JP4116920B2 - 分散型サービス不能攻撃を防ぐネットワークシステム - Google Patents
分散型サービス不能攻撃を防ぐネットワークシステム Download PDFInfo
- Publication number
- JP4116920B2 JP4116920B2 JP2003115182A JP2003115182A JP4116920B2 JP 4116920 B2 JP4116920 B2 JP 4116920B2 JP 2003115182 A JP2003115182 A JP 2003115182A JP 2003115182 A JP2003115182 A JP 2003115182A JP 4116920 B2 JP4116920 B2 JP 4116920B2
- Authority
- JP
- Japan
- Prior art keywords
- attack
- access request
- value
- feature
- feature value
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、特定の装置への不正アクセスに対する防御方法、及びネットワークシステムに関する。
【０００２】
【従来の技術】
インターネットにおける不正アクセス手法の一つに、分散型サービス不能攻撃（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ、 ＤＤｏＳ攻撃という）がある。この手法は、サーバ等のコンピュータを攻撃対象として、アクセス要求などの通信データをネットワーク経由で大量にを送信し、実質的にサービスを利用不能にするものである。
【０００３】
単独の攻撃装置が、攻撃対象に対して攻撃を行うものをサービス不能攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ、ＤｏＳ攻撃という）と呼ぶ。それに対して、インターネット上の複数の攻撃装置が、攻撃対象に対して同時にＤｏＳ攻撃を行うものを、ＤＤｏＳ攻撃と呼ぶ。ＤＤｏＳ攻撃の主なケースを以下に述べる。攻撃者は、インターネット上のセキュリティが脆弱な装置を、なんらかの方法でＤｏＳ攻撃用のプログラムを設定する。そして、これらの脆弱装置（踏み台ホストとも呼ばれる）を攻撃装置として利用する。攻撃装置は、攻撃者から攻撃指示を与えられることで、攻撃対象サーバに対して一斉攻撃を行う。攻撃対象サーバや、その装置が接続されているネットワーク（攻撃対象ネットワーク）には、処理限界を超えたアクセス要求が集中するため、実質的にサービスは停止するか、もしくは実際に装置が停止してしまう。
【０００４】
従来のＤＤｏＳ攻撃の防御方法には、主に以下のものがある。
（ａ−１）インターネット上の全てのホストのセキュリティを高めて、踏み台にされないようにする方法。
（ａ−２）ＤＤｏＳ攻撃を検知した攻撃対象ネットワークの管理者が、各攻撃ホストの管理者に対して、個別に対応を依頼する方法。
（ａ−３）ＤＤｏＳ攻撃を検知した攻撃対象ネットワークの入口の中継装置か、攻撃対象ネットワークから攻撃ホストまでの経路上の中継装置（ルータ等）で、攻撃と思われるアクセスを全て遮断する方法。
しかし、対象となるホストが非常に多いことから、（ａ−１）（ａ−２）は極めて困難である。現実的には、（ａ−３）の方法が有効である。
【０００５】
（ａ−３）の方法の一つに、次のようなものがある。攻撃対象ネットワークとそれ以外のネットワークとの境界近辺に存在する攻撃検出装置がＤＤｏＳ攻撃を検知すると、その攻撃検出装置は、攻撃対象ネットワークから攻撃ホストまでの経路上に存在する中継装置に攻撃遮断指示を送信して、それらの中継装置に攻撃に使われているアクセス要求（攻撃アクセス要求という）を遮断させる方法がある。この方法の実現例については、特許文献１に記載されている。
【０００６】
また、別の方法として、中継装置に攻撃遮断指示ではなく、攻撃遮断プログラムを送信して、中継装置でそのプログラムを実行させることで、攻撃アクセス要求を遮断する方法がある。この方法の実現例については、特許文献２に記載されている。
【０００７】
これらの方法は、ネットワーク上に分散している攻撃ホストからの多量の攻撃アクセス要求を、なるべく攻撃ホストに近い中継装置で遮断することで、インターネット上に余計なトラフィックが流れるのを防ぐことができるという利点がある。また、インターネット上に分散している多数の中継装置で攻撃アクセス要求を遮断するため、アクセス要求の検査及び遮断処理による各中継装置の負荷が低いという利点がある。
【０００８】
【特許文献１】
特開２００２−１５８６６０号公報
【特許文献２】
米国特許出願公開第２００２／００３２８５４号明細書
【０００９】
【発明が解決しようとする課題】
しかしながら、前述のＤＤｏＳ攻撃の防御方法を採用すると、攻撃検知処理の負荷が非常に重くなるという課題がある。その原因としては、検査対象となるアクセス要求量が非常に多いにもかかわらず、検査ポイントを攻撃対象ネットワーク上の一箇所で行っていることがあげられる。攻撃対象ネットワークには大量の攻撃アクセス要求が集中するので、全てのアクセス要求について検査を行う処理は、非常に負荷が重くなる。中継装置自身で攻撃検知を行うケースでは、攻撃アクセス要求が集中すると、攻撃検知の処理遅延がボトルネックとなり、攻撃アクセス以外の、通常のアクセス要求の応答性能への影響が非常に大きくなる。よって、攻撃検知の負荷を軽減することが必要である。
【００１０】
また、現在の送信元のＩＰアドレスに対する攻撃遮断手法では、攻撃ホストから攻撃対象サーバへの正規のアクセス要求も同じように遮断されてしまうという課題がある。攻撃ホストは、その所有者がウィルスに汚染されているということに気付かず放置している一般ユーザの端末の場合もある。その場合、一般ユーザの正規アクセス要求に混じって、ウィルスプログラムによる攻撃アクセス要求も送信される可能性があるが、従来の攻撃遮断方法によれば、攻撃アクセス要求と同様に正規アクセス要求を遮断してしまう。例えば、Ｗｅｂサービスを中継するプロキシサーバが攻撃ホストに改造された場合、そのプロキシサーバを経由して利用している正規ユーザの正規アクセス要求が、全て遮断されてしまうことになり、正規ユーザにとって、そのＷｅｂサービスの利便性が悪くなる。
【００１１】
したがって、より適切な攻撃遮断方法が求められている。
【００１２】
【課題を解決するための手段】
本発明は、攻撃検知処理の一部を、攻撃対象ネットワークと攻撃装置間の経路上の中継装置側で分散的に行うことで、ＤＤｏＳ攻撃を高速に検知する方法、及びネットワークシステムを提供する。
【００１３】
本発明は、攻撃検知対象をＩＰアドレスではなく、アプリケーションデータ単位で細かく攻撃遮断の要否を制御する方法、及びネットワークシステムを提供する。さらに、本発明は、上記制御時の負荷を軽減する、効率の良い攻撃検知方法を提供する。
【００１４】
従来技術における主な攻撃検知の対象は、主に送信元のＩＰアドレスに対するトラフィックパターンである。トラフィックパターンとは、ネットワークトラフィックの監視装置を用いて、ネットワークに流れたメッセージ流量を時系列解析した場合や、あるいはメッセージの送信順序を解析した場合に得られる、メッセージ流量や送信順序がある特徴的なパターンを指す。
【００１５】
つまり、従来の検知手法は、ある送信先ＩＰアドレスに対する送信元ＩＰアドレスとそのトラフィックパターンを組で監視し、トラフィックパターンが攻撃パターンを示していれば、その送信元ＩＰアドレスからのパケットは廃棄する、というような低レイヤで行われている。
【００１６】
しかし本発明は、今後必要になると予想する、より高レイヤでの攻撃遮断も可能とする。
【００１７】
具体的には、現在、アクセス要求にＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ベースのメッセージを含む、Ｗｅｂサービスという形態が広まりつつある。Ｗｅｂサービスのアプリケーションプログラムは、複数パケット中に分割されて格納されているＸＭＬメッセージの文字列を解析する処理を行う。この処理は非常に負荷が大きいので、サービスを提供するサーバの文字列解析プログラムを狙い、複雑な構文を持つサイズの大きいＸＭＬメッセージをサーバに多量に送信する、といった攻撃が行われるおそれがある。しかしながら、本発明は、このような攻撃が行われても、これを効率よく検知し、遮断することが可能である。
【００１８】
本発明は、その具体的な一態様において、受信した上記攻撃対象サーバへのアクセス要求の特徴値を算出し、上記アクセス要求に添付して転送する特徴抽出装置と、上記アクセス要求に添付された上記特徴値を元に、上記攻撃対象サーバへの上記攻撃を検知し、上記特徴値を備えたアクセス要求の遮断指示を送出する攻撃検知装置と、上記攻撃遮断指示を受信して、上記攻撃対象サーバへの上記特徴値を備えたアクセス要求の転送を行わない攻撃遮断装置を備えるネットワークシステムを提供する。なお、上記特徴抽出装置と攻撃遮断装置とは同一装置上に構成されてもよい。
【００１９】
【発明の実施の形態】
図１は、本発明の第一の実施形態が適用されたネットワークシステムの論理的な構成例を示す図である。
【００２０】
本実施形態におけるネットワークシステムは、攻撃対象ネットワーク０１と、特徴抽出装置８０〜８１と、攻撃装置９０〜９２と、正規装置１００とが、ネットワーク５０を介して接続されている。攻撃指示装置６０は、攻撃装置９０〜９２に接続されている。さらに、攻撃対象ネットワーク０１では、攻撃対象サーバ１０が攻撃検知装置２０を介して攻撃対象ネットワーク０１に接続されている。ネットワーク５０は、物理的には、同軸ケーブルや光ファイバ等の通信回線と、ネットワークインタフェースカードやハブ、ルータ等のネットワーク機器の集合体である。図１において、ネットワーク５０を介さずに接続されている各装置は、ネットワーク５０を経由して接続されていても良い。例えば、攻撃指示装置６０と攻撃装置９０〜９２の間は、実際にはネットワーク５０を経由して接続されていても良い。
【００２１】
攻撃対象サーバ１０は、既存のサーバアプリケーションが動作しているサーバ装置である。例えば、文書・動画像データやプログラムファイルなどを提供するＷｅｂサーバ装置や、Ｗｅｂサービスを提供するアプリケーションサーバ装置、メールサーバ装置等である。
【００２２】
攻撃検知装置２０は、アクセス要求解析を行う。攻撃検知装置２０は、ネットワーク５０経由で攻撃対象サーバ１０宛に送信されたアクセス要求のデータを解析して、ＤＤｏＳ攻撃によるものかどうかを判定する。攻撃検知装置２０は、判定によりＤＤｏＳ攻撃を検出した場合は、特徴抽出装置８０〜８１に対して、検出したＤＤｏＳ攻撃と同じ特徴をもつアクセス要求の遮断指示（攻撃遮断指示）を送信する。
【００２３】
また、攻撃遮断指示送信後、予め設定された攻撃遮断タイマ時間が経過すると、特徴抽出装置８０〜８１に対して、攻撃遮断終了指示を送信する。攻撃遮断終了については、攻撃対象ネットワーク０１のネットワーク管理者が、手動で指示を送出しても良いし、特徴抽出装置８０〜８１に任せてもよい。なお、本実施の形態では、ＤＤｏＳ攻撃の検知アルゴリズムについては、特徴抽出装置８０〜８１から送信されてきた特徴値情報から算出するが、公知のアルゴリズムを用いても良い。
【００２４】
攻撃指示装置６０は、攻撃装置９０〜９２に対して、ネットワーク経由でＤＤｏＳ攻撃の制御指示命令を送信する。
【００２５】
特徴抽出装置８０〜８１は、アクセス要求の特徴を抽出して、その特徴値をアクセス要求に付加する装置である。付加方法としては、たとえばアクセス要求のヘッダ等に特徴値を記述する方法がある。ヘッダとは、主にＩＰヘッダやＨＴＴＰヘッダ等である。特徴抽出装置８０〜８１は、特徴値が付加されたアクセス要求を、攻撃検知装置２０に送信する。また、攻撃検知装置２０から攻撃遮断指示を受信すると、攻撃遮断処理を行う。
