JP6306485B2

JP6306485B2 - 判別装置及び判別方法

Info

Publication number: JP6306485B2
Application number: JP2014198050A
Authority: JP
Inventors: 宮本　大輔; 大輔宮本; 聖根岸
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-09-29
Filing date: 2014-09-29
Publication date: 2018-04-04
Anticipated expiration: 2034-09-29
Also published as: JP2016072721A

Description

本発明は、ＤＨＣＰサーバに対する大量発呼を判別する技術に関する。

現在、大量のユーザが同時に発呼してサーバを攻撃するＤＤｏＳ攻撃（Distributed Denial of Service Attack）が知られている。かかる攻撃に対しては、サーバのポートを閉鎖する措置や、ルータの遮断によりネットワークからサーバを切断する措置が有効である。例えば、ネットワークの通信状況を定期的に把握し、大量発呼により輻輳状態に変化したことを検知した際にＤＤｏＳ攻撃とみなし、それら各措置を実行する。

"Dynamic Host Configuration Protocol"、Network Working Group、［online］、［平成26年9月9日検索］、＜URL: http://www.potaroo.net/ietf/rfc/PDF/rfc2131.pdf＞

しかしながら、ネットワークレベルからは大量発呼の種別を判別できないため、非攻撃性の大量発呼も併せて遮断されてしまう。例えば広域停電から復旧した際、本来であれば、その域内サーバの再起動により複数のＩＰアドレス取得要求がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバに到達してＩＰアドレスが発行される。しかし、ＤＤｏＳ攻撃を回避するためにＤＨＣＰサーバのポートを閉鎖すると、正当であるＩＰアドレス取得要求がＤＨＣＰサーバに到達しないため、域内サーバは自身のＩＰアドレスを取得できない。

本発明は、上記事情を鑑みてなされたものであり、一斉復電等による大量発呼とＤＤｏＳ攻撃による大量発呼の判別方法を提供することを目的とする。

以上の課題を解決するため、請求項１に記載の判別装置は、クライアントからＤＨＣＰのメッセージを受信する受信手段と、前記メッセージの送信時間間隔又は送信順序が規定基準を満たすかに基づき、前記クライアントがアドレス情報を求めるクライアントであるかを判別する判別手段と、を有し、前記判別手段は、前記規定基準を満たさないクライアントを攻撃的なクライアントとして判別することを要旨とする。

請求項２に記載の判別方法は、コンピュータにより、クライアントからＤＨＣＰのメッセージを受信する受信ステップと、前記メッセージの送信時間間隔又は送信順序が規定基準を満たすかに基づき、前記クライアントがアドレス情報を求めるクライアントであるかを判別する判別ステップと、を有し、前記判別ステップでは、前記規定基準を満たさないクライアントを攻撃的なクライアントとして判別することを要旨とする。

本発明によれば、一斉復電等による大量発呼とＤＤｏＳ攻撃による大量発呼の判別方法を提供できる。

ＤＨＣＰの基本処理フローを示す図である。Ｄｉｓｃｏｖｅｒメッセージの再送時間間隔を示す図である。Ｒｅｑｕｅｓｔメッセージの再送時間間隔を示す図である。ＤＤｏＳ攻撃抑止装置の機能ブロック構成を示す図である。ＤＤｏＳ攻撃抑止装置の基本処理フローを示す図である。クライアント情報の例を示す図である。Ｄｉｓｃｏｖｅｒメッセージを用いてＤＤｏＳ攻撃が行われる場合のＤＤｏＳ攻撃抑止処理フローを示す図である。クライアント情報の例を示す図である。Ｒｅｑｕｅｓｔメッセージを用いてＤＤｏＳ攻撃が行われる場合のＤＤｏＳ攻撃抑止処理フローを示す図である。ＲＦＣ規定の処理順序に則さないＤｉｓｃｏｖｅｒメッセージを受信した場合のＤＤｏＳ攻撃抑止処理フローを示す図である。

