JP2014229982A

JP2014229982A - 攻撃トラヒック対策システム、経路制御装置、攻撃トラヒック対策方法及び経路制御プログラム

Info

Publication number: JP2014229982A
Application number: JP2013106193A
Authority: JP
Inventors: 弘倉上; Hiroshi Kurakami; 和憲神谷; Kazunori Kamiya
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2013-05-20
Filing date: 2013-05-20
Publication date: 2014-12-08

Abstract

【課題】複数のＩＳＰとマルチホームしているユーザに対して、１つのＩＳＰによる攻撃トラヒック対策によって、攻撃トラヒックを防ぐことを可能にすること。【解決手段】攻撃トラヒック対策システムは、複数のＩＳＰ（Internet Services Provider）がそれぞれ管理する複数の自律システムと相互に接続することでインターネットに接続するネットワークに対する攻撃トラヒックに対して対策を行う攻撃対策装置と、経路制御装置とを備える。経路制御装置は、取得部と、経路制御部とを備える。取得部は、攻撃トラヒックの送信先アドレスを取得する。経路制御部は、取得した送信先アドレスを宛先とする攻撃トラヒックを、複数の自律システムのうち特定の自律システムに送信させる経路制御を行う。攻撃対策装置は、特定の自律システムに送信される攻撃トラヒックに対する対策を行う。【選択図】図１

Description

本発明の実施形態は、攻撃トラヒック対策システム、経路制御装置、攻撃トラヒック対策方法及び経路制御プログラムに関する。

従来、ネットワークにおける異常なトラヒック（トラフィック）の増大（異常トラヒック）が問題となっている。異常トラヒックに対する対策の１つとして、攻撃トラヒックを含むトラヒックを迂回させ、迂回させたトラヒックから攻撃トラヒックと正常トラヒックを分類する等の攻撃トラヒック対策が行われている。

特開２００６−２４６１４６号公報

しかしながら、従来技術では、トラヒックを迂回させられるのは、同一のＩＳＰ（Internet Services Provider）によって管理されるＡＳ（Autonomous System：自律システム）を流通する場合に限られていた。つまり、他のＩＳＰのＡＳを流通するトラヒックを迂回させることはできなかった。このため、複数のＩＳＰとマルチホームしているユーザは、マルチホームしている全てのＩＳＰそれぞれについて、個別に攻撃トラヒック対策を行う必要があった。

開示の実施形態は、上記に鑑みてなされたものであって、複数のＩＳＰとマルチホームしているユーザに対して、１つのＩＳＰによる攻撃トラヒック対策によって、攻撃トラヒックを防ぐことを可能にする攻撃トラヒック対策システム、経路制御装置、攻撃トラヒック対策方法及び経路制御プログラムを提供することを目的とする。

実施形態に係る攻撃トラヒック対策システムは、複数のＩＳＰ（Internet Services Provider）がそれぞれ管理する複数の自律システムと相互に接続することでインターネットに接続するネットワークに対する攻撃トラヒックに対して対策を行う攻撃対策装置と、経路制御装置とを備える。経路制御装置は、取得部と、経路制御部とを備える。取得部は、攻撃トラヒックの送信先アドレスを取得する。経路制御部は、取得した送信先アドレスを宛先とする攻撃トラヒックを、複数の自律システムのうち特定の自律システムに送信させる経路制御を行う。攻撃対策装置は、特定の自律システムに送信される攻撃トラヒックに対する対策を行う。

図１は、第１の実施形態に係る攻撃トラヒック防御システムが適用されるネットワークの構成例を示す図である。図２は、第１の実施形態に係る攻撃トラヒック対策システムによる処理の流れを示すシーケンス図である。図３は、経路制御プログラムを実行するコンピュータを示す図である。

以下、図面を参照して、実施形態に係る攻撃トラヒック対策システム、経路制御装置、攻撃トラヒック対策方法及び経路制御方法を説明する。なお、この実施形態によりこの発明が限定されるものではない。

（第１の実施形態）
（ネットワークの構成）
図１を用いて、第１の実施形態に係る攻撃トラヒック防御システムが適用されるネットワークの構成例について説明する。図１は、第１の実施形態に係る攻撃トラヒック防御システムが適用されるネットワークの構成例を示す図である。図１に示すように、第１の実施形態に係るネットワーク１には、ＡＳ（Autonomous System：自律システム）１０〜ＡＳ３０と、ユーザネットワーク４０とが含まれる。

