JP4170301B2

JP4170301B2 - ＤｏＳ攻撃検出方法、ＤｏＳ攻撃検出システム、およびＤｏＳ攻撃検出プログラム

Info

Publication number: JP4170301B2
Application number: JP2005047888A
Authority: JP
Inventors: 尚宏寺山; 聖古川; 隆茂林
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-02-23
Filing date: 2005-02-23
Publication date: 2008-10-22
Anticipated expiration: 2025-02-23
Also published as: JP2006237892A

Description

本発明は、ＤｏＳ攻撃を検出する技術に関する。

不正なデータを送信してコンピュータ装置を使用不能に陥らせるＤｏＳ（Denial of Services）攻撃に対し、さまざまなＤｏＳ攻撃検出方法が提案されている。例えば、特許文献１では、単位時間当たりに受信したパケット数に基づいてＤｏＳ攻撃を検知する方法が記載されている。
特開２００４−１４０５２４

ところで、特定の端末から大量の信号（パケット、メッセージ、データなど）が送信される場合であっても、ＤｏＳ攻撃に該当しない場合がある。具体的には、サービスの仕様上、端末が大量の信号を送信すること（例えば、多数の宛先端末に対する同報送信など）が許容される場合がある。このような場合、信号数に基づいてＤｏＳ攻撃を検出する方法（例えば、特許文献１）では、ＤｏＳ攻撃に該当しない正規な信号の大量送信を、ＤｏＳ攻撃と誤って認識する危険性がある。

また、特定の端末から送信される信号が少ない場合であっても、ＤｏＳ攻撃に該当する場合がある。具体的には、サービスの仕様上、１つの信号の中に多数の処理内容（例えば、多数の宛先端末に対するデータ送信処理など）を設定することが許容される場合がある。このような信号については、信号数自体は少ない場合であっても、信号の中に含まれる処理内容によってはＤｏＳ攻撃に該当する場合がある。そのため、信号数に基づいてＤｏＳ攻撃を検出する方法では、このような信号に対するＤｏＳ攻撃の検出は困難である。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、サービスの仕様に応じて、より高い精度でＤｏＳ攻撃の検出を行うことにある。

上記課題を解決するために、例えば、第１の発明では、情報処理装置が行うＤｏＳ攻撃検出方法であって、情報処理装置は、発信元端末毎に第１の監視期間内に受信した信号の数をカウントする第１の計測ステップと、前記カウントした発信元端末毎の各信号数が、第１の閾値を超えるか否かを判別する第１の判別ステップと、所定の発信元端末の信号数が前記第１の閾値を超えた場合、第２の監視期間内に当該発信元端末から受信した信号の中から、重複する処理内容の信号数を処理内容毎にカウントする第２の計測ステップと、前記カウントした重複する処理内容の信号数が、第２の閾値を超えるか否かを判別する第２の判別ステップと、前記重複する処理内容の信号数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を行う。

また、第２の発明は、情報処理装置が行うＤｏＳ攻撃検出方法であって、情報処理装置は、第１の監視期間内に受信した信号各々に含まれる複数の処理内容の数を、カウントする第１の計測ステップと、前記カウントした処理内容の数が第１の閾値を超えるか否かを判別する第１の判別ステップと、前記カウントした処理内容の数が第１の閾値を超えた場合、処理内容毎に重複数をカウントする第２の計測ステップと、第２の計測ステップでカウントした前記処理内容毎の重複数のいずれかの値が、第２の閾値を超えるか否かを判別する第２の判別ステップと、前記いずれかの処理内容の重複数が第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を行う。

また、第３の発明は、情報処理装置が行うＤｏＳ攻撃検出方法であって、情報処理装置に送信される信号には、複数の処理内容が含まれ、情報処理装置は、所定の監視期間内に受信した各信号に含まれる複数の処理内容各々について、当該処理内容がエラーか否かを判別するエラー判別ステップと、前記エラー判別ステップで、エラーと判別した処理内容の数をカウントする計測ステップと、前記カウントしたエラーの処理内容の数が、所定の閾値を超えるか否かを判別する閾値判別ステップと、前記エラーの処理内容の数が前記閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を行う。

本発明により、サービスの仕様に応じて、ＤｏＳ攻撃の誤検出を防止し、より高い精度でＤｏＳ攻撃を検出することができる。

以下、本発明の実施の形態について説明する。

図１は、本発明の一実施形態が適用されたシステムの全体構成図である。

本実施形態のシステムでは、少なくとも１つの端末１と、サービス制御サーバ２と、付属サーバ３とが、インターネットなどのネットワーク９により接続されている。なお、ネットワーク９は、図示しないエッジルータや中継ルータを有するものとする。

サービス制御サーバ２は、各端末１に提供するサービスの制御を行う。そして、サービス制御サーバ２は、ＤｏＳ攻撃の検出処理などを行う処理部２１と、端末１から受信した信号等をカウントする各種のカウンタ２２と、記憶部２３とを有する。記憶部２３には、対象外装置リスト２４と、信号種別テーブル２５と、端末登録リスト２６と、が記憶されている。

