JP6422677B2 - ネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法 - Google Patents

Description

本発明は、ＩＰ(Internet Protocol)ネットワーク上に設置される装置および方式に係り、特にＩＰネットワーク上を流れるパケット情報をチェックし、送信元から受信のパケットを廃棄、或いは装置が複数持っている物理ポートへの割り振りを行うネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法に関する。

従来、ＩＰネットワーク上に設置されるウェブサーバではＤＤｏＳ(Distributed Denial of Service)のようなサイバー攻撃に対してはサーバ自体やサーバ前段に設置されたファイアウォールのアプリケーション・ゲートウェイ処理により通過パケットを予めサーバやファイアウォール上に登録されたセキュリティーポリシーに基づいて廃棄、拒否処理するというフィルタリング方式で攻撃パケットをブロックする方式が提案されてきた。
さらに上記方式に対して、特許文献1ではファイアウォールの中に仮想ネットワークデバイスを介挿することにより、ファイアウォールにＩＰアドレスを割り振らずに済み、ファイアウォール自身の外部ネットワークからのステルス性を確保している。また、特許文献２では攻撃パケットを廃棄、拒否処理する方法として、ゲートウェイサーバやファイアウォール内でＯＳＩ参照モデルにおける低階層のパケットフィルタリングをアプリケーション・ゲートウェイ処理の前段で実施することで、大量パケット処理の負荷軽減を図っている。

特開２０１１−１８２２６９号公報 特開２０１２−１１４９１７号公報 特許第４８０９７５８号公報

従来の方式の特許文献 1においては、ステルス性を確保するためにファイアウォールのカーネル空間内に仮想ネットワークドライバを設けている。これは直接ファイアウォールを指定されて攻撃を受けることがないという利点はあるが、ＤＤｏＳのようなサイバー攻撃において大量の数のコンピュータから送信されるパケットに対しては、その処理する際の負荷のため、ファイアウォール自体の動作が遅延、あるいは停止させられ、ネットワーク経由で提供するサービスの停止に追い込まれかねない。特許文献 2においても、依然アプリケーション・ゲートウェイ処理を利用してフィルタリング動作を行うため、パケットの処理負荷からは免れることはない。

本発明はかかる従来の問題に鑑みてなされたものであり、ネットワークの外部との通信において、送受信されるパケットを監視し、サービス品質を落とすことなくブロックリストに登録されたＩＰアドレス情報を含む送受信パケットを抽出し、ステルス性を確保しながら抽出パケットを廃棄してＤＤｏＳのようなサイバー攻撃からネットワーク内のサーバやネットワーク機器を防御し、またステルス性はなくなるが、ＩＰアドレス振り分けリストや帯域制限設定を基に装置が複数持っている物理ポートへの受信パケットを割り振ることにより、並列でサービスを提供する複数サーバへの負荷を分散して、サービス提供の機会損失を限定されたサーバにとどめるネットワーク中継装置、同装置を用いたＤＤｏＳ防御方法および負荷分散方法の提供を目的とする。

上記目的を達成するため、本発明に係るネットワーク中継装置は、ネットワークを介して通信するネットワーク機器間に設置され、前記ネットワーク機器間で送受信されるデータを中継するネットワーク中継装置であって、
パケットに関する検出条件を格納する、運用側と待機側とを切替可能な検出条件格納テーブルと、前記検出条件格納テーブルの運用側と待機側とを切り替えるテーブル切替手段と、 外部から検出条件を入力し待機側の前記検出条件格納テーブルに保存する更新処理を実行するパケット条件登録手段と、 一のネットワーク機器から他のネットワーク機器宛のパケットを受信するパケット受信手段と、運用側の前記検出条件格納テーブルにアクセスして、前記パケット受信手段によって受信されたパケットが運用側の前記検出条件格納テーブルに登録されている検出条件に該当するか否かを判定する照合手段と、前記照合手段による判定の結果、当該検出条件に該当する場合は、該検出条件に対応する処理内容を実行するパケット処理手段と、外部からの検出条件の入力周期、処理負荷あるいはパケットのトラフィック（ネットワーク負荷）によって異常を検知する監視手段と、を備え、
前記テーブル切替手段は、少なくとも前記更新処理が完了した場合、および、前記監視手段により異常を検知した場合に、前記検出条件格納テーブルの待機側を運用側に切り替えると共に運用側を待機側に切り替えることを特徴とする。

本発明では、監視手段による異常検知によって、検出条件格納テーブルの待機側を運用側に切り替えるので、検出条件を提供する外部の装置自体がＤＤｏＳ等のサイバー攻撃を受けても最新の情報でパケット処理を行うことが可能になり、ネットワークセキュリティを向上させることができる。

なお、ＩＰアドレスあるいはＩＰアドレス範囲ごとにトラフィックの閾値や異常の種別によって処理内容を変える処理内容実行テーブルを設け、パケット処理手段は当該テーブルを参照して処理内容を実行するようにしても良い。

本発明に係るＤＤｏＳ防御方法は前記ネットワーク中継装置を用いてネットワーク機器をＤＤｏＳ攻撃から防御する方法であって、前記ネットワーク中継装置の上位側の物理ポートは上位ネットワークと接続し、前記ネットワーク中継装置の下位側の一または二以上の物理ポートはネットワーク機器と接続し、前記検出条件格納テーブルは検出条件としてＤＤｏＳ攻撃のＩＰアドレス情報を保存し、前記パケット処理手段は上位側の物理ポートからの受信パケットの送信元ＩＰアドレスがＤＤｏＳ攻撃のＩＰアドレス情報に該当する場合は、当該受信パケットを廃棄することを特徴とする。

