JP4326423B2 - 管理装置および不正アクセス防御システム - Google Patents

Description

本発明は、ネットワークを経由した不正アクセスを検出し、該不正アクセスに関わるパケットを廃棄することを目的としたネットワークベース不正アクセス防御システムに関するものである。

ネットワーク上のホストを不正アクセスから防御するため、侵入検出装置（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ、ＩＤＳ）やファイアウォールを用いて防御対象ホスト宛てのパケットを監視し、不正アクセスを検出した場合に、検出した不正アクセスの内容に基づき、防御対象ホスト宛て通信の一部あるいは全部のパケットを廃棄する方法が、従来より知られている。

特許文献１に記載のシステムでは、侵入検知・防御装置が、内部ネットワークと外部ネットワークの境界に配備される。該装置は、受信したパケットに対し、該パケットのヘッダあるいはペイロード情報と予め保持する不正アクセスパターンデータベースとの整合／非整合により不正アクセスかどうかを判定し、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットを通過させる手段を備えている。

特許文献２に記載のシステムでは、防御対象ホストが配備されているネットワークを攻撃検出機器が監視して分散型サービス拒否（ＤＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃を検出した場合、踏み台ホストとインターネットの間に配備された攻撃遮断器に通信制御の指示を出し、踏み台ホストの通信を制御する。

また、ルータに不正アクセス防御機能を実装することによりネットワーク上のホストを不正アクセスから防御する方法として、例えば、非特許文献１で提案されている方法がある。非特許文献１に記載のシステムでは、防御対象ホストを収容するＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）エッジルータが、該ホスト宛てパケットのトラヒック量を観測してＤＤｏＳ攻撃の発生を監視し、攻撃を検出した場合、該ルータは、同一ＩＳＰ内の全ＩＳＰエッジルータに対し、該ホスト宛てパケットのトラヒック量観測を依頼し、依頼を受けたＩＳＰエッジルータが、該ホスト宛て通信パケットのトラヒック量をアクセス回線単位にモニタし、異常が発見された場合にアクセス回線単位に通信パケットのフィルタリングを実施する。
特開２００３−９９３３９号公報 特開２００２−１５８６６０号公報 ２００２年電子情報通信学会総合大会Ｂ−７−４０、"ＤＤｏＳ攻撃対策手法に関する一考察"、金子斉、（２００２．９）

上述した従来の方法では、不正アクセス防御対象ホストが複数拠点に分散している場合において、各拠点にそれぞれ配備された個々の侵入検出装置またはルータがそれぞれ独立に不正アクセスを検出し、該不正アクセスに関わるパケットを廃棄するため、複数拠点に分散して存在する複数のホストに対して、互いに関連する不正アクセスが仕掛けられた場合、下記に示す問題点がある。

１）ＤＤｏＳ攻撃のように、特定トラヒックの流量の異常増加に基づいて不正アクセスを検出する場合において、複数拠点に分散して存在する複数のホストに対して一斉に攻撃が仕掛けられた際に、攻撃トラヒック量が比較的少ないホストに対しては、攻撃を検出できない可能性がある。攻撃トラヒック量が比較的少ない場合でも、攻撃を受けているホストが提供するネットワークサービスの品質劣化がありうるため、攻撃パケットを廃棄することが望ましい。攻撃検出精度を上げるために、不正アクセスと判定するトラヒック流量しきい値を低く設定すると、正常トラヒックを不正と誤認して廃棄する可能性が高くなり、問題である。

２）ＤＤｏＳ攻撃のように、特定トラヒックの流量の異常増加に基づいて不正アクセスを検出する場合において、攻撃検出を避けるためにトラヒック量を漸増させていくタイプの攻撃が複数拠点に分散して存在する複数のホストに対して仕掛けられた場合、攻撃開始から攻撃検出までの時間が遅れる可能性がある。攻撃が発生してから攻撃パケットを廃棄するまでの間、攻撃を受けているホストが提供するネットワークサービスの品質劣化がありうるため、攻撃パケットを早期に廃棄することが望ましい。攻撃検出精度を上げるために、不正アクセスと判定するトラヒック流量しきい値を低く設定すると、正常トラヒックを不正と誤認して廃棄する可能性が高くなり、問題である。

３）ＰｉｎｇＳｗｅｅｐ攻撃のように、あるホストから複数ホストに対して順々に行う一連の通信内容を統合判断して不正アクセスを検出する場合において、複数拠点に分散して存在する複数のホストに対して順々に攻撃が仕掛けられる場合、各拠点内に閉じた攻撃トラヒック量が少ないため、いずれの侵入検出装置においても攻撃を検出できない可能性がある。攻撃検出精度を上げるために、不正アクセスと判定するトラヒック流量しきい値を低く設定すると、正常トラヒックを不正と誤認して廃棄する可能性が高くなり、問題である。

本発明の目的は、従来の方法では不正アクセスの検出ができないか、あるいは、検出までの時間が長くなる場合に、不正アクセスを早く正確に検出することが可能な不正アクセス防御システムを提供することにある。

