JP2015115794A - 転送装置、転送方法、および、転送プログラム - Google Patents

Abstract

【課題】移動体通信システム内の端末へのＤｏＳ／ＤＤｏＳ攻撃の検出の容易化を図ること。
【解決手段】転送装置５００は、無線通信装置に第１のアドレスを割り当て、第１のアドレスに応じた第１の無線アクセス方式により、第１のアドレスＣが割り当てられた無線通信装置と無線通信可能に接続する接続部５０１と、接続部５０１によって接続された第１の無線アクセス方式に従った第１の通信レートを、第１のアドレスが攻撃対象であるか否かを判定するしきい値に決定する決定部５０２と、決定部５０２によって決定されたしきい値である第１の通信レートにより、第１のアドレスを宛先とする第１のパケットを受信して、第１のアドレスが割り当てられた無線通信装置に転送する転送部５０３と、を有する。
【選択図】図５

Description

本発明は、パケットを転送する転送装置、転送方法、および、転送プログラムに関する。

Ｗｏｒｌｄｗｉｄｅ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ Ｍｉｃｒｏｗａｖｅ Ａｃｃｅｓｓ（ＷｉＭＡＸ）やＬｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）のようなデータ通信専用の移動体通信システムの通信速度の向上により、移動体システムの端末が直接インターネットと接続するようになった。その結果、従来の専用網に閉じた音声通信システムと違い、移動体通信システムの端末は、インターネット上の様々な脅威に晒される。その中に、特に端末のＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ（ＩＰ）アドレスへのＤｅｎｉａｌ−ｏｆ−Ｓｅｒｖｉｃｅ ｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ−ｏｆ−Ｓｅｒｖｉｃｅ（ＤｏＳ／ＤＤｏＳ）攻撃は、移動体通信システム全体に対して影響をもたらす場合がある。

移動体通信システムでは、基地局はセンター装置よりデータ転送性能が低く、通信するためのバックホール回線容量も少ないため、端末のＩＰアドレス宛に大量の攻撃パケットが発生した場合、センター装置から転送された攻撃パケットが、基地局のリソースと帯域を占用してしまい、基地局配下の数多くの端末が通信不能に陥る事態が生じる場合がある。

従来技術として、外部ネットワークの端末から内部ネットワークのサーバへのアクセスを制御する中継装置がある（たとえば、下記特許文献１を参照。）。特許文献１の中継装置は、端末がサーバ宛に送出するパケットの伝送を一定条件下で許容し、許容されたパケットに対し、サーバが接続を許可した場合、サーバ宛のパケット伝送の条件を緩和する。しかる後、中継装置は、緩和された条件で、端末とサーバとのパケット伝送を制御する。

また、攻撃対象ＩＰアドレスのリース更新通信を行い、ＩＰアドレスがＤＨＣＰサーバへ返却されるのを防ぎつつ、別のＩＰアドレスを通信に用いることにより、ネットワーク攻撃を他の通信端末に引き継いでしまうことを回避する従来技術がある（たとえば、下記特許文献２を参照。）。特許文献２の通信端末は、ＤｏＳ攻撃を検出すると、自装置に割当てられたＭＡＣアドレスを変更し、変更されたＭＡＣアドレスに対応した新たなＩＰアドレスをＤＨＣＰサーバから取得し、新たなＩＰアドレスを基に外部ネットワークを介して通信する。また、通信端末は、攻撃対象ＩＰアドレスの定期的な更新処理を継続することで、ＤＨＣＰサーバにＩＰアドレスが返却されないようにし、ホームネットワーク内の他の端末に攻撃先が切り替ることを防ぐ。

また、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習する通信装置がある（たとえば、下記特許文献３を参照。）。特許文献３の通信システムは、サーバと通信装置を有する。サーバは、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知する。たとえば、サーバは、定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する。通信装置は、サーバに対し未知のパケットを転送し、サーバから通知された処理内容に基づいて、受信パケットを処理する。

また、非特許文献１には、ＤＤｏＳ攻撃の軽減対策が開示されている。非特許文献１には、ＤｏＳ／ＤＤｏＳ攻撃検知方法として、パケット分析による方法が開示されている。

特許第４２７１４７８号公報 特開２０１１−１２９９６８号公報 特開２０１３−７０３２５号公報

シスコシステムズ株式会社 ＤＤｏＳ攻撃の軽減対策 ［ｏｎｌｉｎｅ］、２００７年４月 ［２０１３年１２月検索］ インターネット<http://www.cisco.com/web/JP/product/hs/security/tad/tech/pdf/dda_wp.pdf>

しかしながら、上述した特許文献１の中継装置では、ＤｏＳ／ＤＤｏＳ攻撃検知方法としては、主にレートしきい値による判定方法を採用するが、当該判定方法の場合、移動体通信システムでは、無線アクセス方式ごとに端末の通信レートが異なる場合があったり、また端末が存在する環境の無線状況によって端末の通信レートが異なる場合がある。したがって、特許文献１の中継装置では、適切なレートしきい値を設定することができないという問題がある。

また、上述した特許文献２の場合、Ｉ／ＦからＣＰＵに送られる受信割込み数が、予め定めた閾値を超えた場合に不正パケットとして検出するが、攻撃者が巧妙に攻撃パケットのプロトコルやサイズなどを動的に変更しながら送信した場合、正常パケットとの区別がつかないため、検出が困難であるという問題がある。また、通信端末が、不正パケットによる攻撃中という高負荷な状態のときに、変更されたＭＡＣアドレスに対応した新たなＩＰアドレスをＤＨＣＰサーバから取得する必要があるという問題がある。また、個々の通信端末についての防御となるため、移動体通信システムに適した防御方法にはならない。

また、上述した特許文献３の場合も、攻撃者が巧妙に攻撃パケットのプロトコルやサイズなどを動的に変更しながら送信した場合、定義パタンと照合しない場合があり、正常パケットとの区別がつかないため、検出が困難であるという問題がある。

また、上述した非特許文献１の場合も、攻撃者が巧妙に攻撃パケットのプロトコルやサイズなどを動的に変更しながら送信した場合、正常パケットとの区別がつかないため、検出が困難であるという問題がある。このように、不正パケットと正常パケットとの区別が難しいため、ＤｏＳ／ＤＤｏＳ攻撃の阻止が困難である。

