JP2013223005A

JP2013223005A - ＤｏＳ攻撃検出装置

Info

Publication number: JP2013223005A
Application number: JP2012091771A
Authority: JP
Inventors: Nobuyuki Chiwata; 伸之千綿; Sei Negishi; 聖根岸
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2012-04-13
Filing date: 2012-04-13
Publication date: 2013-10-28
Anticipated expiration: 2032-04-13
Also published as: JP5613196B2

Abstract

【課題】仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出すること。
【解決手段】ＳＩＰレスポンス信号識別部１２により、ＳＩＰレスポンス信号の正常・異常を識別し、ＳＩＰレスポンス信号数計測部１３により、異常と識別されたＳＩＰレスポンス信号の数を計測し、ＤｏＳ攻撃判定部１４により、その計測数が閾値を超過するかを判定して、ＤｏＳ攻撃検出部１５により、その閾値を超過したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する。
【選択図】図１

Description

本発明は、ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出する技術に関する。

ＩＭＳ（IP Multimedia Subsystem）などのＳＩＰ（Session Initiation Protocol）応用システムでは、その信頼性を確保するための様々な防御対策が実施可能であり、その一例としてＤｏＳ（Denial of Service attack）攻撃に対する防御を実施している。ＤｏＳ攻撃とは、悪意のある攻撃者が特定のシステムに大量の負荷を発生させることにより、そのシステムで提供されているサービスの継続を困難にさせるものである。

特にＳＩＰ応用システムに対するＤｏＳ攻撃検出方法として、同一ＩＰアドレスのＳＩＰ端末からＳＩＰサーバに単位時間あたりに送信されるＩＮＶＩＴＥ信号やＲＥＧＩＳＴＥＲ信号などのＳＩＰリクエスト信号の数をカウントし、そのカウント数が閾値を超えた場合にＤｏＳ攻撃として検出する方法がある（特許文献１参照）。

特許第４６５４０９２号公報

「SIP: Session Initiation Protocol」、RFC3261、[online]、平成24年4月3日検索、<URL: http://www.ietf.org/rfc/rfc3261.txt>

しかしながら、ＤｏＳ攻撃検出時のカウント対象をＳＩＰリクエスト信号とし、それ以外の信号を使用したＤｏＳ攻撃を想定していないため、ＳＩＰレスポンス信号に仮装した仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出できず、適切な防御を実施できないという問題があった。

このような問題に対し、その従来の検出方法をＳＩＰレスポンス信号に適用することも考えられる。しかし、ＳＩＰレスポンス信号はＳＩＰリクエスト信号と異なり、ＳＩＰリクエスト信号に対する応答として返信されるものであり、ＳＩＰリクエスト信号を受信したＳＩＰ端末又はＳＩＰサーバで正しい処理を実行した結果、まとまった量のＳＩＰレスポンス信号が返信される場合もある。

例えば、ＳＩＰ端末に短時間で大量着信した場合、その大量着信に基づくＳＩＰリクエスト信号に応じて大量のＳＩＰレスポンス信号（例えば、１００や４８６のコード番号を含む応答信号）がＳＩＰサーバに返信されることから、結果的にＳＩＰレスポンス信号の送出が集中する可能性が考えられる。

すなわち、ＳＩＰレスポンス信号の正常なる使用の範疇であっても、一定の期間、同一ＩＰアドレスのＳＩＰ端末から大量のＳＩＰレスポンス信号が送信される場合があるため、ＳＩＰレスポンス信号数のカウントによるＤｏＳ攻撃検出方法では、正しい処理をＤｏＳ攻撃と誤認するおそれがあった。

本発明は、上記課題を鑑みてなされたものであり、その課題とするところは、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出することにある。