また、本発明に係る負荷分散方法は、前記ネットワーク中継装置に、さらに物理ポートの通信帯域を制限する帯域制限手段を設けて、前記パケット処理手段は、送信元ＩＰアドレスに基づいて、パケットを出力する物理ポートを選択し、前記帯域制限手段は、前記照合手段による判定の結果、検出条件に該当する場合は、該検出条件に基づいて前記物理ポートの帯域を制限するようにする。そして、ネットワーク中継装置の上位側ポートはルータを介して上位ネットワークと接続し、ネットワーク中継装置の下位側複数の物理ポートは、それぞれサーバと接続し、前記パケット処理手段は送信元ＩＰアドレスに基づいて前記物理ポートを選択する。これにより下位側物理ポートに繋がる各サーバ間の負荷を効率よく分散させることができる。

上記目的を達成するため、本発明に係るネットワーク中継装置（１）は、ネットワークを介して通信するネットワーク機器間に設置され、前記ネットワーク機器間で送受信されるデータを中継する装置であって、一のネットワーク機器から他のネットワーク機器宛のパケットを受信するパケット受信手段（２２）と、外部から検出条件と各条件に該当した時の処理内容を記したリスト（３３）を記憶領域に登録する手段（２８）と、前記パケット受信手段によって受信された複数のパケット群を前記リスト上の検出条件と照合する手段（２５）と、前記パケット群が前記リスト上で該当した検出条件に対応する処理内容に従って前記パケット群の送信処理を行うパケット処理手段（２１）と、を備えたことを特徴とする。

これにより、ネットワークを流れるパケットストリーム上で本ネットワーク中継装置上に登録された検出条件と照合し、条件と合致したパケット群に対して前記処理内容を実行することができる。ここにおいて、検出条件は発信元のＩＰアドレス、宛先ＩＰアドレスなどパケット上のＩＰヘッダ部に記載される情報を項目として利用できる。なお、検出条件として設定されるＩＰアドレスにはＩＰｖ４だけでなく、ＩＰｖ６も利用できる。これによりＩＰｖ４に比べて膨大なアドレス空間が利用できるＩＰｖ６のサイバー攻撃についても効果がある。

また、前記処理内容として、パケットの廃棄、通過、或いは複数の物理ポートのうちの１つを選択して送信、などが項目として利用できる。

前記パケット処理手段は、前記処理内容がパケットを廃棄とする場合、該当のパケットに対して送信元側へ(ＡＣＫやＮＡＣＫなどの)応答パケットを返さず、前記処理内容がパケットを通過とする場合は該当のパケットに対して送信元側へ応答パケットを正常に返すように構成するのが好ましい。

また、このパケット処理手段は、一のネットワーク機器から他のネットワーク機器宛にパケット群を転送する際の送信元ＩＰアドレスを本ネットワーク中継装置が前記パケット群を受信した際の送信元ＩＰアドレス情報などに付け替えるＩＰアドレス情報付け替え処理を実行するようにしても良い。前記処理内容のうちパケットの廃棄と通過の２項目のみを利用する場合には、本ネットワーク中継装置自身にＩＰアドレスを付与せずにデータを透過的に中継でき、本ネットワーク中継装置は外部から感知不能となるため、本ネットワーク中継装置は外部からのサイバー攻撃を受けず、高いセキュリティ性を保つことができる。加えて、本ネットワーク中継装置が透過的にデータを中継できることから、既存のネットワーク環境下でかつＩＰｖ４とＩＰｖ６という異なるプロトコルが混在する利用環境下でも他のネットワーク中継装置のＩＰアドレス情報やルーティング情報の設定を変更することなく本ネットワーク中継装置を利用することができる。

本発明によれば、低い負荷で外部からのパケットを処理できるので、高速処理を必要とする大容量ネットワーク通信においても通信速度への影響を低減し、ネットワーク利用者にストレスを与えない。

また、本発明に係る前記パケット処理手段はＯＳＩ参照モデルのＩＰ層(ネットワーク層)とＴＣＰ／ＵＤＰ層(トランスポート層)の条件で前記動作を判断するパケットフィルタリング方式を含むことを特徴とする。

本発明によれば、前記パケット処理手段にて前記動作には受信パケットを検出条件に応じて本ネットワーク中継装置が持つ複数の物理ポートに割り振ることが含まれるが、さらに受信パケットを割り振るポートに通信帯域制限を行うことで、重要性の高い検出条件に合致する場合に多くの通信帯域を与え、攻撃が疑われるような検出条件に合致する場合に通信帯域を絞る、という利用が可能になる。このため、大量な通信量となった場合でも効率よく通信帯域を利用することができる。さらに各物理ポートに接続するサーバなどの装置の処理能力に応じた通信帯域を設定することもできる。

なお、前記登録手段は本ネットワーク中継装置のもつ物理ポートごとに通信帯域制限設定を行えるようにし、また、前記パケット処理手段は、前記帯域制限設定に基づき本ネットワーク中継装置のもつ物理ポートごとに通信帯域制限を実施する機能を備えるのが好ましい。

以上説明したように、本発明によれば、サービス品質を落とすことなくブロックリストに登録されたＩＰアドレス情報を含む送受信パケットを検出して、当該パケットの廃棄等の処理を行うのでＤＤｏＳのようなサイバー攻撃からネットワーク内のサーバやネットワーク機器を防御することができる。また送信元ＩＰアドレスによって物理ポートを振り分けると共に各物理ポートの通信帯域の制限を行うので、各物理ポートに繋がり並列でサービスを提供する複数サーバの負荷分散を図ることができる。

