JP2018195969A - 攻撃検知方法、攻撃検知プログラムおよび中継装置 - Google Patents

Abstract

【課題】ネットワークにおけるリフレクタ攻撃の発生を検知する方法及びプログラムを提供する。
【解決手段】本中継装置は、中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、ポートに接続された情報処理装置が送信した所定プロトコルのパケットの数である第２の数とを計数する計数部と、第１の数と第２の数とに基づき算出された指標値と、中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、中継装置または他の中継装置に接続された情報処理装置による攻撃が発生したか判定する判定部とを有する。
【選択図】図２

Description

本発明は、ネットワーク攻撃の検知技術に関する。

ＳＳＤＰ（Simple Service Discovery Protocol）は、ＵＰｎＰ（Universal Plug and Play）による機器検出に用いられるプロトコルの一つである。ＳＳＤＰにおいては、ネットワークにおけるコントロールポイントがマルチキャストでＭ−ＳＥＡＲＣＨリクエストを送信し、Ｍ−ＳＥＡＲＣＨリクエストへの応答として、ネットワーク内のＵＰｎＰデバイスが自身の機器情報をユニキャストで送信する。

リフレクタ攻撃は、多数のデバイスから一斉に大量のデータを送りつけてネットワーク帯域を占有するＤＤｏＳ（Distributed Denial of Service）攻撃の一種である。ＳＳＤＰは、（１）ＵＰｎＰが有効化された全デバイスがＭ−ＳＥＡＲＣＨリクエストに対して応答を返すこと、（２）リクエストパケットに比べて応答パケットのサイズが大きいことから、リフレクタ攻撃に利用されやすい。

ネットワーク攻撃の検知に関する従来技術は存在するが、従来技術はリフレクタ攻撃以外の攻撃を想定した技術であり、必ずしもリフレクタ攻撃の検知には適していない。

特開２００６−３５２６６９号公報 特開２００６−１５７６０１号公報

本発明の目的は、１つの側面では、リフレクタ攻撃の発生を検知するための技術を提供することである。

一態様に係る中継装置は、中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、ポートに接続された情報処理装置が送信した所定プロトコルのパケットの数である第２の数とを計数する計数部と、第１の数と第２の数とに基づき算出された指標値と、中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、中継装置または他の中継装置に接続された情報処理装置による攻撃が発生したか判定する判定部とを有する。

１つの側面では、リフレクタ攻撃の発生を検知できるようになる。

図１は、第１の実施の形態のシステム概要を示す図である。 図２は、Ｌ２スイッチの機能ブロック図である。 図３は、ポート監視部が実行する処理の処理フローを示す図である。 図４は、ポート監視部が実行する処理の処理フローを示す図である。 図５は、ポート監視部が管理するデータの一例を示す図である。 図６は、ポート監視部が管理するデータの一例を示す図である。 図７は、ポート監視部が管理するデータの一例を示す図である。 図８は、判定部が実行する処理の処理フローを示す図である。 図９は、集計データ格納部に格納されるデータの一例を示す図である。 図１０は、集計データ格納部に格納されるデータの一例を示す図である。 図１１は、集計データ格納部に格納されるデータの一例を示す図である。 図１２は、判定部が実行する処理の処理フローを示す図である。 図１３は、閾値αおよび閾値βについて説明するための図である。 図１４は、閾値αおよび閾値βについて説明するための図である。 図１５は、閾値αおよび閾値βについて説明するための図である。 図１６は、デバイス総数に対応するパケット比の分布を示す図である。 図１７は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図１８は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図１９は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図２０は、ポート監視部が計数したＳＳＤＰパケット数に基づき生成されたデータである。 図２１は、ポート監視部が計数したＳＳＤＰパケット数に基づき生成されたデータである。 図２２は、ポート監視部が計数したＳＳＤＰパケット数に基づき生成されたデータである。 図２３は、パケット比と閾値との関係を示す図である。 図２４は、パケット比と閾値との関係を示す図である。 図２５は、パケット比と閾値との関係を示す図である。 図２６は、第１の実施の形態のシステムにおける攻撃者および被攻撃者を示す図である。 図２７は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図２８は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図２９は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図３０は、パケット比と閾値との関係を示す図である。 図３１は、パケット比と閾値との関係を示す図である。 図３２は、パケット比と閾値との関係を示す図である。 図３３は、第１の実施の形態のシステムにおける攻撃者および被攻撃者を示す図である。 図３４は、第２の実施の形態のシステム概要を示す図である。 図３５は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図３６は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図３７は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図３８は、ポート監視部が計数したＳＳＤＰパケット数に基づき生成されたデータである。 図３９は、ポート監視部が計数したＳＳＤＰパケット数に基づき生成されたデータである。 図４０は、ポート監視部が計数したＳＳＤＰパケット数に基づき生成されたデータである。 図４１は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図４２は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図４３は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図４４は、第２の実施の形態のシステムにおける攻撃者および被攻撃者を示す図である。 図４５は、第３の実施の形態のシステム概要を示す図である。 図４６は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図４７は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図４８は、ポート監視部が計数したＳＳＤＰパケット数を示す図である。 図４９は、第３の実施の形態のシステムにおける攻撃者および被攻撃者を示す図である。 図５０は、Ｌ２スイッチのハードウエア構成図である。

