JP2018133753A - 対処制御システム及び対処制御方法 - Google Patents

Abstract

【課題】ＤＤｏＳ攻撃の対処効率を向上させること。【解決手段】１以上のコンピュータを含む対処制御システムは、通信網におけるＤＤｏｓ攻撃のパターンを特定する特定部と、前記通信網においてパケットを転送する転送装置による前記パターンに合致する通信の履歴に基づいて、当該転送装置について当該通信の制限を行うか否かを判定する判定部と、前記判定部によって前記パターンに合致する通信の制限を行うと判定された場合に、当該通信を制限するための設定を、前記転送装置へ指示する指示部と、を有する。【選択図】図１

Description

本発明は、対処制御システム及び対処制御方法に関する。

ＤＤｏＳ（Distributed Denial of Service attack）攻撃の検知及び対処に関する既存技術としては、攻撃と疑われる通信をＤＤｏＳ攻撃の緩和装置に引き込み、当該緩和装置において攻撃通信を除去する技術（非特許文献１参照）と、緩和装置を備えた複数のネットワークが連携してより攻撃発生源に近いネットワークで攻撃通信を除去することでネットワーク全体として効率的にＤＤｏＳ攻撃に対処する技術（非特許文献２参照）とが存在する。

非特許文献１、非特許文献２で用いられる緩和装置では、入力された通信をパケットレベルで解析し、各パケットが攻撃に関わるものかどうかを判定し、攻撃に関わるパケットであれば破棄し、正常なパケットであれば通過させる。緩和装置では、パケットヘッダだけでなくそのペイロードまで解析して攻撃か否かを判定するため、多様なＤＤｏＳ攻撃を複合的に用いた攻撃であっても極力攻撃を遮断することができる。

また、緩和装置が十分な機能及び性能を持つ場合であっても、緩和装置だけではＤＤｏＳ攻撃に係る通信が緩和装置までの転送装置のリソースを逼迫させることを防ぐことは難しい。そのため非特許文献２では、ＤＤｏＳ攻撃を検知したネットワークが、より攻撃発生源に近いネットワークにＤＤｏＳ攻撃の緩和を行うよう依頼する手順について規定している。これにより、ＤＤｏＳ攻撃の影響を受ける転送装置等を極力減らすことが可能となる。

DDoS攻撃の軽減対策、[online]、[平成28年12月15日検索]、インターネット<URL：http://www.cisco.com/web/JP/product/hs/security/gdma/tech/gdda_wp.html> DDoS Open Threat Signaling (dots) WG、[online]、[平成28年12月15日検索]、インターネット<URL: https://datatracker.ietf.org/wg/dots/charter/>

非特許文献１、非特許文献２ともに、攻撃の検知及び対処の双方について緩和装置のみで行っており、緩和装置においてはパケット毎にそのヘッダ・ペイロードともに解析して攻撃かどうかを判定している。そのため、緩和装置のスループットはルータ等の転送装置と比較すると低く、キャリアネットワークのように大規模なトラフィックを扱う場合には、高価な緩和装置が膨大に必要となってしまう。

非特許文献１では、１つのネットワークでＤＤｏＳ攻撃の全トラフィックを処理するため、必要な緩和装置を全て１つのネットワークで用意しなければならず、それだけの緩和装置を１つのネットワーク事業者が用意することは困難である。

非特許文献２においては、複数のネットワークで分散してＤＤｏＳ攻撃を検知及び対処することから、１つのＤＤｏＳ攻撃に対し各事業者が用意すべき緩和装置の数は低減可能である。一方でそのような連携には、多くのネットワーク事業者が高価な緩和装置を具備しているという前提が必要となるだけでなく、ネットワーク全体としては低スループットな緩和装置によってＤＤｏＳ攻撃に対処している状況には変化がなく、今後ＤＤｏＳ攻撃の更なる大規模化や頻発化に備えるには不十分である。