本発明の実施の形態によるネットワーク中継装置の機能ブロック図である。 本発明の第１の実施の形態によるネットワーク中継装置を用いてＤＤｏＳ防御方法を実現するシステムの説明図である。 図１の検出条件格納テーブルのデータ構成例である。 図１の処理内容実行テーブルのデータ構成例である。 図１の動的テーブルのデータ構成例である。 図１のパケット処理手段の処理手順を示すフローチャートである。 図２の他の実施例２によるシステムの説明図である。 図２の他の実施例３によるシステムの説明図である。 本発明の第２の実施の形態によるネットワーク中継装置を用いてサーバ装置の負荷分散を実現するシステムの説明図である。

以下に本発明に係るネットワーク中継装置の第１の実施の形態を図面を参照しながら説明する。

図１において、本実施の形態によるネットワーク中継装置１は、スイッチ装置２とパケット条件設定手段３とを備えている。スイッチ装置２は、物理ポート３１（３１ａ〜３１ｅ）、物理ポートとの間で送信処理および受信処理を実行する送受信処理手段２２、受信したパケットを一時格納する転送用バッファ２３、受信パケットのＩＰアドレスを検出するＩＰアドレス検出手段２４、検出したＩＰアドレスが所定の条件に該当するか否かを判定する照合手段２５、およびパケットの転送処理や廃棄処理等を実行するパケット処理手段２１を備えている。

物理ポート３１としては、ネットワークの上位にある機器と接続するためのポート（ＷＡＮ）と、ネットワークの下位にある機器と接続するための複数のポート（例えばＬ１〜Ｌ４）を有する。このとき、例えば物理ポートＬ１は、スイッチ装置２の内部設定やデータベースを更新する専用ポート、物理ポートＬ４はミラーポート、物理ポートＬ２，Ｌ３は下位のネットワーク機器との通信用にするなど物理ポートの役割を決めて構成するようにしても良い。

また、本実施の形態によるスイッチ装置２は、パケットの検出条件とその識別コードを対応付けた検出条件格納テーブル３３を備えている。この検出条件格納テーブル３３は、テーブル選択用ポインタ２６によって運用側と待機側が相補的に切替可能な第１のテーブル３３ａと第２のテーブル３３ｂで構成されている。

スイッチ装置２は、さらにテーブル選択用ポインタ２６の内容を書き換えるテーブル切替手段３０、パケット条件設定手段３の動作の異常を検知する監視手段２９を備えている。

図２は、ネットワーク中継装置１を用いてＤＤｏＳ攻撃に対処するネットワークシステム構成の一例を示す図である。
ここで、スイッチ装置２の上位側ポート（ＷＡＮ）はインターネット等への上位ネットワーク６に接続され、下位側ポートはルータ４を介して複数のネットワーク機器５に接続されている。
パケット条件設定手段３は、パーソナルコンピュータなどの汎用コンピュータや携帯端末、あるいは専用端末で構成することができる。なお、パケット条件設定手段３はスイッチ装置２の一機能としてスイッチ装置２と一体で構成するようにしても良い。

以下、パケット条件設定手段は３、スイッチ装置２とは別に単独で上位ネットワーク６と繋がり、スイッチ装置２とは専用Ｉ／Ｆ３５（例えばＵＳＢ、ＷｉＦｉ）で繋がる場合について説明する。
なお、スイッチ装置２は、ＯＳＩ参照モデルの第２層レベルのスイッチング処理を実行する機能を有し、ルータ４はＯＳＩ参照モデルの第３層レベルのルーティング機能を有しており、これらの機能は既存の技術を使うものとして説明を省略する。

本実施の形態によるスイッチ装置２は、受信したパケットを転送用バッファ２３に一時格納すると共に、ＩＰアドレス検出手段２４によって受信パケットの送信元ＩＰアドレスおよび宛先ＩＰアドレスを検出する。

一方、テーブル選択用ポインタ２６には、運用側の検出条件格納テーブル３３のメモリアドレスが格納されており、照合手段２５は、このメモリアドレスをもとに、運行側の検出条件格納テーブル３３にアクセスして検出条件を読み出す。

検出条件として例えば、ＩＰアドレス、プロトコル番号、ポート番号（ＴＣＰ,ＵＤＰの場合）、スループットに関するパケット閾値を設定することができる。図３は、検出条件格納テーブルのデータ例である。検出条件として、検出すべき項目（ＩＰアドレス又はＩＰアドレスの範囲），識別コード，および処理内容（パケットの通過もしくは廃棄）が保存されている。

なお、ＩＰアドレスに関する識別コードとしては次のものがある。
１）地域別（たとえば国別）にＩＰアドレスを分類した各地域の識別コード
２）未定義ＩＰアドレスを意味する識別コード
３）ダークネットを意味する識別コード
４）ＤＤｏＳの検知，観測されたＩＰアドレスの識別コード。なお、緊急性などの情報をこの識別コードに含めるようにしても良い。
５）個別にブラックリストを指定した場合の識別コード
上記は識別コードの一例であり、個別に判定条件（例えばフィードバックデータに該当するか否か等）を設けてその識別コードを設けるようにしても良い。

