JP4296184B2 - 攻撃検出装置、攻撃検出方法および攻撃検出プログラム - Google Patents

Description

この発明は、ネットワークに接続された端末装置によるネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出装置、攻撃検出方法および攻撃検出プログラムに関し、特に、ネットワーク攻撃を早期に検出することができるとともに攻撃元が不特定多数の場合であっても有用な検出情報を提供することができる攻撃検出装置、攻撃検出方法および攻撃検出プログラムに関する。

近年、インターネット上のサーバが提供するサービスを不正なデータを大量に送信することによって妨害するＤｏＳ（Denial of Services）攻撃が知られている。特に、コンピュータウィルスの一種であるボットに感染した不特定多数の端末による分散ＤｏＳ（Distributed Denial of Service）攻撃が頻繁に起こり問題となっている。

また、ドメイン名解決をおこなうＤＮＳ（Domain Name System）サーバがＤｏＳ攻撃やＤＤｏＳ攻撃の標的となった場合には、ＤＮＳサーバの管理下にあるゾーンのホスト名解決が不可能となってしまうことから、ネットワーク攻撃による影響範囲が非常に大きくなることが懸念されている。

これらのネットワーク攻撃への対策としては、攻撃先と攻撃元端末との間でやり取りされるデータパケットの統計に基づいて攻撃元を検出し、検出した攻撃元ごとに対策をとる手法が一般的である（たとえば、特許文献１参照）。

特開２００５−２２９２３４号公報

しかしながら、特許文献１などの従来技術は、ネットワーク攻撃の標的となったサーバへ大量のパケットが送信されてはじめて攻撃検出をおこなうものであり、攻撃検出を早期におこなうことができないという問題があった。すなわち、上記した従来技術を用いて攻撃を検出したときには、攻撃パケットによって既に通信路があふれているといったことにもなりかねず、攻撃対策が間に合わないおそれがある。

特に、上記したように、ＤＮＳサーバがネットワーク攻撃によって麻痺した場合には攻撃による被害が広範囲に及ぶため、ＤＮＳサーバに対するネットワーク攻撃をいち早く検出することが求められている。

さらに、ネットワーク攻撃の攻撃元を検出する従来の手法は、攻撃元が不特定多数であるＤＤｏＳ攻撃には十分な効果を発揮しないという問題もある。なぜならば、多数の攻撃元をすべて特定することができたとしても、各攻撃元からのパケットを遮断するような対策は事実上困難なためである。

これらのことから、ネットワーク攻撃を早期に検出することができるとともに攻撃元が不特定多数の場合であっても有用な検出情報を提供することができる攻撃検出手法をいかにして実現するかが大きな課題となっている。

この発明は、上述した従来技術による問題点を解決するためになされたものであって、ネットワーク攻撃を早期に検出することができるとともに攻撃元が不特定多数の場合であっても有用な検出情報を提供することができる攻撃検出装置、攻撃検出方法および攻撃検出プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ネットワークに接続された端末装置による前記ネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出装置であって、前記ネットワーク上を流通するＤＮＳクエリ要求に関する統計を取得する統計取得手段と、前記統計取得手段が取得した前記統計に基づいてネットワーク攻撃の有無を判定する攻撃判定手段と、前記攻撃判定手段がネットワーク攻撃であると判定した場合に、当該ネットワーク攻撃の内容をあらわす攻撃情報を所定の攻撃対策装置に対して通知する攻撃通知手段とを備えたことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記統計取得手段は、ドメイン名の解決をおこなうＤＮＳサーバ装置あるいは前記ＤＮＳサーバ装置から取得した情報のキャッシュをおこなうキャッシュサーバ装置を通過するＤＮＳクエリ要求に関して特定のドメインについての統計を取得することを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記統計取得手段は、統計対象となる問合わせ先ドメイン名を任意に指定可能なリストに基づいて前記ＤＮＳクエリ要求に含まれる問い合わせ先ドメイン名ごとのランキングを含んだ統計を取得することを特徴とする。

また、請求項４に係る発明は、上記の発明において、前記統計取得手段は、統計対象となる問合わせ先ドメイン名を構成するサブドメイン名を任意に指定可能なリストに基づいて前記ＤＮＳクエリ要求に含まれる問い合わせ先ドメイン名を構成するサブドメイン名ごとのランキングを含んだ統計を取得することを特徴とする。

また、請求項５に係る発明は、上記の発明において、前記統計取得手段は、前記ＤＮＳクエリ要求に含まれる要求元アドレスごとのランキングを含んだ統計を取得することを特徴とする。

また、請求項６に係る発明は、上記の発明において、前記攻撃判定手段は、前記ＤＮＳクエリ要求の統計値が所定の閾値を上回った回数が所定数に達した場合に、ネットワーク攻撃であると判定することを特徴とする。

