JP3819368B2 - 通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラム - Google Patents
通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラム Download PDFInfo
- Publication number
- JP3819368B2 JP3819368B2 JP2003045957A JP2003045957A JP3819368B2 JP 3819368 B2 JP3819368 B2 JP 3819368B2 JP 2003045957 A JP2003045957 A JP 2003045957A JP 2003045957 A JP2003045957 A JP 2003045957A JP 3819368 B2 JP3819368 B2 JP 3819368B2
- Authority
- JP
- Japan
- Prior art keywords
- value
- connection request
- communication control
- weight
- packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
- H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
- H04L69/167—Adaptation for transition between two IP versions, e.g. between IPv4 and IPv6
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/22—Parsing or analysis of headers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Communication Control (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ＩＰｖ６アドレスを用いた環境において、不適切な接続要求を制限する為の通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラムに関する。
【０００２】
【従来の技術】
近年、世界最大のコンピュータネットワーク「インターネット(Internet)」の利用が普及している。利用者側はインターネットと接続して公開されている情報やサービスを利用する。逆に、企業側は、インターネットを通してアクセスしてくる利用者に対し、情報やサービスを提供することで、新たなコンピュータビジネスを開拓している。このインターネットの利用に関しての新たな技術開発及びその展開は近年目覚ましい。インターネットの世界では、各端末はＩＰアドレスと呼ばれる識別子をもち、このＩＰアドレスを元にパケットの交換が行われている。一例として、トランスミッション・コントロール・プロトコル（ＴＣＰ）（例えば、非特許文献１参照。）では、送受信者それぞれのＩＰアドレスとポート番号の４つ組でその接続が識別される。ＴＣＰはコネクション型プロトコルである為、各端末はＴＣＰの接続を行なった場合には最低でもこの４つ組を記憶する必要がある。悪意の第三者は、この性質を利用して、必要の無い接続を要求し、対象となる端末のハードウェア及びソフトウェアの資源（以下、「資源」と記載）を枯渇させる攻撃を行なうことがある。
【０００３】
現在主に使われているインターネットプロトコルバージョン４（ＩＰｖ４）では、アドレス空間は３２ビットで、アドレスの枯渇にともないユーザに割り当てられるアドレスは非常に少ないものとなりつつある。この為、同じＩＰアドレスからの接続数を制限することにより、このような資源を枯渇させる攻撃を回避してきた。
【０００４】
近年はインターネットプロトコルバージョン６（ＩＰｖ６）の開発及び実用化が進んでいる。ＩＰｖ６では、アドレス空間は１２８ビットに拡張されている。
【０００５】
【非特許文献１】
IETF RFC793 Transmission Control Protocol, Darpa Internet Program, Protocol specification、September 1981
【０００６】
【非特許文献２】
IETF RFC2460 Internet Protocol, Version 6(IPv6) Specification, December 1998
【０００７】
【発明が解決しようとする課題】
しかし、ＩＰｖ６では、アドレス空間が１２８ビットに拡張されている分、一つのネットワークは６４ビット分のアドレスを収容可能となっている。ＩＰｖ６ではこの広大なアドレス空間を利用した有益性が多数存在するが、一方でこのアドレス空間の広さが悪意の第三者に対して有益に働くという問題がある。つまり、あるネットワークに端末を接続した悪意の第三者はほぼ６４ビットのアドレス幅を利用して対象となる端末の攻撃を行なうことが可能となる。更に、ＩＰｖ６では個人でも複数のネットワークを収容可能とする為、より広いアドレス空間を割り当てることが考えられる。この為、ＩＰｖ６では、悪意の第三者による資源を枯渇させる攻撃等に対し、従来のＩＰｖ４のような単純なアドレスの比較では攻撃を回避することは出来ない。
【０００８】
本発明は上記問題点を解決する為になされたものであり、ＩＰｖ６アドレスを用いた通信において、送信元の正当性を検証し不適切な接続要求を制限することにより悪意の第三者による資源枯渇の攻撃を回避する為の通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラムに関する。
【０００９】
【課題を解決するための手段】
上記の問題点を解決するための本発明の第１の特徴は、通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置され、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する記憶手段と、前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信する接続要求受信手段と、前記接続要求受信手段で受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を前記記憶手段から取得する重み検出手段と、前記重み検出手段で取得した重み付け値が予め設定された値を超えるときは、前記通信装置に接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、前記重み検出手段で取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行う接続制御手段と、前記接続制御手段で接続処理が行われたときは、前記記憶手段に記憶されている前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える重み加算手段と、前記接続制御手段で接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信するパケット送信手段とを具備する通信制御装置であることを要旨とする。
【００１０】
また、本発明の第２の特徴は、通信装置にネットワークを介して接続され、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する記憶手段と、前記通信装置から送信された接続要求パケットを受信する接続要求受信手段と、前記接続要求受信手段で受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を前記記憶手段から取得する重み検出手段と、前記重み検出手段で取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源を所定の値以上消費すると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、前記重み検出手段で取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行う接続制御手段と、前記接続制御手段で接続処理が行われたときは、前記記憶手段に記憶されている前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える重み加算手段とを具備する通信制御付サーバ装置であることを要旨とする。
【００１１】
本発明の第３の特徴は、通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置された通信制御装置が、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶し、前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信し、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得し、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行い、前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加え、前記接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信する通信制御方法であることを要旨とする。
【００１２】
本発明の第４の特徴は、通信装置にネットワークを介して接続された通信制御付サーバ装置が、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶し、前記通信装置から送信された接続要求パケットを受信し、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得し、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行い、前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加えることを特徴とする通信制御付サーバ装置による通信制御方法であることを要旨とする。
【００１３】
本発明の第５の特徴は、通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置されたコンピュータに、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する機能と、前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信する機能と、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得する機能と、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行う機能と、前記接続処理が行われたときに、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える機能と、前記接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信する機能とを実行させる通信制御プログラムであることを要旨とする。
【００１４】
本発明の第６の特徴は、通信装置にネットワークを介して接続された通信制御付サーバ装置が、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する機能と、前記通信装置から送信された接続要求パケットを受信する機能と、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得する機能と、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行う機能と、前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える機能とを実行させる通信制御プログラムであることを要旨とする。
【００１５】
【発明の実施の形態】
（第１の実施の形態）
（通信接続システム）