図３の例で説明すれば、第１行目の"201.XXX.0.0/16"はＩＰアドレスの範囲として、
"201.XXX.0.0"から16個のアドレスが検出対象となることを示している。
即ち、第１行目のデータである"201.XXX.0.0/16 01 PASS"は、ＩＰアドレスが、
"201.XXX.0.0〜201.XXX.0.15"の範囲内にあって、識別コードが"01" (日本)であればパケットを通過(PASS)させることを意味する。
また、第５行目のデータである"101.XXX.303.44 500 DROP"は、ＩＰアドレスが、
"101.XXX.303.44"であって、識別コードが"500" (マルウェア)であればパケットを廃棄（DROP）することを意味している。

照合手段２５は、受信したパケットが検出条件に該当するか否かを判定し、該当する場合は、その検出条件に対応する識別コード，処理内容，及びＩＰアドレスをパケット処理手段２１に通知する。

パケット処理手段２１は、照合手段２５から渡された識別コードと処理内容をもとに、図４に例示する処理内容実行テーブル３４を参照しながら対応する処理ルーチンを実行する。照合手段２５はどの検出条件にも該当しない場合は、識別コードとしてどのコードにも該当しないNULLコードをパケット処理手段２１に渡し、パケット処理手段２１はＯＳＩ参照モデルの通常のスイッチング処理を実行する。

ここで、処理内容実行テーブル３４は、図４に示すようにＩＰアドレス又はその範囲、判定条件、処理内容（パケットの通過もしくは廃棄）、転送ＩＰ（転送先のＩＰアドレス）が保存されている。判定条件の監視閾値（あるいは監視閾値範囲）として、例えばネットワーク負荷（ｎ秒たりのパケット数）を用いることができる。例えば監視閾値（１）を
1,000,000/30秒と設定した場合、図４第１行目のデータはＩＰアドレスが"201.XXX.0.0 〜201.XXX.0.15"の範囲内にあるパケットを30秒間に1,000,000パケット以上受信すると、ＩＰアドレス"12.XX.0.0"へ転送することを意味している。

また、第２行目のデータは、異常の種別を意味する異常検出（１）として、例えば、監視手段２９によって異常を検出した場合は、廃棄（DROP）することを意味している。例えば、サービスを行っているサーバとの通信応答に一定時間以上の遅延がある場合に異常としてパケットを廃棄することによって、著しくサービスが妨害されるような事態に対処することができる。異常検出は、これに限らず、例えばパケット条件設定手段３との通信が一定時間以上ない場合は異常とするようにしても良い。

なお、同じＩＰアドレスもしくはＩＰアドレス範囲に複数の判定条件が設定される場合は、判定条件に優先順位をつけて優先順位の高い処理を実行するのが好ましい。

また、図５に例示する動的テーブル３６によって処理内容を実行するようにしても良い。この動的テーブル３６は、例えば監視手段２９によって追加、削除される。すなわち監視手段２９は、あるＩＰアドレスの一定時間内の受信量が一定値を超えた場合に、そのＩＰアドレスのパケット情報から動的テーブルを作成して追加し、そのＩＰアドレスの一定時間内の受信量が一定値以下になった場合に、そのＩＰアドレスの動的テーブルを削除する。これにより、クラウドデータベース７からＤＤｏＳ等の情報を取得できない場合や、下位ネットワークの機器がＤＤｏＳ攻撃を行うような場合でも、そのパケットを通過させないなどの対応が可能になる。なお、図５において、「コントロールフラグ」はパケットの通過（PASS）／廃棄（DROP）および記録処理（SYSLOG出力）の要否を示すフラグである。
パケット処理手段２１の処理概要は上述したところであるが、図６を用いてさらに詳しく説明する。

パケット処理手段２１は、パケットを受信すると、まずパケットヘッダ判定処理（ステップＳ１〜ステップＳ１２）を実行する。このパケットヘッダ判定処理は、パケットヘッダのみによって一律、通過（PASS）させるか、あるいは廃棄（DROP）するかを決定するものであって、通常は初期設定されるものである。

パケット処理手段２１は、パケットヘッダ判定処理の後、識別コード判定処理を実行する。識別コード判定処理として、パケット処理手段２１は、まず照合手段２５から渡された識別コードが有るかどうか、即ち識別コードがNULLでないかどうかを判定し（Ｓ１３）、NULLで無い場合は（Ｓ１３で「ＹＥＳ」）、記録処理をするか否かを判定し（Ｓ１４）、記録処理をする場合は、パケットの記録を保存する（Ｓ１５）。そして識別コードに対応する処理内容が廃棄（DROP）か否かを判定する（Ｓ１６）。その結果、処理内容が廃棄（DROP）の場合は（Ｓ１６で「ＹＥＳ」）転送用バッファ２３をクリアする。

一方、ステップＳ１６において、処理内容が廃棄（DROP）でない場合は（Ｓ１６で「ＮＯ」）、次に処理内容実行テーブル３４にアクセスして、当該ＩＰアドレスに対応する判定条件が設定されている場合は、その判定条件に該当するか否かを判定し（Ｓ１７）、該当する場合は（Ｓ１７で「ＹＥＳ」）、その判定条件に対応する処理内容が廃棄（DROP）か否かを判定する（Ｓ１８）。そして廃棄（DROP）が設定されている場合は（Ｓ１８で「ＹＥＳ」）、転送用バッファ２３をクリアすると共に、記録処理手段２７を介してパケットの記録を保存する（Ｓ１９）。ステップＳ１８の判定の結果、処理内容が廃棄（DROP）でない場合は（Ｓ１８で「ＮＯ」）、次に転送ＩＰの設定がされているか否かを判定し（Ｓ２０）、転送ＩＰが設定されている場合はその転送先へ送信する（Ｓ２１）。

