JP6026789B2

JP6026789B2 - ネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置、並びにそのオーバーフローを防止する装置及び方法

Info

Publication number: JP6026789B2
Application number: JP2012132321A
Authority: JP
Inventors: 大ヨブ金
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2011-06-09
Filing date: 2012-06-11
Publication date: 2016-11-16
Anticipated expiration: 2032-06-11
Also published as: EP2533495A2; CN102821039B; KR101715080B1; EP2533495B1; KR20120136506A; JP2012257251A; US20120317643A1; US9143527B2; EP2533495A3; CN102821039A

Description

本発明はネーム（ｎａｍｅ）基盤のネットワークシステムのノード装置でルーティングする技術に関する。

ＣＣＮ（ＣｏｎｔｅｎｔＣｅｎｔｒｉｃＮｅｔｗｏｒｋ）／ＮＤＮ（ＮａｍｅｄＤａｔａＮｅｔｗｏｒｋ）のようなネーム（ｎａｍｅ）基盤のネットワークルーティング技術は、要請メッセージに対する応答メッセージを処理するために、応答メッセージがリターンされたとき、該当の応答メッセージをどこに再送信しなければならないかを把握しなければならない。ネーム基盤のネットワークで要請メッセージは、リクエスト、インタレスト、またはデータリクエストのように称される。そして、ネーム基盤のネットワークで応答メッセージは、レスポンスまたはデータのように称される。

ペンディングテーブル（ＰＩＴ；ＰｅｎｄｉｎｇＩｎｔｅｒｅｓｔＴａｂｌｅ）は受信した要請メッセージの目録を格納したテーブルである。すなわち、要請メッセージが流入すれば、該当ノード装置は要請メッセージの情報と共に流入経路をペンディングテーブルに記入した後、対応する応答メッセージがリターンされると、ペンディングテーブルに格納された要請メッセージの流入経路に該当応答メッセージを再送信する。

しかし、このようなペンディングテーブルはＤＤｏＳ（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）の攻撃対象となることがある。すなわち、ノード装置のペンディングテーブルが受容する容量以上の要請メッセージが流入して要請メッセージを格納するペンディングテーブルの容量を超過すれば、該当ノード装置はペンディングテーブルに記録した情報を一部削除したり、新しく流入する要請メッセージを放棄しなければならない。いずれの方法を選択しても、ＤＤｏＳ攻撃子はノードの正常的な要請メッセージを処理不可能にするという点でＤＤｏＳ攻撃が成功裡に行われたと見なす。

一般的なＩＰルータはトラフィックに対するヒストリーを管理する必要がないため、上述のようなＤＤｏＳ攻撃シナリオが成功しない。しかし、ＣＣＮ／ＮＤＮのように、装置の識別を使用しないネットワーキングにおけるペンディングテーブルはネットワーキングのための必須情報とも言える。したがって、ネーム基盤のネットワークシステムでルータに該当するノード装置はＤＤｏＳ攻撃に脆弱な構造を有する。

本発明は前記のような問題点に鑑みてなされたものであって、本発明の目的は、ペンディングテーブルのオーバーフローの防止のためにペンディングテーブル数をインタフェース部の数だけ増やして互いにマッチングさせ、インタフェース部ごとに流入する要請メッセージをマッチングされたペンディングテーブルに格納するノード装置を提供することにある。