本発明は、移動体通信システム内の端末へのＤｏＳ／ＤＤｏＳ攻撃の検出の容易化を図ることを目的とする。

本願において開示される発明の一側面となる転送装置、転送方法、および、転送プログラムは、無線通信装置に第１のアドレスを割り当て、前記第１のアドレスに応じた第１の無線アクセス方式により、前記第１のアドレスが割り当てられた前記無線通信装置と無線通信可能に接続し、接続された第１の無線アクセス方式に従った第１の通信レートを、前記第１のアドレスが攻撃対象であるか否かを判定するしきい値に決定し、決定されたしきい値である前記第１の通信レートにより、前記第１のアドレスを宛先とする第１のパケットを受信して、前記第１のアドレスが割り当てられた前記無線通信装置に転送することを特徴とする。

本発明の代表的な実施の形態によれば、移動体通信システム内の端末へのＤｏＳ／ＤＤｏＳ攻撃の検出の容易化を図ることができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

複数の無線アクセス方式を持つ移動体通信システムの構成例を示す説明図である。 移動体端末がＤｏＳ／ＤＤｏＳ攻撃を受けた場合の影響を示す説明図である。 図１および図２に示した移動体通信システムにおけるＰＤＮ−ＧＷのレートしきい値決定例を示す説明図である。 通信装置のハードウェア構成例を示すブロック図である。 ＰＤＮ−ＧＷである転送装置の機能的構成例を示すブロック図である。 対応情報の記憶内容の一例を示す説明図である。 ＰＤＮ−ＧＷを用いたＤｏＳ／ＤＤｏＳ攻撃の検出例を示す説明図である。 ＤｏＳ／ＤＤｏＳ攻撃の防御例１を示す説明図である。 図８の防御例において、攻撃パケットを活用した攻撃パターンの分析方法を示す説明図である。 ＤｏＳ／ＤＤｏＳ攻撃の防御例２を示す説明図である。 レートしきい値の更新例を示す説明図である。

以下に、一例として、ＬＴＥ、Ｅｖｏｌｕｔｉｏｎ Ｄａｔａ Ｏｎｌｙ（Ｏｐｔｉｍｉｚｅｄ)（ＥＶＤＯ）、および、ＷｉＭＡＸの三つの無線通信システムにおける無線アクセス方式を持つ無線通信システムを用いた実施例を図面により詳細に説明する。

＜移動体通信システム例＞
図１は、複数の無線アクセス方式を持つ移動体通信システム群を集約する無線通信システム１の構成例を示す説明図である。図１では、白塗矢印が正常パケットを指す。以降の図面でも同様である。相互のエリアの補完と通信速度の速い無線方式への優先接続を目的とする移動体通信システム間ハンドオーバーを実現するために、異なる移動体通信システム２〜４を同一のホームエージェントに接続する必要がある。

ホームエージェントは、端末１２２、１３２、１４２のＩＰアドレスをアサインして管理する役割を持つ転送装置であり、同一のホームエージェントであれば、端末１２２、１３２、１４２が移動体通信システム間でハンドオーバーしても同じＩＰアドレスを維持できるため、サービスの継続が可能である。

ホームエージェントの機能を持つ装置は移動体通信システム２〜４によって名称が異なるが、ＬＴＥ（移動体通信システム２）の場合はＰｕｂｌｉｃ Ｄａｔａ Ｎｅｔｗｏｒｋ−Ｇａｔｅｗａｙ（ＰＤＮ−ＧＷ）１１０となる。ＰＤＮ−ＧＷ１１０は、ＥＶＤＯ（移動体通信システム３）とＷｉＭＡＸ（移動体通信システム４）とを収容できるため、本実施例はＰＤＮ−ＧＷ１１０によるＤｏＳ／ＤＤｏＳ攻撃の防御を実現する。ＰＤＮ−ＧＷ１１０のリア側はインターネット１００と接続される。

ＰＤＮ−ＧＷ１１０のフロント側は、ＬＴＥのコア中継装置であるＳｅｒｖｉｎｇ−ＧＷ（Ｓ−ＧＷ）１２０、ＥＶＤＯのコア中継装置であるＨｉｇｈ Ｒａｔｅ Ｐａｃｋｅｔ Ｄａｔａ（ＨＲＰＤ） Ｓ−ＧＷ（ＨＳＧＷ）＆Ｐｏｉｎｔ Ｃｏｏｄｉｎａｔｉｏｎ Ｆｕｎｃｔｉｏｎ１３０、および、ＷｉＭＡＸのコア中継装置であるＡｃｃｅｓｓ Ｓｅｒｖｉｃｅ Ｎｅｔｗｏｒｋ（ＡＳＮ）−ＧＷ１４０と接続される。

Ｓ−ＧＷ１２０はＬＴＥ基地局１２１、ＨＳＧＷ＆ＰＣＦはＥＶＤＯ基地局１３１、ＡＳＮ−ＧＷ１４０はＷｉＭＡＸ基地局１４１に接続される。ＬＴＥ基地局１２１の配下にＬＴＥ端末１２２、ＥＶＤＯ基地局１３１の配下にＥＶＤＯ端末１３２、ＷｉＭＡＸ基地局１４１の配下にＷｉＭＡＸ端末１４２が無線で接続される。

ＰＤＮ−ＧＷ１１０は、端末が新規接続時に端末にホームアドレスとなるＩＰアドレスを割り当てる役割を持つ。また、ＰＤＮ−ＧＷ１１０は、端末が新規接続と移動体通信システム間ハンドオーバーをする際、端末１２２、１３２、１４２から無線アクセス方式の通知を受け、端末１２２、１３２、１４２のセッション情報として管理する。インターネット１００上にあるサーバ１５０からの端末１２２、１３２、１４２宛のＩＰパケット（以下、単にパケット）は、ＰＤＮ−ＧＷ１１０に集約され、ＰＤＮ−ＧＷ１１０が管理している端末１２２、１３２、１４２の位置情報に基づき、コア中継装置１２０、１３０、１４０、そして各基地局１２１、１３１、１４１を経由し、端末１２２、１３２、１４２に到達する。

図２は、端末１２２、１３２、１４２がＤｏＳ／ＤＤｏＳ攻撃を受けた場合の影響を示す説明図である。端末群がインターネット１００にアクセスをしている時に、インターネット１００上の攻撃者２００である通信装置（サーバまたは端末）が、あるＷｉＭＡＸ端末１４２−１宛に大量のパケット（以下、攻撃パケット）を送信し始めた場合を例に挙げる。図２では、黒塗り矢印が攻撃パケットを指す。以降の図面でも同様である。