図１に示す例では、ＡＳ１０は、ルータ１１と、ルータ１２と、ルータ１３と、監視装置１４と、攻撃対策装置１５と、経路制御端末１００とを含む。また、ＡＳ２０は、ルータ２１と、ルータ２２とを含む。また、ＡＳ３０は、ルータ３１と、ルータ３２とを含む。また、ユーザネットワーク４０は、ルータ４１と、ルータ４２と、ルータ４３と、ユーザ端末４４とを含む。また、ユーザ端末４４は、アドレス「１０．０．１．１」で識別される。また、ユーザネットワーク４０は、ネットワークアドレス（プレフィックス）「１０．０．１．０／２３」で識別される。

ここで、ユーザネットワーク４０は、例えば、企業ユーザによって利用されるネットワークである。また、各ＡＳ１０〜３０は、それぞれ異なるＩＳＰ（Internet Services Provider）の管理下にて運用されるネットワークである。図１において、ユーザネットワーク４０を利用する企業ユーザは、ＡＳ１０を管理するＩＳＰ及びＡＳ３０を管理するＩＳＰとマルチホームしている。すなわち、ユーザネットワーク４０の境界ルータであるルータ４１は、ＡＳ１０のルータ１３に対してユーザネットワーク４０のネットワークアドレス「１０．０．１．０／２３」を広告している。また、ユーザネットワーク４０の境界ルータであるルータ４２は、ＡＳ３０のルータ３２に対して、ユーザネットワーク４０のネットワークアドレス「１０．０．１．０／２３」を広告している。

第１の実施形態においては、ＡＳ２０からユーザ端末４４を宛先（送信先）とする攻撃トラヒックが発生した場合を説明する。すなわち、図１に示す例では、攻撃トラヒックは、ＡＳ２０からＡＳ１０を経由してユーザネットワーク４０のユーザ端末４４に送信されるものと、ＡＳ２０からＡＳ３０を経由してユーザネットワーク４０のユーザ端末４４に送信されるものとがある。

ルータ１１は、ルータ１２及びルータ２１とそれぞれ接続される。また、ルータ１２は、ルータ１１、ルータ１３、監視装置１４、攻撃対策装置１５及び経路制御端末１００とそれぞれ接続される。また、ルータ１３は、ルータ１２及びルータ４１とそれぞれ接続される。また、ルータ２１は、ルータ１１及びルータ２２とそれぞれ接続される。また、ルータ２２は、ルータ２１及びルータ３１とそれぞれ接続される。また、ルータ３１は、ルータ２２及びルータ３２とそれぞれ接続される。また、ルータ３２は、ルータ３１及びルータ４２とそれぞれ接続される。また、ルータ４１は、ルータ１３及びルータ４３とそれぞれ接続される。また、ルータ４２は、ルータ３２及びルータ４３とそれぞれ接続される。また、ルータ４３は、ルータ４１、ルータ４２及びユーザ端末４４とそれぞれ接続される。

また、攻撃対策装置１５とルータ４１との間には、各種データ（パケット）をカプセル化して送受信を行うトンネル１６が確立されている。このトンネル１６の確立には、例えば、ＧＲＥ（Generic Routing Encapsulation）トンネル等が利用される。

図１に示した各ルータ１１，１２，１３，２１，２２，３１，３２，４１，４２及び４３（以下、各ルータ１１〜４３と略記する）は、各種データを中継する中継装置である。例えば、各ルータ１１〜４３は、それぞれ接続されるルータとの間で、ＡＳ間の通信経路を示す経路情報を送受信する。この経路情報は、例えば、ＢＧＰ（Border Gateway Protocol）メッセージである。

このように、各ＡＳ内に配置されるルータ間がそれぞれ接続されることにより、各ＡＳが接続される。図１の例では、ＡＳ１０は、ＡＳ２０及びユーザネットワーク４０とそれぞれ接続される。また、ＡＳ２０は、ＡＳ１０及びＡＳ３０とそれぞれ接続される。また、ＡＳ３０は、ＡＳ２０及びユーザネットワーク４０とそれぞれ接続される。また、ユーザネットワーク４０は、ＡＳ１０及びＡＳ３０とそれぞれ接続される。なお、ＡＳ及びルータの数は、図示のものに限定されるものではない。

