JP4391455B2

JP4391455B2 - ＤＤｏＳ攻撃に対する不正アクセス検知システム及びプログラム

Info

Publication number: JP4391455B2
Application number: JP2005256176A
Authority: JP
Inventors: 順一吉田; 勝片山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-09-05
Filing date: 2005-09-05
Publication date: 2009-12-24
Anticipated expiration: 2025-09-05
Also published as: JP2007074087A

Description

本発明は、ＤＤｏＳ（Distributed Denial of Service）攻撃に対処可能なシステム及びプログラムに関するものである。

一般に、インターネットにおけるＤＤｏＳ攻撃とは、ネットワーク上のサーバが提供するサービスを妨害することであり、そのサービスを機能させない攻撃のことを示す。このＤＤｏＳ攻撃は、標的となるサーバに対してＩＰパケットを大量に送信することにより、ネットワーク及びサーバのリソースを消費させ、サービスを妨害しまたはサービスを拒否させるものである。

近年、既に社会インフラとなりつつあるインターネットを利用することにより、安定したサービスを提供する必要性が高くなっているものの、このようなネットワーク回線を食いつぶすＤＤｏＳ攻撃が増加傾向にある。そこで、このようなＤＤｏＳ攻撃に対して、キャリア網においても積極的に対策を講じる必要がある。

前述のＤＤｏＳ攻撃の一つに用いられるＩＰフラグメントフラッド（Ｆｌｏｏｄ）攻撃パケットに着目すると、ユーザ端末のアプリケーションがイーサネット（登録商標）の最大転送単位（Ethernet（登録商標） MTU）より大きなサイズのパケットを送信する場合にも、ＩＰフラグメンテーションが起こり得るため、正規のＩＰフラグメントパケットまでが制限されてしまうという問題があった。

この問題を解決するために、パケットの組立てが必要なＩＰパケットの不正アクセスを解析する場合において、パケットを効率よく保持しながら、パケットの組立てを必要とするＴＣＰ／ＩＰの不正アクセスを検知するリアセンブルチェックを行う（例えば、非特許文献１を参照）。

永嶋規充、外２名、「侵入検知システムの性能評価」、マルチメディア，分散，協調とモバイル（ＤＩＣＯＭＯ２００４）シンポジウム論文集、情報処理学会、平成１６年７月７日、Ｐ．８９−９２

しかしながら、リアセンブルチェックでは、その際にパケットを組立てる処理が発生するため、高速なネットワークに適用することが困難である。

そこで、本発明は、上記課題を解決するためになされたものであり、その目的は、ＩＰフラグメントパケットの組立て処理を行わないで、かつ、パケット中に含まれるデータセグメントのコピーをセッション情報と関連付けて保持することなく、擬似的なリアセンブルチェックにより分析を行い、ネットワークのトラヒックを監視することにより、正規のＩＰフラグメントパケットと攻撃用のＩＰフラグメントパケットとを区別し、ＤＤｏＳ攻撃に対する不正アクセスを検知可能なシステム及びプログラムを提供することにある。

本発明による不正アクセス検知システムは、端末からＩＰパケットを受信し、該ＩＰパケットからＤＤｏＳ攻撃による不正アクセスを検知するシステムにおいて、受信したＩＰパケットがＩＰフラグメントパケットである場合に、該ＩＰフラグメントパケットのヘッダ情報に設定されたフラグメントオフセット値と、ＩＰフラグメントパケットのデータ長に基づいて算出したオフセット値とを比較する手段と、前記フラグメントオフセット値と算出したオフセット値とが一致しない場合に、予め設定された時間内に、前記一致しないＩＰフラグメントパケットを連続して受信した回数と、予め設定された閾値とを比較し、該受信した回数が閾値以上のときは、ＤＤｏＳ攻撃による不正アクセスであることを判定する手段とを備えたことを特徴とする。

また、本発明による不正アクセス検知システムは、さらに、前記フラグメントオフセット値と算出したオフセット値とが一致する場合に、前記受信したＩＰフラグメントパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに登録する手段と、端末からＩＰパケットを受信し、該ＩＰパケットの送信元の端末のユーザ情報と前記正規ユーザリストに登録されているユーザ情報とを照合し、該照合が一致した場合に、正常なアクセスであることを判定する手段とを備えたことを特徴とする。

