないＩＰパケットを表すものとして識別する（実例として、ソースＩＰアドレスは、攻撃する「ゾンビ」機械１１０のアドレスであり、宛先ＩＰアドレスは、ターゲット犠牲者自体に関連するアドレスである）。最後に、ステップ５３０中に、識別されたソース／宛先ＩＰアドレス対を、犠牲者のキャリア・ネットワークの中央フィルタ２００に送信して、キャリア・ネットワークが、一致するソースＩＰアドレスおよび宛先ＩＰアドレスを有するＩＰパケットの送信をブロックできるようにする。

図６は、本発明の特徴を組み込んだディテクタ・ルール・ベース６００の例示的実施態様を説明するサンプルのテーブルである。一般に、ディテクタ・ルール・ベース６００は、ターゲット・システムが保護を望むファイルに関連するストリングを記録する。図６に示されるように、例示的なディテクタ・ルール・ベース６００は、複数の異なるストリングと、そのストリングが検出された時に実行される対応するアクション（たとえば、捨てるまたは制限する）とを記録する。たとえば、１つの既知の悪意のある攻撃は、リモート・マシン上のコマンド・シェルへのアクセスを入手するために、「ｃｏｍｍａｎｄ．ｅｘｅ」をプローブで探る。したがって、例示的なディテクタ・ルール・ベース６００は、ストリング「ｃｏｍｍａｎｄ．ｅｘｅ」を探すためのルールを含む。

図７は、本発明の特徴を組み込んだストリング照合検出プロセス７００の例示的実施態様を説明する流れ図である。図７に示されているように、例示的なストリング照合検出プロセス７００は、ステップ７１０中に、たとえばターゲット・システムへの試みられたアクセスごとおよびターゲットシステムによる応答ごとのエントリを含む、アプリケーション・ログを読み取ることによって開始される。

７２０中に、アプリケーション・ログ内の各エントリ内の要求を解析する。ステップ７３０中にテストを実行して、処理されつつある現在のエントリが、エラー・エントリであるかどうかを判定する。上で注記したように、成功のアクセス（たとえば、その正しい位置でファイルにアクセスする試み）は、正当なアクセスであると仮定され、そのエンドポイントによるさらなるアクセスが、許可される。

ステップ７３０中に、処理されつつある現在のエントリがエラー・エントリではないと判定される場合に、プログラム制御は、ステップ７２０に戻って、アプリケーション・ログ内の次のエントリを解析する。１つの例示的実施態様では、現在のエントリがエラー・エントリでない場合に、さらなる分析のために、下で述べるようにステップ７７０中にレコードを任意選択で保存することができる（このレコードを後の時にブロックすることができる）。しかし、ステップ７３０中に、処理されつつある現在のエントリがエラー・エントリであると判定される場合には、ステップ７４０中にさらなるテストを実行して、要求がルール・ベース６００と一致するストリングを含むかどうかを判定する

ステップ７４０中に、要求がルール・ベース６００と一致するストリングを含むと判定される場合には、ステップ７５０中に、告発メッセージを中央フィルタ２００に送信する。しかし、ステップ７４０中に、要求がルール・ベース６００と一致するストリングを含まないと判定される場合には、ステップ７６０中にさらなるテストを実行して、要求が正規表現と一致するストリングを含むかどうかを判定する。

ステップ７６０中に、要求が正規表現と一致するストリングを含むと判定される場合には、ステップ７５０中に、告発メッセージを中央フィルタ２００に送信する。しかし、ステップ７６０中に、要求が正規表現と一致するストリングを含まないと判定される場合には、任意選択で、ステップ７７０中にさらなる分析のためにレコードを保存する。

本発明は、１つまたは複数の補足ツールと共に働くことができる。たとえば、そのようなツールに、活用されるサービス拒否攻撃の認識のためのインターネット・サーバ・プラグイン、さまざまなＩＤＳシステム（侵入検出システム）へのリンク、ネットワーク診断用のデータベース（上の議論を参照されたい）、および所与のキャリアのインフラストラクチャ内のザッパ機能性の配置に関するガイダンスを提供する方法を含めることができる。これら補足ツールのうちのさまざまなツールを提供する本発明の例示的実施形態は、本明細書の開示に鑑みて、当業者に明白であろう。