【００２６】
攻撃遮断指示は、例えば、ある特徴値を備えたアクセス要求を転送しないことを指示する命令が記述されているＸＭＬデータである。
【００２７】
攻撃遮断指示受信後、予め設定された攻撃遮断タイムアウト時間が経過するか、攻撃検知装置２０等から攻撃遮断終了指示を受信すると、特徴抽出装置８０〜８１は攻撃遮断処理を終了する。
【００２８】
攻撃遮断指示、及び攻撃遮断終了指示については、攻撃対象ネットワーク０１のネットワーク管理者が、特徴抽出装置８０〜８１にリモートログインして、攻撃遮断指示もしくは攻撃遮断終了操作を直接行っても良い。
【００２９】
攻撃装置９０〜９２は、ＤＤｏＳ攻撃用ソフトウェアが組み込まれた装置である。ＤＤｏＳ攻撃用ソフトウェアは、ＤＤｏＳ攻撃の実行者によって、いわゆるトロイの木馬等なんらかの方法でインストールされる。攻撃装置９０〜９２の管理者は、そのことに気付かないことが多い。攻撃装置９０〜９２は、攻撃指示装置６０からの攻撃制御指示を受信して、攻撃対象サーバ１０に対して一斉にＤｏＳ攻撃を行う。
【００３０】
正規装置１００は、ＤＤｏＳ攻撃用ソフトウェアが組み込まれていない、正常な正規ユーザの装置である。正規装置１００から送信されるアクセス要求は、正規ユーザが発信しているアクセス要求であるため、このデータを極力遮断しないようにする必要がある。
【００３１】
本実施例では、攻撃検知装置２０、及び特徴抽出装置８０〜８１が協同することにより、正規装置１００から送信される正規なアクセス要求を極力遮断せず、攻撃装置９０〜９２からのＤＤｏＳ攻撃から攻撃対象サーバ１０を防御する。
【００３２】
本実施例に関わる各装置は、例えば図１４に示すような、ＣＰＵ１００１と、メモリ１００２と、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等の着脱可能で、可搬性を有する記憶媒体１００８から情報を読み出す読み取り装置１００３と、ネットワーク５０を介して相手装置と通信を行うための通信装置１００４と、ＨＤＤ等の外部記憶装置１００５と、キーボードやマウスやディスプレイなどの入出力装置１００６とが、バスなどの内部通信線１００７を介して接続された一般的な情報処理装置１０００において、ＣＰＵ１００１がメモリ１００２上にロードされた所定のプログラムを実行することにより実現することができる。
【００３３】
さらに、上記各装置の機能は、ＣＰＵ１００１が外部記憶装置１００５またはメモリ１００２に格納されているプログラムを実行することにより、上記情報処理装置１０００上に具現化される。上記プログラムは、あらかじめ、上記情報表示装置１０００内に格納されていても良いし、必要なときに、着脱可能で当該情報処理装置が利用可能な記憶媒体、または、ネットワークまたはネットワーク上を伝搬する搬送波といった当該情報処理装置が利用可能な通信媒体を介して、導入されてもよい。また、各装置の機能一部または全てをハードウェアによって実現してもよい。
【００３４】
次に、図２ないし図５を用いて、第一の実施形態を説明する。
【００３５】
図２に、攻撃装置９０〜９２からのＤＤｏＳ攻撃が攻撃検知装置２０に届くまでの処理シーケンスと、攻撃装置９０〜９２からのＤＤｏＳ攻撃が遮断され、アクセス規制メッセージが攻撃装置９０〜９２に返信されるまでの処理シーケンスを示す。
【００３６】
まず、攻撃指示装置６０が攻撃開始処理を行い（Ｓ１０１）、攻撃装置９０〜９２に、攻撃対象サーバ１０へのＤＤｏＳ攻撃開始指示を意味するメッセージを送信する（Ｓ１０２）。攻撃装置９０〜９２は攻撃開始指示を受信すると、攻撃対象サーバ１０に対して一斉にＤＤｏＳ攻撃を開始する（Ｓ１０３）。攻撃装置９０〜９２は、攻撃対象サーバ１０宛の大量のアクセス要求１０４を送信する。特徴抽出装置８０〜８１は、攻撃装置９０〜９２からアクセス要求を受信すると、特徴抽出処理を開始する（Ｓ１０５）。
【００３７】
特徴抽出処理は、アクセス要求の特徴値を抽出し、当該アクセス要求に付加する処理である。本実施形態では、アクセス要求のヘッダ部に、抽出した特徴値を新たなヘッダ情報として付加する。特徴値は、ハッシュ関数等のなんらかのアルゴリズムを用いて、アクセス要求中に含まれるデータの一部を簡単な数値もしくは文字列に変換することにより得られる。特徴値は、ダイジェスト値とも呼ぶ。
【００３８】
同じ特徴値を持つアクセス要求同士は、必ずしも同じだとは言えない。しかし、アクセス要求を完全に比較することは非常に処理負荷が重いため、処理負荷軽減のため、本実施形態では、同一特徴値を持つアクセス要求同士は、同一の内容であると見なす。つまり、別々のアクセス要求を同じものと誤認識することはありえるが、本実施形態ではこれを許容する。特徴抽出処理の詳細については、図４で後述する。
【００３９】
次に、特徴抽出装置８０〜８１は、Ｓ１０５で抽出した特徴値が、攻撃遮断対象の値かどうかを判断する（Ｓ１０６）。この処理の詳細については、図４で後述する。
【００４０】
受信したアクセス要求が、攻撃遮断対象のアクセス要求でなければ、攻撃検知装置２０に、特徴値付きアクセス要求１０８を転送する（Ｓ１０７）。この特徴値付きアクセス要求１０８を受信した攻撃検知装置２０は、攻撃検知処理を行う（Ｓ１０９）。ここでは、アクセス要求のヘッダ部に付加された特徴値ヘッダから特徴値を取得し、アクセス要求のヘッダ部から特徴値ヘッダを除去する。攻撃検知処理の詳細については、図５で後述する。
【００４１】
特徴抽出装置８０〜８１は、受信したアクセス要求が、攻撃遮断対象であれば、アクセスできない旨を通知するアクセス規制メッセージ１１１を攻撃装置９０〜９２に返信する（Ｓ１１０）。そして、統計情報を更新する（Ｓ１１３）。統計情報の更新については、図６で後述する。攻撃装置９０〜９２はアクセス規制メッセージを受信する（Ｓ１１２）。
【００４２】
図３に、図２に続き、攻撃装置９０〜９２からのＤＤｏＳ攻撃を構成するアクセス要求が攻撃検知装置に届いてからの処理シーケンスを示す。
【００４３】
Ｓ１０９を実行後、攻撃検知装置２０は、特徴値ヘッダを除去したアクセス要求１２０を攻撃対象サーバ１０に転送する。攻撃対象サーバ１０は、受信したアクセス要求に対する応答データ１２２を攻撃検知装置２０に返信する（Ｓ１２１）。
【００４４】
攻撃検知装置２０は、受信した応答データ１２４を、特徴抽出装置８０〜８１に返信する（Ｓ１２３）。そして、特徴抽出装置８０〜８１は、その応答データ１２６を、更に攻撃装置９０〜９２に応答する（Ｓ１２５）。これで、攻撃装置９０〜９２及び正規装置１００からのアクセス要求に対する一連の処理は終了する。
【００４５】
図４に、特徴抽出装置８０〜８１における、特徴抽出処理（Ｓ１０５）及び攻撃遮断対象判定処理（Ｓ１０６）の詳細フロー例を示す。特徴抽出装置８０〜８１は、以下の処理を行う。
【００４６】
Ｓ１０５の処理について説明する。正規装置１００及び攻撃装置９０〜９２からのアクセス要求に含まれている、アクセス要求データの特徴値を算出する（Ｓ１０５１）。特徴値の算出方法の例としては、ＨＴＴＰのボディ部に格納されているデータの、先頭のあらかじめ決められたバイト数分のデータにハッシュ関数を作用させてハッシュ値を算出し、そしてこのハッシュ値を特徴値として用いる方法がある。
【００４７】
次に、Ｓ１０５１で算出した特徴値を、アクセス要求のＨＴＴＰヘッダ部に特徴値ヘッダとして付加する（Ｓ１０５２）。
【００４８】
図１３に、アクセス要求の一構成例を示す。アクセス要求２０００は、大きくヘッダ部２００１とボディ部２００２の二つに分けることができる。ヘッダ部２００１は、アプリケーションの付加情報（ヘッダ）を保持している。ボディ部２００２には、Ｗｅｂサービス等で用いるＸＭＬタイプのデータが格納されている。特徴抽出装置８０〜８１は、このヘッダ部２００１に対して、ボディ部２００２に格納されているデータの特徴を数値化した、データ特徴値ヘッダ２００３を付加する。また、攻撃検知装置２０は、このデータ特徴値ヘッダ２００３を除去する。
【００４９】
次にＳ１０６の処理について説明する。まず、アクセス先ＵＲＬと、Ｓ１０５１で算出したデータ特徴値との組み合わせで検索し、攻撃遮断対象のアクセス要求かどうかを決定する（Ｓ１０６１）。Ｓ１０６１の処理で、攻撃遮断対象だと判定した場合は、Ｓ１１０の処理に進む。攻撃遮断対象外だと判定した場合は、Ｓ１０７の処理に進む（Ｓ１０６２）。
【００５０】
図５に、攻撃検知装置２０における、攻撃検知処理（Ｓ１０９）の詳細フロー例を示す。攻撃検知装置２０は、以下の処理を行う。
【００５１】
攻撃検知装置２０は、特徴抽出装置８０〜８１から受信したアクセス要求のヘッダ部２００１にあるデータ特徴値ヘッダ２００３に示されている特徴値を抽出し、データ特徴値ヘッダ２００３をヘッダ部２００１から削除する（Ｓ１０９１）。次に、攻撃検知装置２０の統計情報を更新する（Ｓ１０９２）。
【００５２】
統計情報の更新について、図６を用いて説明する。攻撃検知装置２０及び特徴抽出装置８０〜８１は、図６に示すような統計情報データベース８０００を外部記憶装置１００５内に管理している。統計情報データベース８０００の各エントリ８００５は、管理ＩＤフィールド８００１、アクセス先ＵＲＬフィールド８００２、データ特徴値フィールド９００３、及び攻撃頻度フィールド８００４を含む。管理ＩＤフィールド８００１は、各装置が各エントリ８００５を管理するための識別子（ＩＤ）を保持する。アクセス先ＵＲＬフィールド８００２は、アクセス要求先のＵＲＬ情報を保持する。データ特徴値フィールド８００３は、アクセス要求毎に、その特徴値ヘッダ２００３に格納されている、ボディ部２００２の特徴値を保持する。攻撃頻度フィールド８００４は、アクセス先ＵＲＬとデータ特徴値の組が同じであるアクセス要求を受信する頻度の値（攻撃頻度）を保持する。攻撃頻度とは、例えば、単位時間あたりの受信アクセス要求数などである。
【００５３】
アクセス先ＵＲＬフィールド８００２に格納するＵＲＬの記述の細かさは、攻撃対象サーバ１０の装置構成等を考慮して、決定すればよい。
【００５４】
統計情報データベース８０００の更新方法の例を示す。攻撃検知装置２０が新しいアクセス要求を受信すると、まずアクセス先ＵＲＬとデータ特徴値の組を検索キーとして、データベース８０００を検索する。もし一致するエントリ８００５があれば、攻撃頻度フィールド８００４中に保持されている攻撃頻度の値を更新する。もし一致しなければ、そのアクセス先ＵＲＬとデータ特徴値を持つ新しいエントリ８００５を作成し、攻撃頻度８００４の値を更新する。
【００５５】
また、攻撃頻度８００４の値は定期的に更新され、攻撃頻度が０になると、エントリは消去される。
【００５６】
また、特徴抽出装置８０〜８１が新しいアクセス要求を受信すると、攻撃検知装置２０と同様に、まずアクセス先ＵＲＬとデータ特徴値の組を検索キーとして、データベース８０００を検索する。もし一致するエントリ８００５があれば、攻撃遮断対象だと見なす。エントリの一致を判断するステップにおいて、ＵＲＬはあるレベルまで一致すれば、それ以下のレベルが異なっていても一致すると見なして良い。Ｓ１１０でアクセス規制メッセージを返信した後、攻撃頻度フィールド８００４中に保持されている攻撃頻度の値を更新する。また、攻撃頻度８００４の値は定期的に更新され、攻撃頻度が０になると、エントリ８００５は消去され、攻撃遮断対象から外れる。もしくは、予め特徴抽出装置８０〜８１に設定されているある一定時間が経過すると、エントリ８００５は自動的に消去される、あるいは、攻撃検知装置２０から攻撃終了指示を受信するとエントリ８００５を消去するという設定にしても良い。