［実施の形態１］
図１は、第１の実施の形態のシステム概要を示す図である。本実施の形態の主要な処理を実行するＬ（Layer）２スイッチ１ａは、ＬＡＮ（Local Area Network）等のネットワークを介して、ルータ５と、ＳＳＤＰのコントロールポイントの機能を有するサーバ等であるコントロールポイント３１ａと、例えばパーソナルコンピュータ、サーバ或いはプリンタ等であるＵＰｎＰデバイス３２ａ乃至３４ａとに接続される。より具体的には、Ｌ２スイッチ１ａは、ポート１１ａを介してルータ５に接続され、ポート１２ａを介してコントロールポイント３１ａに接続され、ポート１３ａを介してＵＰｎＰデバイス３２ａに接続され、ポート１４ａを介してＵＰｎＰデバイス３３ａに接続され、ポート１５ａを介してＵＰｎＰデバイス３４ａに接続される。

図２は、Ｌ２スイッチ１ａの機能ブロック図である。Ｌ２スイッチ１ａは、ポート監視部１０１１乃至１０１９と、集計データ格納部１０３と、集計部１０５と、中継部１０７とを有する。集計部１０５は、判定部１０５１と、算出部１０５３とを含む。ポート監視部１０１１乃至１０１９の各々は、１つのポートを監視する。

ポート監視部１０１１乃至１０１９の各々は、監視対象のポートにて接続された装置を宛先とするＳＳＤＰパケットの数および監視対象のポートに接続された装置が送信したＳＳＤＰパケットの数を計数する。ＳＳＤＰパケットとは、１９００／ＵＤＰ（User Datagram Protocol）宛のパケット（すなわち、宛先ポート番号が１９００番であるＵＤＰパケット）である。算出部１０５３は、ポート監視部１０１１乃至１０１９から取得した計数結果に基づき、リフレクタ攻撃が発生したか否かの判定に用いられる閾値を算出する。判定部１０５１は、ポート監視部１０１１乃至１０１９から受け取った計数結果と、算出部１０５３により算出された閾値とに基づき、リフレクタ攻撃が発生したか判定する。集計部１０５による処理に利用されるデータは、集計データ格納部１０３に格納される。中継部１０７は、Ｌ２スイッチ１ａが受信したパケットを中継する処理を実行する。

次に、図３乃至図３３を用いて、Ｌ２スイッチ１ａが実行する処理について説明する。

図３は、Ｌ２スイッチ１ａのポート監視部１０１１乃至１０１９が実行する処理の処理フローを示す図である。ここでは、ポート１２ａを監視するポート監視部１０１３が実行する処理を例として説明する。

ポート監視部１０１３は、ポート１２ａが中継部１０７またはポート１２ａに接続されている装置からパケットを受信したことを検出する（図３：ステップＳ１）。

ポート監視部１０１３は、ポート１２ａが受信したパケット（以下、受信パケットと呼ぶ）が１９００／ＵＤＰ宛のパケット（すなわち、宛先ポート番号が１９００番であるＵＤＰパケット）であるか判定する（ステップＳ３）。

受信パケットが１９００／ＵＤＰ宛のパケットではない場合（ステップＳ３：Ｎｏルート）、受信パケットはＳＳＤＰパケットではないので、処理はステップＳ１５に移行する。

一方、受信パケットが１９００／ＵＤＰ宛のパケットである場合（ステップＳ３：Ｙｅｓルート）、ポート監視部１０１３は、以下の処理を実行する。具体的には、ポート監視部１０１３は、受信パケットの宛先ＭＡＣ（Media Access Control）アドレスが、ポート１２ａに接続されている装置のＭＡＣアドレスであるか判定する（ステップＳ５）。

受信パケットの宛先ＭＡＣアドレスが、ポート１２ａに接続されている装置のＭＡＣアドレスではない場合（ステップＳ５：Ｎｏルート）、処理は端子Ａを介して図４のステップＳ２１に移行する。

一方、受信パケットの宛先ＭＡＣアドレスが、ポート１２ａに接続されている装置のＭＡＣアドレスである場合（ステップＳ５：Ｙｅｓルート）、ポート監視部１０１３は、受信パケットがユニキャストパケットであるか判定する（ステップＳ７）。

受信パケットがユニキャストパケットではない場合（ステップＳ７：Ｎｏルート）、処理はステップＳ１５に移行する。

受信パケットがユニキャストパケットである場合（ステップＳ７：Ｙｅｓルート）、ポート監視部１０１３は、受信ポートに被攻撃者である装置が接続されているか判定する（ステップＳ９）。被攻撃者である装置が接続されている場合には、後述のステップＳ５５の通知を判定部１０５１から受け取るので、ステップＳ５５の通知を受け取ったか否かに基づきステップＳ９の判定が行われる。

受信ポートに被攻撃者である装置が接続されている場合（ステップＳ９：Ｙｅｓルート）、ポート監視部１０１３は、受信パケットを廃棄する（ステップＳ１１）。

一方、受信ポートに被攻撃者である装置が接続されていない場合（ステップＳ９：Ｎｏルート）、ポート監視部１０１３は、ポート監視部１０１３が管理する受信ＳＳＤＰユニキャストパケット数を１インクリメントする（ステップＳ１３）。

ポート監視部１０１３は、中継部１０７に受信パケットの処理を指示する。これに応じ、中継部１０７は、中継処理を実行する（ステップＳ１５）。具体的には、中継部１０７は、受信パケットがポート１２ａに接続されている装置からのパケットである場合には受信パケットを宛先のＵＰｎＰデバイスまたは当該ＵＰｎＰデバイスに接続されたＬ２スイッチに転送し、受信パケットが中継部１０７からのパケットである場合にはポート１２ａから受信パケットを出力する。

