JP3974554B2 - ゲートウェイ - Google Patents
ゲートウェイ Download PDFInfo
- Publication number
- JP3974554B2 JP3974554B2 JP2003139801A JP2003139801A JP3974554B2 JP 3974554 B2 JP3974554 B2 JP 3974554B2 JP 2003139801 A JP2003139801 A JP 2003139801A JP 2003139801 A JP2003139801 A JP 2003139801A JP 3974554 B2 JP3974554 B2 JP 3974554B2
- Authority
- JP
- Japan
- Prior art keywords
- sip
- sip message
- address
- operating status
- gateway
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ゲートウェイに係り、特に、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信の提供を可能にするＳＩＰアプリケーションレベルゲートウェイに関する。
【０００２】
【従来の技術】
インターネット上での攻撃で代表的なものとして、ＤｏＳ（Denial Of Service：サービス拒否）攻撃がある。
このＤｏＳ攻撃は、インターネット上の各種サーバに対して大量の（無意味な）サービス接続要求を送り付け、サーバの負荷を高めて、サーバを過負荷でダウンさせたり、ほかの正当なユーザーへのサービスを妨げたりする攻撃である。
このＤｏＳ攻撃は、ファイアウォールを設置し、通過が許可されていないパケットを破棄することで防ぐことが可能である（例えば、非特許文献参照）。
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【特許文献１】
特開２００２−１５８６９９号公報
「ＤｏＳ攻撃防止方法および装置およびシステムおよび記憶媒体」
【０００４】
【発明が解決しようとする課題】
前述したように、ＤｏＳ攻撃は、ファイアウォールにより、通過が許可されていないパケットを破棄することで防ぐことが可能である。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号である５０６０［ＵＤＰ（User Datagram Protocol），ＴＣＰ（Transmission Control Protocol），ＳＣＴＰ（Stream Control Transmission Protocol）］や５０６１［ＴＬＳ（Transport Layer Security）］であれば通過を許容する場合、悪意を持ったユーザがＳＩＰメッセージを大量に送信することで、ＳＩＰメッセージを処理するシステムを過負荷によりサービスが停止してしまうことになる。
本発明は、このような課題を解決するものであって、本発明の目的は、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能なゲートウェイを提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【０００５】
【課題を解決するための手段】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
即ち、本発明は、複数の端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行うＳＩＰメッセージ送受信手段と、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行うアドレス変換手段と、ＳＩＰメッセージ内に記述されたＲＴＰ用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行うFirewall制御手段とを備えるゲートウェイであって、ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、 前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備えることを特徴とする。
また、本発明は、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でＳＩＰメッセージの送受信を行うノード装置であって、前記ノード装置が、前述のゲートウェイを備えることを特徴とする。
【０００６】
本発明によれば、ゲートウェイの稼動状況を収集し、ゲートウェイの稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を破棄するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付けるようにしたので、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ゲートウェイのシステムダウンを発生させずに、ゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することが可能となる。
【０００７】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
なお、実施の形態を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
同図に示すように、本実施の形態のＳＩＰアプリケーションレベルゲートウェイは、ＳＩＰメッセージ送受信機能１０と、受信信号選択機能１１と、システム稼動状況収集機能１２と、アドレス変換機能１３と、Firewall制御機能１４とを備える。
ＳＩＰメッセージ送受信機能１０は、複数のＩＰ端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行う。
アドレス変換機能１３は、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行う。
Firewall制御機能１４は、ＳＩＰメッセージ内に記述されたＲＴＰ（Real-time Transport Protocol）用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行う。
【０００８】
受信信号選択機能１１と、システム稼動状況収集機能１２とは、本発明の特徴とする機能であり、システム稼動状況収集機能１２は、ゲートウェイの稼動状況を収集する。
また、受信信号選択機能１１は、ゲートウェイの稼動状況がある一定レベルを超える状態にある場合には、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）は拒否するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付ける。
また、ゲートウェイの稼動状況がある一定レベル以下の場合には、全ての新規のＳＩＰメッセージを受け付ける。
【０００９】