本発明は、上記の点に鑑みてなされたものであって、ＤＤｏＳ攻撃の対処効率を向上させることを目的とする。

そこで上記課題を解決するため、１以上のコンピュータを含む対処制御システムは、通信網におけるＤＤｏｓ攻撃のパターンを特定する特定部と、前記通信網においてパケットを転送する転送装置による前記パターンに合致する通信の履歴に基づいて、当該転送装置について当該通信の制限を行うか否かを判定する判定部と、前記判定部によって前記パターンに合致する通信の制限を行うと判定された場合に、当該通信を制限するための設定を、前記転送装置へ指示する指示部と、を有する。

ＤＤｏＳ攻撃の対処効率を向上させることができる。

本発明の実施の形態における攻撃対処システムの構成例を示す図である。 本発明の実施の形態における攻撃対処システムの第２の構成例を示す図である。 本発明の実施の形態における各装置のハードウェア構成例を示す図である。 ＤＤｏＳ攻撃の検知及び対処の処理手順の一例を説明するための図である。 対処案評価部３０３ａが実行する処理手順の一例を説明するためのフローチャートである。 通信履歴の一例を示す図である。 本発明の実施の形態における転送装置の接続例を示す図である。

以下、図面に基づいて本発明の実施の形態を説明する。本実施の形態では、緩和装置（攻撃緩和装置２００）を備えるネットワーク事業者が緩和装置を用いてＤＤｏＳ（Distributed Denial of Service attack）攻撃を検知し、自らの緩和装置及び転送装置を連携させてＤＤｏＳ攻撃に対処するとともに、緩和装置を持たない別のネットワーク事業者へ対処の一部を依頼することでより効率的にＤＤｏＳ攻撃に対処する例を用いて各機能の動作を説明するが、本発明の適用形態はこれに限られるものではない。

図１は、本発明の実施の形態における攻撃対処システムの構成例を示す図である。図１には、ネットワーク事業者Ａ及びネットワーク事業者Ｂが示されている。

ネットワーク事業者Ａは、転送網１００ａ、攻撃緩和装置２００ａ、セキュリティ制御装置３００ａ、転送網構成ＤＢ４００ａ、通信履歴ＤＢ５００ａ及び転送装置状態ＤＢ６００ａ等を含む。一方、ネットワーク事業者Ｂは、転送網１００ｂ、攻撃緩和装置２００ｂ、転送網構成ＤＢ４００ｂ、通信履歴ＤＢ５００ｂ及び転送装置状態ＤＢ６００ｂ等を含む。なお、各部の参照番号の末尾に付加されている小文字のアルファベット（「ａ」又は「ｂ」）は、ネットワーク事業者ごとの識別子である。各部について、ネットワーク事業者ごとの区別を行わない場合、各部の末尾のアルファベットは省略される。

転送網１００は、ルータやスイッチなどパケット転送を行う転送装置１１０が１以上接続された装置群である。図１において、転送装置１１０は、転送部１１１及び転送制御部１１２等を含む。これら各部は、転送装置１１０にインストールされた１以上のプログラムが、転送装置１１０のＣＰＵに実行させる処理により実現されてもよいし、回路等のハードウェアによって実現されてもよい。転送部１１１は、パケット転送ルールに基づき受信パケットを別の転送装置１１０又は攻撃緩和装置２００へ転送する。転送制御部１１２は、装置外からの指示を受け付けてパケット転送ルールを管理するとともに、転送部１１１の制御を行う。

攻撃緩和装置２００は、転送網１００から受信されるパケットについて攻撃の検知や、検知された攻撃についてアラート送信を行う装置（コンピュータ）である。攻撃緩和装置２００は、攻撃に係るパケットを除去し、攻撃に係らないパケットを転送網１００に送信する。図１において、攻撃緩和装置２００は、パケット解析部２０１及びアラート出力部２０２等を含む。これら各部は、攻撃緩和装置２００にインストールされた１以上のプログラムが、攻撃緩和装置２００のＣＰＵに実行させる処理により実現される。パケット解析部２０１は、転送装置１１０からのパケットを受信及び解析し、攻撃検知と攻撃パケット破棄、転送装置１１０への正常パケット転送を行う。アラート出力部２０２は、攻撃検知時にセキュリティ制御装置３００へアラートを送出する。