なお、本実施の形態においては、所定時間（例えば１分）内の受信ＳＳＤＰユニキャストパケット数および送信ＳＳＤＰマルチキャストパケット数が計数されるため、受信ＳＳＤＰユニキャストパケット数および送信ＳＳＤＰマルチキャストパケット数は、所定時間毎に判定部１０５１によりリセットされる。

図４は、端子Ａ以降の処理の処理フローを示す図である。ポート監視部１０１３は、受信パケットの送信元ＭＡＣアドレスが、ポート１２ａに接続されている装置のＭＡＣアドレスであるか判定する（図４：ステップＳ２１）。

受信パケットの送信元ＭＡＣアドレスが、ポート１２ａに接続されている装置のＭＡＣアドレスではない場合（ステップＳ２１：Ｎｏルート）、処理は端子Ｂを介して図３のステップＳ１５に移行する。

一方、受信パケットの送信元ＭＡＣアドレスは、ポート１２ａに接続されている装置のＭＡＣアドレスである場合（ステップＳ２１：Ｙｅｓルート）、ポート監視部１０１３は、受信パケットはマルチキャストパケットであるか判定する（ステップＳ２３）。

受信パケットはマルチキャストパケットではない場合（ステップＳ２３：Ｎｏルート）、処理は端子Ｂを介して図３のステップＳ１５に移行する。

一方、受信パケットはマルチキャストパケットである場合（ステップＳ２３：Ｙｅｓルート）、ポート監視部１０１３は、ポート監視部１０１３が管理する送信ＳＳＤＰマルチキャストパケット数を１インクリメントする（ステップＳ２５）。そして処理は端子Ｂを介して図３のステップＳ１５に移行する。

以上のような処理をポート監視部１０１１乃至１０１９が実行すると、各ポートについて、所定時間内の送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数が計数されるようになる。図５は、ポート監視部１０１３が管理するデータの一例を示す図である。図６は、ポート監視部１０１７が管理するデータの一例を示す図である。図７は、ポート監視部１０１９が管理するデータの一例を示す図である。図５乃至図７においては、所定時間内の送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数の履歴が含まれる。

次に、図８乃至図１６を用いて、集計部１０５の判定部１０５１が実行する処理について説明する。

図８は、判定部１０５１が実行する処理の処理フローを示す図である。

判定部１０５１は、前回の処理から上記所定時間が経過した場合、各ポート監視部から、最新の送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数を取得する（図８：ステップＳ３１）。

判定部１０５１は、各ポート監視部が管理する送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数をリセットする（ステップＳ３３）。具体的には、判定部１０５１は、各ポート監視部が管理する送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数に０を設定する。

判定部１０５１は、ポート１１ａ乃至１５ａのうち未処理のポートを１つ特定する（ステップＳ３５）。以下では、ステップＳ３５において特定されたポートを対象ポートと呼ぶ。

判定部１０５１は、１９００／ＵＤＰ宛のパケット（すなわち、宛先ポート番号が１９００番であるＵＤＰパケット）が対象ポートを通過したか判定する（ステップＳ３７）。１９００／ＵＤＰ宛のパケットが対象ポートを通過したか否かは、例えば、対象ポートについて計数されたＳＳＤＰパケット数が０であるか否かにより判定される。

１９００／ＵＤＰ宛のパケットが対象ポートを通過していない場合（ステップＳ３７：Ｎｏルート）、処理はステップＳ４１に移行する。一方、１９００／ＵＤＰ宛のパケットが対象ポートを通過した場合（ステップＳ３７：Ｙｅｓルート）、判定部１０５１は、Ｌ２スイッチ１ａの配下にあるＵＰｎＰデバイスの数の情報を１インクリメントする（ステップＳ３９）。

判定部１０５１は、未処理のポートが有るか判定する（ステップＳ４１）。未処理のポートが有る場合（ステップＳ４１：Ｙｅｓルート）、処理はステップＳ３５に戻る。

一方、未処理のポートが無い場合（ステップＳ４１：Ｎｏルート）、判定部１０５１は、他のＬ２スイッチとの間でＵＰｎＰデバイスの数の情報を共有し、ネットワーク内のＵＰｎＰデバイスの総数を算出する（ステップＳ４３）。ステップＳ４３においては、例えばＬＬＤＰ（Link Layer Discovery Protocol）等のプロトコルに従った通信によりＵＰｎＰデバイスの数の情報が共有される。そして、各Ｌ２スイッチ配下のＵＰｎＰデバイス数の総和によりネットワーク内のＵＰｎＰデバイスの総数が算出される。

判定部１０５１は、ステップＳ４３において算出したＵＰｎＰデバイスの総数と、最新の送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数と、パケット比とを集計データ格納部１０３に格納する（ステップＳ４５）。そして処理は端子Ｃを介して図１２のステップＳ４７に移行する。パケット比は、例えば、（受信ＳＳＤＰユニキャストパケット数）／（送信ＳＳＤＰマルチキャストパケット数）により算出される。

図９乃至図１１に、集計データ格納部１０３に格納されるデータの一例を示す。図９は、ポート監視部１０１３から取得した送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数に基づくデータの一例を示す図である。図１０は、ポート監視部１０１７から取得した送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数に基づくデータの一例を示す図である。図１１は、ポート監視部１０１９から取得した送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数に基づくデータの一例を示す図である。

図１２の説明に移行し、判定部１０５１は、ポート１１ａ乃至ポート１５ａのうち未処理のポートを１つ特定する（図１２：ステップＳ４７）。以下では、ステップＳ４７において特定されたポートを対象ポートと呼ぶ。