システムおよび製造品の詳細
当技術分野で既知のとおり、本明細書で述べた方法および装置を、コンピュータ可読コード手段がその上で実施されたコンピュータ可読媒体をそれ自体が含む製造品として配布することができる。コンピュータ可読プログラム・コード手段は、コンピュータ・システムと共に、本明細書で述べた方法を実行するステップの一部またはすべてを実行するか本明細書で述べた装置を作成するように動作可能である。コンピュータ可読媒体は、記録可能媒体（たとえば、フロッピ・ディスク、ハード・ドライブ、コンパクト・ディスク、メモリ・カード、半導体デバイス、チップ、特定用途向け集積回路ＡＳＩＣ）とすることができ、あるいは伝送媒体（たとえば、光ファイバ、ワールド・ワイド・ウェブ、ケーブル、または時分割多元接続、符号分割多元接続もしくは他の無線周波数チャネルを使用する無線チャネルを含むネットワーク）とすることができる、コンピュータ・システムと共に使用するのに適切な情報を格納できる既知のまたはこれから開発されるすべての媒体を使用することができる。コンピュータ可読コード手段は、磁気媒体上の磁気変動またはコンパクト・ディスクの表面上の高さ変動など、コンピュータが命令およびデータを読み取ることを可能にするすべての機構である。

本明細書で説明したコンピュータ・システムおよびサーバのそれぞれは、本明細書で開示される方法、ステップ、および機能を実施するように関連するプロセッサを構成するメモリを含む。メモリは、分散させまたはローカルとすることができ、プロセッサは、分散させまたは単一とすることができる。メモリは、電気メモリ、磁気メモリ、もしくは光学メモリ、またはこれらの任意の組合せ、あるいは他のタイプのストレージ・デバイスとして実施することができる。さらに、用語「メモリ」は、関連するプロセッサによってアクセスされるアドレス可能空間内のアドレスから読み取るかこれに書き込むことができるすべての情報を含むのに十分に広義に解釈されなければならない。この定義を用いると、ネットワーク上の情報は、それでもメモリ内にある。というのは、関連するプロセッサが、ネットワークから情報を取り出すことができるからである。

図示され本明細書で説明された実施形態および変形形態が、単に本発明の原理を示すものであることと、本発明の範囲および趣旨から逸脱せずに当業者がさまざまな変更を実施できることとを理解されたい。

Claims (10)

1. ターゲット犠牲者によって受信される望まれないトラフィックを検出する方法であって、前記ターゲット犠牲者が、１つまたは複数の宛先アドレスを有し、前記方法が、
   １つまたは複数のストリング表現を識別するルール・ベースを維持するステップと、
   ログ・ファイル内の１つまたは複数のエラー・エントリを分析するステップであって、前記ログ・ファイルが、前記ターゲット犠牲者によって受信される１つまたは複数の要求を含む、ステップと、
   前記１つまたは複数の要求が前記ルール・ベース内の前記ストリング表現のうちの１つまたは複数と一致するストリングを含むかどうかを判定するステップと、
   前記１つまたは複数の要求が前記ルール・ベース内の前記ストリング表現のうちの１つまたは複数と一致するストリングを含む場合に、告発メッセージを中央フィルタに送信するステップと
   を含む、方法。
2. 前記望まれないトラフィックが、悪意のある攻撃を含む、請求項１に記載の方法。
3. 前記１つまたは複数のストリング表現が、ストリングおよび正規表現のうちの１つまたは複数を含む、請求項１に記載の方法。
4. 前記１つまたは複数のストリング表現が、攻撃者がアクセスを試みる可能性がある１つまたは複数のリソースを表す、請求項１に記載の方法。
5. 前記１つまたは複数のエラー・エントリが、前記ターゲット犠牲者によって維持される１つまたは複数のリソースの格納された位置をプローブで探るための攻撃者による試みに対応する、請求項１に記載の方法。
6. 前記ルール・ベースが、前記ストリング表現ごとに対応するアクションを識別する、請求項１に記載の方法。
7. さらなる分析のために前記ログ・ファイルから１つまたは複数の成功のアクセスを記録するステップをさらに含む、請求項１に記載の方法。
8. ターゲット犠牲者によって受信される望まれないトラフィックを検出する装置であって、
   メモリと、
   前記メモリに結合され、
   １つまたは複数のストリング表現を識別するルール・ベースを維持し、
   前記ターゲット犠牲者によって受信される１つまたは複数の要求を含むログ・ファイル内の１つまたは複数のエラー・エントリを分析し、
   前記１つまたは複数の要求が前記ルール・ベース内の前記ストリング表現のうちの１つまたは複数と一致するストリングを含むかどうかを判定し、
   前記１つまたは複数の要求が前記ルール・ベース内の前記ストリング表現のうちの１つまたは複数と一致するストリングを含む場合に、告発メッセージを中央フィルタに送信する
   ように動作可能な少なくとも１つのプロセッサと
   を含む装置。
9. 前記１つまたは複数のストリング表現が、ストリングおよび正規表現のうちの１つまたは複数を含む、請求項８に記載の装置。
10. 前記１つまたは複数のエラー・エントリが、前記ターゲット犠牲者によって維持される１つまたは複数のリソースの格納された位置をプローブで探るための攻撃者による試みに対応する、請求項８に記載の装置。

Images