また、請求項７に係る発明は、上記の発明において、前記攻撃判定手段は、ネットワーク攻撃であると判定した後において前記ＤＮＳクエリ要求の統計値が所定の閾値を下回った回数が所定数に達した場合に、ネットワーク攻撃が終了したと判定することを特徴とする。

また、請求項８に係る発明は、上記の発明において、前記統計取得手段は、前記ＤＮＳクエリ要求に加えて前記ＤＮＳクエリ要求に対する応答を統計の取得対象とすることを特徴とする。

また、請求項９に係る発明は、ネットワークに接続された端末装置による前記ネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出方法であって、前記ネットワーク上を流通するＤＮＳクエリ要求に関する統計を取得する統計取得工程と、前記統計取得工程が取得した前記統計に基づいてネットワーク攻撃の有無を判定する攻撃判定工程と、前記攻撃判定工程がネットワーク攻撃であると判定した場合に、当該ネットワーク攻撃の内容をあらわす攻撃情報を所定の攻撃対策装置に対して通知する攻撃通知工程とを含んだことを特徴とする。

また、請求項１０に係る発明は、ネットワークに接続された端末装置による前記ネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出プログラムであって、前記ネットワーク上を流通するＤＮＳクエリ要求に関する統計を取得する統計取得手順と、前記統計取得手順が取得した前記統計に基づいてネットワーク攻撃の有無を判定する攻撃判定手順と、前記攻撃判定手順がネットワーク攻撃であると判定した場合に、当該ネットワーク攻撃の内容をあらわす攻撃情報を所定の攻撃対策装置に対して通知する攻撃通知手順とをコンピュータに実行させることを特徴とする。

請求項１、９または１０の発明によれば、ネットワーク上を流通するＤＮＳクエリ要求に関する統計を取得し、取得した統計に基づいてネットワーク攻撃の有無を判定し、ネットワーク攻撃であると判定した場合に、ネットワーク攻撃の内容をあらわす攻撃情報を所定の攻撃対策装置に対して通知するよう構成したので、攻撃者あるいは攻撃プログラムが特定のサーバ装置を攻撃しようとしてこのサーバの名前解決を要求した時点でネットワーク攻撃を検出することができるので、ネットワーク攻撃を早期に検出することができる。また、ＨＴＴＰサーバなどの通常のサーバ装置への攻撃のみならず、ＤＮＳサーバ装置への直接的な攻撃をも効率的に検出することができるという効果を奏する。

また、請求項２の発明によれば、ドメイン名の解決をおこなうＤＮＳサーバ装置あるいはＤＮＳサーバ装置から取得した情報のキャッシュをおこなうキャッシュサーバ装置を通過するＤＮＳクエリ要求に関して特定のドメインについての統計を取得するよう構成したので、名前解決処理を実行するＤＮＳサーバ装置およびキャッシュサーバ装置が設置されたネットワーク位置においてネットワーク攻撃を効率的に検出することができるという効果を奏する。

また、請求項３の発明によれば、統計対象となる問合わせ先ドメイン名を任意に指定可能なリストに基づいてＤＮＳクエリ要求に含まれる問い合わせ先ドメイン名ごとのランキングを含んだ統計を取得するよう構成したので、どのドメインに属するサーバ装置が攻撃対象となっているかを正確に把握することによって攻撃元が不特定多数の場合であっても有用な検出情報を提供することができるという効果を奏する。また、統計対象を指定したリストを用いることで、統計の対象となるドメインを容易に変更することができるという効果を奏する。

また、請求項４の発明によれば、統計対象となる問合わせ先ドメイン名を構成するサブドメイン名を任意に指定可能なリストに基づいてＤＮＳクエリ要求に含まれる問い合わせ先ドメイン名を構成するサブドメイン名ごとのランキングを含んだ統計を取得するよう構成したので、攻撃対象となっているドメインを詳細に絞り込むことによって攻撃元が不特定多数の場合であっても有用な検出情報を提供することができるという効果を奏する。また、統計対象を指定したリストを用いることで、統計の対象となるサブドメインを容易に変更することができるという効果を奏する。

また、請求項５の発明によれば、ＤＮＳクエリ要求に含まれる要求元アドレスごとのランキングを含んだ統計を取得するよう構成したので、攻撃元のアドレスを正確に把握することができるという効果を奏する。

また、請求項６の発明によれば、ＤＮＳクエリ要求の統計値が所定の閾値を上回った回数が所定数に達した場合に、ネットワーク攻撃であると判定するよう構成したので、ネットワーク攻撃の開始を簡便な処理によって検出することによって攻撃検出に係る処理負荷を軽減することができるという効果を奏する。