請求項１記載のＤｏＳ攻撃検出装置は、ＤｏＳ攻撃判定用の判定条件データを記憶しておく記憶手段と、ＳＩＰレスポンス信号の正常・異常を識別する識別手段と、異常と識別されたＳＩＰレスポンス信号の数を計測する計測手段と、前記記憶手段から前記判定条件データを読み出して、前記計測結果が当該判定条件に適合するかを判定する判定手段と、前記判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する検出手段と、を備えることを特徴とする。

本発明によれば、ＳＩＰレスポンス信号の正常・異常を識別し、異常と識別されたＳＩＰレスポンス信号の数を計測し、その計測結果が判定条件に適合するかを判定して、その判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するため、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出できる。

請求項２記載のＤｏＳ攻撃検出装置は、ＳＩＰサーバにおけるＤｏＳ攻撃検出装置であって、ＤｏＳ攻撃判定用の判定条件データを記憶しておく記憶手段と、ＳＩＰレスポンス信号の数を計測する計測手段と、前記記憶手段から前記判定条件データを読み出して、前記計測結果が当該判定条件に適合するかを判定する判定手段と、前記判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより、当該送信元からのＳＩＰレスポンス信号の送出契機を制限させる制限手段と、前記送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく再計測結果が判定条件に適合する場合に、当該判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する検出手段と、を備えることを特徴とする。

本発明によれば、ＳＩＰレスポンス信号の数を計測し、その計測結果が判定条件に適合するかを判定して、その判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより当該送信元からのＳＩＰレスポンス信号の送出契機を制限させ、送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく再計測結果が判定条件に適合する場合に、当該判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するため、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を確実に検出できる。

請求項３記載のＤｏＳ攻撃検出装置は、ＳＩＰサーバにおけるＤｏＳ攻撃検出装置であって、ＤｏＳ攻撃判定用の判定条件データを記憶しておく記憶手段と、ＳＩＰレスポンス信号の正常・異常を識別する識別手段と、異常と識別されたＳＩＰレスポンス信号の数を計測する計測手段と、前記記憶手段から前記判定条件データを読み出して、前記計測結果が当該判定条件に適合するかを判定する判定手段と、前記判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより、当該送信元からのＳＩＰレスポンス信号の送出契機を制限させる制限手段と、前記送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく再計測結果が判定条件に適合する場合に、当該判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する検出手段と、を備えることを特徴とする。

本発明によれば、ＳＩＰレスポンス信号の正常・異常を識別し、異常と識別されたＳＩＰレスポンス信号の数を計測し、その計測結果が判定条件に適合するかを判定して、その判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより当該送信元からのＳＩＰレスポンス信号の送出契機を制限させ、送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく再計測結果が判定条件に適合する場合に、当該判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するため、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃をより確実に検出できる。

請求項４記載のＤｏＳ攻撃検出装置は、請求項１又は３記載のＤｏＳ攻撃検出装置において、前記識別手段は、前記ＳＩＰレスポンス信号の信号フォーマットが標準の信号フォーマットに適合し、当該ＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報が含まれている場合に正常と識別し、前記ＳＩＰレスポンス信号の信号フォーマットが標準の信号フォーマットに適合しない、又は、当該ＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報が含まれていない場合に異常と識別することを特徴とする。

請求項５記載のＤｏＳ攻撃検出装置は、請求項１乃至４のいずれかに記載のＤｏＳ攻撃検出装置において、前記判定手段は、同一送信元から単位時間あたりに送信されたＳＩＰレスポンス信号の数が閾値を超過するかを判定し、前記検出手段は、前記閾値を超過した場合に、当該送信元からのＳＩＰレスポンス信号をＤｏＳ攻撃として検出することを特徴とする。

本発明によれば、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出できる。

第１の実施の形態に係るＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。第１の実施の形態に係るＤｏＳ攻撃検出装置の処理フローを示す図である。第２の実施の形態に係るＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。第２の実施の形態に係るＤｏＳ攻撃検出装置の処理フローを示す図である。

以下、本発明を実施する一実施の形態について図面を用いて説明する。但し、本発明は多くの異なる様態で実施することが可能であり、本実施の形態の記載内容に限定して解釈すべきではない。