本発明の不正アクセス防御システムは、
複数の防御対象ホスト宛てのトラヒックを集約して監視できる位置に配備され、前記複数の防御対象ホスト宛てのパケットをすべて集約して受信することで合わせて監視して不正アクセスの検出を行う手段と、不正アクセスを検出した場合に、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットをルータ、ゲートウェイ、または通信装置に送信させる手段を含む集約型侵入検出防御装置と、
複数の防御対象ホストにより定義されるホストグループの情報データベースと、攻撃ターゲットホスト情報を受信したことをトリガに該情報に基づいて前記情報データベースを検索し、前記攻撃ターゲットホストが属するホストグループの情報を取得する手段と、該ホストグループ宛てのトラヒックを集約型侵入検出防御装置宛てにルーチングすることをルータ、ゲートウェイ、または通信装置に対して指示するルーチング指示手段を含む管理装置と、
防御対象ホスト宛てのパケットを監視できる位置にそれぞれ配備され、防御対象ホスト宛てのパケットを監視して不正アクセスの検出を行う手段と、不正アクセスを検出した場合に攻撃ターゲットホスト情報を管理装置に通知する手段を含む侵入検出防御装置と、
を有する。

本発明による不正アクセス攻撃防御システムにおいて、複数の防御対象ホストのいずれかに対して不正アクセスが発生した場合、侵入検出防御装置が該攻撃を検出し、不正アクセスターゲットホスト情報を管理装置に通知する。攻撃ターゲットホスト情報を受信した管理装置は、互いに関連する不正アクセスを仕掛けられる可能性のあるホストグループの情報データベースを検索し、受信した攻撃ターゲットホストと同じグループに属する他のホストの情報を取得し、該ホストグループ宛てのトラヒックを集約型侵入検出防御装置に転送するルーチング設定をルータ、ゲートウェイ、または通信装置に対して指示する。

これにより、集約型侵入検出防御装置は、侵入検出防御装置が検出した不正アクセスのターゲットホストと同じグループに属する全ホスト宛てのトラヒックを同時に受信し、それらを合わせて監視して不正アクセスを検出し、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットを送信させる。

侵入検出防御装置において、トラヒック流量が少ない場合であっても不正アクセスの被疑を検出できるように、不正アクセスと判定するトラヒック流量しきい値を低く設定しておいた場合、従来の方法では不正アクセスの検出ができない場合でも不正アクセスを検出して管理装置に対して不正アクセスターゲットホスト情報を通知する。

侵入検出制御装置において、不正アクセスと判定するトラヒック流量しきい値を低めに設定しているために正常トラヒックを不正と誤認した場合であっても、集約型侵入検出防御装置において、侵入検出防御装置が検出した不正アクセスのターゲットホストと同じグループに属する全ホスト宛てのトラヒックを合わせて監視しているために、正常トラヒックを正しく認識して正常トラヒックの各送信先ホストに正常に転送し、不正アクセスとなるパケットを遮断する。

このように、本発明は、複数拠点に分散して存在する複数のホストに対して、互いに関連する不正アクセスが仕掛けられる場合、不正アクセスの被疑がある場合にのみ、前記複数のホスト宛てのトラヒックを集約して監視し、不正アクセスの検出および該不正アクセスに関わるパケットの廃棄を行うことにより、不正アクセスを早く正確に検出することが可能となる。

また、管理装置において、侵入検出防御装置による不正アクセス検出をトリガとして、不正アクセス被疑トラヒックの集約型侵入検出防御装置への転送をルータ、ゲートウェイ、または通信装置に指示し、一定時間経過した場合、あるいは、集約型侵入検出防御装置から不正アクセス終了検出情報を受信した場合に、不正アクセス被疑トラヒックの集約型侵入検出防御装置への転送解除をルータ、ゲートウェイ、または通信装置に指示することにより、不正アクセスが発生していない場合には、集約型侵入検出防御装置はトラヒックを受信しないため、集約型侵入検出防御装置に非現実的な処理能力を要求せず、また、集約型侵入検出防御装置を通信ボトルネックとさせない構成が可能である。

本発明による不正アクセス攻撃防御システムにおいて、侵入検出防御装置を配備する替わりに、ルータ、ゲートウェイ、通信装置または攻撃防御ホストのいずれかに侵入検出防御装置の機能を実装してもよい。集約型侵入検出防御装置を配備する替わりに、ルータ、ゲートウェイ、または通信装置に集約型侵入検出防御装置の機能を実装してもよい。管理装置を配備する替わりに、ルータ、ゲートウェイ、通信装置、または侵入検出防御装置または集約型侵入検出防御装置のいずれかに対して管理装置の機能を実装してもよい。