対象外装置リスト２４は、ＤｏＳ攻撃の検出対象外の装置の一覧である。例えば、付属サーバ３や特定の端末１については、大量の信号をサービス制御サーバ２に送信することがサービスの仕様上不可欠な場合がある。このような装置については、ＤｏＳ攻撃の検出対象外とするために、あらかじめ対象外装置リスト２４に登録する。なお、対象外装置リスト２４には、対象外とする各装置の識別情報（例えば、ＩＰアドレス）が設定されるものとする。

信号種別テーブル２５は、サービス制御信号の種別に応じたＤｏＳ攻撃の検出方法が設定されたテーブルである。なお、信号種別テーブル２５については後述する。端末登録リスト２６には、サービス制御サーバ２のサービス提供を受けることができる端末１の識別情報（例えば、ＩＰアドレス）が設定されている。付属サーバ３は、サービス制御サーバ２の制御の基づいて、端末１にサービスを提供する。

なお、本実施形態では、サービス制御サーバ２のサービス制御処理は、端末１がサービス制御信号を送信することにより始まる。サービス制御信号は、パケットやメッセージなどであって、端末１からサービス制御サーバ２にサービスの要求、通知、ファイル転送（音声・画像などのメディアやファイルの転送）などを行うためのデータである。また、サービス制御信号には、後述する信号種別、発信元端末の識別情報（例えば、ＩＰアドレス）、宛先端末の識別情報（例えば、ＩＰアドレス）などが含まれているものとする。

本実施形態では、サービスの種類に応じて、サービス制御信号ＡからＥの５種類のサービス制御信号があるものとする。

サービス制御信号Ａ（以下、「信号Ａ」）およびサービス制御信号Ｄ（「以下、信号Ｄ」）は、サービスの仕様上、１つのサービス制御信号内に１つの処理内容しか含めることができないものとする。また、信号Ａおよび信号Ｄは、サービスの仕様上、一斉に複数の信号を送信する一斉送信（同報送信）は禁止（不正行為）されているものとする。

処理内容は、サービス制御サーバ２が端末１に対して行うサービス制御の最小単位である。処理内容の例としては、１つの宛先端末への通信処理、１つのコンテンツのダウンロード処理、１つの端末の状態通知受信処理などが考えられる。なお、本実施形態では、処理内容として、１つの宛先端末への通信処理を用いることとし、処理内容が同一か否かを識別するために宛先端末の識別情報を用いるものとする。

サービス制御信号Ｂ（以下、「信号Ｂ」）およびサービス制御信号Ｅ（「以下、信号Ｅ」）は、サービスの仕様上、１つのサービス制御信号内に１つの処理内容しか含めることができないものとする。また、信号Ｂおよび信号Ｅは、サービスの仕様上、複数の異なる処理内容の信号を一斉送信することは許容されているが、同一の処理内容の信号または不正な処理内容の信号を大量に一斉送信することは禁止されているものとする。すなわち、本実施形態の場合、信号Ｂおよび信号Ｅでは、異なる複数の宛先端末に対する一斉送信は許容されていが、同一の宛先端末に対する一斉送信については禁止（不正行為と）されているものとする。また、不正な宛先端末に対する一斉送信についても、禁止されているものとする。

サービス制御信号Ｃ（以下、「信号Ｃ」）は、サービスの仕様上、１つの信号内に複数の処理内容を含めることができるが、１つの信号内に大量に重複した処理内容、または、大量の不正な処理内容を含めることは禁止されているものとする。すなわち、本実施形態の場合、信号Ｃでは、異なる複数の宛先端末に対する操作指示を含めることができるが、同一の宛先端末または不正な宛先端末に対する大量の操作指示を含めることは禁止されているものとする。

次に、記憶部２３に記憶された信号種別テーブル２５について説明する。信号種別テーブル２５は、サービス制御信号の種別に応じたＤｏＳ攻撃の検出方法が設定されたテーブルである。

図２は、信号種別テーブル２５の一例を示した図である。信号種別テーブル２５は、図示するように、信号種別２０１と、ＤｏＳ攻撃の検出方法２０２と、第１の監視期間２０３と、第１の閾値２０４と、第２の監視期間２０５と、第２の閾値２０６と、第３の監視期間２０７と、第３の閾値２０８とを有する。図示する例では、信号Ａと信号Ｄは、ともに「パターンａ」の検出方法２０２を用いてＤｏＳ攻撃の検出を行う。しかしながら、信号Ａと信号Ｄとでは、第１の監視期間２０３（「Ｔ１」と「Ｔ２」）、および、第１の閾値２０４（「Ｓ１」と「Ｓ２」）がそれぞれ異なる。なお、信号種別テーブル２５の各項目については、後述するＤｏＳ検出処理で説明する。

上記説明した、端末１、サービス制御サーバ２および付属サーバ３は、いずれも、例えば図３に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、他の装置と接続するための通信制御装置９０６と、これらの各装置を接続するバス９０７と、を備えた汎用的なコンピュータシステムを用いることができる。

このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。例えば、端末１、サービス制御サーバ２、および、付属サーバ３の各機能は、端末１用のプログラムの場合は端末１のＣＰＵ９０１が、サービス制御サーバ２用のプログラムの場合はサービス制御サーバ２のＣＰＵ９０１が、そして、付属サーバ３用のプログラムの場合は付属サーバ３のＣＰＵ９０１が、それぞれ実行することにより実現される。なお、サービス制御サーバ２の記憶部２３には、サービス制御サーバ２のメモリ９０２または外部記憶装置９０３が用いられる。また、外部記憶装置９０３、入力装置９０４および出力装置９０５は、各装置が必要に応じて備えるものとする。

次に、サービス制御サーバ２におけるＤｏＳ攻撃の検知処理について説明する。
図４は、ＤｏＳ攻撃検出処理の全体処理フロー図である。まず、サービス制御サーバ２の処理部２１は、端末１から送信されたサービス制御信号（以下、「信号」）を受信し、信号のフォーマットが正常であるか否かを判別する（Ｓ１１）。フォーマットが不正な場合（Ｓ１１：ＮＯ）、処理部２１は、受信した信号のヘッダ情報を解析して、当該信号の発信元端末（発信元ＩＰアドレス）を特定する。

そして、不正フォーマットカウンタは、特定の発信元端末から所定の監視時間内に受信した不正なフォーマットの信号数をカウントする。すなわち、不正フォーマットカウンタは、記憶部２３の不正フォーマット用監視テーブル（不図示）を参照し、特定した発信端末から受信した不正なフォーマットの信号数をカウントアップする。なお、不正フォーマット用監視テーブルに特定した発信端末が存在しない場合は、不正フォーマット用監視テーブルに当該発信端末を新規に追加し、現時点から所定の監視時間内に受信する不正なフォーマットの信号数を監視する。また、不正フォーマットカウンタは、所定の監視時間が満了すると、不正フォーマット用監視テーブルから監視時間が満了した発信端末を削除（または、信号数をゼロクリア）する。そして、処理部２１は、不正フォーマットカウンタがカウントした信号数が、所定の閾値を超えているか否かを判別する（Ｓ１２）。

不正なフォーマットの信号数が閾値より小さい場合（Ｓ１２：ＮＯ）、処理部２１は、ＤｏＳ攻撃とみなさず、Ｓ１１で受信した信号を廃棄、または、発信元端末にエラーレスポンスを送信する（Ｓ１３）。一方、不正なフォーマットの信号数が閾値を超える場合（Ｓ１２：ＹＥＳ）、処理部２１は、ＤｏＳ攻撃と判別し、発信元端末に対しＤｏＳ攻撃に対する規制処理を行う（Ｓ１４）。なお、ＤｏＳ攻撃に対する規制処理としては、例えば、発信元端末から送信された信号を全て廃棄することにより、サービス制御サーバ２へのＤｏＳ攻撃の被害を防止することなどが考えられる。また、システム保守者にＤｏＳ攻撃を検出したことを通知するために、出力装置に発信元端末に関する情報（ＩＰアドレスなど）を含むアラームメッセージを出力することが考えられる。

また、ＤｏＳ攻撃の規制処理の解除については、所定の時間が経過した後に規制を解除する時限解除と、システム保守者が投入する解除コマンドによる手動解除との２つの方法が考えられる。ネットワークを運用する事業者のセキュリティ方針により、どちらの方法を選択することとしてもよい。例えば、２４時間連続して稼動しているサーバの場合や、ＤｏＳ攻撃の解除を行う発信元端末の数が多い場合、手動解除の方法ではシステム保守者の作業負荷が大きい。そのため、デフォルトは時限解除とし、時限解除までにＤｏＳ攻撃が明らかに収束している場合に限って手動解除を併用する方法が考えられる。

一方、信号のフォーマットが正常な場合（Ｓ１１：ＹＥＳ）、処理部２１は、信号のヘッダ情報を解析して、当該信号の発信元端末（発信元ＩＰアドレス）を特定する。そして、処理部２１は、特定した発信元端末がＤｏＳ攻撃の検出対象か否かを判別する（Ｓ１５）。すなわち、処理部２１は、発信元装置の発信元ＩＰアドレスが、記憶部２３の対象外装置リスト２４に存在するか否かを判別する。

発信元装置が検出対象外の場合、すなわち、対象外装置リスト２４に存在する場合（Ｓ１５：ＮＯ）、処理部２１は、Ｓ１１で受信した信号はＤｏＳ攻撃ではないと判別し、当該信号に設定された正常な処理を行う（Ｓ１６）。例えば、処理部２１は、付属サーバ３を用いて、所定のサービスを端末に提供する。

また、発信元装置が検出対象の場合、すなわち、対象外装置リスト２４に存在しない場合（Ｓ１５：ＹＥＳ）、処理部２１は、Ｓ１１で受信した信号に含まれる信号種別を特定する。そして、処理部２１は、記憶部２３の信号種別テーブル２５（図２参照）を参照し、特定した信号に対応する検出方法（検出パターン）の処理に振り分ける（Ｓ１７）。なお、図示する例では、処理部２１は、信号Ａおよび信号Ｄの場合はパターンａ（Ｓ１８）、信号Ｂおよび信号Ｅの場合はパターンｂ（Ｓ１９）、信号Ｃの場合はパターンｃ（Ｓ２０）に振り分ける。