〔第１の実施の形態〕
第１の実施の形態では、仮装ＳＩＰレスポンス信号はその信号フォーマットやそれに含まれるデータが不正（以下、異常）であることに着目し、ＤｏＳ攻撃検出のカウント対象を異常なＳＩＰレスポンス信号のみにすることを最たる特徴としている。

図１は、本実施の形態に係るＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。このＤｏＳ攻撃検出装置１は、ＤｏＳ攻撃判定用の判定条件データを記憶しておくデータ記憶部１１と、ＳＩＰレスポンス信号の正常・異常を識別するＳＩＰレスポンス信号識別部１２と、異常と識別されたＳＩＰレスポンス信号の数を計測するＳＩＰレスポンス信号数計測部１３と、データ記憶部１１から判定条件データを読み出して、その計測結果が当該判定条件に適合するかを判定するＤｏＳ攻撃判定部１４と、その判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するＤｏＳ攻撃検出部１５と、検出されたＤｏＳ攻撃に対して防御処理を実行する防御実行部１６と、を主に備える。

以下、ＤｏＳ攻撃検出装置１は、通信ネットワークを介してＳＩＰ端末に通信可能に接続されたＳＩＰサーバ内で動作するものとする。また、そのＳＩＰサーバは背景技術で説明したように信頼性確保の様々な防御処理を実行可能であることから、防御実行部１６は、ＤｏＳ攻撃検出時に防御処理実行命令をＳＩＰサーバに通知し、防御処理自体をＳＩＰサーバに委ねることも可能である。

尚、本実施の形態に係るＤｏＳ攻撃検出装置１は、後述する第２の実施の形態と異なりＤｏＳ攻撃検出時に呼制御を伴うものでないことから、ＳＩＰ端末とＳＩＰサーバ間の通信ネットワークに接続可能なコンピュータ（ＳＩＰ端末やＳＩＰサーバ以外の第３のコンピュータ）内で独立して動作させることも可能である。

次に、図２を参照しながら、ＳＩＰサーバ内で動作するＤｏＳ攻撃検出装置１の動作を説明する。本処理は、ＳＩＰレスポンス信号受信イベントを契機にＤｏＳ攻撃検出プログラムが起動してスタートする。

最初に、ＳＩＰレスポンス信号識別部１２により、ＳＩＰサーバに送信されたＳＩＰレスポンス信号が後述する識別基準に基づいて正常であるか異常であるかが識別される（ステップＳ１０１）。

次に、ＳＩＰレスポンス信号数計測部１３により、正常と識別されたＳＩＰレスポンス信号はＤｏＳ攻撃判定の計測対象から除外され、異常と識別されたＳＩＰレスポンス信号のみが計測対象とされて、異常なＳＩＰレスポンス信号の数が例えば記録値に「１」を加算するなどの方法で計測される（ステップＳ１０２）。

その後、ＳＩＰサーバにより、通常のＳＩＰレスポンス処理が実行される（ステップＳ１０３）。尚、ステップＳ１０３の終了後は次のＳＩＰレスポンス信号受信イベントが発生するまで待機状態となり、そのイベントが発生する毎にステップＳ１０１〜Ｓ１０３は繰り返し実行される。

ステップＳ１０１〜Ｓ１０３と併行して、例えば１分間隔などの一定周期ごとに、ＤｏＳ攻撃判定部１４により、ステップＳ１０２で計測された異常なＳＩＰレスポンス信号の計測数が取得され（ステップＳ２０１）、同一ＩＰアドレスのＳＩＰ端末から送信されたＳＩＰレスポンス信号の計測数が判定条件データとしての閾値を超過するか否かが判定される（ステップＳ２０２）。

