JP4005047B2

JP4005047B2 - サーバ計算機保護装置

Info

Publication number: JP4005047B2
Application number: JP2004107525A
Authority: JP
Inventors: 正道楯岡
Original assignee: Toshiba Solutions Corp
Current assignee: Toshiba Digital Solutions Corp
Priority date: 2004-03-31
Filing date: 2004-03-31
Publication date: 2007-11-07
Anticipated expiration: 2024-03-31
Also published as: JP2005293244A

Description

本発明は、クライアント端末又はサーバ計算機とのトラフィックを軽減するサーバ計算機保護装置に関する。

近年のコンピュータネットワークの発達に伴い、ウィルスやハッキングなどの不正アクセスも増加し、コンピュータネットワークを介して機密情報が流出したりサービス不能攻撃を受けたりする場合がある。しかし、ネットワークの利便性を享受しながら安全性も確保するためには、適切なセキュリティ対策が不可欠である。特に企業や団体などの組織においては、この様に不正アクセスに対して、ファイアウォールを設けたりウィルスソフトをインストールすることにより不正アクセスを防御する対策が求められている。

ここで、サービス不能攻撃とは、ＤｏＳ（Denial of Services）やＤＤｏＳ（Distributed Denial of Service）とも呼ばれ、サーバの処理能力を超える接続要求を送りつけることによりサーバの処理能力を低下させ、サーバが正当なユーザからの接続要求に応答できないようにする攻撃である。サービス不能攻撃によるサーバへの接続は、個々の接続としては正当なものである。従って、あるクライアント端末からのある接続要求がサービス不能攻撃によるものか否かの判定は当該接続要求のみを解析しても不可能で、単位時間あたりの接続数や応答のタイムアウト数、接続要求後のトランザクションなどの状況から判断されるものである（例えば、特許文献１及び特許文献２）。

従って、サービス不能攻撃を防御するためには、クライアント端末からの接続要求に対する応答パケットを当該クライアント端末に送信し、当該クライアント端末が当該応答パケットに対して正当な処理を継続してなされるか否かを確認し、正当な処理が継続されれば正当なユーザとして判定する、
例えば、図７に示すような不特定多数或いは特定多数のクライアント端末をパケット交換ネットワーク経由でサーバ計算機９３０に接続したクライアントサーバシステムにおいて、サーバ計算機９３０を保護するサーバ計算機保護装置９００が提案されている（例えば、特許文献３）。

図７に示したサーバ計算機保護装置９００は、クライアント端末９２０と、一台或いは複数台のサーバ計算機９３０の間に挿入され、サーバ計算機９３０をサービス不能攻撃から保護する。サーバ計算機保護装置９００は、クライアント端末９２０からサーバ計算機９３０への接続を、サーバ計算機９３０の代理として受け付けるダミーサーバ処理手段９０１と、クライアントの代理としてサーバ計算機９３０へ接続するダミークライアント処理手段９０２とを備える。図７に示したサーバ計算機保護装置９００は、クライアント端末９２０からサーバ計算機９３０への接続要求やデータ要求をダミーサーバ処理手段９０１で受信し、受信した接続要求やデータ要求がサービス不能攻撃に関わるものではないと判定できたら、当該受信した接続要求やデータ要求をダミークライアント処理手段９０２を介してサーバ計算機９３０へ送信することにより、サーバ計算機９３０をサービス不能攻撃から保護するものである。ここで、第１のネットワークインタフェース９０３は、クライアント端末９２０との間で第１の通信ネットワークセグメント９１０を介してパケットを送受信する。第２のネットワークインタフェース９０４は、サーバ計算機９３０との間で第２の通信ネットワークセグメント９１１を介してパケットを送受信する。

図７に示したサーバ計算機保護装置９００は、クライアント端末９２０からサーバ計算機９３０当てのパケットを第１のネットワークインタフェースで受信してダミーサーバ処理手段９０１に渡す。ダミーサーバ処理手段９０１は、サーバ計算機９３０に成り代わってクライアント端末９２０に応答し、当該クライアントが当該応答パケットに対して正当な処理を継続してなされることが確認できたら、その旨をダミークライアント処理手段９０２に伝える。クライアントからの接続要求やデータ要求が攻撃ではないことを伝えられたダミークライアント処理手段９０２は、クライアント端末９２０に成り代わってサーバ計算機９３０との通信を行う。この様にして、サーバ計算機９３０をサービス不能攻撃から保護する。

ところで、一般的には、インターネット等で利用されるプロトコルであるＴＣＰでは、通信を開始する前に送信者と受信者の間で、通信相手の識別、通信経路の把握など簡単な情報の交換を行い、通信を行う準備ができていることを確認する３ウェイ・ハンドシェークが用いられている。この場合、図８に示すようなやりとりがクライアント端末９２０とサーバ計算機９３０との間で行われる。即ち、まずクライアント端末９２０から接続要求パケット（ＳＹＮパケット）をサーバ計算機９３０に送信し、サーバ計算機９３０はこれに対して接続要求確認パケット（ＳＹＮ＿ＡＣＫパケット）をクライアント端末９２０に送信する。これに対しクライアント端末９２０は、確認応答パケットに対する応答として確認応答パケット（ＡＣＫパケット）を送信する。この処理が完了すると、クライアント端末９２０とサーバ計算機９３０との間でコネクションが確立され、クライアント端末９２０からのデータ要求に基づいてサーバ計算機９３０が応答することができる。