また、請求項７の発明によれば、ネットワーク攻撃であると判定した後においてＤＮＳクエリ要求の統計値が所定の閾値を下回った回数が所定数に達した場合に、ネットワーク攻撃が終了したと判定するよう構成したので、ネットワーク攻撃の終了を簡便な処理によって検出することによって攻撃検出に係る処理負荷を軽減することができるという効果を奏する。

また、請求項８の発明によれば、ＤＮＳクエリ要求に加えてＤＮＳクエリ要求に対する応答を統計の取得対象とするよう構成したので、ＤＮＳクエリ要求とその応答との数に差異が生じることを特徴とするネットワーク攻撃を効率的に検出することができるという効果を奏する。

以下に添付図面を参照して、この発明に係る攻撃検出手法の実施例を詳細に説明する。なお、以下では、かかる攻撃手法を適用した攻撃検出装置をＤＮＳキャッシュサーバ装置に接続して攻撃検出をおこなう場合について説明することとする。なお、攻撃検出装置をＤＮＳサーバ装置に接続したり、ネットワークに直接接続したりして攻撃検出をおこなうこととしてもよい。

まず、本発明に係る攻撃検出手法の特徴について図１を用いて説明する。図１は、本発明に係る攻撃検出手法の特徴を示す図である。なお、同図においては、不特定多数の攻撃者（たとえば、ウィルスに感染した端末装置）が攻撃対象サーバ（たとえば、ＨＴＴＰサーバ）に対してデータパケットを大量に送信する攻撃をおこなう際の攻撃手順について示している。

同図に示すように、攻撃者が攻撃対象サーバに対して攻撃を仕掛ける際には、まず、ＤＮＳサーバに対してＤＮＳクエリを送信することで攻撃対象サーバのアドレスを取得しようとする（図１の（１）参照）。そして、ＤＮＳサーバから攻撃対象サーバのアドレスを取得したならば（図１の（２）参照）、取得したアドレスの攻撃対象サーバに対して大量のデータパケットを送信する（図１の（３）参照）。

このように、ネットワーク攻撃をおこなう攻撃者は、まず、攻撃対象のアドレスを取得するためにＤＮＳによる名前解決をおこなったうえで、取得したアドレスを用いて攻撃を開始するという手順をとることが一般的である。

しかし、従来の攻撃検出手法では、攻撃対象サーバに対する攻撃が開始された時点（図１の（３）参照）で攻撃検出をおこなっていたので、攻撃検出タイミングが遅れてしまうという問題があった。一方、本発明に係る攻撃検出手法では、攻撃者がネットワーク攻撃を仕掛けようとしてＤＮＳによる名前解決を要求した時点で（図１の（１）参照）攻撃検出をおこなうこととしたので、ネットワーク攻撃を早期に検出することができる。

次に、図１で説明した攻撃検出手法を適用した攻撃検出装置の概要について図２を用いて説明する。図２は、本実施例に係る攻撃検出装置１０の概要を示す図である。なお、図２においては、不特定多数の攻撃者１０４が名前解決を要求するキャッシュサーバ装置１０１に、スイッチ１０２を介して接続された攻撃検出装置１０を示している。

図２に示すように、攻撃検出装置１０は、キャッシュサーバ装置１０１が受け付けたＤＮＳクエリ要求についての統計を生成する（図２の（１）参照）。そして、生成したＤＮＳクエリについての統計が所定の条件を満たした場合に攻撃であると判定する（図２の（２）および段落００５１参照）。つづいて、攻撃検出装置１０は、攻撃開始あるいは攻撃終了をあらわす攻撃情報をファイヤーウォール１０３に対して通知する（図２の（３）および段落００５１参照）。

このように、攻撃検出装置１０は、ＤＮＳクエリ要求についての統計を取得し、取得した統計に基づいて攻撃の有無を判定することとした。したがって、ネットワーク攻撃の早期段階、すなわち、攻撃者がネットワーク攻撃を仕掛けるための名前解決要求をおこなった段階でネットワーク攻撃を検出することができる。また、キャッシュサーバ装置１０１を標的としたネットワーク攻撃がおこなわれた場合であっても、攻撃検出を確実におこなうことができる。

なお、同図においては、攻撃検出装置１０の接続先としてキャッシュサーバ装置１０１を例示したが、接続先はＤＮＳサーバ装置（権威サーバ）であっても構わない。また、攻撃検出装置１０をキャッシュサーバ装置１０１と攻撃者１０４との間や、キャッシュサーバ装置１０１とＤＮＳサーバ装置との間のネットワーク位置に設置することとしてもよい。