その後、その閾値を超過した場合、ＤｏＳ攻撃検出部１５により、そのＳＩＰ端末からのＳＩＰレスポンス信号がＤｏＳ攻撃として検出され（ステップＳ２０３）、防御実行部１６により、検出されたＤｏＳ攻撃に対して所定の防御処理が実行される（ステップＳ２０４）。尚、ステップＳ２０４の終了後は上記一定周期が経過するまで待機状態となり、その一定周期毎にステップＳ２０１〜Ｓ２０４は繰り返し実行される。

また、ステップＳ２０４で実行される防御処理方法は、例えば、検出されたＳＩＰ端末からの信号受信規制や特開２００６−２３５８７６号公報で開示された従来技術など任意の方法を利用でき、特定の方法に限定されない。また、ステップＳ１０２で計測されるＳＩＰレスポンス信号の数は、上記一定周期ごとにリセットされる。

ここで、ステップＳ１０１の識別基準について説明する。ＳＩＰレスポンス信号の正常・異常の識別方法は様々である。その識別を厳密に行うことによりＤｏＳ攻撃検出精度を向上できるが、同時に処理負荷が増加するため適切ではない。

そこで、本実施の形態では、ＤｏＳ攻撃検出精度の向上を図るとともに処理負荷の増加を適正に抑制にするため、ＳＩＰ端末から送信されたＳＩＰレスポンス信号の信号フォーマットが非特許文献１で許容された信号フォーマット（標準の信号フォーマット）に適合し、そのＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報（コールＩＤ、ローカルタグ、リモートタグの組み合わせ）が含まれている場合に、正常なＳＩＰレスポンス信号と識別する。

一方、そのＳＩＰレスポンス信号の信号フォーマットが標準の信号フォーマットに適合しない、又は、そのＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報が含まれていない場合に、異常なＳＩＰレスポンス信号と識別する。なお、ＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報の存在有無の定義やその判断方法については、非特許文献１の規定に従う。

また、ステップＳ２０２の判定基準についても様々な方法がある。本実施の形態では、同一ＩＰアドレスのＳＩＰ端末から単位時間あたりに送信される異常なＳＩＰレスポンス信号の計測数が一定の閾値を超過するか否かを基準例としているが、例えば、計測数の増加率や、単位時間あたりの計測数の非低下継続時間などを判定条件に用いて適合の有無を判定してもよい。第２の実施の形態の場合も同様である。

また、ＳＩＰレスポンス信号数計測部で備える信号数カウンタは、ＳＩＰリクエスト信号専用カウンタ又はＳＩＰレスポンス信号専用カウンタとしてもよく、ＳＩＰリクエスト信号・ＳＩＰレスポンス信号共用カウンタとしてもよい。第２の実施の形態の場合も同様である。

本実施の形態によれば、ＳＩＰレスポンス信号識別部１２により、ＳＩＰレスポンス信号の正常・異常を識別し、ＳＩＰレスポンス信号数計測部１３により、異常と識別されたＳＩＰレスポンス信号の数を計測し、ＤｏＳ攻撃判定部１４により、その計測数が閾値を超過するかを判定して、ＤｏＳ攻撃検出部１５により、その閾値を超過したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するので、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を検出できる。

〔第２の実施の形態〕
第１の実施の形態では、「仮装ＳＩＰレスポンス信号＝異常と識別されるＳＩＰレスポンス信号」を前提にＤｏＳ攻撃検出方法について説明した。しかし、攻撃側がＳＩＰレスポンス信号として送信されるべきデータなどを事前に設定した上で、一見正常なＳＩＰレスポンス信号を大量に生成して送信するような高度なＤｏＳ攻撃に対しては対応できない。

例えば、発信者と着信者が共謀して、発信者のコンピュータから着信者のＳＩＰ端末へ発信すると、着信者のＳＩＰ端末が受信したＳＩＰリクエスト信号に対して過剰な頻度で暫定応答信号（例えば、１００や１８ｘのコード番号を含む応答信号）をＳＩＰレスポンス信号としてＳＩＰサーバに送りつけるようなＤｏＳ攻撃が想定される。