攻撃パケットは、通常のパケットと一緒にＰＤＮ−ＧＷ１１０、ＡＳＮ−ＧＷ１４０、および、ＷｉＭＡＸ基地局１４１−１を経由し、攻撃対象となるＷｉＭＡＸ端末１４２−１に転送される。該当ＷｉＭＡＸ端末１４２−１が攻撃によってサービス不能になるだけでなく、攻撃パケットの量が多くＷｉＭＡＸ基地局１４１−１の処理性能と無線リソースを圧迫した場合、該当ＷｉＭＡＸ基地局１４１−１配下の他のＷｉＭＡＸ端末１４２−２も影響を受ける。

さらに、攻撃パケットのレートの高さにより、ＡＳＮ−ＧＷ１４０の処理性能や回線を圧迫した場合、ＡＳＮ−ＧＷ１４０に接続される他のＷｉＭＡＸ基地局１４１−２配下のＷｉＭＡＸ端末１４２−３、１４２−４も影響を受ける。最悪な場合、ＰＤＮ−ＧＷ１１０まで処理性能が圧迫され、移動体通信システム全体のサービス不能に陥ることも想定される。

＜レートしきい値決定例＞
図３は、図１および図２に示した移動体通信システムにおけるＰＤＮ−ＧＷ１１０のレートしきい値決定例を示す説明図である。移動体通信システム２〜４の無線アクセス方式ごとに、また端末１２２、１３２、１４２が存在する環境の無線状況によって、端末１２２、１３２、１４２の通信レートが異なる場合がある。このため、ＰＤＮ−ＧＷ１１０は、移動体通信システム２〜４の無線アクセス方式や環境に応じて端末１２２、１３２、１４２のレートしきい値を決定する。レートしきい値とは、該当する無線アクセス方式で当該端末１２２、１３２、１４２にアサインされたＩＰアドレスに許容される通信レートのしきい値である。当該ＩＰアドレス宛のパケットの通信レートが、レートしきい値以上になると、ＰＤＮ−ＧＷ１１０は、当該ＩＰアドレス宛のパケットに攻撃パケットが含まれていると判断する。

図３の（Ａ）の例では、まず、ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＣが割り当てられたＷｉＭＡＸ端末１４２−１とのＷｉＭＡＸのセッション確立後、無線アクセス方式であるＷｉＭＡＸの通信レート（たとえば、４０［Ｍｂｐｓ］）に応じたレートしきい値Ｒｔを設定する。通信レートは、無線アクセス方式ごとに異なる。通信レートは、許容される通信レートの最大値であるため、レートしきい値Ｒｔは、たとえば、通信レートに安全率であるｎ％（０＜ｎ≦１００）を乗じた値となる。ＰＤＮ−ＧＷ１１０は、サーバ１５０からのＣ宛のパケットをレートしきい値Ｒｔの通信レートでＷｉＭＡＸ端末１４２−１に転送する。

また、ＰＤＮ−ＧＷ１１０は、Ｃ宛のパケットの受信回数をカウントして、通信レートＲｒを算出する。通信レートＲｒは、Ｃ宛のパケット長に受信回数を乗じて受信期間で割ることにより算出される。（Ａ）の例では、Ｒｒ＜Ｒｔとなり、正常なパケットが転送されていると判断される。

（Ｂ）の例では、ＰＤＮ−ＧＷ１１０は、攻撃者２００からの宛先Ｃのパケットも受信する。このため、Ｒｒ≧Ｒｔとなる。したがって、ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＣは攻撃者２００の攻撃対象であると判断する。このように、ＰＤＮ−ＧＷ１１０においても、適切なレートしきい値を容易に設定することができる。

＜ハードウェア構成例＞
図４は、通信装置のハードウェア構成例を示すブロック図である。ここで、通信装置とは、図１のサーバ、コア中継装置１２０、１３０、１４０、基地局１２１、１３１、１４１、端末１２２、１３２、１４２である。通信装置４００は、プロセッサ４０１と、記憶デバイス４０２と、入力デバイス４０３と、出力デバイス４０４と、通信インターフェース（通信ＩＦ）４０５と、を有する。プロセッサ４０１、記憶デバイス４０２、入力デバイス４０３、出力デバイス４０４、および通信ＩＦ４０５は、バスにより接続される。プロセッサ４０１は、通信装置４００を制御する。

記憶デバイス４０２は、プロセッサ４０１の作業エリアとなる。また、記憶デバイス４０２は、各種プログラムやデータを記憶する非一時的な記録媒体である。記憶デバイス４０２としては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリがある。入力デバイス４０３は、データを入力する。入力デバイス４０３としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナがある。出力デバイス４０４は、データを出力する。出力デバイス４０４としては、たとえば、ディスプレイ、プリンタがある。通信ＩＦ４０５は、ネットワークと接続し、データを送受信する。

＜ＰＤＮ−ＧＷ１１０の機能的構成例＞
図５は、ＰＤＮ−ＧＷ１１０である転送装置５００の機能的構成例を示すブロック図である。転送装置５００は、接続部５０１と、決定部５０２と、転送部５０３と、第１の記憶部５１０と、算出部５０４と、判定部５０５と、制御部５０６と、分析部５０７と、第２の記憶部５２０と、更新部５０８と、を有する。第１の記憶部５１０および第２の記憶部５２０は、具体的には、たとえば、図４に示した記憶デバイス４０２によりその機能を実現する。また、接続部５０１、決定部５０２、転送部５０３、算出部５０４、判定部５０５、制御部５０６、分析部５０７、および、更新部５０８は、具体的には、たとえば、図４に示した記憶デバイス４０２に記憶されたプログラムをプロセッサ４０１に実行させることによりその機能を実現する。また、接続部５０１、決定部５０２、転送部５０３、算出部５０４、判定部５０５、制御部５０６、分析部５０７、および、更新部５０８の少なくとも一部は、ハードウェアにより実現することとしてもよい。

接続部５０１は、無線通信装置に第１のアドレスを割り当て、第１のアドレスに応じた第１の無線アクセス方式により、第１のアドレスが割り当てられた無線通信装置と無線通信可能に接続する。無線通信装置とは、無線アクセス方式によるセッションの確立相手となる端末１２２、１３２、１４２である。図１の例では、無線アクセス方式がＬＴＥの場合は、無線通信装置はＬＴＥ端末１２２であり、ＥＶＤＯの場合は、無線通信装置はＥＶＤＯ端末１３２であり、ＷｉＭＡＸの場合は、無線通信装置はＷｉＭＡＸ端末１４２である。接続部５０１は、無線通信装置とセッションを確立させ、通信可能な状態にする。