図２は、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
同図において、ＳＩＰ−ＡＬＧは、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するノード装置であり、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でのＳＩＰメッセージの送受信を行う。
図２において、ノード装置（ＳＩＰ−ＡＬＧ）に収容されるＩＰ端末（Ｔ１）とＩＰ端末（Ｔ２）とはＩＰ網（Ｎ１）に、ＩＰ端末（Ｔ３）とＩＰ端末（Ｔ４）とはＩＰ網（Ｎ２）に属している。
また、ＩＰ網（Ｎ１）と、ＩＰ網（Ｎ２）とは、それぞれ異なったＩＰアドレス体系のＩＰ網である。
従来技術では、例えば、ＩＰ端末（Ｔ３）のユーザが悪意を持ったユーザであって、ノード装置（ＳＩＰ−ＡＬＧ）にＳＩＰメッセージを大量に送付し、ノード装置（ＳＩＰ−ＡＬＧ）の処理能力を圧迫させるＤｏＳ攻撃を防ぐために、ノード装置（ＳＩＰ−ＡＬＧ）の前後にファイアウォールを設置する。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号（ＵＤＰ，ＴＣＰ，ＳＣＴＰなら５０６０、ＴＬＳなら５０６１）であれば通過を許可する場合には、ＳＩＰメッセージによるＤｏＳ攻撃を防ぐことができない。
【００１０】
本実施の形態は、このような状況を解決するもので、図３を用いて詳細に説明する。
図３は、図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
始めに、ノード装置（ＳＩＰ−ＡＬＧ）は、ＩＰ端末（Ｔ１）からのＳＩＰメッセージを受信すると、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況（ＣＰＵ使用率やロードアベレージ等）を照会する（ステップ３０１）。
次に、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えているかを判定し（ステップ３０２）、ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていないと判定された場合には、ステップ３０５ヘ進む。
ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていると判定された場合には、受信したＳＩＰメッセージの種類を識別する（ステップ３０３）。
【００１１】
ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）以外の、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）であれば、ステップ３０５に進む。
また、ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）であれば、一定の比率（例えば、５回に１回など）で、受信した新規のＳＩＰメッセージを受け付ける（ステップ３０４）。
ステップ３０４において、受け付けを拒否した場合には、ＩＰ端末（Ｔ１）に、“４０３等のエラーメッセージ”を通知する。
ステップ３０３において、受信した新規のＳＩＰメッセージを受け付けた場合にはステップ３０５に進む。
ステップ３０５では、アドレス変換機能によりＳＩＰメッセージ内のＩＰアドレスを送信先のＩＰ端末（Ｔ３）のＩＰアドレス体系へ変換する（ステップ３０５）。
次に、ＳＩＰメッセージ内のＩＰアドレス情報でFirewall制御機能１４により、ファイアウォールを開閉し（ステップ３０６）、ＳＩＰメッセージをＩＰ端末（Ｔ３）に送信する（ステップ３０７）。
【００１２】
なお、前述の説明では、ＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）へのＳＩＰメッセージ送信時について述べたが、ＩＰ端末（Ｔ３）からＩＰ端末（Ｔ１）への逆方向の通信や他のＩＰ端末（Ｔ２，Ｔ４）とのＳＩＰメッセージ送受信についても同様である。
以上説明したように、本実施の形態では、ＳＩＰアプリケーションレベルゲートウェイの稼動状況がある一定レベルを超える状態にあるときに、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を破棄するとともに、セッション継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）を受け付ける。
これにより、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ＳＩＰアプリケーションレベルゲートウェイのシステムダウンを発生させずに、ＳＩＰアプリケーションレベルゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することができる。
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００１３】
【発明の効果】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
【図２】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
【図３】図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
【符号の説明】
１０…ＳＩＰメッセージ送受信機能、１１…受信信号選択機能、１２…システム稼動状況収集機能、１３…アドレス変換機能、１４…Firewall制御機能、ＳＩＰ−ＡＬＧ…ノード装置、Ｔ１〜Ｔ４…ＩＰ端末、Ｎ１，Ｎ２…ＩＰ網。
【発明の属する技術分野】
本発明は、ゲートウェイに係り、特に、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信の提供を可能にするＳＩＰアプリケーションレベルゲートウェイに関する。
【０００２】
【従来の技術】
インターネット上での攻撃で代表的なものとして、ＤｏＳ（Denial Of Service：サービス拒否）攻撃がある。
このＤｏＳ攻撃は、インターネット上の各種サーバに対して大量の（無意味な）サービス接続要求を送り付け、サーバの負荷を高めて、サーバを過負荷でダウンさせたり、ほかの正当なユーザーへのサービスを妨げたりする攻撃である。
このＤｏＳ攻撃は、ファイアウォールを設置し、通過が許可されていないパケットを破棄することで防ぐことが可能である（例えば、非特許文献参照）。
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【特許文献１】
特開２００２−１５８６９９号公報
「ＤｏＳ攻撃防止方法および装置およびシステムおよび記憶媒体」
【０００４】
【発明が解決しようとする課題】