これに対し、正常なＳＩＰシーケンスにおいては、着信者が発信者からＳＩＰリクエスト信号を受けるとＳＩＰ暫定応答を１回返送し、仮に信号再送する場合であっても再送タイマに従って３２秒間に最大６回までの返送に限られている。

そこで、第２の実施の形態では、仮装ＳＩＰレスポンス信号は正常なＳＩＰリクエスト信号とは無関係に送信されることに着目し、ＳＩＰレスポンス信号によるＤｏＳ攻撃の可能性が認められた場合、ＤｏＳ攻撃が疑われるＳＩＰ端末に対する着信を一旦制限し、ＳＩＰレスポンス信号の送出契機を除去した上で、ＳＩＰレスポンス信号を再計測することを最たる特徴としている。

図２は、本実施の形態に係るＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。このＤｏＳ攻撃検出装置１は、ＤｏＳ攻撃判定用の判定条件データを記憶しておくデータ記憶部２１と、ＳＩＰレスポンス信号の数を計測するＳＩＰレスポンス信号数計測部２２と、データ記憶部２１から判定条件データを読み出して、その計測結果が当該判定条件に適合するかを判定するＤｏＳ攻撃判定部２３と、その判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより、その送信元からのＳＩＰレスポンス信号の送出契機を制限させる着信制限部２４と、送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく計測結果が判定条件に適合する場合に、その判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するＤｏＳ攻撃検出部２５と、検出されたＤｏＳ攻撃に対して防御処理を実行する防御実行部１６と、を主に備える。

本実施の形態に係るＤｏＳ攻撃検出装置１は、ＤｏＳ攻撃検出時に呼制御を伴うため、通信ネットワークを介してＳＩＰ端末に通信可能に接続されたＳＩＰサーバ内で動作する。また、第１の実施の形態で説明したように、防御実行部２６は、ＤｏＳ攻撃検出時に防御処理実行命令をＳＩＰサーバに通知し、防御処理自体をＳＩＰサーバに委ねることも可能である。

次に、図４を参照しながら、ＳＩＰサーバ内で動作するＤｏＳ攻撃検出装置１の動作を説明する。本処理は、ＳＩＰレスポンス信号受信イベントを契機にＤｏＳ攻撃検出プログラムが起動してスタートする。

最初に、ＳＩＰレスポンス信号数計測部２２により、ＳＩＰサーバに送信されたＳＩＰレスポンス信号に対して特段の事前フィルタリング（第１の実施の形態で説明したような異常なＳＩＰレスポンス信号のみに選別するなど）が何ら実行されることなく、全てのＳＩＰレスポンス信号の数が同一ＩＰアドレスのＳＩＰ端末毎に例えば記録値に「１」を加算するなどの方法で計測される（ステップＳ３０１）。

その後、ＳＩＰサーバにより、通常のＳＩＰレスポンス処理が実行される（ステップＳ３０２）。尚、ステップＳ３０２の終了後は次のＳＩＰレスポンス信号受信イベントが発生するまで待機状態となり、そのイベントが発生する毎にステップＳ３０１〜Ｓ３０２は繰り返し実行される。

ステップＳ３０１〜Ｓ３０２と併行して、例えば１分間隔などの一定周期ごとに、ＤｏＳ攻撃判定部２３により、ステップＳ３０１で計測された全てのＳＩＰレスポンス信号の計測数が取得され（ステップＳ４０１）、同一ＩＰアドレスのＳＩＰ端末から送信されたＳＩＰレスポンス信号の計測数が判定条件データとしての閾値を超過するか否かが判定される（ステップＳ４０２）。

その後、その閾値を超過した場合にはそのＳＩＰ端末によってＤｏＳ攻撃されている可能性が高いことから、着信制限部２４により、そのＳＩＰ端末への着信が現在制限中であるか否かが判定され（ステップＳ４０３）、着信制限中でない場合はそのＳＩＰ端末への着信が一旦制限される（ステップＳ４０４）。この着信制限により、ＳＩＰリクエスト信号の受信数がゼロ又は一定以下に抑制されることから、そのＳＩＰ端末からのＳＩＰレスポンス信号の送出契機が制限されることになる。