本発明の第１の実施の形態に係る通信接続システムは、図１に示すように、通信制御装置１００、通信サーバ装置１、ＬＡＮケーブル２に接続する通信装置２ａ、２ｂ、ＬＡＮケーブル３に接続する通信装置３ａ、ＬＡＮケーブル４に接続する通信装置４ａ、ＬＡＮケーブル５に接続する通信装置５ａ、各通信装置と通信サーバ装置１を接続するネットワーク６等から構成される。尚、ネットワーク６とは、有線、無線等を問わず、通信媒体を介してデータ伝送を行うインターネット等の通信網を指すものとする。
【００１６】
各ＬＡＮケーブルに接続された通信装置２ａ、２ｂ、３ａ、４ａ、５ａは、ネットワーク６を介して、通信サーバ装置１に対し適宜接続を要求する。この際、通信制御装置１００は、通信装置２ａ、２ｂ、３ａ、４ａ、５ａの内に、接続の要求を不必要に多発させ、通信サーバ装置１の資源を多量に使用している通信装置が存在するか否かを監視する。この監視はパケットの送信元アドレスに「重み」を付加し、この重みにより、そのパケットの送信元がどれぐらい偏っているかを測定することにより行なわれる。つまり、同じ送信元から資源消費が行なわれるパケットがくるたびに、その送信元アドレスは重くなっていくように処理する。又、通信制御装置１００は、その重みに従って、対象となるパケットの処理を決定する。例えば、非常に重いパケットは、接続の要求を不必要に多発させている通信装置からのものであると判断し、その通信装置からの接続要求は通信サーバ装置１に送信せず廃棄する等の制御を行なう。尚、通信制御装置１００の機能は、コンピュータに所定の機能を実現するソフトウェアプログラムをインストールすること等により実現される。
【００１７】
（通信制御装置）
本発明の第１の実施の形態に係る通信制御装置１００は、図２に示すように、記憶装置１０、入力装置１１、出力装置１２、通信制御装置１３、主記憶装置１４及び処理制御装置（ＣＰＵ）１５等を備えている。記憶装置１０は、受信パケット記憶装置１６、資源記憶装置１７、パケット分割記憶装置１８、重み記憶装置１９、重み判断記憶装置２０及びプログラム記憶装置３１等から構成される。
【００１８】
受信パケット記憶装置１６は、通信装置２ａ、２ｂ、３ａ、４ａ、５ａから送信された接続要求の為のパケットを受信し、一時記憶する。資源記憶装置１７は、受信したパケットの資源カテゴリ情報を記憶する。
【００１９】
パケット分割記憶装置１８は、パケットが保持するアドレスの分割位置を定めたアドレス構造を記憶する。重み記憶装置１９は、図５に示すように、分割部分の現在の重み、パケットの分割部毎の加重変数及び加重後の重みを記憶する。重み判断記憶装置２０は、重みを検出した結果、その重みが基準値以上であるか以下であるかを判定するための基準値テーブルを記憶する。又、判定の結果、そのパケットに対しどのような処理を行うかについても記憶する。プログラム記憶装置３１は、ＣＰＵ１５が処理を行うプログラムを記憶する。
【００２０】
ＣＰＵ１５は、接続要求受信手段１５ａ、資源検出手段１５ｂ、パケット分割手段１５ｃ、重み検出手段１５ｄ、接続制御手段１５ｅ、重み加算手段１５ｆ及びパケット送信手段１５ｇ等を備えている。
【００２１】
接続要求受信手段１５ａは、通信装置２ａ、２ｂ、３ａ、４ａ、５ａから送信された接続要求を受信するモジュールである。資源検出手段１５ｂは、第１の検出手段であり、受信したパケットの資源を検出するモジュールである。例えば、受信パケットがシンクロナイズフラグパケット（ＳＹＮパケット）であった場合、ＳＹＮパケットはＴＣＰのコネクション確立要求のパケットである為、この資源カテゴリはＴＣＰであると検出する。パケット分割手段１５ｃは、パケット分割記憶装置１８に記憶されるパケットの分割情報を基に、受信パケットの分割を行なうモジュールである。パケット分割手段１５ｃは、このアドレス構造の特徴を考慮してパケットの分割を行なう。例として図３では、１２８ビットのパケットを４８ビット目、６４ビット目にて単純に３分割する。結果、Ｐ１領域４８ビット、Ｐ２領域１６ビット及びＰ３領域６４ビットに分割する構造となる。図４では、パケットを４８ビット目、６４ビット目にて３分割し、先頭ビットからの累積値をとる。よって、Ｐ１領域４８ビット、Ｐ２領域６４ビット及びＰ３領域１２８ビットに分割する構造となる。
【００２２】
重み検出手段１５ｄは、第２の検出手段であり、接続要求が資源の所定の値以上を消費するか否かを検出するモジュールである。更に、記憶装置１０に記憶されたアドレスに関する情報が同一若しくは近隣のネットワークに属する通信装置のアドレスに基づくものであるか否かを検出するモジュールである。具体的には、重み検出手段１５ｄは、受信パケットの送信元アドレスの重みを、重み記憶装置１９内の情報より検出し、この重みを基に、一定以上の資源を消費するか、同一通信装置又は近隣のネットワークに属する通信装置から送信されているか否かを判断する。尚、ＩＰｖ６アドレスは上位のネットワーク部の書き換えが可能である為、近隣のネットワークを指すアドレスを偽って、同一通信装置より送信されていることもありえる。接続制御手段１５ｅは、検出された送信元アドレスの重みを基に、通信サーバ装置１に接続するか否かの判断を制御するモジュールである。重み加算手段１５ｆは、送信元アドレスの重みが適正範囲であると判定され、通信サーバ装置１に送信される場合、この送信元アドレスの重みに新たな重みを加えるモジュールである。パケット送信手段１５ｇは、接続許可された受信パケット、例えばＳＹＮパケットを通信サーバ装置１に送信するモジュールである。
【００２３】
入力装置１１は、通信装置２ａ、２ｂ、３ａ、４ａ、５ａ等からＳＹＮパケット等のパケットを受信するインタフェースである。出力装置１２は、通信サーバ装置１に対し、接続可能と許可したＳＹＮパケット等のパケットを送信するインタフェースである。通信制御装置１３は、無線、有線等の通信回線を介してパケットを他の通信装置等のノード及びルータ等に送受信する為の制御信号を生成する。主記憶装置１４は、処理の手順を記述したプログラムや処理されるべきパケット等のデータを一時的に記憶し、ＣＰＵ１５の要請に従ってプログラムの機械命令やデータを引き渡す。ＣＰＵ１５で処理されたデータは主記憶装置に書き込まれる。主記憶装置１４とＣＰＵ１５はアドレスバス、データバス、制御信号等で結ばれている。
【００２４】
（通信制御方法）
次に、通信制御装置１００の動作について図７を用いて説明する。
【００２５】
（ａ）ステップＳ１０１において、通信制御装置１００の接続要求受信手段１５ａは、通信装置２ａ、２ｂ、３ａ、４ａ、５ａのいずれかから送信されたパケットを受信し、受信パケット記憶装置１６にて一時記憶させる。
【００２６】
（ｂ）ステップＳ１０２において、資源検出手段１５ｂは、受信パケット記憶装置１６にて一時記憶されているパケットを取り出し、このパケットの資源カテゴリを検出する。例えば、ＳＹＮパケットであった場合、このパケットはＴＣＰの資源カテゴリに属すると検出される。
【００２７】
（ｃ）ステップＳ１０３において、パケット分割手段１５ｃは、パケット分割記憶装置１８内の情報を基に、受信パケットの送信元アドレスを図３及び図４のように分割する。
【００２８】
（ｄ）ステップＳ１０４において、重み検出手段１５ｄは、重み記憶装置１９を基に、分割された受信パケットの、分割部分毎の重みを検出する。例えば、重み記憶装置１９の、図５（ａ）の分割部分の現在の重み「Ｐ１：１、Ｐ２：２、Ｐ３：３」の部分を検出する。
【００２９】
（ｅ）ステップＳ１０５において、接続制御手段１５ｅは、検出された現在の分割部分の重みが基準値内であるか否かを判断する。この基準値はプログラム等によって予め設定されている。
【００３０】
（ｆ）重みが基準値内であると判断された場合、ステップＳ１０６に進み、重みが基準値内であっても、ある特徴が発見されたパケットに対しては一定の送信条件を設定する。送信条件の設定は図６の重み判断記憶装置２０の内容を基に行なう。例えば、重みが基準値内であっても、単位時間内の重みの差分が大きい、つまり、短時間に集中的に一定の通信装置よりパケットを受信している場合、悪意がある可能性が高いと判断し、通信サーバ装置１へこのパケットを送信することを大幅に遅延させる。又、現在の全体の重み平均より重い場合、つまり他の通信装置と比較し、若干パケットの受信回数が多い場合は、悪意がある可能性が低いにせよ考えられると判断して、通信サーバ装置１へこのパケットを送信することを少し遅延させる。尚、全体の重み平均より軽い場合は、通常どおりの速度にて送信処理をおこなう。
【００３１】
（ｇ）ステップＳ１０７においては、重み加算手段１５ｆが、パケットの重みを加える。加重は重み記憶装置１９に記憶される「重み」と「分割部分の加重変数」を基に行なう。加重変数は基準の重みに対する加算、掛算等の為に用いる。Ｐ１、Ｐ２、Ｐ３の各加重変数は全部同じ値にしても良いし、一部の分割部分に高い加重をかけてもよい。ＩＰｖ６アドレスにおいては図３及び図４のネットワークプレフィックス部（Ｐ１+Ｐ２）は可変長で上位のネットワークを特定する。これに対しインタフェースＩＤ部（Ｐ３）は通信装置２ａ、２ｂ、３ａ、４ａ、５ａが各々有するユニークなＭＡＣアドレスを基に作成されるので通信装置２ａ、２ｂ、３ａ、４ａ、５ａを特定することができる。つまり、Ｐ１やＰ１＋Ｐ２が同じであれば近い若しくは同じネットワークに存在する通信装置からのパケットであり、Ｐ１+Ｐ２+Ｐ３が同じであると、全く同じ通信装置からのパケットであるといえる。この為、Ｐ１≦Ｐ２≦Ｐ３と加重をかけるのが好ましい。図５（ｃ）では加重後の重みはＰ１：１（１＊１）、Ｐ２：２（１＊２）Ｐ３：６（２＊３）となる。
【００３２】
尚、重みは、通信サーバ装置１に現在の資源の消費がどの送信元アドレスからきているかをすべて問い合わせ、攻撃の可能性があると判断される通信装置を特定し、この特定された通信装置のみのアドレスを受信パケット記憶装置に１６に記憶してから計算してもよい。
【００３３】
（ｈ）最後にステップＳ１０８では、パケット送信手段１５ｇは、重みを加えられたパケットを通信サーバ装置１に対して送信する。
【００３４】
本発明の第１の実施の形態に係る通信制御装置１００によると、資源検出及び重み検出を行なうことにより、パケットの送信元の正当性を検証することができる。更に、この検証結果を基に、接続制御手段が不適切な接続要求を受信拒否する等の制限を行なうことにより悪意の第三者による資源枯渇の攻撃を回避することが可能となる。
【００３５】
通信制御装置１００はブリッジやルータに埋め込んでもよい。通信制御装置１００は、保護対象の通信サーバ装置１の為に通信サーバ装置１宛のパケットを他の独自の手法により処理してもよいし、通信サーバ装置１に受信したパケットの重みを通知してもよい。通知方式にはフローラベル（flow label）やトラフィッククラス（traffic class)の値を適宜書き換える等の手法が考えられる。あるいは通信制御装置１００自体がディフサーブ（diffserv）のようなサービス管理手法を利用して通信サーバ装置１へのトラフィックを制御してもよい。例として、通信サーバ装置１及び通信制御装置１００のメンテナンスする側と攻撃者側が、近いネットワークに属している場合は、重みによる通信制御を行なっていても攻撃が発生する。その為、通信制御装置１００は、特別な条件を満たせば「重み」に関係なく接続を受け入れられる領域を持っても良い。具体的には、正しくＩＰｓｅｃが行なわれていれば「重い」送信元アドレスからでも接続を受け入れるというような方法が考えられる。この場合、以下の第２の実施の形態に述べるような、通信制御装置１００が通信サーバ装置１内に搭載されている装置の方が有利である。
【００３６】
（第２の実施の形態）
（通信接続システム）
次に、図１の通信制御装置１００が通信サーバ装置１内に搭載されている通信制御付サーバ装置２００について説明する。その他の装置については図１の通信制御装置１００の通信接続システムと同様である為説明を省略する。
【００３７】
（通信制御付サーバ装置）
本発明の第２の実施の形態に係る通信制御付サーバ装置２００は、図８に示すように、記憶装置４０、入力装置２１、出力装置２２、通信制御装置２３、主記憶装置２４及び処理制御装置（ＣＰＵ）２５等を備えている。
【００３８】
記憶装置４０は、受信パケット記憶装置２６、資源記憶装置２７、パケット分割記憶装置２８、重み記憶装置２９、重み判断記憶装置３０、プログラム記憶装置３１、重み履歴記憶装置３２及びサーバ処理記憶装置３３等から構成される。