前述したように、ＤｏＳ攻撃は、ファイアウォールにより、通過が許可されていないパケットを破棄することで防ぐことが可能である。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号である５０６０［ＵＤＰ（User Datagram Protocol），ＴＣＰ（Transmission Control Protocol），ＳＣＴＰ（Stream Control Transmission Protocol）］や５０６１［ＴＬＳ（Transport Layer Security）］であれば通過を許容する場合、悪意を持ったユーザがＳＩＰメッセージを大量に送信することで、ＳＩＰメッセージを処理するシステムを過負荷によりサービスが停止してしまうことになる。
本発明は、このような課題を解決するものであって、本発明の目的は、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能なゲートウェイを提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【０００５】
【課題を解決するための手段】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
即ち、本発明は、複数の端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行うＳＩＰメッセージ送受信手段と、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行うアドレス変換手段と、ＳＩＰメッセージ内に記述されたＲＴＰ用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行うFirewall制御手段とを備えるゲートウェイであって、ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、 前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備えることを特徴とする。
また、本発明は、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でＳＩＰメッセージの送受信を行うノード装置であって、前記ノード装置が、前述のゲートウェイを備えることを特徴とする。
【０００６】
本発明によれば、ゲートウェイの稼動状況を収集し、ゲートウェイの稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ）を破棄するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付けるようにしたので、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ゲートウェイのシステムダウンを発生させずに、ゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することが可能となる。
【０００７】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
なお、実施の形態を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
同図に示すように、本実施の形態のＳＩＰアプリケーションレベルゲートウェイは、ＳＩＰメッセージ送受信機能１０と、受信信号選択機能１１と、システム稼動状況収集機能１２と、アドレス変換機能１３と、Firewall制御機能１４とを備える。
ＳＩＰメッセージ送受信機能１０は、複数のＩＰ端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行う。
アドレス変換機能１３は、ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行う。
Firewall制御機能１４は、ＳＩＰメッセージ内に記述されたＲＴＰ（Real-time Transport Protocol）用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行う。
【０００８】
受信信号選択機能１１と、システム稼動状況収集機能１２とは、本発明の特徴とする機能であり、システム稼動状況収集機能１２は、ゲートウェイの稼動状況を収集する。
また、受信信号選択機能１１は、ゲートウェイの稼動状況がある一定レベルを超える状態にある場合には、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、または、ＲＥＧＩＳＴＥＲ）は拒否するとともに、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）は受け付ける。
また、ゲートウェイの稼動状況がある一定レベル以下の場合には、全ての新規のＳＩＰメッセージを受け付ける。
【０００９】
図２は、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
同図において、ＳＩＰ−ＡＬＧは、本実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するノード装置であり、ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でのＳＩＰメッセージの送受信を行う。
図２において、ノード装置（ＳＩＰ−ＡＬＧ）に収容されるＩＰ端末（Ｔ１）とＩＰ端末（Ｔ２）とはＩＰ網（Ｎ１）に、ＩＰ端末（Ｔ３）とＩＰ端末（Ｔ４）とはＩＰ網（Ｎ２）に属している。
また、ＩＰ網（Ｎ１）と、ＩＰ網（Ｎ２）とは、それぞれ異なったＩＰアドレス体系のＩＰ網である。
従来技術では、例えば、ＩＰ端末（Ｔ３）のユーザが悪意を持ったユーザであって、ノード装置（ＳＩＰ−ＡＬＧ）にＳＩＰメッセージを大量に送付し、ノード装置（ＳＩＰ−ＡＬＧ）の処理能力を圧迫させるＤｏＳ攻撃を防ぐために、ノード装置（ＳＩＰ−ＡＬＧ）の前後にファイアウォールを設置する。
しかしながら、ＳＩＰメッセージがファイアウォールを通過できるように、ファイアウォールが、デフォルトのポート番号（ＵＤＰ，ＴＣＰ，ＳＣＴＰなら５０６０、ＴＬＳなら５０６１）であれば通過を許可する場合には、ＳＩＰメッセージによるＤｏＳ攻撃を防ぐことができない。
【００１０】
本実施の形態は、このような状況を解決するもので、図３を用いて詳細に説明する。
図３は、図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
始めに、ノード装置（ＳＩＰ−ＡＬＧ）は、ＩＰ端末（Ｔ１）からのＳＩＰメッセージを受信すると、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況（ＣＰＵ使用率やロードアベレージ等）を照会する（ステップ３０１）。
次に、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えているかを判定し（ステップ３０２）、ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていないと判定された場合には、ステップ３０５ヘ進む。
ステップ３０２において、ノード装置（ＳＩＰ−ＡＬＧ）の稼動状況が予め設定された値を超えていると判定された場合には、受信したＳＩＰメッセージの種類を識別する（ステップ３０３）。
【００１１】
ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）以外の、セッシヨン継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）であれば、ステップ３０５に進む。
また、ステップ３０３において、受信したＳＩＰメッセージが新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、あるいは、ＲＥＧＩＳＴＥＲ）であれば、一定の比率（例えば、５回に１回など）で、受信した新規のＳＩＰメッセージを受け付ける（ステップ３０４）。
ステップ３０４において、受け付けを拒否した場合には、ＩＰ端末（Ｔ１）に、“４０３等のエラーメッセージ”を通知する。
ステップ３０３において、受信した新規のＳＩＰメッセージを受け付けた場合にはステップ３０５に進む。
ステップ３０５では、アドレス変換機能によりＳＩＰメッセージ内のＩＰアドレスを送信先のＩＰ端末（Ｔ３）のＩＰアドレス体系へ変換する（ステップ３０５）。
次に、ＳＩＰメッセージ内のＩＰアドレス情報でFirewall制御機能１４により、ファイアウォールを開閉し（ステップ３０６）、ＳＩＰメッセージをＩＰ端末（Ｔ３）に送信する（ステップ３０７）。
【００１２】
なお、前述の説明では、ＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）へのＳＩＰメッセージ送信時について述べたが、ＩＰ端末（Ｔ３）からＩＰ端末（Ｔ１）への逆方向の通信や他のＩＰ端末（Ｔ２，Ｔ４）とのＳＩＰメッセージ送受信についても同様である。
以上説明したように、本実施の形態では、ＳＩＰアプリケーションレベルゲートウェイの稼動状況がある一定レベルを超える状態にあるときに、一定の比率で新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を受付け、その他の新規のＳＩＰメッセージ（ＩＮＶＩＴＥ、ＥＧＩＳＴＥＲ）を破棄するとともに、セッション継続のための再送ＳＩＰメッセージ（ｒｅ−ＩＮＶＩＴＥ）、あるいは、受付済みＳＩＰメッセージの後続信号（ＡＣＫ、ＢＹＥ等）を受け付ける。
これにより、悪意を持ったユーザがＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、ＳＩＰアプリケーションレベルゲートウェイのシステムダウンを発生させずに、ＳＩＰアプリケーションレベルゲートウェイによる、アドレス体系の異なるＩＰ網間でのセキュアなＳＩＰによる通信を提供することができる。
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００１３】
【発明の効果】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、ＳＩＰメッセージを大量に送りつけることによってシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させずに、ＳＩＰによる通信を提供することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイの概略構成を示すブロック図である。
【図２】本発明の実施の形態のＳＩＰアプリケーションレベルゲートウェイを使用するＳＩＰメッセージ送信時のシステム接続例を示すブロック図である。
【図３】図２に示すＩＰ端末（Ｔ１）からＩＰ端末（Ｔ３）にＳＩＰメッセージを送信するときの制御シーケンス例を示す図である。
【符号の説明】
１０…ＳＩＰメッセージ送受信機能、１１…受信信号選択機能、１２…システム稼動状況収集機能、１３…アドレス変換機能、１４…Firewall制御機能、ＳＩＰ−ＡＬＧ…ノード装置、Ｔ１〜Ｔ４…ＩＰ端末、Ｎ１，Ｎ２…ＩＰ網。
Claims (2)
- 複数の端末、あるいは、ＳＩＰサーバとの間でＳＩＰ通信を行うＳＩＰメッセージ送受信手段と、
ＩＰアドレス体系の異なるＩＰ網間でＳＩＰメッセージの送受信を行う場合に、ＳＩＰメッセージ内に記述されたＩＰアドレス情報を送信先のＩＰアドレス体系に応じてＩＰアドレス変換を行うアドレス変換手段と、
ＳＩＰメッセージ内に記述されたＲＴＰ用のＩＰアドレス、ポート番号情報に基づいてファイアウォールの開閉制御を行うFirewall制御手段とを備えるゲートウェイであって、
ゲートウェイの稼動状況を収集するシステム稼働状況収集手段と、
前記システム稼働状況収集手段で収集した稼動状況がある一定レベル以下の場合に、全ての新規のＳＩＰメッセージを受け付け、また、前記システム稼働状況収集手段で収集した稼動状況がある一定レベルを超える状態の場合に、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のためのＳＩＰメッセージ、あるいは、受付済みＳＩＰメッセージの後続信号を受け付ける受信信号選択手段とを備えることを特徴とするゲートウェイ。 - ＩＰアドレス体系の異なるＩＰ網のＩＰ端末を収容し、各ＩＰ端末間でＳＩＰメッセージの送受信を行うノード装置であって、
前記ノード装置は、請求項１に記載のゲートウェイを備えることを特徴とするノード装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003139801A JP3974554B2 (ja) | 2003-05-19 | 2003-05-19 | ゲートウェイ |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003139801A JP3974554B2 (ja) | 2003-05-19 | 2003-05-19 | ゲートウェイ |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004343580A JP2004343580A (ja) | 2004-12-02 |
| JP3974554B2 true JP3974554B2 (ja) | 2007-09-12 |
Family
ID=33528708
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003139801A Expired - Fee Related JP3974554B2 (ja) | 2003-05-19 | 2003-05-19 | ゲートウェイ |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3974554B2 (ja) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4555005B2 (ja) * | 2004-06-29 | 2010-09-29 | 日本電気株式会社 | プロトコル変換サーバ |
| DE102006004202B4 (de) | 2006-01-27 | 2008-02-14 | Nec Europe Ltd. | Verfahren zum Schutz von SIP basierten Anwendungen |