本発明は、以下に述べる効果がある。

請求項１，７，８の発明は、集約型侵入検出防御装置において、不正アクセスが仕掛けられている複数ホスト宛てのトラヒックを集約して監視することにより、複数拠点に分散して存在する複数のホストに対して、互いに関連する不正アクセスが仕掛けられた場合、従来の方法では不正アクセスの検出ができないか、あるいは、検出までの時間が長くなる場合に、不正アクセスを早く正確に検出することが可能となる。その理由は、複数拠点に分散して存在する複数のホストに対して、互いに関連する不正アクセスが仕掛けられた場合、従来の方法では、各拠点にそれぞれ配備された個々の侵入検出装置またはルータがそれぞれ独立に不正アクセスを検出するため、各拠点内に閉じた個々の攻撃トラヒック量が検出基準に満たない場合に攻撃を検出できないことがあるためである。

請求項２，３，９，１０の発明は、管理装置において、侵入検出防御装置による不正アクセス検出をトリガとして、不正アクセス被疑トラヒックの集約型侵入検出防御装置への転送をルータ、ゲートウェイ、または通信装置に指示し、一定時間経過した場合、あるいは、集約型侵入検出防御装置から不正アクセス終了検出情報を受信した場合に、不正アクセス被疑トラヒックの集約型侵入検出防御装置への転送解除をルータ、ゲートウェイ、または通信装置に指示することにより、不正アクセスの被疑がある場合にのみ集約型侵入検出防御装置にトラヒックを集約させることが可能となり、集約型侵入検出防御装置の処理負荷を軽減することが可能である。

請求項４，１１の発明は、管理装置が保持するホストグループの情報データベースを、ＷＥＢサーバ、メールサーバ、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバなどＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）アドレスが付与されたサーバのＵＲＬアドレスとＩＰアドレスの情報に基づいて構成することにより、同一ＵＲＬアドレスを持つサーバに同時に不正アクセスが仕掛けられている場合、不正アクセスを早く正確に検出することが可能となる。

請求項５，１２の発明は、管理装置が保持するホストグループの情報データベースを、防御対象ホストの特徴に基づいて構成することにより、同一の特徴を持つホストに同時に不正アクセスが仕掛けられている場合、不正アクセスを早く正確に検出することが可能となる。

請求項６，１３の発明は、不正アクセス防御サービス提供者とＤＤｏＳ攻撃防御対象ホストの管理者が異なる場合において、管理装置が保持するホストグループの情報データベースを、各ユーザがあらかじめ決めたカテゴリ分けに基づいて構成することにより、同時に不正アクセスが仕掛けられる可能性のあるホストのグルーピング方法がユーザ毎に異なる場合であっても、全ユーザのホストに対して不正アクセスを早く正確に検出することが可能となる。

次に、本発明の実施の形態について図面を参照して詳細に説明する。

［第１の実施形態］
図１を参照すると、本発明の第１の実施形態の不正アクセス防御システムは、集約型侵入検出防御装置１と、管理装置２と、ルータ１１、１２、１３、１４、１５、１６と、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３と、侵入検出防御装置３１、３２、３３と、ＩＰネットワークＮ１と、ＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワークＮ１１、Ｎ１２、Ｎ１３と、ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４、Ｎ１５で構成されている。

ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３は、それぞれＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワークＮ１１、Ｎ１２、Ｎ１３内に存在し、それぞれルータ１１、１２、１３によりＩＰネットワークＮ１と接続される。侵入検出防御装置３１、３２、３３は、それぞれＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワークＮ１１、Ｎ１２、Ｎ１３とルータ１１、１２、１３を接続する通信路に配備されている。ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４、Ｎ１５は、それぞれルータ１４、１５によりＩＰネットワークＮ１と接続される。集約型侵入検出防御装置１と管理装置２はルータ１６に収容され、ＩＰネットワークＮ１に接続する。

管理装置２は、図２に示すように、複数の防御対象ホスト２１，２２，２３，・・・により定義されるホストグループの情報データベース４１と、攻撃ターゲットホスト情報を受信したことをトリガに該情報に基づいて情報データベース４１を検索し、前記攻撃ターゲットホストと同じグループに属するホストグループの情報を取得する検索部４２、該ホストグループ宛てのトラヒックを集約型侵入検出防御装置１宛てにルーチングすることをルータ１１〜１５に対して指示し、ルーチング設定から一定時間経過すると、ルーチングの設定の解除をルータ１１〜１５に指示するルーチング指示部４３を有している。

侵入検出防御装置３１、３２、３３は、図３に示すように、防御対象ホスト２１、２２、２３，・・・宛てのパケットを監視して不正アクセスの検出を行う不正アクセス検出部５１と、不正アクセスを検出した場合に攻撃ターゲットホスト情報を管理装置２に通知する攻撃ターゲットホスト情報通知部５２を有している。

集約型侵入検出防御装置１は、図４に示すように、複数の防御対象ホスト２１、２２、２３，・・・宛てのパケットを監視して不正アクセスの検出を行う不正アクセス検出部６１と、不正アクセスを検出した場合に、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットをルータ１１〜１５に送信させるパケット制御部６２を有している。