図７に示した様なサーバ計算機保護装置９００のダミーサーバ処理手段９０１やダミークライアント処理手段９０２は、接続処理のみを成り代わって行い、データ要求やその応答はクライアント端末９２０とサーバ計算機９３０との間で直接行わせるものや、データ要求とその応答も行うものなどがある。

図９を参照してサーバ計算機保護装置９００のダミーサーバ処理手段９０１やダミークライアント処理手段９０２が接続処理のみを成り代わって行う場合について説明する。図９に示した例の場合、クライアント端末９２０からの接続要求であるＳＹＮパケットに対して、ダミーサーバ処理手段９０１がＳＹＮ＿ＡＣＫパケットで応答し、当該クライアント端末９２０からＡＣＫパケットが正しく返ってきたら、ダミーサーバ処理手段９０１は、当該接続要求はサービス不能攻撃ではないと判断する。これがダミークライアント処理手段９０２に通知されると、ダミークライアント処理手段９０２とサーバ計算機９３０との間で、再び接続処理であるＳＹＮパケット、ＳＹＮ＿ＡＣＫパケット、ＡＣＫパケットの交換を行い、これらの処理が完了してからデータ要求とその応答がクライアント端末９２０とサーバ計算機９３０との間で交換される。

図１０を参照してサーバ計算機保護装置９００のダミーサーバ処理手段９０１やダミークライアント処理手段９０２がデータ要求とその応答も成り代わって通信する場合について説明する。図１０に示した例の場合、クライアント端末９２０からの接続要求であるＳＹＮパケットに対して、ダミーサーバ処理手段９０１がＳＹＮ＿ＡＣＫパケットで応答し、当該クライアント端末９２０からＡＣＫパケットが正しく返ってきたら、当該接続要求はサービス不能攻撃ではないことを判断する。続いて、ダミーサーバ処理手段９０１がクライアント端末９２０からのデータ要求も受け取る。次に、これがダミークライアント処理手段９０２に通知されると、ダミークライアント処理手段９０２とサーバ計算機９３０との間で、再び接続処理であるＳＹＮパケット、ＳＹＮ＿ＡＣＫパケット、ＡＣＫパケットの交換を行う。接続処理が完了したらクライアント端末９２０から受信したデータ要求をサーバ計算機９３０へ送信し、サーバ計算機９３０からの応答を受け取る。ダミークライアント処理手段９０２がサーバ計算機から応答を受け取ったら、これをダミーサーバ処理手段９０１に通知し、ダミーサーバ処理手段９０１が、この応答をクライアント端末９２０へ送信する。

この様に従来の方法に係るサーバ計算機保護装置は実現されていた。
特開２００３−２２４６０７号公報特開２００３−２２４６０８号公報特開２００３−１７３３００号公報

しかし、従来のサーバ計算機保護装置９００によれば、図９に示した方法及び図１０に示した方法のいずれにしても、図８に示したサーバ計算機保護装置を設置しない場合に比べて、ダミーサーバ処理手段９０１及びダミークライアント処理手段９０２との接続処理が必要となる。従って、従来のサーバ計算機保護装置９００においては、オーバーヘッドが発生するので、サーバ計算機９３０とクライアント端末９２０間でのレスポンスタイムの低下を引き起こし、保護対象となるサーバ計算機９３０のクライアントに対するサービス能力が低下してしまう問題があった。

従って本発明の目的は、クライアント端末又はサーバ計算機とのトラフィックを軽減するサーバ計算機保護装置を提供することである。

上記課題を解決するために、本発明の第１の特徴は、複数のクライアント端末から第１の通信ネットワークセグメントを介して受信したパケットを第２の通信ネットワークセグメントを介してサーバ計算機に転送するサーバ計算機保護装置に関する。即ち本発明の第１の特徴に係るサーバ計算機保護装置は、サーバ計算機がクライアント端末からサービス不能攻撃を受けているか否かの状態を記憶するための攻撃状態記憶手段と、クライアント端末から受信したサーバ計算機への接続要求のためのパケットを監視して、サーバ計算機がクライアント端末からサービス不能攻撃を受けているか否かを判定し、サーバ計算機がサービス不能攻撃を受けていると判定したとき、攻撃状態記憶手段にサーバ計算機がサービス不能攻撃を受けている状態であることを記憶し、サーバ計算機がサービス不能攻撃を受けていないと判定したとき、攻撃状態記憶手段にサーバ計算機がサービス不能攻撃を受けていない状態であることを記憶するためのサービス不能攻撃検知手段と、クライアント端末からのパケットを受信したとき、攻撃状態記憶手段を参照し、攻撃状態記憶手段にサーバ計算機がサービス不能攻撃を受けている状態が記憶されている場合には、クライアント端末から受信したパケットをダミーサーバ処理手段に送信し、攻撃状態記憶手段にサーバ計算機がサービス不能攻撃を受けていない状態が記憶されている場合には、クライアント端末から受信したパケットをパケット転送手段に送信する第１のパケット振分手段と、第１のパケット振分手段から受信したパケットに基いて、クライアント端末からＡＣＫパケットを受信したか否かを検出し、ＡＣＫパケットを受信したとき、クライアント端末が正当であると判定して第１のパケット振分手段から受信したパケットをダミークライアント処理手段に送信するダミーサーバ処理手段と、第１のパケット振分手段から受信したパケットを第２のパケット振分手段に送信するパケット転送手段と、ダミーサーバ処理手段から受信したパケットを第２のパケット振分手段に送信するダミークライアント処理手段と、パケット転送手段又はダミークライアント処理手段から受信したパケットをサーバ計算機に送信する第２のパケット振分手段とを備える。

この様な本発明によれば、保護対象のサーバ計算機のクライアント端末に対するサービス能力を低下させることなく、保護対象のサーバ計算機をサービス不能攻撃から保護することができる。

又、クライアント端末から受信したパケットから抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号に攻撃状態記憶手段が記憶している状態を関連づけて接続状態情報として記憶するための接続状態記憶手段を設け、第１のパケット振分手段は、クライアント端末から受信したパケットから発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を抽出する抽出手段と、抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が接続状態記憶手段に記憶されているか否かを判定する第１の判定手段と、第１の判定手段の判定の結果、接続状態記憶手段に抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が記憶されている場合であって、かつこの接続状態情報として記憶された攻撃状態記憶手段が記憶している状態がサーバ計算機がサービス不能攻撃を受けている状態の場合には、クライアント端末から受信したパケットをダミーサーバ処理手段に送信し、第１の判定手段の判定の結果、接続状態記憶手段に抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が接続状態記憶手段に記憶されている場合であって、かつこの接続状態情報として記憶された攻撃状態記憶手段が記憶している状態がサーバ計算機がサービス不能攻撃を受けている状態の場合には、クライアント端末から受信したパケットをパケット転送手段に送信する第１の送信手段と、第１の判定手段の判定の結果、接続状態記憶手段に抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が記憶されていない場合には、抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号に、この時攻撃状態記憶手段に記憶されている状態を関連付けて新規な接続状態情報として接続状態記憶手段に記憶する記憶処理手段と、第１の判定手段の判定の結果、接続状態記憶手段に抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が記憶されていない場合には、攻撃状態記憶手段を参照し、サーバ計算機がサービス不能攻撃を受けている状態を攻撃状態記憶手段が記憶している場合には、クライアント端末から受信したパケットをダミーサーバ処理手段に送信し、サーバ計算機がサービス不能攻撃を受けていない状態を攻撃状態記憶手段が記憶している場合には、クライアント端末から受信したパケットをパケット転送手段に送信する第２の送信手段とを具備する。

これによると、コネクションが継続中にサービス不能攻撃が開始したり、コネクションが継続中にサービス不能攻撃が終了したりした場合でも、不具合が発生しない。

本発明によれば、クライアント端末又はサーバ計算機とのトラフィックを軽減するサーバ計算機保護装置を提供することができる。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。

（第１の実施の形態）
図１を参照して、本発明の第１の実施の形態に係るサーバ計算機保護装置１を説明する。サーバ計算機保護装置１は、クライアント端末９２０又はサーバ計算機９３０とのトラフィックを軽減するサーバ計算機保護装置１である。本発明の第１の実施の形態に係るサーバ計算機保護装置１は、例えば、現在サービス不能攻撃を受けてる時、にインターネットやイントラネットなどの第１の通信ネットワークセグメント９１０を介してクライアント端末９２０から接続要求を受信すると、クライアント端末９２０の正当性を判定し、正当であると判定された場合、第２の通信ネットワークセグメント９１１を介してサーバ計算機９３０に接続要求する。一方、サービス不能攻撃を受けていない時にクライアント端末９２０から接続要求を受信すると、クライアント端末９２０の正当性を判定することなくパケット転送手段２４及び第２の通信ネットワークセグメント９１１を介してサーバ計算機９３０に接続要求を転送する。

図２に示すように、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。

中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２からサーバ計算機保護装置１を起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。

入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、サーバ計算機保護装置１をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。

記憶装置１０７は磁気ディスク装置であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。

本発明の第１の実施の形態に係るサーバ計算機保護装置１の記憶装置１０７には、サーバ計算機保護プログラムが記憶される。又、サーバ計算機保護プログラムがサーバ計算機保護装置１の中央処理制御装置１０１に読み込まれ実行されることによって、第１のパケット振分手段２１、ダミーサーバ処理手段２２、ダミークライアント処理手段２３、パケット転送手段２４、パケット振分手段２５、サービス不能攻撃検知手段２６がサーバ計算機保護装置１に実装される。