次に、パターンａ、パターンｂ、パターンｃの処理について、それぞれ説明する。

図５は、パターンａ（図３のＳ１８：信号Ａまたは信号Ｄの場合）のＤｏＳ攻撃検出処理フロー図である。まず、処理部２１は、Ｓ１１で受信した信号のパラメータが正常か否かを判別する（Ｓ３１）。受信した信号のパラメータが不正な場合（Ｓ３１：ＮＯ）、不正パラメータカウンタは、発信元端末から所定の監視時間内に受信した不正なパラメータの信号数をカウントする。なお、不正パラメータカウンタは、前述の不正フォーマットカウンタ（図４：Ｓ１２）と同様の処理により、記憶部２３の不正パラメータ用監視テーブル（不図示）を参照し、特定した発信元端末から受信した不正なパラメータの信号数をカウントアップする。なお、このような不正なパラメータの信号数をカウントする方法の他に、後述するＳ３３においてサービス制御サーバ２が送信するエラーレスポンスの信号数をカウントすることとしてもよい。そして、処理部２１は、不正パラメータカウンタがカウントした信号数が、所定の閾値を超えているか否かを判別する（Ｓ３２）。

なお、パラメータが不正な場合としては、例えば、記憶部２３の端末登録リスト２６に記憶されていない宛先端末が設定されている場合、または、発信元端末の認証が必要なサービスにおいて発信元端末のパスワードと異なるパスワードが設定されている場合、などが考えられる。

不正なパラメータの信号数が閾値より小さい場合（Ｓ３２：ＮＯ）、処理部２１は、ＤｏＳ攻撃と判別せず、発信元端末にエラーレスポンスを送信する（Ｓ３３）。一方、不正なパラメータの信号数が閾値を超える場合（Ｓ３２：ＹＥＳ）、処理部２１は、ＤｏＳ攻撃と判別し、発信元端末に対して図４のＳ１４と同様の規制処理（信号の廃棄等）を行う（Ｓ３４）。

一方、信号のパラメータが正常な場合（Ｓ３１：ＹＥＳ）、信号数カウンタは、発信元端末から所定の監視時間内に受信した正常な信号数をカウントする。なお、信号数カウンタは、Ｓ１１で受信した信号の信号種別（信号Ａまたは信号Ｄ）に応じて、信号種別テーブル２５（図２参照）に設定されたの第１の監視期間２０３内に受信した正常な信号数をカウントする。なお、信号数カウンタは、前述の不正フォーマットカウンタ（図４：Ｓ１２）と同様の処理により、正常な信号数をカウントアップする。

そして、処理部２１は、信号数カウンタがカウントした正常な信号数が、信号種別テーブル２５（図２参照）の第１の閾値２０４を超えているか否かを判別する（Ｓ３５）。例えば、Ｓ１１で受信した信号が「信号Ａ」の場合、信号数カウンタは、第１の監視期間２０３「Ｔ１」の間に発信元端末から受信した正常な信号数をカウントする。そして、処理部２１は、正常な信号数が第１の閾値２０４「Ｓ１」を超えるか否かを判別する。

正常な信号数が閾値より小さい場合（Ｓ３５：ＮＯ）、処理部２１は、Ｓ１１で受信した信号がＤｏＳ攻撃ではないと判別し、当該信号に設定された正常な処理を行う（Ｓ３６）。一方、正常な信号数が閾値を超える場合（Ｓ３５：ＹＥＳ）、処理部２１は、ＤｏＳ攻撃と判別し、発信元端末に対して図４のＳ１４と同様の規制処理（信号の廃棄等）を行う（Ｓ３７）。

図６は、パターンｂ（図３のＳ１９：信号Ｂまたは信号Ｅの場合）のＤｏＳ攻撃検出処理フロー図である。まず、処理部２１は、図５で説明したＳ３１と同様に、Ｓ１１で受信した信号のパラメータが正常か否かを判別する（Ｓ４１）。パラメータが不正な場合（Ｓ４１：ＮＯ）、処理部２１は、図５のＳ３２からＳ３４と同様の処理を行う（Ｓ４２〜Ｓ４４）。

一方、パラメータが正常な場合（Ｓ４１：ＹＥＳ）、図３のＳ３５と同様の処理を行う（Ｓ４５）。例えば、Ｓ１１で受信した信号が「信号Ｂ」の場合、信号数カウンタは、第１の監視期間２０３「Ｔ１」の間に発信元端末から受信した正常な信号数をカウントする。そして、処理部２１は、正常な信号数が第１の閾値２０４「Ｓ１」を超えるか否かを判別する。