第１のアドレスとは、ホームエージェントの機能の一つであるアサイン機能により無線通信装置に割り当てられるＩＰアドレスである。割当方式には、動的割当と固定割当がある。動的割当は、割り当てられたＩＰアドレスの変更が可能な割当方式であり、固定割当は、変更されない固定の割当方式である。いずれの割当方式も、無線通信装置側から指定することができる。

接続部５０１は、このようなセッションの内容を、セッション情報管理テーブルを用いて管理する。セッション情報管理テーブルは、セッションごとに、そのセッションを一意に特定するＩＤと、割り当てるＩＰアドレスと、パケットを中継するコア中継装置１２０、１３０、１４０のアドレスと、割当方式（動的／固定）と、無線アクセス方式と、を記憶するテーブルである。図２の例では、たとえば、ＩＰアドレスＣが割り当てられるＷｉＭＡＸ端末１４２−１について、割り当てるＩＰアドレスがＣ、コア中継装置のアドレスがＡＳＮ−ＧＷ１４０のアドレス、割当方式が動的、無線アクセス方式がＷｉＭＡＸといった情報が１つのセッションとして管理される。

決定部５０２は、接続部５０１によって接続された第１の無線アクセス方式に従った第１の通信レートを、第１のアドレスが攻撃対象であるか否かを判定するレートしきい値Ｒｔに決定する。第１の通信レートとは、第１の無線アクセス方式に応じた通信レートに、安全率であるｎ％（０＜ｎ≦１００）を乗じた値となる。決定部５０２は、第１の無線アクセス方式に応じた通信レートは、無線アクセス方式ごとに通信レートを関連付けた対応情報を参照することにより取得する。決定部５０２は、第１の通信レートをレートしきい値Ｒｔに決定する。レートしきい値Ｒｔは、第１のアドレスが攻撃対象であるか否かを判定するしきい値である。

第１の記憶部５１０は、対応情報を記憶する。対応情報とは、無線アクセス方式ごとに通信レートを関連付けた通信レートテーブルである。

図６は、対応情報の記憶内容の一例を示す説明図である。通信レートテーブル６００は、無線アクセス方式フィールドと、帯域幅フィールドと、Ｍｕｌｔｉｐｌｅ−Ｉｎｐｕｔ ａｎｄ Ｍｕｌｔｉｐｌｅ−Ｏｕｔｐｕｔ（ＭＩＭＯ）フィールドと、下り最大通信レートフィールドと、を有し、無線アクセス方式ごとに、各フィールドの値を記憶する。

無線アクセス方式フィールドには、無線アクセス方式を特定する情報（名称や識別情報）が格納される。帯域幅フィールドには、その無線アクセス方式による帯域幅が格納される。ＭＩＭＯフィールドには、その無線アクセス方式が適用される送信側のアンテナ数と受信側のアンテナ数との組み合わせが格納される。下り最大通信レートフィールドには、その無線アクセス方式に応じた通信レートが格納される。最大通信レートフィールドの値が、第１の無線アクセス方式に応じた通信レートとして取得される。

図５に戻り、転送部５０３は、決定部５０２によって決定されたレートしきい値Ｒｔである第１の通信レートにより、第１のアドレスを宛先とする第１のパケットを受信して、第１のアドレスが割り当てられた無線通信装置に転送する。

算出部５０４は、第１のパケットの受信回数に基づいて、第１のアドレスに関する第２の通信レートＲｒを算出する。算出部５０４は、第１のアドレス宛のパケット長に受信回数を乗じて受信期間で割ることにより算出する。異なるパケット長が混在する場合には、算出部５０４は、異なるパケット長ごとに受信回数を乗じてから総和を求め、当該総和を受信期間で割ることにより通信レートＲｒを算出する。

判定部５０５は、レートしきい値Ｒｔと算出部５０４によって算出された第２の通信レートＲｒとに基づいて、第１のアドレスが攻撃対象であるか否かを判定する。たとえば、Ｒｒ＜Ｒｔの場合は、判定部５０５は、第１のアドレスが攻撃対象でないと判定し、Ｒｒ≧Ｒｔの場合は、判定部５０５は、第１のアドレスが攻撃対象であると判定する。

制御部５０６は、判定部５０５によって判定された判定結果に基づいて、転送部５０３による転送を制御する。具体的には、たとえば、第１のアドレスが動的に割り当てられたアドレスであり、かつ、判定部５０５によって第１のアドレスが攻撃対象であると判定された場合、接続部５０１は、第１の無線アクセス方式による接続を切断する。これにより、第１のアドレス宛のパケットは、無線通信装置に到達しなくなる。

また、接続部５０１は、第１のアドレスとは異なる第２のアドレスを無線通信装置に割り当て、第２のアドレスに応じた第２の無線アクセス方式により、第２のアドレスが割り当てられた無線通信装置と無線通信可能に接続する。そして、制御部５０６は、転送部５０３を制御して、第２のアドレスを宛先とする第２のパケットを受信して、第２のアドレスが割り当てられた無線通信装置に転送する。これにより、無線通信装置は、第２のアドレス宛のパケットを受信することができる。

この場合、制御部５０６は、第１のパケットを廃棄するように転送部５０３を制御することとしてもよく、また、第１のパケットを廃棄せずにバッファリングしてもよい。バッファリングする場合、分析部５０７による分析対象となる。攻撃者２００には、第１のアドレスから第２のアドレスへの割当変更はわからないため、第２のアドレスの割当後に受信される第１のアドレスを宛先とするパケットは、攻撃パケットである可能性が高い。

分析部５０７は、接続部５０１により無線通信装置に第２のアドレスが割り当てられた後に受信される第１のパケットを分析する。分析部５０７は、たとえば、受信されたパケットのＩＰアレス、パケット長、ポート番号、プロトコルなどの特徴情報を分析する。そして、分析部５０７は、分析結果を、攻撃パターンとなるパケットの特徴情報（攻撃パターン情報）として第２の記憶部５２０に格納する。