次に、再び図１を参照して本発明の第１の実施の形態に係るサーバ計算機保護装置１について詳述する。本発明の第１の実施の形態に係るサーバ計算機保護装置１は、クライアント端末９２０から第１の通信ネットワークセグメント９１１を介して受信したパケットを第２の通信ネットワークセグメント９１１を介してサーバ計算機９３０に転送する。本発明の第１の実施の形態に係るサーバ計算機保護装置１は、サービス不能攻撃検知手段２６、第１のパケット振分手段２１、ダミーサーバ処理手段２２、ダミークライアント処理手段２３、パケット転送手段２４、第２のパケット振分手段２５、第１のネットワークインタフェース３１及び第２のネットワークインタフェース３２を備えている。

サービス不能攻撃検知手段２６は、クライアント端末９２０から第１の通信ネットワークセグメント９１０及び第１のネットワークインタフェース３１を介して受信したパケットを監視し、サービス不能攻撃中であるか否かを判定し、サービス不能攻撃中であると判定された場合、攻撃下フラグを設定し、サービス不能攻撃中でないと判定された場合、攻撃下フラグの設定を解除する。本発明の第１の実施の形態に係るサービス不能攻撃検知手段２６は、サービス不能攻撃中である場合、攻撃下フラグ１１を「１」に設定し、サービス不能攻撃中でない場合、攻撃下フラグを「０」に設定する。

第１のパケット振分手段２１は、攻撃下フラグ１１が設定されている間にクライアント端末９２０から受信したパケットをダミーサーバ処理手段２２に送信するとともに、攻撃下フラグ１１が設定されていない間にクライアント端末９２０から受信したパケットをパケット転送手段２４に送信する。具体的には第１のパケット振分手段２１は、攻撃下フラグ１１が「１」に設定されている場合、クライアント端末９２０から受信した接続要求をダミーサーバ処理手段２２に送信し、攻撃下フラグ１１が「０」に設定されている場合、接続要求をパケット転送手段２４に転送する。

パケット転送手段２４は、第１のパケット振分手段２１から受信したパケットを第２のパケット振分手段２５に転送する。具体的にはパケット転送手段２４は、第１のパケット振分手段２１から受信した接続要求をそのまま第２のパケット振分手段２５を介してサーバ計算機９３０に転送する。サーバ計算機９３０からの応答も、パケット転送手段２４を介して送信される。

ダミーサーバ処理手段２２は、第１のパケット振分手段２１からパケットを受信すると、クライアント端末９２０の正当性を判定し、クライアント端末９２０が正当であると判定されるとパケットをダミークライアント処理手段２３に送信する。ダミーサーバ処理手段２２は、クライアント端末９２０から受信したＳＹＮパケットに対してＳＹＮ＿ＡＣＫパケットで応答し、更にクライアント端末９２０からＡＣＫパケットを受信した場合に、クライアント端末９２０が正当であることをダミークライアント処理手段２３に通知する。

ダミークライアント処理手段２３は、ダミーサーバ処理手段２２から受信したパケットを、第２のパケット振分手段２５に送信する。クライアント端末９２０が正当であることの通知をダミーサーバ処理手段２２から受けると、ダミークライアント処理手段２３は、クライアント端末９２０に成り代わってサーバ計算機９３０とのコネクションを確立する接続要求パケットを第２のパケット振分手段２５に送信する。ダミーサーバ処理手段２２及びダミークライアント処理手段２３を介して受信したクライアント端末９２０からのパケットへの応答は、ダミークライアント処理手段２３及びダミーサーバ処理手段２２を介して送信される。

第２のパケット振分手段２５は、パケット転送手段２４又はダミークライアント処理手段２３から受信したパケットをサーバ計算機に送信する。

ここでは、クライアント端末９２０からサーバ計算機９３０へパケットを送信する場について説明したが、サーバ計算機９３０からクライアント端末９２０にパケットを送信する場合も同様である。例えば、サーバ計算機９３０及び第２の通信ネットワークセグメント９１１を介してパケットを受信すると、第２のパケット振分手段２５は、攻撃下フラグ１１を読み出し、サービス不能攻撃中であるか否かを判定する。サービス不能攻撃中である場合、第２のパケット振分手段２５は、受信したパケットをダミークライアント処理手段２３に送信する。サービス不能攻撃中でない場合、第２のパケット振分手段２５は、パケット転送手段２４に送信する。

図３を参照して、第１のパケット振分手段２１の処理について説明する。
まず、第１のパケット振分手段２１がパケットを受信すると、ステップＳ１０１において攻撃下フラグ１１を読み出して、サービス攻撃下であるか否かを判定する。
サービス不能攻撃下である場合、ステップＳ１０２においてパケットをダミーサーバ処理手段２２に転送する。一方、サービス不能攻撃下でない場合、ステップＳ１０３において、パケットをパケット転送手段２４に送信する。