監視装置１４は、ＡＳ１０を流通するトラヒックを監視する。例えば、監視装置１４は、ＡＳ１０を流通するトラヒックを監視し、攻撃トラヒックを検出した場合に、攻撃トラヒックを検出したことを示す攻撃検出情報を、攻撃対策装置１５及び経路制御端末１００へ送信する。この攻撃検出情報には、攻撃トラヒックの送信先アドレスが含まれる。

一例としては、監視装置１４は、ルータ１２から、ＡＳ１０を流通するトラヒックの送信先アドレス及びトラヒック量を含むフロー情報を収集する。監視装置１４は、収集したフロー情報を用いて、送信先アドレスごとに単位時間あたりのトラヒック量を算出し、算出したトラヒック量と閾値とを比較する。監視装置１４は、算出したトラヒック量が閾値を超えた場合に、攻撃検出情報を生成し、生成した攻撃検出情報を攻撃対策装置１５及び経路制御端末１００へ送信する。図１に示す例では、監視装置１４は、ユーザ端末４４のアドレス「１０．０．１．１」を含む攻撃検出情報を生成し、生成した攻撃検出情報を攻撃対策装置１５及び経路制御端末１００へ送信する。なお、監視装置１４が行う処理は、上記の処理に限定されるものではなく、監視装置１４としては、攻撃トラヒックを検出するための従来技術が適宜適用されて良い。

攻撃対策装置１５は、ＡＳ１０を流通する攻撃トラヒックに対する対策を行う。例えば、攻撃対策装置１５は、監視装置１４から攻撃検出情報を受信すると、攻撃トラヒックの送信先アドレスを宛先とするトラヒックを攻撃対策装置１５へ送信させる。

一例としては、攻撃対策装置１５は、監視装置１４によって攻撃トラヒックが検出された場合に、監視装置１４から攻撃検出情報を受信する。攻撃対策装置１５は、受信した攻撃検出情報からユーザ端末４４のアドレス「１０．０．１．１」を取得する。攻撃対策装置１５は、取得したユーザ端末４４のホストルート「１０．０．１．１／３２」をルータ１２に対して広告する。この結果、攻撃対策装置１５は、ユーザ端末４４を宛先とし、ＡＳ１０を流通する全てのトラヒックを受信する。このトラヒックには、攻撃トラヒックと正常トラヒックとが含まれる。

また、例えば、攻撃対策装置１５は、受信したトラヒックに対してパケットごとにパケット数、セッション数、プロトコル違反の有無、送信元アドレス詐称等を分析することで、受信したトラヒックを攻撃トラヒックと正常トラヒックとに分類する。そして、攻撃対策装置１５は、攻撃トラヒックを破棄するとともに、正常トラヒックをトンネル１６宛てに送信する。この結果、正常トラヒックは、トンネル１６を経由してユーザネットワーク４０に転送され、最終的にユーザ端末４４に送信される。なお、攻撃対策装置１５が行う処理は、上記の処理に限定されるものではなく、攻撃対策装置１５としては、攻撃トラヒックに対する対策を行うためのあらゆる従来技術が適用可能である。

また、例えば、攻撃対策装置１５は、攻撃トラヒックによる攻撃が終了した場合に、攻撃が終了したことを示す攻撃終了情報を経路制御端末１００へ送信する。具体的には、攻撃対策装置１５は、攻撃トラヒックの送信先アドレスを宛先とするパケットのパケット数が閾値未満となった場合に、攻撃終了情報を生成し、生成した攻撃終了情報を経路制御端末１００へ送信する。この攻撃終了情報には、攻撃トラヒックの送信先アドレスが含まれる。

ユーザ端末４４は、エンドユーザ等によって利用される情報処理装置であり、ルータ４３を介して、他の装置との間で各種データの送受信を行う。第１の実施形態においては、ユーザ端末４４は、攻撃トラヒックの攻撃対象である。

第１の実施形態に係る経路制御端末１００は、ユーザネットワーク４０に隣接するＡＳのうち、自ＡＳ以外のＡＳを流通し、攻撃トラヒックの送信先アドレスを宛先とするトラヒックを、自ＡＳに送信させる経路制御を行う。なお、第１の実施形態において、経路制御端末１００は、ルータ４２に接続して経路情報を追加及び削除するための権限が与えられている。また、経路制御端末１００が含まれるＡＳ１０を、「自ＡＳ」とも表記する。