前記目的を達成するためになされた本発明の一態様によるネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置は、ネーム基盤のネットワークで発生する要請メッセージを受信する複数のインタフェース部と、前記複数のインタフェース部のそれぞれにマッチングされ、前記インタフェース部を介して受信した前記要請メッセージをそれぞれ格納する複数のペンディングテーブルと、前記複数のインタフェース部の１つを介して前記要請メッセージを受信すると、前記要請メッセージを受信したインタフェース部を識別して、前記識別したインタフェース部にマッチングされたペンディングテーブルを識別し、前記識別したペンディングテーブルに前記受信した要請メッセージを格納するように前記識別したペンディングテーブルを制御する制御部と、前記識別したペンディングテーブルに格納された容量を確認し、前記確認された容量に基づいて前記識別したインタフェース部を介して攻撃を検出する攻撃検出部と、トラフィック制御要請部と、を備え、前記攻撃検出部は、前記確認された容量が予め設定された閾値を超過するか否かを検出し、前記トラフィック制御要請部は、前記確認された容量が前記予め設定された閾値を超過したことが前記攻撃検出部で検出された場合、前記要請メッセージを送信する間隔を制御するように要請するトラフィック制御メッセージを、前記識別したインタフェース部に送信することを特徴とする。

ここで、前記ペンディングテーブルそれぞれの大きさは、マッチングされたインタフェース部に流入するトラフィックを考慮して設定することを特徴とする。

ここで、前記トラフィック制御メッセージは、前記ノード装置を識別して認証できる認証情報を含むことを特徴とする。

また、前記トラフィック制御メッセージは、前記トラフィック制御メッセージを伝播するノード数を表すホップ数情報と、前記トラフィック制御メッセージによるトラフィック制御が維持される時間を表す維持時間情報と、前記要請メッセージを送信する間隔を表す送信間隔情報とのうち少なくとも１つをさらに含むことを特徴とする。

一方、前記トラフィック制御メッセージを送信した後、前記識別したインタフェース部から要請した送信間隔よりも短い間隔で要請メッセージを受信すれば、前記要請した送信間隔以外の要請メッセージを廃棄する攻撃対応部をさらに備えることを特徴とする。

一方、前記トラフィック制御要請部は、前記複数のインタフェース部の全てに前記トラフィック制御メッセージを送信することを特徴とする。

ここで、前記トラフィック制御メッセージを前記複数のインタフェース部ごとに送信した後、前記複数のインタフェース部ごとに要請した送信間隔よりも短い間隔で要請メッセージを受信すれば、前記要請した送信間隔以外の要請メッセージを廃棄する攻撃対応部をさらに備えることを特徴とする。

前記目的を達成するためになされた本発明の一態様によるネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法は、ネーム基盤のネットワークで発生する要請メッセージを複数のインタフェース部の１つを介して受信するステップと、前記要請メッセージを受信したインタフェース部を識別するステップと、複数のペンディングテーブルの中から、前記識別したインタフェース部にマッチングされたペンディングテーブルを識別するステップと、ノード装置でペンディングテーブルのオーバーフローを防止するために前記識別したペンディングテーブルに前記受信した要請メッセージを格納するステップと、前記識別したペンディングテーブルに格納された容量を確認し、前記確認された容量に基づいて前記識別したインタフェース部を介して攻撃を検出するステップと、を有し、前記攻撃を検出するステップは、前記確認された容量が予め設定された閾値を超過するか否かを検出するステップを含み、前記確認された容量が前記予め設定された閾値を超過することが前記攻撃検出ステップで検出された場合、前記要請メッセージを送信する間隔を制御するように要請するトラフィック制御メッセージを、前記識別したインタフェース部に送信するステップをさらにを含むことを特徴とする。

ここで、前記ペンディングテーブルは、それぞれ１つのインタフェース部とマッチングされることを特徴とする。

また、前記トラフィック制御メッセージを送信するステップの後に、前記識別したインタフェース部から要請した送信間隔よりも短い間隔で要請メッセージを受信すれば、前記要請した送信間隔以外の要請メッセージを廃棄するステップをさらに含むことを特徴とする。

