JP2018037835A

JP2018037835A - 攻撃判定装置および攻撃判定方法

Info

Publication number: JP2018037835A
Application number: JP2016169098A
Authority: JP
Inventors: 伊知郎工藤; Ichiro Kudo; 昭徳鈴木; Akinori Suzuki; 勝彦阪井; Katsuhiko Sakai; 裕平林; Yuhei Hayashi
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2016-08-31
Filing date: 2016-08-31
Publication date: 2018-03-08
Anticipated expiration: 2036-08-31
Also published as: JP6542726B2

Abstract

【課題】ネットワークの規模が大きくなった場合であってもリフレクション攻撃を適切に防止すること。【解決手段】攻撃判定装置１０は、複数の中継装置から各中継装置が廃棄したパケットの情報を取得し、各中継装置から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する。そして、攻撃判定装置１０は、リフレクション攻撃の予兆があると判定した場合には、取得したパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定し、特定された転送装置に対して、攻撃対象の装置への攻撃パケットを遮断する指示を通知する。【選択図】図４

Description

本発明は、攻撃判定装置および攻撃判定方法に関する。

近年、ＤＮＳ（Domain Name System）やＮＴＰ（Network Time Protocol）、ＳＳＤＰ（Simple Service Discovery Protocol）などのプロトコルの特性を利用し脆弱性のあるサーバを反射サーバとして特定ホストやデータセンタを攻撃するリフレクション攻撃が増加している。

リフレクション攻撃とは、攻撃パケットにおいて送信元アドレスを詐称して攻撃ターゲットとなるＩＰアドレスを設定し、宛先アドレスは反射してパケットサイズを増幅させる脆弱性のあるサーバ（例えば、ＤＮＳサーバ）を設定して、複数のボットを制御し攻撃を行うというものである。

このようなリフレクション攻撃防止のためルータ等の転送装置にてｕＲＰＦ（unicast Reverse Path Forwarding）による送信元ＩＰアドレス詐称防止フィルタの適用はキャリアネットワークやＩＳＰ（Internet Service Provider）で導入が進んでいる。これは転送装置において送信元ＩＰアドレスを詐称したパケットを廃棄し、ネットワーク内部に流入させないシステムである。通常は設定誤り防止（加入者等が間違った送信元ＩＰアドレスで通信を試みないようにすること）のためのシステムだが、これは送信元ＩＰアドレスを詐称して攻撃を行うリフレクション攻撃の防止にもつながっている。

"「ｕＲＰＦ」技術についてのご説明資料"、株式会社ＵＣＯＭ、［online］、［平成２８年８月９日検索］、インターネット＜http://www.ucom.ne.jp/enterprise/entrance/uRPF_explanation.pdf＞ "オープンリゾルバ(Open Resolver)に対する注意喚起"、一般社団法人日本ネットワークインフォメーションセンター、［online］、［平成２８年８月９日検索］、インターネット＜https://www.nic.ad.jp/ja/dns/openresolver/＞ Matsuzaki ‘maz’ Yoshinobu、"BCP38"、［online］、［平成２８年８月９日検索］、インターネット＜http://www.janog.gr.jp/meeting/janog31.5/doc/janog31.5_dns-open-resolver-maz.pdf＞

しかしながら、従来の技術では、さまざまな経路があるキャリアネットワークやＩＳＰではすべてのルートで送信元ＩＰアドレス詐称防止フィルタを適用することが難しい場合があった。

例えば、ネットワークの規模が大きくなった場合にすべてのルータに送信元ＩＰアドレス詐称防止フィルタを適用できない場合がある。また、複数ネットワークが複雑に接続された場合には、送信元アドレス偽装を見分ける技術を適用することが難しいため、送信元アドレス詐称を防ぐことが出来ず、リフレクション攻撃の発生を許してしまう。

上述した課題を解決し、目的を達成するために、本発明の攻撃判定装置は、複数の中継装置から各中継装置が廃棄したパケットの情報を取得する取得部と、前記取得部によって各中継装置から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する判定部と、前記判定部によってリフレクション攻撃の予兆があると判定された場合には、前記取得部によって取得されたパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定する特定部と、前記特定部によって特定された転送装置に対して、前記攻撃対象の装置への攻撃パケットを遮断する指示を通知する指示部とを有することを特徴とする。