【００３９】
重み履歴記憶装置３２は、同一若しくは近くのネットワークに属する送信元から受信したパケットの重みの変化、つまり重みの履歴を、図９に示すように単位時間毎に記憶する。
【００４０】
サーバ処理記憶装置３３は、通常のクライアントサーバ接続を行い、通信端末に対し一定のサービス処理を行なう際に必要な情報を記憶する。
【００４１】
ＣＰＵ２５は、接続要求受信手段２５ａ、資源検出手段２５ｂ、パケット分割手段２５ｃ、重み検出手段２５ｄ、接続制御手段２５ｅ、重み加算手段２５ｆ、重み減算手段２５ｇ、接続応答送信手段２５ｈ及びサーバ処理手段２５ｉ等を備えている。重み減算手段２５ｇは、送信元アドレスの重みが適正範囲であると判定され、通信サーバ装置１に送信される場合、この送信元アドレスの重みを減らすモジュールである。サーバ処理手段２５ｉは、通常のクライアントサーバ接続を行い、通信端末に対し一定のサービス処理を行うモジュールである。その他の装置については第１の実施の形態と同様のものを使用するため説明を省略する。
【００４２】
（通信制御方法）
次に、通信制御付サーバ装置２００の動作について図１０を用いて説明する。
【００４３】
（ａ）ステップＳ２０１において、通信制御付サーバ装置２００の接続要求受信手段２５ａは、通信装置２ａ、２ｂ、３ａ、４ａ、５ａのいずれかから送信されたパケットを受信し、受信パケット記憶装置２６にて一時記憶させる。
【００４４】
（ｂ）ステップＳ２０２において、資源検出手段２５ｂは、受信パケット記憶装置２６にて一時記憶されているパケットを取り出し、このパケットの資源カテゴリを検出する。
【００４５】
（ｃ）ステップＳ２０３において、パケット分割手段２５ｃは、パケット分割記憶装置２８内の情報を基に、受信パケットの送信元アドレスを図３及び図４のように分割する。
【００４６】
（ｄ）ステップＳ２０４において、重み検出手段２５ｄは、重み記憶装置２９を基に、分割された受信パケットの、分割部分毎の重みを検出する。
【００４７】
（ｆ）ステップＳ２０５において、重み検出手段２５ｄは、重み履歴記憶装置３２より、分割された受信パケットの、分割部分毎の重みの履歴を検出する。
【００４８】
（ｅ）ステップＳ２０６において、接続制御手段２５ｅは、検出された現在の分割部分の重みが基準値内であるか否かを判断する。この基準値はプログラム等によって予め設定されている。更に、重みの履歴が適正であるか否かを判断する。例えば、同一若しくはそれに近いネットワークに属する通信装置より僅か数時間の間に通常の域を越える量のパケットが送られてきた結果の重みであるか、通常の域で単純にパケットが送られてきた結果の重みであるか等を判断する。
【００４９】
（ｇ）ステップＳ２０７においては、ステップＳ２０６で、重みが基準値外であり、且つ、重みの履歴が正常であった場合、何らかの事情により一定期間に接続要求が集中しただけであるとみなし、重み減算手段２５ｇはそのパケットの重みを減算する。
【００５０】
（ｈ）ステップＳ２０８においては、ステップＳ２０６で、重みが基準値内であった場合、重み加算手段１５ｆが、パケットの重みを加える。加重は重み記憶装置１９に記憶される「重み」と「分割部分の加重変数」を基に行なう。
【００５１】
（ｉ）ステップＳ２０９においては、ステップＳ２０６で、重みが基準値外であり、且つ、重みの履歴が異常であった場合、このパケットの送信元通信装置は敵意を持って攻撃しているとみなし、このパケットを廃棄する。
【００５２】
（ｊ）ステップＳ２１０においては、ステップＳ２０７及びＳ２０８で重みが基準値内であっても、ある特徴が発見されたパケットに対し、図６の重み判断記憶装置３０に記憶された情報を基に、サーバ処理手段２５ｉでの処理条件を設定する。サーバ処理手段２５ｉでは、アクノレッジメント（ＡＣＫ）パケット、ＡＣＫ/ＳＹＮパケット等の接続応答パケットを作成する。
【００５３】
（ｋ）最後にステップＳ２１１では、接続応答送信手段２５ｈは、接続応答パケットを受信したパケットの送信元アドレスに対して送信する。
【００５４】
本発明の第２の実施の形態に係る通信制御付サーバ装置２００によると、資源、重み及びその重みの履歴の検出を行なうことにより、パケットの送信元の正当性及び攻撃性を具体的に検証することができる。更に、この検証結果を基に、接続制御手段が不適切な接続要求を受信拒否する等の制限を行なうことにより悪意の第三者による資源枯渇の攻撃を回避することが可能となる。
【００５５】
通信制御付サーバ装置２００は、通信制御機能とサーバ機能を備えている為、ＩＰｓｅｃペイロードの正当性を判断する為のセキュリティアソシエイションの譲渡が行ないやすい。この為、通信サーバ装置１及び通信制御装置１００のメンテナンスする側と攻撃者側が、近いネットワークに属している場合に発生する攻撃に対しても、特別な条件を満たせば「重み」に関係なく接続を受け入れることができる。具体的には、正しくＩＰｓｅｃが行なわれていれば「重い」送信元アドレスからでも接続を受け入れる等の手法がある。
【００５６】
（重み計算処理の実施例）
通信装置２ａ、２ｂ、３ａ、４ａ、５ａ等から多くの接続要求等を受ける通信サーバでは、重みを求める処理の割合が非常に高くなる。この為、多少重みにずれが生じても、近似的且つ効率的に重みを計算できる手法が望ましい。一例としてハッシュ表を用いた計算処理の手法について、図１１を参照して説明する。
【００５７】
（ａ）先ず、あるパケットのＰ１、Ｐ２、Ｐ３のハッシュ表を作成する。ハッシュ表はＰ１、Ｐ２、Ｐ３をハッシュ演算して小さめな有限のビット長ｋで表せる値にする。つまり、ハッシュ表の配列のインデックス値をｋとする。その後この配列の中にＰ１をハッシュ演算した値Ｈ(Ｐ１）と、Ｐ２をハッシュ演算した値Ｈ(Ｐ２）と、Ｐ３をハッシュ演算した値Ｈ(Ｐ３）をそれぞれ入力する。Ｐ１、Ｐ２、Ｐ３アドレスを数値化した値を、図３のように単純分割して計算する場合、木構造のハッシュ表を作成し、図４のように累積して計算する場合、Ｐ１、Ｐ２、Ｐ３用の３つのハッシュ表を作成する。
【００５８】
（ｂ）作成したＰ１のハッシュ表には、該当領域のハッシュ演算の通過回数（重みの値）が記述されている。つまり、ハッシュ表内の同配列領域を演算が通過した回数をそのまま重みの値としてカウントする。例えば配列のインデックスが３で、アドレス（０）（１）（２）を有していた場合、ハッシュ表作成の際に、アドレス（１）を通過した演算が１回あった場合には重みは１、アドレス（２）を通過した演算が２回あった場合には重みは２、アドレス（３）を通過した演算が３回あった場合には重みは３となる。重みの値は図示しない重み記憶領域に加算され、記憶される。この重みの値をＷ１とする。
【００５９】
又、Ｐ１のハッシュ表には、Ｈ(Ｐ２)のハッシュ表の位置(例えばその領域へのポインタ)が記述されている。これに従って次のハッシュ表Ｈ(Ｐ２)に進む。
【００６０】
（ｃ）Ｐ２のハッシュ表には、該当領域のハッシュ演算の通過回数（重みの値）が記述されている。その重みの値を図示しない重み記憶領域に加算し、記憶する。この重みの値をＷ２とする。又、Ｐ２のハッシュ表には、Ｈ(Ｐ３)のハッシュ表の位置(例えばその領域へのポインタ)が記述されている。これに従って次のハッシュ表Ｈ(Ｐ３)に進む。
【００６１】
（ｄ）Ｐ３のハッシュ表には、該当領域のハッシュ演算の通過回数（重みの値）が記述されている。その重みの値を図示しない重み記憶領域に加算し、記憶する。この重みの値をＷ３とする。
【００６２】
（ｅ）つまり、重み記憶領域には、図５（ｂ）の分割部分の加重変数を用いた、
重み＝Ｗ１＊(Ｐ１の加重変数)＋Ｗ２＊(Ｐ２の加重変数)
＋Ｗ３＊(Ｐ３の加重変数)…（１）
で表される重みが入力されている。重み検出の計算時には、Ｗ１、Ｗ２、Ｗ３の各領域の重みを計算しながら処理してもよい。この例では重みは単純に同じ量だけ増加させ、
重み＝Ｗ１＊１＋(Ｗ２＊２)＋(Ｗ３＊３)…（２）
この式２の様に算出時に加重を加味している。この他、重みを増やす際に加重を考慮して増加させ、計算時には単純に
重み＝Ｗ１＋Ｗ２＋Ｗ３…（３）
と計算する方法も考えられる。
【００６３】
（ｆ）更に、資源が解放されるようなパケット、例えば資源カテゴリがＴＣＰであった場合のＦＩＮパケット等を観測した場合は、このパケットの送信元アドレスに対応する重みを減らす。重みの減らし方は、重みの増加手法と同様の手法にて減らしてもよいし、異なる手法にて異なる重み量を減らしても良い。
【００６４】
上記の実施例による重みの計算方法を用いて、その重みの検出を行なうことにより、パケットの送信元の正当性及び攻撃性を具体的に検証することができる。更に、この検証結果を基に、不適切な接続要求を受信拒否する等の制限を行なうことができる。
【００６５】
又、（ｆ）に記載の方法によると、悪意の第三者が、資源を埋め切らせずに常にサーバを重い状態にしておくことが目的として攻撃している場合、通信制御付サーバ装置２００側でこの攻撃を識別出来る可能性がある。
【００６６】
【発明の効果】
本発明によると、ＩＰｖ６アドレスを用いた通信において、送信元の正当性を検証し不適切な接続要求を制限することにより悪意の第三者による資源枯渇の攻撃を回避する為の通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラムを提供することができる。
【図面の簡単な説明】
【図１】本発明の第１実施の形態に係る通信制御装置を用いたシステムの概要図である。
【図２】本発明の第１実施の形態に係る通信制御装置の構成を示す構成図である。
【図３】ＩＰｖ６アドレスのデータの構造を示すデータ構造図である。
【図４】ＩＰｖ６アドレスのデータの構造を示すデータ構造図である。
【図５】重み記憶装置内の重みデータを示す図である。
【図６】重み判断記憶装置内の重み判断データを示す図である。
【図７】通信制御装置の動作を示すフローチャートである。
【図８】本発明の第２実施の形態に係る通信制御付サーバ装置の構成を示す構成図である。
【図９】重み履歴記憶装置内の重み履歴データを示す図である。
【図１０】通信制御付サーバ装置の動作を示すフローチャートである。
【図１１】ハッシュ演算による重み管理表を示す図である。
【符号の説明】
１…通信サーバ装置
２、３、４、５…ＬＡＮケーブル
２ａ、３ａ、４ａ、５ａ…通信装置
６…ネットワーク
１０…記憶装置
１１…入力装置
１２…出力装置
１３…通信制御装置
１４…主記憶装置
１５…ＣＰＵ
１５ａ…接続要求受信手段
１５ｂ…資源検出手段
１５ｃ…パケット分割手段
１５ｄ…検出手段
１５ｅ…接続制御手段
１５ｆ…加算手段
１５ｇ…パケット送信手段
１６…受信パケット記憶装置
１７…資源記憶装置
１８…パケット分割記憶装置
１９…記憶装置
２０…重み判断記憶装置
１００…通信制御装置
２１…入力装置
２２…出力装置
２３…通信制御装置
２４…主記憶装置
２５ａ…接続要求受信手段
２５ｂ…資源検出手段
２５ｃ…パケット分割手段
２５ｄ…検出手段
２５ｅ…接続制御手段
２５ｆ…加算手段
２５ｇ…減算手段
２５ｈ…接続応答送信手段
２５ｉ…サーバ処理手段
２６…受信パケット記憶装置
２７…資源記憶装置
２８…パケット分割記憶装置
２９…重み記憶装置
３０…重み判断記憶装置
３１…プログラム記憶装置
３２…重み履歴記憶装置
３３…サーバ処理記憶装置
３３…プログラム記憶装置
４０…記憶装置
２００…通信制御付サーバ装置
【発明の属する技術分野】
本発明は、ＩＰｖ６アドレスを用いた環境において、不適切な接続要求を制限する為の通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラムに関する。
【０００２】
【従来の技術】
近年、世界最大のコンピュータネットワーク「インターネット(Internet)」の利用が普及している。利用者側はインターネットと接続して公開されている情報やサービスを利用する。逆に、企業側は、インターネットを通してアクセスしてくる利用者に対し、情報やサービスを提供することで、新たなコンピュータビジネスを開拓している。このインターネットの利用に関しての新たな技術開発及びその展開は近年目覚ましい。インターネットの世界では、各端末はＩＰアドレスと呼ばれる識別子をもち、このＩＰアドレスを元にパケットの交換が行われている。一例として、トランスミッション・コントロール・プロトコル（ＴＣＰ）（例えば、非特許文献１参照。）では、送受信者それぞれのＩＰアドレスとポート番号の４つ組でその接続が識別される。ＴＣＰはコネクション型プロトコルである為、各端末はＴＣＰの接続を行なった場合には最低でもこの４つ組を記憶する必要がある。悪意の第三者は、この性質を利用して、必要の無い接続を要求し、対象となる端末のハードウェア及びソフトウェアの資源（以下、「資源」と記載）を枯渇させる攻撃を行なうことがある。