前記目的を達成するためになされた本発明の一態様によるネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する装置は、ネーム基盤のネットワークから受信した要請メッセージを格納する複数のペンディングテーブルと、前記要請メッセージを受信したインタフェース部を識別して、前記識別したインタフェース部にマッチングされたペンディングテーブルを前記複数のペンディングテーブルの中から識別し、前記識別したペンディングテーブルのオーバーフローを防止するために前記受信した要請メッセージを格納するように前記識別したペンディングテーブルを制御する制御部と、前記識別したペンディングテーブルに格納された容量を確認し、前記確認された容量に基づいて前記識別したインタフェース部を介して攻撃を検出する攻撃検出部と、
トラフィック制御要請部と、を備え、前記攻撃検出部は、前記確認された容量が予め設定された閾値を超過するか否かを検出し、前記トラフィック制御要請部は、前記攻撃検出部で前記確認された容量が前記予め設定された閾値を超過することが検出された場合、前記要請メッセージを送信する間隔を制御するように要請するトラフィック制御メッセージを前記識別したインタフェース部に送信することを特徴とする。

インタフェース情報に対応する要請メッセージのネームを格納するＦＩＢ（ＦｏｒｗａｒｄｉｎｇｉｎｆｏｒｍａｔｉｏｎＢａｓｅ）テーブルをさらに含むことを特徴とする。

前記攻撃検出部は、前記確認された容量が前記予め設定された閾値を超過する場合、前記識別したペンディングテーブルに対応するインタフェース部を介して攻撃を検出し、前記予め設定された閾値は、前記インタフェース部に流入するトラフィック又は当該装置の位置に基づいて設定されることを特徴とする。

前記トラフィック制御メッセージは、ノード装置を識別して認証できる認証情報、ホップ数情報、維持時間情報、及び送信間隔情報のうちの少なくとも１つを含むことを特徴とする。

本発明によると、ペンディングテーブルのオーバーフロー防止のためにペンディングテーブル数をインタフェース部の数だけ増やして互いにマッチングさせ、インタフェース部ごとに流入する要請メッセージをマッチングされたペンディングテーブルに格納するノード装置を提供することができ、インタフェース部ごとにマッチングされたペンディングテーブルに要請メッセージを格納するため、攻撃を受けても被害を最小化できる効果がある。

また、ノード装置は、ペンディングテーブルごとに格納容量が閾値を超過すれば、マッチングされたインタフェースを介してトラフィック制御メッセージを送信するため、流入する要請メッセージの量を調整できる効果がある。

ペンディングテーブルのオーバーフローを防止するノード装置の構成例を示す図である。複数に構成されたペンディングテーブルの構造例を示す図である。ノード装置で要請メッセージを複数のペンディングテーブルに分散して格納することを説明するためのフローチャートである。ノード装置で攻撃に対処する方法を説明するためのフローチャートである。

以下、本発明の実施形態を添付する図面を参照しながら詳細に説明する。

図１は、ペンディングテーブルのオーバーフローを防止するノード装置の構成例を示す。

図１を参照すれば、ノード装置１００は、制御部１１０、攻撃検出部１１１、トラフィック制御要請部１１２、攻撃対応部１１３、複数のインタフェース部１２１、１２２、１２３、複数のペンディングテーブル１３１、１３２、１３３、ＦＩＢ（ＦｏｒｗａｒｄｉｎｇｉｎｆｏｒｍａｔｉｏｎＢａｓｅ）テーブル１４０、及び格納部１５０を備える。

複数のインタフェース部１２１、１２２、１２３は、制御部１１０の制御によって要請メッセージを受信し、受信した要請メッセージを送信する。また、複数のインタフェース部１２１、１２２、１２３は制御部１１０の制御によってトラフィック制御メッセージ（Ｔｒａｆｆｉｃｃｏｎｔｒｏｌｍｅｓｓａｇｅ）を送信する。

複数のインタフェース部１２１、１２２、１２３はそれぞれは論理的（仮想的）なインタフェースであってもよく、物理的なインタフェースであってもよい。

複数のペンディングテーブル１３１、１３２、１３３は、制御部１１０の制御によってそれぞれに対応する複数のインタフェース部１２１、１２２、１２３から受信した要請メッセージを格納する。要請メッセージはインターネットを介して受信してもよく、トラフィック制御メッセージはインターネットに送信してもよい。