図５は、図１のシステムによる不正アクセス防御処理手順を示すフローチャートである。

侵入検出防御装置３１、３２、３３は、不正アクセス検出部５１によりそれぞれＤＤｏＳ攻撃防御対象ホスト２１、２２、２３宛てのパケットを監視して不正アクセス判定を行い（ステップ１０１、１０２）、不正アクセスが検出されなかった場合、ステップ１０１を繰り返し、不正アクセスが検出された場合、攻撃ターゲットホスト情報通知部５２により攻撃ターゲットホスト情報を管理装置２に通知する（ステップ１０３）。ここで、攻撃ターゲットホスト情報とは、侵入検出防御装置３１の場合はＤＤｏＳ攻撃防御対象ホスト２１のＩＰアドレスａ．ａ．ａ．ａ、侵入検出防御装置３２の場合はＤＤｏＳ攻撃防御対象ホスト２２のＩＰアドレスｂ．ｂ．ｂ．ｂ、侵入検出防御装置３３の場合はＤＤｏＳ攻撃防御対象ホスト２３のＩＰアドレスｃ．ｃ．ｃ．ｃ、である。

管理装置２は、侵入検出防御装置３１、３２、３３のいずれかから攻撃ターゲットホスト情報を受信し（ステップ１０４）、検索部４により、管理装置２が保持するホストグループの情報データベース４１を検索して、受信した攻撃ターゲットホストと同じグループに属する他のホストのＩＰアドレスを取得し（ステップ１０５）、ルーチング部４３により、該ＩＰアドレスに宛先ＩＰアドレスがマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定を、ルータ１１、１２、１３、１４、１５に対して指示する（ステップ１０６）。

管理装置２が保持する情報データベース４１の構成例を表１に示す。表１を参照すると、ホストグループの情報データベース４１はＵＲＬアドレスとＩＰアドレスの組により構成される。情報データベース４１は、ＷＥＢサーバ、メールサーバ、ＤＮＳサーバ、ＳＩＰサーバなどＵＲＬアドレスが付与されたサーバのＵＲＬアドレスとＩＰアドレスの情報に基づいて、あらかじめ設定しておく。

ルータ１１、１２、１３、１４、１５は、管理装置２からルーチング設定指示を受信し（ステップ１０７）、該ルーチング設定指示に含まれるＩＰアドレスに宛先ＩＰアドレスがマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定を行う（ステップ１０８）。

集約型侵入検出防御装置１は、不正アクセス検出部６１により、受信するトラヒックを監視して不正アクセス判定を行い（ステップ１０９、１１０）、不正アクセスが検出されなかった場合、ステップ１０９、１１０を繰り返し、不正アクセスが検出された場合、パケット制御部６２により、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットをルータ１１〜１５に送信させる（ステップ１１１）。

管理装置２は、ルーチング指示部４３により、ステップ１０６のルーチング設定指示を行った時刻から一定時間経過したかどうかを判定し（ステップ１１２）、一定時間経過した場合、ステップ１０５で取得した該ＩＰアドレスに宛先ＩＰアドレスがマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定の解除を、ルータ１１、１２、１３、１４、１５に対して指示する（ステップ１１３）。

ルータ１１、１２、１３、１４、１５は、管理装置２からルーチング設定解除指示を受信し（ステップ１１４）、ステップ１１４で受信したルーチング設定解除指示に含まれるＩＰアドレスに宛先ＩＰアドレスがマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定の解除を行う（ステップ１１５）。

次に、ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４から、同一ＵＲＬアドレスを持つＷＥＢサーバであるＤＤｏＳ攻撃防御対象ホスト２１、２２、２３に対して同時にＤＤｏＳ攻撃が仕掛けられている場合における第１の実施形態の不正アクセス防御システムの動作を図５および表１に基づいて説明する。

初期状態では、侵入検出防御装置３１、３２、３３のステップ１０１の不正アクセス判定処理において不正アクセスが何も検出されておらず、集約型侵入検出防御装置１にはトラヒックが何も転送されない状態とする。侵入検出防御装置３１、３２、３３のステップ１０２の不正アクセス検出判定処理において、トラヒック流量が少ない場合であってもＤＤｏＳ攻撃の被疑を検出できるように、ＤＤｏＳ攻撃と判定するトラヒック流量しきい値をあらかじめ低く設定しておく。また、管理装置２のステップ１０５の検索処理に用いるホストグループの情報データベース４１として、表１に示す情報データベース４１を使用する。

これにより、ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４からＤＤｏＳ攻撃防御対象ホスト２１、２２、２３に対してＤＤｏＳ攻撃を仕掛けはじめてすぐに、侵入検出防御装置３１、３２、３３のいずれかの装置が、ステップ１０２の不正アクセス検出判定処理によりＤＤｏＳ攻撃を検出する。例えば、侵入検出防御装置３１がＤＤｏＳ攻撃防御対象ホスト２１に対するＤＤｏＳ攻撃を検出したとすれば、侵入検出防御装置３１が、ステップ１０２により、管理装置２にＤＤｏＳ攻撃防御対象ホスト２１のＩＰアドレスａ．ａ．ａ．ａを通知する。