また、本実施例においては、攻撃検出装置１０をキャッシュサーバ装置１０１とは別装置として説明するが、キャッシュサーバ装置１０１の内蔵装置として構成してもよい。さらに、ＤＮＳサーバ装置を攻撃検出対象とする場合には、攻撃検出装置１０をＤＮＳサーバ装置の内蔵装置として構成してもよい。

次に、図２に示した攻撃検出装置１０の構成について図３を用いて説明する。図３は、攻撃検出装置１０の構成を示すブロック図である。同図に示すように、攻撃検出装置１０は、制御部１１と、記憶部１２と、通信処理部１３とを備えている。そして、制御部１１は、統計データ取得部１１ａと、統計データログ生成部１１ｂと、攻撃判定部１１ｃと、攻撃情報通知部１１ｄとをさらに備えており、記憶部１２は、設定情報１２ａと、統計データ１２ｂと、攻撃情報１２ｃとを記憶する。

制御部１１は、スイッチ１０２を介して受け取ったキャッシュサーバ装置１０１のＤＮＳクエリに関するトラヒックを取得し、取得したトラヒックから統計データログを生成するとともに生成した統計データログに基づいて攻撃判定をおこなったうえで、ファイヤーウォール１０３に対して攻撃情報を通知する処理をおこなう処理部である。

統計データ取得部１１ａは、ＤＮＳクエリに関するトラヒックを通信処理部１３を介して取得するとともに、取得したトラヒックを統計データとして統計データログ生成部１１ｂに渡す処理をおこなう処理部である。

統計データログ生成部１１ｂは、記憶部１２の設定情報１２ａに基づいてログ対象とするドメインあるいはサブドメイン宛のＤＮＳクエリ要求についてのデータログを生成する処理をおこなう処理部である。具体的には、この統計データログ生成部１１ｂは、設定情報１２ａに指定された統計データ取得のための条件（たとえば、監視周期、監視対象ＩＰアドレス、監視項目など）に従った統計データログ１２ｂを生成する。なお、設定情報１２ａおよび統計データログ１２ｂの詳細な例については図４および図５を用いて後述する。

攻撃判定部１１ｃは、統計データログ生成部１１ｂが生成した統計データログ１２ｂを記憶部１２から読み出すとともに、設定情報１２ａに指定された攻撃開始判定条件あるいは攻撃終了判定条件（たとえば、上限閾値、下限閾値など）に従って攻撃の開始／終了判定をおこなう処理部である。また、この攻撃判定部１１ｃは、判定結果を攻撃情報１２ｃとして生成する処理部でもある。なお、攻撃判定部１１ｃが生成した攻撃情報１２ｃは攻撃情報通知部１１ｄによってファイヤーウォール１０３へ通知される。

攻撃情報通知部１１ｄは、攻撃判定部１１ｃが生成した攻撃情報１２ｃを記憶部１２から読み出すとともに、読み出した攻撃情報１２ｃを通信処理部１３を介することによってファイヤーウォール１０３へ通知する処理をおこなう処理部である。なお、この攻撃情報通知部１１ｄから攻撃情報１２ｃを通知されたファイヤーウォール１０３は、攻撃の防御開始／防御解除といった処理をおこなうことになる。

記憶部１２は、不揮発性ＲＡＭ（Random Access Memory）やハードディスク装置といった記憶デバイスで構成された記憶部であり、設定情報１２ａ、統計データログ１２ｂおよび攻撃情報１２ｃを記憶する。

設定情報１２ａは、統計データログ取得条件や攻撃開始／終了判定条件を含んだ情報であり、これらの情報は統計データログ生成部１１ｂあるいは攻撃判定部１１ｃが使用する。また、設定情報１２ａは、たとえば、テキスト形式のリストとして構成されるので、攻撃のパターンに応じて攻撃検出対象や攻撃検出条件を容易に指定したり変更したりすることが可能である。ここで、この設定情報１２ａの詳細な例について図４を用いて説明しておく。図４は、設定情報１２ａの一例を示す図である。

図４の４１に示したのは、統計データログの生成周期の指定例である。図４の４１に示したように、「監視周期」が「１８０秒」である旨を指定した場合には、統計データログ生成部１１ｂは、統計データ取得部１１ａから随時渡された統計データについて１８０秒ごとに統計データログ１２ｂを生成する。

図４の４２に示したのは、監視対象を特定するための指定例である。図４の４２に示したように、「監視対象ＩＰアドレス」が「１」個であり、「監視対象ＩＰアドレス」が「１２３４：：１２８」であり、「監視対象ポート」が「５３」である旨を指定した場合には、統計データログ生成部１１ｂは、統計データ取得部１１ａから随時渡された統計データの中から図４の４２に示した条件を満たすＤＮＳクエリについての統計データログ１２ｂを生成する。