| JP4800272B2 (ja) * | 2007-08-16 | 2011-10-26 | 日本電信電話株式会社 | ナンバースキャンニング検知装置およびナンバースキャンニング検知プログラム |
| AU2008348253B2 (en) * | 2008-01-17 | 2014-01-23 | Koninklijke Kpn N.V. | Method and system for controlling a computer application program |
| US8463921B2 (en) | 2008-01-17 | 2013-06-11 | Scipioo Holding B.V. | Method and system for controlling a computer application program |
| JP5609519B2 (ja) * | 2010-10-07 | 2014-10-22 | アイコム株式会社 | Ｓｉｐ機器 |
-
2003
- 2003-05-19 JP JP2003139801A patent/JP3974554B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004343580A (ja) | 2004-12-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3535932B1 (en) | Application characterization using transport protocol analysis | |
| Kohler et al. | Datagram congestion control protocol (DCCP) | |
| Camarillo et al. | Evaluation of transport protocols for the session initiation protocol | |
| Balakrishnan et al. | The congestion manager | |
| Eggert et al. | UDP usage guidelines | |
| US7391725B2 (en) | System and method for defeating SYN attacks | |
| US9641561B2 (en) | Method and system for managing a SIP server | |
| Fairhurst et al. | Services provided by IETF transport protocols and congestion control mechanisms | |
| US7970878B1 (en) | Method and apparatus for limiting domain name server transaction bandwidth | |
| US7404210B2 (en) | Method and apparatus for defending against distributed denial of service attacks on TCP servers by TCP stateless hogs | |
| US9037729B2 (en) | SIP server overload control | |
| JP4602158B2 (ja) | サーバ装置保護システム | |
| JP3974554B2 (ja) | ゲートウェイ | |
| CN101238678A (zh) | 用于分组语音通信网络的安全性网守 | |
| Ohta | Performance comparisons of transport protocols for session initiation protocol signaling | |
| Peuhkuri | Internet traffic measurements–aims, methodology, and discoveries | |
| Eggert et al. | RFC 8085: UDP Usage Guidelines | |
| Gurbani et al. | Transport protocol considerations for session initiation protocol networks | |
| Kiesel et al. | Modeling and performance evaluation of transport protocols for firewall control | |
| Camarillo et al. | Signalling transport protocols | |
| US20060010486A1 (en) | Network security active detecting system and method thereof | |
| Kiesel | On the use of cryptographic cookies for transport layer connection establishment | |
| Baghdadi et al. | Improving performance of SIP signaling during overload using capabilities of connection-oriented transport protocol | |
| Kiesel et al. | Modeling and performance evaluation of SCTP as transport protocol for firewall control | |
| Balakrishnan et al. | RFC3124: The Congestion Manager |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050728 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070517 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070612 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070614 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100622 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100622 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110622 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120622 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130622 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |