JP5169999B2

JP5169999B2 - サービス停止攻撃検出システム、ネットワーク中継装置、サービス停止攻撃防御方法

Info

Publication number: JP5169999B2
Application number: JP2009134130A
Authority: JP
Inventors: 道久高井
Original assignee: NEC Platforms Ltd
Current assignee: NEC Platforms Ltd
Priority date: 2009-06-03
Filing date: 2009-06-03
Publication date: 2013-03-27
Anticipated expiration: 2029-06-03
Also published as: JP2010283516A

Description

本発明は、ネットワークにおけるＤｏＳ（Denial of Services）攻撃及びＤＤｏＳ（Distributed Denial of Service）攻撃の検出技術に関する。

昨今、ネットワークにおいてのＤｏＳ攻撃およびＤＤｏＳ攻撃の検出が強く求められる。
ＤｏＳ攻撃およびＤＤｏＳ攻撃は、標的となるサービスに対して多量にパケットを送信することで、ネットワークやサーバ等のリソースを大量消費させ、サービスの妨害等を行なう方法である。ネットワークの安定運用のためには、これらの攻撃を適切に検出し、対処を行うことが重要となる。

関連する技術としては、特許文献１及び特許文献２が挙げられる。ここで、特許文献１及び特許文献２のネットワークＤｏＳ攻撃検出システム（サービス停止攻撃検出システム）について説明する。

特許文献１には、ＤｏＳ攻撃及びＤＤｏＳ攻撃を受けるサーバを保護するサーバ保護ネットワークシステムが記載されている。
特許文献１のサーバ保護ネットワークシステムは、複数のサービス要求を行なうクライアント端末と、前記サービス要求を中継する複数のルータと、サービス要求を受けるサーバと、サーバに設けられて、ＤｏＳ攻撃であるサービス要求を発したクライアント端末のソースアドレスを検出するソースアドレス検出手段（攻撃検出手段）と、検出されたソースアドレスから送られてくるパケットを廃棄するように、サービス要求が送られた経路を遡って前記ソースアドレスのクライアント端末に近いルータに依頼する特定パケット廃棄依頼手段（パケット処理指示手段）を備える。

特許文献２には、ＤｏＳ攻撃或いはＤＤｏＳ攻撃に対処する方法が記載されている。
特許文献２に記載された方式では、複数のＩＰルータ（ネットワーク装置）がそれぞれ、任意のタイミングでのサンプリングパケットを分析装置に送信し、分析装置が全ＩＰルータからのサンプリングパケットを収集して解析を行い、同一ホストに対して定められた時間内に閾値以上連続的に送信されたことを検出することにより分析部（攻撃検出手段）で攻撃を検出し、検出した該ホスト宛のパケットのうち特定のビットパターンと一致するＩＰパケットのみサンプリングして通知するように、検出したＩＰルータに対して指示通知する。通知を受けたＩＰルータは、特定のビットパターンと一致するＩＰパケットをサンプリングし、サンプリングしたＩＰパケットを分析装置に送信する。分析装置は、収集された注目すべき該ホストのサンプルＩＰパケットの解析を行い、ＤｏＳおよびＤＤｏＳ攻撃パケットフローを正確に識別し、該ＩＰルータに対して、攻撃パケットフローを識別したＩＰパケットフローを一定時間フィルタリングするように指示する。

特開２００３−２９８６２８号公報特開２００６−１６４０３８号公報

しかしながら、特許文献１に記載されているＤｏＳ攻撃及びＤＤｏＳ攻撃を受けるサーバを保護するサーバ保護ネットワークシステムにおいては、次のような課題がある。

まず、ＤｏＳ攻撃およびＤＤｏＳ攻撃を受けたサーバが、攻撃を検出するため、攻撃を受けて、既にリソースに不足が生じているにもかかわらず、ＤｏＳ攻撃等の判定や、サービス要求を発したクライアント端末のソースアドレスを検出するために、更に、リソースを検出動作に割当てる必要がある。
また、ＤｏＳ攻撃等を受けている最中に、サービス要求が送られた経路を遡ってソースアドレスのクライアント端末に近いルータに、検出されたソースアドレスから送られてくるパケットを廃棄するように依頼する動作を行なうため、攻撃元と攻撃対象間のネットワークを受持つルータを高負荷状態にせしめる攻撃中であるにも関わらず、そのルータのリソースを更に消費するようサーバから指示が成される。
また、サーバから、サービス要求が送られた経路を遡ってソースアドレスのクライアント端末に一番近いルータに依頼するため、ネットワーク内の全てのルータが記載されている方式に対応する必要がある。