判定部１０５１は、ステップＳ４７において特定されたポートについてのデータを集計データ格納部１０３から読み出す（ステップＳ４９）。

判定部１０５１は、算出部１０５３に閾値の算出を指示する。これに応じ、算出部１０５３は、ステップＳ４９において読み出されたデータに含まれるパケット比の統計量に基づき閾値αおよび閾値βを算出する（ステップＳ５１）。統計量とは、例えば、平均および標準偏差である。

図１３乃至図１５を用いて、閾値αおよび閾値βについて説明する。

図１３は、ポート１２ａについてのデータから求めた閾値αおよび閾値βを示す図である。図１３において、横軸はデバイス総数を表し、縦軸はパケット比を表す。ハッチングされていない円形図形はデバイス総数が４であるときのパケット比を表し、ハッチングされた円形図形はデバイス総数が４であるときのパケット比の平均を表す。本実施の形態においては、パケット比の平均に所定値を加えた値が閾値αとして算出され、パケット比の平均から所定値を引いた値が閾値βとして算出される。所定値は、例えば２．５８＊標準偏差であるが、その他の値であってもよい。

図１４は、ポート１４ａについてのデータから求めた閾値αおよび閾値βを示す図であり、図１５は、ポート１５ａについてのデータから求めた閾値αおよび閾値βを示す図である。このように、閾値αおよび閾値βはポート毎に異なる。また、閾値αおよび閾値βは、デバイス総数毎に算出される。

図１６は、デバイス総数に対応するパケット比の分布を示す図である。図１６において、横軸はデバイス総数を表し、縦軸はパケット比を表す。直線１６０１は閾値αの近似直線であり、直線１６０２はパケット比の平均の近似直線であり、直線１６０３は閾値βの近似直線である。点１７０１はデバイス総数がｎ２であるときに算出されたパケット比であり、点１７０２はデバイス総数がｎ３であるときに算出されたパケット比である。図１６から明らかなように、閾値αおよび閾値βはデバイス総数が増えるほど値が大きくなる。そのため、デバイス総数がｎ２であるときは点１７０１に対応するパケット比は閾値αより大きいが、デバイス総数がｎ４であるときは点１７０１に対応するパケット比は閾値αより小さい。また、デバイス総数がｎ３であるときは点１７０２に対応するパケット比は閾値βより小さいが、デバイス総数がｎ１であるときは点１７０２に対応するパケット比は閾値βより大きい。従って、パケット比の絶対値と固定的な閾値とを比較したとしてもリフレクタ攻撃の発生を適切に検知することはできないが、デバイス総数に応じて動的に閾値が設定されるようになれば、リフレクタ攻撃の発生を適切に検知することができるようになる。

図１２の説明に戻り、判定部１０５１は、ステップＳ４５において集計データ格納部１０３に格納したパケット比が閾値αより大きいか判定する（ステップＳ５３）。

ステップＳ４５において集計データ格納部１０３に格納したパケット比が閾値αより大きい場合（ステップＳ５３：Ｙｅｓルート）、判定部１０５１は、以下の処理を実行する。具体的には、判定部１０５１は、対象ポートのポート監視部に対して、被攻撃者であるコントロールポイント３１ａが対象ポートに接続されていることを通知する（ステップＳ５５）。そして処理はステップＳ６１に移行する。これにより、被攻撃者であるコントロールポイント３１ａにパケットが到達することを止めることができるようになる。

一方、ステップＳ４５において集計データ格納部１０３に格納したパケット比が閾値αより大きくない場合（ステップＳ５３：Ｎｏルート）、判定部１０５１は、ステップＳ４５において集計データ格納部１０３に格納したパケット比が閾値βより小さいか判定する（ステップＳ５７）。

ステップＳ４５において集計データ格納部１０３に格納したパケット比が閾値βより小さくない場合（ステップＳ５７：Ｎｏルート）、処理はステップＳ６１に移行する。

一方、ステップＳ４５において集計データ格納部１０３に格納したパケット比が閾値βより小さい場合（ステップＳ５７：Ｙｅｓルート）、対象ポートには攻撃者であるＵＰｎＰデバイスが接続されている。従って、判定部１０５１は、対象ポートを閉塞する（ステップＳ５９）。これにより、攻撃者であるＵＰｎＰデバイスからのパケットがネットワーク上を転送されなくなるので、ネットワークトラフィックを減らすことができる。

判定部１０５１は、未処理のポートが有るか判定する（ステップＳ６１）。未処理のポートが有る場合（ステップＳ６１：Ｙｅｓルート）、処理はステップＳ４７に戻る。一方、未処理のポートが無い場合（ステップＳ６１：Ｎｏルート）、処理は終了する。

以上のように、本実施の形態においてはネットワーク内のデバイスの総数に対応する閾値とパケット比とが比較されるので、リフレクタ攻撃の発生を誤りなく検知することができるようになる。

以下では、第１の実施の形態におけるリフレクタ攻撃の検知並びに攻撃者及び被攻撃者の特定について、具体例を用いて説明する。

ここでは、図１７乃至図１９に示すようにＳＳＤＰパケット数が計数されたとする。図１７は、ポート監視部１０１３が計数したＳＳＤＰパケット数を示す図である。図１８は、ポート監視部１０１７が計数したＳＳＤＰパケット数を示す図である。図１９は、ポート監視部１０１９が計数したＳＳＤＰパケット数を示す図である。