また、本発明の攻撃判定方法は、攻撃判定装置によって実行される攻撃判定方法であって、複数の中継装置から各中継装置が廃棄したパケットの情報を取得する取得工程と、前記取得工程によって各中継装置から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する判定工程と、前記判定工程によってリフレクション攻撃の予兆があると判定された場合には、前記取得工程によって取得されたパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定する特定工程と、前記特定工程によって特定された転送装置に対して、前記攻撃対象の装置への攻撃パケットを遮断する指示を通知する指示工程とを含んだことを特徴とする。

本発明によれば、ネットワークの規模が大きくなった場合であってもリフレクション攻撃を適切に防止することができるという効果を奏する。

図１は、第一の実施の形態に係る通信システムの概要を示す構成図である。図２は、リフレクション攻撃について説明する図である。図３は、ルータによるリフレクション攻撃に対する対策を説明する図である。図４は、第一の実施の形態に係る攻撃判定装置の構成を示すブロック図である。図５は、パケット情報記憶部に記憶される情報の一例を示す図である。図６は、攻撃判定装置による防御処理を説明する図である。図７は、防御ポイントの転送装置の動作の概要を示す図である。図８は、第一の実施の形態に係る攻撃判定装置における防御処理の流れを示すフローチャートである。図９は、防御プログラムを実行するコンピュータを示す図である。

以下に、本願に係る攻撃判定装置および攻撃判定方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る攻撃判定装置および攻撃判定方法が限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る通信システムの構成、攻撃判定装置１０の構成、攻撃判定装置１０の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［通信システムの構成］
まず、図１を用いて、攻撃判定装置１０を含む通信システムの構成を説明する。図１は、第一の実施の形態に係る通信システムの概要を示す構成図である。図１に示すように、第一の実施の形態に係る通信システムは、攻撃判定装置１０、複数のエッジルータ２０、ＧＷ（Gateway）ルータ３０、複数のＣＰＥ（Customer Premises Equipment）４０、複数のＰＣ（Personal Computer）５０、サーバ収容ルータ６０、ホスティングサーバ７０、キャリアＮＷ（Network）８０、他社ＮＷ９０およびＤＣ（Data Center）１００を有する。

攻撃判定装置１０は、送信元ＩＰアドレス詐称防止フィルタで廃棄されたパケットの情報をエッジルータ２０およびＧＷルータ３０から取得する。そして、攻撃判定装置１０は、取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する。そして、攻撃判定装置１０は、リフレクション攻撃の予兆があると判定された場合には、パケットの情報から攻撃対象の装置として、例えば、ＤＣ１００のホスティングサーバ７０を特定する。この場合に、攻撃判定装置１０は、該攻撃対象の装置に最も近い転送装置として、例えば、サーバ収容ルータ６０を特定し、サーバ収容ルータ６０に対して、攻撃対象の装置への攻撃パケットを遮断する指示を通知する。

各エッジルータ２０は、ＣＰＥ４０やＰＣ５０とキャリアＮＷ８０に接続された中継装置であって、ｕＲＰＦ（unicast Reverse Path Forwarding）による送信元ＩＰアドレス詐称防止フィルタが適用された中継装置である。また、ＧＷルータ３０は、キャリアＮＷ８０と他社ＮＷ９０に接続された中継装置であって、ＩＰＳｐｏｏｆｉｎｇによる送信元ＩＰアドレス詐称防止フィルタが適用された中継装置である。

各エッジルータ２０およびＧＷルータ３０は、送信元ＩＰアドレス詐称防止フィルタにより廃棄したパケットの情報として、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート、送信先ポート及び通信プロトコルを含む５ｔｕｐｌｅ情報とユーザを識別するユーザ識別子の情報とを送信する。なお、送信するタイミングは、例えば、攻撃判定装置１０から要求されたタイミングであってもよいし、所定の時間ごとに定期的に送信してもよいし、所定の条件を満たした場合に送信するようにしてもよい。なお、図１では、図示を省略しているが、第一の実施の形態に係る通信システムでは、送信元ＩＰアドレス詐称防止フィルタが適用されていないルータも存在するものとする。

