JP3828523B2 - 不正アクセス防御装置及びプログラム - Google Patents

Description

本発明は、ネットワークからの不正アクセスを防御する不正アクセス防御装置及びプログラムに関する。

近年、サービスを提供するサーバに対して大量のデータや接続要求を送りつけ、当該サーバのリソースを消費させ、本来のサービスを不能にするＤOS（サービス妨害：Ｄenial of Ｓervice）という種類の攻撃が多発している。

そこで、以上のような不正アクセスからサーバを防御するために、ＩＤＰＳ（侵入検知／防御装置：Ｉntrusion Ｄetection and Ｐrotection Ｓystem）が開発されている。このＩＤＰＳによるＤOS攻撃の防御は、ＴＣＰ／ＩＰのうち、ＴＣＰプロトコルを対象とする場合が多い。一般に、インターネットで使用されるプロトコルとしては、ＴＣＰ以外にＵＤＰ（Ｕser Ｄatagram Ｐrotocol）があるが、このＵＤＰの場合にはコネクション管理、応答確認等の処理ができないので、ＤOS攻撃からサーバを防御するのが難しい状況にある。

ここで、ＴＣＰとＵＤＰとの違いについて説明する。

ＴＣＰはコネクション型、ＵＤＰはコネクションレス型の通信手法をとっている。ＴＣＰによる通信のやり取りは、図１３に示すようにクライアントからサーバにデータ（ＤＡＴＡ）を送る場合、ある一定量のデータを転送した後、必ずサーバから確認応答パケット（ＡＣＫ）を受け取るので、データが確実にサーバ側に届いたことを確認した上、さらにデータを送信しつづける仕組みとなっている。従って、クライアントは、サーバ側でデータを受領したことを確認しつつ送信するので、データを確実に送信することができる。実際的には、クライアント−サーバは、それぞれパケットに付与されたシーケンス番号と確認応答番号とを確認しながら、データ転送処理を行っている。

一方、ＵＤＰは、図１４に示すように、クライアントから単にデータを送るだけであり、サーバから確認応答パケットなどを受け取る仕組みとなっていない。つまり、サーバが如何なる状態であるかを問わずにデータを送りつづけるのが特徴である。

従って、以上のような違いから、サーバがＤOS攻撃を受けた場合には防御が非常に難しい。
図１５（ａ）、（ｂ）、（ｃ）は、ＩＰヘッダ、ＴＣＰヘッダ、ＵＤＰヘッダにそれぞれ含まれる情報を示す図である。この図から明らかなように、ＩＰヘッダはＴＣＰ、ＵＤＰに共通に付けられる。一方、ＴＣＰヘッダにはシーケンス番号や確認応答（ＡＣＫ）番号が含まれている。この番号は、一つ一つのパケットに一意に付けられる番号であって、この番号を利用してクライアント、サーバがパケット到達の確認を行っている。

これに対し、ＵＤＰヘッダには以上のようなシーケンス番号や確認応答番号が含まれていない。その結果、クライアント、サーバ間ではデータが確実に相手先に到達したかを確認する手段をもっていない。

ところで、ＩＤＰＳが対象とする一般的なＴＣＰのＤOS攻撃及びその防御方法は、次に述べるような３つの手法がある。

（１） ＳＹＮ（Ｓynchronize Ｓequence Ｎumber）フラッド攻撃に対する防御。

一般に正常なＴＣＰコネクションの確立は、図１６（ａ）に示すように、ＴＣＰのコネクション確立要求であるＳＹＮパケットを送信し、サーバ側から確認応答ＡＣＫを受けると、それに対する確認応答パケットＡＣＫを送信し、その後、データを送る通信手法をとっているが、ＳＹＮフラッド攻撃の場合は、図１６（ｂ）に示すようにクライアントがＴＣＰのコネクション確立要求であるＳＹＮパケットを送り、サーバから確認応答ＡＣＫを受けるが、ＴＣＰコネクションを確立しないこと、つまり最後の確認応答パケットＡＣＫを返信しないことにより、サーバがタイムアウトするまでリソースを確保することを利用し、サーバのリソースを使い尽くしてしまう攻撃である。

このＳＹＮフラッド攻撃に対する防御は、コネクションが確立されるまでの時間等を監視し、ＳＹＮフラッドの攻撃を防御するものである。

（２） ＥＳＴＡＢＬＩＳＨ（確認）フラッド攻撃に対する防御。

このＥＳＴＡＢＬＩＳＨフラッド攻撃は、ＴＣＰコネクションの確立後、データを送らないことにより、サーバのリソースを使い尽くす攻撃である。

このフラッド攻撃に対する防御は、コネクション確立後にデータが送られてくるかを監視し、当該ＥＳＴＡＢＬＩＳＨフラッド攻撃を防御するものである。

（３）一般的なＤＤOS（Ｄatagram ＤOS）攻撃に対する防御。

このＤＤOS攻撃は、多数の個所からサービスサーバに対して大量にアクセスする攻撃である。この攻撃の防御は、ある閾値をもたせ、その閾値以上のアクセス要求があったとき、そのアクセスを拒否したり、サーバの負荷（例えばＣＰＵ、ネットワークリソースなど）状況を監視し、この負荷状況が予め定める閾値を越えた時、アクセス要求を拒否し、防御するものである。