図１７と図５とを比較すると、図１７の例における受信ＳＳＤＰユニキャストパケット数は、図５の例における受信ＳＳＤＰユニキャストパケット数の約１００倍である。図１８と図６とを比較すると、図１８の例における送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数は、図６の例における送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数と同程度である。図１９と図７とを比較すると、図１９の例における送信ＳＳＤＰマルチキャストパケット数は、図７の例における送信ＳＳＤＰマルチキャストパケット数の約１００倍である。

そして、図２０乃至図２２に示すようなデータが集計データ格納部１０３に格納されたとする。図２０は、ポート監視部１０１３が計数したＳＳＤＰパケット数に基づき生成されたデータである。図２１は、ポート監視部１０１７が計数したＳＳＤＰパケット数に基づき生成されたデータである。図２２は、ポート監視部１０１９が計数したＳＳＤＰパケット数に基づき生成されたデータである。

図２０と図９とを比較すると、図２０の例においてはパケット比が約１０００であるのに対して、図９の例においてはパケット比が約１０である。図２１と図１０とを比較すると、図２１の例においてはパケット比が約１０であり、図１０の例においてもパケット比は約１０である。図２２と図１１とを比較すると、図２２の例においてはパケット比が約０．１であり、図１１の例においてはパケット比が約１０である。

図２３は、ポート１２ａについてパケット比と閾値との関係を示す図である。図２４は、ポート１４ａについてパケット比と閾値との関係を示す図である。図２５は、ポート１５ａについてパケット比と閾値との関係を示す図である。

図２３に示すように、ポート１２ａについては、パケット比が閾値αより大きい。図２４に示すように、ポート１４ａについては、パケット比が閾値βより大きく且つ閾値αより小さい。図２５に示すように、ポート１５ａについては、パケット比が閾値βより小さい。以上から、図２６に示すように、ポート１２ａには被攻撃者であるコントロールポイント３１ａが接続されており、ポート１４ａには被攻撃者ではなく且つ攻撃者でもないＵＰｎＰデバイス３３ａが接続されており、ポート１５ａには攻撃者であるＵＰｎＰデバイス３４ａが接続されていると判定される。

第１の実施の形態におけるリフレクタ攻撃の検知並びに攻撃者及び被攻撃者の特定について、別の具体例を用いて説明する。

ここでは、図２７乃至図２９に示すようにＳＳＤＰパケット数が計数されたとする。図２７は、ポート監視部１０１３が計数したＳＳＤＰパケット数を示す図である。図２８は、ポート監視部１０１７が計数したＳＳＤＰパケット数を示す図である。図２９は、ポート監視部１０１９が計数したＳＳＤＰパケット数を示す図である。

図２７と図５とを比較すると、図２７の例における受信ＳＳＤＰユニキャストパケット数は、図５の例における受信ＳＳＤＰユニキャストパケット数の約１００倍である。図２８と図６とを比較すると、図２８の例における送信ＳＳＤＰマルチキャストパケット数は、図６の例における送信ＳＳＤＰマルチキャストパケット数の約５０倍である。図２９と図７とを比較すると、図２９の例における送信ＳＳＤＰマルチキャストパケット数は、図７の例における送信ＳＳＤＰマルチキャストパケット数の約５０倍である。

図３０は、ポート１２ａについてパケット比と閾値との関係を示す図である。図３１は、ポート１４ａについてパケット比と閾値との関係を示す図である。図３２は、ポート１５ａについてパケット比と閾値との関係を示す図である。

図３０に示すように、ポート１２ａについては、パケット比が閾値αより大きい。図３１に示すように、ポート１４ａについては、パケット比が閾値βより小さい。図３２に示すように、ポート１５ａについては、パケット比が閾値βより小さい。以上から、図３３に示すように、ポート１２ａには被攻撃者であるコントロールポイント３１ａが接続されており、ポート１４ａには攻撃者であるＵＰｎＰデバイス３３ａが接続されており、ポート１５ａには攻撃者であるＵＰｎＰデバイス３４ａが接続されていると判定される。

ネットワーク内でリフレクタ攻撃が発生している場合、異常な数のＳＳＤＰパケットをマルチキャストで送信しているＵＰｎＰデバイスが存在し、また、異常な数のＳＳＤＰパケットを受信しているＵＰｎＰデバイスが存在する。しかし、ネットワークの占有に十分な、１台のＵＰｎＰデバイスが送信するＳＳＤＰパケットの数は、ネットワーク内のＵＰｎＰデバイスの総数によって増減する。

そこで、ネットワーク内のＵＰｎＰデバイスの総数に応じて閾値を設定することで、リフレクタ攻撃を検知できるようになる。閾値は自動で設定されるので、ネットワーク管理者の作業負担は発生しない。

また、攻撃者であるＵＰｎＰデバイスおよび被攻撃者であるコントロールポイントを特定し、リフレクタ攻撃に関係するポートについて対策を実行することで、リフレクタ攻撃に関係するパケットによってネットワークが占有されることを抑止できるようになる。

［実施の形態２］
図３４は、第２の実施の形態のシステム概要を示す図である。Ｌ２スイッチ１ａ乃至１ｃは、同一のネットワーク（例えばＬＡＮ）に接続される。Ｌ２スイッチ１ａは、ポート１１ａを介してルータ５に接続され、ポート１２ａを介してＬ２スイッチ１ｂのポート１１ｂに接続され、ポート１３ａを介してＬ２スイッチ１ｃのポート１１ｃに接続される。Ｌ２スイッチ１ｂは、ポート１２ｂを介してコントロールポイント３１ｂに接続され、ポート１３ｂを介してＵＰｎＰデバイス３２ｂに接続され、ポート１４ｂを介してＵＰｎＰデバイス３３ｂに接続され、ポート１５ｂを介してＵＰｎＰデバイス３４ｂに接続される。Ｌ２スイッチ１ｃは、ポート１２ｃを介してＵＰｎＰデバイス３１ｃに接続され、ポート１３ｃを介してＵＰｎＰデバイス３２ｃに接続され、ポート１４ｃを介してＵＰｎＰデバイス３３ｃに接続され、ポート１５ｃを介してＵＰｎＰデバイス３４ｃに接続される。