図４の４３や４４に示したのは、監視ドメインの特定および攻撃開始／終了判定条件の指定例である。なお、図４の４３や４４における枝番（「＿１」や「＿２」）は、監視ドメインごとに振られる番号であり、「監視項目１＿１」、「監視項目１＿２」というような枝番を用いることで、監視ドメインを複数個指定することが可能である。

図４の４３に示したように、「監視項目１＿１」が「ｗｗｗ．ａａａ．ｃｏ．ｊｐ．」というドメインである旨の指定をした場合には、統計データログ生成部１１ｂはドメイン「ｗｗｗ．ａａａ．ｃｏ．ｊｐ．」に関するＤＮＳクエリを統計データログ１２ｂの対象とする。また、同一の枝番を用いることで、攻撃開始／終了判定条件（たとえば、上限閾値１＿１、下限閾値１＿１など）を監視ドメインごとに異なる値として指定することができる。

「上限閾値」および「連続超過回数」は、攻撃判定部１１ｃが攻撃開始判定の条件として用いる項目である。図４の４３や４４に示すように、「上限閾値」が「１００００」であり、「連続超過回数」が「５」である旨の指定をした場合には、攻撃判定部１１ｃは各統計データログ１２ｂについてクエリ数が５回連続して１００００クエリを超過すると攻撃が開始されたと判定する。また、「下限閾値」が「６００」であり、「連続下回り回数」が「５」である旨の指定をした場合には、攻撃判定部１１ｃは攻撃開始と判定したのち各統計データログ１２ｂについてクエリ数が５回連続して６００クエリを下回ると攻撃が終了したと判定する。

図３の説明に戻り、統計データログ１２ｂについて説明する。統計データログ１２ｂは、設定情報１２ａの指定に基づいて統計データログ生成部１１ｂが生成するＤＮＳクエリに関する統計ログである。また、この統計データログ１２ｂは攻撃判定部１１ｃが攻撃開始／終了判定をおこなう際に用いられる。ここで、統計データログ１２ｂの詳細な例について図５を用いて説明しておく。図５は、統計データログ１２ｂの一例を示す図である。

図５に示すように、統計データログ１２ｂは、監視対象についての情報（図５の５１参照）と、監視ドメイン（問合わせドメイン）ごとのクエリ数に関する情報（図５の５２および５３参照）とを含んだ情報である。

なお、同図に示す例では、監視ドメイン名として「ｃｏ．ｊｐ．」（図５の５１ｂ参照）が指定されているので、末尾に「ｃｏ．ｊｐ．」を含む問合わせドメイン（「ｗｗｗ．ａａａ．ｃｏ．ｊｐ．」（図５の５２ａ参照）や「ｗｗｗ．ｂｂｂ．ｃｏ．ｊｐ．」（図５の５３ａ参照））についての統計情報が作成されている。

なお、図５の５１ａに示すように「監視項目番号」を「１」としているが、これは、監視項目を、ルートドメイン（．）としたり、ｊｐ．ドメイン（ｊｐ．）としたりというようにＤＮＳクエリの監視範囲を複数個指定するために用いられる。ここで、この監視項目の使用例について図６を用いて説明する。図６は、監視項目の使用例を示す図である。

図６に示すように、設定情報１２ａに監視項目１として「ｃｏ．ｊｐ．」が、監視項目２として「ｊｐ．」が、監視項目３として「．」がそれぞれ指定された場合について説明する。この場合、問合わせドメイン（ＱＮＡＭＥ）が「ｗｗｗ．ａａａ．ｃｏ．ｊｐ．」であるクエリ要求が統計データ中に存在したならば、統計データログ１２ｂにおける監視項目１、監視項目２および監視項目３についてのクエリ数総計がそれぞれカウントアップされることになる。

このように、複数のドメイン階層について、それぞれＤＮＳクエリ要求の統計をとることで、攻撃対象となっているサブドメインを絞り込んだり、逆に、攻撃対象となっているサブドメインを管理しているＤＮＳサーバを特定したりすることが可能となる。また、図６においては、各ドメイン階層を直接指定する場合について示したが、所定のドメイン階層、たとえば、「ｃｏ．ｊｐ．」というドメインを指定するとその配下にあるサブドメインごとの統計についても取得することとしてもよい。

図５の説明に戻って、問合わせドメインごとのランキング付けについて説明する。図５に示したように、統計データログ１２ｂでは、監視ドメイン名に該当する問合わせドメインについて、たとえば、クエリ数の降順でランキング付けがおこなわれる。そして、各問合わせドメインごとに、さらに、送信元ＩＰアドレスごとのクエリ数のランキング付けがおこなわれる。