さらに、以上のようなＴＣＰのＤOS攻撃防御法とは別に、近年、不正アクセスを検出する侵入検出装置が提案されている（特許文献１）。

この侵入検出装置は、ルータ内部に、ルータに到達するパケットを取得し、このパケットのヘッダに記載されるデータに基づいてセションごとに構造体を生成し、不正アクセスの侵入の有無を検出する侵入検出部を設けてなる構成である。すなわち、この侵入検出部は、予め所定の不正検出閾値が設定され、セションが正常に終了した場合に破棄するとともに、所定の周期ごとに構造体の総数が不正検出閾値を越えたか否かを検査し、不正検出閾値を越えた構造体があれば、不正アクセスの侵入があると検出するものである。
特開２００２−２５２６５４

従って、以上のような不正アクセス防御方法ないし装置は、何れもネットワークプロトコルのＴＣＰにおけるＤOS攻撃に対する防御であり、ＵＤＰパケットの例えばＩＣＭＰ（Ｉnternet Ｃontrol Ｍessage Ｐrotcol）、ＤＮＳ（Ｄomain Ｎame Ｓystem）、ＲＩＰ（Ｒouting Information Ｐrotcol）等を使用してアクセスしてくる攻撃に対して防御することが難しく、ひいてはサーバを過負荷状態にさせてサービスを停止させてしまう等の問題がある。

本発明は上記事情にかんがみてなされたもので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御する不正アクセス防御装置及びプログラムを提供することを目的とする。

（１） クライアントからのアクセス要求のもとに外部のネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスを防御する不正アクセス防御装置において、前記外部のネットワーク側及びサーバ側から入力されるパケットがＵＤＰパケットか，所定タイプのＩＣＭＰのエラーパケットであるかを判定する第１のパケット判定手段と、この第１のパケット判定手段によって前記サーバ側から入力されたパケットが所定タイプのＩＣＭＰのエラーパケットであると判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップしていく登録手段と、前記第１のパケット判定手段によって前記外部のネットワーク側から入力されたパケットがＵＤＰパケットと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、前記ＩＣＭＰエラー回数が予め定める閾値を越えたかを超えたかを判定する第２の判定手段と、この第２の判定手段で閾値を超えていると判定された場合、前記外部のネットワーク側から入力されたパケットを破棄するパケット処理手段とを設けた構成である。

この発明は以上のような構成とすることにより、外部からネットワークを通してＵＤＰパケットを使用してサーバを攻撃してくる場合、サーバ側から入力されるパケットがＵＤＰパケットか、所定タイプのＩＣＭＰのエラーパケットかを判定し、所定タイプのＩＣＭＰのエラーパケットである場合にはＩＣＭＰエラー回数をカウントアップし、外部のネットワーク側から入力されたパケットがＵＤＰと判定されたとき、前記ＩＣＭＰエラー回数が予め定める閾値を超えたとき、パケットを破棄するので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することが可能となる。

なお、以上のようなＵＤＰパケットを使用してサーバを攻撃してくる防御処理は、プログラムによっても同様に実現できるものである。

（２） 本発明に係る不正アクセス防御装置は、 クライアントからのアクセス要求のもとに外部からネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる場合、前記外部のネットワーク側及び前記サーバ側から入力されるパケットがＤＮＳリクエストかＤＮＳリプライかを判定する第1のパケット判定手段と、この第1のパケット判定手段によって前記外部ネットワーク側から入力されたパケットがＤＮＳリクエストと判定された場合、当該パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、リクエスト数が予め定める閾値を超えたかを判定する第２のパケット判定手段と、この第２のパケット判定手段で閾値を超えていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子のもとにリクエスト数をカウントアップする第1の登録手段と、前記第1のパケット判定手段によって前記サーバ側から入力されたパケットがＤＮＳリプライと判定された場合、前記入力されたパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子に対応するリクエスト数を減らす第２の登録手段と、前記第２のパケット判定手段でＤＮＳリクエスト数が閾値を超えたと判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを設けた構成である。

この発明は以上のような構成とすることにより、外部からネットワークを通してＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる場合、外部ネットワーク側から入力されるパケットがリクエストと判定し、このリクエスト数が予め定める閾値を超えていない場合にはリクエスト数をカウントアップし、超えている場合にはパケットを破棄するので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することが可能となる。

なお、以上のようなＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる防御処理は、プログラムによっても同様に実現できるものである。