サーバ収容ルータ６０は、攻撃対象のホスティングサーバ７０の直近に設けられた中継装置であり、特定のパケットの通過を遮断する機能を有する。例えば、サーバ収容ルータ６０は、攻撃判定装置１０から特定のパケットを遮断する指示を受け付けると、指示に従って特定のパケットの通過を遮断する。

また、図１の例では、他社ＮＷ９０からリフレクション攻撃が行われているものとする。ここで、図２を用いて、リフレクション攻撃について説明する。図２は、リフレクション攻撃について説明する図である。図２に示すように、他社ＮＷ９０の端末が攻撃パケットを送信する。この攻撃パケットでは、送信元アドレス（ＳｒｃＩＰ）を詐称し攻撃ターゲットとなるＩＰアドレスが設定され、宛先アドレス（ＤｓｔＩＰ）は反射してパケットサイズを増幅させる脆弱性のある反射サーバ１１０が設定されている。このようなリフレクション攻撃は、例えば、複数のボットを制御することで攻撃が行われる。

このようなリフレクション攻撃に対する対策としてルータにより送信元アドレスを詐称したパケットの流入を防ぐ対策がある。ここで、図３を用いて、ルータによるリフレクション攻撃に対する対策を説明する。図３は、ルータによるリフレクション攻撃に対する対策を説明する図である。図３に示すように、エッジルータ２０にはｕＲＰＦが適用され、ＧＷルータ３０にはＩＰＳｐｏｏｆｉｎｇが適用されている。このように、各ルータ２０、３０には、送信元ＩＰアドレス詐称防止フィルタが適用され、ルーチングテーブルの情報とパケットの入力ポートの情報等を用いて送信元アドレス偽装パケットを廃棄する。これらの仕組みをユーザを収容するエッジルータ２０や他社ＮＷ９０との境界にあるＧＷルータ３０に適用することで送信元アドレスを詐称したパケットの流入を防ぐ。

ただし、送信元ＩＰアドレス詐称防止フィルタが適用されていないルータも存在するため、ルータのみで全ての送信元アドレス詐称を防ぐことができないためリフレクション攻撃を完全に防止することができず、リフレクション攻撃の発生を許してしまう。そこで、第一の実施の形態に係る通信システムでは、攻撃判定装置１０が、各ルータ２０、３０から取得したパケットの情報を基にリフレクション攻撃の予兆を判定し、攻撃対象の直近の中継装置に攻撃パケットの遮断を指示することで、送信元ＩＰアドレス詐称防止フィルタ等でのリフレクション攻撃を防止できなくてもターゲットとなったシステムでのサービス停止を予防することが可能となる。

［攻撃判定装置の構成］
次に、図４を用いて、攻撃判定装置１０の構成を説明する。図４は、第一の実施の形態に係る攻撃判定装置の構成を示すブロック図である。図４に示すように、この攻撃判定装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。

通信処理部１１は、接続される各ルータ２０、３０、６０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、エッジルータ２０およびＧＷルータ３０から廃棄したパケットの情報を受信する。

また、記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、パケット情報記憶部１３ａを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

パケット情報記憶部１３ａは、複数のエッジルータ２０およびＧＷルータ３０が廃棄したパケットの情報を記憶する。例えば、パケット情報記憶部１３ａは、図５に例示するように、廃棄されたパケットの情報の５ｔｕｐｌｅ情報に含まれる「送信元ＩＰアドレス」、「送信先ＩＰアドレス」、「送信元ポート」、「送信先ポート」及び「通信プロトコル」と、５ｔｕｐｌｅ情報を送信したルータのＩＰアドレスである「転送装置ＩＰアドレス」と、ユーザを識別する「ユーザ識別子」とを記憶する。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１２ａ、判定部１２ｂ、特定部１２ｃ、指示部１２ｄおよび解除部１２ｅを有する。ここで、制御部１２は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

取得部１２ａは、複数のエッジルータ２０およびＧＷルータ３０から各ルータ２０、３０が廃棄したパケットの情報を取得する。例えば、取得部１２ａは、パケットの情報として、各中継装置が廃棄したパケットの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート、送信先ポート及び通信プロトコルを含む５ｔｕｐｌｅ情報とともに、ユーザ識別子の情報および送信元のルータのＩＰアドレスも取得する。そして、取得部１２ａは、取得した情報をパケット情報記憶部１３ａに格納する。なお、取得部１２ａは、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート、送信先ポート及び通信プロトコルの全てを取得せずに、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス及び通信プロトコルのみを取得するようにしてもよい。

