JP3988731B2 - ファイアウォール制御システム、ファイアウォール制御方法、および、ファイアウォール制御プログラム - Google Patents

Description

本発明は、ファイアウォール制御システム、ファイアウォール制御方法、および、ファイアウォール制御プログラムに関し、特に、メタボール技法を利用するファイアウォール制御システム、ファイアウォール制御方法、および、ファイアウォール制御プログラムに関する。

ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ：分散型サービス妨害）攻撃とは、複数の踏み台サーバを利用し、複数箇所から一斉にＤｏＳ攻撃を行い、サーバのメモリ資源やＣＰＵ資源を枯渇させたりネットワークリソースを利用できなくするなどして、標的となるサーバのサービスを不能にする攻撃である。ＤｏＳ攻撃とは違い、攻撃者が標的に対して直接攻撃を行うのではなく、別の踏み台となる不特定多数のコンピュータから攻撃を行うことを特徴とする攻撃手法である。

ＤＤｏＳ攻撃には、大きく分けるとソフトウェアのバグをねらう攻撃と、単純にサーバに過剰な負荷をかける攻撃の２つがある。特に後者の場合、一般の不正アクセスと異なり、送信されてくるパケットが不正には見えないので、根本的な解決手段は現在のところまだない。

ＤＤｏＳ攻撃を受けた時の直接的な被害には、以下のようなものがある。

（１）帯域の圧迫。

（２）ルータやファイアウォールの処理能力の低下。

（３）ターゲットサーバの処理能力低下。

（４）ファイアウォールやサーバのディスク資源の大量消費（膨大なログが発生）。

ＤＤｏＳ攻撃に対する防御に関する技術としては、ＤＤｏＳ攻撃が発生すると、攻撃元に近い通信装置に防御モジュールを送付してＤＤｏＳ攻撃を防御する技術が開示されている（たとえば、特許文献１）。

また、シグニチャ（パターンファイル）を用いて、ＤＤｏＳ攻撃を検知することが、開示されている（たとえば、非特許文献１）。

特開２００２−１６４９３８号公報 株式会社シマンテック、「Ｓｙｍａｎｔｅｃ ＭａｎＨｕｎｔ」、［online］、［平成１６年２月２３日検索］、インターネット＜ＵＲＬ：http://www.symantec.co.jp/region/jp/products/manhunt/index.html＞

上述した特許文献１、非特許文献１記載の技術の問題点は、ＤＤｏｓ攻撃に対する対策が、不十分なことである。

その理由は、特許文献１記載の発明では、ＤＤｏＳ攻撃が発生すると、攻撃元に近い通信制御装置に防御モジュールを送信するのみであり、他方向からのＤＤｏＳ攻撃に対して事前対処できないからである。

また、非特許文献１記載の内容は、やはり、ＤＤｏｓ攻撃に対する対策が、不十分である。

その理由は、ＤＤｏＳ攻撃検出後に設定変更を要するファイアウォールを特定し、ＤＤｏＳ攻撃を防御するという手段がないからである。

本発明の目的は、メタボール技法を利用して障害の影響度、影響範囲を予測することにより、設定変更を要するファイアウォールを特定し、他方向からの時間をおいたＤＤｏＳ攻撃攻撃に対しても防御可能とすることである。

本発明の第１のファイアウォール制御システムは、ＤＤｏｓ攻撃による攻撃検知通知を受信すると、攻撃検知通知を送信したエージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、メタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信するマネージャコンピュータを有することを特徴とする。

本発明の第２のファイアウォール制御システムは、ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるファイアウォール制御システムであって、前記エージェントコンピュータの前記エージェント手段が、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加し、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する、ことを特徴とする。

本発明の第３のファイアウォール制御システムは、ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるファイアウォール制御システムであって、前記エージェントコンピュータの前記エージェント手段が、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加し、設定変更指示を受信すると、前記ファイアウォールプログラムにパケットを破棄するか、もしくは、帯域制御するように設定を行い、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信し、攻撃検知通知を受信すると、設定の変更を要する前記エージェントコンピュータに対し、パケットを破棄するか、もしくは、帯域制御するように設定の変更を指示する設定変更指示を送信することを特徴とする。

本発明の第４のファイアウォール制御システムは、前記第２または第３のファイアウォール制御システムであって、攻撃検知通知を送信した前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ０以上の濃度の範囲と、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ１以上の濃度の範囲との論理和の範囲である等濃度面内に存在する前記エージェントコンピュータを設定の変更を要する前記エージェントコンピュータとして特定する前記マネージャ手段を有することを特徴とする。

本発明の第５のファイアウォール制御システムは、前記第４のファイアウォール制御システムであって、メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）であり、Ｄ０は、メタボールの中心における濃度、ｂは、定義域であることを特徴とする。

本発明の第１のファイアウォール制御方法は、マネージャコンピュータが、ＤＤｏｓ攻撃による攻撃検知通知を受信すると、攻撃検知通知を送信したエージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、メタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順を含むことを特徴とする。

本発明の第２のファイアウォール制御方法は、ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるシステムに適用されるファイアウォール制御方法であって、前記エージェントコンピュータの前記エージェント手段が、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加する手順と、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順と、を含むことを特徴とする。

本発明の第３のファイアウォール制御方法は、前記第２のファイアウォール制御方法であって、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、設定の変更を要する前記エージェントコンピュータに対し、パケットを破棄するか、もしくは、帯域制御するように設定の変更を指示する設定変更指示を送信する手順と、前記エージェントコンピュータの前記エージェント手段が、設定変更指示を受信すると、前記ファイアウォールプログラムにパケットを破棄するか、もしくは、帯域制御するように設定を行う手順と、を含むことを特徴とする。

本発明の第４のファイアウォール制御方法は、前記第２または第３のファイアウォール制御方法であって、前記マネージャ手段が、攻撃検知通知を送信した前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ０以上の濃度の範囲と、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ１以上の濃度の範囲との論理和の範囲である等濃度面内に存在する前記エージェントコンピュータを設定の変更を要する前記エージェントコンピュータとして特定する手順を含むことを特徴とする。

本発明の第５のファイアウォール制御方法は、前記第４のファイアウォール制御方法であって、メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）であり、Ｄ０は、メタボールの中心における濃度、ｂは、定義域であることを特徴とする。

本発明の第１のファイアウォール制御プログラムは、マネージャコンピュータに、ＤＤｏｓ攻撃による攻撃検知通知を受信すると、攻撃検知通知を送信したエージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、メタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順を実行させることを特徴とする。

本発明の第２のファイアウォール制御プログラムは、ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるシステムに適用されるファイアウォールプログラムであって、前記エージェントコンピュータの前記エージェント手段に、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加する手順を実行させ、前記マネージャコンピュータの前記マネージャ手段に、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順を実行させることを特徴とする。

本発明の第３のファイアウォール制御プログラムは、前記第２のファイアウォール制御プログラムであって、前記マネージャコンピュータの前記マネージャ手段に、攻撃検知通知を受信すると、設定の変更を要する前記エージェントコンピュータに対し、パケットを破棄するか、もしくは、帯域制御するように設定の変更を指示する設定変更指示を送信する手順を実行させ、前記エージェントコンピュータの前記エージェント手段に、設定変更指示を受信すると、前記ファイアウォールプログラムにパケットを破棄するか、もしくは、帯域制御するように設定を行う手順を実行させる、ことを特徴とする。

本発明の第４のファイアウォール制御プログラムは、前記第２または第３のファイアウォール制御プログラムであって、前記マネージャ手段に、攻撃検知通知を送信した前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ０以上の濃度の範囲と、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ１以上の濃度の範囲との論理和の範囲である等濃度面内に存在する前記エージェントコンピュータを設定の変更を要する前記エージェントコンピュータとして特定する手順を実行させることを特徴とする。

本発明の第５のファイアウォール制御プログラムは、前記第４のファイアウォール制御プログラムであって、メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）であり、Ｄ０は、メタボールの中心における濃度、ｂは、定義域であることを特徴とする。

本発明の効果は、ＤＤｏｓ攻撃によるトラフィック障害を抑止し、通常利用者へのサービスを継続することができることである。

その理由は、ＤＤｏｓ攻撃の検出の設定の変更を行う必要があるファイアウォールを特定する手段として前記メタボール技法を用いることで、他方向からのＤＤｏｓ攻撃に対する防御を可能とするからである。

次に、本発明を実施するための第１の最良の形態について図面を参照して詳細に説明する。

図１は、本発明を実施するための第１の最良の形態の構成を示すブロック図である。

図１を参照すると、本発明を実施するための第１の最良の形態は、ファイアウォール１１、ファイアウォール１２、ファイアウォール１３、ファイアウォール１４と、あるサービスを提供するサーバ１５と、サーバ１５が提供するサービスを利用するクライアント１６、クライアント１７と、これらを接続するネットワークとから構成される。ファイアウォール１１、ファイアウォール１２、ファイアウォール１３、ファイアウォール１４は、それぞれ、コンピュータ５１、コンピュータ５２、コンピュータ５３、コンピュータ５４上に、ハードウェア、または、ソフトウェア、または、ハードウェアとソフトウェアとの組み合わせで実現される。

クライアント１６、クライアント１７、サーバ１５は、ファイアウォール１１〜ファイアウォール１４のいずれかによって守られるので、防御対象コンピュータと呼ぶ。

ネットワーク上のコンピュータ５１〜コンピュータ５４には、ファイアウォールプログラム、および、エージェントプログラム（エージェント手段）がインストールされる。一つのマネージャプログラム（マネージャ手段）が、エージェントプログラムを集中管理して、ファイアウォールの設定を変更可能とするため、あらかじめコンピュータ５１には、マネージャプログラムがインストールされる。すなわち、ファイアウォール１１〜ファイアウォール１４は、コンピュータ５１〜コンピュータ５４、ファイアウォールプログラム、エージェントプログラム、および、マネージャプログラムによって実現される。

また、コンピュータ５２のファイアウォールプログラムは、サーバ１５に対するＤＤｏＳ攻撃が検知可能となるようあらかじめ設定される。

次に、本発明で扱う既知のＤＤｏＳ攻撃（ここで、便宜のため、以降、ＤＤｏＳ１、ＤＤｏＳ２と呼ぶ）、未知のＤＤｏＳ攻撃、および他の攻撃（他の不正アクセス）に関して説明する。

エージェントプログラムが、不正アクセス、ＤＤｏＳ攻撃パケットのパターンを記したシグニチャをパターンファイルとして持ち、入力パケットとシグニチャとを比較することで攻撃の検知を行う。さらに、エージェントプログラムは、プロトコル異常やトラフィック異常などによる検知機能を実装し、前記パターンファイルによる攻撃の検知と組み合わせることにより様々なＤＤｏＳ攻撃の検知を実施する。

エージェントプログラムは、まず、パターンファイルにより、ＤＤｏＳ１攻撃、ＤＤｏＳ２攻撃であるかどうかを検出する。次に、エージェントプログラムは、プロトコル異常やトラフィック異常の種類により、未知のＤＤｏＳ攻撃であるのか、それとも、他の攻撃であるのかを検出する。
たとえば、エージェントプログラムは、プロトコル異常において、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）標準ルールに準拠していない通信であった場合、または、トラフィック異常において、通信量がある値を超える場合に、未知のＤＤｏＳ攻撃と検知する。

図２は、コンピュータ５１〜コンピュータ５４の構成を示すブロック図である。

図２を参照すると、コンピュータ５１〜コンピュータ５４は、通信部８１、演算部８２、記憶部８３（メモリ、または、ハードディスク等）を含む。また、たとえば、ファイアウォール１１〜ファイアウォール１４のファイアウォールプログラム、エージェントプログラム、マネージャプログラムは、記憶部８３上に格納される。演算部８２はファイアウォールプログラム、マネージャプログラム、エージェントプログラムを実行し、通信部８１は、ネットワークでの通信を行う。

ファイアウォール１１〜ファイアウォール１４にインストールされたエージェントプログラムは、トラフィック障害、あるいは、異常な数の接続要求などからＤＤｏＳ攻撃を検知し、ＤＤｏＳ攻撃の種類ごとに、あらかじめ設定された予想される障害の影響範囲、影響度を、マネージャプログラムに対して通知する機能を有する。また、エージェントプログラムは、マネージャプログラムからの指示により自コンピュータ上で動作するファイアウォールプログラムの設定を変更可能とする機能を有する。マネージャプログラムは、ＤＤｏＳ攻撃の障害内容（たとえば、サービスの停止）と、予想される影響度、影響範囲とを含む障害情報をエージェントプログラムから受信した障害情報をリアルタイムで可視化する（たとえば、ディスプレイ等に表示する機能）を有する。また、マネージャプログラムは、必要と判断するエージェントプログラムに指示し、発生したＤＤｏＳ攻撃を検知するように指示し、かつ、ファイアウォールプログラムのフィルタ設定（アクセス制御（パケットの通過可否）の設定、帯域制御（使用可能な回線容量の制限））変更を指示する。