第２の記憶部５２０は、攻撃パターン情報テーブルを記憶する（図９の符号９００を参照。）。攻撃パターン情報テーブルは、攻撃パターンごとにその特徴情報を記憶するテーブルである。攻撃パターン情報テーブルは、パケットごとに、宛先ＩＰアドレスフィールド、パケット長フィールド、ポート番号フィールド、プロトコルフィールドを有し、パケットごとに各フィールドの値を有する。

宛先ＩＰアドレスフィールドには、そのパケットの宛先ＩＰアドレスが格納される。パケット長フィールドには、そのパケットのパケット長が格納される。パケット長フィールドには、そのパケットのパケット長が格納される。パケット長は、通信レートＲｒの算出に用いられる。ポート番号フィールドには、そのパケットを出力するポート番号が格納される。プロトコルフィールドには、そのパケットの通信に適用されるプロトコルを特定する情報（名称や識別情報）が格納される。

なお、分析部５０７は、すべてのフィールドの値が同一のパケットについては、件数をカウントして攻撃パターン情報として格納してもよい。また、分析部５０７は、所定件数以上の攻撃パターン情報のみを第２の記憶部５２０に格納することとしてもよい。

またこの場合、制御部５０６は、あらたな受信パケットについて、攻撃パターン情報テーブルを参照して、攻撃パターン情報と一致するか否かを判断してもよい。そして、制御部５０６は、転送部５０３を制御して、受信パケットのうち、攻撃パターン情報に該当すると判断されなかった受信パケットを、受信パケットの宛先となるアドレスが割り当てられた無線通信装置に転送することとしてもよい。また、制御部５０６は、第１のパケットのうち、攻撃パターン情報に該当すると判断された第１のパケットを廃棄することとしてもよい。これにより、転送装置５００の省メモリ化を図ることができる。

更新部５０８は、無線通信装置に割り当てられたアドレスごとの通信レートを更新する。具体的には、たとえば、更新部５０８は、無線通信装置が測定した第１の無線アクセス方式に基づく第３の通信レートを含む情報を無線通信装置から受信した場合、第１の通信レートと第３の通信レートとの差分に基づいて、第１の通信レートを第３の通信レートに更新する。たとえば、更新部５０８は、当該差分が許容範囲外の場合に、第１の通信レートを第３の通信レートに更新する。

この場合、決定部５０２は、更新部５０８による更新後の通信レートである第３の通信レートをレートしきい値Ｒｔに決定する。これにより、更新後は、第３の通信レートによりしきい値判定される。

＜ＤｏＳ／ＤＤｏＳ攻撃の検出例＞
図７は、ＰＤＮ−ＧＷ１１０を用いたＤｏＳ／ＤＤｏＳ攻撃の検出例を示す説明図である。ＰＤＮ−ＧＷ１１０は、移動体通信システム２〜４のホームエージェントとして、セッション情報管理テーブル３１０により、端末１２２、１３２、１４２に割り当てたホームアドレスと、端末１２２、１３２、１４２の位置を示すＦｏｒｅｉｇｎ Ａｇｅｎｔである基地局のアドレスと、を管理する。また、ＰＤＮ−ＧＷ１１０は、新規接続時や移動体通信システム間のハンドオーバー時に端末１２２、１３２、１４２の無線アクセス方式を識別して管理する。端末１２２、１３２、１４２の無線アクセス方式は、新規接続時とＬＴＥ、ＥＶＤＯ、ＷｉＭＡＸといった無線通信システム間ハンドオーバー時にシグナリングによりＰＤＮ−ＧＷ１１０に通知可能である。

図７の右側のシーケンス図において、例えば、ある移動体通信システム（ＬＴＥ、ＥＶＤＯ、ＷｉＭＡＸのいずれか）からＰＤＮ−ＧＷ１１０に接続する場合、標準で規定されている新規接続プロシージャの中で、移動体通信システムは、ＰＤＮ−ＧＷ１１０に接続要求を送信する（ステップＳ７１）。当該接続要求の中には、無線アクセス方式の属性を示すＲＡＴ（Ｒａｄｉｏ Ａｃｃｅｓｓ Ｔｅｃｈｎｏｌｏｇｙ）が含まれ、ＲＡＴには、ＥＶＤＯ、ＷｉＭＡＸ、ＬＴＥといった自身の移動体通信システムで採用される無線アクセス方式の識別情報が設定されているものとする。これにより、移動体通信システムは、ＰＤＮ−ＧＷ１１０に無線アクセス方式を通知することができる。

受信したＰＤＮ−ＧＷ１１０は、接続処理を実行してセッション情報管理テーブル３１０を生成する（ステップＳ７２）。つぎに、ＰＤＮ−ＧＷ１１０は、ホームアドレスとして端末にＩＰアドレスＣを割り当てるために、接続相手となる移動体通信システムに、ＩＰアドレスを含む接続応答を返す（ステップＳ７３）。

このあと、ＰＤＮ−ＧＷ１１０は、決定部５０２により、ＲＡＴで特定された無線アクセス方式で無線通信可能な通信レートであるレートしきい値を決定する（ステップＳ７４）。

図７では、たとえば、ＬＴＥではレートしきい値として１００［Ｍｂｐｓ］、ＥＶＤＯではレートしきい値として３．１［Ｍｂｐｓ］、ＷｉＭＡＸではレートしきい値として４０［Ｍｂｐｓ］が決定される。また、ＬＴＥではある端末１２２にＩＰアドレスＡが割り当てられ、ＥＶＤＯではある端末１３２にＩＰアドレスＢが割り当てられ、ＷｉＭＡＸではある端末１３２にＩＰアドレスＣが割り当てられる。

ＰＤＮ−ＧＷ１１０は、端末に割り当てたアドレス毎に受信パケットをカウントして受信レートを計算し、転送可能なレートしきい値以上であるか否かを常時監視する。ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＡのセッション情報３１１、ＩＰアドレスＢのセッション情報３１２、ＩＰアドレスＣのセッション情報３１３を管理する。移動体通信システム間ハンドオーバーが発生した場合、レートしきい値は、図７の右のシーケンスに従い、ハンドオーバー後の新しい無線アクセス方式に従い決定される。

端末１２２、１３２、１４２は、それぞれ設定されたレートしきい値以上の通信ができないため、各々のＨｏｍｅ Ａｄｄｒｅｓｓ宛の通信レートが一定時間にわたってレートしきい値以上となった場合、判定部５０５は、端末１２２、１３２、１４２に設定されたＩＰアドレスがＤｏＳ／ＤＤｏＳ攻撃を受けたと判定する。本実施例では、判定部５０５は、ＩＰアドレスＣ宛の通信レートがレートしきい値である４０［Ｍｂｐｓ］以上になったことを検知し、ＤｏＳ／ＤＤｏＳ攻撃が発生したと判定する。