ここで、サービス不能攻撃検知手段２６が、サービス不能攻撃を検知する方法の一例として、以下の６つを挙げて説明する。
（１）過去の一定期間内にクライアント端末９２０から受信した接続要求の回数を測定する接続要求計数手段と、過去の一定期間内にクライアント端末９２０とサーバ計算機９３０或いはダミーサーバ処理手段２２との間で接続が完了した回数を測定する接続完了計数手段と、接続要求計数手段の計数値と、接続完了計数手段の計数値を比較する計数値比較手段とを具備し、接続要求係数手段の計数値の接続完了係数手段の計数値に対する割合が、予め設定した割合以上であった場合に、攻撃下信号を出力する。
（２）過去の一定期間内にクライアント端末９２０から受信した接続要求の回数を測定する接続要求計数手段と、クライアント端末９２０とサーバ計算機９３０或いはダミーサーバ処理手段２２との間での接続の完了により加算しクライアント端末９２０とサーバ計算機９３０或いはダミーサーバ処理手段２２との間での接続の切断により減算する接続数計数手段と、接続要求係数手段の計数値と接続数計数手段の計数値を比較する計数値比較手段を具備し、接続要求計数手段の計数値の接続数計数手段の計数値に対する割合が、予め設定された割合以上であった場合に、攻撃下信号を出力する。
（３）過去の一定期間内にクライアント端末９２０とサーバ計算機９３０或いはダミーサーバ処理手段２２との間で接続が完了した回数を測定する接続完了計数手段と、過去の一定期間内にクライアント端末９２０からサーバ計算機９３０或いはダミーサーバ処理手段２２に対し、接続の完了に続くデータ要求を行った回数を測定するデータ要求計数手段と、接続完了計数手段の計数値とデータ要求計数手段の計数値を比較する計数値比較手段を具備し、接続完了計数手段の計数値のデータ要求計数手段の計数値に対する割合が、予め設定された割合以上であった場合に、攻撃下信号を出力する。
（４）過去の一定期間内にクライアント端末９２０とサーバ計算機９３０或いはダミーサーバ処理手段２２との間で接続が完了した回数を測定する接続完了計数手段と、クライアント端末９２０からサーバ計算機９３０或いはダミーサーバ処理手段２２に対してデータ要求が送出されることにより加算し、クライアント端末９２０とサーバ計算機９３０或いはダミーサーバ処理手段２２との間での接続の切断により減算する接続数計数手段と、接続完了計数手段の計数値と接続数計数手段の計数値を比較する計数値比較手段を具備し、接続完了計数手段の計数値の接続数計数手段の計数値に対する割合が、予め設定された割合以上であった場合に、攻撃下信号を出力する。
（５）過去の一定期間内にサーバ計算機９３０或いはダミーサーバ処理手段２２が受信したリセットパケットの回数を測定するリセットパケット計数手段を具備し、リセットパケット計数手段の計数値が予め設定された数以上であった場合に、攻撃下信号を出力する。
（６）過去の一定期間内にサーバ計算機９３０或いはダミーサーバ処理手段２２が送出した接続要求確認パケットの回数を測定する接続要求確認計数手段と、過去の一定期間内にサーバ計算機９３０或いはダミーサーバ処理手段２２が送出した接続要求確認パケットへの応答としてリセットパケットを受信した回数を測定する接続要求リセット計数手段と、接続要求確認計数手段の計数値と接続要求リセット計数手段の計数値を比較する計数値比較手段を具備し、接続要求確認計数手段の計数値に対する接続要求リセット計数手段の計数値の割合が、予め設定された割合以上であった場合に、攻撃下信号を出力する。
この様な方法で、サービス不能攻撃検知手段２６は、サーバ計算機９３０に対してサービス不能攻撃が為されていることを速やかに検知する。

上述した様に、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、第１のネットワークインタフェース３１を介してクライアント端末９２０から受信したパケットは、第１のパケット振分手段２１に入力される。第１のパケット振分手段２１は、サービス不能攻撃検知手段２６によって攻撃下フラグが設定されていない場合、即ち、サービス不能攻撃検知手段２６が保護対象のサーバ計算機９３０に対してサービス不能攻撃が為されていないと判断された場合、当該パケットは、パケット転送手段２４へと入力され、第２のネットワークインタフェース３２を介してサーバ計算機９３０へ送信される。サーバ計算機９３０からの応答も同様に、パケット転送手段２４によって第１のネットワークインタフェース３１を介してクライアント端末９２０へと送信される。

この様に、サービス不能攻撃検知手段２６が、保護対象のサーバ計算機に対してサービス不能攻撃が為されていないと判断された場合、本発明の第１の実施の形態に係るサーバ計算機保護装置１は、単なるパケット転送装置として、ブリッジやルータ等の様に振る舞う。この場合、接続処理のオーバーヘッドなども起こらないため、保護対象のサーバ計算機９３０のクライアント端末９２０に対するサービス能力を低下させることもない。