次に、クライアント１６、クライアント１７からサーバ１５に対するＤＤｏＳ攻撃が発生した場合について説明する。

クライアント１６、クライアント１７は、サーバ１５が提供するサービスに対して要求パケットを送信する。サーバ１５は、要求内容に応じて返信を行う。クライアント１６、クライアント１７からサーバ１５に対するＤＤｏＳ攻撃により、トラフィック障害が生じると、障害を検知したファイアウォール１２にインストールされたエージェントプログラムが、障害内容と、予想される障害の影響度、影響範囲と含む障害情報をマネージャプログラムに通知する。マネージャプログラムは、障害情報をもとに設定を変更する必要があるエージェントプログラム（ファイアウォールプログラムを含む）を特定し、発生したＤＤｏＳ攻撃を検知するように指示し、かつ、フィルタ設定を変更するように指示する。ここで、設定を変更する必要があるエージェントプログラム（ファイアウォールプログラムを含む）を特定する方法として、コンピュータ・グラフィックスの分野で複雑な曲面を描画する際に使用されているメタボール技法が用いられる。

以下にメタボール技法について図面を参照して説明する。

図３は、メタボールの概念を示す説明図である。

スカラ空間の等値面で複雑な曲面を定義する場合、どのようにスカラ空間を作り出せばよいのかが問題となる。最も単純な方法は、点電荷がその周囲に作る電位分布のようなものを考えることである。この点電荷のような役目をする点と電位分布とを合わせてメタボール、あるいは、ｂｌｏｂという。目的のスカラ空間は、このメタボールをいくつか組み合わせることによって作り出される。濃度分布は、それぞれのメタボールが作りだす濃度分布の合成として定義される。

メタボールの濃度分布としては、正規分布に基づく分布関数（図３の式１）が提案されている。しかしながら、この分布関数は、理論的には無限の範囲の濃度分布をもつため形状の局所的な変更が難しく、計算コストも大きな問題となる。そのため、濃度分布が有限の範囲で定義されるような、区分的な２次関数や、４次関数による分布関数も提案されている。ここでは便宜上、図３の式２に示すような４次関数による分布関数を使用する。

式２では、メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）である。ここで、Ｄ０は、メタボールの中心における濃度、ｂは、定義域である。

たとえば、距離ｒは、ファイアウォールコンピュータ間の経由する中継器の数とすることが可能であるが、これには限らない。また、定義域は、中継器の一定個数と定義することも可能である。

本発明では、エージェントプログラムにあらかじめ設定された予想される障害の影響範囲をメタボールの定義域に、予想される障害の影響度をメタボールの中心における濃度値として考えて濃度分布を作成し、ある閾値の等濃度面内に存在するファイアウォールを設定の変更が必要なファイアウォールとして特定する。

また、ＤＤｏＳ攻撃の種類ごとにあらかじめ予想される障害の影響範囲、影響度を各エージェントプログラムに設定しておき、攻撃トラフィックの状況を踏まえて、メタボールの中心における濃度値、メタボールの定義域に対して重み付けを行う。以下にその例を示す。

（攻撃手法＝ＤＤｏＳ１，障害の影響範囲＝１．０，障害の影響度＝１．０）、（攻撃手法＝ＤＤｏＳ２，障害の影響範囲＝１．０，障害の影響度＝１．０）、（攻撃手法＝未知のＤＤｏＳ攻撃，障害の影響範囲＝２．０，障害の影響度＝２．０）。

ＤＤｏＳ以外の攻撃は、障害の影響範囲、障害の影響度は、設定されず、メタボール技法は、使用
ＤＤｏＳ１が検知され、ネットワークの回線速度の理論値に対して攻撃トラフィックが占める割合が、Ｋであった場合は、作成するメタボールの中心における濃度値、メタボールの定義域をそれぞれ以下のように定義する。

「メタボールの中心における濃度値」＝「障害の影響度１．０」×「ネットワークの回線速度の理論値に対して攻撃トラフィックが占める割合Ｋ（０＜Ｋ≦１）」＝Ｋ。

「メタボールの定義域」＝「障害の影響範囲１．０」×「ネットワークの回線速度の理論値に対して攻撃トラフィックが占める割合Ｋ（０＜Ｋ≦１）」＝Ｋ。

上記方法で特定されたファイアウォールに対して、ＤＤｏＳ攻撃を検知する設定とアクセス制御を行う設定とを反映していく方法で攻撃元を追い詰め、ＤＤｏＳ攻撃によるトラフィック障害を抑止する。