ＰＤＮ−ＧＷ１１０は、ＤｏＳ／ＤＤｏＳ攻撃を検知した場合、ＤｏＳ／ＤＤｏＳ攻撃の防御処理を行うが、ＩＰアドレスの割当方式が動的割当であるか固定割当であるかによりその防御方法が異なる。動的割当とは、割り当てたＩＰアドレスを変更することが可能な割当方式であり、固定割当とは、割り当てたＩＰアドレスを変更することができない割当方式である。

＜ＤｏＳ／ＤＤｏＳ攻撃の防御例＞
図８は、ＤｏＳ／ＤＤｏＳ攻撃の防御例１を示す説明図である。図８では、ホームアドレスが動的割当の場合の防御例を示す。防御前は、大量の攻撃パケットが正常通信パケットに混ざって、ＩＰアドレスＣを持つＷｉＭＡＸ端末１４２−１に送信される。この場合、処理しきれない正常なパケットがドロップされる場合がある。

動的割当の場合、一時通信断が伴うが、ＷｉＭＡＸ端末１４２−１のＩＰアドレスが変わってもサービスは継続可能である。具体的には、あるＩＰアドレス（ここでは例としてＣ）がＤｏＳ／ＤＤｏＳ攻撃対象と判定された場合、ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＣの通信コネクションを切断するプロシージャ４１１を実施する（ステップＳ８１）。ＰＤＮ−ＧＷ１１０、または、ホームエージェント機能主導のコネクション切断プロシージャは、各無線通信システムにおいて標準で規定されている。

通常、その後ＷｉＭＡＸ端末１４２−１は、自動的に再接続要求を行う（ステップＳ８２）。具体的には、各無線通信システムにおいて標準で規定されている新規接続プロシージャの中でＰＤＮ−ＧＷ１１０宛に再接続要求４１２が送信される。ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＣと異なるＩＰアドレスＤをＷｉＭＡＸ端末１４２に割り当て（ステップＳ８３）、再接続応答を返信する（ステップＳ８４）。この後、ＷｉＭＡＸ端末１４２−１は、新しいＩＰアドレスＤを使用してサーバ１５０にアクセスすることになり、ＩＰアドレスＣへの攻撃の影響を受けることがない。

ＰＤＮ−ＧＷ１１０はＩＰアドレスＣを保留し、他の端末１２２、１３２、１４２にアサインしないようにする。ＰＤＮ−ＧＷ１１０は、管理するＩＰアドレスにのみパケットを転送するため、ＩＰアドレスＣへの攻撃パケットはＰＤＮ−ＧＷ１１０止まりで廃棄され、無線通信システム内へ転送されることはない。

ＩＰアドレスＣは攻撃停止後あるいは一定時間経過後に保留を解除し、再び他の端末１２２、１３２、１４２に割当可能な状態にしてもよい。

このように、攻撃されたＩＰアドレスを閉塞後、該当ＩＰアドレス宛のパケットが相変わらずホームエージェントまでルーティングされるが、端末１２２、１３２、１４２に割り当てていないＩＰアドレスへのパケットはホームエージェントが移動体通信システム２〜４内へ転送しない。したがって、移動体通信システム２〜４内の装置及び回線をＤｏＳ／ＤＤｏＳ攻撃から守ることができる。

図９は、図８の防御例において、攻撃パケットを活用した攻撃パターンの分析方法を示す説明図である。ＤｏＳ／ＤＤｏＳ攻撃を受けた動的割当のＷｉＭＡＸ端末１４２を切断・再接続後、ＩＰアドレスＣを持つ端末が存在しなくなるため、ＩＰアドレスＣ宛のパケットはすべて攻撃パケットとなる。分析部５０７が、ＩＰアドレスＣ宛のパケットを分析することにより、攻撃パターンを検出することができる。分析部５０７は、ＰＤＮ−ＧＷ１１０の中に内蔵してもよいし、独立した外部装置で実現してもよい。

ＰＤＮ−ＧＷ１１０は動的割当のＷｉＭＡＸ端末１４２−１の防御処理を行った後、分析部５０７に分析開始指示メッセージ５１１を送信する。分析部５０７は、分析開始応答メッセージをＰＤＮ−ＧＷ１１０に送信する（ステップＳ９２）。その後ＰＤＮ−ＧＷ１１０はアドレスＣ宛のパケットを分析部５０７に転送して、分析部５０７は、分析処理を実行する（ステップＳ９３）。

分析部５０７は、分析処理（ステップＳ９３）において、ＩＰアドレスＣ宛のパケットを廃棄せずに、バッファリングする（ステップＳ９３１）。そして、分析部５０７は、バッファリングされたパケットごとに、ＩＰアドレス解析（ステップＳ９３２）、パケット長解析（ステップＳ９３３）、ポート番号解析（ステップＳ９３４）、および、プロトコル解析（ステップＳ９３５）を実行して、解析した送信元ＩＰアドレス、パケット長、ＴＣＰ／ＵＤＰのポート番号、および、ＩＰの上位プロトコルの組み合わせを攻撃パターン情報として攻撃パターン情報テーブル９００に保持する。また、異なるパケットで解析結果が同一である場合は、分析部５０７は、同一の攻撃パターン情報として攻撃パターン情報テーブル９００に保持し、件数を計数する。

ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＣ宛のパケットが受信されなくなると、攻撃終了と判断し、分析部５０７に分析停止指示メッセージを送信する（ステップＳ９４）。分析部５０７は、分析停止指示メッセージに応答して、分析処理を終了する（ステップＳ９５）。

このように、攻撃対象のＩＰアドレス宛の攻撃パケットを破棄せず、分析部５０７により分析することでＤｏＳ／ＤＤｏＳ攻撃の攻撃パターンを特定することができる。

図１０は、ＤｏＳ／ＤＤｏＳ攻撃の防御例２を示す説明図である。図１０では、ホームアドレスが固定割当の場合の防御例を示す。固定割当の場合、端末１２２、１３２、１４２のＩＰアドレスを変更できないため、ＰＤＮ−ＧＷ１１０は、制御部５０６のフィルタリング処理によりパケットのフィルタリングを実施することになる。