【０００３】
現在主に使われているインターネットプロトコルバージョン４（ＩＰｖ４）では、アドレス空間は３２ビットで、アドレスの枯渇にともないユーザに割り当てられるアドレスは非常に少ないものとなりつつある。この為、同じＩＰアドレスからの接続数を制限することにより、このような資源を枯渇させる攻撃を回避してきた。
【０００４】
近年はインターネットプロトコルバージョン６（ＩＰｖ６）の開発及び実用化が進んでいる。ＩＰｖ６では、アドレス空間は１２８ビットに拡張されている。
【０００５】
【非特許文献１】
IETF RFC793 Transmission Control Protocol, Darpa Internet Program, Protocol specification、September 1981
【０００６】
【非特許文献２】
IETF RFC2460 Internet Protocol, Version 6(IPv6) Specification, December 1998
【０００７】
【発明が解決しようとする課題】
しかし、ＩＰｖ６では、アドレス空間が１２８ビットに拡張されている分、一つのネットワークは６４ビット分のアドレスを収容可能となっている。ＩＰｖ６ではこの広大なアドレス空間を利用した有益性が多数存在するが、一方でこのアドレス空間の広さが悪意の第三者に対して有益に働くという問題がある。つまり、あるネットワークに端末を接続した悪意の第三者はほぼ６４ビットのアドレス幅を利用して対象となる端末の攻撃を行なうことが可能となる。更に、ＩＰｖ６では個人でも複数のネットワークを収容可能とする為、より広いアドレス空間を割り当てることが考えられる。この為、ＩＰｖ６では、悪意の第三者による資源を枯渇させる攻撃等に対し、従来のＩＰｖ４のような単純なアドレスの比較では攻撃を回避することは出来ない。
【０００８】
本発明は上記問題点を解決する為になされたものであり、ＩＰｖ６アドレスを用いた通信において、送信元の正当性を検証し不適切な接続要求を制限することにより悪意の第三者による資源枯渇の攻撃を回避する為の通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラムに関する。
【０００９】
【課題を解決するための手段】
上記の問題点を解決するための本発明の第１の特徴は、通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置され、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する記憶手段と、前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信する接続要求受信手段と、前記接続要求受信手段で受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を前記記憶手段から取得する重み検出手段と、前記重み検出手段で取得した重み付け値が予め設定された値を超えるときは、前記通信装置に接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、前記重み検出手段で取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行う接続制御手段と、前記接続制御手段で接続処理が行われたときは、前記記憶手段に記憶されている前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える重み加算手段と、前記接続制御手段で接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信するパケット送信手段とを具備する通信制御装置であることを要旨とする。
【００１０】
また、本発明の第２の特徴は、通信装置にネットワークを介して接続され、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する記憶手段と、前記通信装置から送信された接続要求パケットを受信する接続要求受信手段と、前記接続要求受信手段で受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を前記記憶手段から取得する重み検出手段と、前記重み検出手段で取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源を所定の値以上消費すると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、前記重み検出手段で取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行う接続制御手段と、前記接続制御手段で接続処理が行われたときは、前記記憶手段に記憶されている前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える重み加算手段とを具備する通信制御付サーバ装置であることを要旨とする。
【００１１】
本発明の第３の特徴は、通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置された通信制御装置が、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶し、前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信し、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得し、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行い、前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加え、前記接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信する通信制御方法であることを要旨とする。
【００１２】
本発明の第４の特徴は、通信装置にネットワークを介して接続された通信制御付サーバ装置が、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶し、前記通信装置から送信された接続要求パケットを受信し、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得し、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行い、前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加えることを特徴とする通信制御付サーバ装置による通信制御方法であることを要旨とする。
【００１３】
本発明の第５の特徴は、通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置されたコンピュータに、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する機能と、前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信する機能と、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得する機能と、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行う機能と、前記接続処理が行われたときに、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える機能と、前記接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信する機能とを実行させる通信制御プログラムであることを要旨とする。
【００１４】
本発明の第６の特徴は、通信装置にネットワークを介して接続された通信制御付サーバ装置が、前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する機能と、前記通信装置から送信された接続要求パケットを受信する機能と、受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得する機能と、取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行う機能と、前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える機能とを実行させる通信制御プログラムであることを要旨とする。
【００１５】
【発明の実施の形態】
（第１の実施の形態）
（通信接続システム）
本発明の第１の実施の形態に係る通信接続システムは、図１に示すように、通信制御装置１００、通信サーバ装置１、ＬＡＮケーブル２に接続する通信装置２ａ、２ｂ、ＬＡＮケーブル３に接続する通信装置３ａ、ＬＡＮケーブル４に接続する通信装置４ａ、ＬＡＮケーブル５に接続する通信装置５ａ、各通信装置と通信サーバ装置１を接続するネットワーク６等から構成される。尚、ネットワーク６とは、有線、無線等を問わず、通信媒体を介してデータ伝送を行うインターネット等の通信網を指すものとする。
【００１６】
各ＬＡＮケーブルに接続された通信装置２ａ、２ｂ、３ａ、４ａ、５ａは、ネットワーク６を介して、通信サーバ装置１に対し適宜接続を要求する。この際、通信制御装置１００は、通信装置２ａ、２ｂ、３ａ、４ａ、５ａの内に、接続の要求を不必要に多発させ、通信サーバ装置１の資源を多量に使用している通信装置が存在するか否かを監視する。この監視はパケットの送信元アドレスに「重み」を付加し、この重みにより、そのパケットの送信元がどれぐらい偏っているかを測定することにより行なわれる。つまり、同じ送信元から資源消費が行なわれるパケットがくるたびに、その送信元アドレスは重くなっていくように処理する。又、通信制御装置１００は、その重みに従って、対象となるパケットの処理を決定する。例えば、非常に重いパケットは、接続の要求を不必要に多発させている通信装置からのものであると判断し、その通信装置からの接続要求は通信サーバ装置１に送信せず廃棄する等の制御を行なう。尚、通信制御装置１００の機能は、コンピュータに所定の機能を実現するソフトウェアプログラムをインストールすること等により実現される。
【００１７】
（通信制御装置）
本発明の第１の実施の形態に係る通信制御装置１００は、図２に示すように、記憶装置１０、入力装置１１、出力装置１２、通信制御装置１３、主記憶装置１４及び処理制御装置（ＣＰＵ）１５等を備えている。記憶装置１０は、受信パケット記憶装置１６、資源記憶装置１７、パケット分割記憶装置１８、重み記憶装置１９、重み判断記憶装置２０及びプログラム記憶装置３１等から構成される。
【００１８】
受信パケット記憶装置１６は、通信装置２ａ、２ｂ、３ａ、４ａ、５ａから送信された接続要求の為のパケットを受信し、一時記憶する。資源記憶装置１７は、受信したパケットの資源カテゴリ情報を記憶する。
【００１９】
パケット分割記憶装置１８は、パケットが保持するアドレスの分割位置を定めたアドレス構造を記憶する。重み記憶装置１９は、図５に示すように、分割部分の現在の重み、パケットの分割部毎の加重変数及び加重後の重みを記憶する。重み判断記憶装置２０は、重みを検出した結果、その重みが基準値以上であるか以下であるかを判定するための基準値テーブルを記憶する。又、判定の結果、そのパケットに対しどのような処理を行うかについても記憶する。プログラム記憶装置３１は、ＣＰＵ１５が処理を行うプログラムを記憶する。
【００２０】
ＣＰＵ１５は、接続要求受信手段１５ａ、資源検出手段１５ｂ、パケット分割手段１５ｃ、重み検出手段１５ｄ、接続制御手段１５ｅ、重み加算手段１５ｆ及びパケット送信手段１５ｇ等を備えている。