判定部１２ｂは、取得部１２ａによって各ルータ２０、３０から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する。例えば、判定部１２ｂは、取得部１２ａによって取得されたパケットの情報をパケット情報記憶部１３ａから読み出し、読み出されたパケット情報のうち、送信元ＩＰアドレス、送信先ＩＰアドレスおよび通信プロトコルが同一であって、且つ、複数の中継装置によって廃棄されたパケットの情報がある場合には、リフレクション攻撃の予兆があるものと判定する。

例えば、図５の例を用いて説明すると、判定部１２ｂは、送信元ＩＰアドレス「ＩＰアドレスＡ」、送信先ＩＰアドレス「ＩＰアドレスＢ」および通信プロトコル「プロトコルＡ」が同じ送信元ＩＰアドレス詐称パケットが異なるルータで検知されている場合には、リフレクション攻撃の予兆があると判定する。なお、送信元ＩＰアドレス、送信先ＩＰアドレスおよび通信プロトコルが同一のパケットが二つ以上ある場合にリフレクション攻撃の予兆があるものと判定してもよいし、ある所定数以上ある場合にリフレクション攻撃の予兆があるものと判定してもよい。

また、判定部１２ｂは、判定の手法として、パケットの情報として、送信元ＩＰアドレス、送信先ＩＰアドレスおよび通信プロトコルを基にリフレクション攻撃の予兆を判定する方法に限られるものではなく、例えば、送信元ＩＰアドレスが同一であって、且つ、複数の中継装置によって廃棄されたパケットの情報がある場合には、リフレクション攻撃の予兆があるものと判定するようにしてもよい。

特定部１２ｃは、判定部１２ｂによってリフレクション攻撃の予兆があると判定された場合には、取得部１２ａによって取得されたパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定する。

具体的には、特定部１２ｃは、取得部１２ａによって取得されたパケットの情報のうち、送信先ＩＰアドレス、送信元ＩＰアドレスおよび通信プロトコルが同一のものが複数ある場合には、該通信プロトコルを攻撃プロトコルと特定するとともに、該送信元ＩＰアドレスの装置を攻撃対象の装置と特定する。

例えば、特定部１２ｃは、判定部１２ｂから判定結果を取得し、判定部１２ｂによってリフレクション攻撃の予兆があると判定された場合には、取得部１２ａによって取得されたパケットの情報から攻撃対象の装置として、ホスティングサーバ７０を特定し、該攻撃対象の装置に最も近い転送装置として、サーバ収容ルータ６０を特定する。なお、特定部１２ｃは、攻撃対象に最も近い転送装置を特定する方法として、例えば、パケットの通信経路を示す経路情報から最もホスティングサーバ７０に近いルータとして、サーバ収容ルータ６０を特定するようにしてもよいし、ユーザの指示に基づいて特定するようにしてもよい。

指示部１２ｄは、特定部１２ｃによって特定された転送装置に対して、攻撃対象の装置への攻撃パケットを遮断する指示を通知する。例えば、指示部１２ｄは、特定部１２ｃによって特定された攻撃対象の装置のＩＰアドレスが送信先ＩＰアドレスであって、且つ、攻撃プロトコルが通信プロトコルであるパケットを攻撃パケットとして遮断するように指示する。

また、指示部１２ｄは、特定部１２ｃによって特定された転送装置がステートフルＦ／Ｗ（Firewall）の機能を有する転送装置に対して、攻撃対象の装置から送信された通信および該通信の応答についてはステートフルファイアウォールの機能を経由して通信を行うことを指示する。

解除部１２ｅは、指示部１２ｄによって攻撃対象の装置への攻撃パケットを遮断する指示が転送装置に対して行われた後に、判定部１２ｂによってリフレクション攻撃の予兆があると判定された際のパケットの情報と同様のパケットの情報を所定の期間に受信しなかった場合には、転送装置に対して指示を解除する。