ステップＳ４０４の終了後は上記一定周期が経過するまで待機状態となり、その一定周期経過後、ＤｏＳ攻撃判定部２３により、ステップＳ４０１及びステップＳ４０２が再度実行（ＳＩＰレスポンス信号数の再計測、その再計測数と閾値とによるＤｏＳ攻撃の再判定）され（ステップＳ４０５〜Ｓ４０６）、着信制限部２４により、ステップＳ４０３が再度実行（着信制限有無の再判定）される（ステップＳ４０７）。

ここで、仮にステップＳ４０７の判定対象が上記一旦制限されたＳＩＰ端末であった場合には、既に着信が制限されていることから、ＤｏＳ攻撃検出部２５により、そのＳＩＰ端末からのＳＩＰレスポンス信号がＤｏＳ攻撃として検出され（ステップＳ４０８）、防御実行部２６により、検出されたＤｏＳ攻撃に対して所定の防御処理が実行される（ステップＳ４０９）。

すなわち、ＤｏＳ攻撃者と想定されるＳＩＰ端末への着信制限を実施し、その結果、ＳＩＰレスポンス信号送出の契機となるＳＩＰリクエスト信号の受信を低下させ、次の観測周期で、当該ＳＩＰ端末からのＳＩＰレスポンス信号が一定の閾値を超過しなければ着信制限を解除するが（ステップＳ４１０）、引き続きＳＩＰレスポンス信号が一定の閾値を超過する場合はＤｏＳ攻撃と判定して適切なＤｏＳ攻撃防御を実施する（ステップＳ４０８〜Ｓ４０９）。

なお、ステップＳ４０６で再判定する際に用いる閾値（判定基準）を、ステップＳ４０２で判定する際の閾値（判定基準）と異なるものを用いてもよい。例えば、着信制限中のＳＩＰ端末が再判定される場合には、その再判定時の閾値レベルを前回よりも低くしてもよいし、他の判定基準を利用してもよい。

また、本実施の形態では、ＤｏＳ攻撃の可能性を考慮してＳＩＰレスポンス信号の送信元への着信制限を行った直後にＳＩＰレスポンス信号が一定の閾値以下にならなければＤｏＳ攻撃と判定しているが、着信制限がＳＩＰレスポンス信号の送出契機に反映されるまでの時間差を考慮して、着信制限の実施後、何回か継続してＳＩＰレスポンス信号が一定の閾値を超過した場合に、ＤｏＳ攻撃と判定するようにしてもよい。

本実施の形態によれば、ＳＩＰレスポンス信号数計測部２２により、ＳＩＰレスポンス信号の数を計測し、ＤｏＳ攻撃判定部２３により、その計測数が閾値を超過するかを判定して、着信制限部２４により、その閾値を超過したＳＩＰレスポンス信号の送信元への着信を制限することにより当該送信元からのＳＩＰレスポンス信号の送出契機を制限させ、ＤｏＳ攻撃検出部２５により、送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数が閾値を超過する場合に、当該閾値を超過したＳＩＰレスポンス信号をＤｏＳ攻撃として検出するので、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃を確実に検出できる。

以上説明した２つの実施の形態をそれぞれ独立に実施してもよいが、それらを組み合わせて併用実施してもよい。すなわち、第２の実施の形態におけるステップＳ３０１での計測対象を第１の実施の形態のように異常なＳＩＰレスポンス信号に限定する。処理フロー上は、図２のステップＳ１０１を図４のステップＳ３０１の前で実施し、ステップＳ３０１では異常と識別されたＳＩＰレスポンス信号の数のみを計測する。以降、その計測された異常なＳＩＰレスポンス信号についてステップＳ４０１〜Ｓ４１０を実行する。第２の実施の形態において計測対象を異常なＳＩＰレスポンス信号に限定するので、仮装ＳＩＰレスポンス信号によるＤｏＳ攻撃をより確実に検出できる。