パケット処理手段２１は、上記の識別コード判定処理の後、動的テーブルマッチング判定処理を実行する。パケット処理手段２１は、まず動的テーブル３６にアクセスして、パケットデータが動的テーブルの値と一致するか否かを判定し（Ｓ２２）、一致する場合は、記録処理をするか否かを判定し（Ｓ２３）、記録処理をする場合は、パケットの記録を保存する（Ｓ２４）。次にパケット処理手段２１は動的テーブル３６のコントロールフラグが廃棄（DROP）になっているか否かを判定する（Ｓ２５）。その結果、廃棄（DROP）になっている場合は、転送用バッファ２３をクリアする。

そして、パケット処理手段２１は、ステップＳ２２においてどの動的テーブル３６にもマッチングしない場合、あるいはステップＳ２５において廃棄（DROP）でない場合は、通過（PASS）処理を実行する（Ｓ２６）。
以上パケット処理手段２１の処理手順について説明した。

次に検出条件格納テーブル３３の更新処理について説明する。
パケット条件設定手段３は、上位ネットワークを介して繋がる一又は二以上のデータベース（たとえばクラウドデータベース）７から、ＤＤｏＳ攻撃などの予測情報や、ダークネット情報などのネットワークセキュリティに関する情報を受け取る。パケット条件設定手段３は、例えばＤＤｏＳ攻撃を受けている地域やＤＤｏＳ攻撃を行っているＩＰアドレス情報をクラウドデータベース７から受け取るとそれを逐次メモリ（図示せず）に保存していく。検出条件のＩＰアドレス情報としては、たとえばＩＰアドレス内の地域などを特定するビット位置で管理することができる。そして、パケット条件設定手段３は、ＤＤｏＳ攻撃を受けている地域が一定の範囲に近づいたり、あるいはＤＤｏＳ攻撃の頻度が一定値以上になると、検出条件としてＩＰアドレス情報とＤＤｏＳ攻撃であることを示す識別コードとをスイッチ装置２へ送る。パケット条件設定手段３は、ダークネットなどの情報については更新の都度スイッチ装置２へ送る。なお、パケット条件設定手段３からスイッチ装置２へ送信するデータとしては、前回送信時の差分のみを送るようにすると効率が良い。この場合、パケット条件設定手段３の電源投入後、あるいはリセット直後の最初の送信は検出条件格納テーブル３３に登録すべき全データを送る必要がある。

スイッチ装置２のパケット条件登録手段２８は、パケット条件設定手段３から送られてくる検出条件ごとの識別コードを受信すると、テーブル選択用ポインタ２６を参照して、待機側の検出条件格納テーブル３３に逐次登録する。なお、テーブル選択用ポインタ２６としては、運用側，待機側の検出条件格納テーブル３３のメモリアドレスを直接指定するようにしても良いし、運用側の識別情報として例えば、「０」又は「１」の情報のみを記憶し、「０」ならば第１のテーブル３３ａ，「１」ならば第２のテーブル３３ｂが運用側であると解釈してアクセスし、待機側はその逆の意味合いで解釈してアクセスするようにしても良い。

パケット条件設定手段３は、一連の更新データの送信が完了すると、切替指令を送信する。スイッチ装置２のパケット条件登録手段２８は、切替指令を受信すると、テーブル切替手段３０を介してテーブル選択用ポインタ２６のポインタ値を書き換えて、運用側，待機側を切り替えると共に、新たな運用側の検出条件格納テーブル３３の内容を待機側の検出条件格納テーブル３３にコピーする。これにより差分伝送が可能になる。
この一連の処理により、パケット処理手段２１は、常に最新の情報を格納する動作側の検出条件格納テーブル３３にアクセスでき、スイッチ装置２は、ＤＤｏＳ攻撃等にリアルタイムで対応することができ、ネットワークセキュリティを向上させることができる。

ＤＤｏＳ攻撃のＩＰアドレス情報としては、国等の地域などでグループ化して設定するようにすれば、メモリ空間の節約になり検索時間の短縮を図ることができる。その一方で、このようなグループ化は、本来制限すべき必要の無い外部ネットワーク機器との通信も遮断してしまう可能性がある。このため、ＤＤｏＳ攻撃の可能性が低くなった場合は、速やかに規制対象から外すのが好ましい。

ところで、上述したようにパケット条件設定手段３は上位ネットワークを通してクラウドデータベース７からＤＤｏＳ攻撃等のセキュリティ情報を取得するので、パケット条件設定手段３自身がＤＤｏＳ攻撃を受ける可能性がある。検索条件の更新中にＤＤｏＳ攻撃を受けてしまうと、高負荷になってしまい、切替指令を送ることができなくなったり、送信タイミングが遅延する可能性がある。

このため本実施の形態では、監視手段２９によって、パケット条件設定手段３から周期的に受信があるか否かを監視し、一定時間以上パケット条件設定手段３からの受信が無い場合はテーブル切替手段３０を起動してテーブル選択用ポインタ２６のポインタ値を書き換える。これにより、検索条件の更新中にパケット条件設定手段３がＤＤｏＳ攻撃を受けた場合でも検出条件格納テーブル３３の運用側，待機側を切り替えることができ、スイッチ装置２は、より新しいセキュリティ情報でパケット処理を行うことができる。

記録処理手段２７は、検出原因（判断位置，判断コード）、検出した物理ポート、パケットの処理内容（例えば転送したか廃棄したか）、パケットヘッダ情報（プロトコル番号等）、送信元ＩＰアドレス、宛先ＩＰアドレス、フォワーディングＩＰアドレス、その他予め設定されたネットワークセキュリティ解析に必要な情報を特定のローカルポートから出力したり、パケット条件設定手段３へ送信する。