以下、本発明を実施する一実施の形態について図面を用いて説明する。

最初に、非特許文献１のＲＦＣ（Request for comment）で規定されているＤＨＣＰの基本動作を説明する。図１は、ＤＨＣＰの基本処理フローを示す図である。この処理は、相互通信可能に接続されたＤＨＣＰサーバ３とクライアント５の間で実行される。クライアント５とは、ＩＰアドレスの取得要求を行う通信装置や情報処理装置を指す。

まず、ステップＳ１０１において、クライアント５は、自身のＩＰアドレスを取得するため、ＤＨＣＰサーバを探索するためのＤｉｓｃｏｖｅｒメッセージをブロードキャストする。

次に、ネットワーク上のＤＨＣＰサーバがＤｉｓｃｏｖｅｒメッセージを受信すると、ステップＳ１０２において、そのＤＨＣＰサーバ３は、用意された複数のＩＰアドレスから未使用のＩＰアドレスを選定し、そのＩＰアドレスを含めたＯｆｆｅｒメッセージを要求元のクライアント５へ送信する。

次に、ステップＳ１０３において、そのクライアント５は、Ｏｆｆｅｒメッセージで提示されたＩＰアドレスを参照し、そのＩＰアドレスを要求するためのＲｅｑｕｅｓｔメッセージを応答元のＤＨＣＰサーバ３へ送信する。

最後に、ステップＳ１０４において、そのＤＨＣＰサーバ３は、Ｒｅｑｕｅｓｔメッセージで要求されたＩＰアドレス、そのリース期間やリース期限等を含むＡｃｋメッセージを生成し、要求元のクライアント５へ送信する。

以上がＤＨＣＰの基本動作である。これにより、クライアント５は自身のＩＰアドレスを取得できる。

ここで、ＤＨＣＰのＲＦＣによれば、大量のＤＨＣＰメッセージにより生じた輻輳状態によるＤＨＣＰサーバ３の応答不能やＩＰアドレスのリース期限を考慮し、クライアント５によるＤＨＣＰメッセージの再送処理が規定されている。

例えば、Ｄｉｓｃｏｖｅｒメッセージを再送する場合、再送時間間隔を概ね２の累乗で随時変化させることが規定されている。具体的には、図２に示すように、次の再送時間間隔Ｔ_ｎは、直前の再送時間間隔Ｔ_ｎ−１を２倍した値に−１秒から＋１秒までの範囲内でランダムな時間を加えた値とすることが規定されている。この場合、クライアント５は、直前に送信したＤｉｓｃｏｖｅｒメッセージの送信時刻から（２Ｔ_ｎ−１±１）の時間内にＤｉｓｃｏｖｅｒメッセージを再送しなければならない。

また、ＩＰアドレスにはリース期限があるため、クライアント５は、Ｒｅｑｕｅｓｔメッセージを再送してリース期限を更新する必要がある。Ｒｅｑｕｅｓｔメッセージの再送時間間隔Ｔ_ｎ’についても規定されており、図３に示すように、Ａｃｋメッセージを受信してからリース期間Ｔ_Ｌの（１／２）倍以上の時間とすることが規定されている。この場合、クライアント５は、Ａｃｋメッセージの受信時刻から（（１／２）Ｔ_Ｌ）以上の時間後にＲｅｑｕｅｓｔメッセージを再送しなければならない。

このように、ＤＨＣＰのＲＦＣではＤＨＣＰメッセージの再送時間間隔や各メッセージの送信順序が規定されており、それに基づいて各メッセージが送信／再送される。特に、各メッセージの再送時間間隔が規定されているため、ＤＨＣＰサーバ３に到達するメッセージの集中が次第に緩和され、輻輳状態が解消される。

しかし、ＤＤｏＳ攻撃の場合、ＲＦＣで規定された再送時間間隔や処理フローに則さない状態でメッセージが送信される。そこで、本発明では、ＤＤｏＳ攻撃がＲＦＣの規定に合致しないことに着目し、ＤＨＣＰのＲＦＣで規定された勧告以外の動作をするクライアントを正当でないクライアントとして判別し、そのクライアントからのメッセージをＤＤｏＳ攻撃とみなして抑止する。