また、本発明による不正アクセス検知システムは、さらに、前記ＤＤｏＳ攻撃による不正アクセスであると判定されたＩＰフラグメントパケットがＴＣＰを利用したものである場合に、該ＩＰフラグメントパケットのヘッダ情報を再送リストに登録し、該ＩＰフラグメントパケットを廃棄する手段と、端末からＩＰパケットを受信し、該ＩＰパケットのヘッダ情報と前記再送リストに登録されているヘッダ情報とを照合し、該照合が一致した場合に、前記受信したＩＰパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに登録する手段とを備えたことを特徴とする。

また、本発明による不正アクセス検知プログラムは、ＩＰパケットを送信する端末と、該端末からＩＰパケットを受信して転送する装置と、該装置からＩＰパケットを受信するサーバとを備えたシステムの下で、前記端末からサーバに対するＤＤｏＳ攻撃による不正アクセスを検知するプログラムであって、前記装置を構成するコンピュータに、受信したＩＰパケットがＩＰフラグメントパケットである場合に、該ＩＰフラグメントパケットのヘッダ情報に設定されたフラグメントオフセット値と、ＩＰフラグメントパケットのデータ長に基づいて算出したオフセット値とを比較する処理と、前記フラグメントオフセット値と算出したオフセット値とが一致しない場合に、予め設定された時間内に、前記一致しないＩＰフラグメントパケットを連続して受信した回数と、予め設定された閾値とを比較し、該受信した回数が閾値以上のときは、ＤＤｏＳ攻撃による不正アクセスであることを判定する処理とを実行させることを特徴とする。

また、本発明による不正アクセス検知プログラムは、前記コンピュータに、さらに、前記フラグメントオフセット値と算出したオフセット値とが一致する場合に、前記受信したＩＰフラグメントパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに処理と、端末からＩＰパケットを受信し、該ＩＰパケットの送信元の端末のユーザ情報と前記正規ユーザリストに登録されているユーザ情報とを照合し、該照合が一致した場合に、正常なアクセスであることを判定する処理とを実行させることを特徴とする。

また、本発明による不正アクセス検知プログラムは、前記コンピュータに、さらに、前記ＤＤｏＳ攻撃による不正アクセスであると判定されたＩＰフラグメントパケットがＴＣＰを利用したものである場合に、該ＩＰフラグメントパケットのヘッダ情報を再送リストに登録し、該ＩＰフラグメントパケットを廃棄する処理と、端末からＩＰパケットを受信し、該ＩＰパケットのヘッダ情報と前記再送リストに登録されているヘッダ情報とを照合し、該照合が一致した場合に、前記受信したＩＰパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに登録する処理とを実行させることを特徴とする。

本発明によれば、ＩＰフラグメントパケットの組立て処理を行わないで、かつ、パケット中に含まれるデータセグメントのコピー処理をセッション情報と関連付けて保持することなく、擬似的なリアセンブルチェックにより分析を行うようにした。これにより、正規のＩＰフラグメントパケットと攻撃用のＩＰフラグメントパケットとを区別し、ＤＤｏＳ攻撃に対する不正アクセスを検知することができる。

以下、本発明の実施の形態について図面を用いて詳細に説明する。
図１は、本発明の実施の形態による不正アクセス検知システムを備えたネットワーク図である。このネットワークは、インターネット１、不正アクセス検知システム１０〜１２，ユーザ端末２０、攻撃者端末２１、及びターゲットサーバ２２から構成されている。ユーザ端末２０及び攻撃者端末２１は、アクセス網により不正アクセス検知システム１１に接続され、ターゲットサーバ２２は、アクセス網により不正アクセス検知システム１０に接続される。また、ユーザ端末２０及び攻撃者端末２１とターゲットサーバ２２とは、それぞれのアクセス網及びインターネット１により、不正アクセス検知システム１０〜１２を介して接続される。

不正アクセス検知システム１０〜１２は、インターネット１上の通信機器及び社内ネットワークへの不正侵入及び攻撃を監視し、当該侵入及び攻撃に対処する。ユーザ端末２０は、ターゲットサーバ２２との間で正常に通信を行い、攻撃者端末２１は、ターゲットサーバ２２に対して不正侵入及び攻撃を行うものとする。ここで、ターゲットサーバ２２は、不正侵入及び攻撃の対象となるサーバであるものとする。