【００５７】
図７に、特徴抽出装置８０〜８１及び攻撃検知装置２０における、攻撃遮断及び遮断終了のシーケンスを示す。
【００５８】
まず、攻撃検知装置２０が、統計情報データベース８０００の情報から不正アクセスの存在を判定する（Ｓ５０１）。この判定は、例えば定期的に行う。
【００５９】
その判定には、例えば、以下の方法がある。
（ａ）攻撃検知装置２０に対し、通常アクセスと不正アクセスとを区別するための、攻撃頻度の閾値を予め設定しておく。
（ｂ）攻撃検知装置２０は、統計情報データベース８０００のエントリ８００５毎に、攻撃頻度フィールド８００４の値と、（ａ）で設定した閾値とを比較する。
（ｃ）（ｂ）での比較の結果、攻撃頻度フィールド８００４の値の方が閾値より大きければ、不正アクセスと判断する。そうでなければ、通常アクセスと判断する。
【００６０】
ステップＳ５０１の後、不正アクセスと判断されたエントリ８００５が存在していれば、特徴抽出装置８０〜８１に対し、そのエントリ８００５に示されるアクセス要求の攻撃遮断指示５０３を送信する（Ｓ５０２）。そして、特徴抽出装置８０〜８１を経由せずに攻撃対象ネットワーク１０に到達したアクセス要求を遮断するために、攻撃検知装置２０自身でも攻撃遮断を開始する（Ｓ５０４Ａ）。
【００６１】
不正アクセスが存在していなければ、攻撃遮断処理をスキップする。
【００６２】
また、攻撃検知装置２０は、統計情報データベース８０００の情報から不正アクセスが消滅していると判定すると（Ｓ５０７）、攻撃遮断終了指示５０９を特徴抽出装置８０〜８１に送信する（Ｓ５０８）。
【００６３】
特徴抽出装置８０〜８１は、攻撃遮断指示５０３を受信すると、攻撃遮断を開始し（Ｓ５０４Ｂ）、開始確認５０５を示すデータを攻撃検知装置２０に送信する。そして、特徴抽出装置８０〜８１は、特徴値抽出を繰り返して統計情報データベース８０００を更新し、さらにその統計情報２０２を攻撃検知装置２０に定期的に送信する（Ｓ２０１）。ここで、攻撃検知装置２０は、開始確認５０５を受信できなかったら、再度ステップＳ５０２を繰り返すようにしてもよい。
【００６４】
予め特徴抽出装置８０〜８１に設定された攻撃遮断時間が経過しているかどうかチェックする（Ｓ５２０）。
【００６５】
経過していなければ、Ｓ２０１のステップを繰り返す。攻撃遮断タイマ時間が経過しているか、もしくは攻撃遮断終了指示を受信すると（Ｓ５０９）、攻撃遮断終了処理を行い（Ｓ５１０Ｂ）、終了確認を示すデータ５１１を攻撃検知装置２０に送信する。これで攻撃遮断処理は終了となる。攻撃遮断終了処理（Ｓ５１０Ｂ）として、統計情報データベース８０００の該当エントリを削除してもよい。
【００６６】
第一の実施形態により、攻撃検知処理の大規模、高速、かつ高機能化という効果がある。その効果について詳細に説明する。
【００６７】
第一に、本実施の形態では、従来、攻撃検知装置２０で行っていた不正アクセス（ＤＤｏＳ攻撃）の検査処理のうち、アクセス要求データの特徴を数値化する処理を特徴抽出装置８０〜８１で行うようにした。すなわち、本実施形態では、不正アクセスの検査を、ネットワークの二箇所（特徴抽出装置８０〜８１、及び攻撃検知装置２０）で分担して行うことで、アクセスが集中する攻撃対象ネットワークでの、各装置の攻撃検知処理負荷が非常に軽量化される。さらに、特徴抽出装置が複数になれば一台当たりの処理負荷もさらに軽量化される。
【００６８】
第二に、攻撃検知手法を高機能化できる、という効果がある。処理ポイントを簡単に分散化できるため、全体の性能を落とさずに、一台の装置当たりで行える機能を複雑化することができる。例えば、Ｗｅｂサービスシステムを例に取る。Ｗｅｂサービスの提供装置は、大容量のテキストデータの文字列解析を行わなければならないが、これは非常に負荷の重い処理なので、大容量のダミーデータを含むアクセス要求が、攻撃装置９０〜９２からＷｅｂサーバに繰り返し送信されると、Ｗｅｂサーバは簡単に停止させられてしまう。
【００６９】
本実施形態では、ネットワークの各地点に備える特徴抽出装置８０でアクセス要求中のデータを特徴値化し、攻撃検知装置２０ではただ特徴値の統計をとって検知るようにした。これにより、攻撃検知装置２０及びＷｅｂ装置側での不要な文字列解析処理を回避することができ、結果的に、システム全体の処理性能を向上させることができる。
【００７０】
第三に、本実施の形態では、送信者のＩＰアドレスをベースとした単純な攻撃遮断ではなく、アプリケーションデータレベルでの遮断を行うことができる。上述の通り、従来のＩＰアドレスをベースとする遮断方法だと、踏み台となる装置からの正規のアクセスを含む全てのアクセスが遮断されてしまう。しかし本実施形態によると、アクセス要求のヘッダ部に付加されている、アクセス要求の特徴を表す特徴値をチェックして遮断するので、アプリケーションデータレベルでの遮断を行うことができる。
【００７１】
例えば、ある攻撃ホストで、大きなサイズのデータを持つアクセス要求が、複製されて繰り返し同じ攻撃対象サーバに送信された場合、それらのアクセス要求には同じ特徴値が特徴抽出サーバで付加される。そのため、正規アクセス要求を遮断せずに、不正アクセス要求と見られる同じ特徴値を持つアクセス要求だけを全て遮断できる。
【００７２】
このような攻撃検知対象の細粒化により、不要な遮断を回避することができるので、ユーザにとって使い勝手の良い、高機能なシステムを実現できる。
【００７３】
これらの効果により、本実施形態では、ＤＤｏＳ攻撃を効率よく防御できる。
【００７４】
次に、図８ないし図１０を用いて、第二の実施形態を説明する。
【００７５】
図８は、本発明の第二の実施形態が適用されたネットワークシステムの構成を示す図である。図１のネットワーク構成に加え、中継装置Ａ３０、中継装置Ｂ７０〜７１が加わる。本実施形態では、システム管理装置４０は使用しない。
【００７６】
中継装置Ａ３０は、中継装置Ｂ７０〜７１から攻撃対象サーバ１０宛に送信されたアクセス要求の中継を行う装置であり、例えば、ルータやファイアウォール、Ｗｅｂプロキシサーバ等である。中継装置Ａ３０は、中継装置Ｂ７０〜７１から送信されたアクセス要求を、攻撃検知装置２０に転送する。また、中継装置Ａ３０は、攻撃検知装置２０から返信されたアクセス要求を攻撃対象サーバ１０に転送する。そして、攻撃対象サーバ１０から返信された応答データを、中継装置Ｂ７０〜７１経由で、アクセス要求の送信元である正規装置１００もしくは攻撃装置９０〜９２に返信する。中継装置Ａ３０は、中継装置Ｂ７０〜７１と攻撃対象サーバ１０との経路上に設置される。もしくは、中継装置Ｂ７０〜７１からのアクセス要求が必ず中継装置Ａ３０を経由するように、中継装置Ｂ７０〜７１に設定しても良い。
【００７７】
中継装置Ｂ７０〜７１は、アクセス要求の中継を行う装置である。処理としては、中継装置Ａ３０と同様である。中継装置Ｂ７０〜７１は、攻撃装置９０〜９２及び正規装置１００が攻撃対象サーバ１０宛に送信したアクセス要求を中継できるように、攻撃装置９０〜９２及び正規装置１００と攻撃対象サーバ１０との経路上に設置される。もしくは、アクセス要求が必ず中継装置Ｂ７０〜７１を経由するように、攻撃装置９０〜９２及び正規装置１００に設定しても良い。中継装置Ｂ７０〜７１は、正規装置１００や、攻撃装置９０〜９２から、アクセス要求等のアクセス要求を受信すると、特徴抽出装置８０〜８１に転送する。また中継装置Ｂ７０〜７１は、特徴抽出装置８０〜８１から返信された特徴値付きアクセス要求を、中継装置Ａ３０経由で攻撃検知装置２０に転送する。
【００７８】
図９に、攻撃装置９０〜９２からのＤＤｏＳ攻撃が攻撃検知装置２０に届くまでの処理シーケンスを示す。また、攻撃装置９０〜９２からの攻撃が特徴抽出装置８０〜８１で遮断され、アクセス規制メッセージが攻撃装置９０〜９２に返信されるまでの処理シーケンスを示す。
【００７９】
図９では、図２に示す処理シーケンスと、次のステップが異なる。
【００８０】
まず、図２のＳ１０５のステップにおいて、正規装置１００及び攻撃装置９０〜９２から送信されたアクセス要求１０４を、中継装置Ｂ７０〜７１が特徴抽出装置８０〜８１に転送する（Ｓ４０１）。
【００８１】
また、攻撃検知装置２０に特徴値付きアクセス要求を転送するステップ（Ｓ１０７）では、特徴抽出装置８０〜８１は、中継装置Ｂ７０〜７１に一旦特徴値付きアクセス要求１０８Ａを返信する（Ｓ４０２）。そして中継装置Ｂ７０〜７１が、その特徴値付きアクセス要求１０８Ｂ、１０８Ｃを中継装置Ａ３０経由で攻撃検知装置２０に転送する（Ｓ４０３，Ｓ４０４）。
【００８２】
さらに、図２のＳ１１０〜Ｓ１１２のステップにおいて、一旦中継装置Ｂ７０〜７１経由でアクセス規制メッセージ１１１Ａ，１１１Ｂを転送する（Ｓ４０５）。
【００８３】
図１０に、図９のステップに続く、攻撃装置９０〜９２からのＤＤｏＳ攻撃が中継装置Ａ３０に届いてからの処理シーケンスを示す。
【００８４】
図１０では、図３の、攻撃検知装置２０から攻撃対象サーバ１０にアクセス要求１２０を転送するステップにおいて、アクセス要求（Ｓ１２０Ａ、Ｓ１２０Ｂ）を、一旦中継装置Ａ３０を経由させて転送する（Ｓ５０１、Ｓ５０２）。
【００８５】
また、攻撃対象サーバ１０からの応答データ１２２、１２４、１２６を、攻撃装置９０〜９２に返信するステップ（Ｓ１２１、Ｓ１２３、Ｓ１２５）において、中継装置Ａ３０及び中継装置Ｂ７０〜７１経由で返信する（Ｓ５０３、Ｓ５０４）。
【００８６】
第二の実施形態により、特徴抽出装置８０〜８２及び攻撃検知装置２０を、簡単に負荷分散させ、さらに高速化することができる。
【００８７】
具体的には、図８の中継装置Ｂ７１及び特徴抽出装置８１〜８２を接続し、中継装置Ｂ７０〜７１が、中継するアクセス要求を、負荷分散機能を用いて、複数の特徴抽出装置８１〜８２に振分けることで、特徴抽出装置８０自体が性能のボトルネックとなった場合でも、簡単に負荷軽減することができる。攻撃検知装置２０と中継装置Ａ３０の関係についても、同様のことが可能である。
【００８８】
次に、図８、図１１、及び図１２を用いて、第三の実施形態を説明する。
【００８９】
第一もしくは第二の実施形態に加え、本発明の装置群（中継装置Ａ３０、中継装置Ｂ７０〜７１、特徴抽出装置８０〜８２、攻撃検知装置２０）を管理する、図８に記載のシステム管理装置４０を追加する。
【００９０】
図１１に、システム管理装置４０と、特徴抽出装置８０〜８２と、攻撃検知装置２０を用いて、システム全体の統計情報をシステム管理装置４０で管理するシーケンスについて示す。
【００９１】
まず、特徴抽出装置８０〜８２は、統計情報データベース８０００の統計情報２０２を、システム管理装置４０に、繰り返し（たとえば定期的に）、送信し（Ｓ２０１）、システム管理装置４０の統計情報を更新させる（Ｓ２０３）。
【００９２】
また、攻撃検知装置２０は、統計情報データベース８０００の統計情報を、繰り返し（たとえば定期的に）、更新し（Ｓ２０４）、その都度システム管理装置４０に統計情報を送信することで（Ｓ２０５）、システム管理装置４０の統計情報を更新させる（Ｓ２０６）。
【００９３】
上記シーケンスでは、中継装置Ｂ７０、７１を明示していないが、第二の実施形態と同様に中継装置Ｂ７０、７１を介した処理となるように構成しても良いし、中継装置Ｂ７０、７１を介さない処理となるように構成しても良い。
【００９４】
図１２に、システム管理装置４０と、特徴抽出装置８０〜８１と、攻撃検知装置２０を用いて、システム全体の攻撃遮断処理、及び攻撃遮断終了処理を行うシーケンスについて示す。
【００９５】