たとえば、統計データログ１２ｂでは、図５に示した５２ａ、５３ａのようにドメインごとの合計クエリ数（図５の５２ａの場合であれば「３２００」）が多いほうから少ないほうへ、ドメインごと（図５の５２および５３参照）のランキング付けがおこなわれる。さらにドメインごと（図５の５２および５３参照）のランキングのなかには、送信元ＩＰアドレスごとのクエリ数（図５の５２の場合であれば「１２５６」、「８２３」、・・・）のランキングが含まれる。

このように、問合わせドメインごとのランキング付けをおこなうことで攻撃対象となっているサーバあるいはサーバが含まれるゾーンを特定することが可能となる。したがって、ＤＤｏＳ攻撃のように攻撃者が不特定多数であるため送信元ＩＰアドレスを特定することが無効である場合であっても、攻撃先のドメインを階層的に特定することによって効率的な攻撃検出をおこなうことができる。

また、問合わせドメインごとのランキングに送信元ＩＰアドレスのランキングを含めることでＤｏＳ攻撃のような攻撃者が少数である場合（すなわち、送信元ＩＰアドレスを特定することが有効である場合）に、送信元ＩＰアドレスを特定する用途で用いることもできる。

図３の説明に戻り、攻撃情報１２ｃについて説明する。攻撃情報１２ｃは、攻撃判定部１１ｃによって生成された攻撃開始／攻撃終了の旨をあらわす情報である。そして、攻撃情報１２ｃは攻撃情報通知部１１ｄによってファイヤーウォール１０３に対して通知される。たとえば、この攻撃情報１２ｃには、攻撃先として検出されたドメイン名やサブドメイン名、計数したＤＮＳクエリ数、日付、時刻、攻撃開始／攻撃終了の区分といった項目が含まれる。

通信処理部１３は、スイッチ１０２を介してＤＮＳクエリ要求を受け付けたり、ネットワークを介してファイヤーウォール１０３に攻撃情報を送信したりといったデータ送受信処理をおこなう通信デバイスである。なお、図１３においては、通信処理部１３を単数としているが、スイッチ１０２用、ネットワーク用というように複数の通信デバイスを設けることとしてもよい。

次に、図３〜図６を用いて説明した攻撃検出装置１０においておこなわれる処理手順について図７および図８を用いて説明する。図７は、統計データログ生成処理の処理手順を示すフローチャートである。同図に示すように、統計データログ生成部１１ｂが統計データログ取得部１１ａからＤＮＳパケット（たとえば、ＤＮＳクエリ要求）を取得すると（ステップＳ１０１）、この統計データログ生成部１１ｂは設定情報１２ａに指定された条件に従って各ＤＮＳパケットが監視対象のＤＮＳパケットであるか否かを判定する（ステップＳ１０２）。

そして、ＤＮＳパケットが監視対象のＤＮＳパケットである場合には（ステップＳ１０２，Ｙｅｓ）、各ＤＮＳパケットを監視項目ごとに分類したうえで（ステップＳ１０３）統計データログ１２ｂを生成する（ステップＳ１０４）。一方、ステップＳ１０２において監視対象のＤＮＳパケットではないと判定された場合には（ステップＳ１０２，Ｎｏ）、ステップＳ１０１以降の処理を繰り返すことになる。

図８は、攻撃判定処理および攻撃情報通知処理の処理手順を示すフローチャートである。同図に示すように、攻撃判定部１１ｃは統計データログ１２ｂを記憶部１２から読み出し（ステップＳ２０１）、監視項目毎に分類された各ＤＮＳクエリ数が上限閾値を連続して所定回数超過しているか否かを判定する（ステップＳ２０２）。そして、ステップＳ２０２の判定条件を満たした場合には（ステップＳ２０２，Ｙｅｓ）、攻撃開始の旨をあらわす攻撃情報１２ｃを生成し、この攻撃情報１２ｃ（攻撃開始）を攻撃情報通知部１１ｄがファイヤーウォール１０３に対して通知する（ステップＳ２０３）。なお、ステップＳ２０２の判定条件を満たさない場合には（ステップＳ２０２，Ｎｏ）、ステップＳ２０１以降の処理を繰り返すことになる。

つづいて、攻撃開始通知を受けたファイヤーウォール１０３が統計データログ取得要求を攻撃検出装置１０に対しておこなうと、攻撃情報通知部１１ｄは先に送信した攻撃情報１２ｃとリンクした統計データログ１２ｂを抽出したうえでファイヤーウォール１０３に対して通知する（ステップＳ２０４）。この統計データログ１２ｂを受け取ったファイヤーウォール１０３は、先に受け取った攻撃開始通知と、この統計データログとから必要な情報を選択したうえで防御処理を開始する（ステップＳ３０１）ことになる。