パケット条件設定手段３は、スイッチ装置２から送られてくるネットワークセキュリティ解析用の情報を受信すると、上位ネットワーク６を介してクラウドデータベース７へ送信する。

以上、本実施の形態によるスイッチ装置２は、自身のＩＰアドレスを持たないので自身はＤＤｏＳ攻撃を受けることがなく、本ネットワーク中継装置１に繋がる下位のネットワーク機器５の負荷を低減させることができる。これにより以後の攻撃対象から外れる可能性も高くなる。またＤＤｏＳの攻撃に対して、ＷＡＮ側にセッションテーブルを設けるなどのＩＰパケットの管理を行う必要がない。

また、本実施の形態のネットワーク中継装置１によれば、パケット条件設定手段３と、スイッチ装置２とを専用Ｉ／Ｆ３５で接続し、検出条件格納テーブル３３の周期的な更新の都度テーブル選択用ポインタ２６を書き換えるので、パケット処理手段２１は、最新のネットワークセキュリティ情報でパケット処理をすることができる。これにより、ＤＤｏＳ攻撃を効果的に防止することができ、また制限処理を特定のＩＰアドレス空間のみに絞ることにより処理速度を早くすることができる。

さらに本実施の形態によれば、ＤＤｏＳ攻撃の送信元ＩＰアドレス情報を周期的に更新するようにしておき、パケット条件設定手段３がＤＤｏＳ攻撃の対象となった場合は、スイッチ装置２の監視手段２９でテーブル選択用ポインタ２６を切り替えるので、スイッチ装置２に繋がる下位のネットワーク機器５をＤＤｏＳの攻撃から防ぐことができる。

通常、ＳＹＮパケットを受信すると、ＳＹＮ ＡＣＫを返信する。無差別なＳＹＮパケットの送信（ＳＹＮ攻撃）に対して、ＳＹＮ ＡＣＫを返すことでＤＤｏＳが成立する。
本ネットワーク中継装置１は、ネットワークの上位側から下位側へのパケットのみならず、下位側から上位側へのパケットも同様に監視するので無差別攻撃を自ら行わないようにするこができる。

ＤＤｏＳの場合、通常はＡＣＫ確認番号が固定なので、攻撃元ＩＰアドレスおよびＤＤｏＳのＳＹＮ ＡＣＫの確認番号（ＴＣＰ ＡＣＫ番号）により、他のネットワーク機器への攻撃も効果的に遮断することができる。即ち、攻撃応答パターンを動的テーブル３６に登録しておくことで、攻撃の被害を抑止できるのみならず、加害者にもならないようにすることができる。また、ログを取ることにより攻撃手法の分析、解析を通して、最新の対策が可能になる。さらに、ＩＰヘッダ、ＴＣＰ／ＵＤＰのヘッダのみで判定することにより、高速な処理も可能になる。

（他の実施例１）
上記説明では、図２に示すようにパケット条件設定手段３とスイッチ装置２との間はＵＳＢ，ＷｉＦｉ等の専用のインタフェースで接続することとしたが、スイッチ装置２の下位側の物理ポート（例えばＬ１）に接続して、当該物理ポートを通して検出条件の更新を行うようにしても良い。

このとき、スイッチ装置２に帯域制限手段（図示せず）を設け、各物理ポートの通信帯域を制限できるようにするのが好ましい。なお、帯域制限のしかたは特許文献３などに記載の従来技術を用いることができる。

そして、下位のルータ４に繋がる物理ポートの帯域を優先的に確保し、パケット条件設定手段３に繋がる物理ポートの通信帯域の優先度を最も小さく設定する。これにより、スイッチ装置２の監視手段２９による異常検出が早くなりルータ４に繋がる下位のネットワーク機器５への影響を抑えて、ＤＤｏＳ攻撃を効果的に防止することができる。

（他の実施例２）
図７は、パケット条件設定手段３がルータ４を通してクラウドデータベース７と通信を行う場合のシステム構成例である。またパケット条件設定手段３は、クラウドデータベース７から受信した情報をスイッチ装置２のパケット条件設定手段３用に割り当てられた特定ポート（図７の例ではＬ１）を介してパケット条件登録手段２８に送る。

このような構成の場合は、パケット条件設定手段３は、グローバルＩＰアドレスを持つ必要がないが、他の下位側ネットワーク機器５と同じタイミングでＤＤｏＳの攻撃に晒されることになる。このような場合でも、待機側の検出条件格納テーブル３３を周期的に更新しておき、監視手段２９が異常を検知した場合は、テーブル選択用ポインタ２６を切り替えるので、予めＤＤｏＳ攻撃の予報情報を当該検出条件格納テーブル３３に保存しておくことにより、ルータ４に繋がるネットワーク機器５をＤＤｏＳ攻撃から守ることができる。
このとき、他の実施例１で説明したように、スイッチ装置２の各物理ポートに帯域制限を設けるのが好ましい。

以上は、クラウドデータベース７から受信したデータによって、内部の待機側の検出条件格納テーブル３３のデータを書き換えた後に同テーブルを動作側へ切り替えるというものであるが、スイッチ装置２側から取得したセキュリティ解析用の情報をクラウドデータベース７へ送信するようにしても良い。