ＰＤＮ−ＧＷ１１０が、たとえば、ＩＰアドレスＣへのＤｏＳ／ＤＤｏＳ攻撃を検知すると、制御部５０６にフィルタリング開始指示メッセージを送信する（ステップＳ１０１）。フィルタリング開始指示メッセージには端末１２２、１３２、１４２のＩＰアドレスＣなどのセッション情報とレートしきい値が含まれる。制御部５０６がフィルタリング開始応答すると（ステップＳ１０２）、ＰＤＮ−ＧＷ１１０は、ＩＰアドレスＣ宛のすべてのパケットを制御部５０６にリダイレクトし、制御部５０６は、フィルタリングを実行する（ステップＳ１０３）。制御部５０６のフィルタリング処理（ステップＳ１０３）には、一次フィルタリング処理（ステップＳ１０３１）、パケット分析フィルタリング処理（ステップＳ１０３２）、および、レート制限処理（ステップＳ１０３３）がある。

一次フィルタリング処理（ステップＳ１０３１）は、分析部５０７に蓄積された攻撃パターン情報５４０を定期的に取得し、取得した攻撃パターン情報５４０に基づきフィルタリング処理を実行する。すなわち、一次フィルタリング処理（ステップＳ１０３１）では、攻撃パターン情報に一致するパケットが廃棄される。

一次フィルタリング処理（ステップＳ１０３１）においてパケットの通信レートがレートしきい値を下回らない場合、一次フィルタリング失敗と判断する。この場合、制御部５０６は、パケット分析フィルタリング処理（ステップＳ１０３２）により、図９に示したＩＰアドレス解析（ステップＳ９３２）、パケット長解析（ステップＳ９３３）、ポート番号解析（ステップＳ９３４）、および、プロトコル解析（ステップＳ９３５）を実行して、解析した送信元ＩＰアドレス、パケット長、ＴＣＰ／ＵＤＰのポート番号、および、ＩＰの上位プロトコルを攻撃パターン情報として保持する。

一方、一次フィルタリング処理（ステップＳ１０３１）においてパケットの通信レートがレートしきい値を下回った場合、一次フィルタリング成功となり、パケット分析フィルタリング処理（ステップＳ１０３２）、および、レート制限処理（ステップＳ１０３３）を実行することなく、制御部５０６は転送部５０３によりパケットを転送する。

パケット分析フィルタリング処理（ステップＳ１０３２）後でも通信レートがレートしきい値を下回らない場合、パケット分析フィルタリング失敗と判断し、制御部５０６は、レート制限処理（ステップＳ１０３３）により、強制的にポリシングでレート制限を実施する（ステップＳ１０３３）。制限する通信レートはレートしきい値と同様に無線アクセス方式を考慮した値となる（例えば、制限レート＝レートしきい値×ｎ％。ただし、０＜ｎ≦１００）。そして、制御部５０６は、レート制限処理（ステップＳ１０３３）による制限レートを下回るパケットをＩＰアドレスＣが割り当てられたＷｉＭＡＸ端末１４２−１に転送する。

ＰＤＮ−ＧＷ１１０はＩＰアドレスＣへのトラフィックを継続監視し、攻撃終了と判断した場合、制御部５０６にフィルタリング停止指示メッセージを送信する（ステップＳ１０４）。制御部５０６は、フィルタリング停止指示メッセージに応答して、フィルタリング処理を終了する（ステップＳ１０５）。フィルタリング処理（ステップＳ１０３）は、ＰＤＮ−ＧＷ１１０内で実行してもよいし、独立した装置で実行してもよい。固定割当の端末の防御方法では、移動体通信システム２〜４内のコア中継装置１２０、１３０、１４０、基地局１２１、１３１、１４１、他の端末１２２、１３２、１４２への影響を抑制することができる。

このように、端末１２２、１３２、１４２のＩＰアドレスが固定で割り当てられた場合は変更できないため、ホームエージェントはフィルタリング処理（ステップＳ１０３）を実施することにより、通信システム内へ転送するパケット数を処理可能な量まで減らし、移動体通信システムをＤｏＳ／ＤＤｏＳ攻撃から防御することができる。また、フィルタリングする際に、分析部５０７にて分析された攻撃パターン情報を利用することもできる。

＜レートしきい値の更新例＞
つぎに、レートしきい値の更新例について説明する。上述した例では、レートしきい値は、図６に示した通信レートテーブル６００を参照して取得した下り最大通信レートに安全率を乗じた値である。これに対し、更新部８０８は、ＰＤＮ−ＧＷ１１０が決定した初期のレートしきい値や更新後のレートしきい値を、端末からの正常時の通信レートの通知を受けることにより更新する。

図１１は、実施例２にかかるレートしきい値の決定例を示す説明図である。ＰＤＮ−ＧＷ１１０はセッション情報管理テーブル３１０にて、端末１２２、１３２、１４２の正常な通信レートを常に管理する。ＰＤＮ−ＧＷ１１０はバーストを考慮し、通常な通信レートに安全率を示す係数ｎ％を乗じてＤｏＳ／ＤＤｏＳ攻撃を判別するためのレートしきい値として転送部５０３に通知する。図９では、ＷｉＭＡＸを例にあげて説明するが、ＬＥＴ、ＥＶＤＯでも同様である。

ＷｉＭＡＸ端末１４２は、常時自身の通信レートを測定し、通信可能な正常な通信レートをＰＤＮ−ＧＷ１１０に正常通信レート報告メッセージで通知する（ステップＳ１１１）。ＰＤＮ−ＧＷ１１０は正常通信レート報告メッセージに応答する（ステップＳ１１２）。

ＷｉＭＡＸ端末１４２は、移動などにより無線環境が変化し、正常な通信レートがあらかじめ設定された変動範囲外になった場合、当該変化を検知する（ステップＳ１１４）。そして、端末は、変化後の正常通信レートを含む正常通信レート報告を、ＰＤＮ−ＧＷ１１０に通知する（ステップＳ１１５）。ＰＤＮ−ＧＷ１１０は、更新部５０８により、セッション情報管理テーブル３１０における該当端末の正常通信レートを更新し（ステップＳ１１６）、正常通信レート報告に応答する（ステップＳ１１７）。

このように、端末１２２、１３２、１４２側からの通常通信レート報告をトリガにしてレートしきい値を更新することにより、レートしきい値を動的に変更することができ、無線状況に応じて円滑な通信を行うことが可能となる。