（３） また、本発明に係る不正アクセス防御装置は、クライアントからのアクセス要求のもとに外部からネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる場合、外部のネットワーク側から入力されるパケットがＲＩＰパケットか否かを判定する第1のパケット判定手段と、この第1のパケット判定手段によってＲＩＰパケットと判定された場合、当該パケットの送信元・送信先ＩＰアドレスの計測開始時間、ＲＩＰ到達数が既に登録されているかを判定する第２のパケット判定手段と、この第２のパケット判定手段で登録されていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数を登録する第1の登録手段と、前記第２のパケット判定手段で登録されていると判定された場合、前記計測開始時間、ＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えているかを判定する第３のパケット判定手段と、この第３のパケット判定手段で前記ＲＩＰ数の許容範囲を超えていないと判定された場合、前記ＲＩＰ到達数をカウントアップする第２の登録手段と、前記第３のパケット判定手段で前記到達率がＲＩＰ数の許容範囲を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを設けた構成である。

この発明は以上のような構成とすることにより、外部からネットワークを通してＵＤＰパケットのＲＩＰを使用してサーバを攻撃してくる場合、計測開始時間及びＲＩＰ到達数を計測し、この計測開始時間及びＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えている場合にはパケットを破棄するので、ＵＤＰパケットを使用してアクセスしてくる攻撃を確実に防御することが可能となる。

なお、以上のようなＵＤＰパケットのＤＮＳを使用してサーバを攻撃してくる防御処理は、プログラムによっても同様に実現できるものである。

本発明は、ＵＤＰパケットのＩＣＭＰ、ＤＮＳ、ＲＩＰの何れかを使用してアクセスしてくる攻撃を確実に防御できる不正アクセス防御装置及びプログラムを提供できる。

以下、本発明の実施の形態について図面を参照して説明する。

図１は本発明装置を適用したネットワーク通信システムの一例を示す系統構成図である。

この通信システムは、一般にインターネットと称する外部ネットワーク１と内部ネットワーク２が設けられ、外部ネットワーク１には、不正アクセス侵入者の有無を問わず、個人、団体、会社等が所有する端末機器（以下、クライアント端末と呼ぶ）３，…が接続され、さらに外部ネットワーク１と内部ネットワーク２との間にはファイルウォールなどのパケットフィルタリング装置４が設けられている。そして、内部ネットワーク２には、所要とするサービスを提供するために、ＷＷＷサーバなどの１台以上のサーバ５が接続されている。

本発明に係る不正アクセス防御装置６は、以上のような通信システムにおいて外部ネットワーク１とパケットフィルタリング装置４との間、或いは当該パケットフィルタリング装置４と内部ネットワーク２との間に設置される。すなわち、不正アクセス防御装置６は、図示するごとくパケットフィルタリング装置４の外側或いは外側（図示せず）の何れかに設置されるものである。

不正アクセス防御装置６は、図２に示すようにＵＤＰ攻撃判定部としての機能を有し、具体的には、外側からネットワーク・インターフェイス・カードＮＩＣ１或いは無線手段などによる同等のインターフェイス機能（以下、単にインターフェイスＮＩＣ１と総称する）通って入ってくるパケットを受け取った後、転送判断のもとにネットワーク・インターフェイス・カードＮＩＣ２或いは無線手段などによる同等のインターフェイス機能（以下、単にインターフェイスＮＩＣ２と総称する）を通してパケットフィルタリング装置４又は内部ネットワーク２に転送するパケット処理手段としてのパケット処理部１１と、このパケット処理部１１から受け取ったパケットの種別、つまりＵＤＰかＴＣＰか、さらにはＵＤＰパケットのＩＣＭＰ、ＤＮＳ、ＲＩＰかをチェックし、これらＩＣＭＰ、ＤＮＳ、ＲＩＰに応じて転送すべきパケットか否かを判定し、この判定結果とともに受け取ったパケットをパケット処理部１１に渡し、また当該受け取ったパケットの情報を記録のために送出するパケット判定手段としてのパケット判定部１２と、このパケット判定部１２から送られてくるパケットの情報をデータベース記録部１３にカウントアップし、また検索キーのもとにデータベース記録部１３からカウント内容を読み出し可能にし、さらにデータベース記録部１３に登録されたパケット情報を時間管理し、に登録されたパケットデータがある一定時間経過した場合、自動的に削除する機能をもつ登録／読出し制御部１４とが設けられている。

前記パケット処理部１１は、パケット判定部１２から転送不可の判定結果を受けた場合には受け取ったパケットを破棄し、転送許可の判定結果を受けた場合にはパケットを前述するように、不正アクセス防御装置６の設置個所の違いに基づき、パケットフィルタリング装置４又は内部ネットワーク２に転送する。