例えば、解除部１２ｅは、攻撃対象の装置であるホスティングサーバ７０への攻撃パケットを遮断する指示を通知した後、リフレクション攻撃の予兆があると判定された際のパケットの情報と送信元ＩＰアドレス、送信先ＩＰアドレスおよび通信プロトコルが同じパケットの情報を１時間経過しても受信しなかった場合には、ホスティングサーバ７０に対して指示を解除する。なお、パケットの情報を１時間以内に受信した場合には、タイマを更新するとともに、サーバ収容ルータ６０に対して指示の継続を指示するようにしてもよい。

ここで、図６を用いて、攻撃判定装置１０による防御処理の一例を説明する。図６は、攻撃判定装置による防御処理を説明する図である。図６に例示するように、攻撃判定装置１０は、送信元ＩＰアドレス詐称防止フィルタで廃棄されたパケットの情報をエッジルータ２０およびＧＷルータ３０から定期的に取得する（図６の（１）参照）。

そして、攻撃判定装置１０は、取得したパケットの情報を分析し、複数のルータまたは異なるユーザから同様の偽装がなされたパケット情報を受信した場合には、リフレクション攻撃の予兆があると判定する（図６の（２）参照）。例えば、攻撃判定装置１０は、送信元ＩＰアドレス、送信先ＩＰアドレスおよび通信プロトコルが同一であって、且つ、複数の中継装置によって廃棄されたパケットの情報がある場合には、リフレクション攻撃の予兆があるものと判定する。

続いて、攻撃判定装置１０は、リフレクション攻撃の予兆があると判定した場合には、取得したパケットの情報から攻撃対象のホスティングサーバ７０を特定し、該ホスティングサーバ７０に最も近いサーバ収容ルータ６０を特定する。そして、攻撃判定装置１０は、サーバ収容ルータ６０に対して攻撃対象のホスティングサーバ７０のＩＰアドレスと攻撃プロトコルを通知し、該ＩＰアドレス宛のパケットであって、該攻撃プロトコルが通信プロトコルであるパケットを攻撃パケットとして遮断するように指示する（図６の（３）参照）。

また、攻撃判定装置１０の指示部１２ｄは、ターゲットとなるサーバからの攻撃対象プロトコルの通信をステートフルＦ／Ｗを経由して通信するように変更してもよい。これにより、ホスティングサーバ７０以外からの攻撃対象プロトコル通信は遮断し、ホスティングサーバ７０側からの通信及びその応答はステートフルＦ／Ｗを経由して通信を行う。

ここで、図７を用いて、攻撃判定装置１０により攻撃パケットの遮断を指示された防御ポイントの転送装置であるサーバ収容ルータ６０の動作の概要を説明する。図７は、防御ポイントの転送装置の動作の概要を示す図である。サーバ収容ルータ６０は、攻撃プロトコル以外の通信はすべて双方向通信可能とする（図７の（Ａ）参照）。また、サーバ収容ルータ６０は、攻撃対象のホスティングサーバ７０宛ての通信であって、且つ、攻撃プロトコルのパケットについては廃棄する（図７の（Ｂ）参照）。また、サーバ収容ルータ６０は、ホスティングサーバ７０から送信される攻撃プロトコルのパケットの通信についてはステートフルＦ／Ｗ機能を通して行き帰りの通信を管理することで双方向通信を実現する（図７の（Ｃ）参照）。

［攻撃判定装置の処理の一例］
次に、図８を用いて、攻撃判定装置１０における防御処理の流れを説明する。図８は、第一の実施の形態に係る攻撃判定装置における防御処理の流れを示すフローチャートである。

図８に示すように、攻撃判定装置１０の取得部１２ａは、各ルータ２０、３０から廃棄したパケットの情報を取得する（ステップＳ１０１）。そして、判定部１２ｂは、取得したパケットの情報を分析し（ステップＳ１０２）、リフレクション攻撃があるか判定する（ステップＳ１０３）。具体的には、判定部１２ｂは、取得されたパケットの情報のうち、送信先ＩＰアドレス、送信元ＩＰアドレスおよび通信プロトコルが同一のものが複数ある場合には、該通信プロトコルを攻撃プロトコルと特定する。