管理装置２は、ステップ１０４により、ＤＤｏＳ攻撃防御対象ホスト２１のＩＰアドレスａ．ａ．ａ．ａを受信し、ステップ１０５により、ホストグループの情報データベース４１を検索する。表１のデータベースを参照すると、ＩＰアドレスａ．ａ．ａ．ａに対応するＵＲＬアドレスはｘｘｘ．ｘｘｘ．ｘｘｘであり、ＵＲＬアドレスｘｘｘ．ｘｘｘ．ｘｘｘに対応するＩＰアドレスはａ．ａ．ａ．ａおよびｂ．ｂ．ｂ．ｂおよびｃ．ｃ．ｃ．ｃであるため、管理装置２は、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレス（ａ．ａ．ａ．ａおよびｂ．ｂ．ｂ．ｂおよびｃ．ｃ．ｃ．ｃ）を取得し、ステップ１０６により、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレスにマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定をルータ１１、１２、１３、１４、１５に対して指示する。

ルータ１１、１２、１３、１４、１５は、ステップ１０７により管理装置２からルーチング設定指示を受信し、ステップ１０８により、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレスにマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定をそれぞれ行う。

これにより、ＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワークＮ１１、Ｎ１２、Ｎ１３およびＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４、Ｎ１５からＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレスのいずれかに宛てたトラヒックが集約型侵入検出防御装置１に転送される。このため、集約型侵入検出防御装置１は、ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４からＤＤｏＳ攻撃防御対象ホスト２１、２２、２３に対して同時に仕掛けられたＤＤｏＳ攻撃を集約して監視し、ステップ１０９によりＤＤｏＳ攻撃判定を行い、ステップ１１０によりＤＤｏＳ攻撃を検出し、ステップ１１１により、ＤＤｏＳ攻撃となるパケットを遮断し、ＤＤｏＳ攻撃とならないパケットをルータ１１，１２，１３，１４，１５に送信させる。これにより、ＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワークＮ１１、Ｎ１２、Ｎ１３およびＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４、Ｎ１５からＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレスのいずれかに宛てたトラヒックのうち、ＤＤｏＳ攻撃ではない正当なトラヒックは正常にＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワークＮ１１、Ｎ１２、Ｎ１３に対して転送される。

管理装置２は、ステップ１１２により、ステップ１０６のルーチング設定指示を行った時刻から一定時間経過したかどうかを判定し、一定時間経過した場合、ステップ１１３により、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレスにマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定の解除をルータ１１、１２、１３、１４、１５に対して指示する。

ルータ１１、１２、１３、１４、１５は、ステップ１１４により管理装置２からルーチング設定解除指示を受信し、ステップ１１５により、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレスにマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定の解除をそれぞれ行う。

これにより、集約型侵入検出防御装置１にトラヒックが転送されない初期状態に戻る。

ルータ１１、１２、１３、１４、１５がステップ１１５によりルーチング設定の解除を行った後も、ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワークＮ１４からＤＤｏＳ攻撃防御対象ホスト２１、２２、２３に対するＤＤｏＳ攻撃が終了していなかった場合、以上の動作を繰返すことによりＤＤｏＳ攻撃の防御が可能となる。

［第２の実施形態］
本発明の第２の実施形態の不正アクセス防御システムの構成は、図１に示される本発明の第１の実施形態と基本的に同じである。ただし、本実施形態における集約型侵入検出防御装置１は、図７に示すように、第１の実施形態の集約型侵入検出防御装置１に不正アクセス終了検出情報通知部６３が付加されている。また、管理装置２が保持するホストグループの情報データベース４１の構成は、表１に示される本発明の第１の実施形態におけるデータベース４１の構成と同じである。

図１のシステムを用いた本発明の第２の実施形態における不正アクセス防御処理手順を図６に示す。本発明の第２の実施形態における不正アクセス防御処理手順は、図５に示す本発明の第１の実施形態における不正アクセス防御処理手順のステップ１１２を行わず、図６に示すステップ１２１、１２２、１２３、１２４を追加したところが異なる。以下、追加変更部分についてのみ説明する。

集約型侵入検出防御装置１は、不正アクセス検出部６１により、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットを送信させ（ステップ１１１）、受信するトラヒックを監視して不正アクセス終了判定を行い（ステップ１２１、１２２）、不正アクセス終了が検出されなかった場合、ステップ１１１とステップ１２１、１２２を繰り返し、不正アクセス終了が検出された場合、不正アクセス終了検出情報通知部６３より、管理装置２に対し、不正アクセスの終了検出情報を通知する（ステップ１２３）。

管理装置２は、集約型侵入検出防御装置１から不正アクセスの終了検出情報を受信した場合（ステップ１２４）、ルーチング指示部４３により、ステップ１０４で取得した該ＩＰアドレスに宛先ＩＰアドレスがマッチするトラヒックを集約型侵入検出防御装置１に転送するルーチング設定の解除を、ルータ１１、１２、１３、１４、１５に対して指示する（ステップ１１３）。