一方、サービス不能攻撃検知手段２６によって攻撃下フラグが設定されている場合、即ち、サービス不能攻撃検知手段２６が保護対象のサーバ計算機９３０に対してサービス不能攻撃が為されていると判断された場合、当該パケットはダミーサーバ処理手段２２へと渡され、ダミーサーバ処理手段２２がサーバ計算機９３０に成り代わってクライアント端末９２０への応答を行う。この場合は、従来のサーバ計算機保護装置９００と同様の処理を行って、サーバ計算機９３０をサービス不能攻撃から防御することができる。

この様に、サービス不能攻撃検知手段２６が保護対象のサーバ計算機９３０に対してサービス不能攻撃が為されていると判断した場合、従来のサーバ計算機保護装置と同様に、接続処理が２度必要になるなど、オーバーヘッドが発生してしまう。しかし、サービス不能攻撃が為されている間は、サーバ計算機９３０宛てに大量に送られてきている接続要求パケットなどでネットワーク帯域も圧迫されていることが多く、サーバ計算機のサービス能力の低下はマスクされ、問題とはならない。

実際にはサービス不能攻撃が開始されているが、サービス不能攻撃検知手段２６がサービス不能攻撃を検知できない程度に接続要求数が軽微である状態が一時的にある。この場合、当該パケットはサーバ計算機９３０へ送信されるが、その接続要求数が少ないため、サーバ計算機９３０の処理能力を下げるほどの負荷にはならないので問題ない。

この様に、本発明の第１の実施の形態においては、サービス不能攻撃中でない場合はダミーサーバ処理手段２２及びダミークライアント処理手段２３による処理を行わず、パケット転送手段２４によってパケットを転送するため、保護対象のサーバ計算機９３０のクライアント端末９２０に対するサービス能力を低下させることなく、保護対象のサーバ計算機９３０をサービス不能攻撃から保護できるサーバ計算機保護装置１を実現することができる。

（第２の実施の形態）
次に、図４を参照して本発明の第２の実施の形態に係るサーバ計算機保護装置１を説明する。図４に示した本発明の第２の実施の形態に係るサーバ計算機保護装置１は、図１に示した本発明の第１の実施の形態に係るサーバ計算機保護装置１と比べて接続状態表１２を備えている点が異なる。

接続状態表１２は、受信したパケットの発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号及びパケットの受信時攻撃下フラグが関連づけられて記憶装置１０７に記憶されている。

例えば、接続状態表１２は、図５に示すようなデータ構造とデータを備える。「src addr」は発信元ＩＰアドレスを、「src port」は発信元ポート番号を、「dst addr」は宛先ＩＰアドレスを、「dest port」は、宛先ポート番号を示している。又、「UA」において、受信時攻撃下フラグの値が設定されており、「１」の場合はサービス不能攻撃下に受信したパケットであることを示し、「０」の場合はサービス不能攻撃下でない時に受信したパケットであることを示す。この接続状態表１２の受信時攻撃下フラグは、指定された発信元ＩＰアドレス及び発信元ポート番号から宛先ＩＰアドレス及び宛先ポート番号に送信されたパケットを初めてサーバ計算機保護装置１が受信した時の攻撃下フラグ１１によって決定される。

第１のパケット振分手段２１は、クライアント端末９２０からパケットを受信するとパケットの発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を抽出するとともに、記憶装置１０７から接続状態表１２を読み出す。更に、第１のパケット振分手段２１は、クライアント端末９２０から受信したパケットと同じ発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を備えるコネクションが接続状態表１２に記憶されているか否かを判定する。接続状態表１２に記憶されている場合、第１のパケット振分手段２１は、受信時攻撃下フラグが設定されているとパケットをダミーサーバ処理手段２２に送信する一方、接続状態表１２に記憶された受信時攻撃下フラグが設定されていないとパケットをパケット転送手段２４に送信する。接続状態表１２に記憶されていない場合、第１のパケット振分手段２１クライアント端末９２０から受信したパケットの発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を関連づけ、更に、サービス不能攻撃検知手段２６によって設定される攻撃下フラグ１１を受信時攻撃下フラグとして関連づけて接続状態表１２に挿入する。更に、第１のパケット振分手段２１攻撃下フラグ１１が設定されている間にクライアント端末９２０から受信したパケットをダミーサーバ処理手段２２に送信し、攻撃下フラグ１１が設定されていない間にクライアント端末９２０から受信したパケットをパケット転送手段２４に送信する。

次に、図６を参照して、本発明の第２の実施の形態に係る第１のパケット振分手段２１の処理について説明する。

まずステップＳ２０１において、第１のパケット振分手段２１は、受信したパケットからパケットの発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を抽出し、接続状態表１２を読み出して、接続状態表１２に同様のコネクションがあるか否かを判定する。

接続状態表に同様のコネクションが登録されている場合、ステップＳ２０２において、接続状態表１２の同様のコネクションの受信時攻撃下フラグを読み出し、このコネクションの最初のパケットがサービス不能攻撃中に受信していた場合、パケットをダミーサーバ処理手段２２に送信し、サービス不能攻撃中でない時に受信していた場合、パケットをパケット転送手段２４に送信する。