また、ステップＳ２０３およびステップＳ２０４の処理手順を完了した攻撃判定部１１ｃは、攻撃終了の判定をおこなうために統計データログ１２ｂの読み出し処理を継続し（ステップＳ２０５）、攻撃開始通知をおこなった監視項目についてのＤＮＳクエリ数が下限閾値を連続して所定回数下回ったか否かを判定する（ステップＳ２０６）。そして、ステップＳ２０６の判定条件を満たした場合には（ステップＳ２０６，Ｙｅｓ）、攻撃終了の旨をあらわす攻撃情報１２ｃを生成し、この攻撃情報１２ｃ（攻撃終了）を攻撃情報通知部１１ｄがファイヤーウォール１０３に対して通知する（ステップＳ２０７）。なお、攻撃情報１２ｃ（攻撃終了）を受け取ったファイヤーウォール１０３は、防御解除処理をおこなう（ステップＳ３０２）ことになる。

次に、攻撃検出装置１０の設置位置の例について図９を用いて説明する。図９は攻撃検出装置１０の設置位置例を示す図である。同図の設置位置パターンＡ、すなわち、攻撃検出装置１０をキャッシュサーバ装置１０１に接続する形態については図２で既に説明したとおりである。しかし、本実施例に係る攻撃検出装置１０は、ＤＮＳクエリについての統計をとる点に主な特徴があることから明らかなように、設置位置パターンＢに示すようにＤＮＳサーバ装置に接続する形態をとっても構わない。このようにすることで、ＤＮＳサーバを攻撃対象としたＤＤｏＳ攻撃を効率的に検出することが可能となる。

また、設置位置パターンＡおよびＢに示すように、攻撃検出装置１０をキャッシュサーバ装置やＤＮＳサーバ装置に接続することもできるが、必ずしもサーバ装置に直設接続する形態をとる必要はない。すなわち、同図に示す攻撃端末とキャッシュサーバ装置との間、あるいは、キャッシュサーバ装置とＤＮＳパケットが監視対象サーバとの間に存在する図示しないネットワークに、攻撃検出装置１０を接続することとしてもよい。

上述してきたように、本実施例においては、統計データ取得部がＤＮＳクエリ要求を取り扱う装置からＤＮＳクエリを取得し、統計データログ生成部が設定情報に指定された監視ドメインごと、あるいは、監視ドメインに含まれるサブドメインごとに区分けされた統計データログを生成する。そして、攻撃判定部が設定情報に指定された攻撃開始／終了条件に基づいて攻撃開始判定／攻撃終了判定をおこない、攻撃情報通知部が判定結果をファイヤーウォールなどの攻撃対策装置へ送信するよう構成した。したがって、ＤＮＳクエリ要求が異常に増加した時点でいち早くネットワーク攻撃を察知できるのでネットワーク攻撃を早期に検出することができるとともに、攻撃先をドメイン、サブドメインといった複数の範囲で特定するので攻撃元が不特定多数であり攻撃元を特定することが無意味な場合であっても有用な検出情報を提供することができる。

なお、上記した実施例では、ＤＮＳクエリ要求についての統計をとる場合について説明したが、ＤＮＳクエリ要求およびこのＤＮＳクエリ要求への応答についての統計をとることとしてもよい。このようにすることで、ＤＮＳクエリ要求のクエリ数と応答数との間に不均衡が生じた場合に攻撃と判定するなどの攻撃判定処理をおこなうことが可能となる。

また、上記した実施例では、本発明を実現する攻撃検出装置を機能面から説明したが、攻撃検出装置の各機能はパーソナルコンピュータやワークステーションなどのコンピュータにプログラムを実行させることによって実現することもできる。

すなわち、上述した各種の処理手順は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係る攻撃検出装置、攻撃検出方法および攻撃検出プログラムは、ネットワーク攻撃の早期検出に有用であり、特に、ＤＤｏＳ攻撃のように攻撃者が不特定多数である場合や、ＤＮＳサーバ装置やキャッシュサーバ装置といったＤＮＳ関連装置を攻撃対象とするネットワーク攻撃がおこなわれた場合の攻撃検出に適している。

本発明に係る攻撃検出手法の特徴を示す図である。 本実施例に係る攻撃検出装置の概要を示す図である。 攻撃検出装置の構成を示すブロック図である。 設定情報の一例を示す図である。 統計データログの一例を示す図である。 監視項目の使用例を示す図である。 統計データログ生成処理の処理手順を示すフローチャートである。 攻撃判定処理および攻撃情報通知処理の処理手順を示すフローチャートである。 攻撃検出装置の設置位置例を示す図である。