［第３の実施形態］
本発明の第３の実施形態の集約型不正アクセス防御システムの構成および不正アクセス防御処理手順は、それぞれ図１と図５に示される本発明の第１の実施形態と基本的に同じである。管理装置２が保持するホストグループの情報データベース４１に対し、本発明の第３の実施形態によるデータベースの構成例を表２に示す。表２を参照すると、ホストグループの情報データベース４１は、カテゴリ識別子とＩＰアドレスの組により構成される。

該データベース４１は、例えば、防御対象ホストの管理組織、防御対象ホストの種別、防御対象ホストの設置場所、防御対象ホストが提供するコンテンツの種別など、防御対象ホストの特徴に基づいてあらかじめ設定しておく。

防御対象ホストの管理組織に基づく場合、例えば、組織Ａが管理するメールサーバとＷＥＢサーバにカテゴリ識別子を１つ割り当て、組織Ｂが管理するメールサーバとＷＥＢサーバには、組織Ａとは異なるカテゴリ識別子を１つ割当てる。

防御対象ホストの種別に基づく場合、例えば、すべてのメールサーバに１つのカテゴリ識別子を割り当て、すべてのＷＥＢサーバに、メールサーバと異なる１つのカテゴリ識別子を割当てる。

防御対象ホストの設置場所に基づく場合、例えば、日本に設置されたホストに１つのカテゴリ識別子を割り当て、米国に設置されたホストに、日本に設置されたホストと異なる１つのカテゴリ識別子を割当てる。

防御対象ホストが提供するコンテンツの種別に基づく場合、例えば、ＷｅｂＲｉｎｇなどにより相互にリンクを張っている一連のＷＥＢサーバ群を単位にカテゴリ識別子を１つ割当てる。

防御対象ホストが提供するコンテンツの種別に基づく場合の別の例として、例えば、音楽に関するサーバに１つのカテゴリ識別子を割り当て、映画に関するサーバには、音楽に関するサーバとは異なるカテゴリ識別子を１つ割当てる。コンテンツ種別の分類は、趣向や思想などに基づいてもよい。

図５に示す管理装置２が、ステップ１０４により、ＤＤｏＳ攻撃防御対象ホスト２１のＩＰアドレスａ．ａ．ａ．ａを受信し、ステップ１０５により、表２に示すホストグループの情報データベース４１を検索する場合、ＩＰアドレスａ．ａ．ａ．ａに対応するカテゴリ識別子は１００１であり、カテゴリ識別子１００１に対応するＩＰアドレスはａ．ａ．ａ．ａおよびｂ．ｂ．ｂ．ｂおよびｃ．ｃ．ｃ．ｃであるため、管理装置２は、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレス（ａ．ａ．ａ．ａおよびｂ．ｂ．ｂ．ｂおよびｃ．ｃ．ｃ．ｃ）を取得する。

［第４の実施形態］
本発明の第４の実施形態の集約型不正アクセス防御システムの構成および不正アクセス防御処理手順は、それぞれ図１と図５に示される本発明の第１の実施形態と基本的に同じである。

本発明の第４の実施形態では、図１に示す集約型侵入検出防御装置１および管理装置２の管理者と、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の管理者が異なる場合を想定する。図１に示す集約型侵入検出防御装置１と管理装置２の管理者を不正アクセス防御サービス提供者と呼ぶこととする。また、ＤＤｏＳ攻撃防御対象ホストごとに管理者が異なっている場合を想定し、各管理者をユーザと呼ぶこととする。１ユーザが複数のＤＤｏＳ攻撃防御対象ホストを管理していてもよい。

管理装置２が保持する、本発明の第４の実施形態によるデータベース４１の構成例を表３に示す。

表３を参照すると、ホストグループの情報データベース４１は、ユーザ識別子とカテゴリ識別子とＩＰアドレスの組により構成される。各ユーザは、各自が管理しているＤＤｏＳ攻撃防御対象ホストに対し、どのようにカテゴリ分けするかをあらかじめ決めておき、その内容を不正アクセス防御サービス提供者に通知する。その内容に基づき、不正アクセス防御サービス提供者は、表３に示すホストグループの情報データベース４１をあらかじめ設定しておく。

図５に示す管理装置２が、ステップ１０４により、ＤＤｏＳ攻撃防御対象ホスト２１のＩＰアドレスａ．ａ．ａ．ａを受信し、ステップ１０５により、表３に示すホストグループの情報データベース４１を検索する場合、ＩＰアドレスａ．ａ．ａ．ａに対応するユーザ識別子とカテゴリ識別子はそれぞれＡと２００１であり、ユーザ識別子Ａおよびカテゴリ識別子２００１に対応するＩＰアドレスはａ．ａ．ａ．ａおよびｂ．ｂ．ｂ．ｂおよびｃ．ｃ．ｃ．ｃであるため、管理装置２は、ＤＤｏＳ攻撃防御対象ホスト２１、２２、２３の３つのＩＰアドレス（ａ．ａ．ａ．ａおよびｂ．ｂ．ｂ．ｂおよびｃ．ｃ．ｃ．ｃ）を取得する。