【００２１】
接続要求受信手段１５ａは、通信装置２ａ、２ｂ、３ａ、４ａ、５ａから送信された接続要求を受信するモジュールである。資源検出手段１５ｂは、第１の検出手段であり、受信したパケットの資源を検出するモジュールである。例えば、受信パケットがシンクロナイズフラグパケット（ＳＹＮパケット）であった場合、ＳＹＮパケットはＴＣＰのコネクション確立要求のパケットである為、この資源カテゴリはＴＣＰであると検出する。パケット分割手段１５ｃは、パケット分割記憶装置１８に記憶されるパケットの分割情報を基に、受信パケットの分割を行なうモジュールである。パケット分割手段１５ｃは、このアドレス構造の特徴を考慮してパケットの分割を行なう。例として図３では、１２８ビットのパケットを４８ビット目、６４ビット目にて単純に３分割する。結果、Ｐ１領域４８ビット、Ｐ２領域１６ビット及びＰ３領域６４ビットに分割する構造となる。図４では、パケットを４８ビット目、６４ビット目にて３分割し、先頭ビットからの累積値をとる。よって、Ｐ１領域４８ビット、Ｐ２領域６４ビット及びＰ３領域１２８ビットに分割する構造となる。
【００２２】
重み検出手段１５ｄは、第２の検出手段であり、接続要求が資源の所定の値以上を消費するか否かを検出するモジュールである。更に、記憶装置１０に記憶されたアドレスに関する情報が同一若しくは近隣のネットワークに属する通信装置のアドレスに基づくものであるか否かを検出するモジュールである。具体的には、重み検出手段１５ｄは、受信パケットの送信元アドレスの重みを、重み記憶装置１９内の情報より検出し、この重みを基に、一定以上の資源を消費するか、同一通信装置又は近隣のネットワークに属する通信装置から送信されているか否かを判断する。尚、ＩＰｖ６アドレスは上位のネットワーク部の書き換えが可能である為、近隣のネットワークを指すアドレスを偽って、同一通信装置より送信されていることもありえる。接続制御手段１５ｅは、検出された送信元アドレスの重みを基に、通信サーバ装置１に接続するか否かの判断を制御するモジュールである。重み加算手段１５ｆは、送信元アドレスの重みが適正範囲であると判定され、通信サーバ装置１に送信される場合、この送信元アドレスの重みに新たな重みを加えるモジュールである。パケット送信手段１５ｇは、接続許可された受信パケット、例えばＳＹＮパケットを通信サーバ装置１に送信するモジュールである。
【００２３】
入力装置１１は、通信装置２ａ、２ｂ、３ａ、４ａ、５ａ等からＳＹＮパケット等のパケットを受信するインタフェースである。出力装置１２は、通信サーバ装置１に対し、接続可能と許可したＳＹＮパケット等のパケットを送信するインタフェースである。通信制御装置１３は、無線、有線等の通信回線を介してパケットを他の通信装置等のノード及びルータ等に送受信する為の制御信号を生成する。主記憶装置１４は、処理の手順を記述したプログラムや処理されるべきパケット等のデータを一時的に記憶し、ＣＰＵ１５の要請に従ってプログラムの機械命令やデータを引き渡す。ＣＰＵ１５で処理されたデータは主記憶装置に書き込まれる。主記憶装置１４とＣＰＵ１５はアドレスバス、データバス、制御信号等で結ばれている。
【００２４】
（通信制御方法）
次に、通信制御装置１００の動作について図７を用いて説明する。
【００２５】
（ａ）ステップＳ１０１において、通信制御装置１００の接続要求受信手段１５ａは、通信装置２ａ、２ｂ、３ａ、４ａ、５ａのいずれかから送信されたパケットを受信し、受信パケット記憶装置１６にて一時記憶させる。
【００２６】
（ｂ）ステップＳ１０２において、資源検出手段１５ｂは、受信パケット記憶装置１６にて一時記憶されているパケットを取り出し、このパケットの資源カテゴリを検出する。例えば、ＳＹＮパケットであった場合、このパケットはＴＣＰの資源カテゴリに属すると検出される。
【００２７】
（ｃ）ステップＳ１０３において、パケット分割手段１５ｃは、パケット分割記憶装置１８内の情報を基に、受信パケットの送信元アドレスを図３及び図４のように分割する。
【００２８】
（ｄ）ステップＳ１０４において、重み検出手段１５ｄは、重み記憶装置１９を基に、分割された受信パケットの、分割部分毎の重みを検出する。例えば、重み記憶装置１９の、図５（ａ）の分割部分の現在の重み「Ｐ１：１、Ｐ２：２、Ｐ３：３」の部分を検出する。
【００２９】
（ｅ）ステップＳ１０５において、接続制御手段１５ｅは、検出された現在の分割部分の重みが基準値内であるか否かを判断する。この基準値はプログラム等によって予め設定されている。
【００３０】
（ｆ）重みが基準値内であると判断された場合、ステップＳ１０６に進み、重みが基準値内であっても、ある特徴が発見されたパケットに対しては一定の送信条件を設定する。送信条件の設定は図６の重み判断記憶装置２０の内容を基に行なう。例えば、重みが基準値内であっても、単位時間内の重みの差分が大きい、つまり、短時間に集中的に一定の通信装置よりパケットを受信している場合、悪意がある可能性が高いと判断し、通信サーバ装置１へこのパケットを送信することを大幅に遅延させる。又、現在の全体の重み平均より重い場合、つまり他の通信装置と比較し、若干パケットの受信回数が多い場合は、悪意がある可能性が低いにせよ考えられると判断して、通信サーバ装置１へこのパケットを送信することを少し遅延させる。尚、全体の重み平均より軽い場合は、通常どおりの速度にて送信処理をおこなう。
【００３１】
（ｇ）ステップＳ１０７においては、重み加算手段１５ｆが、パケットの重みを加える。加重は重み記憶装置１９に記憶される「重み」と「分割部分の加重変数」を基に行なう。加重変数は基準の重みに対する加算、掛算等の為に用いる。Ｐ１、Ｐ２、Ｐ３の各加重変数は全部同じ値にしても良いし、一部の分割部分に高い加重をかけてもよい。ＩＰｖ６アドレスにおいては図３及び図４のネットワークプレフィックス部（Ｐ１+Ｐ２）は可変長で上位のネットワークを特定する。これに対しインタフェースＩＤ部（Ｐ３）は通信装置２ａ、２ｂ、３ａ、４ａ、５ａが各々有するユニークなＭＡＣアドレスを基に作成されるので通信装置２ａ、２ｂ、３ａ、４ａ、５ａを特定することができる。つまり、Ｐ１やＰ１＋Ｐ２が同じであれば近い若しくは同じネットワークに存在する通信装置からのパケットであり、Ｐ１+Ｐ２+Ｐ３が同じであると、全く同じ通信装置からのパケットであるといえる。この為、Ｐ１≦Ｐ２≦Ｐ３と加重をかけるのが好ましい。図５（ｃ）では加重後の重みはＰ１：１（１＊１）、Ｐ２：２（１＊２）Ｐ３：６（２＊３）となる。
【００３２】
尚、重みは、通信サーバ装置１に現在の資源の消費がどの送信元アドレスからきているかをすべて問い合わせ、攻撃の可能性があると判断される通信装置を特定し、この特定された通信装置のみのアドレスを受信パケット記憶装置に１６に記憶してから計算してもよい。
【００３３】
（ｈ）最後にステップＳ１０８では、パケット送信手段１５ｇは、重みを加えられたパケットを通信サーバ装置１に対して送信する。
【００３４】
本発明の第１の実施の形態に係る通信制御装置１００によると、資源検出及び重み検出を行なうことにより、パケットの送信元の正当性を検証することができる。更に、この検証結果を基に、接続制御手段が不適切な接続要求を受信拒否する等の制限を行なうことにより悪意の第三者による資源枯渇の攻撃を回避することが可能となる。
【００３５】
通信制御装置１００はブリッジやルータに埋め込んでもよい。通信制御装置１００は、保護対象の通信サーバ装置１の為に通信サーバ装置１宛のパケットを他の独自の手法により処理してもよいし、通信サーバ装置１に受信したパケットの重みを通知してもよい。通知方式にはフローラベル（flow label）やトラフィッククラス（traffic class)の値を適宜書き換える等の手法が考えられる。あるいは通信制御装置１００自体がディフサーブ（diffserv）のようなサービス管理手法を利用して通信サーバ装置１へのトラフィックを制御してもよい。例として、通信サーバ装置１及び通信制御装置１００のメンテナンスする側と攻撃者側が、近いネットワークに属している場合は、重みによる通信制御を行なっていても攻撃が発生する。その為、通信制御装置１００は、特別な条件を満たせば「重み」に関係なく接続を受け入れられる領域を持っても良い。具体的には、正しくＩＰｓｅｃが行なわれていれば「重い」送信元アドレスからでも接続を受け入れるというような方法が考えられる。この場合、以下の第２の実施の形態に述べるような、通信制御装置１００が通信サーバ装置１内に搭載されている装置の方が有利である。
【００３６】
（第２の実施の形態）
（通信接続システム）
次に、図１の通信制御装置１００が通信サーバ装置１内に搭載されている通信制御付サーバ装置２００について説明する。その他の装置については図１の通信制御装置１００の通信接続システムと同様である為説明を省略する。
【００３７】
（通信制御付サーバ装置）
本発明の第２の実施の形態に係る通信制御付サーバ装置２００は、図８に示すように、記憶装置４０、入力装置２１、出力装置２２、通信制御装置２３、主記憶装置２４及び処理制御装置（ＣＰＵ）２５等を備えている。
【００３８】
記憶装置４０は、受信パケット記憶装置２６、資源記憶装置２７、パケット分割記憶装置２８、重み記憶装置２９、重み判断記憶装置３０、プログラム記憶装置３１、重み履歴記憶装置３２及びサーバ処理記憶装置３３等から構成される。
【００３９】
重み履歴記憶装置３２は、同一若しくは近くのネットワークに属する送信元から受信したパケットの重みの変化、つまり重みの履歴を、図９に示すように単位時間毎に記憶する。
【００４０】
サーバ処理記憶装置３３は、通常のクライアントサーバ接続を行い、通信端末に対し一定のサービス処理を行なう際に必要な情報を記憶する。
【００４１】
ＣＰＵ２５は、接続要求受信手段２５ａ、資源検出手段２５ｂ、パケット分割手段２５ｃ、重み検出手段２５ｄ、接続制御手段２５ｅ、重み加算手段２５ｆ、重み減算手段２５ｇ、接続応答送信手段２５ｈ及びサーバ処理手段２５ｉ等を備えている。重み減算手段２５ｇは、送信元アドレスの重みが適正範囲であると判定され、通信サーバ装置１に送信される場合、この送信元アドレスの重みを減らすモジュールである。サーバ処理手段２５ｉは、通常のクライアントサーバ接続を行い、通信端末に対し一定のサービス処理を行うモジュールである。その他の装置については第１の実施の形態と同様のものを使用するため説明を省略する。
【００４２】
（通信制御方法）
次に、通信制御付サーバ装置２００の動作について図１０を用いて説明する。
【００４３】
（ａ）ステップＳ２０１において、通信制御付サーバ装置２００の接続要求受信手段２５ａは、通信装置２ａ、２ｂ、３ａ、４ａ、５ａのいずれかから送信されたパケットを受信し、受信パケット記憶装置２６にて一時記憶させる。
【００４４】
（ｂ）ステップＳ２０２において、資源検出手段２５ｂは、受信パケット記憶装置２６にて一時記憶されているパケットを取り出し、このパケットの資源カテゴリを検出する。
【００４５】
（ｃ）ステップＳ２０３において、パケット分割手段２５ｃは、パケット分割記憶装置２８内の情報を基に、受信パケットの送信元アドレスを図３及び図４のように分割する。
【００４６】
（ｄ）ステップＳ２０４において、重み検出手段２５ｄは、重み記憶装置２９を基に、分割された受信パケットの、分割部分毎の重みを検出する。
【００４７】
（ｆ）ステップＳ２０５において、重み検出手段２５ｄは、重み履歴記憶装置３２より、分割された受信パケットの、分割部分毎の重みの履歴を検出する。
【００４８】
（ｅ）ステップＳ２０６において、接続制御手段２５ｅは、検出された現在の分割部分の重みが基準値内であるか否かを判断する。この基準値はプログラム等によって予め設定されている。更に、重みの履歴が適正であるか否かを判断する。例えば、同一若しくはそれに近いネットワークに属する通信装置より僅か数時間の間に通常の域を越える量のパケットが送られてきた結果の重みであるか、通常の域で単純にパケットが送られてきた結果の重みであるか等を判断する。
【００４９】
（ｇ）ステップＳ２０７においては、ステップＳ２０６で、重みが基準値外であり、且つ、重みの履歴が正常であった場合、何らかの事情により一定期間に接続要求が集中しただけであるとみなし、重み減算手段２５ｇはそのパケットの重みを減算する。
【００５０】