次に、本発明を実施するための第１の最良の形態の動作について図面を参照して説明する。

図４は、本発明を実施するための第１の最良の形態の動作を示すフローチャートである。

図５は、設定を変更するファイアウォールの特定方法を示す説明図である。

図４を参照すると、まず、管理者がエージェントプログラム、および、マネージャプログラムに対して初期設定を行う（図４ステップＳ１）。管理者により、エージェントプログラムに対しては、ＤＤｏＳ攻撃によるトラフィック障害を検知する際の閾値の設定、および、ＤＤｏＳ攻撃の種類ごとにあらかじめ予想される障害の影響範囲＝１．０（または、２．０）、障害の影響度＝１．０（または２．０）が設定される（キーボード等から）。

マネージャプログラムは、ネットワークを介し、エージェントプログラムから情報を収集してネットワーク全体の構成（図１）を作成し記憶部８３に格納する。また、管理者は、あらかじめ等濃度面を作成する際に使用するメタボールの閾値Ｔ０をマネージャプログラムに設定する（ステップＳ２）。

次に、管理者は、ファイアウォール１２のエージェントプログラムにサーバ１５をターゲットとしたＤＤｏＳ攻撃を検知できるように設定を行う（ステップＳ３）。

運用中に、ファイアウォール１２のエージェントプログラムが、クライアント１６からのＤＤｏＳ攻撃（または、未知の攻撃）を検知すると、ファイアウォール１２のエージェントプログラムは、障害内容（たとえば、サービスの停止、応答の時間増）、あらかじめ設定された予想される障害の影響範囲、および、影響度を含む障害情報を通信部８１を介しマネージャプログラムに通知する（ステップＳ４）。

次に、マネージャプログラムは、ネットワーク全体の構成（図１）に基づいて、攻撃元（クライアント１６）により近いファイアウォール１１のエージェントプログラムから、通信部８１を介し、あらかじめ設定された予想される障害の影響範囲、障害の影響度を取得する（ステップＳ５）。

次に、マネージャプログラムは、図１のファイアウォール１１、および、ファイアウォール１２の存在位置をメタボールの中心と考え、メタボール技法を用いて閾値Ｔ０における等濃度面を作成し（図５）、設定の変更が必要なファイアウォール（エージェントプログラム、ファイアウォールプログラム）を特定する（ステップＳ６）。マネージャプログラムは、演算部８２を用いて、ハードウェア資源である記憶部８３に、演算結果である等濃度面の数値データを格納する。演算部８２は、加減算器、乗除算器を含んでいる。

図５を参照すると、閾値Ｔ０における等濃度面とは、ファイアウォール１１の閾値Ｔ０以上の範囲と、ファイアウォール１２の閾値Ｔ０以上の範囲の論理和の範囲である。等濃度面内のファイアウォール１１、ファイアウォール１２が、変更が必要なファイアウォールである。

次に、マネージャプログラムは、閾値Ｔ０における等濃度面内のファイアウォール１１のエージェントプログラムに対して、サーバ１５をターゲットとするＤＤｏＳ攻撃を検知できるよう設定の変更を指示する（ステップＳ７）。

ファイアウォール１１のエージェントプログラムは、サーバ１５をターゲットとするＤＤｏＳ攻撃を検知できるよう自身の設定の変更を行う（ステップＳ８）。

次に、マネージャプログラムは、ファイアウォール１１のエージェントプログラム、および、ファイアウォール１２のエージェントプログラムに対してサーバ１５をターゲットとするフィルタ設定の変更（ＤＤｏＳ攻撃のパケットを破棄するか、もしくは、帯域制御するように設定の変更）を指示する（ステップＳ９）。

次に、ファイアウォール１１、ファイアウォール１２のエージェントプログラムはマネージャプログラムから、フィルタ設定の変更指示を受け取ると、それぞれのファイアウォールプログラムに、フィルタ設定の変更（ターゲットとするＤＤｏＳ攻撃のパケットを破棄するか、もしくは、帯域制御するように設定の変更する）を指示し、それぞれのファイアウォールプログラムがフィルタ設定の変更を行う（ステップＳ１０）。

以降は、ファイアウォール１２だけでなく、ファイアウォール１１においてもサーバ１５をターゲットとするＤＤｏＳ攻撃を検知可能となる。再度、ＤＤｏＳ攻撃が検知されると、上記と同様の処理で、ＤＤｏＳ攻撃によるトラフィック障害を攻撃元に少しずつさかのぼりながら防御することができる。