Ｌ２スイッチ１ａ乃至１ｃの機能ブロック構成は、第１の実施の形態のＬ２スイッチ１ａの機能ブロック構成と同じである。

以下では、第２の実施の形態におけるリフレクタ攻撃の検知並びに攻撃者及び被攻撃者の特定について、具体例を用いて説明する。

リフレクタ攻撃が発生していない状況において、図３５乃至図３７に示すようにＳＳＤＰパケット数が計数されたとする。図３５は、Ｌ２スイッチ１ｂのポート１２ｂについて計数されたたＳＳＤＰパケット数を示す図である。図３６は、Ｌ２スイッチ１ｃのポート１２ｃについて計数されたＳＳＤＰパケット数を示す図である。図３７は、Ｌ２スイッチ１ｃのポート１５ｃについて計数されたＳＳＤＰパケット数を示す図である。

そして、図３８乃至図４０に示すようなデータが集計データ格納部１０３に格納されたとする。図３８は、Ｌ２スイッチ１ｂのポート１２ｂについて計数されたたＳＳＤＰパケット数に基づき生成されたデータである。図３９は、Ｌ２スイッチ１ｃのポート１２ｃについて計数されたＳＳＤＰパケット数に基づき生成されたデータである。図４０は、Ｌ２スイッチ１ｃのポート１５ｃについて計数されたＳＳＤＰパケット数に基づき生成されたデータである。

ここで、リフレクタ攻撃の発生によって、図４１乃至図４３に示すようにＳＳＤＰパケット数が計数されたとする。図４１は、Ｌ２スイッチ１ｂのポート１２ｂについて計数されたＳＳＤＰパケット数を示す図である。図４２は、Ｌ２スイッチ１ｃのポート１２ｃについて計数されたＳＳＤＰパケット数を示す図である。図４３は、Ｌ２スイッチ１ｃのポート１５ｃについて計数されたＳＳＤＰパケット数を示す図である。

図４１と図３５とを比較すると、図４１の例における受信ＳＳＤＰユニキャストパケット数は、図３５の例における受信ＳＳＤＰユニキャストパケット数の約１００倍である。図４２と図３６とを比較すると、図４２の例における送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数は、図３６の例における送信ＳＳＤＰマルチキャストパケット数および受信ＳＳＤＰユニキャストパケット数と同程度である。図４３と図３７とを比較すると、図４３の例における送信ＳＳＤＰマルチキャストパケット数は、図３７の例における送信ＳＳＤＰマルチキャストパケット数の約１００倍である。

以上から、図４４に示すように、Ｌ２スイッチ１ｂのポート１２ｂには被攻撃者であるコントロールポイント３１ｂが接続されており、Ｌ２スイッチ１ｃのポート１２ｃには被攻撃者ではなく且つ攻撃者でもないＵＰｎＰデバイス３１ｃが接続されており、Ｌ２スイッチ１ｃのポート１５ｃには攻撃者であるＵＰｎＰデバイス３４ｃが接続されていると判定される。

以上のように、Ｌ２スイッチが多段で接続されている場合においても、本実施の形態の方法を利用すればリフレクタ攻撃の検知が可能である。また、攻撃者であるＵＰｎＰデバイスおよび被攻撃者であるコントロールポイントを特定することが可能である。

［実施の形態３］
図４５は、第３の実施の形態のシステム概要を示す図である。Ｌ２スイッチ１ａ乃至１ｅは、同一のネットワーク（例えばＬＡＮ）に接続される。Ｌ２スイッチ１ａは、ポート１１ａを介してルータ５に接続され、ポート１２ａを介してＬ２スイッチ１ｂのポート１１ｂに接続され、ポート１３ａを介してＬ２スイッチ１ｃのポート１１ｃに接続され、ポート１４ａを介してＬ２スイッチ１ｄのポート１１ｄに接続され、ポート１５ａを介してＬ２スイッチ１ｅのポート１１ｅに接続される。

Ｌ２スイッチ１ｂ乃至１ｅの各々はＮ（Ｎは２以上の自然数）個のポートを有しており、Ｎ個のポートのうち（Ｎ−１）個にはＬ２スイッチ１ａ以外の装置（具体的には、コントロールポイント又はＵＰｎＰデバイス）が接続される。Ｌ２スイッチ１ｂには、コントロールポイント３１ｂと、（Ｎ−２）台のＵＰｎＰデバイスとが接続される。Ｌ２スイッチ１ｃ乃至Ｌ２スイッチ１ｅには、（Ｎ−１）台のＵＰｎＰデバイスが接続される。

第３の実施の形態のシステムにおいても、リフレクタ攻撃が発生していない場合におけるコントロールポイントのパケット比およびＵＰｎＰデバイスのパケット比は、約１０であるとする。