図２は、図１に示した不正アクセス検知システム１０の構成を示す図である。この不正アクセス検知システム１０は、ネットワークインタフェース３１，３４、不正アクセス解析部３２、フィルタ部３３、ネットワークインタフェース３４、正規ユーザリスト３６、及び再送リスト３７を備えている。尚、図２では、不正アクセス検知システム１０が元来備えている構成部は省略されており、本発明を適用するために必要な構成部のみが示されている。

ネットワークインタフェース３１は、図１に示したインターネット１に接続され、ネットワークインタフェース３４は、ターゲットサーバ２２を有する例えば社内ネットワークを含むアクセス網３５に接続される。正規ユーザリスト３６及び再送リスト３７は、図示しない記憶部に記憶されており、正規ユーザリスト３６には、ターゲットサーバ２２にアクセス可能なユーザ端末のアドレス（送信元アドレス）等の正規ユーザ情報が登録され、再送リスト３７には、廃棄されたパケットのヘッダ情報が登録されている。不正アクセス解析部３２は、正規ユーザリスト３６及び再送リスト３７を検索する検索部３８、疑似リアセンブルチェックを行うリアセンブルチェック部３９、及び、閾値判断を行う閾値判定部４０を備えている。フィルタ部３３は、ＩＰパケットのフィルタ処理を行う。

図３は、図１及び図２に示した不正アクセス検知システム１０の動作を示すフローチャート図である。以下、図１に示したネットワークにおいて、インターネット１上のターゲットサーバ２２を標的にしたＤｏＳ攻撃またはＤＤｏＳ攻撃に対処可能なＩＰフラグメントフラッド攻撃の防御方法について説明する。

いま、図１において、ユーザ端末２０とターゲットサーバ２２との間で通信が行われている状況の下、攻撃者端末２１が、ターゲットサーバ２２に対して、ＩＰフラグメントフラッド攻撃を行っている場合を想定する。この場合、ＩＰフラグメントフラッド攻撃は、ターゲットサーバ２２のＣＰＵ資源及びリアセンブルバッファを枯渇させることを目的としているため、攻撃者端末２１は、ターゲットサーバ２２に対して、シーケンス抜けのＴＣＰセグメントのＩＰパケット、または、同一内容のＩＰフラグメントデータグラムをコピーしたＩＰパケット（ＩＰヘッダ及びデータともに同一内容を有するＩＰパケット）を連続して多量に送信する。また、ＤＤｏＳ攻撃において多くの場合、攻撃者端末２１は、送信元を隠すために送信元アドレスを詐称する。このため、ＴＣＰによるＩＰフラグメントフラッド攻撃において、攻撃者端末２１は、ターゲットサーバ２２との間の経路の途中で前述したＩＰパケットが廃棄された場合には、そのことを検知することができないから再送信制御を行うことができない。

図３を参照して、不正アクセス検知システム１０の不正アクセス解析部３２は、インターネット１を介してネットワークインタフェース３１からＩＰパケットを受信する（ステップＳ１１０）。不正アクセス解析部３２の検索部３８は、受信したＩＰパケットについて、正規ユーザリスト３６を検索し、当該ＩＰパケットの送信元であるユーザ情報が登録されているか否か、すなわち正規ユーザであるか否かを照合する（ステップＳ１２０）。

正規ユーザリスト３６に当該ＩＰパケットの送信元であるユーザ情報が登録されていると判断した場合は、不正アクセス解析部３２は、正規ユーザによるＩＰパケットであるとして、フィルタ部３３及びネットワークインタフェース３４を介して当該ＩＰパケットをアクセス網３５へ送信する（ステップ１３０，１４０）。

正規ユーザリスト３６に当該ＩＰパケットの送信元であるユーザ情報が登録されていないと判断した場合は、検索部３８は、受信したＩＰパケットについて、再送リスト３７を検索し、当該ＩＰパケットのヘッダ情報と同一のヘッダ情報が登録されているか否か、すなわち当該ＩＰパケットが再送されたものであると認められるか否かを照合する（ステップＳ１５０）。ここで、再送リスト３７には、フィルタ部３３がＩＰパケットを廃棄した場合に、その廃棄パケットのヘッダ情報が登録されている。