正常な信号数が閾値より小さい場合（Ｓ４５：ＮＯ）、処理部２１は、Ｓ１１で受信した信号はＤｏＳ攻撃ではないと判別し、当該信号に設定された正常な処理を行う（Ｓ４６）。一方、正常な信号数が閾値を超える場合（Ｓ４５：ＹＥＳ）、処理部２１は、Ｓ１１で受信した当該発信元端末からの信号を対象に、処理内容が重複しているか否か（すなわち、処理内容が同じか否か）をチェックする。そして、当該発信元端末の処理内容毎に異なる処理内容カウンタは、発信元端末から所定の監視時間内に受信した正常な信号の中から、同一処理内容の信号数をカウントする。なお、所定の監視時間は、Ｓ１１で受信した信号の信号種別（信号Ｂまたは信号Ｅ）に応じて、信号種別テーブル２５に設定されたの第２の監視期間２０５「Ｔ４」または「Ｔ６」である。なお、処理内容カウンタは、前述の不正フォーマットカウンタ（図４：Ｓ１２）と同様の処理により、同一処理内容の信号数をカウントアップする。

そして、処理部２１は、信号種別テーブル２５を参照し、Ｓ１１で受信した信号種別に対応する第２の閾値２０６を取得する。そして、処理部２１は、処理内容カウンタがカウントした同一処理内容の信号数が、取得した第２の閾値２０６を超えているか否かを判別する（Ｓ４７）。

なお、本実施形態では、特定発信元端末からの処理内容が同一か否かを識別するために宛先端末を用いている。そのため、処理内容カウンタは、Ｓ１１で受信した信号に設定された宛先端末と同一の宛先端末に対する信号数をカウントする。そして、処理部２１は、同一宛先端末に対する信号数が閾値を超えているか否かを判別する。

同一処理内容の信号数が閾値より小さい場合（Ｓ４７：ＮＯ）、処理部２１は、Ｓ１１で受信した信号はＤｏＳ攻撃ではないと判別し、当該信号に設定された正常な処理を行う（Ｓ４８）。一方、同一処理内容の信号数が閾値を超える場合（Ｓ４７：ＹＥＳ）、処理部２１は、ＤｏＳ攻撃と判別し、発信元端末に対して図４のＳ１４と同様の規制処理（信号の廃棄等）を行う（Ｓ４９）。

図６に示すＤｏＳ攻撃検出処理により、端末からの一斉送信（例えば、同報送信）が可能なサービスにおいて、異なる複数の宛先端末への一斉送信はＤｏＳ攻撃と判別せず、同一の宛先端末に対する大量の一斉送信のみをＤｏＳ攻撃として検出することができる。

図７は、パターンｃ（図３のＳ２０：信号Ｃの場合）のＤｏＳ攻撃検出処理フロー図である。まず、処理部２１は、Ｓ１１で受信した信号に含まれる処理内容のパラメータが正常か否かを判別する（Ｓ５１）。いずれかのパラメータが不正な場合（Ｓ５１：ＮＯ）、不正パラメータカウンタは、発信元端末から所定の監視時間内に受信した不正パラメータを有する信号の中から、不正パラメータを含む処理内容の数をカウントする。なお、所定の監視時間は、Ｓ１１で受信した信号の信号種別（信号Ｃ）に応じて、信号種別テーブル２５に設定されたの第３の監視期間２０７「Ｔ７」である。なお、不正パラメータカウンタは、前述の不正フォーマットカウンタ（図４：Ｓ１２）と同様の処理により、不正パラメータの処理内容の数をカウントアップする。

そして、処理部２１は、不正パラメータカウンタがカウントした処理内容の数が、信号種別テーブル２５の第３の閾値２０８を超えているか否かを判別する（Ｓ５２）。なお、本実施形態では、処理内容の同一性を識別するために宛先端末を用いている。したがって、信号Ｃは、１つの信号に複数の宛先端末を設定することができる。そのため、処理部２１は、例えば、信号の中に、端末登録リスト２６に設定されていない不正な宛先端末が１つでも設定されている場合、不正な宛先の処理内容数の情報はＳ５２に渡し、正常な処理内容数の情報はＳ５５に渡す。

Ｓ５１では、宛先端末以外のパラメータもチェックし、そのパラメータが宛先端末と関連付けられる場合は正しい宛先であってもその処理内容は不正と判別する（Ｓ５１：ＮＯ）。関連付けられない共通パラメータの不正の場合は、不正な処理内容数を「１」、正当な処理内容数を「０」と判別する。

不正なパラメータの処理内容数が閾値より小さい場合（Ｓ５２：ＮＯ）、処理部２１は、ＤｏＳ攻撃と判別せず、発信元端末に対しエラーレスポンスを送信する（Ｓ５３）。一方、不正なパラメータの処理内容数が閾値を超える場合（Ｓ５２：ＹＥＳ）、処理部２１は、ＤｏＳ攻撃と判別し、発信元端末に対して図４のＳ１４と同様の規制処理（信号の廃棄等）を行う（Ｓ５４）。

一方、受信した信号のパラメータが正常な場合（Ｓ５１：ＹＥＳ）、処理内容カウンタは、発信元端末から所定の監視時間内に受信した正常な信号各々に含まれる処理内容の総数をカウントする。なお、所定の監視時間は、Ｓ１１で受信した信号の信号種別（信号Ｃ）に応じて信号種別テーブル２５に設定されたの第１の監視期間２０３「Ｔ１」である。なお、処理内容カウンタは、前述の不正フォーマットカウンタ（図４：Ｓ１２）と同様の処理により、処理内容の数をカウントアップする。