図２は、複数に構成されたペンディングテーブルの構造例を示す図である。

図２を参照すれば、複数のペンディングテーブル１３１、１３２、１３３は、要請メッセージのネーム（ｎａｍｅ）と要請メッセージを受信するインタフェース部１２１、１２２、１２３のうち１つの情報を共に格納する。この情報はインタフェース情報を含んでもよいが、これに限定されることはない。複数のペンディングテーブル１３１、１３２、１３３それぞれは、複数のインタフェース部１２１、１２２、１２３の１つに関連するため、受信したインタフェース情報は省略できる。

ここで、複数のペンディングテーブル１３１、１３２、１３３の大きさは同じ大きさに設定してもよく、互いに異なる大きさに設定してもよい。複数のペンディングテーブル１３１、１３２、１３３それぞれの大きさはそれぞれマッチングされたインタフェース部に流入するトラフィックを考慮して設定される。

一方、複数のペンディングテーブル１３１、１３２、１３３は物理的に互いに異なるテーブルであってもよく、少なくとも１つのテーブルが論理的（仮想的）に分割されたテーブルであってもよい。例えば、１つのペンディングテーブルは、複数のインタフェース部１２１、１２２、１２３ごとのカウンタを用いて論理的に区分されてもよい。

ＦＩＢ（ＦｏｒｗａｒｄｉｎｇｉｎｆｏｒｍａｔｉｏｎＢａｓｅ）テーブル１４０は、ネームと対応するインタフェース情報を共に格納するテーブルである。

格納部１５０は、ノード装置１００の全般的な動作を制御するためのオペレーティングシステム及びアプリケーションを格納する。また、格納部１５０は、ノード装置１００を認証するためのノード装置１００の認証情報を格納する。

制御部１１０は、複数のインタフェース部１２１、１２２、１２３を介して要請メッセージを受信すれば、ペンディングテーブル１３０に格納し、複数のインタフェース部１２１、１２２、１２３の１つが要請メッセージを受信すれば、要請メッセージを受信したインタフェース部を識別する。そして、制御部１１０は、複数のペンディングテーブル１３１、１３２、１３３のうち識別したインタフェース部にマッチングされたペンディングテーブルを識別し、識別したペンディングテーブルに要請メッセージを格納するようにペンディングテーブルを制御する。例えば、制御部１１０は、第１インタフェース部１２１に流入する要請メッセージを第１ペンディングテーブル１３１に格納するようにペディンテーブル１３１を制御する。

そして、制御部１１０は、ＦＩＢテーブル１４０で要請メッセージと類似度の高い名前を検索し、複数のインタフェース部１２１、１２２、１２３のうち検索した名前に対応するインタフェース部を確認する。例えば、制御部１１０は、ＦＩＢテーブル１４０で要請メッセージと複数のインタフェース部１２１、１２２、１２３の名前との間に類似度が高いかを同時に確認してもよい。または、制御部１１０は、ＦＩＢテーブル１４０で要請メッセージとインタフェース部１２１、１２２、１２３の名前との間に類似度が高いかを順次確認してもよい。制御部１１０は、ＦＩＢテーブル１４０で要請メッセージと複数のインタフェース部１２１、１２２、１２３の名前との間に類似度が高いかを任意に確認してもよい。

そして、制御部１１０は、ＦＩＢテーブル１４０を介して確認した名前に対応するインタフェース部を介して受信した要請メッセージを送信する。

攻撃検出部１１１は、識別したペンディングテーブルに格納された容量を確認し、格納された容量が既に設定した閾値を超過するか否かを検出する。攻撃検出部１１１は、識別したペンディングテーブルに格納された容量が既に設定した閾値を超過すれば、識別したペンディングテーブルとマッチングされたインタフェース部を介して攻撃を検出する。ここで、閾値は、ペンディングテーブル１３１、１３２、１３３ごとに同じ値に設定してもよく、互いに異なる値に設定してもよい。閾値は複数のペンディングテーブル１３１、１３２、１３３とそれぞれマッチングされたインタフェース部に流入するトラフィックを考慮して設定してもよい。