まず、システム管理装置４０は、統計情報から不正アクセスの存在を判定し（Ｓ５０１）、攻撃遮断指示５０３Ａ、５０３Ｂを攻撃検知装置２０及び／または特徴抽出装置８０〜８１に送信する（Ｓ５０２）。それを受信した特徴抽出装置８０〜８１及び攻撃検知装置２０は、攻撃遮断を開始し（Ｓ５０４Ａ、Ｓ５０４Ｂ）、開始確認を示すデータＳ５０５Ａ、Ｓ５０５Ｂをシステム管理装置４０に送信する。システム管理装置４０は、その開始確認データを受信することで、攻撃遮断が開始されたことを確認する（Ｓ５０６）。もしそれが届かなければ、再度ステップＳ５０２、Ｓ５０３Ａ、Ｓ５０３Ｂを繰り返す。
【００９６】
その後、システム管理装置４０は、統計情報から不正アクセスの存在が消滅したかを判定し（Ｓ５０７）、攻撃遮断終了指示５０９Ａ、５０９Ｂを攻撃検知装置２０及び／または特徴抽出装置８０〜８１に送信する（Ｓ５０８）。それを受信した特徴抽出装置８０〜８１及び／または攻撃検知装置２０は、攻撃遮断を終了し（Ｓ５１０Ａ、Ｓ５１０Ｂ）、終了確認を示すデータ５１１Ａ、５１１Ｂをシステム管理装置４０に送信する。システム管理装置４０は、その終了確認データを受信することで、攻撃遮断が終了したことを確認する。もしそれが届かなければ、再度ステップＳ５０８を繰り返す。
【００９７】
第三の実施形態により、システム全体の統計情報を元に、攻撃遮断の開始、終了を一括管理して行うことができる、という効果がある。
【００９８】
なお、上記各実施形態において、特徴抽出装置８０、８１は、アクセス要求の特徴抽出機能と、攻撃検知装置２０からの指示に応じた攻撃遮断機能とを併せ持っているものとして説明した。しかし、これら２つの機能のいずれか片方だけ持つように各装置を構成しても良い。例えば、特徴抽出装置８０、８１は攻撃遮断機能を備えず、攻撃遮断機能を備える攻撃遮断装置を新たに設けても良い。または、図８における中継装置Ｂ７０、７１が攻撃遮断機能を備えるようにしても良い。
【００９９】
【発明の効果】
本発明によれば、ＤＤｏＳ攻撃を検知する際の負荷を軽減することが可能となる。また、不要な遮断を排除するネットワークシステムを実現することが可能となる。
【図面の簡単な説明】
【図１】第一の実施形態に関わるネットワークシステムの一論理構成図。
【図２】第一の実施形態における、処理フローの一例。
【図３】第一の実施形態における、処理フローの一例。
【図４】第一の実施形態における、特徴抽出処理フローの一例。
【図５】第一の実施形態における、攻撃検出処理フローの一例。
【図６】各実施形態における、特徴抽出装置８０〜８１及び攻撃検知装置２０の統計情報データベースの一構成例。
【図７】第一の実施形態における、攻撃遮断開始及び終了処理フローの一例。
【図８】第二及び第三の実施形態に関わるネットワークシステムの一論理構成図。
【図９】第二の実施形態における、処理フローの一例。
【図１０】第二の実施形態における、処理フローの一例。
【図１１】第三の実施形態における、システム管理装置４０、特徴抽出装置８０〜８１、及び攻撃検知装置２０の統計情報の更新処理フローの一例。
【図１２】第三の実施形態における、攻撃遮断開始及び終了処理フローの一例。
【図１３】各実施形態における、アクセス要求フォーマットの一例。
【図１４】各実施形態における攻撃対象サーバ１０、攻撃検知装置２０、中継装置Ａ３０、システム管理装置４０、ネットワーク５０、攻撃指示装置６０、中継装置Ｂ７０〜７１、特徴抽出装置８０〜８１、攻撃装置９０〜９２、正規装置１００として使用する情報処理装置の一構成図。
【符号の説明】
０１…攻撃対象ネットワーク、１０…攻撃対象サーバ、２０…攻撃検知装置、３０…中継装置Ａ、４０…システム管理装置、５０…ネットワーク、６０…攻撃指示装置、７０〜７１…中継装置Ｂ、８０〜８１…特徴抽出装置、９０〜９２…攻撃装置、１００…正規装置、２０００…アクセス要求、２００１…ヘッダ部、２００２…ボディ部、２００３…特徴値フィールド、１０００…情報処理装置、１００１…ＣＰＵ、１００２…メモリ、１００３…読取装置、１００４…通信装置、１００５…外部記憶装置、１００６…入出力装置、１００７…内部通信線、１００８…記憶媒体。
【発明の属する技術分野】
本発明は、特定の装置への不正アクセスに対する防御方法、及びネットワークシステムに関する。
【０００２】
【従来の技術】
インターネットにおける不正アクセス手法の一つに、分散型サービス不能攻撃（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ、 ＤＤｏＳ攻撃という）がある。この手法は、サーバ等のコンピュータを攻撃対象として、アクセス要求などの通信データをネットワーク経由で大量にを送信し、実質的にサービスを利用不能にするものである。
【０００３】
単独の攻撃装置が、攻撃対象に対して攻撃を行うものをサービス不能攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ、ＤｏＳ攻撃という）と呼ぶ。それに対して、インターネット上の複数の攻撃装置が、攻撃対象に対して同時にＤｏＳ攻撃を行うものを、ＤＤｏＳ攻撃と呼ぶ。ＤＤｏＳ攻撃の主なケースを以下に述べる。攻撃者は、インターネット上のセキュリティが脆弱な装置を、なんらかの方法でＤｏＳ攻撃用のプログラムを設定する。そして、これらの脆弱装置（踏み台ホストとも呼ばれる）を攻撃装置として利用する。攻撃装置は、攻撃者から攻撃指示を与えられることで、攻撃対象サーバに対して一斉攻撃を行う。攻撃対象サーバや、その装置が接続されているネットワーク（攻撃対象ネットワーク）には、処理限界を超えたアクセス要求が集中するため、実質的にサービスは停止するか、もしくは実際に装置が停止してしまう。
【０００４】
従来のＤＤｏＳ攻撃の防御方法には、主に以下のものがある。
（ａ−１）インターネット上の全てのホストのセキュリティを高めて、踏み台にされないようにする方法。
（ａ−２）ＤＤｏＳ攻撃を検知した攻撃対象ネットワークの管理者が、各攻撃ホストの管理者に対して、個別に対応を依頼する方法。
（ａ−３）ＤＤｏＳ攻撃を検知した攻撃対象ネットワークの入口の中継装置か、攻撃対象ネットワークから攻撃ホストまでの経路上の中継装置（ルータ等）で、攻撃と思われるアクセスを全て遮断する方法。
しかし、対象となるホストが非常に多いことから、（ａ−１）（ａ−２）は極めて困難である。現実的には、（ａ−３）の方法が有効である。
【０００５】
（ａ−３）の方法の一つに、次のようなものがある。攻撃対象ネットワークとそれ以外のネットワークとの境界近辺に存在する攻撃検出装置がＤＤｏＳ攻撃を検知すると、その攻撃検出装置は、攻撃対象ネットワークから攻撃ホストまでの経路上に存在する中継装置に攻撃遮断指示を送信して、それらの中継装置に攻撃に使われているアクセス要求（攻撃アクセス要求という）を遮断させる方法がある。この方法の実現例については、特許文献１に記載されている。
【０００６】
また、別の方法として、中継装置に攻撃遮断指示ではなく、攻撃遮断プログラムを送信して、中継装置でそのプログラムを実行させることで、攻撃アクセス要求を遮断する方法がある。この方法の実現例については、特許文献２に記載されている。
【０００７】
これらの方法は、ネットワーク上に分散している攻撃ホストからの多量の攻撃アクセス要求を、なるべく攻撃ホストに近い中継装置で遮断することで、インターネット上に余計なトラフィックが流れるのを防ぐことができるという利点がある。また、インターネット上に分散している多数の中継装置で攻撃アクセス要求を遮断するため、アクセス要求の検査及び遮断処理による各中継装置の負荷が低いという利点がある。
【０００８】
【特許文献１】
特開２００２−１５８６６０号公報
【特許文献２】
米国特許出願公開第２００２／００３２８５４号明細書
【０００９】
【発明が解決しようとする課題】
しかしながら、前述のＤＤｏＳ攻撃の防御方法を採用すると、攻撃検知処理の負荷が非常に重くなるという課題がある。その原因としては、検査対象となるアクセス要求量が非常に多いにもかかわらず、検査ポイントを攻撃対象ネットワーク上の一箇所で行っていることがあげられる。攻撃対象ネットワークには大量の攻撃アクセス要求が集中するので、全てのアクセス要求について検査を行う処理は、非常に負荷が重くなる。中継装置自身で攻撃検知を行うケースでは、攻撃アクセス要求が集中すると、攻撃検知の処理遅延がボトルネックとなり、攻撃アクセス以外の、通常のアクセス要求の応答性能への影響が非常に大きくなる。よって、攻撃検知の負荷を軽減することが必要である。
【００１０】
また、現在の送信元のＩＰアドレスに対する攻撃遮断手法では、攻撃ホストから攻撃対象サーバへの正規のアクセス要求も同じように遮断されてしまうという課題がある。攻撃ホストは、その所有者がウィルスに汚染されているということに気付かず放置している一般ユーザの端末の場合もある。その場合、一般ユーザの正規アクセス要求に混じって、ウィルスプログラムによる攻撃アクセス要求も送信される可能性があるが、従来の攻撃遮断方法によれば、攻撃アクセス要求と同様に正規アクセス要求を遮断してしまう。例えば、Ｗｅｂサービスを中継するプロキシサーバが攻撃ホストに改造された場合、そのプロキシサーバを経由して利用している正規ユーザの正規アクセス要求が、全て遮断されてしまうことになり、正規ユーザにとって、そのＷｅｂサービスの利便性が悪くなる。
【００１１】
したがって、より適切な攻撃遮断方法が求められている。
【００１２】
【課題を解決するための手段】
本発明は、攻撃検知処理の一部を、攻撃対象ネットワークと攻撃装置間の経路上の中継装置側で分散的に行うことで、ＤＤｏＳ攻撃を高速に検知する方法、及びネットワークシステムを提供する。
【００１３】
本発明は、攻撃検知対象をＩＰアドレスではなく、アプリケーションデータ単位で細かく攻撃遮断の要否を制御する方法、及びネットワークシステムを提供する。さらに、本発明は、上記制御時の負荷を軽減する、効率の良い攻撃検知方法を提供する。
【００１４】
従来技術における主な攻撃検知の対象は、主に送信元のＩＰアドレスに対するトラフィックパターンである。トラフィックパターンとは、ネットワークトラフィックの監視装置を用いて、ネットワークに流れたメッセージ流量を時系列解析した場合や、あるいはメッセージの送信順序を解析した場合に得られる、メッセージ流量や送信順序がある特徴的なパターンを指す。
【００１５】
つまり、従来の検知手法は、ある送信先ＩＰアドレスに対する送信元ＩＰアドレスとそのトラフィックパターンを組で監視し、トラフィックパターンが攻撃パターンを示していれば、その送信元ＩＰアドレスからのパケットは廃棄する、というような低レイヤで行われている。
【００１６】
しかし本発明は、今後必要になると予想する、より高レイヤでの攻撃遮断も可能とする。
【００１７】
具体的には、現在、アクセス要求にＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ベースのメッセージを含む、Ｗｅｂサービスという形態が広まりつつある。Ｗｅｂサービスのアプリケーションプログラムは、複数パケット中に分割されて格納されているＸＭＬメッセージの文字列を解析する処理を行う。この処理は非常に負荷が大きいので、サービスを提供するサーバの文字列解析プログラムを狙い、複雑な構文を持つサイズの大きいＸＭＬメッセージをサーバに多量に送信する、といった攻撃が行われるおそれがある。しかしながら、本発明は、このような攻撃が行われても、これを効率よく検知し、遮断することが可能である。
【００１８】
本発明は、その具体的な一態様において、受信した上記攻撃対象サーバへのアクセス要求の特徴値を算出し、上記アクセス要求に添付して転送する特徴抽出装置と、上記アクセス要求に添付された上記特徴値を元に、上記攻撃対象サーバへの上記攻撃を検知し、上記特徴値を備えたアクセス要求の遮断指示を送出する攻撃検知装置と、上記攻撃遮断指示を受信して、上記攻撃対象サーバへの上記特徴値を備えたアクセス要求の転送を行わない攻撃遮断装置を備えるネットワークシステムを提供する。なお、上記特徴抽出装置と攻撃遮断装置とは同一装置上に構成されてもよい。