ステップ１５０において、再送リスト３７に当該ＩＰパケットのヘッダ情報と同一のヘッダ情報が登録されていると判断した場合は、検索部３８は、ＩＰパケットは再送されたものと認められるとして、そのユーザ情報を正規ユーザリスト３６に登録し（ステップＳ２２０）、不正アクセス解析部３２は、正規ユーザによるＩＰパケットであるとして、フィルタ部３３及びネットワークインタフェース３４を介して当該ＩＰパケットをアクセス網３５へ送信する（ステップ１３０，１４０）。ここで、前述したように、ＩＰフラグメントフラッド攻撃において、攻撃者端末２１は廃棄されたＩＰパケットを再送信できないから、再送信されたＩＰパケットは正規ユーザにより再送信されたＩＰパケットであるとして、そのユーザ情報が正規ユーザリスト３６に登録される。

また、ステップ１５０において、再送リスト３７に当該ＩＰパケットのヘッダ情報と同一のヘッダ情報が登録されていないと判断した場合は、検索部３８は、当該ＩＰパケットをリアセンブルチェック部３９に転送し、ステップ１６０へ移行する。

また、ステップ１５０において、検索部３８は、フィルタ部３３が廃棄パケットのヘッダ情報を再送リスト３７に登録してから時間経過を監視する。そして、予め設定された時間内に、登録されたヘッダ情報と同一のヘッダ情報を有するＩＰパケットを受信しない場合、すなわち、予め設定された時間内に、受信したＩＰパケットが再送されたものであると認められない場合には、検索部３８はその後に受信した同一のヘッダ情報を有するＩＰパケット（後続のＩＰパケット）をフィルタ部３３に転送する。そして、フィルタ部３３は、転送されたＩＰパケットを攻撃ＩＰパケットであると判断し、一定時間の間、ネットワークインタフェース３４を介してアクセス網３５へ送信する機能を停止（転送を拒否／ＩＰパケットを廃棄）する（ステップＳ２３０，２４０）。

リアセンブルチェック部３９は、検索部３８からＩＰパケットが転送されると、ステップ１６０の処理を行う。すなわち、リアセンブルチェック部３９は、ＩＰパケットがＩＰフラグメントパケットの場合に、ヘッダ情報に含まれるＭＦ（MoreFragments）ビットが１でフラグメント・オフセット値が０の場合は１番目のＩＰフラグメントパケットであると認識し、その後に、送信元ＩＰアドレス及び宛先ＩＰアドレスとデータグラムを識別する１６ビットの識別子（Identification）とから成るペアの情報を用いて、同一グループに属する２番目以降のＩＰフラグメントパケットを識別し、そのフラグメントパケット番号を保持する。また、リアセンブルチェック部３９は、転送されたＩＰパケットがｎ番目のＩＰフラグメントパケットの場合、そのヘッダ情報に含まれるフラグメント・オフセット値ＦＯ_ｎを取り出す。また、既に受信している１番目のＩＰフラグメントパケットのデータ長をＤＬ_１（ＤＬ_１＝Total Length−Internet Header Length（パケットの全長−ヘッダ情報の長さ））として、ＤＬ_１×（ｎ−１）を計算し、ＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立つか否かを確認する。また、リアセンブルチェック部３９は、転送されたＩＰフラグメントパケットのヘッダ情報に含まれるＭＦビットが０（同一グループの最後のＩＰフラグメントパケットであることを示す）である場合、または、一定時間後続のＩＰフラグメントパケットが転送されないためタイムアウトした場合に、そのグループにおいて保持しているフラグメントパケット番号を開放する。

ステップ１６０において、ＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立つ場合は、リアセンブルチェック部３９は、転送されたＩＰフラグメントパケットが攻撃ＩＰフラグメントパケットではなく正規ＩＰフラグメントパケットであるとして、そのユーザ情報を正規ユーザリスト３６に登録し（ステップＳ２２０）、不正アクセス解析部３２は、フィルタ部３３及びネットワークインタフェース３４を介して当該ＩＰパケットをアクセス網３５へ送信する（ステップ１３０，１４０）。

また、ステップ１６０において、ＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立たない場合は、リアセンブルチェック部３９は、当該ＩＰフラグメントパケットを閾値判定部４０に転送し、ステップ１７０へ移行する。