なお、不正アクセス防御装置６は、ＣＰＵで構成されている場合、記録媒体１５に記録される攻撃防御用プログラムに従って所要の攻撃防御の処理を実行するものである。

次に、本発明に係る不正アクセス防御装置６が対象とするＵＤＰの攻撃手法を説明する前に、一般的なＵＤＰプロトコルについて説明する。

前述するように、ＵＤＰはコネクションレス型通信であり、クライアント−サーバ間でデータ到達の確認が行われていない、つまりデータ到達を保証しないのが特徴である。反面、データの即時性の他、サーバ、クライアントが少ない資源でデータ通信が行える利点をもっている。

従って、以上のような利点を有効に活用するため、
１） データの大量送信
２） ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）による名前解決
３） 経路情報を動的に更新するプロトコルであるＲＩＰ（Ｒｏｕｔｉｎｇ Iｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）による定期的な経路情報の送信
など，確実性よりも即時性を重視し、またリソースの軽減等を要求する場合に、ＵＤＰによる通信が用いられている。

このような通信は、インターネットや内部ネットワーク２で広く利用されていることから、パケットフィルタリング装置４でも、一般的に通過を許可している場合が多い。よって、ＵＤＰを用いた攻撃者は、かかる特性を利用し、攻撃を仕掛けてくることが多い。

次に、前記１）〜３）を利用したＵＤＰを用いた攻撃手法及びその攻撃に対する防御について説明する。

１） データの大量送信について。

この攻撃はサーバ５の負荷増大もしくはネットワーク資源の増大を目的とした攻撃である。
一般に、サーバ５に攻撃を仕掛けてくる場合、ＩＰアドレスの宛先は対象サーバであり、宛先ポート番号は実際に稼動中の該当サーバ５の番号となる。なお、ネットワーク資源の大量消費を目的とする場合、ＩＰアドレス及びポート番号ともにランダムのものが使用されることが多い。

以下、攻撃に対する防御について図３を用いて具体的に説明する。

通常、クライアント３からサーバ５に大量のデータを送信し攻撃を仕掛けてきた場合（Ｓ１）、サーバ５の負荷が増大するが、このサーバ５では、負荷増大に伴い、送信元にデータ転送の抑制を促すＩＣＭＰの発信元抑制エラー（ＩＣＭＰ Ｔｙｐｅ４）を送信元であるクライアント３に向けて送信する（Ｓ２）。また、ネットワーク資源の大量消費を狙う攻撃を仕掛けてきた場合、サーバ５は同じく宛先（送信元）のクライアント３に向けて、データ到達エラーを伝えるためにＩＣＭＰ到達エラーを送信する（Ｓ３）。なお、宛先不明のパケットが送られてきた場合、サーバ５は、経路上のルータ装置と置き換えられる。

そこで、不正アクセス防御装置６においては、防御対象のネットワーク側から発信されるＩＣＭＰ発信元抑制エラーやＩＣＭＰ到達エラーを監視し、予め定めるある閾値を超えてエラーが発生した場合、攻撃と判断し、クライアント３から送られてくるパケットを破棄する処理を行う。

以下、不正アクセス防御装置６による攻撃防御の一連の処理例について図４を参照して説明する。

不正アクセス防御装置６は、記録媒体１５に格納される攻撃防御用プログラムに基づき、次のような処理を実行する。すなわち、不正アクセス防御装置６のパケット判定部１２は、インターフェイスＮＩＣ１、ＮＩＣ２からパケットが入力されたか判断し（Ｓ１１）、パケット入力有りと判断すると、インターフェイスＮＩＣ１側からＵＤＰパケットが入力されたか、またインターフェイスＮＩＣ２側からＵＤＰパケットのＩＣＭＰが入力されたか、或いはそれ以外のパケットかを判定する（Ｓ１２、Ｓ１３：パケット種別判定機能）。ここで、入力されたパケットがＵＤＰであると判定した場合、登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレスを通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレスをキーとし、データベース記録部１３に問い合わせし、当該データベース記録部１３からＩＣＭＰエラー回数を取得し（Ｓ１４）、パケット判定部１２に渡す。なお、データベース記録部１３には図５に示す攻撃識別（ＩＣＭＰ）、送信元ＩＰアドレス、送信先ＩＰアドレス、送信先ポート番号、到達時間、エラー回数等の情報が登録されている。

このパケット判定部１２は、ＩＣＭＰエラー回数が予め定めた閾値ｎを超えているか否かを判定する（Ｓ１５）。これらステップＳ１４，１５は不正アクセス判定機能に相当する。

ここで、ＩＣＭＰのエラー回数が予め設定される閾値ｎ（ＩＣＭＰ失敗許容回数）を超えていると判定された場合、パケット処理部１１に転送不可を通知する。ここで、パケット処理部１１は、転送不可通知を受けると、該当パケットを破棄する（Ｓ１６、Ｓ１７：パケット破棄機能）。