図４は、本実施の形態に係るＤＤｏＳ攻撃抑止装置１の機能ブロック構成を示す図である。ＤＤｏＳ攻撃抑止装置１は、ＤＨＣＰサーバに対する大量発呼の種別を判別する判別装置であり、ＤＤｏｓ攻撃を抑止する抑止装置でもある。ＤＨＣＰサーバの内部で動作し、ルータを介してネットワーク上のクライアントに接続される。

まず、ＤＤｏＳ攻撃抑止装置１の機能を説明する。本実施の形態に係るＤＤｏＳ攻撃抑止装置１は、ＤＨＣＰメッセージ受信部１１と、タイムスタンプ比較部１２と、タイムスタンプ更新部１３と、タイムスタンプ更新時間間隔比較部１４と、リースタイム更新部１５と、リースタイム比較部１６と、クライアント判別部１７と、ＤＤｏＳ攻撃抑止部１８と、クライアント情報記憶部１９と、を備えて構成される。

ＤＨＣＰメッセージ受信部１１は、クライアントから送信されたＤＨＣＰメッセージを受信するように構成されている。ＤＨＣＰメッセージのメッセージ種別は非特許文献１に記載の通りであり、ＤＨＣＰサーバを探索するＤｉｓｃｏｖｅｒメッセージ、ＩＰアドレスを提示するＯｆｆｅｒメッセージ、ＩＰアドレスの取得要求やリース期限の更新要求を行うＲｅｑｕｅｓｔメッセージ、ＩＰアドレスの提供や更新後のリース期限の提供を行うＡｃｋメッセージである。

タイムスタンプ比較部１２は、Ｄｉｓｃｏｖｅｒメッセージの受信時刻を最新のタイムスタンプ情報として管理し、同一のクライアントから直前に受信していたＤｉｓｃｏｖｅｒメッセージのタイムスタンプ情報（直前のタイムスタンプ情報）と比較するように構成されている。

タイムスタンプ更新部１３は、最新のタイムスタンプ情報が直前のタイムスタンプ情報と異なる場合、直前のタイムスタンプ情報を最新のタイムスタンプ情報で更新するように構成されている。

タイムスタンプ更新時間間隔比較部１４は、Ｄｉｓｃｏｖｅｒメッセージを受信する毎にタイムスタンプ情報の更新時間間隔を管理し、最新の更新時間間隔と直前の更新時間間隔とを比較するように構成されている。

リースタイム更新部１５は、ＡｃｋメッセージでＩＰアドレスがクライアントに提供又は更新後のリース期限が提供された場合、そのＡｃｋメッセージの送信時刻からリース期間を加算した時刻をリースタイム情報（リース期限）として管理し、同一ＩＰアドレスのリース期限が更新される毎に直前のリースタイム情報を最新のリースタイム情報で更新するように構成されている。

リースタイム比較部１６は、Ｒｅｑｕｅｓｔメッセージの受信時刻やＡｃｋメッセージの送信時刻を管理し、Ａｃｋメッセージを送信してから再送後のＲｅｑｕｅｓｔメッセージを受信するまでのリース期限更新要求時間間隔とリース期間とを比較するように構成されている。

クライアント判別部１７は、タイムスタンプ更新時間間隔比較部１４又はリースタイム比較部１６による比較の結果、ＤＨＣＰのＲＦＣ規定を満たす場合、ＤＨＣＰメッセージを送信してきたクライアントを、ＩＰアドレスを求める正当なクライアントとして判別し、ＤＨＣＰのＲＦＣ規定を満たさない場合、攻撃的な正当でないクライアントとして判別するように構成されている。

ＤＤｏＳ攻撃抑止部１８は、要求元のクライアントが正当でないクライアントの場合、そのクライアントからのメッセージをＤＤｏＳ攻撃とみなし、そのクライアントをＤＤｏＳ攻撃の警告対象クライアントとみなして、警告対象クライアントからのＤＨＣＰメッセージを拒否し、ＤＤｏＳ攻撃されていることをＤＨＣＰサーバの管理者や保守者へ通知するように構成されている。

クライアント情報記憶部１９は、クライアント情報を記憶するように構成されている。例えば、クライアントのＭＡＣアドレスや提供されたＩＰアドレス等をクライアントの識別子ＩＤに対応付けて管理する。

続いて、ＤＤｏＳ攻撃抑止装置１の動作を説明する。最初に、ＤＤｏＳ攻撃抑止装置１の基本動作を説明する。その後、（１）規定された再送時間間隔に則さないメッセージを受信した場合、（２）規定された処理順序に則さないメッセージを受信した場合の動作を説明する。

図５は、ＤＤｏＳ攻撃抑止装置１の基本処理フローを示す図である。クライアント５は、正当なクライアント、つまり、ＩＰアドレスを取得したいクライアントである。

まず、ステップＳ２０１において、タイムスタンプ比較部１２は、クライアント５からＤｉｓｃｏｖｅｒメッセージを受信した後、その受信時刻を最新のタイムスタンプ情報とし、同一のクライアント５に係る直前のタイムスタンプ情報をクライアント情報記憶部１９から取得して、それら２つのタイムスタンプ情報を比較する。クライアント情報記憶部１９で管理されるクライアント情報の例を図６に示す。

通常、同一のクライアントからＤｉｓｃｏｖｅｒメッセージが送信される場合、前述のようにＲＦＣで規定された時間間隔で送信されるため、比較対象であるそれら２つのタイムスタンプ情報は異なる。そのため、ステップＳ２０２において、タイムスタンプ更新部１３は、直前のタイムスタンプ情報を最新のタイムスタンプ情報で更新する。

次に、ステップＳ２０３において、タイムスタンプ更新時間間隔比較部１４は、タイムスタンプ情報が更新された更新時間間隔を計算し、その更新時間間隔を最新の更新時間間隔として、以前に計算していた直前の更新時間間隔と比較する。なお、タイムスタンプ情報の更新時間間隔とは、タイムスタンプ情報が更新された時刻の間隔であり、Ｄｉｓｃｏｖｅｒメッセージの受信時刻の間隔、すなわち、Ｄｉｓｃｏｖｅｒメッセージの再送時間間隔Ｔ_ｎに相当する。

ここで、クライアント５は正当なクライアントであるため、今回送信されたＤｉｓｃｏｖｅｒメッセージは、直前に送信されたＤｉｓｃｏｖｅｒメッセージの送信時刻から（２Ｔ_ｎ−１±１）の時間内で送信されている。それゆえ、タイムスタンプ情報の最新の更新時間間隔も、直前の更新時間間隔を概ね２倍した時間となる。

次に、ステップＳ２０４において、クライアント判別部１７は、最新と直前の各更新時間間隔の比較結果がＲＦＣ規定を満たすため、要求元のクライアント５を正当なクライアントとして判別する。正当なクライアントであるため、ＤＤｏＳ攻撃抑止部１８は何ら処理を実行しない。その後、受信していたＤｉｓｃｏｖｅｒメッセージに対してＯｆｆｅｒメッセージがクライアント５へ返信され、そのクライアント５からＲｅｑｕｅｓｔメッセージを受信する。

続いて、ＡｃｋメッセージでＩＰアドレスを提供した後、ステップＳ２０５において、リースタイム更新部１５は、そのＡｃｋメッセージの送信時刻から一定のリース期間を加算した時刻をリースタイム情報（リース期限）とし、クライアント情報に登録する。同一ＩＰアドレスに対する直前のリースタイム情報が存在する場合はクライアント情報を更新する。

その後、ＩＰアドレスのリース期限を更新するため、クライアント５からＲｅｑｕｅｓｔメッセージが再送される。Ｒｅｑｕｅｓｔメッセージを再受信すると、ステップＳ２０６において、リースタイム比較部１６は、Ａｃｋメッセージを送信してからＲｅｑｕｅｓｔメッセージを再受信するまでのリース期限更新要求時間間隔を計算し、リース期間Ｔ_Ｌと比較する。

ここで、クライアント５は正当なクライアントであるため、今回再送されたＲｅｑｕｅｓｔメッセージは、Ａｃｋメッセージの受信時刻から（（１／２）Ｔ_Ｌ）以上の時間後に再送されている。それゆえ、リース期限更新要求時間間隔も、リース期間Ｔ_Ｌの１／２以上となる。