この結果、リフレクション攻撃がないと判定された場合には（ステップＳ１０３否定）、ステップＳ１０１の処理に戻る。また、特定部１２ｃは、リフレクション攻撃があると判定された場合には（ステップＳ１０３肯定）、取得したパケットの情報の送信元ＩＰアドレスからターゲットとなるサーバを特定する（ステップＳ１０４）。

そして、特定部１２ｃは、直近の防御ポイントとなるルータを特定する（ステップＳ１０５）。続いて、指示部１２ｄは、ターゲットとなるサーバのＩＰアドレスと攻撃プロトコルを防御ポイントとなるルータに通知し、攻撃パケットの遮断を指示する（ステップＳ１０６）。

その後、解除部１２ｅは、１時間経過すると（ステップＳ１０７肯定）、同様のリフレクション攻撃があったか、つまり、各ルータ２０、３０から同様のリフレクション攻撃による攻撃パケットの情報を１時間以内に受信したかを判定する（ステップＳ１０８）。この結果、解除部１２ｅは、リフレクション攻撃があったと判定した場合には（ステップＳ１０８肯定）、攻撃パケットの遮断の継続を防御ポイントとなるルータに指示し（ステップＳ１０９）、ステップＳ１０７の処理に戻る。また、解除部１２ｅは、リフレクション攻撃がなかったと判定した場合には（ステップＳ１０８否定）、攻撃パケットの遮断の解除を防御ポイントとなるルータに指示し（ステップＳ１１０）、処理を終了する。

［第一の実施の形態の効果］
このように、第一の実施の形態に係る攻撃判定装置１０は、複数の中継装置から各中継装置が廃棄したパケットの情報を取得し、各中継装置から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する。そして、攻撃判定装置１０は、リフレクション攻撃の予兆があると判定した場合には、取得したパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定し、特定された転送装置に対して、攻撃対象の装置への攻撃パケットを遮断する指示を通知する。このため、第一の実施の形態に係る攻撃判定装置１０では、ネットワークの規模が大きくなった場合であってもリフレクション攻撃を適切に防止することが可能である。また、第一の実施の形態に係る攻撃判定装置１０では、送信元ＩＰアドレス詐称防止フィルタ等でのリフレクション攻撃を防止できなくてもターゲットとなったシステムでのサービス停止を予防することが可能である。

また、第一の実施の形態に係る攻撃判定装置１０では、攻撃対象の装置への攻撃パケットを遮断する指示が転送装置に対して行われた後に、リフレクション攻撃の予兆があると判定された際のパケットの情報と同様のパケットの情報を所定の期間に受信しなかった場合には、転送装置に対して指示を解除する。このため、リフレクション攻撃がおさまった後は、指示を解除して転送装置のリソースを効率化することができる。

また、第一の実施の形態に係る攻撃判定装置１０では、パケットの情報として、各中継装置が廃棄したパケットの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート、送信先ポート及び通信プロトコルを含む５ｔｕｐｌｅ情報を取得し、取得されたパケットの情報のうち、送信元ＩＰアドレス、送信先ＩＰアドレスおよび通信プロトコルが同一であって、且つ、複数の中継装置によって廃棄されたパケットの情報がある場合には、リフレクション攻撃の予兆があるものと判定する。これにより、攻撃判定装置１０上で設定の誤りによる廃棄とリフレクション攻撃によるＩＰ詐称を区別し、精度よくリフレクション攻撃の予兆を判定することができる。

また、第一の実施の形態に係る攻撃判定装置１０では、取得されたパケットの情報のうち、送信先ＩＰアドレス、送信元ＩＰアドレスおよび通信プロトコルが同一のものが複数ある場合には、該通信プロトコルを攻撃プロトコルと特定するとともに、該送信元ＩＰアドレスの装置を攻撃対象の装置と特定し、特定された攻撃対象の装置のＩＰアドレスが送信先ＩＰアドレスであって、且つ、攻撃プロトコルが通信プロトコルであるパケットを攻撃パケットとして遮断するように指示する。これにより、適切に攻撃パケットを遮断することができる。