図１に示すように第１の実施形態に係る経路制御端末１００は、取得部１１０と、経路制御部１２０とを有する。

取得部１１０は、攻撃トラヒックの送信先アドレスを取得する。例えば、取得部１１０は、監視装置１４によって攻撃トラヒックが検出された場合に、監視装置１４から攻撃検出情報を受信する。取得部１１０は、受信した攻撃検出情報からユーザ端末４４のアドレス「１０．０．１．１」を取得する。

なお、ここでは、取得部１１０が監視装置１４から受信される攻撃検出情報を用いて、攻撃トラヒックの送信先アドレスを取得する場合を説明したが、これに限定されるものではない。例えば、取得部１１０は、ユーザ端末４４宛の攻撃トラヒックに対する対策を依頼する情報を示す攻撃対策依頼をユーザネットワーク４０から受信することで、攻撃トラヒックの送信先アドレスを取得しても良い。この攻撃対策依頼には、攻撃トラヒックの送信先アドレスが含まれる。

経路制御部１２０は、攻撃トラヒックの送信先アドレスを宛先とするトラヒックを、自ＡＳに送信させる経路制御を行う。

例えば、経路制御部１２０は、経路制御として、前記ネットワークから前記特定の自律システム以外の自律システムに対する、前記送信先アドレスを含む経路の広告を停止させる。具体的には、経路制御部１２０は、ユーザネットワーク４０の境界ルータであるルータ４２に接続し、ＡＳ３０のルータ３２に対するアドレス「１０．０．１．０」を含む経路の広告を削除する。ここで、アドレス「１０．０．１．０」を含む経路とは、例えば、ルータ４２からルータ３２に対して広告されているネットワークアドレス「１０．０．１．０／２３」である。言い換えると、経路制御部１２０は、例えば、ルータ４２と通信を行い、ネットワークアドレス「１０．０．１．０／２３」がルータ３２に対して広告されないように、ルータ４２にフィルタを設定する。この結果、攻撃トラヒックの送信先アドレスを宛先とするトラヒックは、自ＡＳを経由して送信先に送信されることとなる。

また、経路制御部１２０は、攻撃トラヒックによる攻撃が終了した場合に、経路を復旧する。例えば、経路制御部１２０は、攻撃対策装置１５から攻撃終了情報を受信した場合に、攻撃終了情報に含まれる攻撃トラヒックの送信先アドレスを用いて行われた経路制御による経路を復旧する。具体的には、経路制御部１２０は、ルータ４２と通信を行い、ルータ４２に設定したフィルタを解除する。これにより、ルータ４２は、ルータ３２に対するネットワークアドレス「１０．０．１．０／２３」の広告を再開する。この結果、トラヒックがＡＳ３０を経由してユーザネットワーク４０に送信される経路が復旧することとなる。

図２を用いて、第１の実施形態に係る攻撃トラヒック対策システムによる処理の流れを説明する。図２は、第１の実施形態に係る攻撃トラヒック対策システムによる処理の流れを示すシーケンス図である。

図２に示すように、監視装置１４が攻撃トラヒックを検出すると（Ｓ１０１）、監視装置１４は、攻撃検出情報を攻撃対策装置１５及び経路制御端末１００へ送信する（Ｓ１０２）。

経路制御端末１００は、攻撃検出情報を受信すると、受信した攻撃検出情報から攻撃トラヒックの送信先アドレスを取得する（Ｓ１０３）。例えば、経路制御端末１００は、受信した攻撃検出情報からユーザ端末４４のアドレス「１０．０．１．１」を取得する。

続いて、経路制御端末１００は、攻撃トラヒックの送信先アドレスを宛先とするトラヒックを、自ＡＳに送信させる経路制御を行う（Ｓ１０４）。例えば、経路制御部１２０は、ユーザネットワーク４０に接続されるＡＳのうち、自ＡＳ以外のＡＳに対するユーザネットワーク４０の広告を削除することで、攻撃トラヒックの送信先アドレスを宛先とするトラヒックを自ＡＳに流通させる。

攻撃対策装置１５は、攻撃検出情報を受信すると、攻撃トラヒックの送信先アドレスを宛先とするトラヒックを攻撃対策装置１５に送信させる（Ｓ１０５）。そして、攻撃対策装置１５は、受信したトラヒックを攻撃トラヒックと正常トラヒックとに分類する（Ｓ１０６）。そして、攻撃対策装置１５は、攻撃トラヒックを破棄するとともに（Ｓ１０７）、正常トラヒックをトンネル１６宛てに送信する（Ｓ１０８）。