次に、ステップＳ２０７において、クライアント判別部１７は、リース期限更新要求時間間隔とリース期間の比較結果がＲＦＣ規定を満たすため、要求元のクライアント５を正当なクライアントとして判別する。正当なクライアントであるため、ＤＤｏＳ攻撃抑止部１８は何ら処理を実行しない。その後、再送されたＲｅｑｕｅｓｔメッセージに対してＡｃｋメッセージが返信される。

以上がＤＤｏＳ攻撃抑止装置１の基本動作である。次に、（１）規定された再送時間間隔に則さないメッセージを受信した際の動作を説明する。

図７は、Ｄｉｓｃｏｖｅｒメッセージを用いてＤＤｏＳ攻撃が行われる場合のＤＤｏＳ攻撃抑止処理フローを示す図である。同図（ａ）は、処理手順を機能部単位で示した参考図である。ここでは、その処理を具体的に説明した同図（ｂ）に沿って説明する。

まず、ステップＳ３０１において、タイムスタンプ比較部１２は、クライアント５からＤｉｓｃｏｖｅｒメッセージを受信した後、その受信時刻を最新のタイムスタンプ情報とし、同一のクライアント５に係る直前のタイムスタンプ情報がクライアント情報記憶部１９に存在するかを判定する。

ここで、直前のタイムスタンプ情報が存在しない場合、つまり、ＩＰアドレスの要求が初期の場合は、タイムスタンプ情報の比較やその更新時間間隔の比較を行う比較対象が存在しないためステップＳ３０５へ進み、クライアント判別部１７は、要求元のクライアント５を正当なクライアントとして判別する。一方、直前のタイムスタンプ情報が存在する場合、ステップＳ３０２へ進む。

次に、ステップＳ３０２において、タイムスタンプ比較部１２は、受信したＤｉｓｃｏｖｅｒメッセージの再送回数が１回目か否かを判定する。１回目の場合、つまり、Ｄｉｓｃｏｖｅｒメッセージの受信回数が２つの場合は、タイムスタンプ情報の更新時間間隔を行う比較対象が存在しないため、この場合もステップＳ３０５へ進む。一方、１回目でない場合、つまり、２回目以降の場合、ステップＳ３０３へ進む。なお、Ｄｉｓｃｏｖｅｒメッセージの再送回数は、例えばクライアント毎に用意されたメッセージ受信回数用のカウンタ変数を利用する。

次に、ステップＳ３０３において、タイムスタンプ更新時間間隔比較部１４は、タイムスタンプ更新部１３で更新されたタイムスタンプ情報の最新の更新時間間隔が、直前の更新時間間隔を２倍した値に＋１又は−１を加えたＲＦＣ規定範囲内（２Ｔ_ｎ−１−１から２Ｔ_ｎ−１＋１の範囲内）に含まれるかを判定する。

ここで、クライアント５は正当でないクライアントであるため、Ｄｉｓｃｏｖｅｒメッセージは、直前に送信されたＤｉｓｃｏｖｅｒメッセージの送信時刻から（２Ｔ_ｎ−１±１）の時間外で送信されている。

この場合、ステップＳ３０４に進み、クライアント判別部１７は、要求元のクライアント５を正当でないクライアントとして判別する。例えば、図８に示すクライアント情報を保持している場合、識別子ＩＤがＣのクライアントは、最新の更新時間間隔＃２が直前の更新時間間隔＃１と同一のため、正当でないクライアントとして判別される。

その後、ＤＤｏＳ攻撃抑止部１８は、そのクライアント５をＤＤｏＳ攻撃の警告対象クライアントとみなし、ＤＨＣＰメッセージの受信を抑止する処理を実行する。例えば、そのクライアント５からのいずれのＤＨＣＰメッセージも拒否し、ＤＨＣＰサーバに接続されているルータのポートを閉塞する。そのクライアント５に対してアラーム情報で応答してもよいし、警告信号や警告情報を出力してもよい。

図９は、Ｒｅｑｕｅｓｔメッセージを用いてＤＤｏＳ攻撃が行われる場合のＤＤｏＳ攻撃抑止処理フローを示す図である。同図（ａ）は、処理手順を機能部単位で示した参考図である。ここでも、その処理を具体的に説明した同図（ｂ）に沿って説明する。