（ｈ）ステップＳ２０８においては、ステップＳ２０６で、重みが基準値内であった場合、重み加算手段１５ｆが、パケットの重みを加える。加重は重み記憶装置１９に記憶される「重み」と「分割部分の加重変数」を基に行なう。
【００５１】
（ｉ）ステップＳ２０９においては、ステップＳ２０６で、重みが基準値外であり、且つ、重みの履歴が異常であった場合、このパケットの送信元通信装置は敵意を持って攻撃しているとみなし、このパケットを廃棄する。
【００５２】
（ｊ）ステップＳ２１０においては、ステップＳ２０７及びＳ２０８で重みが基準値内であっても、ある特徴が発見されたパケットに対し、図６の重み判断記憶装置３０に記憶された情報を基に、サーバ処理手段２５ｉでの処理条件を設定する。サーバ処理手段２５ｉでは、アクノレッジメント（ＡＣＫ）パケット、ＡＣＫ/ＳＹＮパケット等の接続応答パケットを作成する。
【００５３】
（ｋ）最後にステップＳ２１１では、接続応答送信手段２５ｈは、接続応答パケットを受信したパケットの送信元アドレスに対して送信する。
【００５４】
本発明の第２の実施の形態に係る通信制御付サーバ装置２００によると、資源、重み及びその重みの履歴の検出を行なうことにより、パケットの送信元の正当性及び攻撃性を具体的に検証することができる。更に、この検証結果を基に、接続制御手段が不適切な接続要求を受信拒否する等の制限を行なうことにより悪意の第三者による資源枯渇の攻撃を回避することが可能となる。
【００５５】
通信制御付サーバ装置２００は、通信制御機能とサーバ機能を備えている為、ＩＰｓｅｃペイロードの正当性を判断する為のセキュリティアソシエイションの譲渡が行ないやすい。この為、通信サーバ装置１及び通信制御装置１００のメンテナンスする側と攻撃者側が、近いネットワークに属している場合に発生する攻撃に対しても、特別な条件を満たせば「重み」に関係なく接続を受け入れることができる。具体的には、正しくＩＰｓｅｃが行なわれていれば「重い」送信元アドレスからでも接続を受け入れる等の手法がある。
【００５６】
（重み計算処理の実施例）
通信装置２ａ、２ｂ、３ａ、４ａ、５ａ等から多くの接続要求等を受ける通信サーバでは、重みを求める処理の割合が非常に高くなる。この為、多少重みにずれが生じても、近似的且つ効率的に重みを計算できる手法が望ましい。一例としてハッシュ表を用いた計算処理の手法について、図１１を参照して説明する。
【００５７】
（ａ）先ず、あるパケットのＰ１、Ｐ２、Ｐ３のハッシュ表を作成する。ハッシュ表はＰ１、Ｐ２、Ｐ３をハッシュ演算して小さめな有限のビット長ｋで表せる値にする。つまり、ハッシュ表の配列のインデックス値をｋとする。その後この配列の中にＰ１をハッシュ演算した値Ｈ(Ｐ１）と、Ｐ２をハッシュ演算した値Ｈ(Ｐ２）と、Ｐ３をハッシュ演算した値Ｈ(Ｐ３）をそれぞれ入力する。Ｐ１、Ｐ２、Ｐ３アドレスを数値化した値を、図３のように単純分割して計算する場合、木構造のハッシュ表を作成し、図４のように累積して計算する場合、Ｐ１、Ｐ２、Ｐ３用の３つのハッシュ表を作成する。
【００５８】
（ｂ）作成したＰ１のハッシュ表には、該当領域のハッシュ演算の通過回数（重みの値）が記述されている。つまり、ハッシュ表内の同配列領域を演算が通過した回数をそのまま重みの値としてカウントする。例えば配列のインデックスが３で、アドレス（０）（１）（２）を有していた場合、ハッシュ表作成の際に、アドレス（１）を通過した演算が１回あった場合には重みは１、アドレス（２）を通過した演算が２回あった場合には重みは２、アドレス（３）を通過した演算が３回あった場合には重みは３となる。重みの値は図示しない重み記憶領域に加算され、記憶される。この重みの値をＷ１とする。
【００５９】
又、Ｐ１のハッシュ表には、Ｈ(Ｐ２)のハッシュ表の位置(例えばその領域へのポインタ)が記述されている。これに従って次のハッシュ表Ｈ(Ｐ２)に進む。
【００６０】
（ｃ）Ｐ２のハッシュ表には、該当領域のハッシュ演算の通過回数（重みの値）が記述されている。その重みの値を図示しない重み記憶領域に加算し、記憶する。この重みの値をＷ２とする。又、Ｐ２のハッシュ表には、Ｈ(Ｐ３)のハッシュ表の位置(例えばその領域へのポインタ)が記述されている。これに従って次のハッシュ表Ｈ(Ｐ３)に進む。
【００６１】
（ｄ）Ｐ３のハッシュ表には、該当領域のハッシュ演算の通過回数（重みの値）が記述されている。その重みの値を図示しない重み記憶領域に加算し、記憶する。この重みの値をＷ３とする。
【００６２】
（ｅ）つまり、重み記憶領域には、図５（ｂ）の分割部分の加重変数を用いた、
重み＝Ｗ１＊(Ｐ１の加重変数)＋Ｗ２＊(Ｐ２の加重変数)
＋Ｗ３＊(Ｐ３の加重変数)…（１）
で表される重みが入力されている。重み検出の計算時には、Ｗ１、Ｗ２、Ｗ３の各領域の重みを計算しながら処理してもよい。この例では重みは単純に同じ量だけ増加させ、
重み＝Ｗ１＊１＋(Ｗ２＊２)＋(Ｗ３＊３)…（２）
この式２の様に算出時に加重を加味している。この他、重みを増やす際に加重を考慮して増加させ、計算時には単純に
重み＝Ｗ１＋Ｗ２＋Ｗ３…（３）
と計算する方法も考えられる。
【００６３】
（ｆ）更に、資源が解放されるようなパケット、例えば資源カテゴリがＴＣＰであった場合のＦＩＮパケット等を観測した場合は、このパケットの送信元アドレスに対応する重みを減らす。重みの減らし方は、重みの増加手法と同様の手法にて減らしてもよいし、異なる手法にて異なる重み量を減らしても良い。
【００６４】
上記の実施例による重みの計算方法を用いて、その重みの検出を行なうことにより、パケットの送信元の正当性及び攻撃性を具体的に検証することができる。更に、この検証結果を基に、不適切な接続要求を受信拒否する等の制限を行なうことができる。
【００６５】
又、（ｆ）に記載の方法によると、悪意の第三者が、資源を埋め切らせずに常にサーバを重い状態にしておくことが目的として攻撃している場合、通信制御付サーバ装置２００側でこの攻撃を識別出来る可能性がある。
【００６６】
【発明の効果】
本発明によると、ＩＰｖ６アドレスを用いた通信において、送信元の正当性を検証し不適切な接続要求を制限することにより悪意の第三者による資源枯渇の攻撃を回避する為の通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラムを提供することができる。
【図面の簡単な説明】
【図１】本発明の第１実施の形態に係る通信制御装置を用いたシステムの概要図である。
【図２】本発明の第１実施の形態に係る通信制御装置の構成を示す構成図である。
【図３】ＩＰｖ６アドレスのデータの構造を示すデータ構造図である。
【図４】ＩＰｖ６アドレスのデータの構造を示すデータ構造図である。
【図５】重み記憶装置内の重みデータを示す図である。
【図６】重み判断記憶装置内の重み判断データを示す図である。
【図７】通信制御装置の動作を示すフローチャートである。
【図８】本発明の第２実施の形態に係る通信制御付サーバ装置の構成を示す構成図である。
【図９】重み履歴記憶装置内の重み履歴データを示す図である。
【図１０】通信制御付サーバ装置の動作を示すフローチャートである。
【図１１】ハッシュ演算による重み管理表を示す図である。
【符号の説明】
１…通信サーバ装置
２、３、４、５…ＬＡＮケーブル
２ａ、３ａ、４ａ、５ａ…通信装置
６…ネットワーク
１０…記憶装置
１１…入力装置
１２…出力装置
１３…通信制御装置
１４…主記憶装置
１５…ＣＰＵ
１５ａ…接続要求受信手段
１５ｂ…資源検出手段
１５ｃ…パケット分割手段
１５ｄ…検出手段
１５ｅ…接続制御手段
１５ｆ…加算手段
１５ｇ…パケット送信手段
１６…受信パケット記憶装置
１７…資源記憶装置
１８…パケット分割記憶装置
１９…記憶装置
２０…重み判断記憶装置
１００…通信制御装置
２１…入力装置
２２…出力装置
２３…通信制御装置
２４…主記憶装置
２５ａ…接続要求受信手段
２５ｂ…資源検出手段
２５ｃ…パケット分割手段
２５ｄ…検出手段
２５ｅ…接続制御手段
２５ｆ…加算手段
２５ｇ…減算手段
２５ｈ…接続応答送信手段
２５ｉ…サーバ処理手段
２６…受信パケット記憶装置
２７…資源記憶装置
２８…パケット分割記憶装置
２９…重み記憶装置
３０…重み判断記憶装置
３１…プログラム記憶装置
３２…重み履歴記憶装置
３３…サーバ処理記憶装置
３３…プログラム記憶装置
４０…記憶装置
２００…通信制御付サーバ装置
Claims (22)
- 通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置され、
前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する記憶手段と、
前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信する接続要求受信手段と、
前記接続要求受信手段で受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を前記記憶手段から取得する重み検出手段と、
前記重み検出手段で取得した重み付け値が予め設定された値を超えるときは、前記通信装置に接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、前記重み検出手段で取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行う接続制御手段と、
前記接続制御手段で接続処理が行われたときは、前記記憶手段に記憶されている前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える重み加算手段と、
前記接続制御手段で接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信するパケット送信手段と、
を具備することを特徴とする通信制御装置。 - 前記送信元アドレスはＩＰｖ６アドレスであり、前記送信元アドレスの所定の部分の値は、ネットワークプレフィクスの一部または全部である
ことを特徴とする請求項１に記載の通信制御装置。 - 前記接続要求受信手段で受信した接続要求パケットが正当な接続要求によるものであることが証明されたときは、前記接続制御手段において前記重み付け値が予め設定された値を超えると判断されたときでも接続処理を行う
ことを特徴とする請求項１または２に記載の通信制御装置。 - 前記記憶手段は、前記重み付け値の履歴を記憶し、
前記接続制御手段は、前記重み検出手段で取得した重み付け値を前記重み付け値の履歴に基づいて加算または減算により調整し、この調整された重み付け値を基に前記サーバ装置への接続要求を拒否するかまたは接続処理を行うかを判断する
ことを特徴とする請求項１〜３いずれか１項に記載の通信制御装置。 - 前記重み加算手段において、重みを算出するための所定の演算はハッシュ処理により行われる
ことを特徴とする請求項１〜４いずれか１項に記載の通信制御装置。 - 通信装置にネットワークを介して接続され、
前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する記憶手段と、
前記通信装置から送信された接続要求パケットを受信する接続要求受信手段と、
前記接続要求受信手段で受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を前記記憶手段から取得する重み検出手段と、
前記重み検出手段で取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源を所定の値以上消費すると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、前記重み検出手段で取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行う接続制御手段と、
前記接続制御手段で接続処理が行われたときは、前記記憶手段に記憶されている前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算 出された重みを加える重み加算手段と、
を具備することを特徴とする通信制御付サーバ装置。 - 前記送信元アドレスはＩＰｖ６アドレスであり、前記送信元アドレスの所定の部分の値は、ネットワークプレフィクスの一部または全部である