一方、ステップＳ１３において、インターフェイスＮＩＣ２から入ってきたパケットがＩＣＭＰである場合、パケット判定部１２は、ＩＣＭＰのＴｙｐｅ３もしくはＴｙｐｅ４であるか否かを判定する（Ｓ１８：タイプ判定機能）。このＩＣＭＰのタイプは図６に示す通りであり、サーバ５に到達できないとか、サーバ５で受け取れないとか、サーバにとって不要なものである。そこで、パケット判定部１２は、Ｔｙｐｅ３もしくはＴｙｐｅ４であると判断した場合、登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレスを通知する。

この登録／読出し制御部１４は、送信元・送信先ＩＰアドレスをキーとし、データベース記録部１３に問い合わせし、既に送信元・送信先ＩＰアドレスが登録されている場合、現エラー回数に＋１を加算し、一方、未だ送信元・送信先ＩＰアドレスが登録されていない場合、新規に図５に示す情報をデータベース記録部１３に登録する（Ｓ１９，Ｓ２０：登録機能）。

さらに、ステップＳ１３において、到達パケットがＵＤＰ、ＩＣＭＰの何れでもない場合、さらにステップＳ１５においてエラー回数が閾値を超えていない場合、さらにはステップＳ１８においてパケットがＩＣＭＰのＴｙｐｅ３、Ｔｙｐｅ４でない場合、パケット処理部１１にパケット転送許可を通知する（Ｓ２１）。ここで、パケット処理部１１は、既に受け取っているパケットを逆のインターフェイスＮＩＣ側に転送する（Ｓ２２）。これらステップＳ１９、Ｓ２０はパケット転送機能に相当する。

従って、以上のような実施の形態によれば、パケットがＵＤＰの場合、防御対象のネットワーク側から発信されるＩＣＭＰ発信元抑制エラーやＩＣＭＰ到達エラーをカウントしているので、このエラー回数を監視することにより、予め定めるある閾値を超えたときに攻撃と判断し、クライアント３から送られてくるパケットを破棄するので、ＵＤＰパケットのＩＣＭＰを使用して攻撃してくるクライアントに対し、その攻撃を確実の防御することができる。

２） ＤＮＳによる名前解決について（図７参照）。
先ず、ＤＮＳの基本的な動作について説明する。
クライアント３から名前解決のためにリクエスト（Ｒｅｑｕｅｓｔ）パケットを送信すると（Ｓ４）、サーバ５は、そのリクエストに対するリプライ（Ｒｅｐｌｙ）パケットを返送する（Ｓ５）。このＤＮＳパケットは、常にリクエストパケットとリプライパケットが対でやり取りされる。なお、この対によるやり取りは、ＤＮＳヘッダの中に一意に特定される識別子が含まれている。

従って、攻撃者であるクライアント３は、要求パケットを大量にＤＮＳサーバ５に送り（Ｓ６）、ＤＮＳサーバ５のサービス提供を不能にさせる狙いで攻撃を仕掛けてくる。

そこで、不正アクセス防御装置６は、ＤＮＳによる通信の場合、常にリクエストとリプライとが対でやり取りされることから、単位時間当りに通過するＤＮＳのリクエストに対し、リプライが極端に少ない場合に攻撃とみなし、リクエストパケットを破棄する処理を行うものである。

次に、不正アクセス防御装置６によるＤＮＳ通信の攻撃防御の一連の処理例について図８を参照して説明する。

不正アクセス防御装置６は、記録媒体１５に格納される攻撃防御用プログラムに基づき、次のような処理を実行する。すなわち、不正アクセス防御装置６のパケット判定部１２は、インターフェイスＮＩＣ１、ＮＩＣ２からパケットが入力されたか判断し（Ｓ３１）、パケット入力有りと判断すると、インターフェイスＮＩＣ１側から入力されたパケットがＤＮＳリクエストか、またインターフェイスＮＩＣ２側から入力されたパケットがＤＮＳリプライか、それとも何れにも属さないかを判定する（Ｓ３２、Ｓ３３）。これらステップＳ３２，Ｓ３３はパケット判定機能に相当する。

そこで、ステップＳ３２において、インターフェイスＮＩＣ１側から入ってくるパケットがＤＮＳリクエストである場合、登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子を通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、データベース記録部１３に問い合わせし、リクエスト超過数を取り出し（Ｓ３４）、パケット判定部１２に渡す。なお、データベース記録部１３には図９に示す攻撃識別（ＤＮＳ）、送信元ＩＰアドレス、送信先ＩＰアドレス、ＤＮＳ識別子、到達時間、リクエスト超過数等の情報が登録されている。

このパケット判定部１２は、登録／読出し制御部１４からリクエスト超過数を受け取ると、リクエスト超過数が予め定められている閾値ｎを超えているか否かを判定する（Ｓ３５）。これらステップＳ３４，Ｓ３５は不正アクセス有無判定機能に相当する。