攻撃対策装置１５は、攻撃トラヒックによる攻撃が終了したか否かを定期的に判定する（Ｓ１０９）。そして、攻撃対策装置１５は、攻撃トラヒックによる攻撃が終了した場合に、攻撃終了情報を経路制御端末１００へ送信する（Ｓ１１０）。

経路制御端末１００は、攻撃対策装置１５から攻撃終了情報を受信した場合に、経路を復旧する（Ｓ１１１）。例えば、経路制御部１２０は、ルータ４２に接続し、ネットワークアドレス「１０．０．１．０／２３」がルータ３２に対して広告されないようにルータ４２に設定したフィルタを解除する。

上述してきたように、第１の実施形態に係る攻撃トラヒック対策システムにおいて、経路制御端末１００は、攻撃トラヒックの送信先アドレスを取得する。そして、経路制御端末１００は、送信先アドレスを宛先とするトラヒックを、自ＡＳに送信させる経路制御を行う。そして、攻撃対策装置１５は、自ＡＳを流通する攻撃トラヒックに対する対策を行う。このため、第１の実施形態に係る攻撃トラヒック対策システムは、複数のＩＳＰとマルチホームしているユーザに対して、１つのＩＳＰによる攻撃トラヒック対策によって、攻撃トラヒックを防ぐことを可能にする。

例えば、ＡＳ１０を管理するＩＳＰによって上記の機能が攻撃トラヒック対策サービスとして提供される場合には、企業ユーザは、その攻撃トラヒック対策サービスを利用するだけで、攻撃トラヒックを防ぐことができる。具体的には、企業ユーザは、ＡＳ３０を管理するＩＳＰの攻撃トラヒック対策サービスを利用することなく、ＡＳ３０を流通する攻撃トラヒックを防ぐことができる。

（第２の実施形態）
第１の実施形態では、経路制御端末１００がルータ４２による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させる場合を説明したが、これに限定されるものではない。例えば、経路制御端末１００が、ルータ１１、ルータ４１及びルータ４２による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させてもよい。第２の実施形態では、経路制御端末１００が、ルータ１１、ルータ４１及びルータ４２による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させる場合を説明する。

第２の実施形態に係る攻撃トラヒック対策システムは、図１に示した攻撃トラヒック対策システムと同様の構成を有するが、以下に説明する点が相違する。

第２の実施形態に係る経路制御端末１００は、ルータ１１、ルータ４１及びルータ４２に接続して経路情報を追加及び削除するための権限が与えられている。

また、第２の実施形態に係る経路制御端末１００において、経路制御部１２０は、経路制御として、ユーザネットワーク４０に接続される複数のＡＳそれぞれに対してユーザネットワーク４０から広告されている、攻撃トラヒックの送信先アドレスを含む経路の広告を停止させる。また、経路制御部１２０は、自ＡＳから自ＡＳに接続されるＡＳに対して、攻撃トラヒックの送信先アドレスを含む経路の広告を実行させる。

例えば、経路制御部１２０は、取得部１１０が攻撃検出情報を受信すると、ユーザネットワーク４０の境界ルータであるルータ４１及びルータ４２にそれぞれ接続する。そして、経路制御部１２０は、ルータ４１からルータ１３に対するネットワークアドレス「１０．０．１．０／２３」の広告と、ルータ４２からルータ３２に対するネットワークアドレス「１０．０．１．０／２３」の広告とを、それぞれ削除する。言い換えると、ルータ４１からルータ１３に対して広告されるネットワークアドレス「１０．０．１．０／２３」の広告と、ルータ４２からルータ３２に対して広告されるネットワークアドレス「１０．０．１．０／２３」の広告とを、それぞれ停止させる。具体的には、経路制御部１２０は、ルータ４１及びルータ４２と通信を行い、ネットワークアドレス「１０．０．１．０／２３」がルータ１３及びルータ３２に対してそれぞれ広告されないように、ルータ４１及びルータ４２にそれぞれフィルタを設定する。また、経路制御部１２０は、自ＡＳの境界ルータであるルータ１１に接続し、ルータ１１からルータ２１に対してネットワークアドレス「１０．０．１．０／２３」を広告する。言い換えると、経路制御部１２０は、例えば、ルータ１１に、ルータ２１に対してネットワークアドレス「１０．０．１．０／２３」の広告を実行させる。この結果、攻撃トラヒックの送信先アドレスを宛先とするトラヒックは、自ＡＳを経由して送信先に送信されることとなる。