そして、処理部２１は、カウントした処理内容の数が、信号種別テーブル２５の第１の閾値２０４を超えているか否かを判別する（Ｓ５５）。処理内容数が閾値より小さい場合（Ｓ５５：ＮＯ）、処理部２１は、Ｓ１１で受信した信号はＤｏＳ攻撃ではないと判別し、当該信号に設定された正常な処理を行う（Ｓ５６）。一方、処理内容数が閾値を超える場合（Ｓ５５：ＹＥＳ）、重複数カウンタは、Ｓ５５でカウントした当該発信元端末の正常な処理内容の重複数を、さらにカウントする。なお、本実施形態では、処理内容の同一性を識別するために宛先端末を用いている。そのため、重複数カウンタは、第１の監視期間内に受信した当該発信元端末の正常な信号各々に含まれる各宛先端末の重複数をカウントする。

そして、処理部２１は、いずれかの処理内容の重複数が、信号種別テーブル２５の第２の閾値２０６を超えているか否かを判別する（Ｓ５７）。

全ての処理内容の重複数が閾値より小さい場合（Ｓ５７：ＮＯ）、処理部２１は、Ｓ１１で受信した信号はＤｏＳ攻撃ではないと判別し、当該信号に設定された正常な処理を行う（Ｓ５８）。一方、いずれかの処理内容の重複数が閾値を超える場合（Ｓ５７：ＹＥＳ）、処理部２１は、ＤｏＳ攻撃と判別し、発信元端末に対して図４のＳ１４と同様の規制処理（信号の廃棄等）を行う（Ｓ５９）
図７に示すＤｏＳ攻撃検出処理により、複数の処理内容（例えば、宛先端末）を１つの信号に含めることが可能なサービスにおいて、同一の処理内容（例えば、同一宛先端末または不正な宛先端末）を大量に含む信号によるＤｏＳ攻撃を、検出することができる。

以上、本発明の一実施形態を説明した。

本実施形態では、異なる複数の宛先端末（処理内容）への一斉送信（同報送信）が可能なサービスにおいて（図６参照）、サービス制御サーバ２は、所定の監視時間内に送信された信号数が所定の閾値を超えるか否かを判別し、閾値を超える場合は、さらに当該発信元端末の所定の監視時間内に送信された同一宛先端末への信号数が所定の閾値を超えるか否かを判別する。これにより、サービス制御サーバ２は、通常の異なる複数の宛先端末への一斉送信についてはＤｏＳ攻撃と判別せず、同一の宛先端末に対する大量の一斉送信のみをＤｏＳ攻撃として効率よく検出することができる。

また、本実施形態では、複数の宛先端末（処理内容）を１つの信号に含めることが可能なサービスにおいて（図７参照）、サービス制御サーバ２は、所定の監視時間内に送信された信号各々に含まれる総宛先端末数（総処理内容数）が所定の閾値を超えるか否かを判別し、閾値を超える場合は、さらに当該発信元端末の宛先端末毎の重複数が所定の閾値を超えるか否かを判別する。これにより、サービス制御サーバ２は、同一の宛先端末を大量に含む信号によるＤｏＳ攻撃を、効率よく検出することができる。

また、本実施形態では、複数の宛先端末（処理内容）を１つの信号に含めることが可能なサービスにおいて（図７参照）、サービス制御サーバ２は、所定の監視時間内に送信された信号各々に含まれる不正な宛先端末数（不正な処理内容数）が、所定の閾値を超えるか否かを判別する。これにより、サービス制御サーバ２は、不正な宛先端末を大量に含む信号によるＤｏＳ攻撃を、効率よく検出することができる。

また、本実施形態では、信号種別テーブル２５を用いて、信号種別ごとに、ＤｏＳ攻撃の検出方法（検出パターン）、監視時間、および閾値を設定している。これにより、サービス制御信号の種別に応じて、サービスの特性および仕様に応じた柔軟なＤｏＳ攻撃の検出を行うことができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、本発明は、最近注目されているＳＩＭＰＬＥ（SIP for Instant Messaging and Presence Leveraging Extensions）プロトコルを使用したインスタントメッセージサービスに適用することが考えられる。すなわち、サービス制御信号Ａをインスタントメッセージサービスの提供を受けられるようにプレゼンスサーバに端末を登録するための端末登録要求信号とし、サービス制御信号Ｂを特定の端末のプレゼンス状態を監視可能とする状態監視要求信号、サービス制御信号Ｄをユーザの状態またはアプリケーションなどのプレゼンス状態を変更する状態要求変更信号、サービス制御信号Ｅを特定の端末にメッセージを送信するメッセージング制御信号とした場合、プレゼンスサーバは、本発明を適用してＤｏＳ攻撃の検出を行うことができる。