最後に、各実施の形態で説明したＤｏＳ攻撃検出装置は、メモリなどの記憶手段、ＣＰＵなどの計算制御手段、モニタなどの出力手段を備えたコンピュータで実現可能である。各処理はプログラムにより実行される。

１…ＤｏＳ攻撃検出装置
１１，２１…データ記憶部
１２…ＳＩＰレスポンス信号識別部
１３，２２…ＳＩＰレスポンス信号数計測部
１４，２３…ＤｏＳ攻撃判定部
１５，２５…ＤｏＳ攻撃検出部
１６，２６…防御実行部
２４…着信制限部
Ｓ１０１〜Ｓ１０３，Ｓ２０１〜Ｓ２０４，Ｓ３０１〜Ｓ３０２，Ｓ４０１〜Ｓ４１０…ステップ

Claims

ＤｏＳ攻撃判定用の判定条件データを記憶しておく記憶手段と、
ＳＩＰレスポンス信号の正常・異常を識別する識別手段と、
異常と識別されたＳＩＰレスポンス信号の数を計測する計測手段と、
前記記憶手段から前記判定条件データを読み出して、前記計測結果が当該判定条件に適合するかを判定する判定手段と、
前記判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する検出手段と、
を備えることを特徴とするＤｏＳ攻撃検出装置。
ＳＩＰサーバにおけるＤｏＳ攻撃検出装置であって、
ＤｏＳ攻撃判定用の判定条件データを記憶しておく記憶手段と、
ＳＩＰレスポンス信号の数を計測する計測手段と、
前記記憶手段から前記判定条件データを読み出して、前記計測結果が当該判定条件に適合するかを判定する判定手段と、
前記判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより、当該送信元からのＳＩＰレスポンス信号の送出契機を制限させる制限手段と、
前記送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく再計測結果が判定条件に適合する場合に、当該判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する検出手段と、
を備えることを特徴とするＤｏＳ攻撃検出装置。
ＳＩＰサーバにおけるＤｏＳ攻撃検出装置であって、
ＤｏＳ攻撃判定用の判定条件データを記憶しておく記憶手段と、
ＳＩＰレスポンス信号の正常・異常を識別する識別手段と、
異常と識別されたＳＩＰレスポンス信号の数を計測する計測手段と、
前記記憶手段から前記判定条件データを読み出して、前記計測結果が当該判定条件に適合するかを判定する判定手段と、
前記判定条件に適合したＳＩＰレスポンス信号の送信元への着信を制限することにより、当該送信元からのＳＩＰレスポンス信号の送出契機を制限させる制限手段と、
前記送出契機制限対象の送信元から送信されたＳＩＰレスポンス信号の再計測数に基づく再計測結果が判定条件に適合する場合に、当該判定条件に適合したＳＩＰレスポンス信号をＤｏＳ攻撃として検出する検出手段と、
を備えることを特徴とするＤｏＳ攻撃検出装置。
前記識別手段は、
前記ＳＩＰレスポンス信号の信号フォーマットが標準の信号フォーマットに適合し、当該ＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報が含まれている場合に正常と識別し、前記ＳＩＰレスポンス信号の信号フォーマットが標準の信号フォーマットに適合しない、又は、当該ＳＩＰレスポンス信号に対応するＳＩＰダイアログ識別情報が含まれていない場合に異常と識別することを特徴とする請求項１又は３記載のＤｏＳ攻撃検出装置。
前記判定手段は、同一送信元から単位時間あたりに送信されたＳＩＰレスポンス信号の数が閾値を超過するかを判定し、
前記検出手段は、前記閾値を超過した場合に、当該送信元からのＳＩＰレスポンス信号をＤｏＳ攻撃として検出することを特徴とする請求項１乃至４のいずれかに記載のＤｏＳ攻撃検出装置。