以上により、アクセス制御を行う必要があるファイアウォールを特定し、複数ファイアウォールを連携させてアクセス制御を行うことにより、ＤＤｏＳ攻撃の攻撃トラフィックによるネットワークの輻輳を防ぎ、通常利用者へのサービスを継続することができる。

次に、本発明を実施するための第２の最良の形態について図面を参照して詳細に説明する。

図６は、本発明を実施するための第２の最良の形態の構成を示すブロック図である。

図６を参照すると、本発明を実施するための第１の最良の形態は、ファイアウォール３１、ファイアウォール３２、ファイアウォール３３、ファイアウォール３４、ファイアウォール３８、ファイアウォール３９と、あるサービスを提供するサーバ３５と、サーバ３５が提供するサービスを利用するクライアント３６、クライアント３７、クライアント４０とから構成される。

本発明を実施するための第２の最良の形態の構成と、本発明を実施するための第１の最良の形態の構成との相違は、ファイアウォール３８、ファイアウォール３９、クライアント４０が付加された点である。

本発明を実施するための第２の最良の形態も、第１の最良の形態と同様、ファイアウォール３１〜ファイアウォール３４、ファイアウォール３８、ファイアウォール３９は、ソフトウェアとハードウェアとの組み合わせで実現され、それぞれ、図６に示すようにコンピュータ６１、コンピュータ６２、コンピュータ６３、コンピュータ６４、コンピュータ６５、コンピュータ６６上に実現される。

ネットワーク上の全ファイアウォール３１〜ファイアウォール３６等は、エージェントプログラムがインストールされる。一つのマネージャプログラムが、エージェントプログラムを集中管理して、ファイアウォールの設定を変更可能とするため、あらかじめ、コンピュータ６１に対してはマネージャプログラムがインストールされる。また、コンピュータ６３のエージェントプログラムは、サーバ３５に対するＤＤｏＳ攻撃が検知可能となるようあらかじめ設定される。

マネージャプログラムは、ネットワークを介し、エージェントプログラムから情報を収集してネットワーク全体の構成（図６）を作成し記憶部８３に格納する。また、管理者は、あらかじめ等濃度面を作成する際に使用するメタボールの閾値Ｔ１をマネージャプログラムに設定する。

次に、本発明を実施するための第２の最良の形態の動作について図面を参照して説明する。

図７は、設定を変更するファイアウォールの特定方法を示す説明図である。

たとえば、ファイアウォール３２のエージェントプログラムがクライアント３６からの未知のＤＤｏＳ攻撃を検知した場合、図６におけるファイアウォール３１、ファイアウォール３２の存在位置をメタボールの中心とし、メタボール技法を用いて閾値Ｔ１における等濃度面を作成し（図７）、設定の変更が必要なファイアウォールを特定する。

図７を参照すると、閾値Ｔ１における等濃度面とは、ファイアウォール３１の閾値Ｔ１以上の範囲と、ファイアウォール３２の閾値Ｔ１以上の範囲の論理和の範囲である。等濃度面内のファイアウォール３１、ファイアウォール３２、ファイアウォール３３が、変更が必要なファイアウォールである。

ファイアウォール３１、ファイアウオール３８のエージェントプログラムは、サーバ３５をターゲットとするＤＤｏＳ攻撃を検知できるよう自身の設定の変更を行う。また、ファイアウォール３１、ファイアウォール３２、ファイアウォール３８のファイアウォールプログラムは、フィルタ設定の変更（サーバ３５をターゲットとするＤＤｏＳ攻撃のパケットを破棄するか、もしくは、帯域制御するように設定の変更する）を行う。

第２の最良の形態では、クライアント３６から再度攻撃があった場合はファイアウォール３１で障害を検知することができる。したがって、攻撃中にも、通常利用者へのサービスを継続させることが可能となる。また、クライアント３７、クライアント４０から同様の攻撃が発生したとしても、ファイアウォール３２、ファイアウォール３８で障害を検知して、より効率よく攻撃元を追い詰めることができる。

したがって、他方向から時間差で攻撃が開始された場合にも防御可能である。

次に、本発明の第３の発明を実施するための最良の形態について図面を参照して説明する。

図８に示すように、複数の閾値（Ｔ１，Ｔ２）をあらかじめマネージャプログラムに設定しておき、閾値Ｔ１で作成した等濃度面内のファイアウォールのエージェントプログラムには、検知されたＤＤｏＳ攻撃と同じケースの障害を検知できるよう設定変更を行い、閾値Ｔ２で作成した等濃度面内のファイアウォールのエージェントプログラムには帯域制御などのアクセス制御を行うよう設定変更するという形で、閾値ごとに設定を自由にカスタマイズ可能とする。本発明の第３の発明を実施するための最良の形態では、設定の幅を広げることができるだけでなく、複数ファイアウォールの連携による多重防御を可能とすることができる。