セキュリティ制御装置３００は、攻撃緩和装置２００から攻撃検知のアラートを受信すると、転送網構成ＤＢ４００、通信履歴ＤＢ５００及び転送装置状態ＤＢに記憶されている情報に基づいて対処を判断及び指示する装置（コンピュータ）である。図１において、セキュリティ制御装置３００は、アラート受信部３０１、対処案生成部３０２、対処案評価部３０３及び対処指示部３０４等を含む。これら各部は、セキュリティ制御装置３００にインストールされた１以上のプログラムが、セキュリティ制御装置３００のＣＰＵに実行させる処理により実現される。アラート受信部３０１は、攻撃緩和装置２００又は別のセキュリティ制御装置３００からのアラートを受信する。対処案生成部３０２は、アラートに含まれる情報と転送網構成ＤＢ４００から得られる転送網１００の構成情報から１以上の対処案を生成する。対処案評価部３０３は、対処案生成部３０２が生成した対処案について、転送網構成ＤＢ４００及び通信履歴ＤＢ５００及び転送装置状態ＤＢ６００から得られる情報に基づいてスコアリング（評価）して、自動的に又はオペレータの指示に従って対処案を決定する。対処指示部３０４は、対処案評価部３０３が決定した対処案に基づき転送網１００又は別のセキュリティ制御装置３００に指示を送出する。

転送網構成ＤＢ４００は、転送網１００内の転送装置１１０について、転送装置１１０のリスト及びそれぞれのパケット転送ルールを記憶しており、セキュリティ制御装置３００へそれらの情報を提供する装置である。

通信履歴ＤＢ５００は、フロー情報の集計等から得られる、送信元アドレス／ポート・送信先アドレス／ポート・プロトコル番号毎の通信量の時系列データを転送装置１１０毎に最新から一定期間分記憶し、セキュリティ制御装置３００へそれらの情報を提供する装置である。

転送装置状態ＤＢ６００は、転送装置１１０のＣＰＵ／メモリ使用率や各インタフェースの通信容量及び通信量を記憶し、セキュリティ制御装置３００へそれらの情報を提供する装置である。

なお、本実施の形態では、複数のネットワーク事業者のうちの一つが攻撃緩和装置２００を有している例について説明する。但し、攻撃対処システムにそれぞれ１以上の攻撃緩和装置２００、セキュリティ制御装置３００、転送網構成ＤＢ４００、通信履歴ＤＢ５００、転送装置状態ＤＢ６００が連携可能な状態で備わっていればよく、各ネットワーク事業者は転送網１００以外を備える必要は必ずしもないため、図１以外の構成が採用されてもよい。例えば、図２のようにセキュリティ制御装置３００を具備せず転送網１００がどのセキュリティ制御装置３００からの制御も受け付けないネットワーク事業者Ｃや、セキュリティ制御装置３００は具備しないが別のネットワーク事業者のセキュリティ制御装置３００からの制御を転送網１００に受け付けさせるネットワーク事業者Ｄ等が存在する形態も考えられる。また、攻撃緩和装置２００とセキュリティ制御装置３００とは、同じコンピュータを用いて実現されてもよい。当該コンピュータは、一つであってもよいし、複数であってもよい。

ネットワーク事業者が、攻撃対処システムを導入する際には、ネットワーク事業者は、ユーザサービス等に用いるサービスネットワークを転送網１００を用いて構築し、サービスネットワークとは別に、攻撃緩和装置２００、セキュリティ制御装置３００、転送網構成ＤＢ４００、通信履歴ＤＢ５００及び転送装置状態ＤＢ６００を設置する。攻撃緩和装置２００は、サービスネットワークに接続し、転送装置１１０と通信パケットを送受可能とする。また、全ての装置についてはサービスネットワークとは別の管理ネットワークで接続しておき、アラートの送受や対処指示の送受を可能とする。最後に、セキュリティ制御装置３００は、他ネットワーク事業者のセキュリティ制御装置３００と対処指示を送受可能とするために別のネットワークで接続しておく。