Ｌ２スイッチ１ａ乃至１ｅの機能ブロック構成は、第１の実施の形態のＬ２スイッチ１ａの機能ブロック構成と同じである。

ここで、リフレクタ攻撃の発生によって、図４６乃至図４８に示すようにＳＳＤＰパケット数が計数されたとする。図４６は、Ｌ２スイッチ１ｂのポート１２ｂについて計数されたＳＳＤＰパケット数を示す図である。図４７は、Ｌ２スイッチ１ｃのポート１３ｃについて計数されたＳＳＤＰパケット数を示す図である。図４８は、Ｌ２スイッチ１ｄのポート１３ｄについて計数されたＳＳＤＰパケット数を示す図である。また、ＵＰｎＰデバイス３２ｃ及びＵＰｎＰデバイス３２ｄ以外のＵＰｎＰデバイスが接続されたポートについても、図４７及び図４８に示した計数結果と同様の計数結果が得られたとする。

図４６の計数結果から、Ｌ２スイッチ１ｂのポート１２ｂに接続されたコントロールポイント３１ｂが被攻撃者であると推定される。しかしながら、図４７及び図４８に示したような計数結果からは、攻撃者であるＵＰｎＰデバイスを特定することができない。

例えば図４９に示すように、Ｌ２スイッチ１ｂ乃至１ｅの各々の配下における２以上のＵＰｎＰデバイスが攻撃者であるケースを考える。このように、ネットワーク内の多数のＵＰｎＰデバイスが攻撃者である場合には、ＵＰｎＰデバイスあたりのＭ−ＳＥＡＲＣＨリクエスト数が少なくてもネットワークを占有できるので、図４７及び図４８に示したような計数結果が得られることがある。従って、ネットワーク内に多数の攻撃者が存在するような場合には攻撃者を特定することができないことがあるが、被攻撃者を特定することはできるので、被攻撃者宛のパケットを廃棄することは可能である。

以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明したＬ２スイッチ１ａ乃至１ｅの機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。

また、上で説明した各テーブル構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。

上記の閾値算出方法は一例であり、他の方法によって閾値を算出してもよい。

閾値の算出に使用する複数のパケット比から、リフレクタ攻撃の発生時のパケット比を除外してもよい。

なお、上で述べたＬ２スイッチ１ａ乃至１ｅは、図５０に示すように、メモリ２６０１とＣＰＵ２６０３とハードディスク・ドライブ（ＨＤＤ）２６０５と表示装置２６０９に接続される表示制御部２６０７とリムーバブル・ディスク２６１１用のドライブ装置２６１３と入力装置２６１５とネットワークに接続するための通信制御部２６１７（図５０では、２６１７ａ乃至２６１７ｃ）とがバス２６１９で接続されている構成の場合もある。なお、場合によっては、表示制御部２６０７、表示装置２６０９、ドライブ装置２６１３、入力装置２６１５は含まれない場合もある。オペレーティング・システム（ＯＳ：Operating System）及び本実施の形態における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２６０５に格納されており、ＣＰＵ２６０３により実行される際にはＨＤＤ２６０５からメモリ２６０１に読み出される。必要に応じてＣＰＵ２６０３は、表示制御部２６０７、通信制御部２６１７、ドライブ装置２６１３を制御して、必要な動作を行わせる。なお、通信制御部２６１７のいずれかを介して入力されたデータは、他の通信制御部２６１７を介して出力される。ＣＰＵ２６０３は、通信制御部２６１７を制御して、適切に出力先を切り替える。また、処理途中のデータについては、メモリ２６０１に格納され、必要があればＨＤＤ２６０５に格納される。本技術の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２６１１に格納されて頒布され、ドライブ装置２６１３からＨＤＤ２６０５にインストールされる。インターネットなどのネットワーク及び通信制御部２６１７を経由して、ＨＤＤ２６０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２６０３、メモリ２６０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態の第１の態様に係る中継装置は、（Ａ）中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、ポートに接続された情報処理装置が送信した所定プロトコルのパケットの数である第２の数とを計数する計数部（実施の形態におけるポート監視部は計数部の一例である）と、（Ｂ）第１の数と第２の数とに基づき算出された指標値と、中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、中継装置または他の中継装置に接続された情報処理装置による攻撃が発生したか判定する判定部（実施の形態における判定部１０５１は判定部の一例である）とを有する。

ネットワーク内の情報処理装置の数によって適切な閾値の数が変わるため、上記のような閾値を利用することで、リフレクタ攻撃の発生を適切に検知することができるようになる。

また、閾値は、第１の閾値と第１の閾値より小さい第２の閾値とを含んでもよい。そして、本中継装置は、（Ｃ）中継装置または他の中継装置に接続されている情報処理装置の数を、情報処理装置の接続情報と他の中継装置から受信した接続情報とに基づき特定し、第１の閾値および第２の閾値を指標値の統計量に基づき算出する算出部（実施の形態における算出部１０５３は算出部の一例である）をさらに有してもよい。

統計量を利用することで適切な第１の閾値および第２の閾値を算出できるようになる。

また、計数部は、（ａ１）指標値が第１の閾値より大きい場合にポートへのパケットを廃棄してもよい。そして、判定部は、（ｂ１）指標値が第２の閾値より小さい場合にポートを閉塞してもよい。

攻撃者に該当する情報処理装置が例えばＭ−ＳＥＡＲＣＨ等のメッセージを送信すること及び被攻撃者に該当する情報処理装置が多数のパケットを受信することを抑止できるようになる。

また、指標値は、第２の数に対する第１の数の比であってもよい。

パケットの絶対数だけで判定を行うことは適切ではない。上記のような比を利用すれば、適切に判定を行えるようになる。

また、第１の数は、ポートに接続された情報処理装置を宛先とする所定プロトコルのユニキャストパケットの数であり、第２の数は、ポートに接続された情報処理装置が送信した所定プロトコルのマルチキャストパケットの数であってもよい。