次に、本発明を実施するための第２の最良の形態の実施例について図面を参照して説明する。

図９は、本発明を実施するための第２の最良の形態の実施例の構成を示すブロック図である。

図９を参照すると、インターネット７０を介して本社のシステム、Ａ支店のシステム、Ｂ支店のシステムが接続されている。この実施例の構成は、図６に示す構成に対応可能である。本発明を実施するための第３の最良の形態は、インターネットを介した大規模なネットワークでも十分対応可能であるといえる。

本発明によれば、インターネット上に公開する各種サービスをＤＤｏＳ攻撃から防御するといった用途に適用できる。また、複数ファイアウォールを連携させ、設定を変更することでＤＤｏＳ攻撃を防御でき、かつ運用コストも低減できるＤＤｏＳ攻撃防御ソリューションを提供するといった用途にも適用可能である。

本発明を実施するための第１の最良の形態の構成を示すブロック図である。 コンピュータの構成を示すブロック図である。 メタボールの概念を示す説明図である。 本発明を実施するための第１の最良の形態の動作を示すフローチャートである。 設定を変更するファイアウォールの特定方法を示す説明図である。 本発明を実施するための第２の最良の形態の構成を示すブロック図である。 設定を変更するファイアウォールの特定方法を示す説明図である。 設定を変更するファイアウォールの特定方法を示す説明図である。 本発明を実施するための第２の最良の形態の実施例の構成を示すブロック図である。

符号の説明

１１ ファイアウォール
１２ ファイアウォール
１３ ファイアウォール
１４ ファイアウォール
１５ サーバ
１６ クライアント
１７ クライアント
３１ ファイアウォール
３２ ファイアウォール
３３ ファイアウォール
３４ ファイアウォール
３５ サーバ
３６ クライアント
３７ クライアント
３８ ファイアウォール
３９ ファイアウォール
４０ クライアント
５１ コンピュータ
５２ コンピュータ
５３ コンピュータ
５４ コンピュータ
６１ コンピュータ
６２ コンピュータ
６３ コンピュータ
６４ コンピュータ
６５ コンピュータ
６６ コンピュータ
７０ インターネット
８１ 通信部
８２ 演算部
８３ 記憶部

Claims (15)