図３は、本発明の実施の形態における各装置のハードウェア構成例を示す図である。図１の各装置（転送装置１１０、攻撃緩和装置２００、セキュリティ制御装置３００、転送網構成ＤＢ４００、通信履歴ＤＢ５００、及び転送装置状態ＤＢ６００等）は、それぞれバスＢで相互に接続されているドライブ装置７００、補助記憶装置７０２、メモリ装置７０３、ＣＰＵ７０４、及びインタフェース装置７０５等を有する。

各装置での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体７０１によって提供される。プログラムを記憶した記録媒体７０１がドライブ装置７００にセットされると、プログラムが記録媒体７０１からドライブ装置７００を介して補助記憶装置７０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体７０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置７０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置７０３は、プログラムの起動指示があった場合に、補助記憶装置７０２からプログラムを読み出して格納する。ＣＰＵ７０４は、メモリ装置７０３に格納されたプログラムに従って各装置に係る機能を実行する。インタフェース装置７０５は、ネットワークに接続するためのインタフェースの集合である。

以下、攻撃対処システムにおいて実行される処理手順について説明する。図４は、ＤＤｏＳ攻撃の検知及び対処の処理手順の一例を説明するための図である。以下では、ネットワーク事業者Ａにおいて各種装置が接続され、ユーザや他ネットワークとの接続を開始した後に、ＤＤｏＳ攻撃を検知及び対処する流れについて説明する。

はじめに、転送装置１１０ａでは、ユーザや他ネットワークとの接続が開始されると、転送部１１１ａが、受信パケットが攻撃に関係するか否かに関わらず当該パケットの転送を開始する。

パケット転送開始後に通信解析の必要性が生じると、それらの通信に係るパケットについて攻撃緩和装置２００ａに転送するよう、ネットワーク事業者Ａのオペレータは、必要な転送装置１１０ａの転送制御部１１２ａへ指示を行う。その結果、当該転送装置１１０ａのパケット転送ルールが書き換わる（Ｓ１０１）。

通信解析が必要となる例としては、ネットワーク事業者Ａが、特定ユーザ向けを保護するべく当該ユーザ向けの通信を解析する場合や、フロー情報を収集・解析する装置で一部ユーザ向けの通信が大きく増加しており攻撃が疑われる場合や、他ネットワーク事業者から一部ユーザへの通信が大きく増加していると警告された場合などが想定される。このような場合に、当該ユーザ向けの通信を攻撃緩和装置２００ａに転送する。

本実施の形態では、或る攻撃先ＩＰアドレスＩＰ＿Ａ向けの通信（パケット）が攻撃緩和装置２００ａに転送されるように転送ルールが書き換えられる。

攻撃緩和装置２００ａにパケットが転送されると、パケット解析部２０１ａは、受信した全パケットについて検知及び対処の双方を開始する。パケット解析部２０１ａは、受信パケットそれぞれについてパケットヘッダ及びペイロードを解析し、当該パケットが攻撃に係るものか否かを判定する（Ｓ１０２）。パケット解析部２０１ａは、攻撃と判定したパケットは破棄し、残った正常パケットについては、事前に設定された転送装置１１０ａへ転送する。すなわち、攻撃の検知において、攻撃のパターン（ＩＰアドレス、ポート番号等）が特定される。なお、攻撃の検知には、公知の技術が利用されればよい。本実施の形態では、攻撃先ＩＰアドレスＩＰ＿Ａに向かって２種のＤＤｏＳ攻撃が複合的に行われている状況を想定する。２種のＤＤｏＳ攻撃は、８０番ポートへのＴＣＰ上の攻撃と、１２３番ポートへのＵＤＰ上の攻撃であるとする。したがって、ステップＳ１０２では、８０番ポートへのＴＣＰ上の攻撃と、１２３番ポートへのＵＤＰ上の攻撃とが検知される。

続いて、アラート出力部２０２ａは、ＩＰ＿Ａ向けに８０番ポートへのＴＣＰ上の攻撃が発生していること（アラート＿ＴＣＰ）、ＩＰ＿Ａ向けに１２３番ポートへのＵＤＰ上の攻撃が発生していること（アラート＿ＵＤＰ）のそれぞれについてアラートを生成し、合計２つのアラートをセキュリティ制御装置３００ａへ向かって出力する（Ｓ１０３、Ｓ１０４）。