なお、インスタントメッセージサービスにおいて、従来のＤｏＳ攻撃検出方法では、多数の宛先端末に対する状態監視要求信号、または、メッセージング制御信号の一斉同報は、誤ってＤｏＳ攻撃と判別されてしまう場合があった。しかしなから、本発明を適用することにより、正規の異なる宛先端末への一斉同報については、大量であってもＤｏＳ攻撃とはみなさず正常な処理を行う。一方、同一の宛先端末に対する信号の大量送信、または、不正な宛先端末への信号の大量送信については、ＤｏＳ攻撃と判断する。これにより、サービス仕様と整合性の取れたＤｏＳ攻撃の検出を行うことができる。

本発明の一実施形態が適用されたシステムの全体構成図。信号種別テーブルの一例を示す図。各装置のハードウェア構成例を示す図。ＤｏＳ攻撃検出処理の全体処理フロー図。パターンａのＤｏＳ攻撃検出処理フロー図。パターンｂのＤｏＳ攻撃検出処理フロー図。パターンｃのＤｏＳ攻撃検出処理フロー図。

符号の説明

１：端末、２：サービス制御サーバ、２１：処理部、２２：各種のカウンタ、２３：記憶部、２４：対象外装置リスト、２５：信号種別テーブル、２６：端末登録リスト、３：付属サーバ、９：ネットワーク