ことを特徴とする請求項６に記載の通信制御装置。 - 前記接続要求受信手段で受信した接続要求パケットが正当な接続要求によるものであることが証明されたときは、前記接続制御手段において前記重み付け値が予め設定された値を超えると判断されたときでも接続処理を行う
ことを特徴とする請求項６または７に記載の通信制御付サーバ装置。 - 前記記憶手段は、前記重み付け値の履歴を記憶し、
前記接続制御手段は、前記重み検出手段で取得した重み付け値を前記重み付け値の履歴に基づいて加算または減算により調整し、この調整された重み付け値を基に前記接続要求を拒否するかまたは接続処理を行うかを判断する
ことを特徴とする請求項６〜８いずれか１項に記載の通信制御付サーバ装置。 - 前記重み加算手段において、重みを算出するための所定の演算はハッシュ処理により行われる
ことを特徴とする請求項６〜９いずれか１項に記載の通信制御付サーバ装置。 - 通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置された通信制御装置が、
前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶し、
前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信し、
受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得し、
取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行い、
前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加え、
前記接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、取得した接続要求パケットを前記サーバ装置に送信する
ことを特徴とする通信制御方法。 - 前記送信元アドレスはＩＰｖ６アドレスであり、前記送信元アドレスの所定の部分の値は、ネットワークプレフィクスの一部または全部である
ことを特徴とする請求項１１に記載の通信制御方法。 - 前記通信制御装置は、受信した接続要求パケットが正当な接続要求によるものであることが証明されたときは、前記重み付け値が予め設定された値を超えると判断したときでも接続処理を行う
ことを特徴とする請求項１１または１２に記載の通信制御方法。 - 前記通信制御装置は、前記重み付け値の履歴を記憶し、
取得した前記重み付け値を、前記重み付け値の履歴に基づいて加算または減算により調整し、この調整された重み付け値を基に前記サーバ装置への接続要求を拒否するかまたは接続処理を行うかを判断する
ことを特徴とする請求項１１〜１３いずれか１項に記載の通信制御方法。 - 前記通信制御装置は、前記重みを算出するための所定の演算はハッシュ処理により行う
ことを特徴とする請求項１１〜１４いずれか１項に記載の通信制御方法。 - 通信装置にネットワークを介して接続された通信制御付サーバ装置が、
前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶し、
前記通信装置から送信された接続要求パケットを受信し、
受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得し、
取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行い、
前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える
ことを特徴とする通信制御付サーバ装置による通信制御方法。 - 前記送信元アドレスはＩＰｖ６アドレスであり、前記送信元アドレスの所定の部分の値は、ネットワークプレフィクスの一部または全部である
ことを特徴とする請求項１６に記載の通信制御付サーバ装置による通信制御方法。 - 前記通信制御付サーバ装置は、受信した接続要求パケットが正当な接続要求によるものであることが証明されたときは、前記重み付け値が予め設定された値を超えると判断したときでも接続処理を行う
ことを特徴とする請求項１６または１７に記載の通信制御付サーバ装置による通信制御方法。 - 前記通信制御付サーバ装置は、前記重み付け値の履歴を記憶し、
取得した前記重み付け値を、前記重み付け値の履歴に基づいて加算または減算により調整し、この調整された重み付け値を基に前記サーバ装置への接続要求を拒否するかまたは接続処理を行うかを判断する
ことを特徴とする請求項１６〜１８いずれか１項に記載の通信制御付サーバ装置による通信制御方法。 - 前記通信制御付サーバ装置は、前記重みを算出するための所定の演算はハッシュ処理により行う
ことを特徴とする請求項１６〜１９いずれか１項に記載の通信制御付サーバ装置による通信制御方法。 - 通信装置と、この通信装置にネットワークを介して接続されたサーバ装置との間に配置されたコンピュータに、
前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する機能と、
前記通信装置から前記サーバ装置に対して送信された接続要求パケットを受信する機能と、
受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得する機能と、
取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続されることにより前記サーバ装置のハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置から前記サーバ装置への接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置から前記サーバ装置への接続処理を行う機能と、
前記接続処理が行われたときに、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える機能と、
前記接続処理が行われたときに、前記通信装置と前記サーバ装置とを接続するために、 取得した接続要求パケットを前記サーバ装置に送信する機能と、
を実行させる通信制御プログラム。 - 通信装置にネットワークを介して接続された通信制御付サーバ装置が、
前記通信装置からの単位時間あたりのパケット受信回数に基づく重み付け値を、受信したパケットの送信元アドレスの所定の部分の値ごとに記憶する機能と、
前記通信装置から送信された接続要求パケットを受信する機能と、
受信した接続要求パケットの送信元アドレスの所定の部分の値に対応する重み付け値を、記憶している単位時間あたりのパケット受信回数に基づいて算出された重み付け値の中から検出して取得する機能と、
取得した重み付け値が予め設定された値を超えるときは、前記通信装置と接続することによりハードウェアまたはソフトウェア資源が所定の値以上消費されると判断して受信した接続要求パケットを破棄して前記通信装置からの接続要求を拒否し、取得した重み付け値が予め設定された値以下の適正範囲のときは前記通信装置からの接続処理を行う機能と、
前記接続処理が行われたときは、記憶している前記接続要求パケットの送信元アドレスの所定の部分の値の重み付け値に、所定の演算により算出された重みを加える機能と、
を実行させる通信制御プログラム。
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003045957A JP3819368B2 (ja) | 2003-02-24 | 2003-02-24 | 通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラム |
| US10/740,440 US7366785B2 (en) | 2003-02-24 | 2003-12-22 | Communication control apparatus, communication control method and communication control program product |
| US12/042,010 US20080159283A1 (en) | 2003-02-24 | 2008-03-04 | Communication control apparatus, communication control method and communication control program product |
| US12/041,900 US20080165682A1 (en) | 2003-02-24 | 2008-03-04 | Communication control apparatus, communication control method and communication control program product |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003045957A JP3819368B2 (ja) | 2003-02-24 | 2003-02-24 | 通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004260295A JP2004260295A (ja) | 2004-09-16 |
| JP3819368B2 true JP3819368B2 (ja) | 2006-09-06 |
Family
ID=33112634
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003045957A Expired - Fee Related JP3819368B2 (ja) | 2003-02-24 | 2003-02-24 | 通信制御装置、通信制御方法、通信制御付サーバ装置、通信制御付サーバ装置による通信制御方法及び通信制御プログラム |
Country Status (2)
| Country | Link |
|---|---|
| US (3) | US7366785B2 (ja) |
| JP (1) | JP3819368B2 (ja) |
Families Citing this family (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| ATE447280T1 (de) * | 2004-11-10 | 2009-11-15 | Ericsson Telefon Ab L M | Sitzungszulassungs-kontrollverfahren und vorrichtung |
| US9171157B2 (en) * | 2006-03-28 | 2015-10-27 | Blue Coat Systems, Inc. | Method and system for tracking access to application data and preventing data exploitation by malicious programs |
| US8462628B2 (en) * | 2006-12-20 | 2013-06-11 | Integrated Device Technology, Inc. | Method of improving over protocol-required scheduling tables while maintaining same |
| US8112803B1 (en) * | 2006-12-22 | 2012-02-07 | Symantec Corporation | IPv6 malicious code blocking system and method |
| JP5127670B2 (ja) * | 2008-11-04 | 2013-01-23 | 三菱電機株式会社 | フィルタ装置及びフィルタ方法及びプログラム |
| US8418211B2 (en) * | 2008-12-31 | 2013-04-09 | Echostar Technologies L.L.C. | Antenna diversity for control device applications |
| JP5403160B2 (ja) * | 2010-06-23 | 2014-01-29 | 富士通株式会社 | 通信装置、通信方法、および通信プログラム |