例えば、クライアント端末９２０から受信したパケットの送信元ＩＰアドレスが１９２．１６８．０．１、送信元ポート番号が５４３２番で、宛先ＩＰアドレスが１９２．１６８．１．１、宛先ポート番号が８０番であったとすると、これは図５に示す接続状態表１２に登録されている。この登録されたパケットの通信開始時の攻撃下信号が１であるから、通信開始時に攻撃下信号が出力されていたことが分かる。この場合、当該パケットをダミーサーバ処理手段２２へと送信する。一方、送信元ＩＰアドレスが１９２．１６８．０．２、送信元ポート番号が２３２３番で、宛先ＩＰアドレスが１９２．１６８．１．１、宛先ポート番号が８０番であったとすると、これも図５に示す接続状態表１２に登録されている。この登録されたパケットの通信開始時の攻撃下信号が０であるから、通信開始時に攻撃下信号が出力されていなかったことが分かる。この場合は、当該パケットをパケット転送手段２４へと送信し、第２のネットワークインタフェース３２を介してサーバ計算機９３０へと送信する。

一方、接続状態表１２に同様のコネクションが登録されていない場合、ステップＳ２０５において、このパケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を抽出し、攻撃下フラグ１１を読み出して受信時攻撃下フラグとして関連づけて接続状態表１２に登録する。

例えば、クライアント端末９２０から受信したパケットの送信元ＩＰアドレスが１９２．１６８．０．３、送信元ポート番号が１２３４番で、宛先ＩＰアドレスが１９２．１６８．１．１、宛先ポート番号が８０番であったとすると、これは図５に示す接続状態表１２に登録されていないため、攻撃下フラグ１１を読み出して接続状態表１２に登録する。このとき、攻撃下フラグ１１の値によって、パケットの転送先が決定される。

即ち、ステップＳ２０６において攻撃下フラグ１１がサービス不能攻撃中であると判定された場合、ステップＳ２０７において当該パケットをダミーサーバ処理手段２２へと送信する。一方、ステップＳ２０６において、攻撃下フラグ１１がサービス不能攻撃中でないと判定された場合、ステップＳ２０８において当該パケットをパケット転送手段２４へと送信する。

例えば、第１の実施の形態に係るサーバ計算機保護装置１では、コネクションが継続中にサービス不能攻撃が開始されたり、コネクションが継続中にサービス不能攻撃が終了したりした場合、それまで、パケット転送手段２４によって直接クライアント端末９２０とサーバ計算機９３０との間でパケットが交換されていたセッションが、ダミーサーバ処理手段２２を介するようになる。又、それまでダミーサーバ処理手段２２を介して通信していたセッションがパケット転送手段２４によってクライアント端末９２０とサーバ計算機９３０との間でパケットが交換されるようになる。この場合、クライアント端末９２０とサーバ計算機９３０との通信経路が変更する問題点が生じる。

しかし、上述した様に本発明の第２の実施の形態に係るサーバ計算機保護装置１によれば、コネクションが確立された時点でサービス不能攻撃中であるか否かを判断することによってパケットの転送先を設定するので、通信経路が変更する問題点が発生しない。

この様に、本発明の第２の実施の形態に係るサーバ計算機保護装置１によれば、コネクションが継続中にサービス不能攻撃が開始されたり、コネクションが継続中にサービス不能攻撃が終了する場合でも、不都合が発生しない。本発明の第２の実施の形態に係るサーバ計算機保護装置１によれば、保護対象のサーバ計算機９３０のクライアント端末９２０に対するサービス能力を低下させることなく、保護対象のサーバ計算機９３０をサービス不能攻撃から保護できるサーバ計算機保護装置１を実現することができる。

（その他の実施の形態）
上記のように、本発明の最良の実施の形態によって記載したが、この開示の一部を為す論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。

本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

本発明の第１の実施の形態に係るサーバ計算機保護装置の機能ブロック図である。本発明の第１の実施の形態に係るサーバ計算機保護装置の構成図である。本発明の第１の実施の形態に係る第１のパケット振分手段の処理を示すフローチャートである。本発明の第２の実施の形態に係るサーバ計算機保護装置の機能ブロック図である。本発明の第１の実施の形態に係る不正アクセス検出装置の各処理の運用の一例を示した図である。本発明の第１の実施の形態に係る特徴量データの統計の一例を説明する図である。本発明の第１の実施の形態に係る検出率と誤検出率の関係を示した図である。従来のサーバ計算機保護装置の機能ブロック図である。従来のサーバ計算機保護装置のダミーサーバ処理手段やダミークライアント処理手段が接続処理のみ成り代わって通信する一例の説明図である。従来のサーバ計算機保護装置のダミーサーバ処理手段やダミークライアント処理手段がデータ要求とその応答も成り代わって通信する一例の説明図である。