また、閾値は、ネットワークトポロジーにおけるノード装置の位置に応じて異なって設定してもよい。例えば、ネットワークの先端に位置するノード装置は中心部に位置するノード装置に比べて相対的に少ないトラフィックが送信されるようにする。したがって、ネットワークの先端に位置するノード装置の閾値は、中心部に位置するノード装置に比べて相対的に低く設定される。

トラフィック制御要請部１１２は、攻撃検出部１１１によって検出したトラフィック制御メッセージをインタフェース部に送信する。ここで、トラフィック制御メッセージは、要請メッセージを送信する間隔を制御するよう要請するメッセージを表す。

トラフィック制御メッセージは、ノード装置１００を識別して認証できる認証情報を含む。そして、トラフィック制御メッセージは、追加的にホップ数情報、維持時間情報、及び送信間隔情報の一部または全体をさらに含んでもよい。ここで、ホップ数情報はトラフィック制御メッセージを伝播するノード数を表す。そして、送信間隔情報は要請メッセージの送信間隔を表す。そして、維持時間情報はトラフィック制御メッセージによるトラフィック制御が維持される時間を表す。

トラフィック制御要請部１１２がトラフィック制御メッセージを送信した後、攻撃を検出するインタフェース部を介して要請メッセージを受信する。要請メッセージがトラフィック制御メッセージによって設定した送信間隔よりも短かければ、攻撃対応部１１３は、設定した送信間隔よりも短い間隔で受信した要請メッセージを廃棄する。すなわち、攻撃対応部１１３は、トラフィック制御中であるインタフェース部を介して設定した送信間隔以外の要請メッセージを受信すれば、その要請メッセージを捨てる。

一方、トラフィック制御要請部１１２は、複数のインタフェース部１２１、１２２、１２３の全てにトラフィック制御メッセージを送信してもよい。

トラフィック制御要請部１１２に複数のインタフェース部１２１、１２２、１２３の全てにトラフィック制御メッセージを送信する場合、攻撃対応部１１３は、複数のインタフェース部１２１、１２２、１２３ごとに要請した送信間隔よりも短い間隔で受信する要請メッセージを廃棄する。

一方、制御部１１０は、ノード装置１００の全般的な動作を制御する。そして、制御部１１０は、攻撃検出部１１１、トラフィック制御要請部１１２、及び攻撃対応部１１３の機能を行ってもよい。制御部１１０、攻撃検出部１１１、トラフィック制御要請部１１２、及び攻撃対応部１１３を区分して示す理由は各機能を区別して説明するためである。したがって、制御部１１０は、攻撃検出部１１１、トラフィック制御要請部１１２、及び攻撃対応部１１３それぞれの機能を行うように構成された（ｃｏｎｆｉｇｕｒｅｄ）少なくとも１つのプロセッサを含む。また、制御部１１０は、攻撃検出部１１１、トラフィック制御要請部１１２、及び攻撃対応部１１３それぞれの機能の一部を行うように構成された少なくとも１つのプロセッサを含む。

以下、上記のように構成された本発明に係るネーム基盤のネットワークシステムのノード装置でペンディングテーブルのオーバーフローを防止する方法について図面を参照しながら説明する。

図３は、ノード装置で要請メッセージを複数のペンディングテーブルに分散して格納することを説明するためのフローチャートである。

図３を参照して、ノード装置はステップＳ３１０において要請メッセージを受信すれば、ステップＳ３１２において要請メッセージを受信したインタフェース部を識別する。そして、ノード装置はステップＳ３１４において識別したインタフェース部に対応するペンディングテーブルを識別する。