1. ＤＤｏｓ攻撃による障害の影響範囲、障害の影響度を含む攻撃検知通知を受信すると、攻撃検知通知を送信したエージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値としてメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信するマネージャコンピュータを有することを特徴とするファイアウォール制御システム。
2. ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるファイアウォール制御システムであって、前記エージェントコンピュータの前記エージェント手段が、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加し、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値として自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する、ことを特徴とするファイアウォール制御システム。
3. ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるファイアウォール制御システムであって、前記エージェントコンピュータの前記エージェント手段が、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加し、設定変更指示を受信すると、前記ファイアウォールプログラムにパケットを破棄するか、もしくは、帯域制御するように設定を行い、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値として自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信し、攻撃検知通知を受信すると、設定の変更を要する前記エージェントコンピュータに対し、パケットを破棄するか、もしくは、帯域制御するように設定の変更を指示する設定変更指示を送信することを特徴とするファイアウォール制御システム。
4. 攻撃検知通知を送信した前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ０以上の濃度の範囲と、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ１以上の濃度の範囲との論理和の範囲である等濃度面内に存在する前記エージェントコンピュータを設定の変更を要する前記エージェントコンピュータとして特定する前記マネージャ手段を有することを特徴とする請求項２または３記載のファイアウォール制御システム。
5. メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）であり、Ｄ０は、メタボールの中心における濃度、ｂは、定義域であることを特徴とする請求項４記載のファイアウォール制御システム。
6. マネージャコンピュータが、ＤＤｏｓ攻撃による障害の影響範囲、障害の影響度を含む攻撃検知通知を受信すると、攻撃検知通知を送信したエージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値としてメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順を含むことを特徴とするファイアウォール制御方法。
7. ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるシステムに適用されるファイアウォール制御方法であって、前記エージェントコンピュータの前記エージェント手段が、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加する手順と、前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値として自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順と、を含むことを特徴とするファイアウォール制御方法。
8. 前記マネージャコンピュータの前記マネージャ手段が、攻撃検知通知を受信すると、設定の変更を要する前記エージェントコンピュータに対し、パケットを破棄するか、もしくは、帯域制御するように設定の変更を指示する設定変更指示を送信する手順と、前記エージェントコンピュータの前記エージェント手段が、設定変更指示を受信すると、前記ファイアウォールプログラムにパケットを破棄するか、もしくは、帯域制御するように設定を行う手順と、を含むことを特徴とする請求項７記載のファイアウォール制御方法。
9. 前記マネージャ手段が、攻撃検知通知を送信した前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ０以上の濃度の範囲と、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ１以上の濃度の範囲との論理和の範囲である等濃度面内に存在する前記エージェントコンピュータを設定の変更を要する前記エージェントコンピュータとして特定する手順を含むことを特徴とする請求項７または８記載のファイアウォール制御方法。
10. メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）であり、Ｄ０は、メタボールの中心における濃度、ｂは、定義域であることを特徴とする請求項９記載のファイアウォール制御方法。
11. マネージャコンピュータに、ＤＤｏｓ攻撃による障害の影響範囲、障害の影響度を含む攻撃検知通知を受信すると、攻撃検知通知を送信したエージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値としてメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順を実行させることを特徴とするファイアウォール制御プログラム。
12. ファイアウォールプログラム、エージェント手段、演算部、および、記憶部を含む１以上のエージェントコンピュータと、前記ファイアウォールプログラム、マネージャ手段、演算部、記憶部を含むマネージャコンピュータと、１以上の防御対象コンピュータと、前記エージェントコンピュータ、前記マネージャコンピュータ、および、前記防御対象コンピュータを接続するネットワークとを備えるシステムに適用されるファイアウォールプログラムであって、前記エージェントコンピュータの前記エージェント手段に、ＤＤｏＳ攻撃を検知すると、ＤＤｏＳ攻撃の種類に対応する事前に設定された障害の影響範囲、障害の影響度を前記マネージャコンピュータに攻撃検知通知として送信し、前記マネージャコンピュータからの検知設定指示を受信し、検知するＤＤｏＳ攻撃の種類を追加する手順を実行させ、前記マネージャコンピュータの前記マネージャ手段に、攻撃検知通知を受信すると、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータから事前に設定された障害の影響範囲、障害の影響度を取得し、前記攻撃検知通知を送信したエージェントコンピュータ、および、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータをメタボールの中心として、かつ、障害の影響範囲に比例する値をメタボールの定義域とし障害の影響度に比例する値をメタボールの中心における濃度値として自内の前記記憶部、前記演算部を使用してメタボール技法の演算を行い、設定の変更を要する前記エージェントコンピュータを特定し、特定した前記エージェントコンピュータでＤＤｏＳ攻撃を検知しないものに対し検知された種類のＤＤｏＳ攻撃を検知する検知設定指示を送信する手順を実行させることを特徴とするファイアウォール制御プログラム。
13. 前記マネージャコンピュータの前記マネージャ手段に、攻撃検知通知を受信すると、設定の変更を要する前記エージェントコンピュータに対し、パケットを破棄するか、もしくは、帯域制御するように設定の変更を指示する設定変更指示を送信する手順を実行させ、前記エージェントコンピュータの前記エージェント手段に、設定変更指示を受信すると、前記ファイアウォールプログラムにパケットを破棄するか、もしくは、帯域制御するように設定を行う手順を実行させる、ことを特徴とする請求項１２記載のファイアウォール制御プログラム。
14. 前記マネージャ手段に、攻撃検知通知を送信した前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ０以上の濃度の範囲と、攻撃検知通知を送信した前記エージェントコンピュータより攻撃元に近い１以上の前記エージェントコンピュータの前記エージェント手段に事前に設定された閾値Ｔ１以上の濃度の範囲との論理和の範囲である等濃度面内に存在する前記エージェントコンピュータを設定の変更を要する前記エージェントコンピュータとして特定する手順を実行させることを特徴とする請求項１２または１３記載のファイアウォール制御プログラム。
15. メタボールに中心からの距離ｒにおける濃度は、Ｄ（ｒ）＝Ｄ０・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝・｛１−（ｒ／ｂ）・（ｒ／ｂ）｝（０≦ｒ≦ｂ）、０（ｂ＜ｒ）であり、Ｄ０は、メタボールの中心における濃度、ｂは、定義域であることを特徴とする請求項１４記載のファイアウォール制御プログラム。

Images