符号の説明

１０ 攻撃検出装置
１１ 制御部
１１ａ 統計データ取得部
１１ｂ 統計データログ生成部
１１ｃ 攻撃判定部
１１ｄ 攻撃情報通知部
１２ 記憶部
１２ａ 設定情報
１２ｂ 統計データログ
１２ｃ 攻撃情報
１３ 通信処理部
１０１ キャッシュサーバ装置
１０２ ＳＷ（スイッチ）
１０３ ＦｉｒｅＷａｌｌ（ファイヤーウォール）
１０４ 攻撃者

Claims (10)

1. ネットワークに接続された端末装置による前記ネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出装置であって、
   前記ネットワーク上を流通するＤＮＳクエリ要求に関する統計を、前記ＤＮＳクエリ要求の問合わせドメインを包含する所定の監視ドメインごとに取得する統計取得手段と、
   前記統計取得手段が取得した前記統計に基づいて前記監視ドメインに対するネットワーク攻撃の有無を判定する攻撃判定手段と、
   前記攻撃判定手段がネットワーク攻撃であると判定した場合に、当該ネットワーク攻撃の内容をあらわす攻撃情報を前記監視ドメインにおける所定の攻撃対策装置に対して通知する攻撃通知手段と
   を備えたことを特徴とする攻撃検出装置。
2. 前記統計取得手段は、ドメイン名の解決をおこなうＤＮＳサーバ装置あるいは前記ＤＮＳサーバ装置から取得した情報のキャッシュをおこなうキャッシュサーバ装置を通過するＤＮＳクエリ要求に関して特定のドメインについての統計を取得することを特徴とする請求項１に記載の攻撃検出装置。
3. 前記統計取得手段は、統計対象となる問合わせ先ドメイン名を任意に指定可能なリストに基づいて前記ＤＮＳクエリ要求に含まれる問い合わせ先ドメイン名ごとのランキングを含んだ統計を取得することを特徴とする請求項１または２に記載の攻撃検出装置。
4. 前記統計取得手段は、統計対象となる問合わせ先ドメイン名を構成するサブドメイン名を任意に指定可能なリストに基づいて前記ＤＮＳクエリ要求に含まれる問い合わせ先ドメイン名を構成するサブドメイン名ごとのランキングを含んだ統計を取得することを特徴とする請求項３に記載の攻撃検出装置。
5. 前記統計取得手段は、前記ＤＮＳクエリ要求に含まれる要求元アドレスごとのランキングを含んだ統計を取得することを特徴とする請求項１〜４のいずれか一つに記載の攻撃検出装置。
6. 前記攻撃判定手段は、前記ＤＮＳクエリ要求の統計値が所定の閾値を上回った回数が所定数に達した場合に、ネットワーク攻撃であると判定することを特徴とする請求項１〜５のいずれか一つに記載の攻撃検出装置。
7. 前記攻撃判定手段は、ネットワーク攻撃であると判定した後において前記ＤＮＳクエリ要求の統計値が所定の閾値を下回った回数が所定数に達した場合に、ネットワーク攻撃が終了したと判定することを特徴とする請求項６に記載の攻撃検出装置。
8. 前記統計取得手段は、前記ＤＮＳクエリ要求に加えて前記ＤＮＳクエリ要求に対する応答を統計の取得対象とすることを特徴とする請求項１〜７のいずれか一つに記載の攻撃検出装置。
9. ネットワークに接続された端末装置による前記ネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出方法であって、
   前記ネットワーク上を流通するＤＮＳクエリ要求に関する統計を、前記ＤＮＳクエリ要求の問合わせドメインを包含する所定の監視ドメインごとに取得する統計取得工程と、
   前記統計取得工程が取得した前記統計に基づいて前記監視ドメインに対するネットワーク攻撃の有無を判定する攻撃判定工程と、
   前記攻撃判定工程がネットワーク攻撃であると判定した場合に、当該ネットワーク攻撃の内容をあらわす攻撃情報を前記監視ドメインにおける所定の攻撃対策装置に対して通知する攻撃通知工程と
   を含んだことを特徴とする攻撃検出方法。
10. ネットワークに接続された端末装置による前記ネットワーク上のサーバ装置に対するネットワーク攻撃を検出する攻撃検出プログラムであって、
    前記ネットワーク上を流通するＤＮＳクエリ要求に関する統計を、前記ＤＮＳクエリ要求の問合わせドメインを包含する所定の監視ドメインごとに取得する統計取得手順と、
    前記統計取得手順が取得した前記統計に基づいて前記監視ドメインに対するネットワーク攻撃の有無を判定する攻撃判定手順と、
    前記攻撃判定手順がネットワーク攻撃であると判定した場合に、当該ネットワーク攻撃の内容をあらわす攻撃情報を前記監視ドメインにおける所定の攻撃対策装置に対して通知する攻撃通知手順と
    をコンピュータに実行させることを特徴とする攻撃検出プログラム。

Images