ここで、リクエスト超過数が予め設定される閾値ｎ（ＤＮＳリクエスト超過許容回数）を超えていると判定された場合、パケット処理部１１に転送不可を通知する（Ｓ３６）。ここで、パケット処理部１１は、転送不可通知を受けると、該当パケットを破棄する（Ｓ３６）。これらステップＳ３６、Ｓ３７はパケット破棄機能に相当する。

また、ステップＳ３５においてリクエスト超過数が閾値ｎを超えていない場合、その旨を登録／読出し制御部１４に通知する。この登録／読出し制御部１４は、当該パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子、到達時間等をデータベース記録部１３に登録し、或いは既に登録されている場合にはリクエスト超過数を＋１を加算する（Ｓ３８：第２の登録機能）。

一方、ステップＳ３３において、インターフェイスＮＩＣ２側から入ってくるパケットがＤＮＳリプライである場合、前述同様に登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子を通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、データベース記録部１３からリクエスト超過数を取り出し（Ｓ３９）、リクエスト超過数が０であれば消去指令を出し、データベース記録部１３から該当情報を消去させ、一方、リクエスト超過数が１以上であれば、リクエスト超過数から１を減らす指令を出し、データベース記録部１３から該当情報のリクエスト超過数から１を減らす（Ｓ４０）。これらステップＳ３９、Ｓ４０は第１の登録機能に相当する。

さらに、ステップＳ３３において、パケットがＤＮＳリクエストでなく、またＤＮＳリプライでない場合、またステップＳ３８及びＳ４０の処理後、パケット判定部１２はパケット処理部１１にパケット転送許可を通知する（Ｓ４１）。ここで、パケット処理部１１は、既に受け取っているパケットを逆のインターフェイスＮＩＣ側に転送する（Ｓ４２）。これらステップＳ４１、Ｓ４２はパケット転送機能に相当する。

従って、以上のような実施の形態によれば、ＵＤＰパケットがＤＮＳリクエストの場合、そのＤＮＳリプライからリクエスト超過数をカウントしているので、このリクエスト超過数を監視することにより、予め定めるある閾値を超えたときに攻撃と判断し、クライアント３から送られてくるパケットを破棄するので、ＵＤＰパケットのＤＮＳを使用して攻撃してくるクライアントに対し、その攻撃を確実に防御することができる。

３） ＲＩＰによる定期的な経路情報の送信について（図１０参照）。

このＲＩＰは、サーバ５で保持する経路情報を他サーバ間と同期させることを目的として用いられ、定期的にブロードキャストの形で送信される。なお、送信間隔、送信量は常に一定量であるという特徴をもっている。

従って、攻撃者であるクライアント３は、ＲＩＰパケットを大量に送りつけ、ネットワーク資源の浪費やサーバ５の負荷増大を狙って攻撃を仕掛けてくる。

そこで、不正アクセス防御装置６は、ＲＩＰパケットが送られてきた場合、予め単位時間当りに到達してよい許容範囲を設け、ＲＩＰパケットが許容範囲を超えた場合にＲＩＰパケットを破棄する処理を行うものである。

次に、不正アクセス防御装置６による攻撃防御の一連の処理例について図１１を参照して説明する。

不正アクセス防御装置６は、記録媒体１５に格納される攻撃防御用プログラムに基づき、次のような処理を実行する。すなわち、不正アクセス防御装置６のパケット判定部１２は、インターフェイスＮＩＣ１からパケットが入力されたかを判断し（Ｓ５１）、入力された場合には当該パケットがＲＩＰパケットか否かを判定し（Ｓ５１：ＲＩＰパケット判定機能）、ＲＩＰパケットである場合には登録／読出し制御部１４にパケットの送信元・送信先ＩＰアドレスを通知する。ここで、登録／読出し制御部１４は、送信元・送信先ＩＰアドレスをキーとし、データベース記録部１３に当該送信元・送信先ＩＰアドレスが登録されているかを問い合わせし（Ｓ５３）、その問い合わせ結果をパケット判定部１２に通知する。なお、データベース記録部１３には図１２に示す攻撃識別（ＲＩＰ）、送信元ＩＰアドレス、送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達等の情報が登録されている。

このパケット判定部１２は、問い合わせ結果を受け、当該送信元・送信先ＩＰアドレスが登録されているか否かを判定し（Ｓ５４）、登録されている場合には登録／読出し制御部１４に通知する。この登録／読出し制御部１４は、該当送信元・送信先ＩＰアドレスに対応する計測開始時間、到達パケット数から現在の単位時間当りの到達率を計算し、この到達率が予め定める許容範囲のＲＩＰ数ｎ（ＲＩＰ）を超えているか否かを判定する（Ｓ５５）。これらステップＳ５４〜Ｓ５５は不正アクセス有無判定機能に相当する。