具体的には、パケット条件設定手段３は、物理ポートＬ１を介してスイッチ装置２の記録処理手段２７から送られてきた解析用情報、例えば転送処理を行ったパケットの送信元ＩＰアドレス、必要により送信先のＩＰアドレス、およびトラフィック情報等の解析用情報を受信する。パケット条件設定手段３は受信した解析用情報をルータ４を経由してクラウドデータベース７へ送信する。これにより、クラウドデータベース７ではＩＰアドレスから地域情報を分析することにより、現在どの地域に攻撃を受けているか、また攻撃される地域の移動経路から次に攻撃を受ける危険性の高い地域を割り出して注意情報を通知することができる。

なお、上記説明では、パケット条件設定手段３とスイッチ装置２との間は物理ポートＬ１を通してデータの受渡しをするようにしたが、図７の破線で示す専用Ｉ／Ｆ３５を通してデータの受渡しを行うようにしても良い。

（他の実施例３）
図８は、オフラインでＵＳＢメモリ８等の外部記憶手段に検出条件や識別コードを含むネットワークセキュリティ情報を保存しておき、スイッチ装置２の専用インタフェースを介して、この情報を読み込むものである。

スイッチ装置２のパケット条件登録手段２８は、検出条件と識別コードの全データを読み込み、待機側の検出条件格納テーブル３３の更新処理を完了した後に、テーブル切替手段３０を介してテーブル選択用ポインタ２６を切り替える。

なお、図８においてＵＳＢメモリ８に代えて、ＵＳＢポートに３ＧもしくはＬＴＥ等の通信機器を繋ぐようにしても良い。そしてこの通信機器をパケット条件設定手段３に接続する。これによりスイッチ装置２は独自のＩＰアドレスを必要とせずに動作可能になる。

以上、上位側のネットワークから下位側のネットワーク機器５にＤＤｏＳ攻撃を行う場合について説明したが、本実施の形態のネットワーク中継装置１は、下位側から上位側へ送信する場合のＩＰアドレスについても同様に扱うことができる。よってクラウドデータベース７から送られてきたネットワークセキュリティ情報により、自装置のＩＰアドレスが対象となれば、スイッチ装置２のパケット処理手段２１は、検出条件格納テーブル３３，処理内容実行テーブル３４に基づいて廃棄等の処理を行うことができるので、万一ウィルス感染等によってＤＤｏＳ攻撃を行う立場になったとしても、本ネットワーク中継装置１によって効果的に防止することができ、またそのような事態になったことをパケット条件設定手段３によって速やかにクラウドデータベース７に通知することができるので、ネットワークセキュリティを向上させることができる。

（応用例）
次に、ネットワーク中継装置１の使用方法の応用例を説明する。
ネットワークに繋がるサーバ（例えばＷＥＢサーバ）のフロントエンドに本実施の形態によるネットワーク中継装置１を接続し、外部ネットワークと接続する。ネットワーク中継装置１の処理内容として、当該サーバから送信されるデータについては、送信元が当該サーバのＩＰアドレス以外のパケットについては全て廃棄する。一方、送信先アドレスが当該サーバとなっている受信データについては、その送信元アドレスのアドレスコードによって、異なるポートに出力するようにする。例えば、送信元アドレスが特定地域のアドレスコードになっている場合は、第１の物理ポートへ転送し、それ以外の地域の場合は第２の物理ポートへ転送する。そして、第１および第２のポートには、それぞれサーバを接続し、アクセスの負荷分散を行う。このとき、各物理ポートの帯域制限を行うようにしても良い。なお、各物理ポートに繋がるサーバには同じＩＰアドレスを割り付けることができる。

この構成によれば、ＤＤｏＳ攻撃を行う可能性が高い地域を特定地域として上記の設定を行うことにより、特定地域からのＤＤｏＳ攻撃によりサーバ群全体が機能不全になることを防ぐことができ、サービスの質（ＱｏＳ）を確保することができる。

また、この構成において、第１の物理ポートに繋がるサーバをハニーポットサーバとし、第２の物理ポートに繋がるサーバをサービスサーバとすれば効果的にＤＤｏＳ攻撃をかわすことができる。

次に、本発明の第２の実施の形態について説明する。
図９は第２の実施の形態によるネットワーク中継装置１の使用方法の説明図である。なお、ネットワーク中継装置の構成は図１に示す第１の実施の形態と同様であるので説明を割愛する。

本実施の形態によるシステム構成は、本ネットワーク中継装置１の上位側（ＷＡＮ側）にルータ４を設置するものである。具体的には、スイッチ装置２の上位側の物理ポート（ＷＡＮ）はルータ４を介して上位ネットワーク６へ接続する。また、パケット条件設定手段３は上位ネットワーク６に接続し、下位側はスイッチ装置２の物理ポートＬ１に接続する。スイッチ装置２の下位側の物理ポート（Ｌ２〜Ｌ４）は、ネットワーク機器５であるサーバ装置にそれぞれ接続する。

このシステム構成において、スイッチ装置２のパケット処理手段２１は、検出条件格納テーブル３３の地域別情報に基づいて、送信元ＩＰアドレスの地域に応じて物理ポートを選択する。これにより、各サーバ装置は、地域ごとに割り当てられて処理を行うことになる。また、帯域制限手段（図示せず）は、検出条件格納テーブル３３のＤＤｏＳ情報に基づいて、ＤＤｏＳの発信地域に該当する物理ポートの通信帯域を他の物理ポートに対して小さくする。

この応用例としては、図９の構成において、たとえばＤＤｏＳ攻撃の可能性が高いと判定された地域から送られてくるパケットは物理ポートＬ２へ転送し、それ以外の地域から送られてくるパケットは、その発信地域や相手先の重要度によって物理ポートＬ３，Ｌ４で処理するなど動的に物理ポートを切り替えるようにしてもよい。そして、それぞれの物理ポートＬ２〜Ｌ４の帯域も重要度に基づいて制御する。
これにより、特定地域からのアクセスに対して負荷が集中することを防止し、サーバ装置の効果的な負荷分散を実現することができる。