そして、ノード装置はステップＳ３１６において識別したペンディングテーブルの格納された容量を確認する。そして、ノード装置はステップＳ３１８において識別したペンディングテーブルの格納された容量が既に設定した閾値を超過するかを確認する。

ステップＳ３１８における確認の結果、識別したペンディングテーブルの格納された容量が既に設定した閾値を超過しなければ、ノード装置はステップＳ３２０において、受信した要請メッセージを識別したペンディングテーブルに格納する。

そして、ノード装置はステップＳ３２２においてＦＩＢ（ＦｏｒｗａｒｄｉｎｇＩｎｆｏｒｍａｔｉｏｎＢａｓｅ）テーブルで受信した要請メッセージと類似度の高い名前を検索し、検索した名前に対応するインタフェース部を確認し、確認したインタフェース部を介して受信した要請メッセージを送信する。

ステップＳ３１８における確認の結果、識別したペンディングテーブルの格納された容量が既に設定した閾値を超過すれば、ノード装置は、ステップＳ３２４において予め設定した閾値を超過するインタフェース部にトラフィック制御メッセージを送信する。この場合、トラフィック制御メッセージは、要請メッセージを送信する間隔を制御するように要請するメッセージを表す。トラフィック制御メッセージはノード装置を識別して認証できる認証情報を含む。そして、トラフィック制御メッセージは、追加的にホップ数情報、維持時間情報、及び送信間隔情報の一部または全体をさらに含んでもよい。

図４は、ノード装置が攻撃に対処する方法を説明するためのフローチャートである。

図４を参照すれば、ノード装置はステップＳ４１０においてトラフィック制御メッセージを送信する。そして、ノード装置はステップＳ４１２において要請メッセージを受信すれば、ステップＳ４１４において要請メッセージを受信したインタフェース部を識別する。

そして、ノード装置は、ステップＳ４１６において識別したインタフェース部がトラフィック制御対象であるインタフェース部であるかを確認する。ステップＳ４１６における確認の結果、識別したインタフェース部がトラフィック制御対象でなければ図３に示すステップＳ３１４に進む。

ステップＳ４１６における確認の結果、識別したインタフェース部がトラフィック制御対象であれば、ノード装置はステップＳ４１８においてトラフィック制御メッセージに要請したトラフィックが観測されたか否かを確認する。ここで、ノード装置は、トラフィック制御メッセージを送信したインタフェース部から要請した送信間隔よりも短い間隔で要請メッセージを受信すれば、要請したトラフィックは観測されないと判断する。

ステップＳ４１８における確認の結果、要請したトラフィックが観測されれば、ノード装置は、ステップＳ４２０において受信した要請メッセージを識別したインタフェース部とマッチングされたペンディングテーブルに格納する。

そして、ノード装置は、ステップＳ４２２においてＦＩＢテーブルで受信した要請メッセージと類似度の高い名前を検索し、検索した名前に対応するインタフェース部を検索し、検索したインタフェース部を介して受信した要請メッセージを送信する。

ステップＳ４１８における確認の結果、要請したトラフィックが観測されなかったならば、ノード装置はステップＳ４２４において要請した送信間隔以外の要請メッセージを廃棄する。

本発明の実施形態に係る方法は、多様なコンピュータ手段を介して様々な処理を実行することができるプログラム命令の形態で実現され、コンピュータ読取可能な記録媒体に記録されてもよい。コンピュータ読取可能な媒体は、プログラム命令、データファイル、データ構造などのうちの１つまたはその組合せを含んでもよい。媒体に記録されるプログラム命令は、本発明の目的のために特別に設計して構成されたものでもよく、コンピュータソフトウェア分野の技術を有する当業者にとって公知のものであり、使用可能なものであってもよい。

上述したように、本発明を限定された実施形態と図面によって説明したが、本発明は、上記の実施形態に限定されることなく、本発明が属する分野における通常の知識を有する者は、このような実施形態から多様な修正及び変形が可能である。

したがって、本発明の範囲は、開示した実施形態に限定されるものではなく、特許請求の範囲だけではなく特許請求の範囲と均等なものなどによって定められるものである。

本発明は、ネーム（ｎａｍｅ）基盤ネットワークシステムのノード装置におけるルーティング技術の分野に適用できる。

１００ノード装置
１１０制御部
１１１攻撃検出部
１１２トラフィック制御要請部
１１３攻撃対応部
１２１，１２２，１２３第１〜第３インタフェース部
１３１，１３２，１３３第１〜第３ペンディングテーブル
１４０ＦＩＢテーブル
１５０格納部

Claims

ネーム基盤のネットワークで発生する要請メッセージを受信する複数のインタフェース部と、
前記複数のインタフェース部のそれぞれにマッチングされ、前記インタフェース部を介して受信した前記要請メッセージをそれぞれ格納する複数のペンディングテーブルと、
前記複数のインタフェース部の１つを介して前記要請メッセージを受信すると、前記要請メッセージを受信したインタフェース部を識別して、前記識別したインタフェース部にマッチングされたペンディングテーブルを識別し、前記識別したペンディングテーブルに前記受信した要請メッセージを格納するように前記識別したペンディングテーブルを制御する制御部と、
前記識別したペンディングテーブルに格納された容量を確認し、前記確認された容量に基づいて前記識別したインタフェース部を介して攻撃を検出する攻撃検出部と、
トラフィック制御要請部と、を備え、
前記攻撃検出部は、前記確認された容量が予め設定された閾値を超過するか否かを検出し、
前記トラフィック制御要請部は、前記確認された容量が前記予め設定された閾値を超過したことが前記攻撃検出部で検出された場合、前記要請メッセージを送信する間隔を制御するように要請するトラフィック制御メッセージを、前記識別したインタフェース部に送信することを特徴とするネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
前記複数のペンディングテーブルそれぞれの大きさは、前記それぞれのペンディングテーブルにマッチングされたインタフェース部に流入するトラフィックに基づいて設定されることを特徴とする請求項１に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
前記トラフィック制御メッセージは、前記ノード装置を識別して認証できる認証情報を含むことを特徴とする請求項１に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
前記トラフィック制御メッセージは、
前記トラフィック制御メッセージを伝播するノード数を表すホップ数情報と、
前記トラフィック制御メッセージによるトラフィック制御が維持される時間を表す維持時間情報と、
前記要請メッセージを送信する間隔を表す送信間隔情報とのうちの少なくとも１つをさらに含むことを特徴とする請求項３に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
前記トラフィック制御メッセージを送信した後、前記識別したインタフェース部から前記要請した送信間隔よりも短い間隔で要請メッセージを受信すると、前記要請した送信間隔以外の要請メッセージを廃棄する攻撃対応部をさらに備えることを特徴とする請求項１に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
前記トラフィック制御要請部は、前記複数のインタフェース部の全てに前記トラフィック制御メッセージを送信することを特徴とする請求項１に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
前記トラフィック制御メッセージが前記複数のインタフェース部の全てに送信された後、前記複数のインタフェース部ごとに前記要請した送信間隔よりも短い間隔で要請メッセージを受信すると、前記要請した送信間隔以外の要請メッセージを廃棄する攻撃対応部をさらに備えることを特徴とする請求項６に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置。
ネーム基盤のネットワークで発生する要請メッセージを複数のインタフェース部の１つを介して受信するステップと、
前記要請メッセージを受信したインタフェース部を識別するステップと、
複数のペンディングテーブルの中から、前記識別したインタフェース部にマッチングされたペンディングテーブルを識別するステップと、
ノード装置でペンディングテーブルのオーバーフローを防止するために前記識別したペンディングテーブルに前記受信した要請メッセージを格納するステップと、
前記識別したペンディングテーブルに格納された容量を確認し、前記確認された容量に基づいて前記識別したインタフェース部を介して攻撃を検出するステップと、を有し、
前記攻撃を検出するステップは、前記確認された容量が予め設定された閾値を超過するか否かを検出するステップを含み、