セキュリティ制御装置３００ａのアラート受信部３０１ａは、これらのアラートを受信すると、受信したアラートを管理しておき、各アラートを受信順に対処案生成部３０２ａに送信する。

対処案生成部３０２ａは、受信した各アラートについて対処案を生成する（Ｓ１０５）。具体的には、対処案生成部３０２ａは、まず、アラート＿ＴＣＰを受信する。対処案生成部３０２ａは、アラート＿ＴＣＰがＩＰ＿Ａ向けの攻撃が発生していることを示すことに応じ、ＩＰ＿Ａを収容する転送装置１１０ａ、及びそれ以外の転送装置１１０ａのリストと、各転送装置１１０ａに接続されたネットワーク事業者のリストとを転送網構成ＤＢ４００ａから取得する。対処案生成部３０２ａは、取得した情報に基づいて、アラート＿ＴＣＰの対象（アラート＿ＴＣＰのパターン）（ＩＰ＿Ａ，８０，ＴＣＰ）、アクション（遮断）、アクション実施装置（転送装置１１０ａ群）の組み合わせを対処案として生成する。例えば、転送装置１１０ａごとに、当該転送装置１１０ａにおいてＩＰ＿Ａの８０番ポート向けのＴＣＰパケットを遮断する案や、ＩＰ＿Ａの８０番ポート向けのＴＣＰパケットを遮断するよう他ネットワーク事業者に依頼する案が生成される。

対処案生成部３０２ａは、アラート＿ＴＣＰに続いて受信するアラート＿ＵＤＰについても同様に、各転送装置１１０ａでＩＰ＿Ａの１２３番ポート向けのＵＤＰパケットを遮断する案や、又はＩＰ＿Ａの１２３番ポート向けのＵＤＰパケットを遮断するように他ネットワーク事業者へ依頼する案を生成する。なお、本実施の形態では、アラートに係る通信の制限の一例として、遮断することのみを説明するが、レート制御等によってアラートに係る通信を制限する案が生成されてもよい。

続いて、対処案評価部３０３ａは、対処案生成部３０２ａによって生成された対処案に基づいて、アラート＿ＴＣＰ／アラート＿ＵＤＰ毎に、実際に実行する対処案のリスト（以下、「対処案リスト」という。）を生成する（Ｓ１０６）。例えば、対処案生成部３０２ａによって生成された対処案のうちどの対処案を実行するか、又はどの対処案も実行せず引き続き攻撃緩和装置２００にて対処するのか等が判定される。

実際に実行すべき対処案リストが対処案評価部３０３ａによって決定されると、対処指示部３０４ａは、当該対処案に基づく指示を当該対処の実行先の転送装置１１０へ送出する（Ｓ１０７〜Ｓ１０９）。セキュリティ制御装置３００ａの管理下にある転送装置１１０ａへ指示を送出する場合は、例えば、当該転送装置１１０ａへ対処指示部３０４ａからｔｅｌｎｅｔでログオンし、ＩＰ＿Ａの１２３番ポート向きのＵＤＰ通信を遮断するようにフィルタリングルールを設定する方法や、各転送装置１１０ａがＯｐｅｎＦｌｏｗスイッチ、対処指示部３０４ａがＯｐｅｎＦｌｏｗコントローラとして振る舞い、動的にフィルタリングルールを配置する方法がある。

他ネットワーク事業者の転送装置１１０等、セキュリティ制御装置３００ａの管理化にない転送装置１１０へ指示を送りたい場合には、例えば、他ネットワーク事業者のセキュリティ制御装置３００にＲＥＳＴ−ＡＰＩ等を用いて遮断依頼を送出し、当該セキュリティ制御装置３００が管理化の当該転送装置１１０を制御してもよい。又は、例えば、セキュリティ制御装置３００ａの管理化の転送装置１１０ａと接続関係にある、他のネットワーク事業者の転送装置１１０（例えば、図２の転送装置１１０−３ａに接続される転送装置１１０−１ｄ）に指示を送出したい場合は、ＢＧＰ ｆｌｏｗｓｐｅｃ等を用いて遮断依頼を送出してもよい。