Claims

情報処理装置が行うＤｏＳ攻撃検出方法であって、
前記情報処理装置は、
発信元端末毎に、第１の監視期間内に受信した信号の数をカウントする第１の計測ステップと、
前記カウントした発信元端末毎の各信号数が、第１の閾値を超えるか否かを判別する第１の判別ステップと、
所定の発信元端末の信号数が前記第１の閾値を超えた場合、第２の監視期間内に当該発信元端末から受信した信号の中から、重複する処理内容の信号数を処理内容毎にカウントする第２の計測ステップと、
前記カウントした重複する処理内容の信号数が、第２の閾値を超えるか否かを判別する第２の判別ステップと、
前記重複する処理内容の信号数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を行うこと
を特徴とするＤｏＳ攻撃検出方法。
情報処理装置が行うＤｏＳ攻撃検出方法であって、
前記情報処理装置は、
第１の監視期間内に受信した信号各々に含まれる複数の処理内容の数を、カウントする第１の計測ステップと、
前記カウントした処理内容の数が第１の閾値を超えるか否かを判別する第１の判別ステップと、
前記カウントした処理内容の数が前記第１の閾値を超えた場合、処理内容毎に重複数をカウントする第２の計測ステップと、
前記第２の計測ステップでカウントした前記処理内容毎の重複数のいずれかの値が、第２の閾値を超えるか否かを判別する第２の判別ステップと、
前記いずれかの処理内容の重複数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を行うこと
を特徴とするＤｏＳ攻撃検出方法。
情報処理装置が行うＤｏＳ攻撃検出方法であって、
前記情報処理装置に送信される信号には、複数の処理内容が含まれ、
前記情報処理装置は、
所定の監視期間内に受信した各信号に含まれる複数の処理内容各々について、当該処理内容がエラーか否かを判別するエラー判別ステップと、
前記エラー判別ステップで、エラーと判別した処理内容の数をカウントする計測ステップと、
前記カウントしたエラーの処理内容の数が、所定の閾値を超えるか否かを判別する閾値判別ステップと、
前記エラーの処理内容の数が前記閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を行うこと
を特徴とするＤｏＳ攻撃検出方法。
情報処理装置が行うＤｏＳ攻撃検出方法であって、
前記情報処理装置は、
信号の種別を示す信号種別情報毎に、ＤｏＳ攻撃の検出パターンが記憶された信号種別記憶部を、有し、
前記信号種別記憶部を参照して、受信した信号に含まれる信号識別情報に対応する検出パターンを選択する選択ステップと、
前記選択ステップで選択した検出パターンを行い、ＤｏＳ攻撃を検出する検出ステップと、を行い、
前記検出ステップは、第１の検出パターンが選択された場合、
第１の監視期間内に受信した信号の数を、カウントする第１の計測ステップと、
前記カウントした信号数が、第１の閾値を超えるか否かを判別する第１の判別ステップと、
前記カウントした信号数が前記第１の閾値を超えた場合、第２の監視期間内に受信した信号の中から、所定の処理内容の信号数をカウントする第２の計測ステップと、
前記カウントした所定の処理内容の信号数が、第２の閾値を超えるか否かを判別する第２の判別ステップと、
前記カウントした所定の処理内容の信号数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を有し、
前記検出ステップは、第２の検出パターンが選択された場合、
受信した信号に含まれる複数の処理内容各々について、当該処理内容がエラーか否かを判別するエラー判別ステップと、
前記エラー判別ステップで、各処理内容が正常であると判別された信号については、
所定の監視期間内に受信した信号各々に含まれる複数の処理内容の数を、カウントする第３の計測ステップと、
前記カウントした処理内容の数が第３の閾値を超えるか否かを判別する第３の判別ステップと、
前記カウントした処理内容の数が前記第３の閾値を超えた場合、処理内容毎に重複数をカウントする第４の計測ステップと、
前記第４の計測ステップでカウントした前記処理内容毎の重複数のいずれかの値が、第４の閾値を超えるか否かを判別する第４の判別ステップと、
前記いずれかの処理内容の重複数が前記第４の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を有し、
前記エラー判別ステップで、エラーの処理内容を有すると判別された信号については、
所定の監視時間内に受信した信号各々に含まれるエラーの処理内容の数をカウントする計測ステップと、
前記カウントしたエラーの処理内容の数が、所定の閾値を超えるか否かを判別する閾値判別ステップと、
前記エラーの処理内容の数が前記閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を有すること
を特徴とするＤｏＳ攻撃検出方法。
請求項１、請求項２、または、請求項３記載のＤｏＳ攻撃検出方法であって、
前記処理内容には、当該処理内容を識別するための宛先情報が含まれること
を特徴とするＤｏＳ攻撃検出方法。
ＤｏＳ攻撃検出システムであって、
発信元端末毎に、第１の監視期間内に受信した信号の数を、カウントする第１の計測手段と、
前記カウントした発信元端末毎の信号数が第１の閾値を超えるか否かを判別する第１の判別手段と、
所定の発信元端末の信号数が前記第１の閾値を超えた場合、第２の監視期間内に当該発信元端末から受信した信号の中から、重複する処理内容の信号数を処理内容毎にカウントする第２の計測手段と、
前記カウントした重複する処理内容の信号数が、第２の閾値を超えるか否かを判別する第２の判別手段と、
前記重複する処理内容の信号数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別手段と、を有すること
を特徴とするＤｏＳ攻撃検出システム。
ＤｏＳ攻撃検出システムであって、
第１の監視期間内に受信した信号各々に含まれる複数の処理内容の数を、カウントする第１の計測手段と、
前記カウントした処理内容の数が第１の閾値を超えるか否かを判別する第１の判別手段と、
前記カウントした処理内容の数が前記第１の閾値を超えた場合、処理内容毎に重複数をカウントする第２の計測手段と、
前記第２の計測手段がカウントした前記処理内容毎の重複数のいずれかの値が、第２の閾値を超えるか否かを判別する第２の判別手段と、
前記いずれかの処理内容の重複数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別手段と、を有すること
を特徴とするＤｏＳ攻撃検出システム。
ＤｏＳ攻撃検出システムであって、
当該ＤｏＳ攻撃検出システムに送信される信号には、複数の処理内容が含まれ、
所定の監視期間内に受信した各信号に含まれる複数の処理内容各々について、当該処理内容がエラーか否かを判別するエラー判別手段と、
前記エラー判別手段がエラーと判別した処理内容の数をカウントする計測手段と、
前記カウントしたエラーの処理内容の数が、所定の閾値を超えるか否かを判別する閾値判別手段と、
前記エラーの処理内容の数が前記閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別手段と、を有すること
を特徴とするＤｏＳ攻撃検出システム。
情報処理装置が実行するＤｏＳ攻撃検出プログラムであって、
前記情報処理装置に、
発信元端末毎に、第１の監視期間内に受信した信号の数をカウントする第１の計測ステップと、
前記カウントした発信元端末毎の各信号数が、第１の閾値を超えるか否かを判別する第１の判別ステップと、
所定の発信元端末の信号数が前記第１の閾値を超えた場合、第２の監視期間内に当該発信元端末から受信した信号の中から、重複する処理内容の信号数を処理内容毎にカウントする第２の計測ステップと、
前記カウントした重複する処理内容の信号数が、第２の閾値を超えるか否かを判別する第２の判別ステップと、
前記重複する処理内容の信号数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を実行させること
を特徴とするＤｏＳ攻撃検出プログラム。
情報処理装置が実行するＤｏＳ攻撃検出プログラムであって、
前記情報処理装置に、
第１の監視期間内に受信した信号各々に含まれる複数の処理内容の数を、カウントする第１の計測ステップと、
前記カウントした処理内容の数が第１の閾値を超えるか否かを判別する第１の判別ステップと、
前記カウントした処理内容の数が前記第１の閾値を超えた場合、処理内容毎に重複数をカウントする第２の計測ステップと、
前記第２の計測ステップでカウントした前記処理内容毎の重複数のいずれかの値が、第２の閾値を超えるか否かを判別する第２の判別ステップと、
前記いずれかの処理内容の重複数が前記第２の閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を実行させること
を特徴とするＤｏＳ攻撃検出プログラム。
情報処理装置が実行するＤｏＳ攻撃検出プログラムであって、
前記情報処理装置に送信される信号には、複数の処理内容が含まれ、
前記情報処理装置に、
所定の監視期間内に受信した各信号に含まれる複数の処理内容各々について、当該処理内容がエラーか否かを判別するエラー判別ステップと、
前記エラー判別ステップで、エラーと判別した処理内容の数をカウントする計測ステップと、
前記カウントしたエラーの処理内容の数が、所定の閾値を超えるか否かを判別する閾値判別ステップと、
前記エラーの処理内容の数が前記閾値を超えた場合、ＤｏＳ攻撃と判別するＤｏＳ攻撃判別ステップと、を実行させること
を特徴とするＤｏＳ攻撃検出プログラム。