前記確認された容量が前記予め設定された閾値を超過することが前記攻撃検出ステップで検出された場合、前記要請メッセージを送信する間隔を制御するように要請するトラフィック制御メッセージを、前記識別したインタフェース部に送信するステップをさらにを含むことを特徴とするネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記ペンディングテーブルは、それぞれに対応する１つのインタフェース部とマッチングされることを特徴とする請求項８に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記ペンディングテーブルそれぞれの大きさは、前記それぞれのペンディングテーブルにマッチングされたインタフェース部に流入するトラフィックを考慮して設定することを特徴とする請求項８に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記トラフィック制御メッセージは、前記ノード装置を識別して認証できる認証情報を含むことを特徴とする請求項８に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記トラフィック制御メッセージは、
前記トラフィック制御メッセージを伝播するノード数を表すホップ数情報と、
前記トラフィック制御メッセージによるトラフィック制御が維持される時間を表す維持時間情報と、
前記要請メッセージを送信する間隔を表す送信間隔情報のうちの少なくとも１つをさらに含むことを特徴とする請求項１１に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記トラフィック制御メッセージを送信するステップの後に、前記識別したインタフェース部から前記要請した送信間隔よりも短い間隔で要請メッセージを受信すると、前記要請した送信間隔以外の要請メッセージを廃棄するステップをさらに含むことを特徴とする請求項８に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記トラフィック制御メッセージを送信するステップは、前記複数のインタフェース部の全てに前記トラフィック制御メッセージを送信することを特徴とする請求項８に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
前記トラフィック制御メッセージを送信するステップの後に、前記複数のインタフェース部ごとに要請した送信間隔よりも短い間隔で要請メッセージを受信すると、前記要請した送信間隔以外の要請メッセージを廃棄するステップをさらに含むことを特徴とする請求項１４に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する方法。
ネーム基盤のネットワークから受信した要請メッセージを格納する複数のペンディングテーブルと、
前記要請メッセージを受信したインタフェース部を識別して、前記識別したインタフェース部にマッチングされたペンディングテーブルを前記複数のペンディングテーブルの中から識別し、前記識別したペンディングテーブルのオーバーフローを防止するために前記受信した要請メッセージを格納するように前記識別したペンディングテーブルを制御する制御部と、
前記識別したペンディングテーブルに格納された容量を確認し、前記確認された容量に基づいて前記識別したインタフェース部を介して攻撃を検出する攻撃検出部と、
トラフィック制御要請部と、を備え、
前記攻撃検出部は、前記確認された容量が予め設定された閾値を超過するか否かを検出し、
前記トラフィック制御要請部は、前記攻撃検出部で前記確認された容量が前記予め設定された閾値を超過することが検出された場合、前記要請メッセージを送信する間隔を制御するように要請するトラフィック制御メッセージを前記識別したインタフェース部に送信することを特徴とするネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する装置。
インタフェース情報に対応する要請メッセージのネームを格納するＦＩＢ（ＦｏｒｗａｒｄｉｎｇｉｎｆｏｒｍａｔｉｏｎＢａｓｅ）テーブルをさらに含むことを特徴とする請求項１６に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する装置。
前記攻撃検出部は、前記確認された容量が前記予め設定された閾値を超過する場合、
前記識別したペンディングテーブルに対応するインタフェース部を介して攻撃を検出し、
前記予め設定された閾値は、前記インタフェース部に流入するトラフィック又は当該装置の位置に基づいて設定されることを特徴とする請求項１６に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する装置。
前記トラフィック制御メッセージは、ノード装置を識別して認証できる認証情報、ホップ数情報、維持時間情報、及び送信間隔情報のうちの少なくとも１つを含むことを特徴とする請求項１６に記載のネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止する装置。