続いて、ステップＳ１０６の詳細について説明する。図５は、対処案評価部３０３ａが実行する処理手順の一例を説明するためのフローチャートである。

ステップＳ２０１において、対処案評価部３０３ａは、アラート＿ＴＣＰの対象（ＩＰ＿Ａ，８０，ＴＣＰ、又はＩＰ＿Ａ，１２３，ＵＤＰ）、アクション（遮断）、アクション実施装置（転送装置１１０ａ群）の組み合わせである複数の対処案を受信する。

続いて、対処案評価部３０３ａは、実行してよい対処案の絞り込みをネットワークサービスへの影響の観点で行う（Ｓ２０２）。具体的には、対処案評価部３０３ａは、アラート生成日時以前のＩＰ＿Ａの８０番ポート向けＴＣＰ通信量／１２３番ポート向けのＵＤＰ通信量、及びＩＰ＿Ａ向けの全通信量について、１０分など一定時間分のデータを通信履歴ＤＢ５００ａから取得する。取得した結果、各アラートに係る通信量がもともと少ないのであれば、対処案評価部３０３ａは、関連する対処案を実行しても問題がないと判断する。

例えば、図６のような通信履歴が得られたとする。図６において、（１）は、ＩＰ＿Ａ向けの全通信量の履歴を示す。（２）は、ＩＰ＿Ａの８０番ポート向けのＴＣＰ通信量の履歴を示す。（３）は、ＩＰ＿Ａの１２３番ポート向けＵＤＰ通信量の履歴を示す。この場合、ＩＰ＿Ａ向けの全通信量に対するＩＰ＿Ａの８０番ポート向けＴＣＰ通信量が定常的に多く、アラート＿ＴＣＰについては遮断といった単純な対処ではなく、攻撃緩和装置２００ａにてパケットレベルで解析して対処するべきと判断されるため、対処案評価部３０３ａは、アラート＿ＴＣＰについては、対処案生成部３０２ａで生成した全ての対処案を除外し、攻撃緩和装置２００ａにおける検知及び対処を継続すると判定する。

一方、ＩＰ＿Ａの１２３番ポート向けのＵＤＰ通信量については、アラート＿ＵＤＰ受信前は総量が少なく、ＩＰ＿Ａ向けの通信量と比較しても小さいことから、対処案評価部３０３ａは、対処案生成部３０２ａで生成した対処案を除外せずに、実行してもよいと判定する。

なお、上記の通信量の大小については、例えば、それぞれ事前に設定される閾値との比較に基づいて判定されてもよい。また、ここでは８０番ポート向けのＴＣＰ通信については攻撃緩和装置２００ａで対処する（すなわち、対処案を実行しない）としたが、攻撃の通信量があまりに多く攻撃緩和装置２００ａの容量を超える場合には（例えば、攻撃の通信量が事前に設定される閾値を超える場合には）、ネットワークサービスへの影響が大きいため、対処案評価部３０３ａは、アラート＿ＴＰＣに対する対処案を除外しないと判定してもよい。

除外されずに残った対処案のうち、実際に実行する０以上の対処案については、対処案評価部３０３ａは、転送網構成ＤＢ４００ａ、通信履歴ＤＢ５００ａ、転送装置状態ＤＢ６００ａから得られる情報を用いて、例えば、以下のように決定していく。なお、本実施の形態では、ステップＳ２０２において、１２３番ポート向けのＵＤＰ通信を遮断するという内容は除外されずに残っているため、対処案の決定とは、１２３番ポート向けのＵＤＰ通信の遮断をどの転送装置１１０で実行するのか、どのネットワーク事業者に依頼するのかを決定することに等しい。

ステップＳ２０３において、対処案評価部３０３ａは、除外されずに残った対処案の中で、実行可能であって、かつ、最も高い効果が見込まれる対処案を１つ抽出する。実行可能であるか否かは、例えば、対処案を実行させる装置のＣＰＵ使用率に、対処案を実行するだけの空きが有るか否かに基づいて判定される。