ここで、到達率が許容範囲のＲＩＰ数ｎを超えていると判定された場合、パケット処理部１１に転送不可を通知する。ここで、パケット処理部１１は、転送不可通知を受けると、該当パケットを破棄する（Ｓ５６，Ｓ５７：パケット破棄機能）。

一方、ステップＳ５４において、該当する送信元・送信先ＩＰアドレスが登録されていないと判定された場合、その旨を登録／読出し制御部１４に通知する。この登録／読出し制御部１４は、データベース記録部１３に対し、受け取ったパケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数に１を書き込む（Ｓ５８：第１の登録機能）。また、登録／読出し制御部１４は、ステップＳ５４において到達率が許容範囲のＲＩＰ数ｎを超えていないと判定された場合、該当する送信元・送信先ＩＰアドレスに対応するＲＩＰ到達数に＋１を加算する（Ｓ５９：第２の登録機能）。

さらに、ステップＳ５２において、パケットがＲＩＰでない場合、またステップＳ５８及びＳ５９の処理後、パケット判定部１２はパケット処理部１１にパケット転送許可を通知する（Ｓ６０）。ここで、パケット処理部１１は、既に受け取っているパケットを逆のインターフェイスＮＩＣ側に転送する（Ｓ６１）。これらステップＳ６０、Ｓ６１はパケット転送機能に相当する。

従って、以上のような実施の形態によれば、ＵＤＰパケットがＲＩＰの場合、そのＲＩＰの到達数をカウントしているので、このＲＩＰ到達数を監視することにより、このＲＩＰ到達数が予め定める許容範囲のＲＩＰ数を超えたときに攻撃と判断し、クライアント３から送られてくるパケットを破棄するので、ＵＤＰパケットのＲＩＰを使用して攻撃してくるクライアントに対し、その攻撃を確実に防御することができる。

本発明に係る不正アクセス防御装置を適用したネットワーク通信システムの一例を示す系統構成図。 本発明に係る不正アクセス防御装置の一実施の形態を示す構成図。 データの大量送信による攻撃に対する防御を説明するための模式図。 図３に示す不正アクセス防御装置の一連の処理例を説明するフローチャート。 図２のデータベース記録部に登録される情報の内容を示す図。 ＩＣＭＰのタイプを説明する図。 ＤＮＳによる名前解決に関わる攻撃に対する防御を説明するための模式図。 図７に示す不正アクセス防御装置の一連の処理例を説明するフローチャート。 図２のデータベース記録部に登録される情報の内容を示す図。 ＲＩＰによる定期的な経路情報送信による攻撃に対する防御を説明するための模式図。 図１０に示す不正アクセス防御装置の一連の処理例を説明するフローチャート。 図２のデータベース記録部に登録される情報の内容を示す図。 一般的なＴＣＰの通信におけるクライアントとサーバとのやり取りを説明するシーケンス図。 一般的なＵＤＰの通信におけるクライアントとサーバとのやり取りを説明するシーケンス図。 ＩＰヘッダ、ＴＣＰヘッダ及びＵＤＰヘッダに含まれる情報を説明する図。 従来のＳＹＮフラッド攻撃に対する防御を説明する図。

符号の説明

１…外部ネットワーク、２…内部ネットワーク、３…クライアント、４…パケットフィルタリング装置、５…サーバ、１１…パケット処理部、１２…パケット判定部、１３…データベース記録部、１４…登録／読出し制御部、１５…記録媒体。

Claims (6)