【００１９】
【発明の実施の形態】
図１は、本発明の第一の実施形態が適用されたネットワークシステムの論理的な構成例を示す図である。
【００２０】
本実施形態におけるネットワークシステムは、攻撃対象ネットワーク０１と、特徴抽出装置８０〜８１と、攻撃装置９０〜９２と、正規装置１００とが、ネットワーク５０を介して接続されている。攻撃指示装置６０は、攻撃装置９０〜９２に接続されている。さらに、攻撃対象ネットワーク０１では、攻撃対象サーバ１０が攻撃検知装置２０を介して攻撃対象ネットワーク０１に接続されている。ネットワーク５０は、物理的には、同軸ケーブルや光ファイバ等の通信回線と、ネットワークインタフェースカードやハブ、ルータ等のネットワーク機器の集合体である。図１において、ネットワーク５０を介さずに接続されている各装置は、ネットワーク５０を経由して接続されていても良い。例えば、攻撃指示装置６０と攻撃装置９０〜９２の間は、実際にはネットワーク５０を経由して接続されていても良い。
【００２１】
攻撃対象サーバ１０は、既存のサーバアプリケーションが動作しているサーバ装置である。例えば、文書・動画像データやプログラムファイルなどを提供するＷｅｂサーバ装置や、Ｗｅｂサービスを提供するアプリケーションサーバ装置、メールサーバ装置等である。
【００２２】
攻撃検知装置２０は、アクセス要求解析を行う。攻撃検知装置２０は、ネットワーク５０経由で攻撃対象サーバ１０宛に送信されたアクセス要求のデータを解析して、ＤＤｏＳ攻撃によるものかどうかを判定する。攻撃検知装置２０は、判定によりＤＤｏＳ攻撃を検出した場合は、特徴抽出装置８０〜８１に対して、検出したＤＤｏＳ攻撃と同じ特徴をもつアクセス要求の遮断指示（攻撃遮断指示）を送信する。
【００２３】
また、攻撃遮断指示送信後、予め設定された攻撃遮断タイマ時間が経過すると、特徴抽出装置８０〜８１に対して、攻撃遮断終了指示を送信する。攻撃遮断終了については、攻撃対象ネットワーク０１のネットワーク管理者が、手動で指示を送出しても良いし、特徴抽出装置８０〜８１に任せてもよい。なお、本実施の形態では、ＤＤｏＳ攻撃の検知アルゴリズムについては、特徴抽出装置８０〜８１から送信されてきた特徴値情報から算出するが、公知のアルゴリズムを用いても良い。
【００２４】
攻撃指示装置６０は、攻撃装置９０〜９２に対して、ネットワーク経由でＤＤｏＳ攻撃の制御指示命令を送信する。
【００２５】
特徴抽出装置８０〜８１は、アクセス要求の特徴を抽出して、その特徴値をアクセス要求に付加する装置である。付加方法としては、たとえばアクセス要求のヘッダ等に特徴値を記述する方法がある。ヘッダとは、主にＩＰヘッダやＨＴＴＰヘッダ等である。特徴抽出装置８０〜８１は、特徴値が付加されたアクセス要求を、攻撃検知装置２０に送信する。また、攻撃検知装置２０から攻撃遮断指示を受信すると、攻撃遮断処理を行う。
【００２６】
攻撃遮断指示は、例えば、ある特徴値を備えたアクセス要求を転送しないことを指示する命令が記述されているＸＭＬデータである。
【００２７】
攻撃遮断指示受信後、予め設定された攻撃遮断タイムアウト時間が経過するか、攻撃検知装置２０等から攻撃遮断終了指示を受信すると、特徴抽出装置８０〜８１は攻撃遮断処理を終了する。
【００２８】
攻撃遮断指示、及び攻撃遮断終了指示については、攻撃対象ネットワーク０１のネットワーク管理者が、特徴抽出装置８０〜８１にリモートログインして、攻撃遮断指示もしくは攻撃遮断終了操作を直接行っても良い。
【００２９】
攻撃装置９０〜９２は、ＤＤｏＳ攻撃用ソフトウェアが組み込まれた装置である。ＤＤｏＳ攻撃用ソフトウェアは、ＤＤｏＳ攻撃の実行者によって、いわゆるトロイの木馬等なんらかの方法でインストールされる。攻撃装置９０〜９２の管理者は、そのことに気付かないことが多い。攻撃装置９０〜９２は、攻撃指示装置６０からの攻撃制御指示を受信して、攻撃対象サーバ１０に対して一斉にＤｏＳ攻撃を行う。
【００３０】
正規装置１００は、ＤＤｏＳ攻撃用ソフトウェアが組み込まれていない、正常な正規ユーザの装置である。正規装置１００から送信されるアクセス要求は、正規ユーザが発信しているアクセス要求であるため、このデータを極力遮断しないようにする必要がある。
【００３１】
本実施例では、攻撃検知装置２０、及び特徴抽出装置８０〜８１が協同することにより、正規装置１００から送信される正規なアクセス要求を極力遮断せず、攻撃装置９０〜９２からのＤＤｏＳ攻撃から攻撃対象サーバ１０を防御する。
【００３２】
本実施例に関わる各装置は、例えば図１４に示すような、ＣＰＵ１００１と、メモリ１００２と、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等の着脱可能で、可搬性を有する記憶媒体１００８から情報を読み出す読み取り装置１００３と、ネットワーク５０を介して相手装置と通信を行うための通信装置１００４と、ＨＤＤ等の外部記憶装置１００５と、キーボードやマウスやディスプレイなどの入出力装置１００６とが、バスなどの内部通信線１００７を介して接続された一般的な情報処理装置１０００において、ＣＰＵ１００１がメモリ１００２上にロードされた所定のプログラムを実行することにより実現することができる。
【００３３】
さらに、上記各装置の機能は、ＣＰＵ１００１が外部記憶装置１００５またはメモリ１００２に格納されているプログラムを実行することにより、上記情報処理装置１０００上に具現化される。上記プログラムは、あらかじめ、上記情報表示装置１０００内に格納されていても良いし、必要なときに、着脱可能で当該情報処理装置が利用可能な記憶媒体、または、ネットワークまたはネットワーク上を伝搬する搬送波といった当該情報処理装置が利用可能な通信媒体を介して、導入されてもよい。また、各装置の機能一部または全てをハードウェアによって実現してもよい。
【００３４】
次に、図２ないし図５を用いて、第一の実施形態を説明する。
【００３５】
図２に、攻撃装置９０〜９２からのＤＤｏＳ攻撃が攻撃検知装置２０に届くまでの処理シーケンスと、攻撃装置９０〜９２からのＤＤｏＳ攻撃が遮断され、アクセス規制メッセージが攻撃装置９０〜９２に返信されるまでの処理シーケンスを示す。
【００３６】
まず、攻撃指示装置６０が攻撃開始処理を行い（Ｓ１０１）、攻撃装置９０〜９２に、攻撃対象サーバ１０へのＤＤｏＳ攻撃開始指示を意味するメッセージを送信する（Ｓ１０２）。攻撃装置９０〜９２は攻撃開始指示を受信すると、攻撃対象サーバ１０に対して一斉にＤＤｏＳ攻撃を開始する（Ｓ１０３）。攻撃装置９０〜９２は、攻撃対象サーバ１０宛の大量のアクセス要求１０４を送信する。特徴抽出装置８０〜８１は、攻撃装置９０〜９２からアクセス要求を受信すると、特徴抽出処理を開始する（Ｓ１０５）。
【００３７】
特徴抽出処理は、アクセス要求の特徴値を抽出し、当該アクセス要求に付加する処理である。本実施形態では、アクセス要求のヘッダ部に、抽出した特徴値を新たなヘッダ情報として付加する。特徴値は、ハッシュ関数等のなんらかのアルゴリズムを用いて、アクセス要求中に含まれるデータの一部を簡単な数値もしくは文字列に変換することにより得られる。特徴値は、ダイジェスト値とも呼ぶ。
【００３８】
同じ特徴値を持つアクセス要求同士は、必ずしも同じだとは言えない。しかし、アクセス要求を完全に比較することは非常に処理負荷が重いため、処理負荷軽減のため、本実施形態では、同一特徴値を持つアクセス要求同士は、同一の内容であると見なす。つまり、別々のアクセス要求を同じものと誤認識することはありえるが、本実施形態ではこれを許容する。特徴抽出処理の詳細については、図４で後述する。
【００３９】
次に、特徴抽出装置８０〜８１は、Ｓ１０５で抽出した特徴値が、攻撃遮断対象の値かどうかを判断する（Ｓ１０６）。この処理の詳細については、図４で後述する。
【００４０】
受信したアクセス要求が、攻撃遮断対象のアクセス要求でなければ、攻撃検知装置２０に、特徴値付きアクセス要求１０８を転送する（Ｓ１０７）。この特徴値付きアクセス要求１０８を受信した攻撃検知装置２０は、攻撃検知処理を行う（Ｓ１０９）。ここでは、アクセス要求のヘッダ部に付加された特徴値ヘッダから特徴値を取得し、アクセス要求のヘッダ部から特徴値ヘッダを除去する。攻撃検知処理の詳細については、図５で後述する。
【００４１】
特徴抽出装置８０〜８１は、受信したアクセス要求が、攻撃遮断対象であれば、アクセスできない旨を通知するアクセス規制メッセージ１１１を攻撃装置９０〜９２に返信する（Ｓ１１０）。そして、統計情報を更新する（Ｓ１１３）。統計情報の更新については、図６で後述する。攻撃装置９０〜９２はアクセス規制メッセージを受信する（Ｓ１１２）。
【００４２】
図３に、図２に続き、攻撃装置９０〜９２からのＤＤｏＳ攻撃を構成するアクセス要求が攻撃検知装置に届いてからの処理シーケンスを示す。
【００４３】
Ｓ１０９を実行後、攻撃検知装置２０は、特徴値ヘッダを除去したアクセス要求１２０を攻撃対象サーバ１０に転送する。攻撃対象サーバ１０は、受信したアクセス要求に対する応答データ１２２を攻撃検知装置２０に返信する（Ｓ１２１）。
【００４４】
攻撃検知装置２０は、受信した応答データ１２４を、特徴抽出装置８０〜８１に返信する（Ｓ１２３）。そして、特徴抽出装置８０〜８１は、その応答データ１２６を、更に攻撃装置９０〜９２に応答する（Ｓ１２５）。これで、攻撃装置９０〜９２及び正規装置１００からのアクセス要求に対する一連の処理は終了する。
【００４５】
図４に、特徴抽出装置８０〜８１における、特徴抽出処理（Ｓ１０５）及び攻撃遮断対象判定処理（Ｓ１０６）の詳細フロー例を示す。特徴抽出装置８０〜８１は、以下の処理を行う。
【００４６】
Ｓ１０５の処理について説明する。正規装置１００及び攻撃装置９０〜９２からのアクセス要求に含まれている、アクセス要求データの特徴値を算出する（Ｓ１０５１）。特徴値の算出方法の例としては、ＨＴＴＰのボディ部に格納されているデータの、先頭のあらかじめ決められたバイト数分のデータにハッシュ関数を作用させてハッシュ値を算出し、そしてこのハッシュ値を特徴値として用いる方法がある。
【００４７】
次に、Ｓ１０５１で算出した特徴値を、アクセス要求のＨＴＴＰヘッダ部に特徴値ヘッダとして付加する（Ｓ１０５２）。
【００４８】
図１３に、アクセス要求の一構成例を示す。アクセス要求２０００は、大きくヘッダ部２００１とボディ部２００２の二つに分けることができる。ヘッダ部２００１は、アプリケーションの付加情報（ヘッダ）を保持している。ボディ部２００２には、Ｗｅｂサービス等で用いるＸＭＬタイプのデータが格納されている。特徴抽出装置８０〜８１は、このヘッダ部２００１に対して、ボディ部２００２に格納されているデータの特徴を数値化した、データ特徴値ヘッダ２００３を付加する。また、攻撃検知装置２０は、このデータ特徴値ヘッダ２００３を除去する。
【００４９】
次にＳ１０６の処理について説明する。まず、アクセス先ＵＲＬと、Ｓ１０５１で算出したデータ特徴値との組み合わせで検索し、攻撃遮断対象のアクセス要求かどうかを決定する（Ｓ１０６１）。Ｓ１０６１の処理で、攻撃遮断対象だと判定した場合は、Ｓ１１０の処理に進む。攻撃遮断対象外だと判定した場合は、Ｓ１０７の処理に進む（Ｓ１０６２）。
【００５０】
図５に、攻撃検知装置２０における、攻撃検知処理（Ｓ１０９）の詳細フロー例を示す。攻撃検知装置２０は、以下の処理を行う。
【００５１】
攻撃検知装置２０は、特徴抽出装置８０〜８１から受信したアクセス要求のヘッダ部２００１にあるデータ特徴値ヘッダ２００３に示されている特徴値を抽出し、データ特徴値ヘッダ２００３をヘッダ部２００１から削除する（Ｓ１０９１）。次に、攻撃検知装置２０の統計情報を更新する（Ｓ１０９２）。