具体的には、対処案評価部３０３ａは、各転送装置１１０ａの状態（ＣＰＵ使用率）を転送装置状態ＤＢ４００ａから取得し、遮断処理を実行可能な転送装置１１０ａ等を抽出する。ここでは、説明の便宜上、各ネットワーク事業者の転送装置１１０が図７に示されるように接続されている状況を想定する。図７において、ネットワーク事業者Ａは、転送装置１１０ａ−１ａ〜１１０ａ−３を含む。ここでは、転送装置１１０ａ−１〜１１０ａ−３のいずれのＣＰＵ使用率も、遮断処理を実行可能な状態であるとする。この場合、対処案評価部３０３ａは、転送装置１１０ａ−１ａ〜１１０ａ−３、及びこれらの転送装置１１０ａのいずれかに接続されるネットワーク事業者Ｂ、Ｃをアクション実施装置とする対処案を抽出する。

一方、効果の高さは、例えば、遮断によって削減できる各転送装置１１０ａを通過する通信量の合計によって評価される。すなわち、各転送装置１１０ａによるアラートの対象宛てへの通信（攻撃のパターンに合致する通信）の履歴に基づいて、各転送装置１１０ａの優先順位が判定される。

具体的には、対処案評価部３０３ａは、各転送装置１１０ａで遮断処理を実行した場合の効果が比較できるよう、各転送装置１１０ａを通る遮断対象通信の量と、ＩＰ＿Ａへのパケットがどのような経路で転送されるかを、それぞれ通信履歴ＤＢ５００ａや転送網構成ＤＢ４００ａから取得する。取得した情報を用いると、例えば、転送装置１１０ａ−２や転送装置１１０ａ−３で遮断すれば転送装置１１０ａ−１の通信も抑制できることや、ＩＰ＿Ａ向きの通信について、転送装置１１０ａ−２を通るものと転送装置１１０ａ−３を通るもののどちらが多いかも分かる。これによって、例えば、転送装置１１０ａ−２をアクション実施装置とする対処案が、最も高い効果が見込まれる対処案（優先順位が相対的に高い対処案）であるとして抽出される。抽出された対処案は、対処案リストに含められる。

続いて、対処案評価部３０３ａは、抽出された対処案を実行した場合に遮断されると見込まれる通信量を各転送装置１１０ａから減算する（Ｓ２０４）。続いて、対処案評価部３０３ａは、減算の結果、全転送装置１１０ａの全インタフェースにおいて、ＩＰ＿Ａ向けの通信が占める割合が事前設定された一定の閾値を下回るか否かを判定する（Ｓ２０５）。

いずれかのインタフェースにおいて、減算結果が閾値以上である場合（Ｓ２０５でＮｏ）、ステップＳ２０３以降が繰り返されて、他の対処案（すなわち、優先順位が次の対処案）の抽出が行われる。この場合、例えば、転送装置１１０ａ−３でもＩＰ＿Ａの１２３番ポート向きＵＤＰ通信を遮断する対処案等が抽出されうる。

一方、全インタフェースにおいて、ＩＰ＿Ａ向けの通信が占める割合が閾値を下回る場合（Ｓ２０５でＹｅｓ）、図５の処理は終了する。したがって、全ての対処案ではなく、一部の対処案のみが採用される可能性が有る。

なお、実行する対処には転送装置１１０ａにおける遮断だけではなく、転送装置に接続された他ネットワーク事業者の転送装置１１０に依頼するパターンも考えられる。そこで、対処案評価部３０３ａは、ステップＳ２０３において、転送装置状態ＤＢ６００ａから各転送装置１１０の各インタフェースの状態を取得する際に、更に各インタフェースのパケットロス率も取得しておき、これらが事前に設定される閾値を超えていた場合には、他ネットワーク事業者の転送装置１１０側で遮断するべきと判断してもよい。例えば、図７のような状況の場合、ＩＰ＿Ａの１２３番ポート向けのＵＤＰ通信を遮断する依頼をネットワーク事業者Ｂへ行う対処案が抽出されてもよい。

なお、本実施の形態においては、対処案評価部３０３ａが自動的に対処案を決定する例について説明したが、必要に応じて取得した情報や対処案を表示装置に出力する等してオペレータに提示し、オペレータの指示を受け付けて対処案が決定されてもよい。

上記の処理によって、ＩＰ＿Ａの８０番／１２３番向けのＴＣＰ／ＵＤＰ通信を用いた複合的なＤＤｏＳ攻撃について、ＴＣＰ通信は攻撃緩和装置２００ａで精度よく対処しながら、一方で、ＵＤＰ通信については転送装置１１０で効率よく対処することができ、全体としては対処精度を維持しながら効率よく対処することができる攻撃対処システムが実現される。

上述したように、本実施の形態によれば、ＤＤｏＳ攻撃への対応について、攻撃緩和装置２００での検知結果をもとに、攻撃緩和装置２００だけでなく一般的に高スループットな転送装置１１０とも連携した対処が可能となる。これにより、ＤＤｏＳ攻撃への対処効率を向上させることができる。また、攻撃緩和装置２００を持たないネットワーク（事業者）を含めネットワーク間で連携してＤＤｏＳ攻撃に対処することが可能となり、ネットワーク全体としてより効率的にＤＤｏＳ攻撃に対処することが可能となる。

なお、本実施の形態において、攻撃緩和装置２００及びセキュリティ制御装置３００は、対処制御システムの一例である。パケット解析部２０１は、特定部の一例である。対処指示部３０４は、指示部の一例である。対処案評価部３０３は、判定部の一例である。転送網１００は、通信網の一例である。

以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ 転送網
１１１ 転送部
１１２ 転送制御部
２００ 攻撃緩和装置
２０１ パケット解析部
２０２ アラート出力部
３００ セキュリティ制御装置
３０１ アラート受信部
３０２ 対処案生成部
３０３ 対処案評価部
３０４ 対処指示部
４００ 転送網構成ＤＢ
５００ 通信履歴ＤＢ
６００ 転送装置状態ＤＢ
７００ ドライブ装置
７０１ 記録媒体
７０２ 補助記憶装置
７０３ メモリ装置
７０４ ＣＰＵ
７０５ インタフェース装置
Ｂ バス

Claims (6)

1. １以上のコンピュータを含む対処制御システムであって、
   通信網におけるＤＤｏｓ攻撃のパターンを特定する特定部と、
   前記通信網においてパケットを転送する転送装置による前記パターンに合致する通信の履歴に基づいて、当該転送装置について当該通信の制限を行うか否かを判定する判定部と、
   前記判定部によって前記パターンに合致する通信の制限を行うと判定された場合に、当該通信を制限するための設定を、前記転送装置へ指示する指示部と、
   を有することを特徴とする対処制御システム。
2. 前記判定部は、複数の転送装置のそれぞれによる前記パターンに合致する通信の履歴に基づいて、当該通信の制限を行う転送装置の優先順位を判定し、
   前記指示部は、前記優先順位が相対的に高い一部の転送装置に、前記パターンに合致する通信を制限するための設定を指示する、
   ことを特徴とする請求項１記載の対処制御システム。
3. 前記指示部は、それぞれ異なる通信網に属する複数の転送装置へ、前記パターンに合致する通信を制限するための設定を指示する、
   ことを特徴とする請求項２記載の対処制御システム。
4. 通信網におけるＤＤｏｓ攻撃のパターンを特定する特定手順と、
   前記通信網においてパケットを転送する転送装置による前記パターンに合致する通信の履歴に基づいて、当該転送装置について当該通信の制限を行うか否かを判定する判定手順と、
   前記判定手順において前記パターンに合致する通信の制限を行うと判定された場合に、当該通信を制限するための設定を、前記転送装置へ指示する指示手順と、
   をコンピュータが実行することを特徴とする対処制御方法。
5. 前記判定手順は、複数の転送装置のそれぞれによる前記パターンに合致する通信の履歴に基づいて、当該通信の制限を行う転送装置の優先順位を判定し、
   前記指示手順は、前記優先順位が相対的に高い一部の転送装置に、前記パターンに合致する通信を制限するための設定を指示する、
   ことを特徴とする請求項４記載の対処制御方法。
6. 前記指示手順は、それぞれ異なる通信網に属する複数の転送装置へ、前記パターンに合致する通信を制限するための設定を指示する、
   ことを特徴とする請求項５記載の対処制御方法。

Images