| US9177139B2 (en) * | 2012-12-30 | 2015-11-03 | Honeywell International Inc. | Control system cyber security |
| US9794372B2 (en) * | 2015-04-07 | 2017-10-17 | At&T Intellectual Property I, L.P. | Connection management service |
| US9954892B2 (en) * | 2015-09-28 | 2018-04-24 | Nxp B.V. | Controller area network (CAN) device and method for controlling CAN traffic |
| US10361934B2 (en) | 2015-09-28 | 2019-07-23 | Nxp B.V. | Controller area network (CAN) device and method for controlling CAN traffic |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6094435A (en) * | 1997-06-30 | 2000-07-25 | Sun Microsystems, Inc. | System and method for a quality of service in a multi-layer network element |
| US6502135B1 (en) * | 1998-10-30 | 2002-12-31 | Science Applications International Corporation | Agile network protocol for secure communications with assured system availability |
| JP3456923B2 (ja) * | 1999-05-20 | 2003-10-14 | シャープ株式会社 | ホスト機器及び同期通信システム及び通信干渉防止方法及び通信干渉防止プログラムを記録したコンピュータ読み取り可能な記録媒体 |
| US6744767B1 (en) * | 1999-12-30 | 2004-06-01 | At&T Corp. | Method and apparatus for provisioning and monitoring internet protocol quality of service |
| CA2403736A1 (en) * | 2000-03-20 | 2001-09-27 | At&T Corp. | Service selection in a shared access network using dynamic host configuration protocol |
| US7215637B1 (en) * | 2000-04-17 | 2007-05-08 | Juniper Networks, Inc. | Systems and methods for processing packets |
| JP2002158699A (ja) | 2000-11-20 | 2002-05-31 | Nippon Telegr & Teleph Corp <Ntt> | ＤｏＳ攻撃防止方法および装置およびシステムおよび記録媒体 |
| US7203170B2 (en) * | 2001-05-01 | 2007-04-10 | Integrated Device Technology, Inc. | Network switch port with weighted random early discard |
| US20030072326A1 (en) * | 2001-08-14 | 2003-04-17 | Mehdi Alasti | Method and apparatus for parallel, weighted arbitration scheduling for a switch fabric |
| KR100431191B1 (ko) * | 2001-12-03 | 2004-05-12 | 주식회사 케이티 | 크레딧 기반 라운드 로빈을 이용한 패킷 스케쥴링장치 및방법 |
| US7260085B2 (en) * | 2002-03-21 | 2007-08-21 | Acme Packet, Inc. | System and method for determining a destination for an internet protocol packet |
| US6930988B2 (en) * | 2002-10-28 | 2005-08-16 | Nokia Corporation | Method and system for fast IP connectivity in a mobile network |
-
2003
- 2003-02-24 JP JP2003045957A patent/JP3819368B2/ja not_active Expired - Fee Related
- 2003-12-22 US US10/740,440 patent/US7366785B2/en not_active Expired - Fee Related
-
2008
- 2008-03-04 US US12/042,010 patent/US20080159283A1/en not_active Abandoned
- 2008-03-04 US US12/041,900 patent/US20080165682A1/en not_active Abandoned
Also Published As
| Publication number | Publication date |
|---|---|
| US20040205762A1 (en) | 2004-10-14 |
| US20080165682A1 (en) | 2008-07-10 |
| US7366785B2 (en) | 2008-04-29 |
| US20080159283A1 (en) | 2008-07-03 |
| JP2004260295A (ja) | 2004-09-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8224976B2 (en) | Using a server's capability profile to establish a connection | |
| EP1844596B1 (en) | Method and system for mitigating denial of service in a communication network | |
| US20080159283A1 (en) | Communication control apparatus, communication control method and communication control program product | |
| KR100481614B1 (ko) | 서비스 거부와 분산 서비스 거부 공격으로부터 정상트래픽을 보호하는 방법 및 그 장치 | |
| US8850046B2 (en) | Securing an access provider | |
| US8879388B2 (en) | Method and system for intrusion detection and prevention based on packet type recognition in a network | |
| US8201252B2 (en) | Methods and devices for providing distributed, adaptive IP filtering against distributed denial of service attacks | |
| US7404210B2 (en) | Method and apparatus for defending against distributed denial of service attacks on TCP servers by TCP stateless hogs | |
| EP3226509B1 (en) | Dynamic prioritization of network traffic based on reputation | |
| WO2011131076A1 (zh) | 建立流转发表项的方法及数据通信设备 | |
| JP2009525708A (ja) | プロトコルリンクレイヤ | |
| EP4058917A1 (en) | System and method to protect resource allocation in stateful connection managers | |
| Mohammadi et al. | SYN‐Guard: An effective counter for SYN flooding attack in software‐defined networking | |
| EP4295539A1 (en) | Methods and systems for synchronizing state amongst monitoring nodes | |
| Khalid et al. | FRID: Flood attack mitigation using resources efficient intrusion detection techniques in delay tolerant networks | |
| WO2009064114A2 (en) | Protection method and system for distributed denial of service attack | |
| Al-Duwairi et al. | Intentional dropping: a novel scheme for SYN flooding mitigation | |
| WO2010081321A1 (zh) | 实现上送速率动态联动的方法、装置和系统 | |
| US7920564B1 (en) | Differential services support for control traffic from privileged nodes in IP networks | |
| KR20120059914A (ko) | 분산 서비스 거부 공격 탐지용 제품에 대한 평가 방법 및 평가 장치 | |
| Daci et al. | IP Layer Client Puzzles: A Cryptographic Defense against DDoS Attack | |
| Malarkodi et al. | Modified AODV protocol for prevention of Denial of service attacks in wireless Ad hoc networks | |
| Choudhari et al. | SCTP-Sec: A secure Transmission Control Protocol |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040604 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060309 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060314 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060515 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060606 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060614 |
|
| LAPS | Cancellation because of no payment of annual fees |