ここで、攻撃者端末２１が、ターゲットサーバ２２に対して、フラグメント・オフセット値を調整し、パケット組立て時にデータ内容が重複するようなフラグメントオーバーラップさせる攻撃のためのＩＰフラグメントパケットを送信している場合、または、同一内容のＩＰフラグメントデータグラムのコピーを連続して多量に送信している場合には、リアセンブルチェック部３９は、２番目以降の後続するＩＰフラグメントパケットの受信数ｎに応じてＤＬ_１×（ｎ−１）を計算するが、転送されたＩＰフラグメントパケットのフラグメント・オフセット値に正しい値が設定されていないから、ＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立たないことを確認する。この場合、リアセンブルチェック部３９は、ＩＰフラグメントオーバーラップ攻撃であることを検知することができる。

また、攻撃者端末２１が、ターゲットサーバ２２に対して、シーケンス抜けのＴＣＰセグメントのＩＰフラグメントパケットを送信している場合には、リアセンブルチェック部３９は、正しいｎ番目のＩＰフラグメントパケットが検索部３８から転送されない。つまり、転送されたＩＰフラグメントパケットのフラグメント・オフセット値に正しい値が設定されていないから、ＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立たないことを確認する。この場合、リアセンブルチェック部３９は、ＩＰパケット抜けのＴＣＰセグメントの攻撃であることを検知することができる。

このＩＰパケット抜けのＴＣＰセグメントの攻撃であることを検知するために、リアセンブルチェック部３９は、同一グループのＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立たないＩＰフラグメントパケットが転送されてから時間監視を行うようにしてもよい。この場合、予め設定された時間経過後、タイムアウトによって当該攻撃を検知することができる。例えば、攻撃者端末２１が、ターゲットサーバ２２に対して、３番目のＩＰフラグメントパケット抜けの攻撃を行っている場合、リアセンブルチェック部３９は、それ以前に正しく転送されたＩＰフラグメントパケットのフラグメントパケット番号＝２を保持している。リアセンブルチェック部３９は、同一グループのＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立たないＩＰフラグメントパケットが転送されてから、予め設定された時間経過後タイムアウトにより３番目のパケット抜けを認識する。この場合、リアセンブルチェック部３９は、転送されたＩＰフラグメントパケットのヘッダ情報に含まれるＭＦビットが０となるまで、または、一定時間後続のＩＰフラグメントパケットが転送されないためタイムアウトするまでは、そのグループにおけるフラグメントパケット番号を保持する。

尚、前述の例では、リアセンブルチェック部３９は、ＦＯ_ｎ＝ＤＬ_１×（ｎ−１）の関係が成り立つか否かを確認する。しかし、一般に、インターネット１上においてＩＰフラグメントパケットの順番が入れ代わることがある。したがって、順番の入れ代わりを考慮した関係式（ＦＯ_ｎ＝ＤＬ_１×（ｎ−１±ｍ）、ｍは順番の入れ代わりを考慮したパラメータ、例えばｍ＝−２，−１，０，１，２）により、疑似リアセンブルチェックを行うようにしてもよい。例えば、保持しているフラグメントパケット番号が１０の場合は、次に転送されてくるＩＰフラグメントパケットの番号は１１であるが、順番が入れ代わることを考慮して±２の幅をもって疑似リアセンブルチェックを行う。具体的には、ＦＯ_ｎ＝ＤＬ_１×８、ＦＯ_ｎ＝ＤＬ_１×９、ＦＯ_ｎ＝ＤＬ_１×１０、ＦＯ_ｎ＝ＤＬ_１×１１、ＦＯ_ｎ＝ＤＬ_１×１２の関係が成り立つか否かを確認する。

閾値判定部４０は、リアセンブルチェック部３９からＩＰフラグメントパケットが転送されると、ステップ１７０の処理を行う。すなわち、閾値判定部４０は、当該ＩＰフラグメントパケットから特定ビットパターン（ＩＰフラグメントパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、プロトコル、フラグ（flags：最後のフラグメントパケットであるか否かを示す情報／ＭＦビット）、識別子（identifier：同一グループのＩＰフラグメントパケットであることを示す情報／フラグメント識別子）等から成るパターン）を取り出し、その特定ビットパターンが既に取り出しているパターンと同一であるか否かを判断する（ステップＳ１７０）。具体的には、閾値判定部４０は、ターゲットサーバ２２に対して予め設定された時間内に、所定の閾値以上連続的に同一の特定ビットパターンのＩＰフラグメントパケットが転送されたか否かを判断する。