［変形例］
上記の第１から第４の実施形態では、ＩＰアドレスを用いてホストグループの情報データベース４１を構成したが、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）タイプ、ＩＣＭＰコードのいずれかおよびそれらの組合せによりパケット識別子をあらかじめ定義し、ＩＰアドレスの代わりにパケット識別子を用いる場合についても同様である。表１に示すデータベースでは、ＵＲＬアドレスとパケット識別子の組により構成すればよく、表２に示すデータベースでは、カテゴリ識別子とパケット識別子の組により構成すればよい。表３に示すデータベースでは、ユーザ識別子とカテゴリ識別子とパケット識別子の組により構成すればよい。

なお、本発明は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピューター読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピューターシステムに読み込ませ、実行するものであってもよい。コンピューター読み取り可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピューターシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピューター読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバーとなるコンピューターシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。

本発明の第１の実施形態の不正アクセス防御システムの構成図である。 管理装置の構成図である。 侵入検出防御装置の構成図である。 集約型侵入検出防御装置の構成図である。 本発明の第１の実施形態による不正アクセス防御システムの処理の手順を示すフローチャートである。 本発明の第２の実施形態による不正アクセス防御システムの処理の手順を示すフローチャートである。 第２の実施形態の不正アクセス防御システムにおける集約型侵入検出防御装置の構成図である。

符号の説明

１ 集約型侵入検出防御装置
２ 管理装置
１１、１２、１３、１４、１５、１６ ルータ
２１、２２、２３ ＤＤｏＳ攻撃防御対象ホスト
３１、３２、３３ 侵入検出防御装置
４１ 情報データベース
４２ 検索部
４３ ルーチング指示部
５１ 不正アクセス検出部
５２ 攻撃ターゲットホスト情報通知部
６１ 不正アクセス検出部
６２ パケット制御部
６３ 不正アクセス終了検出情報通知部
Ｎ１ ＩＰネットワーク
Ｎ１１、Ｎ１２、Ｎ１３ ＤＤｏＳ攻撃防御対象ホスト収容ＩＰネットワーク
Ｎ１４、Ｎ１５ ＤＤｏＳ攻撃防御対象ホスト非収容ＩＰネットワーク
１０１〜１１５、１２１〜１２４ ステップ

Claims (13)