【００５２】
統計情報の更新について、図６を用いて説明する。攻撃検知装置２０及び特徴抽出装置８０〜８１は、図６に示すような統計情報データベース８０００を外部記憶装置１００５内に管理している。統計情報データベース８０００の各エントリ８００５は、管理ＩＤフィールド８００１、アクセス先ＵＲＬフィールド８００２、データ特徴値フィールド９００３、及び攻撃頻度フィールド８００４を含む。管理ＩＤフィールド８００１は、各装置が各エントリ８００５を管理するための識別子（ＩＤ）を保持する。アクセス先ＵＲＬフィールド８００２は、アクセス要求先のＵＲＬ情報を保持する。データ特徴値フィールド８００３は、アクセス要求毎に、その特徴値ヘッダ２００３に格納されている、ボディ部２００２の特徴値を保持する。攻撃頻度フィールド８００４は、アクセス先ＵＲＬとデータ特徴値の組が同じであるアクセス要求を受信する頻度の値（攻撃頻度）を保持する。攻撃頻度とは、例えば、単位時間あたりの受信アクセス要求数などである。
【００５３】
アクセス先ＵＲＬフィールド８００２に格納するＵＲＬの記述の細かさは、攻撃対象サーバ１０の装置構成等を考慮して、決定すればよい。
【００５４】
統計情報データベース８０００の更新方法の例を示す。攻撃検知装置２０が新しいアクセス要求を受信すると、まずアクセス先ＵＲＬとデータ特徴値の組を検索キーとして、データベース８０００を検索する。もし一致するエントリ８００５があれば、攻撃頻度フィールド８００４中に保持されている攻撃頻度の値を更新する。もし一致しなければ、そのアクセス先ＵＲＬとデータ特徴値を持つ新しいエントリ８００５を作成し、攻撃頻度８００４の値を更新する。
【００５５】
また、攻撃頻度８００４の値は定期的に更新され、攻撃頻度が０になると、エントリは消去される。
【００５６】
また、特徴抽出装置８０〜８１が新しいアクセス要求を受信すると、攻撃検知装置２０と同様に、まずアクセス先ＵＲＬとデータ特徴値の組を検索キーとして、データベース８０００を検索する。もし一致するエントリ８００５があれば、攻撃遮断対象だと見なす。エントリの一致を判断するステップにおいて、ＵＲＬはあるレベルまで一致すれば、それ以下のレベルが異なっていても一致すると見なして良い。Ｓ１１０でアクセス規制メッセージを返信した後、攻撃頻度フィールド８００４中に保持されている攻撃頻度の値を更新する。また、攻撃頻度８００４の値は定期的に更新され、攻撃頻度が０になると、エントリ８００５は消去され、攻撃遮断対象から外れる。もしくは、予め特徴抽出装置８０〜８１に設定されているある一定時間が経過すると、エントリ８００５は自動的に消去される、あるいは、攻撃検知装置２０から攻撃終了指示を受信するとエントリ８００５を消去するという設定にしても良い。
【００５７】
図７に、特徴抽出装置８０〜８１及び攻撃検知装置２０における、攻撃遮断及び遮断終了のシーケンスを示す。
【００５８】
まず、攻撃検知装置２０が、統計情報データベース８０００の情報から不正アクセスの存在を判定する（Ｓ５０１）。この判定は、例えば定期的に行う。
【００５９】
その判定には、例えば、以下の方法がある。
（ａ）攻撃検知装置２０に対し、通常アクセスと不正アクセスとを区別するための、攻撃頻度の閾値を予め設定しておく。
（ｂ）攻撃検知装置２０は、統計情報データベース８０００のエントリ８００５毎に、攻撃頻度フィールド８００４の値と、（ａ）で設定した閾値とを比較する。
（ｃ）（ｂ）での比較の結果、攻撃頻度フィールド８００４の値の方が閾値より大きければ、不正アクセスと判断する。そうでなければ、通常アクセスと判断する。
【００６０】
ステップＳ５０１の後、不正アクセスと判断されたエントリ８００５が存在していれば、特徴抽出装置８０〜８１に対し、そのエントリ８００５に示されるアクセス要求の攻撃遮断指示５０３を送信する（Ｓ５０２）。そして、特徴抽出装置８０〜８１を経由せずに攻撃対象ネットワーク１０に到達したアクセス要求を遮断するために、攻撃検知装置２０自身でも攻撃遮断を開始する（Ｓ５０４Ａ）。
【００６１】
不正アクセスが存在していなければ、攻撃遮断処理をスキップする。
【００６２】
また、攻撃検知装置２０は、統計情報データベース８０００の情報から不正アクセスが消滅していると判定すると（Ｓ５０７）、攻撃遮断終了指示５０９を特徴抽出装置８０〜８１に送信する（Ｓ５０８）。
【００６３】
特徴抽出装置８０〜８１は、攻撃遮断指示５０３を受信すると、攻撃遮断を開始し（Ｓ５０４Ｂ）、開始確認５０５を示すデータを攻撃検知装置２０に送信する。そして、特徴抽出装置８０〜８１は、特徴値抽出を繰り返して統計情報データベース８０００を更新し、さらにその統計情報２０２を攻撃検知装置２０に定期的に送信する（Ｓ２０１）。ここで、攻撃検知装置２０は、開始確認５０５を受信できなかったら、再度ステップＳ５０２を繰り返すようにしてもよい。
【００６４】
予め特徴抽出装置８０〜８１に設定された攻撃遮断時間が経過しているかどうかチェックする（Ｓ５２０）。
【００６５】
経過していなければ、Ｓ２０１のステップを繰り返す。攻撃遮断タイマ時間が経過しているか、もしくは攻撃遮断終了指示を受信すると（Ｓ５０９）、攻撃遮断終了処理を行い（Ｓ５１０Ｂ）、終了確認を示すデータ５１１を攻撃検知装置２０に送信する。これで攻撃遮断処理は終了となる。攻撃遮断終了処理（Ｓ５１０Ｂ）として、統計情報データベース８０００の該当エントリを削除してもよい。
【００６６】
第一の実施形態により、攻撃検知処理の大規模、高速、かつ高機能化という効果がある。その効果について詳細に説明する。
【００６７】
第一に、本実施の形態では、従来、攻撃検知装置２０で行っていた不正アクセス（ＤＤｏＳ攻撃）の検査処理のうち、アクセス要求データの特徴を数値化する処理を特徴抽出装置８０〜８１で行うようにした。すなわち、本実施形態では、不正アクセスの検査を、ネットワークの二箇所（特徴抽出装置８０〜８１、及び攻撃検知装置２０）で分担して行うことで、アクセスが集中する攻撃対象ネットワークでの、各装置の攻撃検知処理負荷が非常に軽量化される。さらに、特徴抽出装置が複数になれば一台当たりの処理負荷もさらに軽量化される。
【００６８】
第二に、攻撃検知手法を高機能化できる、という効果がある。処理ポイントを簡単に分散化できるため、全体の性能を落とさずに、一台の装置当たりで行える機能を複雑化することができる。例えば、Ｗｅｂサービスシステムを例に取る。Ｗｅｂサービスの提供装置は、大容量のテキストデータの文字列解析を行わなければならないが、これは非常に負荷の重い処理なので、大容量のダミーデータを含むアクセス要求が、攻撃装置９０〜９２からＷｅｂサーバに繰り返し送信されると、Ｗｅｂサーバは簡単に停止させられてしまう。
【００６９】
本実施形態では、ネットワークの各地点に備える特徴抽出装置８０でアクセス要求中のデータを特徴値化し、攻撃検知装置２０ではただ特徴値の統計をとって検知るようにした。これにより、攻撃検知装置２０及びＷｅｂ装置側での不要な文字列解析処理を回避することができ、結果的に、システム全体の処理性能を向上させることができる。
【００７０】
第三に、本実施の形態では、送信者のＩＰアドレスをベースとした単純な攻撃遮断ではなく、アプリケーションデータレベルでの遮断を行うことができる。上述の通り、従来のＩＰアドレスをベースとする遮断方法だと、踏み台となる装置からの正規のアクセスを含む全てのアクセスが遮断されてしまう。しかし本実施形態によると、アクセス要求のヘッダ部に付加されている、アクセス要求の特徴を表す特徴値をチェックして遮断するので、アプリケーションデータレベルでの遮断を行うことができる。
【００７１】
例えば、ある攻撃ホストで、大きなサイズのデータを持つアクセス要求が、複製されて繰り返し同じ攻撃対象サーバに送信された場合、それらのアクセス要求には同じ特徴値が特徴抽出サーバで付加される。そのため、正規アクセス要求を遮断せずに、不正アクセス要求と見られる同じ特徴値を持つアクセス要求だけを全て遮断できる。
【００７２】
このような攻撃検知対象の細粒化により、不要な遮断を回避することができるので、ユーザにとって使い勝手の良い、高機能なシステムを実現できる。
【００７３】
これらの効果により、本実施形態では、ＤＤｏＳ攻撃を効率よく防御できる。
【００７４】
次に、図８ないし図１０を用いて、第二の実施形態を説明する。
【００７５】
図８は、本発明の第二の実施形態が適用されたネットワークシステムの構成を示す図である。図１のネットワーク構成に加え、中継装置Ａ３０、中継装置Ｂ７０〜７１が加わる。本実施形態では、システム管理装置４０は使用しない。
【００７６】
中継装置Ａ３０は、中継装置Ｂ７０〜７１から攻撃対象サーバ１０宛に送信されたアクセス要求の中継を行う装置であり、例えば、ルータやファイアウォール、Ｗｅｂプロキシサーバ等である。中継装置Ａ３０は、中継装置Ｂ７０〜７１から送信されたアクセス要求を、攻撃検知装置２０に転送する。また、中継装置Ａ３０は、攻撃検知装置２０から返信されたアクセス要求を攻撃対象サーバ１０に転送する。そして、攻撃対象サーバ１０から返信された応答データを、中継装置Ｂ７０〜７１経由で、アクセス要求の送信元である正規装置１００もしくは攻撃装置９０〜９２に返信する。中継装置Ａ３０は、中継装置Ｂ７０〜７１と攻撃対象サーバ１０との経路上に設置される。もしくは、中継装置Ｂ７０〜７１からのアクセス要求が必ず中継装置Ａ３０を経由するように、中継装置Ｂ７０〜７１に設定しても良い。
【００７７】
中継装置Ｂ７０〜７１は、アクセス要求の中継を行う装置である。処理としては、中継装置Ａ３０と同様である。中継装置Ｂ７０〜７１は、攻撃装置９０〜９２及び正規装置１００が攻撃対象サーバ１０宛に送信したアクセス要求を中継できるように、攻撃装置９０〜９２及び正規装置１００と攻撃対象サーバ１０との経路上に設置される。もしくは、アクセス要求が必ず中継装置Ｂ７０〜７１を経由するように、攻撃装置９０〜９２及び正規装置１００に設定しても良い。中継装置Ｂ７０〜７１は、正規装置１００や、攻撃装置９０〜９２から、アクセス要求等のアクセス要求を受信すると、特徴抽出装置８０〜８１に転送する。また中継装置Ｂ７０〜７１は、特徴抽出装置８０〜８１から返信された特徴値付きアクセス要求を、中継装置Ａ３０経由で攻撃検知装置２０に転送する。
【００７８】
図９に、攻撃装置９０〜９２からのＤＤｏＳ攻撃が攻撃検知装置２０に届くまでの処理シーケンスを示す。また、攻撃装置９０〜９２からの攻撃が特徴抽出装置８０〜８１で遮断され、アクセス規制メッセージが攻撃装置９０〜９２に返信されるまでの処理シーケンスを示す。
【００７９】
図９では、図２に示す処理シーケンスと、次のステップが異なる。
【００８０】
まず、図２のＳ１０５のステップにおいて、正規装置１００及び攻撃装置９０〜９２から送信されたアクセス要求１０４を、中継装置Ｂ７０〜７１が特徴抽出装置８０〜８１に転送する（Ｓ４０１）。
【００８１】
また、攻撃検知装置２０に特徴値付きアクセス要求を転送するステップ（Ｓ１０７）では、特徴抽出装置８０〜８１は、中継装置Ｂ７０〜７１に一旦特徴値付きアクセス要求１０８Ａを返信する（Ｓ４０２）。そして中継装置Ｂ７０〜７１が、その特徴値付きアクセス要求１０８Ｂ、１０８Ｃを中継装置Ａ３０経由で攻撃検知装置２０に転送する（Ｓ４０３，Ｓ４０４）。
【００８２】
さらに、図２のＳ１１０〜Ｓ１１２のステップにおいて、一旦中継装置Ｂ７０〜７１経由でアクセス規制メッセージ１１１Ａ，１１１Ｂを転送する（Ｓ４０５）。
【００８３】
図１０に、図９のステップに続く、攻撃装置９０〜９２からのＤＤｏＳ攻撃が中継装置Ａ３０に届いてからの処理シーケンスを示す。
【００８４】