符号の説明

１…サーバ計算機保護装置
１１…攻撃下フラグ
１２…接続状態表
２１…第１のパケット振分手段
２２、９０１…ダミーサーバ処理手段
２３、９０２…ダミークライアント処理手段
２４…パケット転送手段
２５…第２のパケット振分手段
２６…サービス不能攻撃検知手段
３１、９０３…第１のネットワークインタフェース
３２、９０４…第２のネットワークインタフェース
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス
９００…サーバ計算機保護装置
９１０…第１の通信ネットワークセグメント
９１１…第２の通信ネットワークセグメント
９２０…クライアント端末
９３０…サーバ計算機

Claims

複数のクライアント端末から第１の通信ネットワークセグメントを介して受信したパケットを第２の通信ネットワークセグメントを介してサーバ計算機に転送するサーバ計算機保護装置において、
前記サーバ計算機が前記クライアント端末からサービス不能攻撃を受けているか否かの状態を記憶するための攻撃状態記憶手段と、
前記クライアント端末から受信した前記サーバ計算機への接続要求のためのパケットを監視して、前記サーバ計算機が前記クライアント端末からサービス不能攻撃を受けているか否かを判定し、前記サーバ計算機がサービス不能攻撃を受けていると判定したとき、前記攻撃状態記憶手段に前記サーバ計算機がサービス不能攻撃を受けている状態であることを記憶し、前記サーバ計算機がサービス不能攻撃を受けていないと判定したとき、前記攻撃状態記憶手段に前記サーバ計算機がサービス不能攻撃を受けていない状態であることを記憶するためのサービス不能攻撃検知手段と、
前記クライアント端末からのパケットを受信したとき、前記攻撃状態記憶手段を参照し、前記攻撃状態記憶手段に前記サーバ計算機がサービス不能攻撃を受けている状態が記憶されている場合には、前記クライアント端末から受信したパケットをダミーサーバ処理手段に送信し、前記攻撃状態記憶手段に前記サーバ計算機がサービス不能攻撃を受けていない状態が記憶されている場合には、前記クライアント端末から受信したパケットをパケット転送手段に送信する第１のパケット振分手段と、
前記第１のパケット振分手段から受信したパケットに基いて、前記クライアント端末からＡＣＫパケットを受信したか否かを検出し、ＡＣＫパケットを受信したとき、前記クライアント端末が正当であると判定して前記第１のパケット振分手段から受信したパケットをダミークライアント処理手段に送信するダミーサーバ処理手段と、
前記第１のパケット振分手段から受信したパケットを第２のパケット振分手段に送信するパケット転送手段と、
前記ダミーサーバ処理手段から受信した前記パケットを第２のパケット振分手段に送信するダミークライアント処理手段と、
前記パケット転送手段又は前記ダミークライアント処理手段から受信したパケットを前記サーバ計算機に送信する第２のパケット振分手段とを備えることを特徴とするサーバ計算機保護装置。
前記クライアント端末から受信したパケットから抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス、宛先ポート番号に前記攻撃状態記憶手段が記憶している状態を関連づけて接続状態情報として記憶するための接続状態記憶手段を設け、
前記第１のパケット振分手段は、
前記クライアント端末から受信したパケットから発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を抽出する抽出手段と、
前記抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が前記接続状態記憶手段に記憶されているか否かを判定する第１の判定手段と、
前記第１の判定手段の判定の結果、前記接続状態記憶手段に前記抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が記憶されている場合であって、かつこの接続状態情報として記憶された前記攻撃状態記憶手段が記憶している状態が前記サーバ計算機がサービス不能攻撃を受けている状態の場合には、前記クライアント端末から受信したパケットを前記ダミーサーバ処理手段に送信し、前記第１の判定手段の判定の結果、前記接続状態記憶手段に前記抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が前記接続状態記憶手段に記憶されている場合であって、かつこの接続状態情報として記憶された前記攻撃状態記憶手段が記憶している状態が前記サーバ計算機がサービス不能攻撃を受けている状態の場合には、前記クライアント端末から受信した前記パケットをパケット転送手段に送信する第１の送信手段と、
前記第１の判定手段の判定の結果、前記接続状態記憶手段に前記抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が記憶されていない場合には、前記抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号に、この時前記攻撃状態記憶手段に記憶されている状態を関連付けて新規な接続状態情報として前記接続状態記憶手段に記憶する記憶処理手段と、
前記第１の判定手段の判定の結果、前記接続状態記憶手段に前記抽出手段が抽出した発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号と同一の発信元ＩＰアドレス、発信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を持つ接続状態情報が記憶されていない場合には、前記攻撃状態記憶手段を参照し、前記サーバ計算機がサービス不能攻撃を受けている状態を前記攻撃状態記憶手段が記憶している場合には、前記クライアント端末から受信したパケットを前記ダミーサーバ処理手段に送信し、前記サーバ計算機がサービス不能攻撃を受けていない状態を前記攻撃状態記憶手段が記憶している場合には、前記クライアント端末から受信したパケットを前記パケット転送手段に送信する第２の送信手段とを具備することを特徴とする請求項１に記載のサーバ計算機保護装置。