また、経路制御部１２０は、攻撃トラヒックによる攻撃が終了した場合に、経路を復旧する。例えば、経路制御部１２０は、ルータ１１、ルータ４１及びルータ４２とそれぞれ通信を行い、ルータ４１及びルータ４２にそれぞれ設定したフィルタを解除する。これにより、ルータ４１は、ルータ１３に対するネットワークアドレス「１０．０．１．０／２３」の広告を再開し、ルータ４２は、ルータ３２に対するネットワークアドレス「１０．０．１．０／２３」の広告を再開する。また、経路制御部１２０は、ルータ１１からルータ２１に対して広告されるネットワークアドレス「１０．０．１．０／２３」の広告を停止させる。この結果、トラヒックがＡＳ１０及びＡＳ３０をそれぞれ経由してユーザネットワーク４０に送信される経路が復旧することとなる。

このように、第２の実施形態に係る経路制御端末１００は、ルータ１１、ルータ４１及びルータ４２による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させることができる。この結果、経路制御端末１００を含む攻撃トラヒック対策システムは、複数のＩＳＰとマルチホームしているユーザに対して、１つのＩＳＰによる攻撃トラヒック対策によって、攻撃トラヒックを防ぐことを可能にする。

（第３の実施形態）
また、第１及び第２の実施形態に限定されるものではなく、例えば、経路制御端末１００が、ルータ１１による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させることも可能である。第３の実施形態では、経路制御端末１００が、ルータ１１による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させる場合を説明する。

第３の実施形態に係る攻撃トラヒック対策システムは、図１に示した攻撃トラヒック対策システムと同様の構成を有するが、以下に説明する点が相違する。

第３の実施形態に係る経路制御端末１００は、ルータ１１に接続して経路情報を追加及び削除するための権限が与えられている。

また、第３の実施形態に係る経路制御端末１００において、経路制御部１２０は、経路制御として、自ＡＳから自ＡＳに接続されるＡＳに対して、攻撃トラヒックの送信先アドレスを含む経路のプレフィックス長より長い経路の広告を実行させる。

例えば、経路制御部１２０は、取得部１１０が攻撃検出情報を受信すると、自ＡＳの境界ルータであるルータ１１に接続する。そして、経路制御部１２０は、ルータ１１からルータ２１に対してネットワークアドレス「１０．０．１．０／２３」のプレフィックス長より詳細な経路「１０．０．１．０／２４」を広告する。言い換えると、経路制御部１２０は、例えば、ルータ１１に、ルータ２１に対してネットワークアドレスのプレフィックス長より長い経路「１０．０．１．０／２４」の広告を実行させる。この結果、攻撃トラヒックの送信先アドレスを宛先とするトラヒックは、自ＡＳを経由して送信先に送信されることとなる。これは、経路のルーティングにおいては、プレフィックス長の長いプレフィックスが優先的に選択されるためである。なお、これは、ここで広告される経路「１０．０．１．０／２４」が他のＡＳによって破棄されない場合に適用される。

また、経路制御部１２０は、攻撃トラヒックによる攻撃が終了した場合に、経路を復旧する。例えば、経路制御部１２０は、ルータ１１からルータ２１に対して広告される経路「１０．０．１．０／２４」の広告を停止させる。この結果、トラヒックがＡＳ１０及びＡＳ３０をそれぞれ経由してユーザネットワーク４０に送信される経路が復旧することとなる。

このように、第３の実施形態に係る経路制御端末１００は、ルータ１１による経路広告を制御することで、攻撃トラヒックを自ＡＳに送信させることができる。この結果、経路制御端末１００を含む攻撃トラヒック対策システムは、複数のＩＳＰとマルチホームしているユーザに対して、１つのＩＳＰによる攻撃トラヒック対策によって、攻撃トラヒックを防ぐことを可能にする。

（第４の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では第４の実施形態として本発明に含まれる他の実施形態を説明する。

例えば、各装置の分散・統合の具体的形態（例えば、図１の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、経路制御端末１００に攻撃対策装置１５の機能を等号してもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、上記実施形態において説明した経路制御端末１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第１の実施形態に係る経路制御端末１００が実行する処理をコンピュータが実行可能な言語で記述した経路制御プログラムを作成することもできる。この場合、コンピュータが経路制御プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる経路制御プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された経路制御プログラムをコンピュータに読み込ませて実行することにより上記第１の実施形態と同様の処理を実現してもよい。以下に、図１に示した経路制御端末１００と同様の機能を実現する経路制御プログラムを実行するコンピュータの一例を説明する。