ステップ１７０において、所定の閾値以上連続してＩＰフラグメントパケットが転送されていない場合（閾値以下の場合）は、閾値判定部４０は、フィルタ部３３及びネットワークインタフェース３４を介して当該ＩＰパケットをアクセス網３５へ送信する（ステップ１３０，１４０）。

また、ステップ１７０において、所定の閾値以上連続してＩＰフラグメントパケットが転送された場合は、閾値判定部４０は、ＩＰフラグメントフラッド攻撃を検出したとして、当該ＩＰパケットのプロトコルがＴＣＰであるか否か判断する（ステップＳ１８０）。

ステップ１８０において、プロトコルがＴＣＰである場合は、フィルタ部３３は、閾値判定部４０により判定されたＩＰパケットを廃棄し（ステップＳ１９０）、当該廃棄パケットのヘッダ情報を再送リスト３７に登録する（ステップＳ２００）。

また、ステップ１８０において、プロトコルがＴＣＰでない場合は、フィルタ部３３は、不正アクセス解析部３２がその後に受信した後続の攻撃ＩＰフラグメントパケットに対して、一定時間の間、ネットワークインタフェース３４を介してアクセス網３５へ送信する機能を停止（転送を拒否／ＩＰパケットを廃棄）する（ステップＳ２５０，２６０）。

以上のように、本発明の実施の形態による不正アクセス検知システムによれば、リアセンブルチェック部３９が、受信したＩＰフラグメントパケットのヘッダ情報に含まれるフラグメント・オフセット値を取り出し、既に受信している１番目のＩＰフラグメントパケットのデータ長ＤＬ_１からオフセット値を計算し、取り出したフラグメント・オフセット値と計算したオフセット値とを比較するようにした。これにより、正規ＩＰフラグメントパケットと攻撃ＩＰフラグメントパケットとを区別してフィルタリングすることができる。

また、本発明の実施の形態による不正アクセス検知システムによれば、フィルタ部３３が、閾値判定部４０によりＩＰフラグメントフラッド攻撃が検出され、プロトコルがＴＣＰである場合に、ＩＰパケットを廃棄し、当該廃棄パケットのヘッダ情報を再送リスト３７に登録するようにした。これにより、再送制御に基づいたフィルタリングを実現することができる。つまり、不正アクセス検知システム１０は、ユーザ端末２０と、攻撃者端末２１からＤＤｏＳ攻撃を受けているターゲットサーバ２２との間の正常なユーザトラヒックによるＩＰパケットを廃棄することなく、ＤＤｏＳ攻撃のトラヒックに対して、トラヒックの帯域制限によりまたはフィルタリングにより防御することができる。

尚、不正アクセス検知システム１０は、ＣＰＵ、ＲＡＭ等の揮発性の記憶媒体、ＲＯＭ等の不揮発性の記憶媒体、キーボードやポインティングデバイス等の入力装置、画像やデータを表示するモニタ装置、及び外部の装置と通信をするためのインタフェースを備えたコンピュータによって構成されるようにしてもよい。この場合、不正アクセス検知システム１０に備えたネットワークインタフェース３１，３４、不正アクセス解析部３２（検索部３８、リアセンブルチェック部３９及び閾値判定部４０）、及びフィルタ部３３の各機能は、これらの機能を記述したプログラムをＣＰＵに実行させることによりそれぞれ実現される。また、これらのプログラムは、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納して頒布することもできる。

本発明の実施の形態による不正アクセス検知システムを備えたネットワーク図である。不正アクセス検知システムの構成を示す図である。不正アクセス検知システムの動作を示すフローチャート図である。

符号の説明

１インターネット
１０〜１２不正アクセス検知システム
２０ユーザ端末
２１攻撃者端末
２２ターゲットサーバ
３１，３４ネットワークインタフェース
３２不正アクセス解析部
３３フィルタ部
３５アクセス網
３６正規ユーザリスト
３７再送リスト
３８検索部
３９リアセンブルチェック部
４０閾値判定部