まず、ステップＳ４０１において、リースタイム比較部１６は、クライアント５からＲｅｑｕｅｓｔメッセージ＃３を受信した後、Ａｃｋメッセージ＃２を送信してからＲｅｑｕｅｓｔメッセージ＃３を受信するまでのリース期限更新要求時間間隔を計算し、そのリース期限更新要求時間間隔がリース期間Ｔ_Ｌを（１／２）倍した値以上であるかを判定する。

ここで、計算したリース期限更新要求時間間隔が（（１／２）Ｔ_Ｌ）以上の場合、ＲＦＣ規定を満たすため、ステップＳ４０４へ進み、クライアント判別部１７は、要求元のクライアント５を正当なクライアントとして判別する。しかし、クライアント５は正当でないクライアントであるため、Ｒｅｑｕｅｓｔメッセージ＃３は、Ａｃｋメッセージ＃２の直後、すなわち、Ａｃｋメッセージ＃２の送信時刻から（（１／２）Ｔ_Ｌ）の時間経過前に送信されている。この場合、ＲＦＣ規定を満たしていないため、ステップＳ４０２へ進む。

次に、ステップＳ４０２において、リースタイム比較部１６は、計算したリース期限更新要求時間間隔が、ＤＨＣＰサーバの管理者や保守者により設定された指定時間以上であるかを判定する。この指定時間とは、ステップＳ４０１での判定精度の誤差を考慮して用意された基準時間であり、（（１／２）Ｔ_Ｌ）よりも僅かに小さい時間が設定される。リース期限更新要求時間間隔がＲＦＣ規定を満たしていない場合であっても、この基準時間を満たしている場合は、正当なクライアントであるとみなし、ステップＳ４０４へ進む。一方、この基準を満たしていない場合は、ステップＳ４０３へ進む。ステップＳ４０３の処理はステップＳ３０４と同様である。

最後に、（２）規定された処理順序に則さないメッセージを受信した際の動作を説明する。図１０は、ＲＦＣ規定の処理順序に則さないＤｉｓｃｏｖｅｒメッセージを受信した場合のＤＤｏＳ攻撃抑止処理フローを示す図である。同図（ａ）は、処理手順を機能部単位で示した参考図である。ここでも、その処理を具体的に説明した同図（ｂ）に沿って説明する。

まず、ステップＳ５０１において、タイムスタンプ比較部１２は、クライアント５からＤｉｓｃｏｖｅｒメッセージ＃２を受信した後、その受信時刻を最新のタイムスタンプ情報とし、同一のクライアント５に係る直前のタイムスタンプ情報がクライアント情報記憶部１９に存在するかを判定する。

ここで、直前のタイムスタンプ情報が存在しない場合、つまり、ＩＰアドレスの要求が初期の場合は、タイムスタンプ情報の比較やその更新時間間隔の比較を行う比較対象が存在しないためステップＳ５０４へ進み、クライアント判別部１７は、要求元のクライアント５を正当なクライアントとして判別する。一方、直前のタイムスタンプ情報が存在する場合、ステップＳ５０２へ進む。

次に、ステップＳ５０２において、タイムスタンプ比較部１２は、Ｄｉｓｃｏｖｅｒメッセージ＃２をＲｅｑｕｅｓｔメッセージの受信前に受信したかを判定する。ここで、Ｄｉｓｃｏｖｅｒメッセージ＃２を受信したタイミングがＲｅｑｕｅｓｔメッセージの受信前でない場合、すなわち、Ｒｅｑｕｅｓｔメッセージの受信後の場合は、ＲＦＣ規定で定められたメッセージの処理順序を満たすため又はＲＦＣ規定を満たすとみなし、ステップＳ５０４へ進む。

一方、Ｄｉｓｃｏｖｅｒメッセージを受信したタイミングがＲｅｑｕｅｓｔメッセージの受信前である場合、すなわち、Ｄｉｓｃｏｖｅｒメッセージ＃１に対してＯｆｆｅｒメッセージ＃１を応答しているにもかかわらずＤｉｓｃｏｖｅｒメッセージが送信される場合は、ＲＦＣ規定を満たしていないため、ステップＳ５０３へ進む。ステップＳ５０３の処理はステップＳ３０４と同様である。なお、Ｄｉｓｃｏｖｅｒメッセージの受信順序がＲＦＣ規定を満たすか否かについては、例えば、各メッセージの受信時刻を管理し、その受信時刻を比較することにより判定する。