図３は、経路制御プログラムを実行するコンピュータ１０００を示す図である。図３に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図３に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図３に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図３に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。

ここで、図３に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の経路制御プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各手順を実行する。

なお、経路制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、経路制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１５攻撃対策装置
１００経路制御端末
１１０取得部
１２０経路制御部

Claims

複数のＩＳＰ（Internet Services Provider）がそれぞれ管理する複数の自律システムと相互に接続することでインターネットに接続するネットワークに対する攻撃トラヒックに対して対策を行う攻撃対策装置と、経路制御装置とを備えた攻撃トラヒック対策システムであって、
前記経路制御装置は、
前記攻撃トラヒックの送信先アドレスを取得する取得部と、
前記送信先アドレスを宛先とする前記攻撃トラヒックを、前記複数の自律システムのうち特定の自律システムに送信させる経路制御を行う経路制御部とを備え、
前記攻撃対策装置は、前記特定の自律システムに送信される攻撃トラヒックに対する対策を行う
ことを特徴とする攻撃トラヒック対策システム。
前記経路制御部は、前記経路制御として、前記ネットワークから前記特定の自律システム以外の自律システムに対する、前記送信先アドレスを含む経路の広告を停止させることを特徴とする請求項１に記載の攻撃トラヒック対策システム。
前記経路制御部は、前記経路制御として、前記ネットワークから前記複数の自律システムそれぞれに対する、前記送信先アドレスを含む経路の広告を停止させるとともに、前記特定の自律システムから当該特定の自律システムに接続される自律システムに対して前記送信先アドレスを含む経路の広告を実行させることを特徴とする請求項１に記載の攻撃トラヒック対策システム。
前記経路制御部は、前記経路制御として、前記特定の自律システムから当該特定の自律システムに接続される自律システムに対して前記送信先アドレスを含む経路のプレフィックス長より長い経路の広告を実行させることを特徴とする請求項１に記載の攻撃トラヒック対策システム。
前記経路制御部は、前記攻撃トラヒックによる攻撃が終了した場合に、経路を復旧することを特徴とする請求項１〜４のいずれか一つに記載の攻撃トラヒック対策システム。
複数のＩＳＰ（Internet Services Provider）がそれぞれ管理する複数の自律システムと相互に接続することでインターネットに接続するネットワークに対する攻撃トラヒックの送信先アドレスを取得する取得部と、
前記複数の自律システムのうち、自律システムを流通する攻撃トラヒックに対する対策を行う攻撃対策装置によって当該対策が行われる特定の自律システムに、前記送信先アドレスを宛先とする前記攻撃トラヒックを送信させる経路制御を行う経路制御部と
を備えたことを特徴とする経路制御装置。
複数のＩＳＰ（Internet Services Provider）がそれぞれ管理する複数の自律システムと相互に接続することでインターネットに接続するネットワークに対する攻撃トラヒックに対して対策を行う攻撃対策装置と、経路制御装置とを備えた攻撃トラヒック対策システムで実行される攻撃トラヒック対策方法であって、
前記経路制御装置が、前記攻撃トラヒックの送信先アドレスを取得する取得ステップと、
前記経路制御装置が、前記送信先アドレスを宛先とする前記攻撃トラヒックを、前記複数の自律システムのうち特定の自律システムに送信させる経路制御を行う経路制御ステップと、
前記攻撃対策装置が、前記特定の自律システムに送信される攻撃トラヒックに対する対策を行う攻撃対策ステップと
を含むことを特徴とする攻撃トラヒック対策方法。
複数のＩＳＰ（Internet Services Provider）がそれぞれ管理する複数の自律システムと相互に接続することでインターネットに接続するネットワークに対する攻撃トラヒックの送信先アドレスを取得する取得手順と、
前記複数の自律システムのうち、自律システムを流通する攻撃トラヒックに対する対策を行う攻撃対策装置によって当該対策が行われる特定の自律システムに、前記送信先アドレスを宛先とする前記攻撃トラヒックを送信させる経路制御を行う経路制御手順と
をコンピュータに実行させることを特徴とする経路制御プログラム。