1. 複数の防御対象ホストにより定義されるホストグループの情報データベースと、攻撃ターゲットホスト情報を受信したことをトリガに該情報に基づいて前記情報データベースを検索し、前記攻撃ターゲットホストが属するホストグループの情報を取得する手段と、該ホストグループ宛てのトラヒックを、該トラヒックをすべて集約して受信することで合わせて監視して不正アクセスを検出し、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットをルータ、ゲートウェイ、または通信装置に送信させる集約型侵入検出防御装置宛てにルーチングすることを前記ルータ、ゲートウェイ、または通信装置に対して指示するルーチング指示手段を有する管理装置。
2. 前記ルータ、ゲートウェイ、または通信装置に対してルーチング指示した後に、前記ルータ、ゲートウェイ、または通信装置に対してルーチング設定の解除指示を行う手段をさらに有する、請求項１に記載の管理装置。
3. 不正アクセス終了検出情報を受信したことをトリガに、前記ルータ、ゲートウェイ、または通信装置に対してルーチング設定の解除指示を行う手段をさらに有する、請求項１に記載の管理装置。
4. 前記情報データベースが、宛先ＩＰアドレスとサブネットマスク、プロトコル番号、宛先ポート番号のいずれかおよびそれらの組合せによりあらかじめ定義されたパケット識別子と、ＵＲＬアドレスの組により構成される、請求項１から３のいずれかに記載の管理装置。
5. 前記情報データベースが、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰタイプ、ＩＣＭＰコードのいずれかおよびそれらの組合せによりあらかじめ定義されたパケット識別子と、防御対象ホストの管理組織、防御対象ホスト種別、防御対象ホスト設置場所、防御対象ホストが提供するコンテンツの種別のいずれかの特徴に基づいてあらかじめ設定されたカテゴリ識別子の組により構成される、請求項１から３のいずれかに記載の管理装置。
6. 前記情報データベースが、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰタイプ、ＩＣＭＰコードのいずれかおよびそれらの組合せによりあらかじめ定義されたパケット識別子と、攻撃防御対象ホストの管理者に基づいてあらかじめ設定されたユーザ識別子と、防御対象ホストの管理組織、防御対象ホストの種別、防御対象ホストの設置場所、防御対象ホストが提供するコンテンツの種別のいずれかの特徴に基づいてあらかじめ設定されたカテゴリ識別子の組により構成される、請求項１から３のいずれかに記載の管理装置。
7. ネットワークを経由した不正アクセスを検出し、該不正アクセスに関わるパケットを廃棄する不正アクセス防御システムであって、
   複数の防御対象ホスト宛てのトラヒックを集約して監視できる位置に配備され、前記複数の防御対象ホスト宛てのパケットをすべて集約して受信することで合わせて監視して不正アクセスの検出を行う手段と、不正アクセスを検出した場合に、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットをルータ、ゲートウェイ、または通信装置に送信させる手段を含む集約型侵入検出防御装置と、
   複数の防御対象ホストにより定義されるホストグループの情報データベースと、攻撃ターゲットホスト情報を受信したことをトリガに該情報に基づいて前記情報データベースを検索し、前記攻撃ターゲットホストが属するホストグループの情報を取得する手段と、該ホストグループ宛てのトラヒックを前記集約型侵入検出防御装置宛てにルーチングすることをルータ、ゲートウェイ、または通信装置に対して指示するルーチング指示手段を含む管理装置と、
   前記防御対象ホスト宛てのパケットを監視できる位置にそれぞれ配備され、前記防御対象ホスト宛てのパケットを監視して不正アクセスの検出を行う手段と、不正アクセスを検出した場合に攻撃ターゲットホスト情報を前記管理装置に通知する手段を含む侵入検出防御装置と、
   を有する不正アクセス防御システム。
8. ネットワークを経由した不正アクセスを検出し、該不正アクセスに関わるパケットを廃棄する不正アクセス防御システムであって、
   複数の防御対象ホスト宛てのトラヒックを集約して監視できる位置に配備され、不正アクセス防御サービス提供者によって管理され、前記複数の防御対象ホスト宛てのパケットをすべて集約して受信することで合わせて監視して不正アクセスの検出を行う手段と、不正アクセスを検出した場合に、不正アクセスとなるパケットを遮断し、不正アクセスとならないパケットをルータ、ゲートウェイ、または通信装置に送信させる手段を含む集約型侵入検出防御装置と、
   前記複数の防御対象ホストにより定義されるホストグループの情報データベースと、攻撃ターゲットホスト情報を受信したことをトリガに該情報に基づいて前記情報データベースを検索し、前記攻撃ターゲットホストが属するホストグループの情報を取得する手段と、該ホストグループ宛てのトラヒックを前記集約型侵入検出防御装置宛てにルーチングすることをルータ、ゲートウェイ、または通信装置に対して指示するルーチング指示手段と、前記不正アクセス防御サービス提供者が、ホスト管理者の申告に基づき、前記情報データベースの内容を登録するための手段を含む管理装置と、
   前記防御対象ホスト宛てのパケットを監視できる位置にそれぞれ配備され、不正アクセス防御サービス提供者によって管理され、前記不正アクセス防御サービス提供者とは異なる複数のホスト管理者によって管理されている前記防御対象ホスト宛てのパケットを監視して不正アクセスの検出を行う手段と、不正アクセスを検出した場合に攻撃ターゲットホスト情報を前記管理装置に通知する手段を含む侵入検出防御装置と、
   を有する不正アクセス防御システム。
9. 前記管理装置が、前記ルータ、ゲートウェイ、または通信装置に対してルーチング指示した後に、前記ルータ、ゲートウェイ、または通信装置に対してルーチング設定の解除指示を行う手段をさらに含む、請求項７または８に記載の不正アクセス防御システム。
10. 前記管理装置が、不正アクセス終了検出情報を受信したことをトリガに、前記ルータ、ゲートウェイ、または通信装置に対してルーチング設定の解除指示を行う手段をさらに含む、請求項７または８に記載の不正アクセス防御システム。
11. 前記情報データベースが、宛先ＩＰアドレスとサブネットマスク、プロトコル番号、宛先ポート番号のいずれかおよびそれらの組合せによりあらかじめ定義されたパケット識別子と、ＵＲＬアドレスの組により構成される、請求項８から１０のいずれかに記載の不正アクセス防御システム。
12. 前記情報データベースが、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰタイプ、ＩＣＭＰコードのいずれかおよびそれらの組合せによりあらかじめ定義されたパケット識別子と、防御対象ホストの管理組織、防御対象ホストの種別、防御対象ホストの設置場所、防御対象ホストが提供するコンテンツの種別のいずれかの特徴に基づいてあらかじめ設定されたカテゴリ識別子の組により構成される、請求項８から１０のいずれかに記載の不正アクセス防御システム。
13. 前記情報データベースが、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰタイプ、ＩＣＭＰコードのいずれかおよびそれらの組合せによりあらかじめ定義されたパケット識別子と、防御対象ホストの管理者に基づいてあらかじめ設定されたユーザ識別子と、防御対象ホストの管理組織、防御対象ホストの種別、防御対象ホストの設置場所、防御対象ホストが提供するコンテンツの種別のいずれかの特徴に基づいてあらかじめ設定されたカテゴリ識別子の組により構成される、請求項８から１０のいずれかに記載の不正アクセス防御システム。

Images