また、特許文献２に記載されているＤｏＳ攻撃或いはＤＤｏＳ攻撃に対処する方法においては、次のような課題がある。
ＤｏＳ攻撃パケットのフロー上の全てのルータに対して、パケットのサンプリングを指示することとなるため、同じパケットを複数のルータが、分析装置に通知を行うことになり、ネットワーク内のルータの負荷が増加してしまう。特に、ＤｏＳ攻撃等の攻撃されている最中でも、特許文献１と同様に、攻撃元と攻撃対象間のネットワークを受持つルータのリソースを更に消費するよう分析装置から指示が成される。
また、分析装置は、サンプリングパケットの内容からＤｏＳ攻撃パケットのフロー上の全てのルータに対して、パケット廃棄に加えて帯域制御等の防御方法である同一の内容の指示を行なうため、攻撃者に最も近いルータがパケット廃棄や帯域制御を行っている最中にも、他のルータも同一の帯域制御等のリソースを消費するフィルタリングを実施することとなる。
また、分析装置は、各ルータに指示したサンプリング条件に基づく応答として、サンプリング条件に合致した攻撃であるだろうパケットをフローとして中継した全てのルータから、同一のパケットに基づく応答を受ける。これは、分析装置が、ＤｏＳ攻撃等の最中に莫大なパケットの処理を要求されることとなり、対処として、分析装置に多くの処理リソースを割当てる必要がある。換言すれば、ＤｏＳ攻撃等を検出している最中には、自らのリソース量を把握しながら、パケット処理を行う必要があり、リソース量に応じて、結果として分析装置でのパケット廃棄、パケットの見過ごし、未対応を行なう可能性を有する。

尚、ルータでのパケットの転送処理は、送信先ルータの負荷状態等に寄って経路を選択しながら転送する方式もあり、分析装置は、経路となった多くのルータから莫大な量の応答が長時間に亘って送信されることとなる。この場合は、分析装置は、攻撃元の特定（攻撃元に近接するルータの特定）には、これらの応答の全てを処理する必要があり、瞬間的にも莫大な処理リソースを長時間に亘って要する。また、ＤＤｏＳ攻撃では、複数の攻撃元が存在し、それぞれの攻撃元からサーバへの複数の経路を介して攻撃されるため、分析装置には、ＤｏＳ攻撃によりも更なる負荷がかかる。
また、昨今の世相では、ＤｏＳ攻撃等の検出も重要であるものの、ネットワークの構築の費用対効果も重要となり、設備量や装置交換の適切度も重要となっている。

本発明の目的は、ＤｏＳ攻撃及びＤＤｏＳ攻撃の防御対策に要する負荷を軽減したネットワーク中継装置、およびサービス停止攻撃検出システムを提供することにある。

本発明のネットワーク中継装置は、ネットワークを介して指示されたサンプリング条件及び／又はフィルタリング条件であるパケット処理条件に基づき、受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段と、パケットの宛先方向の隣接ネットワーク中継装置に対して、前記パケット処理条件の解除をパケット処理条件解除通知として送信する通知手段と、前記パケット処理条件解除通知を受信した場合に、前記パケット処理条件解除通知の内容に基づき、パケット処理条件の設定を書き換えるパケット処理制御手段とを備えることを特徴とする。

本発明のサービス停止攻撃検出システムは、ネットワーク中継装置に対してＤｏＳ攻撃およびＤＤｏＳ攻撃の検出に用いるサンプルパケットを要求すると共に、前記ネットワーク中継装置からのサンプルパケットを受信して攻撃フローの有無を検出する攻撃検出手段と、前記攻撃検出手段による検出結果に基づき、前記ネットワーク中継装置に対して、攻撃パターンにマッチするパケットのサンプリング及び／又はフィルタリングの要求指示を通知するパケット処理指示手段とを備える分析装置と、前記要求指示を受信した際に、攻撃パケットの宛先方向の隣接ネットワーク中継装置に対して、前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を通知する通知手段と、前記要求指示で指示されたサンプリング条件及び／又はフィルタリング条件に基づき、受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段とを備える第１のネットワーク中継装置と、前記要求指示を受信した際に、サンプリング条件及び／又はフィルタリング条件に基づき、受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段と、隣接ネットワーク中継装置から前記通知を受信した場合に、前記分析装置からの指示動作を解除する手段を備える第２のネットワーク中継装置を、含むことを特徴とする。

本発明によれば、ＤｏＳ攻撃及びＤＤｏＳ攻撃の防御対策に要する負荷を軽減したネットワーク中継装置、およびサービス停止攻撃検出システムを提供できる。

実施の一形態のサービス停止攻撃検出システムを例示する構成図である。ネットワーク中継装置の処理動作を示すフローチャートである。攻撃検出システムの動作を示す説明図である。既存ネットワーク中継装置を含む攻撃検出システムを例示する構成図である。ＩＰルータの経路情報テーブルを例示する説明図である。

本発明の実施の形態を図１ないし図５に基づいて説明する。

図１は、実施の一形態の攻撃検出システムを例示する構成図である。図１を参照すると、ネットワーク構成は、攻撃元となる情報処理装置１０１、ＩＰ技術を用いたサービスを提供しているサーバ１０２、攻撃を検出して対応を定める分析装置１０３、各種パケットを中継するネットワーク中継装置１１１〜１１４である。

情報処理装置１０１は、一般的にはパーソナルコンピュータであるが、サーバや携帯端末である場合もある。情報処理装置１０１は、攻撃元であり、サーバ１０２に対して、多量の又は連続的にサービス要求又はパケットを送信して攻撃を仕掛ける。尚、情報処理装置１０１からのアクセスに攻撃意図の有無は問わない。
サーバ１０２は、一般的なインターネット等を介して各種サービスを提供するサーバである。サーバ１０２が提供するサービスは、どのようなサービスであっても良く、例えばＷｅｂサイト（ＨＰ）や、ファイル提供サービス、メールシステムなどが挙げられる。
分析装置１０３は、ネットワーク中継装置１１１〜１１４からのサンプルパケットを分析してＤｏＳ攻撃及びＤＤｏＳ攻撃を検出する攻撃検出手段と、ＤｏＳ攻撃等を検出した場合に、攻撃の宛先の特定ビットパターンのパケットサンプルの送信を各ネットワーク中継装置に要求指示通知として送信するサンプリング指示手段（パケット処理指示手段）と、各ネットワーク中継装置に対して攻撃に対するフィルタリングを要求指示通知として送信するフィルタリング指示手段（パケット処理指示手段）を有する。

ネットワーク中継装置１１１〜１１４は、分析装置１０３からＤｏＳ攻撃等のサンプリング条件及び／又はフィルタリング条件を要求指示通知で受信し、その条件に基づいて受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段と、要求指示に基づきパケット処理手段から出力される結果を分析装置１０３に送信する要求応答送信手段とを有する。
また、ネットワーク中継装置１１１〜１１４は、パケット処理条件であるサンプリング条件とフィルタリング条件に一致する受信パケットの宛先方向の隣接ネットワーク中継装置に対して、パケット処理条件（設定条件）の解除をパケット処理条件解除通知として送信する通知手段と、隣接中継装置からパケット処理条件解除通知を受信した際に、設定されていたパケット処理条件を書き換えて解除（削除）するパケット処理制御手段を備える。
尚、ネットワーク中継装置１１１〜１１４の上記手段以外の処理機能は、当業者にとってよく知られており、また本発明とは直接関係しないので、その詳細な構成は省略する。

ここで、ネットワーク中継装置１１１〜１１４の処理動作を、図２のフローチャートを使用して説明する。尚、説明を明瞭にするため、全てのネットワーク中継装置の構造は同一とし、ネットワーク中継処理等の動作は記載を省略する。

受信したパケットが分析装置からの要求指示（サンプリングパケットの送信指示）である場合：
ネットワーク中継装置は、パケットを受信（ステップＳ２０１）し、受信したパケットが分析装置１０３からのサンプリングパケットの送信指示（フルサンプリング指示，要求指示通知：図３の指示３０１）かどうか判断し（ステップＳ２０２）、サンプリングパケットの送信指示であれば、サンプリングするパケットの条件に一致するフローの宛先方向に隣接するネットワーク中継装置に、分析装置から指示されたサンプリングを実施するパケットを特定可能な情報を付して、パケット検出の解除通知（パケット処理条件解除通知：図３の通知３０２）を送信する（ステップＳ２０６）。
ネットワーク中継装置は、パケット検出の解除通知を送信後、受信したサンプリングパケットの送信指示に含まれる条件をパケット処理手段の動作条件として設定記憶し（ステップＳ２０７）、次のパケットの受信待ち状態に戻る。
尚、上記処理動作に加え、解除通知の送信前に、宛先方向に隣接するネットワーク中継装置の有無および形式を識別する処理を加えても良い。この場合は、隣接するネットワーク中継装置が同様のネットワーク中継装置である場合のみパケット検出の解除通知を送信することとなる。即ち、ネットワーク中継装置が、隣接中継装置のない場合や非対応である場合には、分析装置１０３からの要求指示を受けて、受信したサンプリングパケットの送信指示の条件を、パケット処理手段の動作条件として設定情報（パケット処理条件設定テーブル）に記録し、解除通知を送信せずに、次のパケットの受信待ち状態に戻るようにすれば良い。

また、ネットワーク中継装置は、分析装置１０３からの送信指示を受信後、宛先方向の隣接中継装置に解除通知を所定回数又は所定時間の間、周期的に送信するようにしても良い。このように動作させることによって、隣接中継装置でのオーバフローなど、何からの理由により解除通知が隣接中継装置で処理できない場合においても、周期的に送信される解除通知によって、ネットワーク中継装置や分析装置の負荷を軽減できる。また、隣接中継装置が再起動等で、解除通知の受信情報が失われた場合においても、再度解除通知に基づき動作し、各装置の負荷を軽減できる。

受信したパケットがパケット検出の解除通知である場合：
ネットワーク中継装置は、パケットを受信（ステップＳ２０１）し、受信したパケットが隣接中継装置からのパケット検出の解除通知か判断し（ステップＳ２０３）、パケット検出の解除通知であれば、通知に含まれる条件に関する情報を、パケット処理手段の動作条件の設定情報から削除（ステップＳ２０８）し、次のパケットの受信待ち状態に戻る。このとき、送信指示３０１と解除通知３０２の到着の前後等を考慮し、所定時間解除通知３０２に基づく処理を繰り返し又は待機するようにしても良い。

即ち、パケット検出の解除通知に含まれるパケット検出条件が、設定情報に記録されている情報と同等の場合、当該条件が削除される。これは、当該ネットワーク中継装置で消費されるリソースの削減につながる。尚、リソースを削減できる詳細については、作用効果として後述する。
受信したパケットがサンプリングパケットの送信指示およびパケット検出の解除通知でない場合：
ネットワーク中継装置は、パケットを受信（ステップＳ２０１）し、受信したパケットが設定情報に記載された条件（サンプリングパケットの送信指示）に一致するか判断（ステップＳ２０４）し、一致していれば設定情報に記載された条件に対応付けられた動作（パケットをコピーして、サンプルパケット（図３の３０３）として、分析装置に送信）を実施（ステップＳ２０５）し、次のパケットの受信待ち状態に戻る。
他方、受信したパケットが設定条件に一致しなければ、一般的なパケットとして中継処理する。

次に、図３を使用して、システム全体の動作を説明する。
以下では、図１に示したネットワークにおいて、攻撃元である情報処理装置１０１がサーバ１０２にＤｏＳ攻撃を行った場合を例に説明する。

図３は、図１のネットワークにおいて情報処理装置１０１がサーバ１０２にＤｏＳ攻撃を行った場合に通過するネットワーク中継装置１１１〜１１３と、ＤｏＳ攻撃のフローが通過しないネットワーク中継装置１１４と、分析装置１０３及びネットワーク中継装置１１１〜１１４が送信する通知メッセージ（送信指示３０１，解除通知３０２，サンプルパケット３０３）を示している。

図３において、分析装置１０３は、全てのネットワーク中継装置（１１１〜１１４）のパケットのサンプルを受信するため、各ネットワーク中継装置に予めパケットのサンプル条件を通知する。
各ネットワーク中継装置は、分析装置１０３にからのサンプル指示又は予め設定されている条件に従い、パケットのサンプルを分析装置に送信する。尚、全パケットのサンプルを分析装置１０３に送信してもよいし、間歇的に送信しても良い。

分析装置１０３は、ネットワーク中継装置１１１〜１１４からのパケットを確認することにより、攻撃を検知し、攻撃フローが通過する経路のネットワーク中継装置１１１〜１１３に対してサンプリングパケットの送信指示３０１を送る。尚、ＤｏＳ攻撃のパケットであるか否かの判断は、攻撃検出手段で、宛先の特定のビットパターンの検出などで行なう。また、必要に応じて、ネットワーク中継装置１１４等の検出された経路以外のネットワーク中継装置にも同様の指示３０１を送信する。

サンプリングパケットの送信指示３０１を受けたネットワーク中継装置１１１〜１１３は、攻撃パケットの宛先方向の隣接ネットワーク中継装置に対して、送信指示３０１に含まれる攻撃パターンにマッチするパケットの情報をパケット検出の解除通知３０２として通知（ステップＳ２０６処理）すると共に、送信指示３０１に含まれているサンプリング条件を設定条件に記録（ステップＳ２０７の処理）し、通知された条件に該当するパケットを検出（ステップＳ２０４の処理）したときに、分析装置１０３にサンプルパケット３０３を送信（ステップＳ２０５の処理）する。

パケット検出の解除通知３０２を受けたネットワーク中継装置は、送信指示３０１に含まれて解除通知３０２として送られてきたパケット処理条件を解除（ステップＳ２０８処理）する。

即ち、サンプリングパケットの送信指示３０１を受信した直後は、情報処理装置１０１からサーバ１０２に送信されたパケット（ＤｏＳパケット）が通過するネットワーク中継装置１１１，１１２，１１３が、予め通知された条件に該当するパケットを検出し、分析装置１０３に同様のサンプルパケット３０３を送信することとなる。その後、隣接ネットワーク中継装置からパケット検出の解除通知３０２を受けたネットワーク中継装置は、分析装置１０３にサンプルパケット３０３を送信することを停止する。

以下、上記処理時の各ネットワーク中継装置の動作を詳細に説明する。
ネットワーク中継装置１１１は、サンプリングパケットの送信指示３０１を受信すると、サンプリングを指示されたＤｏＳパケットの宛先方向の隣接中継装置であるネットワーク中継装置１１２に対して、分析装置１０３から送信指示３０１を受信したことをパケット検出の解除通知３０２として送信すると共に、送信指示３０１に含まれるＤｏＳパケットのサンプリング条件を設定する。尚、解除通知３０２には、分析装置１０３からの送信指示３０１で特定される攻撃パターンにマッチするパケットの情報が含まれている。

ネットワーク中継装置１１２は、サンプリングパケットの送信指示３０１を受信すると、サンプリングを指示されたパケットの宛先方向の隣接中継装置であるネットワーク中継装置１１３に対して解除通知３０２を送信すると共に、送信指示３０１に含まれるパケットのサンプリング条件を設定する。その後、ネットワーク中継装置１１２は、ネットワーク中継装置１１１から通知された解除通知３０２を受信すると、送信指示３０１に含まれるパケットのサンプリング条件を解除する。

ネットワーク中継装置１１３は、サンプリングパケットの送信指示３０１を受信すると、サンプリングを指示されたパケットの宛先方向の隣接中継装置が存在しないので解除通知３０２を送信せずに、送信指示３０１に含まれるパケットのサンプリング条件を設定する。その後、ネットワーク中継装置１１３は、ネットワーク中継装置１１２から通知された解除通知３０２を受信すると、送信指示３０１に含まれるパケットのサンプリング条件を解除する。

尚、分析装置１０３が攻撃フローを検出した経路以外のネットワーク中継装置にも送信指示３０１を送信した場合は、ネットワーク中継装置１１４では、送信指示３０１を受信し、サンプリングを指示されたパケットの攻撃先から宛先方向となる隣接中継装置であるネットワーク中継装置１１３を決定し、解除通知３０２を送信すると共に、送信指示３０１に含まれるパケットのサンプリング条件を設定する。このように、予備的にＤｏＳパケットのサンプリング条件を設定することで、検出した経路以外からの攻撃に対する守備を固める。

このように各装置を動作させることによって、解除通知３０２を受信したネットワーク中継装置（１１２，１１３）は、パケットのサンプリング条件のうち、解除通知３０２に含まれているパケットに関連するサンプリング処理を中止（解除）し、パケット処理に割当てたリソースを開放する。
また、検出したＤｏＳパケットの宛先の特定ビットパターンのパケットのサンプルパケット３０３の送信を行わないことにより、その後のパケット廃棄や帯域制御などの攻撃への対応（フィルタリング処理）の指示を受信しても所定の間、指示された動作を受け付けない（設定を書き換えない）よう処理できる。

即ち、送信指示３０１を受信した全てのネットワーク中継装置が検出したＤｏＳパケットの宛先方向に解除通知３０２を送信する様に動作させると、ＤｏＳパケットの経路上で、ＤｏＳパケットの送信元ネットワークに最も近い送信指示３０１を受信したネットワーク中継装置のみが解除通知３０２を受信しないことになる。そのため、ＤｏＳパケットの送信元ネットワークに最も近いネットワーク中継装置のみが分析装置１０３に検出したＤｏＳパケットの宛先の特定のビットパターンのパケットのサンプル３０３の送信を行うこととなる。

また、分析装置１０３は、ＤｏＳパケットの送信元に最も近いネットワーク中継装置１１１のみから、サンプル３０３を受信するため、ＤｏＳパケットの送信元ネットワークに最も近いネットワーク中継装置にのみ、ＤｏＳ攻撃への対応指示であるフィルタリング条件の設定を行なえる。

また、ネットワーク中継装置１１４の様に、攻撃の初期においてＤｏＳパケットの経路とならなかったネットワーク中継装置に対しても同様の処理を行わせることで、ＤｏＳパケットの流入経路が変化した場合でも早期にＤｏＳパケットの検出が可能となる。また、ＤＤｏＳ攻撃の一方式のように、送信元を詐称し複数個所から同じ送信元で送信された場合でも、分析装置１０３で検出したフローと同じフローとして別の流入経路からのフローを処理できるため、早期にＤＤｏＳ攻撃パケットの検出が可能となる。

以上説明したように、本実施の一形態の攻撃検出システムでは、以下に記載するような作用効果を奏する。

本発明を適用したネットワーク中継装置を使用した攻撃検出システムでは、分析装置１０３からＤｏＳ攻撃パケットのサンプルの指示を送出した場合、ＤｏＳ攻撃パケットの送信元である情報処理装置１０１（送信元ネットワーク）に最も近いネットワーク中継装置であるネットワーク中継装置１１１のみが分析装置１１３に対してサンプルパケットを送信するようにネットワークを構成できるので、ネットワーク内のネットワーク中継装置１１２，１１３の負荷が軽減できる。

また同様に、ＤｏＳ攻撃パケットの送信元である情報処理装置１０１（送信元ネットワーク）に最も近いネットワーク中継装置であるネットワーク中継装置１１１のみ、攻撃パケットに対する処理（サンプリングやフィルタリング）を行なわせることとなるので、ネットワーク内のネットワーク中継装置１１２，１１３の負荷が軽減できる。

加えて、分析装置１０３は、ＤｏＳ攻撃パケットの送信元である情報処理装置１０１（送信元ネットワーク）に最も近いネットワーク中継装置であるネットワーク中継装置１１１のみから、検出したＤｏＳパケットのサンプルパケット２０３を受信するため、瞬間的及び継続的に負荷を軽減でき、処理に割当てるリソースを軽減できる。

尚、上記効果は、サンプリング指示の場合であるが、フィルタリング指示においても同様の効果を得られる。

また、上記説明では、ネットワーク中継装置に、パケットの宛先方向の隣接中継装置に対して、パケット処理条件の解除のみを行うものとして説明したが、宛先方向の隣接中継装置に対して、パケット処理条件の解除可能又は緩和可能である旨を通知するようにしても良い。
この場合は、通知手段から、所定のパケットを処理する条件を緩和可能であることを示す処理緩和通知情報を送信し、処理緩和通知情報を受信したネットワーク中継装置（隣接中継装置）のパケット処理制御手段が、分析装置からの指示に基づく処理を処理緩和通知情報に基づいて低減する。尚、設定条件を順次書き換えるようにしても良い。また、条件の制限は、時間と共に解除される方向に進め、最終的に解除しても良いし、最低限の処理を残し、所定時間毎に分析装置にサンプルパケットを送信するようにしても良い。また、ネットワーク中継装置に、パケット処理手段の残リソース量を判定するリソース判定手段を設け、パケット処理制御手段がパケット処理緩和通知を受信して、パケット処理緩和通知の内容と残リソース量に基づき、パケット処理条件の設定を書き換えるようにしても良い。このようにすれば、解除のみを行なうシステムよりも各装置のリソースを消費するものの、サーバの保護を厚くできる。

ここで、上記説明したネットワーク中継装置と、本発明に対応していない既存ネットワーク中継装置がネットワーク内に存在する場合のネットワーク全体の動作について、図４を用いて説明する。

図４は、本発明に対応するネットワーク中継装置４１１〜４１３、本発明に対応しない既存ネットワーク中継装置４２１から構成されたネットワークを示している。

攻撃元となる情報処理装置４０１からサーバ４０４へ攻撃が行われると、分析装置４０５は、ネットワーク中継装置４１１等から受信するパケットサンプルに対してＤｏＳ攻撃を検出する。
これにより、ネットワーク中継装置４１１等は、分析装置４０５から送信されたサンプリングパケットの送信指示３０１を受信する。このとき、ネットワーク中継装置４１１は、送信指示３０１を受信したので、隣接中継装置４２１に対して、解除通知３０２を送信する。

ネットワーク中継装置４２１は本発明に対応していないため、解除通知３０２の通知を無視する。また、ネットワーク中継装置４２１の隣接中継装置であるネットワーク中継装置４１２に対して、解除通知３０２を送信する機能を持たない。このため、ネットワーク中継装置４１２は、解除通知３０２を受け取らない。

ネットワーク中継装置４１２は、分析装置４０５から送信指示３０１を受信すると、ネットワーク中継装置４１３に解除通知３０２を送信する。ネットワーク中継装置４１３は、解除通知３０２を受信すると、設定条件に記録されているパケット処理（サンプルパケット３０３の送信）を停止する。

このように、本発明にかかるネットワーク中継装置は、既存のネットワーク中継装置と共に使用されても、有効に作用する。

次に、攻撃元となる情報処理装置が複数存在する場合（ＤＤｏＳ攻撃等の場合）のネットワーク全体の動作について、図４を用いて説明する。
攻撃元となる情報処理装置４０１、４０３からサーバ４０４へ攻撃が行われた場合、ネットワークは、情報処理装置４０１、４０３からの攻撃を並列的に処理し、それぞれの攻撃フローに対して防御する。
詳細には、分析装置４０５は、ネットワーク中継装置４１１等からのパケットサンプルより、情報処理装置４０１からサーバ４０４への攻撃を検出し、サンプリングパケットの送信指示３０１を送信する。ネットワーク中継装置４１１は、送信指示３０１を受け取ると、隣接中継装置へ解除通知３０２を通知する。

並列的に、分析装置４０５は、ネットワーク中継装置４１２等からのパケットサンプルより、情報処理装置４０１からサーバ４０４への攻撃と、情報処理装置４０３からサーバ４０４への攻撃を検出し、それぞれの攻撃フローに対するサンプル送信の送信指示３０１をネットワーク中継装置４１１、４１２、４１３に通知する。このとき、情報処理装置４０１からの攻撃と情報処理装置４０３からの攻撃のパケットの送信元アドレスが異なる場合、別な攻撃として扱うため、送信指示３０１は２種類通知され、情報処理装置４０１からの攻撃と情報処理装置４０３からの攻撃の送信元アドレスが詐称等により同じである場合は、同じ攻撃として扱うため、送信指示３０１は１種類のみ通知される。
ネットワーク中継装置４１２は、受け取った送信指示３０１の数に応じて、隣接中継装置であるネットワーク中継装置４１３に、攻撃パケットを特定可能な情報が含まれる解除通知３０２を送信する。ネットワーク中継装置４１３は、受け取った解除通知３０２に合致したパケット処理（サンプルパケット３０３の送信）を停止する。

また、攻撃元を示すホストの流入経路が変更になった場合（例えば攻撃元の情報処理装置４０１を示す番号から情報処理装置４０２を示す番号に変更になった場合）は、上記した複数の攻撃元が存在する場合で、攻撃元の送信元アドレスが同じ場合（詐称等）と同様に動作する。

このように、本発明にかかるネットワーク中継装置は、攻撃元となる情報処理装置が複数存在しても、有効に作用する。また、本発明にかかるサービス停止攻撃検出システムは、既存のネットワーク中継装置を含むネットワーク構成であっても、攻撃元となる情報処理装置が複数存在する攻撃に対して、有効に作用する。

次に、ネットワーク中継装置から隣接中継装置に送信するパケット処理の解除通知３０２の構成例とネットワーク中継装置における処理動作例を説明する。以下では、ネットワーク中継装置をＩＰルータとして構成した場合を示す。

ＩＰルータは、宛先ネットワークと次に転送すべきＩＰルータのアドレス（ＮｅｘｔＨｏｐ）の情報を経路情報テーブルとして記憶保持（図５参照）し、経路情報テーブルに基づきパケットの転送処理を行っている。

解除通知３０２は、ＩＰパケットから構成される。解除通知３０２であるＩＰパケットの宛先アドレスには、攻撃先ネットワークに到達するためのＮｅｘｔＨｏｐを設定することにより、隣接中継装置へ送信を行う。また、解除通知３０２は、プロトコル番号やＵＤＰポート番号等を予め決定しておき、ＩＰルータにおいて解除通知３０２であることの識別可能とする。
この場合、全てのＩＰルータが解除通知３０２を受信し、本発明に対応しているＩＰルータは受信処理を行うこととなり、本発明に未対応のＩＰルータは、解除通知３０２を廃棄することとなる。

解除通知３０２の別な構成として、宛先アドレスに攻撃先ホストのアドレスを設定する。
この場合、本発明に対応しているＩＰルータは、全ての受信パケット確認し解除通知３０２である場合、そのパケットの転送は行わず、解除通知３０２の受信処理を行う。本発明に未対応のＩＰルータは、解除通知３０２を通常パケットとして転送する。
具体的に示せば、図４において情報処理装置４０１からサーバ４０４に攻撃が行なわれた場合、ネットワーク中継装置４１１が送信した解除通知３０２は、本発明に未対応のネットワーク中継装置４２１で転送され、ネットワーク中継装置４１２が解除通知３０２を受信することにより、本発明に未対応のルータが存在しない場合と同様な動作となる。

このように、既存ネットワーク中継装置と本発明にかかるネットワーク中継装置とを混在するネットワークにおいても、ＤｏＳ攻撃およびＤＤｏＳ攻撃を有効に防御でき、加えて、防御対策に要するネットワーク各所の負荷を軽減できる。
また、攻撃元の情報処理装置が直接本発明に対応したネットワーク中継装置に接続していない場合、例えば、情報処理装置４０２からサーバ４０４へ攻撃が行われた場合でも、既存ネットワーク中継装置４２１の動作に関わらず、ネットワーク中継装置４１２、４１３が本発明にかかる動作を行なうことにより、攻撃を検出すると共にネットワーク中継装置４１３等の処理リソースを低減できる。

これは、多くの種類のサービス停止攻撃検出システムが、ネットワークを構成する全てのネットワーク中継装置に同一の機能を求めるのに対し、本発明にかかるネットワーク中継装置は、ネットワークの一部分を構成することで有効に作用する。換言すれば、既存のネットワークを順次本発明におけるネットワーク中継装置に置換することで、置換地点において有効に作用する。

以上説明したように、本発明のネットワーク中継装置を含むサービス停止攻撃検出システムによれば、ＤｏＳ攻撃及びＤＤｏＳ攻撃の防御対策に要する負荷を軽減できる。

尚、本発明の具体的な構成は前述の実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の変更があってもこの発明に含まれる。

１０１情報処理装置
１０２サーバ
１０３分析装置
１１１、１１２、１１３、１１４ネットワーク中継装置
４０１、４０２、４０３情報処理装置
４０４サーバ
４０５分析装置
４１１、４１２、４１３ネットワーク中継装置
４２１非対応ネットワーク中継装置（既存ネットワーク中継装置）

Claims

ネットワーク中継装置に対してＤｏＳ攻撃およびＤＤｏＳ攻撃の検出に用いるサンプルパケットを要求すると共に、前記ネットワーク中継装置からのサンプルパケットを受信して攻撃フローの有無を検出する攻撃検出手段と、
前記攻撃検出手段による検出結果に基づき、前記ネットワーク中継装置に対して、攻撃パターンにマッチするパケットのサンプリング及び／又はフィルタリングの要求指示を通知するパケット処理指示手段と
を備える分析装置と、
前記要求指示を受信した際に、攻撃パケットの宛先方向の隣接ネットワーク中継装置に対して、前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を通知する通知手段と、
前記要求指示で指示されたサンプリング条件及び／又はフィルタリング条件に基づき、受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段と
を備える第１のネットワーク中継装置と、
前記要求指示を受信した際に、サンプリング条件及び／又はフィルタリング条件に基づき、受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段と、
隣接ネットワーク中継装置から前記通知を受信した場合に、前記分析装置からの指示動作を解除する手段と
を備える第２のネットワーク中継装置と、
を含むことを特徴とするサービス停止攻撃検出システム。
前記通知手段は、前記要求指示を受信した際に、攻撃パケットの宛先方向の隣接ネットワーク中継装置に対して、前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を周期的に通知することを特徴とする請求項１記載のサービス停止攻撃検出システム。
前記通知手段は、攻撃パケットの宛先方向の隣接ネットワーク中継装置の有無および／又は形式を識別して、前記通知を処理可能なネットワーク中継装置がある場合に前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を通知することを特徴とする請求項１又は２に記載のサービス停止攻撃検出システム。
前記第１のネットワーク中継装置は、要求指示を受信した場合、指示されたパケットの宛先方向となる隣接ネットワーク中継装置を決定し、前記隣接ネットワーク中継装置に前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を通知することを特徴とする請求項１ないし３の何れか一項に記載のサービス停止攻撃検出システム。
前記第２のネットワーク中継装置は、前記要求指示に含まれる攻撃パターンにマッチするパケットの情報の通知を受信した場合、所定の間、前記分析装置からのフィルタリング処理の指示動作を受け付けないことを特徴とする請求項１ないし４の何れか一項に記載のサービス停止攻撃検出システム。
前記第１のネットワーク中継装置は、隣接ネットワーク中継装置に対して、パケット処理条件の解除可能および／又は緩和可能である旨を通知し、
前記第２のネットワーク中継装置は、受け付けた前記パケット処理条件の解除可能および／又は緩和可能である旨の通知に基づいて、前記分析装置からの指示に基づく処理を低減又は解除する
ことを特徴とする請求項１ないし５の何れか一項に記載のサービス停止攻撃検出システム。
前記第２のネットワーク中継装置は、受け付けた前記パケット処理条件の解除可能および／又は緩和可能である旨の通知と自装置の残リソース量に基づいて、前記分析装置からの指示に基づく処理を低減又は解除する
ことを特徴とする請求項６記載のサービス停止攻撃検出システム。
既存のネットワーク中継装置と前記第１及び第２のネットワーク中継装置とを混在してＩＰネットワークを構築する際に、前記第１のネットワーク中継装置をネットワークの関門に配置し、前記第１のネットワーク中継装置の隣接ネットワーク中継装置として前記第２のネットワーク中継装置を配置した構造を有することを特徴とする請求項１ないし７の何れか一項に記載のサービス停止攻撃検出システム。
ネットワークを介して指示されたサンプリング条件及び／又はフィルタリング条件であるパケット処理条件に基づき、受信パケットをサンプリング及び／又はフィルタリングするパケット処理手段と、
パケットの宛先方向の隣接ネットワーク中継装置に対して、前記パケット処理条件の解除をパケット処理条件解除通知として送信する通知手段と
を備えることを特徴とするネットワーク中継装置。
前記パケット処理条件解除通知を受信した場合に、前記パケット処理条件解除通知の内容に基づき、パケット処理条件の設定を書き換えるパケット処理制御手段を更に備えることを特徴とする請求項９記載のネットワーク中継装置。
前記通知手段は、前記パケット処理条件の指示を受信した際に、パケットの宛先方向の隣接ネットワーク中継装置に対して、前記パケット処理条件解除通知を周期的に送信することを特徴とする請求項１０に記載のネットワーク中継装置。
前記通知手段は、前記隣接ネットワーク中継装置の有無および／又は形式を識別して、前記通知を処理可能なネットワーク中継装置がある場合に前記パケット処理条件解除通知を送信することを特徴とする請求項１０に記載のネットワーク中継装置。
前記パケット処理条件の指示を受信した際に、指示されたパケットの宛先方向となる隣接ネットワーク中継装置を決定し、前記隣接ネットワーク中継装置に、前記パケット処理条件解除通知を送信することを特徴とする請求項１０に記載のネットワーク中継装置。
前記パケット処理制御手段は、前記パケット処理条件解除通知を受信した場合、所定の間、ネットワークを介するパケット処理条件の指示を受け付けないことを特徴とする請求項１０ないし１３の何れか一項に記載のネットワーク中継装置。
前記通知手段は、前記隣接ネットワーク中継装置に対して、パケット処理条件の解除可能および／又は緩和可能である旨を通知し、
前記パケット処理制御手段は、通知されたパケット処理条件の解除可能および／又は緩和可能である旨の情報に基づいて、設定を、前記指示に基づく処理を低減又は解除する設定に書き換える
ことを特徴とする請求項１０ないし１４の何れか一項に記載のネットワーク中継装置。
前記パケット処理手段の残リソース量を判定するリソース判定手段を更に有し、
前記通知手段は、前記パケット処理条件の解除可能又は緩和可能である旨をパケット処理緩和通知として送信し、
前記パケット処理制御手段は、前記パケット処理緩和通知を受信した場合に、前記パケット処理緩和通知の内容と残リソース量に基づき、パケット処理条件の設定を書き換える
ことを特徴とする請求項１０ないし１５の何れか一項に記載のネットワーク中継装置。
ネットワーク中継装置に対してＤｏＳ攻撃およびＤＤｏＳ攻撃の検出に用いるサンプルパケットを要求すると共に、前記ネットワーク中継装置からのサンプルパケットを受信して攻撃フローの有無を検出し、
前記検出結果に基づき、少なくとも第１および第２のネットワーク中継装置に対して、攻撃パターンにマッチするパケットのサンプリング及び／又はフィルタリングの要求指示を通知し、
前記第１のネットワーク中継装置において、要求指示を受信した際に、攻撃パケットの宛先方向の隣接ネットワーク中継装置である前記第２のネットワーク中継装置に対して、前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を通知すると共に、前記要求指示で指示されたサンプリング条件及び／又はフィルタリング条件に基づき、受信パケットをサンプリング及び／又はフィルタリングし、
前記第２のネットワーク中継装置において、要求指示を受信した際に、前記要求指示で指示されたサンプリング条件及び／又はフィルタリング条件に基づき、受信パケットをサンプリング及び／又はフィルタリングし、
前記第１のネットワーク中継装置から前記要求指示に含まれる攻撃パターンにマッチするパケットの情報の通知を受信した場合に、前記要求指示の動作を解除する
ことを特徴とするサービス停止攻撃防御方法。
前記第１のネットワーク中継装置は、前記要求指示を受信した際に、前記第２のネットワーク中継装置に対して、前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を周期的に通知することを特徴とする請求項１７記載のサービス停止攻撃防御方法。
前記第１のネットワーク中継装置は、攻撃パケットの宛先方向の隣接ネットワーク中継装置の有無および／又は形式を識別して、前記通知を処理可能なネットワーク中継装置がある場合に前記要求指示に含まれる攻撃パターンにマッチするパケットの情報を通知することを特徴とする請求項１７又は１８に記載のサービス停止攻撃防御方法。
前記第１のネットワーク中継装置は、前記第２のネットワーク中継装置に対して、パケット処理条件の解除可能および／又は緩和可能である旨を通知し、
前記第２のネットワーク中継装置は、通知されたパケット処理条件の解除可能および／又は緩和可能である旨の情報に基づいて、前記要求指示に基づく処理を低減又は解除する
ことを特徴とする請求項１７ないし１９の何れか一項に記載のサービス停止攻撃防御方法。
前記第２のネットワーク中継装置は、通知されたパケット処理条件の解除可能および／又は緩和可能である旨の情報と自装置の残リソース量に基づいて、前記要求指示に基づく処理を低減又は解除する
ことを特徴とする請求項２０記載のサービス停止攻撃防御方法。