なお本発明は上述した実施の形態に限定されることなく、その要旨を逸脱しない範囲で種々変形して実現することができる。
例えば、図２，図９において、パケット条件設定手段３はルータ４が繋がる上位ネットワーク６とは別のネットワーク（専用回線やＶＰＮ等）を介してクラウドデータベース７と通信を行うようにしても良い。

１ ネットワーク中継装置
２ スイッチ装置
３ パケット条件設定手段
４ ルータ
５ ネットワーク機器
６ 上位ネットワーク
７ クラウドデータベース
８ ＵＳＢメモリ
２１ パケット処理手段
２２ 送受信処理手段
２３ 転送用バッファ
２４ ＩＰアドレス検出手段
２５ 照合手段
２６ テーブル選択用ポインタ
２７ 記録処理手段
２８ パケット条件登録手段
２９ 監視手段
３０ テーブル切替手段
３１（３１ａ〜３１ｅ） 物理ポート
３３（３３ａ，３３ｂ） 検出条件格納テーブル
３４ 処理内容実行テーブル
３５ 専用Ｉ／Ｆ
３６ 動的テーブル

Claims (7)

1. ネットワークを介して通信するネットワーク機器間に設置され、前記ネットワーク機器間で送受信されるデータを中継するネットワーク中継装置であって、
   パケットに関する検出条件を格納する、運用側と待機側とを切替可能な検出条件格納手段と、
   前記検出条件格納手段の運用側と待機側とを切り替える切替手段と、
   外部から検出条件を入力し待機側の前記検出条件格納手段に保存する更新処理を実行するパケット条件登録手段と、
   一のネットワーク機器から他のネットワーク機器宛のパケットを受信するパケット受信手段と、
   運用側の前記検出条件格納手段にアクセスして、前記パケット受信手段によって受信されたパケットが運用側の前記検出条件格納手段に登録されている検出条件に該当するか否かを判定する照合手段と、
   前記照合手段による判定の結果、当該検出条件に該当する場合は、該検出条件に対応する処理内容を実行するパケット処理手段と、
   外部からの検出条件の入力周期、処理負荷あるいはパケットのトラフィックによって異常を検知する監視手段と、を備え、
   前記切替手段は、少なくとも前記更新処理が完了した場合、および、前記監視手段により異常を検知した場合に、前記検出条件格納手段の待機側を運用側に切り替えると共に運用側を待機側に切り替えることを特徴とするネットワーク中継装置。
2. 外部ネットワークを介して繋がるデータベースからＩＰアドレス情報ごとの注意情報を入力し、検出条件のリストを生成するパケット条件設定手段を備え、
   前記パケット条件登録手段は、前記パケット条件設定手段から渡される検出条件を入力し、
   前記監視手段は、一定時間以上前記パケット条件設定手段からのデータの受信が無いことによって異常を検知することを特徴とする請求項１に記載のネットワーク中継装置。
3. 前記切替手段は、前記検出条件格納手段の運用側と待機側とを切り替える際に、新たな運用側の検出条件格納手段の内容を待機側の検出条件格納手段にコピーし、
   前記パケット条件設定手段は、前記パケット条件登録手段へ渡す検出条件として、前回送信時の差分を送ることを特徴とする請求項２に記載のネットワーク中継装置。
4. 前記パケット処理手段はＯＳＩ参照モデルのＩＰ層(ネットワーク層)及び／又はＴＣＰ／ＵＤＰ層(トランスポート層)で前記処理内容を実行し、
   予め設定されたＩＰアドレス宛へ前記パケットを送信する処理を実行することを特徴とする請求項１乃至３のいずれか一項に記載のネットワーク中継装置。
5. 物理ポートの通信帯域を制限する帯域制限手段を備え、
   前記パケット処理手段は、送信元ＩＰアドレスに基づいて、パケットを出力する物理ポートを選択し、
   前記帯域制限手段は、前記照合手段による判定の結果、運用側の前記検出条件格納手段に登録されている検出条件に該当する場合は、該検出条件に基づいて前記物理ポートの帯域を制限することを特徴とする請求項１乃至４のいずれか一項に記載のネットワーク中継装置。
6. 請求項１乃至５のいずれか一項に記載のネットワーク中継装置を用いてネットワーク機器をＤＤｏＳ攻撃から防御する方法であって、前記ネットワーク中継装置の上位側の物理ポートは上位ネットワークと接続し、前記ネットワーク中継装置の下位側の一または二以上の物理ポートはネットワーク機器と接続し、前記検出条件格納手段は検出条件としてＤＤｏＳ攻撃のＩＰアドレス情報を保存し、前記パケット処理手段は上位側の物理ポートからの受信パケットの送信元ＩＰアドレスがＤＤｏＳ攻撃のＩＰアドレス情報に該当する場合は、当該受信パケットを廃棄することを特徴とするＤＤｏＳ防御方法。
7. 請求項５に記載のネットワーク中継装置を用いて、ネットワークに接続されるサーバの負荷を分散する方法であって、前記ネットワーク中継装置の上位側ポートはルータを介して上位ネットワークと接続し、前記ネットワーク中継装置の下位側複数の物理ポートは、それぞれサーバと接続し、前記パケット処理手段は送信元ＩＰアドレスに基づいて、前記物理ポートを選択することを特徴とする負荷分散方法。

Images