図１０では、図３の、攻撃検知装置２０から攻撃対象サーバ１０にアクセス要求１２０を転送するステップにおいて、アクセス要求（Ｓ１２０Ａ、Ｓ１２０Ｂ）を、一旦中継装置Ａ３０を経由させて転送する（Ｓ５０１、Ｓ５０２）。
【００８５】
また、攻撃対象サーバ１０からの応答データ１２２、１２４、１２６を、攻撃装置９０〜９２に返信するステップ（Ｓ１２１、Ｓ１２３、Ｓ１２５）において、中継装置Ａ３０及び中継装置Ｂ７０〜７１経由で返信する（Ｓ５０３、Ｓ５０４）。
【００８６】
第二の実施形態により、特徴抽出装置８０〜８２及び攻撃検知装置２０を、簡単に負荷分散させ、さらに高速化することができる。
【００８７】
具体的には、図８の中継装置Ｂ７１及び特徴抽出装置８１〜８２を接続し、中継装置Ｂ７０〜７１が、中継するアクセス要求を、負荷分散機能を用いて、複数の特徴抽出装置８１〜８２に振分けることで、特徴抽出装置８０自体が性能のボトルネックとなった場合でも、簡単に負荷軽減することができる。攻撃検知装置２０と中継装置Ａ３０の関係についても、同様のことが可能である。
【００８８】
次に、図８、図１１、及び図１２を用いて、第三の実施形態を説明する。
【００８９】
第一もしくは第二の実施形態に加え、本発明の装置群（中継装置Ａ３０、中継装置Ｂ７０〜７１、特徴抽出装置８０〜８２、攻撃検知装置２０）を管理する、図８に記載のシステム管理装置４０を追加する。
【００９０】
図１１に、システム管理装置４０と、特徴抽出装置８０〜８２と、攻撃検知装置２０を用いて、システム全体の統計情報をシステム管理装置４０で管理するシーケンスについて示す。
【００９１】
まず、特徴抽出装置８０〜８２は、統計情報データベース８０００の統計情報２０２を、システム管理装置４０に、繰り返し（たとえば定期的に）、送信し（Ｓ２０１）、システム管理装置４０の統計情報を更新させる（Ｓ２０３）。
【００９２】
また、攻撃検知装置２０は、統計情報データベース８０００の統計情報を、繰り返し（たとえば定期的に）、更新し（Ｓ２０４）、その都度システム管理装置４０に統計情報を送信することで（Ｓ２０５）、システム管理装置４０の統計情報を更新させる（Ｓ２０６）。
【００９３】
上記シーケンスでは、中継装置Ｂ７０、７１を明示していないが、第二の実施形態と同様に中継装置Ｂ７０、７１を介した処理となるように構成しても良いし、中継装置Ｂ７０、７１を介さない処理となるように構成しても良い。
【００９４】
図１２に、システム管理装置４０と、特徴抽出装置８０〜８１と、攻撃検知装置２０を用いて、システム全体の攻撃遮断処理、及び攻撃遮断終了処理を行うシーケンスについて示す。
【００９５】
まず、システム管理装置４０は、統計情報から不正アクセスの存在を判定し（Ｓ５０１）、攻撃遮断指示５０３Ａ、５０３Ｂを攻撃検知装置２０及び／または特徴抽出装置８０〜８１に送信する（Ｓ５０２）。それを受信した特徴抽出装置８０〜８１及び攻撃検知装置２０は、攻撃遮断を開始し（Ｓ５０４Ａ、Ｓ５０４Ｂ）、開始確認を示すデータＳ５０５Ａ、Ｓ５０５Ｂをシステム管理装置４０に送信する。システム管理装置４０は、その開始確認データを受信することで、攻撃遮断が開始されたことを確認する（Ｓ５０６）。もしそれが届かなければ、再度ステップＳ５０２、Ｓ５０３Ａ、Ｓ５０３Ｂを繰り返す。
【００９６】
その後、システム管理装置４０は、統計情報から不正アクセスの存在が消滅したかを判定し（Ｓ５０７）、攻撃遮断終了指示５０９Ａ、５０９Ｂを攻撃検知装置２０及び／または特徴抽出装置８０〜８１に送信する（Ｓ５０８）。それを受信した特徴抽出装置８０〜８１及び／または攻撃検知装置２０は、攻撃遮断を終了し（Ｓ５１０Ａ、Ｓ５１０Ｂ）、終了確認を示すデータ５１１Ａ、５１１Ｂをシステム管理装置４０に送信する。システム管理装置４０は、その終了確認データを受信することで、攻撃遮断が終了したことを確認する。もしそれが届かなければ、再度ステップＳ５０８を繰り返す。
【００９７】
第三の実施形態により、システム全体の統計情報を元に、攻撃遮断の開始、終了を一括管理して行うことができる、という効果がある。
【００９８】
なお、上記各実施形態において、特徴抽出装置８０、８１は、アクセス要求の特徴抽出機能と、攻撃検知装置２０からの指示に応じた攻撃遮断機能とを併せ持っているものとして説明した。しかし、これら２つの機能のいずれか片方だけ持つように各装置を構成しても良い。例えば、特徴抽出装置８０、８１は攻撃遮断機能を備えず、攻撃遮断機能を備える攻撃遮断装置を新たに設けても良い。または、図８における中継装置Ｂ７０、７１が攻撃遮断機能を備えるようにしても良い。
【００９９】
【発明の効果】
本発明によれば、ＤＤｏＳ攻撃を検知する際の負荷を軽減することが可能となる。また、不要な遮断を排除するネットワークシステムを実現することが可能となる。
【図面の簡単な説明】
【図１】第一の実施形態に関わるネットワークシステムの一論理構成図。
【図２】第一の実施形態における、処理フローの一例。
【図３】第一の実施形態における、処理フローの一例。
【図４】第一の実施形態における、特徴抽出処理フローの一例。
【図５】第一の実施形態における、攻撃検出処理フローの一例。
【図６】各実施形態における、特徴抽出装置８０〜８１及び攻撃検知装置２０の統計情報データベースの一構成例。
【図７】第一の実施形態における、攻撃遮断開始及び終了処理フローの一例。
【図８】第二及び第三の実施形態に関わるネットワークシステムの一論理構成図。
【図９】第二の実施形態における、処理フローの一例。
【図１０】第二の実施形態における、処理フローの一例。
【図１１】第三の実施形態における、システム管理装置４０、特徴抽出装置８０〜８１、及び攻撃検知装置２０の統計情報の更新処理フローの一例。
【図１２】第三の実施形態における、攻撃遮断開始及び終了処理フローの一例。
【図１３】各実施形態における、アクセス要求フォーマットの一例。
【図１４】各実施形態における攻撃対象サーバ１０、攻撃検知装置２０、中継装置Ａ３０、システム管理装置４０、ネットワーク５０、攻撃指示装置６０、中継装置Ｂ７０〜７１、特徴抽出装置８０〜８１、攻撃装置９０〜９２、正規装置１００として使用する情報処理装置の一構成図。
【符号の説明】
０１…攻撃対象ネットワーク、１０…攻撃対象サーバ、２０…攻撃検知装置、３０…中継装置Ａ、４０…システム管理装置、５０…ネットワーク、６０…攻撃指示装置、７０〜７１…中継装置Ｂ、８０〜８１…特徴抽出装置、９０〜９２…攻撃装置、１００…正規装置、２０００…アクセス要求、２００１…ヘッダ部、２００２…ボディ部、２００３…特徴値フィールド、１０００…情報処理装置、１００１…ＣＰＵ、１００２…メモリ、１００３…読取装置、１００４…通信装置、１００５…外部記憶装置、１００６…入出力装置、１００７…内部通信線、１００８…記憶媒体。
Claims (10)
- 攻撃対象サーバに対する分散型サービス不能攻撃を防ぐネットワークシステムであって、
受信した前記攻撃対象サーバへのアクセス要求に含まれるデータの一部を、所定のアルゴリズムを用いて数値もしくは文字列に変換して特徴値を算出し、該特徴値を前記アクセス要求に添付して転送する特徴抽出装置と、
前記特徴抽出装置から転送されてきた、前記特徴値付アクセス要求を受信し、前記アクセス要求に添付された前記特徴値を基に、同じ特徴値を持つアクセス要求による前記攻撃対象サーバへのアクセス頻度を調べ、前記アクセス頻度から前記特徴値を備えたアクセス要求を攻撃と判断して、遮断する指示を送出する、ネットワークシステム上前記特徴抽出装置の後段に配置される攻撃検知装置と、
前記攻撃検知装置から送出された前記遮断指示を受信して、前記攻撃対象サーバへの前記特徴値を持つアクセス要求の転送を行わない攻撃遮断装置と、
を有することを特徴とするネットワークシステム。 - 請求項１に記載のネットワークシステムであって、
前記特徴抽出装置及び前記攻撃検知装置は、該アクセス要求先のＵＲＬ情報と、該アクセス要求毎に該アクセス要求の該特徴値のヘッダに格納されているボディ部の特徴値と、該アクセス要求先のＵＲＬとデータ特徴値の組が同じであるアクセス要求を受信する頻度の値とを、各エントリに保管するデータベースを有し、
前記特徴抽出装置及び前記攻撃検知装置は、新しいアクセス要求を受信すると、それぞれ該データベースを検索して、一致するエントリがあれば、該頻度の値を更新し、一致しなければ該ＵＲＬ情報と該特徴値を保管する新たなエントリを作成する。 - 請求項１又は２に記載のネットワークシステムであって、
前記特徴抽出装置は、前記攻撃遮断指示を受信すると、前記特徴値を備えたアクセス要求の送信元に対して、アクセス規制メッセージを送信する。 - 請求項２に記載のネットワークシステムであって、
前記攻撃検知装置は、前記特徴値付アクセス要求を受信した時、該特徴値と同一の特徴値を持つアクセス要求について前記データベースを検索して、該該データベースに記憶された前記攻撃対象サーバへのアクセス頻度と予め設定された閾値とを比較して、該アクセス頻度が該閾値よりも大きい場合前記攻撃対象サーバへの不正アクセスと判断する。 - 請求項４に記載のネットワークシステムであって、
前記攻撃検知装置は、前記攻撃対象サーバへの攻撃を検知すると、前記特徴抽出装置に対し、前記特徴値を備えるアクセス要求の転送を行わないよう指示する攻撃遮断指示を送信する。 - 請求項１乃至５のいずれかの請求項に記載のネットワークシステムであって、
前記特徴抽出装置は、前記アクセス要求の該特徴値を算出する場合、前記アクセス要求のＨＴＴＰのボディ部に格納されているデータの、先頭のあらかじめ決められたバイト数分のデータにハッシュ関数を作用させてハッシュ値を算出し、該ハッシュ値を特徴値として用いる。 - 請求項１又は２に記載のネットワークシステムであって、
前記攻撃検知装置は、前記攻撃が終了したと判断した時に行う攻撃遮断終了処理として、前記特徴抽出装置に対して、攻撃遮断終了指示を送信し、前記特徴抽出装置は、前記攻撃遮断終了指示を受信したら、前記攻撃遮断終了処理を実行する。 - 請求項１又は２に記載のネットワークシステムであって、
さらに、前記ネットワークシステムを管理するシステム管理装置を備え、前記特徴抽出装置は、前記特徴値付きアクセス要求を前記システム管理装置へ転送し、
前記システム管理装置は、前記特徴抽出装置から転送されてきた、前記特徴値付きアクセス要求に付加された該特徴値に基づき、同一の特徴値を持つアクセス要求による、前記攻撃対象サーバへのアクセス頻度を調べ、
前記アクセス頻度から前記攻撃対象サーバへの攻撃を検知し、
前記攻撃検知装置および前記特徴抽出装置に対して、前記攻撃遮断指示を送信する。 - ネットワークシステムにおいて攻撃対象サーバに対する分散型サービス不能攻撃を防ぐ防御方法であって、
ネットワークシステム上に配置される特徴抽出装置において、受信した前記攻撃対象サーバへのアクセス要求に含まれるデータの一部を、所定のアルゴリズムを用いて数値もしくは文字列に変換して特徴値を算出し、該特徴値を前記アクセス要求に添付して転送するステップと、
前記特徴抽出装置から送られる、該アクセス要求先のＵＲＬ情報と、該アクセス要求毎に該アクセス要求の該特徴値のヘッダに格納されているボディ部の特徴値と、該アクセス要求先のＵＲＬとデータ特徴値の組が同じであるアクセス要求を受信する頻度の値とを、エントリ毎にデータベースに保管して管理するステップと、
前記特徴抽出装置が新しいアクセス要求を受信すると、該データベースを検索して、一致するエントリがあれば、該頻度の値を更新し、一致しなければ該ＵＲＬ情報と該特徴値を保管する新たなエントリを作成するステップと、
ネットワークシステム上前記特徴抽出装置の後段に配置される攻撃検知装置において、前記特徴抽出装置から転送された前記特徴値付アクセス要求を受信し、前記アクセス要求に添付された前記特徴値と同一の特徴値を持つアクセス要求に関して、前記データベースを検索して、前記攻撃対象サーバに対する該アクセス要求の該頻度の値に基づいて前記攻撃対象サーバへの攻撃と判断して、前記特徴値を備えたアクセス要求の遮断指示を送出するステップと、