また、所定のプロトコルは、ネットワーク内の情報処理装置の検出および接続に関する通信プロトコルであってもよい。

本実施の形態の第２の態様に係る攻撃検知方法は、（Ｄ）中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、ポートに接続された情報処理装置が送信した所定プロトコルのパケットの数である第２の数とを計数し、（Ｅ）第１の数と第２の数とに基づき算出された指標値と、中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、中継装置または他の中継装置に接続された情報処理装置による攻撃が発生したか判定する処理を含む。

なお、上記方法による処理をプロセッサに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
中継装置であって、
前記中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのパケットの数である第２の数とを計数する計数部と、
前記第１の数と前記第２の数とに基づき算出された指標値と、前記中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、前記中継装置または前記他の中継装置に接続された情報処理装置による攻撃が発生したか判定する判定部と、
を有する中継装置。

（付記２）
前記閾値は、第１の閾値と前記第１の閾値より小さい第２の閾値とを含み、
前記中継装置または他の中継装置に接続されている情報処理装置の数を、前記情報処理装置の接続情報と前記他の中継装置から受信した接続情報とに基づき特定し、前記第１の閾値および前記第２の閾値を前記指標値の統計量に基づき算出する算出部
をさらに有する付記１記載の中継装置。

（付記３）
前記計数部は、
前記指標値が前記第１の閾値より大きい場合に前記ポートへのパケットを廃棄し、
前記判定部は、
前記指標値が前記第２の閾値より小さい場合に前記ポートを閉塞する、
付記２記載の中継装置。

（付記４）
前記指標値は、前記第２の数に対する前記第１の数の比である、
付記１乃至３のいずれか１つ記載の中継装置。

（付記５）
前記第１の数は、前記ポートに接続された情報処理装置を宛先とする前記所定プロトコルのユニキャストパケットの数であり、前記第２の数は、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのマルチキャストパケットの数である、
付記１乃至４のいずれか１つ記載の中継装置。

（付記６）
前記所定のプロトコルは、ネットワーク内の情報処理装置の検出および接続に関する通信プロトコルである、
付記１乃至５のいずれか１つ記載の中継装置。

（付記７）
プロセッサが、
中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのパケットの数である第２の数とを計数し、
前記第１の数と前記第２の数とに基づき算出された指標値と、前記中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、前記中継装置または前記他の中継装置に接続された情報処理装置による攻撃が発生したか判定する、
処理を実行する攻撃検知方法。

（付記８）
プロセッサに、
中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのパケットの数である第２の数とを計数し、
前記第１の数と前記第２の数とに基づき算出された指標値と、前記中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、前記中継装置または前記他の中継装置に接続された情報処理装置による攻撃が発生したか判定する、
処理を実行させる攻撃検知プログラム。

１ａ，１ｂ，１ｃ，１ｄ，１ｅ Ｌ２スイッチ ５ ルータ
３１ａ コントロールポイント
３２ａ，３３ａ，３４ａ，３５ａ ＵＰｎＰデバイス
３１ｂ，３２ｂ，３３ｂ，３４ｂ，３５ｂ ＵＰｎＰデバイス
３１ｃ，３２ｃ，３３ｃ，３４ｃ，３５ｃ ＵＰｎＰデバイス
３１ｄ，３２ｄ ＵＰｎＰデバイス ３１ｅ，３２ｅ ＵＰｎＰデバイス
１０１１，１０１３，１０１５，１０１７，１０１９ ポート監視部
１０３ 集計データ格納部
１０５ 集計部
１０５１ 判定部 １０５３ 算出部
１０７ 中継部

Claims (6)

1. 中継装置であって、
   前記中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのパケットの数である第２の数とを計数する計数部と、
   前記第１の数と前記第２の数とに基づき算出された指標値と、前記中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、前記中継装置または前記他の中継装置に接続された情報処理装置による攻撃が発生したか判定する判定部と、
   を有する中継装置。
2. 前記閾値は、第１の閾値と前記第１の閾値より小さい第２の閾値とを含み、
   前記中継装置または他の中継装置に接続されている情報処理装置の数を、前記情報処理装置の接続情報と前記他の中継装置から受信した接続情報とに基づき特定し、前記第１の閾値および前記第２の閾値を前記指標値の統計量に基づき算出する算出部
   をさらに有する請求項１記載の中継装置。
3. 前記計数部は、
   前記指標値が前記第１の閾値より大きい場合に前記ポートへのパケットを廃棄し、
   前記判定部は、
   前記指標値が前記第２の閾値より小さい場合に前記ポートを閉塞する、
   請求項２記載の中継装置。
4. 前記指標値は、前記第２の数に対する前記第１の数の比である、
   請求項１乃至３のいずれか１つ記載の中継装置。
5. プロセッサが、
   中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのパケットの数である第２の数とを計数し、
   前記第１の数と前記第２の数とに基づき算出された指標値と、前記中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、前記中継装置または前記他の中継装置に接続された情報処理装置による攻撃が発生したか判定する、
   処理を実行する攻撃検知方法。
6. プロセッサに、
   中継装置のポートに接続された情報処理装置を宛先とする所定プロトコルのパケットの数である第１の数と、前記ポートに接続された情報処理装置が送信した前記所定プロトコルのパケットの数である第２の数とを計数し、
   前記第１の数と前記第２の数とに基づき算出された指標値と、前記中継装置または他の中継装置に接続されている情報処理装置の数に対応する閾値との比較に基づき、前記中継装置または前記他の中継装置に接続された情報処理装置による攻撃が発生したか判定する、
   処理を実行させる攻撃検知プログラム。

Images