1. クライアントからのアクセス要求のもとに外部のネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスを防御する不正アクセス防御装置において、
   前記外部のネットワーク側及びサーバ側から入力されるパケットがＵＤＰパケットか，所定タイプのＩＣＭＰのエラーパケットであるかを判定する第１のパケット判定手段と、
   この第１のパケット判定手段によって前記サーバ側から入力されたパケットが所定タイプのＩＣＭＰのエラーパケットであると判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップしていく登録手段と、
   前記第１のパケット判定手段によって前記外部のネットワーク側から入力されたパケットがＵＤＰパケットと判定された場合、前記ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、前記ＩＣＭＰエラー回数が予め定める閾値を越えたかを超えたかを判定する第２の判定手段と、
   この第２の判定手段で閾値を超えていると判定された場合、前記外部のネットワーク側から入力されたパケットを破棄するパケット処理手段とを備えたことを特徴とする不正アクセス防御装置。
2. クライアントからのアクセス要求のもとに外部のネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスに対して当該不正アクセスを防御するコンピュータに、
   前記外部のネットワーク側及び前記サーバ側から入力されるパケットがＵＤＰパケットか，所定タイプのＩＣＭＰのエラーパケットであるかを判定するパケット判定機能と、
   このパケット判定機能によって所定タイプのＩＣＭＰのエラーパケットであると判定された場合、当該パケットの送信元・送信先ＩＰアドレスのもとにＩＣＭＰエラー回数をカウントアップする登録機能と、
   前記パケット判定機能によって前記外部ネットワーク側から入力されたパケットがＵＤＰパケットと判定された場合、当該ＵＤＰパケットの送信元・送信先ＩＰアドレスをキーとし、既に登録されている前記ＩＣＭＰエラー回数が予め定める閾値を超えたか否かを判定する不正アクセス有無判定機能と、
   この不正アクセス有無判定機能によって前記ＩＣＭＰエラー回数が閾値を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット破棄機能とを実現させることを特徴とするプログラム。
3. クライアントからのアクセス要求のもとに外部からネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスを防御する不正アクセス防御装置において、
   前記外部のネットワーク側及び前記サーバ側から入力されるパケットがＤＮＳリクエストかＤＮＳリプライかを判定する第1のパケット判定手段と、
   この第1のパケット判定手段によって前記外部ネットワーク側から入力されたパケットがＤＮＳリクエストと判定された場合、当該パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、リクエスト数が予め定める閾値を超えたかを判定する第２のパケット判定手段と、
   この第２のパケット判定手段で閾値を超えていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子のもとにリクエスト数をカウントアップする第1の登録手段と、
   前記第1のパケット判定手段によって前記サーバ側から入力されたパケットがＤＮＳリプライと判定された場合、前記入力されたパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子に対応するリクエスト数を減らす第２の登録手段と、
   前記第２のパケット判定手段でＤＮＳリクエスト数が閾値を超えたと判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを備えたことを特徴とする不正アクセス防御装置。
4. クライアントからのアクセス要求のもとに外部からネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスに対して当該不正アクセスを防御するコンピュータに、
   前記外部のネットワーク側及び前記サーバ側から入力されるパケットがＤＮＳリクエストかＤＮＳリプライかを判定する判定機能と、
   この判定機能により前記外部ネットワーク側から入力されたパケットがＤＮＳリクエストと判定された場合、当該入力されたパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子をキーとし、リクエスト数が予め定める閾値を超えたかを判定する不正アクセス有無判定機能と、
   この不正アクセス有無判定機能によって閾値を超えていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子のもとにリクエスト数をカウントアップする第1の登録機能と、
   前記判定機能により前記サーバ側から入力されたパケットがＤＮＳリプライと判定された場合、前記入力されたパケットの送信元・送信先ＩＰアドレス、ＤＮＳ識別子に対応するリクエスト数を減らす第２の登録機能と、
   前記不正有無判定機能によってリクエスト数が閾値を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット破棄機能とを実現させることを特徴とするプログラム。
5. クライアントからのアクセス要求のもとに外部からネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスを防御する不正アクセス防御装置において、
   前記外部のネットワーク側から入力されるパケットがＲＩＰパケットか否かを判定する第1のパケット判定手段と、
   この第1のパケット判定手段によってＲＩＰパケットと判定された場合、当該パケットの送信元・送信先ＩＰアドレスの計測開始時間、ＲＩＰ到達数が既に登録されているかを判定する第２のパケット判定手段と、
   この第２のパケット判定手段で登録されていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数を登録する第1の登録手段と、
   前記第２のパケット判定手段で登録されていると判定された場合、前記計測開始時間、ＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えているかを判定する第３のパケット判定手段と、
   この第３のパケット判定手段で前記ＲＩＰ数の許容範囲を超えていないと判定された場合、前記ＲＩＰ到達数をカウントアップする第２の登録手段と、
   前記第３のパケット判定手段で前記到達率がＲＩＰ数の許容範囲を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット処理手段とを備えたことを特徴とする不正アクセス防御装置。
6. クライアントからのアクセス要求のもとに外部からネットワークを通してＵＤＰパケットを使用してサーバに攻撃を仕掛けてくる不正アクセスに対して当該不正アクセスを防御するコンピュータに、
   前記外部のネットワーク側から入力されるパケットがＲＩＰパケットか否かを判定するパケット判定機能と、
   このパケット機能によって前記サーバ側から入力されるパケットがＲＩＰパケットと判定された場合、当該パケットの送信元・送信先ＩＰアドレスの計測開始時間、ＲＩＰ到達数が登録されているかを判定する登録有無判定機能と、
   この登録有無判定機能で登録されていないと判定された場合、該当パケットの送信元・送信先ＩＰアドレス、計測開始時間、ＲＩＰ到達数を登録する第１の登録機能と、
   前記登録有無判定機能で登録と判定された場合、前記計測開始時間、ＲＩＰ到達数から単位時間当りの到達率を計算し、この到達率がＲＩＰ数の許容範囲を超えているかを判定する到達判定機能と、
   この到達判定機能により許容範囲を超えていないと判定された場合、前記ＲＩＰ到達数をカウントアップする第２の登録機能と、
   前記到達判定機能によって許容範囲を超えていると判定された場合、前記外部ネットワーク側から入力されたパケットを破棄するパケット破棄機能とを実現させることを特徴とするプログラム。

Images