Claims

端末からＩＰパケットを受信し、該ＩＰパケットからＤＤｏＳ攻撃による不正アクセスを検知するシステムにおいて、
受信したＩＰパケットがＩＰフラグメントパケットである場合に、該ＩＰフラグメントパケットのヘッダ情報に設定されたフラグメントオフセット値と、ＩＰフラグメントパケットのデータ長に基づいて算出したオフセット値とを比較する手段と、
前記フラグメントオフセット値と算出したオフセット値とが一致しない場合に、予め設定された時間内に、前記一致しないＩＰフラグメントパケットを連続して受信した回数と、予め設定された閾値とを比較し、該受信した回数が閾値以上のときは、ＤＤｏＳ攻撃による不正アクセスであることを判定する手段とを備えたことを特徴とする不正アクセス検知システム。
請求項１に記載の不正アクセス検知システムにおいて、
さらに、前記フラグメントオフセット値と算出したオフセット値とが一致する場合に、前記受信したＩＰフラグメントパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに登録する手段と、
端末からＩＰパケットを受信し、該ＩＰパケットの送信元の端末のユーザ情報と前記正規ユーザリストに登録されているユーザ情報とを照合し、該照合が一致した場合に、正常なアクセスであることを判定する手段とを備えたことを特徴とする不正アクセス検知システム。
請求項２に記載の不正アクセス検知システムにおいて、
さらに、前記ＤＤｏＳ攻撃による不正アクセスであると判定されたＩＰフラグメントパケットがＴＣＰを利用したものである場合に、該ＩＰフラグメントパケットのヘッダ情報を再送リストに登録し、該ＩＰフラグメントパケットを廃棄する手段と、
端末からＩＰパケットを受信し、該ＩＰパケットのヘッダ情報と前記再送リストに登録されているヘッダ情報とを照合し、該照合が一致した場合に、前記受信したＩＰパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに登録する手段とを備えたことを特徴とする不正アクセス検知システム。
ＩＰパケットを送信する端末と、該端末からＩＰパケットを受信して転送する装置と、該装置からＩＰパケットを受信するサーバとを備えたシステムの下で、前記端末からサーバに対するＤＤｏＳ攻撃による不正アクセスを検知するプログラムであって、前記装置を構成するコンピュータに、
受信したＩＰパケットがＩＰフラグメントパケットである場合に、該ＩＰフラグメントパケットのヘッダ情報に設定されたフラグメントオフセット値と、ＩＰフラグメントパケットのデータ長に基づいて算出したオフセット値とを比較する処理と、
前記フラグメントオフセット値と算出したオフセット値とが一致しない場合に、予め設定された時間内に、前記一致しないＩＰフラグメントパケットを連続して受信した回数と、予め設定された閾値とを比較し、該受信した回数が閾値以上のときは、ＤＤｏＳ攻撃による不正アクセスであることを判定する処理とを実行させる不正アクセス検知プログラム。
請求項４に記載の不正アクセス検知プログラムにおいて、前記コンピュータに、
さらに、前記フラグメントオフセット値と算出したオフセット値とが一致する場合に、前記受信したＩＰフラグメントパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに処理と、
端末からＩＰパケットを受信し、該ＩＰパケットの送信元の端末のユーザ情報と前記正規ユーザリストに登録されているユーザ情報とを照合し、該照合が一致した場合に、正常なアクセスであることを判定する処理とを実行させる不正アクセス検知プログラム。
請求項５に記載の不正アクセス検知プログラムにおいて、前記コンピュータに、
さらに、前記ＤＤｏＳ攻撃による不正アクセスであると判定されたＩＰフラグメントパケットがＴＣＰを利用したものである場合に、該ＩＰフラグメントパケットのヘッダ情報を再送リストに登録し、該ＩＰフラグメントパケットを廃棄する処理と、
端末からＩＰパケットを受信し、該ＩＰパケットのヘッダ情報と前記再送リストに登録されているヘッダ情報とを照合し、該照合が一致した場合に、前記受信したＩＰパケットの送信元の端末を正規ユーザであるとして、該ユーザ情報を正規ユーザリストに登録する処理とを実行させる不正アクセス検知プログラム。