以上、ＤＤｏＳ攻撃抑止装置１の全体動作を説明した。これらの処理動作により、例えば、ＲＦＣ規定に基づいたＤＨＣＰ再送時間間隔以上の頻度でＤＨＣＰメッセージを送信するクライアント、Ａｃｋメッセージの直後にＲｅｑｕｅｓｔメッセージを再送するクライアント、Ｄｉｓｃｏｖｅｒメッセージに対してＯｆｆｅｒメッセージを応答しているにもかかわらずＤｉｓｃｏｖｅｒメッセージを送信し続けるクライアント等をＤＤｏＳ攻撃者として判別できる。そして、そのＤＤｏＳ攻撃者からのＤＨＣＰメッセージに対して一定の抑制措置を講じることができる。

本実施の形態によれば、クライアントから送信されたＤｉｓｃｏｖｅｒメッセージやＲｅｑｕｅｓｔメッセージの送信時間間隔、Ｄｉｓｃｏｖｅｒメッセージの送信順序がＲＦＣの規定基準を満たすかに基づき、そのクライアントがＩＰアドレスを求める正当なクライアントであるか、ＤＤｏＳ攻撃のクライアントであるかを判別するため、一斉復電等による大量発呼とＤＤｏＳ攻撃による大量発呼の判別方法を提供できる。

なお、本実施の形態ではＤＨＣＰのバージョンが４（ＤＨＣＰｖ４）である場合を前提に説明したが、そのバージョンが６（ＤＨＣＰｖ６）であってもＤＨＣＰメッセージの処理動作は同様であるため、本実施の形態に係るＤＤｏＳ攻撃抑止装置１をＤＨＣＰｖ６に適用することも可能である。また、将来規定される可能性のある他のバージョンにも適用できる。

最後に、本実施の形態で説明したＤＤｏＳ攻撃抑止装置１をプログラムとして構築し、コンピュータにインストールして実行させることや、通信ネットワークを介して流通させることも可能である。

１…ＤＤｏＳ攻撃抑止装置（判別装置）
１１…ＤＨＣＰメッセージ受信部
１２…タイムスタンプ比較部
１３…タイムスタンプ更新部
１４…タイムスタンプ更新時間間隔比較部
１５…リースタイム更新部
１６…リースタイム比較部
１７…クライアント判別部
１８…ＤＤｏＳ攻撃抑止部
１９…クライアント情報記憶部
３…ＤＨＣＰサーバ
５…クライアント
Ｓ１０１〜Ｓ１０４、Ｓ２０１〜Ｓ２０７、Ｓ３０１〜Ｓ３０５、Ｓ４０１〜Ｓ４０４、Ｓ５０１〜Ｓ５０４…ステップ

Claims

クライアントからＤＨＣＰのメッセージを受信する受信手段と、
前記メッセージの送信時間間隔又は送信順序が規定基準を満たすかに基づき、前記クライアントがアドレス情報を求めるクライアントであるかを判別する判別手段と、を有し、
前記判別手段は、
前記規定基準を満たさないクライアントを攻撃的なクライアントとして判別し、メッセージの送信時間間隔を用いて判別する場合、ＲＦＣの規定基準を満たさなくてもユーザの指定基準を満たすなら正当なクライアントとして判別することを特徴とする判別装置。
コンピュータにより、
クライアントからＤＨＣＰのメッセージを受信する受信ステップと、
前記メッセージの送信時間間隔又は送信順序が規定基準を満たすかに基づき、前記クライアントがアドレス情報を求めるクライアントであるかを判別する判別ステップと、を有し、
前記判別ステップでは、
前記規定基準を満たさないクライアントを攻撃的なクライアントとして判別し、メッセージの送信時間間隔を用いて判別する場合、ＲＦＣの規定基準を満たさなくてもユーザの指定基準を満たすなら正当なクライアントとして判別することを特徴とする判別方法。