以上説明したように、本実施例は、移動体通信システム２〜４内の端末１２２、１３２、１４２に割り当てたＩＰアドレスへのＤｏＳ／ＤＤｏＳ攻撃の判定基準となるレートしきい値を、移動体通信システム２〜４の無線アクセス方式に応じて決定する。これにより、移動体通信システム２〜４内の端末１２２、１３２、１４２へのＤｏＳ／ＤＤｏＳ攻撃の検出を移動体通信システム２〜４の前段にて容易に実行することができる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１ 無線通信システム
２ 移動体通信システム（ＬＴＥ）
３ 移動体通信システム（ＥＶＤＯ）
４ 移動体通信システム（ＷｉＭＡＸ）
５００ 転送装置
５０１ 接続部
５０２ 決定部
５０３ 転送部
５０４ 算出部
５０５ 判定部
５０６ 制御部
５０７ 分析部
５０８ 更新部
５１０ 第１の記憶部
５２０ 第２の記憶部

Claims (12)

1. 無線通信装置に第１のアドレスを割り当て、前記第１のアドレスに応じた第１の無線アクセス方式により、前記第１のアドレスが割り当てられた前記無線通信装置と無線通信可能に接続する接続部と、
   前記接続部によって接続された第１の無線アクセス方式に従った第１の通信レートを、前記第１のアドレスが攻撃対象であるか否かを判定するしきい値に決定する決定部と、
   前記決定部によって決定されたしきい値である前記第１の通信レートにより、前記第１のアドレスを宛先とする第１のパケットを受信して、前記第１のアドレスが割り当てられた前記無線通信装置に転送する転送部と、
   を有することを特徴とする転送装置。
2. 無線アクセス方式ごとに通信レートを関連付けた対応情報を記憶する記憶部を有し、
   前記決定部は、前記対応情報を参照することにより、前記第１の通信レートを前記しきい値に決定することを特徴とする請求項１に記載の転送装置。
3. 前記第１のパケットの受信回数に基づいて、前記第１のアドレスに関する第２の通信レートを算出する算出部と、
   前記しきい値と前記算出部によって算出された第２の通信レートとに基づいて、前記第１のアドレスが攻撃対象であるか否かを判定する判定部と、
   前記判定部によって判定された判定結果に基づいて、前記転送部による転送を制御する制御部と、
   を有することを特徴とする請求項１に記載の転送装置。
4. 前記接続部は、前記第１のアドレスが動的に変更可能なアドレスであり、かつ、前記判定部によって前記第１のアドレスが攻撃対象であると判定された場合、前記第１の無線アクセス方式による接続を切断するとともに、前記第１のアドレスとは異なる第２のアドレスを前記無線通信装置に割り当て、前記第２のアドレスに応じた第２の無線アクセス方式により、前記第２のアドレスが割り当てられた前記無線通信装置と無線通信可能に接続し、
   前記制御部は、前記転送部を制御して、前記第２のアドレス宛先とする第２のパケットを受信して、前記第２のアドレスが割り当てられた前記無線通信装置に転送することを特徴とする請求項３に記載の転送装置。
5. 前記制御部は、前記第１のパケットを廃棄するように制御することを特徴とする請求項４に記載の転送装置。
6. 前記接続部により前記無線通信装置に前記第２のアドレスが割り当てられた後に受信される前記第１のパケットを分析し、分析結果を攻撃パターンとなるパケットの特徴情報として格納する分析部を有することを特徴とする請求項４に記載の転送装置。
7. 前記攻撃パターンとなるパケットの特徴情報を記憶する記憶部を有し、
   前記制御部は、前記転送部を制御して、前記受信パケットのうち、前記特徴情報を参照して前記攻撃パターンに該当すると判断されなかった前記受信パケットを、前記受信パケットの宛先となるアドレスが割り当てられた無線通信装置に転送することを特徴とする請求項６に記載の転送装置。
8. 攻撃パターンとなるパケットの特徴情報を記憶する記憶部と、
   前記制御部は、前記転送部を制御して、前記第１のパケットのうち、前記特徴情報を参照して前記攻撃パターンに該当すると判断されなかった前記第１のパケットを、前記第１のアドレスが割り当てられた前記無線通信装置に転送することを特徴とする請求項１に記載の転送装置。
9. 前記制御部は、前記第１のパケットのうち、前記分析部によって前記攻撃パターンに該当すると判断された前記第１のパケットを廃棄することを特徴とする請求項８に記載の転送装置。
10. アドレスごとの通信レートを更新する更新部を有し、
    前記更新部は、前記無線通信装置が測定した前記第１の無線アクセス方式による第３の通信レートを含む情報を前記無線通信装置から受信した場合、前記第１の通信レートと前記第３の通信レートとの差分に基づいて、前記第１の通信レートを前記第３の通信レートに更新し、
    前記決定部は、前記更新部による更新後の通信レートである前記第３の通信レートを前記しきい値に決定することを特徴とする請求項１に記載の転送装置。
11. 受信したパケットを転送する転送装置による転送方法であって、
    前記転送装置は、
    無線通信装置に第１のアドレスを割り当て、前記第１のアドレスに応じた第１の無線アクセス方式により、前記第１のアドレスが割り当てられた前記無線通信装置と無線通信可能に接続する接続処理と、
    前記接続処理によって接続された第１の無線アクセス方式に従った第１の通信レートを、前記第１のアドレスが攻撃対象であるか否かを判定するしきい値に決定する決定処理と、
    前記決定処理によって決定されたしきい値である前記第１の通信レートにより、前記第１のアドレスを宛先とする第１のパケットを受信して、前記第１のアドレスが割り当てられた前記無線通信装置に転送する転送処理と、
    を実行することを特徴とする転送方法。
12. 受信したパケットを転送する転送装置のメモリに格納された転送プログラムであって、
    前記転送装置内のプロセッサに、
    無線通信装置に第１のアドレスを割り当て、前記第１のアドレスに応じた第１の無線アクセス方式により、前記第１のアドレスが割り当てられた前記無線通信装置と無線通信可能に接続する接続処理と、
    前記接続処理によって接続された第１の無線アクセス方式に従った第１の通信レートを、前記第１のアドレスが攻撃対象であるか否かを判定するしきい値に決定する決定処理と、
    前記決定処理によって決定されたしきい値である前記第１の通信レートにより、前記第１のアドレスを宛先とする第１のパケットを受信して、前記第１のアドレスが割り当てられた前記無線通信装置に転送する転送処理と、
    を実行させることを特徴とする転送プログラム。