また、第一の実施の形態に係る攻撃判定装置１０では、ステートフルファイアウォールの機能を有する転送装置に対して、攻撃対象の装置から送信された通信および該通信の応答についてはステートフルファイアウォールの機能を経由して通信を行うことを指示する。このため、転送装置から送信される攻撃プロトコルのパケットの通信についてはステートフルファイアウォールの機能を通して行き帰りの通信を管理することで双方向通信を実現することができる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。例えば、取得部１２ａと判定部１２ｂとを統合してもよい。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施形態において説明した攻撃判定装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る攻撃判定装置１０が実行する処理をコンピュータが実行可能な言語で記述した防御プログラムを作成することもできる。この場合、コンピュータが防御プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる防御プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された防御プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図９は、防御プログラムを実行するコンピュータ１０００を示す図である。図９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図９に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図９に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図９に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図９に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図９に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図９に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の防御プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、防御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、防御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０攻撃判定装置
１１通信処理部
１２制御部
１２ａ取得部
１２ｂ判定部
１２ｃ特定部
１２ｄ指示部
１２ｅ解除部
１３記憶部
１３ａパケット情報記憶部
２０エッジルータ
３０ＧＷルータ
４０ＣＰＥ
５０ＰＣ
６０サーバ収容ルータ
７０ホスティングサーバ
８０キャリアＮＷ
９０他社ＮＷ
１００ＤＣ
１１０反射サーバ

Claims

複数の中継装置から各中継装置が廃棄したパケットの情報を取得する取得部と、
前記取得部によって各中継装置から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する判定部と、
前記判定部によってリフレクション攻撃の予兆があると判定された場合には、前記取得部によって取得されたパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定する特定部と、
前記特定部によって特定された転送装置に対して、前記攻撃対象の装置への攻撃パケットを遮断する指示を通知する指示部と
を有することを特徴とする攻撃判定装置。
前記指示部によって前記攻撃対象の装置への攻撃パケットを遮断する指示が前記転送装置に対して行われた後に、前記判定部によってリフレクション攻撃の予兆があると判定された際のパケットの情報と同様のパケットの情報を所定の期間に受信しなかった場合には、前記転送装置に対して前記指示を解除する解除部をさらに有することを特徴とする請求項１に記載の攻撃判定装置。
前記取得部は、前記パケットの情報として、各中継装置が廃棄したパケットの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート、送信先ポート及び通信プロトコルを含む５ｔｕｐｌｅ情報とユーザを識別するユーザ識別子の情報とを取得し、
前記判定部は、前記取得部によって取得されたパケットの情報のうち、前記送信元ＩＰアドレス、前記送信先ＩＰアドレスおよび前記通信プロトコルが同一であって、且つ、複数の中継装置によって廃棄されたパケットの情報がある場合には、前記リフレクション攻撃の予兆があるものと判定することを特徴とする請求項１に記載の攻撃判定装置。
前記特定部は、前記取得部によって取得されたパケットの情報のうち、前記送信先ＩＰアドレス、前記送信元ＩＰアドレスおよび前記通信プロトコルが同一のものが複数ある場合には、該通信プロトコルを攻撃プロトコルと特定するとともに、該送信元ＩＰアドレスの装置を前記攻撃対象の装置と特定し、
前記指示部は、前記特定部によって特定された攻撃対象の装置のＩＰアドレスが送信先ＩＰアドレスであって、且つ、前記攻撃プロトコルが通信プロトコルであるパケットを前記攻撃パケットとして遮断するように指示することを特徴とする請求項３に記載の攻撃判定装置。
前記指示部は、ステートフルファイアウォールの機能を有する転送装置に対して、前記攻撃対象の装置から送信された通信および該通信の応答については前記ステートフルファイアウォールの機能を経由して通信を行うことを指示することを特徴とする請求項１に記載の攻撃判定装置。
攻撃判定装置によって実行される攻撃判定方法であって、
複数の中継装置から各中継装置が廃棄したパケットの情報を取得する取得工程と、
前記取得工程によって各中継装置から取得したパケットの情報を分析し、リフレクション攻撃の予兆があるかを判定する判定工程と、
前記判定工程によってリフレクション攻撃の予兆があると判定された場合には、前記取得工程によって取得されたパケットの情報から攻撃対象の装置を特定し、該攻撃対象の装置に最も近い転送装置を特定する特定工程と、
前記特定工程によって特定された転送装置に対して、前記攻撃対象の装置への攻撃パケットを遮断する指示を通知する指示工程と
を含んだことを特徴とする攻撃判定方法。