ネットワークシステム上前記攻撃検知装置に接続される攻撃遮断装置において、前記攻撃検知装置からの前記遮断指示を受信して、前記攻撃対象サーバへの前記特徴値を備えたアクセス要求の転送を行わないステップと、を有することを特徴とする防御方法。 - ネットワークシステムにおいて攻撃対象サーバに対する分散型サービス不能攻撃を防ぐ防御方法であって、
ネットワークシステム上に配置される特徴抽出装置において、受信した前記攻撃対象サーバに対するアクセス要求のＨＴＴＰのボディ部に格納されているデータの予め決められたバイト数分のデータにハッシュ関数を作用させてハッシュ値を算出し、該ハッシュ値を特徴値として前記アクセス要求に添付して転送するステップと、
前記特徴抽出装置から転送される、前記アクセス要求先のＵＲＬ情報と、前記アクセス要求の該特徴値をデータベースに保管して管理するステップと、
ネットワークシステム上前記特徴抽出装置の後段に配置される攻撃検知装置において、前記特徴抽出装置から転送される前記アクセス要求を受信した時、前記データベースを参照し、前記アクセス要求に添付された前記特徴値と同一の特徴値を持つアクセス要求に関して、前記攻撃対象サーバに対する攻撃を判断して、前記特徴値と同じ特徴値を持つアクセス要求の遮断指示を送出するステップと、
ネットワークシステム上前記攻撃検知装置に接続される攻撃遮断装置において、前記攻撃検知装置からの前記遮断指示を受信して、前記攻撃対象サーバに対する前記特徴値を持つアクセス要求の転送を遮断するステップと、を有することを特徴とする防御方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003115182A JP4116920B2 (ja) | 2003-04-21 | 2003-04-21 | 分散型サービス不能攻撃を防ぐネットワークシステム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003115182A JP4116920B2 (ja) | 2003-04-21 | 2003-04-21 | 分散型サービス不能攻撃を防ぐネットワークシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004318742A JP2004318742A (ja) | 2004-11-11 |
| JP4116920B2 true JP4116920B2 (ja) | 2008-07-09 |
Family
ID=33474455
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003115182A Expired - Fee Related JP4116920B2 (ja) | 2003-04-21 | 2003-04-21 | 分散型サービス不能攻撃を防ぐネットワークシステム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4116920B2 (ja) |
Families Citing this family (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20060282525A1 (en) * | 2005-06-10 | 2006-12-14 | Giles James R | Method and apparatus for delegating responses to conditions in computing systems |
| JP5035006B2 (ja) * | 2007-07-25 | 2012-09-26 | 富士通株式会社 | 通信装置の制御方法及び通信装置 |
| CN101674293B (zh) * | 2008-09-11 | 2013-04-03 | 阿里巴巴集团控股有限公司 | 一种分布式应用中处理非正常请求的方法及系统 |
| US10021119B2 (en) * | 2015-02-06 | 2018-07-10 | Honeywell International Inc. | Apparatus and method for automatic handling of cyber-security risk events |
| JP6623903B2 (ja) * | 2016-03-30 | 2019-12-25 | 富士通株式会社 | 受信制御システム、受信制御プログラム及び受信制御方法 |
| DE102016222740A1 (de) * | 2016-11-18 | 2018-05-24 | Continental Automotive Gmbh | Verfahren für ein Kommunikationsnetzwerk und elektronische Kontrolleinheit |
| JP7403414B2 (ja) | 2020-08-18 | 2023-12-22 | 株式会社日立製作所 | 通信中継装置および通信中継方法 |
| CN112351031B (zh) * | 2020-11-05 | 2023-05-05 | 中国电子信息产业集团有限公司 | 攻击行为画像的生成方法、装置、电子设备和存储介质 |
-
2003
- 2003-04-21 JP JP2003115182A patent/JP4116920B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004318742A (ja) | 2004-11-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7188366B2 (en) | Distributed denial of service attack defense method and device | |
| JP4905395B2 (ja) | 通信監視装置、通信監視プログラム、および通信監視方法 | |
| US7958549B2 (en) | Attack defending system and attack defending method | |
| KR101263329B1 (ko) | 네트워크 공격 방어 장치 및 방법, 이를 포함한 패킷 송수신 처리 장치 및 방법 | |
| US8561188B1 (en) | Command and control channel detection with query string signature | |
| US20060230456A1 (en) | Methods and apparatus to maintain telecommunication system integrity | |
| EP2482497B1 (en) | Data forwarding method, data processing method, system and device thereof | |
| KR20110089179A (ko) | 네트워크 침입 방지 | |
| JP2005506736A (ja) | パケットネットワークのルータ内のノードセキュリティを提供するための方法及び装置。 | |
| JP2012522295A (ja) | フィルタリング方法、システムおよびネットワーク機器 | |
| CN110166480B (zh) | 一种数据包的分析方法及装置 | |
| US11838319B2 (en) | Hardware acceleration device for denial-of-service attack identification and mitigation | |
| KR101045331B1 (ko) | 네트워크 기반의 ｉｒｃ 및 ｈｔｔｐ 봇넷 행위 분석 방법 | |
| JP4116920B2 (ja) | 分散型サービス不能攻撃を防ぐネットワークシステム | |
| JP2007325293A (ja) | 攻撃検知システムおよび攻撃検知方法 | |
| JP2006067605A (ja) | 攻撃検知装置および攻撃検知方法 | |
| CN112350939B (zh) | 旁路阻断方法、系统、装置、计算机设备及存储介质 | |
| CN111031077B (zh) | 一种流量清洗方法、流量清洗系统和设备 | |
| CN114745142A (zh) | 一种异常流量处理方法、装置、计算机设备及存储介质 | |
| CN110198290A (zh) | 一种信息处理方法、设备、装置及存储介质 | |
| JP2004328307A (ja) | 攻撃防御システム、攻撃防御制御サーバおよび攻撃防御方法 | |
| JP5925287B1 (ja) | 情報処理装置、方法およびプログラム | |
| JP7206980B2 (ja) | 通信制御装置、通信制御方法及び通信制御プログラム | |
| JP2002164938A (ja) | 分散型サービス不能攻撃の防止方法および装置ならびにそのコンピュータプログラム | |
| JP5456636B2 (ja) | ファイル収集監視方法、ファイル収集監視装置及びファイル収集監視プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050916 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20051214 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20060523 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070911 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071112 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071225 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080225 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080325 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080418 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110425 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110425 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120425 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120425 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130425 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130425 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140425 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |