JP6718416B2 - 通信システム及びＤＤｏＳ攻撃連携対処方法 - Google Patents

Description

本発明は、複数組織間でのDDoS（Distributed Denial of Service）攻撃連携対処を実現するネットワーク技術に関する。

近年、DDoS攻撃が大規模化しており、上流ISP（Internet Service Provider）のネットワーク帯域の枯渇や防御機能（例えば、非特許文献１に示すmitigation装置）のリソース限界により、標的となった組織単独での対処が困難な場合が存在する。このようなDDoS攻撃に対して、複数AS（Autonomous System）のmitigation装置のリソースをシェアし、AS間リンクの輻輳を回避しつつ各ASのmitigation装置のリソース使用率を平準化しながら、発生した攻撃に分担して対処することで、インターネット全体で対処可能な攻撃量を向上させる技術が提案されている（非特許文献２）。

Arbor Networks,"DDOS PROTECTION BY ARBOR NETWORKS APS,"http://www.arbornetworks.com/ddos-protection-products/arbor-aps 前田浩明他, "AS間リンク帯域を考慮したDDoS攻撃連携対処方式に関する一検討," 電子情報通信学会2017年総合大会講演論文集, B-6-55, 2017年3月. 水口孝則他，"トラフィック解析システムSAMURAIとサービス展開，" NTT技術ジャーナル，2008.7, http://www.ntt.co.jp/journal/0807/files/jn200807016.pdf 勝山恒男他，"トラヒック測定技術: NEPRI，" Fujitsu. 51 (6), http://www.fujitsu.com/downloads/JP/archive/imgjp/jmag/vol51-6/paper08.pdf

既存技術（非特許文献２）による輻輳回避と対処可能な攻撃量向上の効果を発揮するためには、インターネット全体で全てのASが既存技術を保有して連携する必要があり、導入のハードルが高いという課題がある。具体的には、既存技術では、ある標的AS宛通信が流れる上流側（攻撃元に近い側）のASが下流側のASに対して、上流AS-下流AS間のリンク輻輳回避のための制約条件の構築に利用する、上流ASで最低限対処すべき攻撃量（以降、最低対処量）を送信することを前提としている。最低対処量は、上流AS-下流AS間のリンクの余剰帯域とそのリンクへの標的宛通信の流入量に基づき、上流AS側で算出されるが、例えば、AS4→AS3→AS2→AS1のように標的宛通信が流れており、AS4とAS1のみ既存技術を保有している場合、上流側のAS4では、直接接続されるAS3との間のリンク（AS4-AS3間のリンク）の余剰帯域やそのリンクに流入する標的宛通信量は取得できるが、AS3-AS2間やAS2-AS1間のリンクの余剰帯域等を取得できず、AS5-AS1間の輻輳を回避するための最低対処量を計算することができない。

上述した問題を鑑み、本発明の課題は、インターネット全体で、一部のASだけが本発明技術を保有する場合でも、AS間リンク帯域の輻輳の回避と各ASのmitigatorのリソース使用率の平準化を同時に実現可能なDDoS攻撃連携対処技術を提供することである。

上記課題を解決するため、本発明の一態様は、ネットワーク接続された複数の自律システム（AS）を有する通信システムであって、前記ASは、標的ASにおいて検出されたDDoS攻撃に他のASと連携対処する連携対処装置を有し、前記連携対処装置は、連携するAS間の通信が経由するリンクの輻輳状態を検査する輻輳検査部を有し、連携する上流ASと下流ASが直接接続されていない場合、前記上流ASの輻輳検査部は、前記連携する上流ASと下流ASの間の通信が経由するリンクの輻輳状態を検査し、前記リンクに輻輳が発生している場合、前記上流ASの連携対処装置は、前記輻輳が解消されるまで前記上流ASにおける対処量を増加し続け、前記下流ASの連携対処装置は、前記輻輳が解消した際の対処量に基づき前記下流ASにおける対処量を調整する通信システムに関する。

本発明によると、AS間リンク帯域の輻輳の回避と各ASの防御機能のリソース使用率の平準化を同時に実現可能な複数AS間でのDDoS攻撃連携対処技術を提供することができる。

図１は、本発明の一実施形態におけるネットワークの構成図である。 図２は、本発明の一実施形態における連携対処装置を保有するASの構成図である。 図３は、本発明の一実施形態における連携対処装置の構成を示すブロック図である。 図４は、本発明の一実施形態における各ASの連携対処装置の攻撃検知メッセージ受信時の処理の簡易フローチャートである。 図５は、本発明の一実施形態における各ASにおける標的IPアドレス情報テーブルの一例（AS1の場合）を示す図である。 図６は、本発明の一実施形態における各ASにおける攻撃情報テーブルの一例（AS5の場合）を示す図である。 図７は、本発明の一実施形態における各ASにおける連携先AS情報テーブルの一例（AS1の場合）を示す図である。 図８は、本発明の一実施形態における各ASの連携対処装置の対処要求メッセージ受信時の処理の簡易フローチャートである。 図９は、本発明の一実施形態における各ASにおけるmitigation装置情報テーブルの一例を示す図である。 図１０は、本発明の一実施形態における各ASにおけるAS間リンク情報テーブルの一例（AS1の場合）を示す図である。 図１１は、本発明の一実施形態における各ASの連携対処装置の対処応答メッセージ受信時の処理の簡易フローチャートである。 図１２は、本発明の一実施形態における各ASの連携対処装置の調整要求メッセージ受信時の処理の簡易フローチャートである。 図１３は、本発明の一実施形態における各ASの連携対処装置の更新要求メッセージ受信時の処理の簡易フローチャートである。 図１４は、本発明の一実施形態における各ASの連携対処装置の輻輳対処メッセージ受信時の処理の簡易フローチャートである。 図１５は、本発明の一実施形態における各ASの連携対処装置の対処終了メッセージ受信時の処理の簡易フローチャートである。 図１６は、本発明の一実施形態におけるmitigation装置を利用した連携対処手順例を示すシーケンス図である。 図１７は、本発明の一実施形態におけるmitigation装置を利用した連携対処手順例を示すシーケンス図である。 図１８は、本発明の一実施形態におけるmitigation装置を利用した連携対処手順例を示すシーケンス図である。

以下、図面に基づいて本発明の実施の形態を説明する。

後述する実施例を概略すると、DDoS攻撃情報の共有と各攻撃に対して各ASの防御機能のリソースをどれだけ割り当てるかを調整する役割を担う連携対処装置に加えて、連携するAS間が直接接続していない場合に、そのAS間で通信する際に経由するリンクの輻輳状態を検査する機能を持つ輻輳検査部を導入する。なお、各ASの連携対処装置は、近隣の連携先ASの連携対処機能とのみ通信を行う分散型のアーキテクチャ上で動作する。

以下の手順により、インターネット全体でDDoS攻撃に連携して対処する場合で、かつ一部のASしか本機能を保有しない場合でも、AS間リンク帯域の輻輳の回避と各ASの防御装置のリソース使用率の平準化を同時に実現する。
−標的ASから連携対処を開始して、まず、攻撃元に近いASのmitigation装置リソースを優先的に利用して対処するように設定（攻撃による消費帯域が最小になるように対処）
−次に、リソース使用率を平準化するために、最上流ASから負荷分散の調整を実施。この時、自身の親ASが隣接AS（自身と直接接続関係にあるAS）の場合は、従来技術と同様に、自身と親ASとの間のリンク帯域情報から、輻輳を回避するために自ASで最低限対処しなければならない量（最低対処量）を算出して、調整要求メッセージに含めて親ASに送信し、親ASで実施される、AS間のmitigation装置負荷分散のための最適化問題の制約条件として使用する。
−自身の親ASが隣接ASでない場合は、上記と同様の処理を実施後、親ASからの更新要求メッセージに含まれる自ASの対処量に従って対処を適用後に、自ASと親AS間で輻輳検査部を介して検査パケットを送信し、パケットドロップの発生の有無や応答が返ってくるまでの遅延の増大等に基づき、自身と親AS間で通信をする際に経由するリンク上で輻輳が発生しているか調べる。輻輳が発生している場合は、上流の対処量を増加させて再検査を繰り返し、輻輳が解消された時点の対処量を最低対処量に設定し直して、輻輳解消前の対処量、輻輳解消後の対処量、最低対処量を含む輻輳対処メッセージを親ASに送信し、親ASにおいて、親ASの対処量を差分だけ減少させる補正を行う。
−前記の局所的な調整をネットワーク全体で繰り返し実施することで、最終的に、インターネット全体でAS間リンク輻輳を回避しつつ、mitigation装置負荷分散を統一的に実現する。

以下の実施例では、Autonomous System（以降、AS）間でのDDoS攻撃情報の共有及び各ASを標的とするDDoS攻撃に対して、各ASの防御機能のリソースをどれだけ割り当てるかを調整する役割を担う連携対処装置を開示する。また、連携対処装置間のアーキテクチャとして、例えば、非特許文献２のアーキテクチャなど、近隣ASの連携対処装置とのみ直接通信を行う分散型のアーキテクチャを適用することでスケーラビリティを向上させ、局所的な調整を繰り返すことで、インターネット全体で統一的なリソース割り当てを実現する。

標的となったAS（標的AS）で攻撃を検知した場合、まず、標的ASから他のASとの連携対処を開始し、連携対処装置を介して、上流AS方向に標的IPアドレスを含む対処要求メッセージを伝搬し、要求を受信したASにおいて、随時、標的宛通信への対処とさらに上流ASへの対処要求の伝搬を繰り返していくことで、防御機能のリソースの許す限り、攻撃元に近いASでの攻撃対処を実現する。次に、各ASの防御機能のリソース使用率を平準化するために、最上流のASから下流AS方向に調整要求メッセージを伝搬していき、要求を受信したAS（下流AS）とその連携先の上流AS間で防御機能のリソース使用率を平準化するための最適化問題を解くことにより、各ASで対処する標的宛通信量を調整する。この時、連携先の上流ASにおいて、当該ASと隣接AS間リンクの利用可能帯域量と当該AS内へ流入する標的宛通信量に基づき、当該ASと隣接AS間のリンク輻輳を回避するために上流ASで最低限対処しなければならない標的宛通信量（最低対処量）を算出し、調整要求に含めて下流ASに伝搬し、上述した最適化問題の制約条件として使用する。また、調整を行うASが直接接続されていない場合は、上流ASにおいて、上述した最適化問題の結果得られたリソース割り当て量での対処を実施後、連携機能を保有する上流AS-下流AS間で検査パケットを送信することで、上流AS-下流AS間でのリンク輻輳の発生の有無を検査する。輻輳している場合は、上流ASの対処量を増加させて輻輳発生の有無の再検査を行い、輻輳が解消されるまで対処量の増加・再検査を繰り返す。輻輳解消後の対処量を上流側の最低対処量に設定し、対処量と最低対処量を含む輻輳対処メッセージを下流ASに送信し、その値に基づき下流ASの対処量を再設定する。分散型のアーキテクチャにより、上記の局所的なリソース割り当て量の調整を下流AS方向および上流AS方向に繰り返し行うことで、インターネット全体でAS間リンクの輻輳を回避しつつ、防御機能のリソース使用率が平準化された統一的なリソース割り当てを実現する。

以下の実施例では、Autonomous System（以降、AS）間でのDDoS攻撃情報の共有及び各ASを標的とするDDoS攻撃に対して、各ASの防御機能のリソースをどれだけ割り当てるかを調整する役割を担う連携対処装置を開示する。また、連携対処装置間のアーキテクチャとして、例えば、非特許文献２のアーキテクチャなど、近隣ASの連携対処装置とのみ直接通信を行う分散型のアーキテクチャを適用することでスケーラビリティを向上させ、局所的な調整を繰り返すことで、インターネット全体で統一的なリソース割り当てを実現する。

標的となったAS（標的AS）で攻撃を検知した場合、まず、標的ASから他のASとの連携対処を開始し、連携対処装置を介して、上流AS方向に標的IPアドレスを含む対処要求メッセージを伝搬し、要求を受信したASにおいて、随時、標的宛通信への対処とさらに上流ASへの対処要求の伝搬を繰り返していくことで、防御機能のリソースの許す限り、攻撃元に近いASでの攻撃対処を実現する。次に、各ASの防御機能のリソース使用率を平準化するために、最上流のASから下流AS方向に調整要求メッセージを伝搬していき、要求を受信したAS（下流AS）とその連携先の上流AS間で防御機能のリソース使用率を平準化するための最適化問題を解くことにより、各ASで対処する標的宛通信量を調整する。この時、連携先の上流ASにおいて、当該ASと隣接AS間リンクの利用可能帯域量と当該AS内へ流入する標的宛通信量に基づき、当該ASと隣接AS間のリンク輻輳を回避するために上流ASで最低限対処しなければならない標的宛通信量（最低対処量）を算出し、調整要求に含めて下流ASに伝搬し、上述した最適化問題の制約条件として使用する。また、調整を行うASが直接接続されていない場合は、上流ASにおいて、上述した最適化問題の結果得られたリソース割り当て量での対処を実施後、連携機能を保有する上流AS-下流AS間で検査パケットを送信することで、上流AS-下流AS間でのリンク輻輳の発生の有無を検査する。輻輳している場合は、上流ASの対処量を増加させて輻輳発生の有無の再検査を行い、輻輳が解消されるまで対処量の増加・再検査を繰り返す。輻輳解消後の対処量を上流側の最低対処量に設定し、対処量と最低対処量を含む輻輳対処メッセージを下流ASに送信し、その値に基づき下流ASの対処量を再設定する。分散型のアーキテクチャにより、上記の局所的なリソース割り当て量の調整を下流AS方向および上流AS方向に繰り返し行うことで、インターネット全体でAS間リンクの輻輳を回避しつつ、防御機能のリソース使用率が平準化された統一的なリソース割り当てを実現する。

図１に、本発明の一実施形態におけるネットワーク（インターネット）の構成図を示す。

本実施形態では、ネットワーク（インターネットに相当）を構成する複数の組織ネットワーク（AS）が本発明の連携対処装置を保有する状況を想定している。また、一例として、AS1（ISP網等）内のシステムが、他のAS内に存在する攻撃者の端末からのDDoS攻撃の標的（標的システム）となった場合を想定し、他のASとの間で、DDoS攻撃情報の共有と連携対処時のパラメータ調整（パラメータは、ある標的への攻撃に対して、各ASの防御機能のリソースをどれだけ割り当てて対処するかの量）等に必要な情報とを共有し、それらの情報を用いて、他ASとの間で対処パラメータを調整する方法を説明する。

図１に示されるように、任意数のAS（AS1~AS7など）がネットワークに含まれ、これらのASが相互接続されることによって、インターネットを模したネットワークのネットワークトポロジが構成される。

連携対処装置１００は、後述されるように、各AS間でDDoS攻撃情報等をやり取りし、やり取りした情報に基づき、DDoS攻撃に対処するためのパラメータを調整すると共に、他のASに対してDDoS攻撃の対処を要求する。また、DDoS攻撃に対処するためのパラメータとは、例えば、AS1, AS2及びAS5で分担してある標的宛の攻撃に対処する場合、各ASで標的宛通信量を何Gbpsずつmitigation装置５０に引き込んで対処するかを示す量、フィルタリングする場合に各ASで何Gbpsまで標的宛通信を減らすかを示す量（フィルタリングの閾値）などである。これらの対処パラメータは、各ASを流れる標的宛通信量や各ASが保有するmitigation装置５０の容量（リソース量）、AS間リンクの利用可能帯域量などの情報に基づく計算やAS間リンク輻輳の検査・対処処理を通じて調整される。

AS1内の任意のシステムがDDoS攻撃の被害に遭っている場合、AS1は、連携対処装置１００を保有する近隣のAS（AS1の場合、AS2とAS5。以降、連携先AS）の連携対処装置１００に対して、自AS番号や標的システムのIPアドレス（標的システムが複数存在する場合は、IPアドレスのリスト）等の情報を含むDDoS攻撃情報と攻撃への対処要求等を送信する。また、連携先ASの連携対処装置１００は、AS1の連携対処装置１００から受信した情報、BGP(Border Gateway Protocol)等の経路情報、自身の連携先AS情報に基づき、標的宛通信が自網内からメッセージの送信元AS（AS1）に他の連携先ASを経由せずに流れているかの情報の取得、標的宛通信への対処等を実施し、メッセージの送信元AS（AS1）に対して、取得した情報や対処状況等を応答する。さらに、自網内からメッセージの送信元ASに標的宛通信が流れている場合は、メッセージの送信元（AS1）を除く、他の連携先AS（AS2の場合は、AS5とAS7）に、DDoS攻撃情報と攻撃への対処要求を送信する。これを上流側AS方向に繰り返していくことで、攻撃元近くのASまでDDoS攻撃情報と対処要求が伝搬される。ここで、各ASは、連携先ASのDDoS連携対処装置１００との通信に必要な連携先ASの連携対処装置１００のIPアドレス等の情報を予め保有していることを想定している。また、各ASの連携先ASの設定は、本仕組みを各ASに導入する際などに、BGPの経路情報やインターネットのトポロジ情報に基づき設定されることを想定している。なお、標的ASから連携対処を開始する（標的ASから他のASに攻撃情報や対処要求等を送信する）タイミングは任意である。例えば、自AS内のシステムを標的とする攻撃を検知した際に連携対処を開始する他、攻撃を検知した場合には、まず自AS内の防御機能のみで対処を行い、自AS内の防御機能のリソースやネットワーク帯域が逼迫した際に連携対処を開始することや、攻撃を検知してから一定時間毎等に連携対処を実施することも想定される。

mitigation装置５０は、例えば、非特許文献１に記載される装置であってもよく、受信したDDoS攻撃情報等に基づき標的宛通信に対する対処を実施する。なお、DDoS攻撃に対処する技術としては、mitigation装置５０のほかに、ルータ等の転送装置によるACL（Access Control List）等を利用した攻撃通信のフィルタリング、攻撃の標的宛通信の帯域制限（レートリミット等）等も想定され、本発明は、これらの対処技術との組み合わせも可能である。後述の本実施形態における動作手順では、mitigation装置５０を利用して連携対処する場合の具体的な動作手順を説明する。

次に、図２を参照して、本発明の一実施形態による連携対処装置１００を有するASの構成を説明する。以下において、AS1に着目して本実施形態を説明するが、本実施形態が他のASに適用可能であることは当業者に容易に理解されるであろう。

図２に示されるように、当該ASは、mitigation装置５０、連携対処装置１００、トラヒック情報収集・DDoS攻撃検知装置２００、ネットワーク制御装置３００及びパケット転送装置４００を有する。

トラヒック情報収集・DDoS攻撃検知装置２００は、ルータ等のパケット転送装置４００から定期的にフロー情報（送受信IPアドレス・送受信ポート番号・プロトコル番号等の組からなるフロー毎の通信量等）を収集し、収集したフロー情報を分析することで特定の宛先へのDDoS攻撃の発生を検知する。また、攻撃検知時等の任意のタイミングで、自ASのDDoS連携対処装置１００に対して、標的システムのIPアドレスを含む攻撃検知メッセージを送信する。攻撃検知メッセージに含まれる標的IPアドレスは、標的のシステムが複数存在する場合や標的システムが複数のIPアドレスを保有する場合には、複数個通知される可能性もある。なお、トラヒック情報収集・DDoS攻撃検知装置２００は、例えば、非特許文献３に記載されるSAMURAI等によって実現されてもよい。さらに、トラヒック情報収集・DDoS攻撃検知装置２００は、DDoS攻撃が発生した際、又は任意のタイミングで、標的のIPアドレス宛通信量、mitigation装置５０の最大リソース量、mitigation装置５０の利用可能なリソース量、隣接ASとの間のリンク（AS間リンク）の利用可能帯域量等を測定し、任意のテーブルに格納すると共に、自ASの連携対処装置１００に通知する機能を有する。

mitigation装置５０は、非特許文献１に説明される装置のように、DDoS攻撃対処に特化した装置であり、ある宛先に対する通信の中から、攻撃通信と正常通信とを区別して、攻撃通信のみを遮断するといった対処を行うことができる。前述の通り、DDoS攻撃対処の手段はこの他にも想定できるが、本実施形態では、DDoS攻撃対処のための手段の一例として、ASがmitigation装置５０を保有する場合について記載している。

ネットワーク制御装置３００は、ルータ等のパケット転送装置４００を制御する機能を有する。ネットワーク制御装置３００は、例えば、SDN（Software-Defined Networking）コントローラであってもよい。また、ネットワーク制御装置３００は、連携対処装置１００と通信し、連携対処装置１００から通知された情報（標的のIPアドレスの一覧、対処方式、対処のためのパラメータ等）に基づき、パケット転送装置４００を制御することで、mitigation装置５０に標的宛の通信を迂回させたり、各パケット転送装置４００にフィルタリングを設定したりといった制御や適用中のトラヒック制御等を終了するための制御を行う。mitigation装置５０を利用して対処する場合の具体例を説明すると、ネットワーク制御装置３００は、BGP（Border Gateway Protocol）又はOpenFlow等を利用し、各パケット転送装置４００の保有する標的宛パケットの転送に関わるルーティング情報を一時的に書き換える（転送先をmitigation装置５０のIPアドレスに変更する）ことで、標的宛パケットのみをmitigation装置５０に迂回させて検査・対処することができる。

連携対処装置１００は、ネットワーク制御装置３００と通信し、標的のIPアドレスのリストを含むDDoS攻撃情報、DDoS攻撃の対処方式（例えば、mitigation装置５０を利用）、対処する通信量（mitigation装置５０に引き込む標的宛通信量）等を通知する。また、連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００と通信し、標的のIPアドレス宛の通信量、mitigation装置５０の最大リソース量や利用可能なリソース量、AS間リンクの利用可能帯域量等を取得する。また、攻撃検知メッセージを受信した場合、連携対処装置１００は、攻撃検知メッセージに含まれる標的IPアドレスを、図５を参照して後述される標的IPアドレステーブルに格納する。さらに、DDoS連携対処装置１００は、他のASの連携対処装置１００と通信し、DDoS攻撃情報（標的ASを識別可能な番号（例えばAS番号）、標的IPアドレスの一覧等）や連携対処に必要な情報（各ASを流れる標的IPアドレス宛通信量を宛先AS単位で合算した値、利用可能なmitigation装置５０のリソース量、各ASのmitigation装置５０で対処する標的宛通信量、AS間リンク輻輳を回避するためにそのASで最低限対処しなければならない標的宛通信量（最低対処量）といった対処パラメータ等）をやり取りする。ここで、DDoS攻撃情報は、前記情報のみに限定されず、連携して対処する際のやり方に応じて、攻撃タイプ、攻撃元のIPアドレス情報、mitigation装置５０で検査後のパケットを元のASまで転送するためのトンネル情報等を含むものであってもよい。また、連携対処装置１００は、他のASの連携対処装置１００との間でAS間のリンク輻輳の発生の有無を検査するためのパケットをやり取りし、平常時のRTT(Round Trip Time)からの遅延の増大やパケットのドロップの有無等に基づき、輻輳発生を検知する機能を有する。

連携対処装置１００は、典型的には、サーバにより実現されてもよく、例えば、バスを介し相互接続されるドライブ装置、補助記憶装置、メモリ装置、プロセッサ、インタフェース装置及び通信装置から構成される。連携対処装置１００における後述される各種機能及び処理を実現するプログラムを含む各種コンピュータプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ−Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、フラッシュメモリなどの記録媒体によって提供されてもよい。プログラムを記憶した記録媒体がドライブ装置にセットされると、プログラムが記録媒体からドライブ装置を介して補助記憶装置にインストールされる。但し、プログラムのインストールは必ずしも記録媒体により行う必要はなく、ネットワークなどを介し何れかの外部装置からダウンロードするようにしてもよい。補助記憶装置は、インストールされたプログラムを格納すると共に、必要なファイルやデータなどを格納する。メモリ装置は、プログラムの起動指示があった場合に、補助記憶装置からプログラムやデータを読み出して格納する。プロセッサは、メモリ装置に格納されたプログラムやプログラムを実行するのに必要なパラメータなどの各種データに従って、後述されるようなDDoS連携対処装置１００の各種機能及び処理を実行する。インタフェース装置は、ネットワーク又は外部装置に接続するための通信インタフェースとして用いられる。通信装置は、インターネットなどのネットワークと通信するための各種通信処理を実行する。

しかしながら、連携対処装置１００は、上述したハードウェア構成に限定されるものでなく、他の何れか適切なハードウェア構成により実現されてもよい。なお、本実施例で示す構成は一例であり、例えば、トラヒック情報収集・DDoS攻撃検知装置２００やネットワーク制御装置３００は、連携対処装置１００に組み込まれてもよい。

次に、図３を参照して、本発明の一実施形態による連携対処装置を詳細に説明する。図３は、本発明の一実施形態による連携対処装置の構成を示すブロック図である。

図３に示されるように、連携対処装置１００は、処理部１１０、記憶部１３０及び通信部１４０を有する。

処理部１１０は、メッセージ受付部１１１、攻撃検知メッセージ処理部１１２、対処要求メッセージ処理部１１３、対処応答メッセージ処理部１１４、調整要求メッセージ処理部１１５、更新要求メッセージ処理部１１６、輻輳対処メッセージ処理部１１７、対処終了要求メッセージ処理部１１８、輻輳検査部１１９、パラメータ調整部１２０、攻撃対処設定部１２１及び対処終了判断部１２２を有する。

記憶部１３０は、自AS及び連携先ASのDDoS攻撃に関する情報を記憶する。具体的には、記憶部１３０は、標的IPアドレス情報テーブル、攻撃情報テーブル、連携先AS情報テーブル、mitigation装置情報テーブル及びAS間リンク情報テーブルを有する。

通信部１４０は、他のASの連携対処装置１００、自ASのトラヒック情報収集・DDoS攻撃検知装置２００及び自ASのネットワーク制御装置３００と通信する。また、パケット転送装置４００やmitigation装置５０から直接情報を取得したり、制御したりする場合には、通信部１４０はこれらの装置とも通信する。

メッセージ受付部１１１は、トラヒック情報収集・DDoS攻撃検知装置２００や他の連携対処装置１００からの各種メッセージを待ち受け、受信したメッセージの種類に応じて、対応するメッセージ処理部に振り分ける機能を有する。メッセージ受付部１１１は、受信したメッセージをキューに格納し、例えば、FIFO方式で対応するメッセージ処理部に転送する。メッセージは、攻撃検知メッセージ、対処要求メッセージ、対処応答メッセージ、調整要求メッセージ、更新要求メッセージ、輻輳対処メッセージ、対処終了要求メッセージの7種類存在する。

攻撃検知メッセージ処理部１１２は、トラヒック情報収集・DDoS攻撃検知装置２００からの攻撃検知メッセージに対する処理を行う。図４に示されるように、ステップＳ１０１において攻撃検知メッセージを受信した場合、攻撃検知メッセージ処理部１１２は、ステップＳ１０２において、図５に示される自ASの標的IPアドレス情報テーブルに、攻撃検知メッセージに含まれる標的IPアドレスを追加する。また、攻撃検知メッセージ処理部１１２は、図６に示される攻撃情報テーブルに自ASを標的とする攻撃のレコードが存在しない場合は、新規作成する。さらに、攻撃検知メッセージ処理部１１２は、トラヒック情報収集・DDoS攻撃検知装置２００を介して、標的IPアドレス情報テーブルに含まれるIPアドレス宛通信量を取得し、その通信量の和（「標的AS単位の攻撃通信量の合計値」）を自身の攻撃情報テーブルに格納する。本処理及び以降の同等の処理においては、個々の宛先IPアドレス単位で指定して通信量を取得する場合、トラヒック情報収集・DDoS攻撃検知装置２００の負荷が大きくなったり、取得に時間がかかったりする可能性があるため、例えば、ISPで平常時から取得していることが想定されるレベルのフローの情報（通信量の多い上位いくつかのフローの情報のみが保存）を参照し、その中に受信した標的IPアドレスの一覧に含まれるIPアドレス宛の通信量情報があれば、その情報のみを利用することも想定される。

また、攻撃検知メッセージ処理部１１２は、次の2つの処理を実施する。1. 攻撃対処設定部１２１を介して、標的IPアドレスの一覧に含まれるアドレス宛通信を自AS内のmitigation装置５０に引き込んで対処するように設定する。2. 図７に示される自身の連携先AS情報テーブルを参照し、各連携先ASの連携対処装置１００に対して、標的AS番号（自身のAS番号）、標的IPアドレスリスト（データ内容全て、またはデータサイズを削減するために過去に送信済みの場合は追加分のみ）、要求元AS番号（自身のAS番号）を含む対処要求メッセージを送信する。なお、前記2の処理の前に、標的宛攻撃量の合計値と事前設定された閾値を比較し、閾値未満の場合は、2の処理を実施せずに自ASのみで攻撃に対処することも想定される。

対処要求メッセージ処理部１１３は、他の連携対処装置１００からの対処要求メッセージに対する処理を行う。図８に示されるように、ステップＳ２０１において対処要求メッセージを受信した場合、対処要求メッセージ処理部１１３は、トラヒック情報収集・DDoS攻撃検知装置２００を介して、受信した標的IPアドレスリストに含まれるIPアドレス宛通信量を取得する。また、ステップＳ２０２において、対処要求メッセージ処理部１１３は、BGPの経路情報等を用いることで、自ASから対処要求メッセージの送信元ASまで標的宛通信が流れているかの判断を行う。判断の結果、標的宛通信が流れていない場合（Ｓ２０２：ｎｏ）、対処要求メッセージ処理部１１３は、ステップＳ２０４において、標的宛通信量を0として登録し、要求元ASに標的AS番号、自身のAS番号、対処状況（Status=対処不可）を含む対処応答メッセージを送信する。前記判断の結果、標的宛通信が流れている場合（Ｓ２０２：ｙｅｓ）、対処要求メッセージ処理部１１３は、対処要求メッセージに含まれる標的AS番号、標的IPアドレスリスト、メッセージの送信元のAS番号（このASを下流ASまたは親ASとする）、取得したリストのIPアドレス宛通信量を標的AS単位で合算した値（標的AS単位の攻撃通信量の合計値）を自身の攻撃情報テーブルに登録する。また、対処要求メッセージ処理部１１３は、攻撃対処設定部１２１を介して、標的IPアドレスの一覧に含まれるアドレス宛通信を自AS内のmitigation装置５０のリソース上限まで引き込んで対処するように設定する（標的宛通信量がmitigation装置５０の利用可能リソース量より大きい場合は、利用可能リソース量まで引き込むように対処量を設定し、小さい場合は、対処量を指定せずに引き込みを設定する）。ここで、mitigation装置５０のリソース上限値は、トラヒック情報収集・DDoS攻撃検知装置２００が定期的に収集し、図９に示されるmitigation装置情報テーブルに登録した値を参照するほか、トラヒック情報収集・DDoS攻撃検知装置２００に情報の取得を指示して、最新の情報を取得することが想定される。次に、対処要求メッセージの要求元ASに対して、標的AS番号、自身のAS番号、対処状況（Status=対処中）を含む対処応答メッセージを送信する。さらに、他のASから自ASに対して標的宛通信が流入している場合（Ｓ２０５：ｎｏ）、対処要求メッセージ処理部１１３は、自ASの連携先AS情報テーブルに含まれる連携先AS（要求元ASを除く）の連携対処装置１００に対して、受信したメッセージに含まれる標的AS番号、標的IPアドレスの一覧、及び自身のAS番号を含む対処要求メッセージを送信する。なお、他のASから自ASに対して標的宛通信が流入していない場合（Ｓ２０５：ｙｅｓ）、対処要求メッセージ処理部１１３は、ステップＳ２０６において、次の処理を実施する。1. 攻撃情報テーブルの自ASに関する情報の最上流ASフラグをTrueに設定する。2. 対処終了判断部１２２に当該攻撃の標的AS番号を通知し、当該攻撃に対する終了を監視するように設定する。 3. 標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、要求元ASとの間のリンクの利用可能帯域量を取得し、標的AS宛攻撃に関する最低対処量を算出する。さらに、各テーブルの情報が最新でない場合は、それらの情報を攻撃情報テーブル、mitigation装置情報テーブル、図１０に示されるAS間リンク情報テーブルに登録する。4. 親に、標的AS番号（受信メッセージに含まれるものと同じ値を設定）、自身のAS番号、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、最低対処量を含む調整要求メッセージを送信する。

対処応答メッセージ処理部１１４は、他の連携対処装置１００からの対処応答メッセージに対する処理を行う。図１１に示されるように、ステップＳ３０１において対処応答メッセージを受信した場合、対処応答メッセージ処理部１１４は、そのメッセージに含まれる標的AS番号を見て、攻撃情報テーブル内の対応する行の連携先ASとして、対処応答メッセージの送信元AS番号を登録する。また、Status=対処中の場合（Ｓ３０２：ｙｅｓ）、対処応答メッセージ処理部１１４は、ステップＳ３０３において、対処応答の送信元ASをその標的宛攻撃対処の際の自身の子として登録する。

調整要求メッセージ処理部１１５は、他の連携対処装置１００からの調整要求メッセージに対する処理を行う。図１２に示されるように、ステップＳ４０１において調整要求メッセージを受信した場合、調整要求メッセージ処理部１１５は、ステップＳ４０２において、受信メッセージに含まれる標的AS番号を見て、攻撃情報テーブル内の対応する行の他ASに関する情報（メッセージ送信元AS番号に対応する部分）を、受信した情報で更新する。具体的には、調整要求メッセージ処理部１１５は、標的AS単位の攻撃通信量の合計値、対処中の標的AS宛通信量、対処量の最低値を更新する。また、連携先AS情報テーブルのmitigation装置５０の利用可能リソース量（メッセージの送信元ASの値）を更新する。

また、対処要求の送信先全てから対処応答を受信済みかつ全ての子からの調整要求メッセージを受信済みの場合（Ｓ４０３：ｙｅｓ）、調整要求メッセージ処理部１１５は、ステップＳ４０４において、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量を取得し、各テーブルの情報が最新でない場合は、それらの情報を攻撃情報テーブル、mitigation装置情報テーブルに登録する。その後、調整要求メッセージ処理部１１５は、取得した自ASの情報と、受信済みの連携先ASの情報を用いて、自身と子との間で後述のパラメータ調整部１２０によるパラメータ調整処理を実施する。パラメータ調整処理の結果得られた「各ASで対処する標的AS宛通信量」を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（子で対処する通信量分減算）と自ASと連携先（＝子）ASの情報内の対処中の通信量の値（各ASで対処する通信量の値を設定）を更新する。また、自ASが標的ASでない場合は、調整要求メッセージ処理部１１５は、その標的AS宛通信に関する最低対処量を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新し、自身の親の連携対処装置１００に、調整要求メッセージを送信する。調整要求メッセージ処理部１１５は、自身の子の連携対処装置１００に、標的AS番号（受信メッセージの標的AS番号と同じ値を設定）、自身のAS番号、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られた値）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られた値）から調整に用いたメッセージの宛先ASで対処中の標的AS宛通信量を減算した値（標的AS宛通信に対する対処量の差分値）、Flag=fromParentを含む、更新要求を送信する（以降、Flag=fromParentを含む更新要求は、上記と同じ情報を含む）。なお、標的AS宛通信に対する対処量の差分値は、分散処理によるメッセージ順序逆転等に伴い発生する可能性のある値ずれを補正するために利用する。ここでは、メッセージの送信元で差分値を計算して送信する例を示しているが、調整に用いた対処量をそのまま通知して、受信側で差分値等を計算して補正しても良い。

更新要求メッセージ処理部１１６は、他の連携対処装置からの更新要求メッセージに対する処理を行う。まず、図１３に示されるように、Flag=fromParentを含む更新要求メッセージ（ステップＳ５０１）を受信した場合（ステップＳ５０２において=fromParent）を説明する。

親が隣接ASであり（Ｓ５０４：ｙｅｓ）、自ASの最上流フラグがTrueの場合（Ｓ５０５：ｙｅｓ）、更新要求メッセージ処理部１１６は、ステップＳ５０６において、受信したメッセージに含まれる標的AS宛通信に対する対処量の差分値（メッセージの送信元ASによる最新の調整で算出された標的AS宛通信に対してメッセージの受信ASで対処する通信量からメッセージの送信元ASが調整に用いたメッセージの受信ASで対処中の標的AS宛通信量を減算した値。つまり、以前の調整から追加で対処を要求された量）を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新して攻撃への対処を実施する。

また、親が隣接ASであり（Ｓ５０４：ｙｅｓ）、自ASの最上流フラグがTrueでない場合（Ｓ５０５：ｎｏ）、更新要求メッセージ処理部１１６は、ステップＳ５０７において、子との間で後述のパラメータ調整部１２０によるパラメータ調整処理を実施する。さらに、更新要求メッセージ処理部１１６は、パラメータ調整処理の結果得られた「各ASで対処する標的AS宛通信量」を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新し、攻撃への対処を実施する。また、更新要求メッセージ処理部１１６は、標的AS宛通信に対する最低対処量を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新する。また、更新要求メッセージ処理部１１６は、親の連携対処装置１００に、標的AS番号（受信メッセージに含まれるものと同じ値を設定）、自身のAS番号、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、最低対処量、Flag=fromChildを含む、調整要求メッセージを送信する（以降、Flag=fromChildを含む更新要求は、上記と同じ情報を含む）。さらに、更新要求メッセージ処理部１１６は、子の連携対処装置１００に、更新要求メッセージ（Flag=fromParent）を送信する。

次に、親が隣接ASではなく（Ｓ５０４：ｎｏ）、受信メッセージに含まれる要求された対処量が自身の最低対処量よりも大きい場合（Ｓ５０８：ｙｅｓ）を説明する。自ASの最上流フラグがTrueの場合（Ｓ５０９：ｙｅｓ）、上記の親が隣接ASであり、自ASの最上流フラグがTrueの場合と同様に、更新要求メッセージ処理部１１６は、ステップＳ５１０において、テーブルの情報を更新し、対処を実施する。その後、更新要求メッセージ処理部１１６は、輻輳検査部１１９を介して、自身と親の間のリンクで輻輳が発生しているかの検査を実施する。輻輳検査部１１９は、他の連携対処装置１００の輻輳検査部１１９からの検査パケットを受信すると、それに対する応答パケットを返送する機能を有する。具体的な輻輳検査の方法としては、自身と親の連携対処装置１００間で検査パケットを送信して応答を待ち、パケットのドロップが発生している場合や、RTT（Round Trip Time）の値を見て平常時と比較して遅延が発生している場合に、輻輳が発生していると判定することが考えられる。遅延で判断する場合は、連携先ASの連携対処装置１００との間の平常時のRTTの情報を保有していることが前提となる。なお、検査には、ICMP（pingコマンド）等が利用可能と想定されるが、プロトコル等は、これに限定されない。また、輻輳検査部１１９は、連携対処装置１００内の一処理部として図示しているが、連携対処装置１００とは別の装置として実装しても良い。輻輳検査の結果、自身と親の間のリンクで輻輳が発生している場合、更新要求メッセージ処理部１１６は、輻輳検査部１１９を介して、自身の対処量を任意の量増加させ、再度輻輳検査を実施する。子の対処量の増加と、輻輳検査を輻輳が解消されるまで繰り返し、自身の対処量が元よりも増加している場合に、更新要求メッセージ処理部１１６は、輻輳検査部１１９を介して、自身の最低対処量として増加後の対処量を設定し、各テーブルの値（攻撃情報テーブルの自ASの対処中の通信量、最低対処量、mitigation装置情報テーブルの利用可能リソース量）を更新する。その後、更新要求メッセージ処理部１１６は、輻輳検査部１１９を介して、自身の親の連携対処装置１００に、標的AS番号、自身のAS番号、標的AS単位の攻撃通信量の合計値、mitigation装置の利用可能リソース量、対処中の標的AS宛通信量（増加前）、対処中の標的AS宛通信量（増加後）、最低対処量を含む、輻輳対処メッセージを送信する。なお、輻輳解消の際に増加させる量の決定方法としては、元の対処量×γ（0<γ<1。事前に運用者等によって設定）分だけ加算していき、自ASを流れる標的宛通信量を超える場合は、通信量を上限にする等が考えられる。前記方法は割合で加算していく方法だが、他にも事前に設定した量（例えば1Gbpsずつ）を加算していく等の方法も想定され、加算量の決定方法は任意である。

自ASの最上流フラグがTrueでない場合（Ｓ５１１：ｎｏ）、上記の親が隣接ASであり、自ASの最上流フラグがTrueでない場合と同様に、更新要求メッセージ処理部１１６は、自身と子で対処する標的宛通信量を調整し、テーブルの情報を更新後、対処を実施する。その後、更新要求メッセージ処理部１１６は、輻輳検査部１１９を介して、前記と同様の輻輳検査・輻輳解消処理を実施し、輻輳検知に伴い輻輳を解消した場合は、自身の対処量や最低対処量等を更新した後に、自身の親に輻輳対処メッセージを送信する。また、親に更新要求（Flag=fromChild）、子に更新要求（Flag=fromParent）をそれぞれ送信する。

次に、Flag=fromChildを含む更新要求メッセージを受信した場合（Ｓ５０２＝fromChild）を説明する。この場合は、更新要求メッセージ処理部１１６は、ステップＳ５０３において、前述の更新要求（Flag=fromParent）受信時の親が隣接ASかつ自ASが最上流ASでない場合とほぼ同じ処理を実行し、自ASが標的ASの場合のみ、最低対処量の更新と親への更新要求メッセージの送信を実施しない。

輻輳対処メッセージ処理部１１７は、他の連携対処装置からの輻輳対処メッセージに対する処理を行う。図１４に示されるように、ステップＳ６０１において本メッセージを受信した場合、輻輳対処メッセージ処理部１１７は、ステップＳ６０２において、メッセージに含まれる子の「対処量の更新後の値-更新前の値」分、攻撃情報テーブルの自身の対処量と自身へ流入する標的宛通信量を減算し、自ASのmitigation装置情報テーブルの利用可能リソース量にその分加算する。また、輻輳対処メッセージ処理部１１７は、子の対処量を受信した更新後の値に更新し、子の最低対処量を受信した最低対処量の値に更新する。なお、本処理において、自身の対処量がマイナスになる場合は、マイナスになった分の量を保有しておき、自身の割り当てが増えたタイミングでその分減算することで補正することが考えられる。

なお、本実施例では、輻輳対処メッセージを受信したASでは、自身と子の対処量等の値の更新までしか実施していないが、値の更新後に、親と子に更新要求を送信することで、対処量を再度調整しても良い。この場合、AS間でやり取りされるメッセージ数は増えるが、mitigation装置５０の負荷分散性能は向上する可能性がある。

対処終了要求メッセージ処理部１１８は、対処終了判断部１２２及び他の連携対処装置１００からの対処終了要求メッセージに対する処理を行う。図１５に示されるように、ステップＳ７０１において対処終了要求メッセージを受信し、全ての子から対処終了要求を受信した場合（Ｓ７０２：ｙｅｓ）、対処終了要求メッセージ処理部１１８は、ステップＳ７０３において、ステップ対処終了要求メッセージに含まれる標的AS番号に基づき、トラヒック情報収集・DDoS攻撃検知装置によって定期的に更新される攻撃情報テーブルの自ASに関する情報の当該AS宛攻撃の通信量の合計値と事前設定された閾値を比較する。その結果、閾値を下回っていた場合（Ｓ７０３：ｙｅｓ）、対処終了要求メッセージ処理部１１８は、ステップＳ７０４において、攻撃対処設定部１２１を介して、自AS内での当該標的AS宛攻撃対処を終了する。また、対処終了要求メッセージ処理部１１８は、対処終了判断部１２２に標的AS番号を通知し、当該攻撃への監視を終了する。さらに、対処終了要求メッセージ処理部１１８は、下流ASに標的AS番号を含む対処終了要求メッセージを送信する。他方、閾値以上であった場合（Ｓ７０３：ｎｏ）、対処終了要求メッセージ処理部１１８は、ステップＳ７０６において、対処終了判断部１２２を定期的に呼び出すタイマを設定すると共に、自ASの最上流フラグをTrueに設定する。

パラメータ調整部１２０は、他の処理部によって呼び出され、攻撃情報テーブル、連携先AS情報テーブル、mitigation装置情報テーブル、AS間リンク情報テーブルに格納された情報（自ASおよび連携先ASの標的AS単位の攻撃通信量の合計値、対処中の通信量、対処量の最低値、mitigation装置５０の利用可能リソース量、AS間リンクの利用可能帯域量）に基づき、任意のAS宛の攻撃に対して、自ASと連携先AS間で対処する通信量を算出する機能を有する。ここでは、標的AS単位で攻撃をまとめて、各ASで対処する通信量を調整することで、標的IPアドレス単位で1つずつ調整する場合と比較して、必要な調整回数を削減できる。なお、後述の実施例では、各ASがmitigation装置５０を利用して対処する際に、AS間リンクが輻輳しない範囲内で、といった制約条件のもと、各ASのmitigation装置５０の使用率ができるだけ均一になるように、各ASで対処する通信量を調整する方法について説明する。しかし、AS間リンク輻輳の回避と各ASのmitigation装置５０のリソース負荷分散を同時に実現する最適化問題の表現方法については、後述のものに限定されない。

攻撃対処設定部１２１は、他の処理部によって呼び出され、標的IPアドレス情報テーブル、攻撃情報テーブルを参照することで、標的IPアドレスの一覧、対処方式、自ASで対処する標的AS宛通信量を取得し、これらの情報をネットワーク制御装置３００に通知する機能を有する。前述のとおり、ネットワーク制御装置３００は、受信した前記情報に基づき、標的AS宛通信（の内、標的IPアドレスの一覧に含まれるIPアドレス宛通信）を、通知された通信量分mitigation装置５０に引き込んで対処する（または適用中の制御を解除する）。なお、他の処理部による攻撃対処設定部１２１の呼び出しのタイミングは任意であり、例えば、各種メッセージを受信したタイミング、メッセージ処理部によるパラメータ調整処理が終了したタイミングで呼び出されることが想定される。

対処終了判断部１２２は、他の処理部によって呼び出され、トラヒック情報収集・DDoS攻撃検知装置２００によって定期的に更新される攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値と事前設定された閾値を定期的に比較し、その値が閾値を下回った場合に、自ASのDDoS連携対処装置１００のメッセージ受付部１１０に対して、標的AS番号を含む対処終了要求メッセージを送信する。ここで、対処終了判断の方法としては、前記閾値を用いた定期的な比較のほか、対処要求メッセージ等にその対処の有効期限を示すライフタイムを付与して送信し、そのライフタイムが0になった場合に、自身のメッセージ受付部に対処終了要求メッセージを送信して、対処終了処理を行う等の方法も想定される。特に、ライフタイムで対処終了を管理する場合、AS間での対処終了メッセージの送受信は発生せず、各AS内で完結して特定のAS宛攻撃への対処終了を実施することも想定される。

次に、図１６〜１８を参照して、本発明の一実施形態による連携対処装置１００の間の動作手順及び各ASがmitigation装置５０を保有している場合に、複数AS間で連携対処を行う際の対処ロジックの一例を説明する。図１６〜１８は、本発明の一実施形態による連携対処装置間の動作手順を示すシーケンス図である。本対処ロジックでは、複数箇所が同時に攻撃される場合にも対処不能にならないように、可能な限り各ASのmitigation装置５０の使用率が均一になるように、かつ、AS間リンクの輻輳を回避するように、各mitigation装置５０で処理する通信量を調整しながら対処を実施する。

ここでは、下流ASが、上流ASのmitigation装置５０で検査済みのパケットと未検査のパケットとを区別可能であることを前提とし、各ASでは、標的宛かつ未検査のパケットのみを対象に、指定された通信量分をmitigation装置５０に引き込んで対処する。なお、検査済みのパケットと未検査のパケットとを区別可能にする方法としては、例えば、OpenFlow等を利用して、上流ASにおいて、mitigation装置５０で検査済みの標的宛パケットの宛先IPアドレスを、被害AS内の平常時は使用していない任意のIPアドレスに書き換え、被害ASに到達後に、元のIPアドレスに戻すといった方法や、GRE（Generic Routing Encapsulation）等のトンネリング技術を利用して、被害ASの任意のルータ等までカプセル化して転送するといった方法が考えられるが、これらの方法に限定するものではない（どちらの方法でも、上流ASのmitigation装置５０で検査済みの場合は、途中のASでは、標的とは異なる宛先IPアドレスのパケットに見えるため、mitigation装置５０への二重引き込みを回避できる）。この場合、被害ASのDDoS連携対処装置１００と対処を実施するASのDDoS連携対処装置１００との間で、書き換えに利用するIPアドレス情報、トンネルの始点、終点となるノードのIPアドレスを追加で共有する必要があり、例えば、対処要求メッセージや調整要求メッセージに含めて共有することが考えられる。以降では、AS1のトラヒック情報収集・DDoS攻撃検知装置２００による標的システムへの攻撃の検知をトリガーとして、自動的にAS間での連携対処が行われる際の動作手順を説明する。ここでは、各ASの連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００や他のASの連携対処装置１００からのメッセージを常に待ち受け、メッセージを受信した際には、そのメッセージに対する処理を実施する。また、あるメッセージの処理中に他のメッセージを受信した場合は、受信したメッセージをキューに貯めていき、最も古いメッセージから1つずつ処理を実施する場合を記載している。また、以下の実施例では、1つのAS（AS1）が標的となっている場合について記載しているが、複数のASが同時に攻撃される場合にも、それぞれの攻撃に並列で対処することができる。さらに、連携対処装置１００は、他の連携対処装置１００にメッセージを送信する際に、非同期で動作する（すなわち、送信したメッセージに対する応答を待たずに他の処理を実行する）。
［攻撃検知メッセージ処理（AS1）］
ステップＳ８０１において、AS1の連携対処装置１００は、AS1のトラヒック情報収集・DDoS攻撃検知装置２００からの攻撃検知メッセージを受信すると、自ASの標的IPアドレス情報テーブルに、メッセージに含まれる標的IPアドレスを追加し、攻撃情報テーブルに当該攻撃のレコードを登録する。

ステップＳ８０２において、AS1の連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、自AS内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信を全てmitigation装置５０に引き込んで対処するように設定）。

ステップＳ８０３において、AS1の連携対処装置１００は、連携先AS情報テーブルを参照し、連携先AS（AS2、AS5）の連携対処装置１００に対して、標的AS番号（AS1）、標的IPアドレスリスト（表1の内容）、自身のAS番号（AS1）を含む対処要求メッセージを送信する。
［対処要求メッセージ処理（AS2）］
ステップＳ８０４において、AS2の連携対処装置１００は、AS1からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS1方向に流れているかを判定する。

ステップＳ８０５において、AS2の連携対処装置１００は、AS2からAS1方向に当該通信が流れているため、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS1）を自身の攻撃情報テーブルに登録する。この際、AS2の連携対処装置１００は、対処要求の送信元ASを下流（＝親）ASとして登録する。

ステップＳ８０６において、AS2の連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS2内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。

ステップＳ８０７において、AS2の連携対処装置１００は、AS1の連携対処装置１００に標的AS番号（AS1）、自身のAS番号（AS2）、Status=対処中を含む対処応答メッセージを送信する。

ステップＳ８０８において、AS2の連携対処装置１００は、他ASからAS2へのAS1宛攻撃の流入がないため、AS2の攻撃情報テーブルの自身の最上流フラグをTrueに設定する。

ステップＳ８０９において、AS2の連携対処装置１００は、自身が最上流であることから、対処終了判断部１２２を定期的に呼び出すタイマを設定し、以下の処理を実施する。

ステップＳ８１０において、AS2の連携対処装置１００は、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンク(AS2-AS1間のリンク)の利用可能帯域量を各テーブルから取得し、自ASで対処する標的宛通信量の最低値（最低対処量）を算出する。各テーブルの情報が最新でない場合は、AS2の連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブル、AS間リンク情報テーブルの値を更新する。なお、最低対処量は、例えば以下の式を用いて算出する。

ステップＳ８１１において、AS2の連携対処装置１００は、AS1に標的AS番号（AS1）、自身のAS番号（AS2）、自AS（AS2）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、最低対処量を含む調整要求メッセージを送信する。
［対処応答メッセージ処理（AS1）］
ステップＳ８１２において、AS1の連携対処装置１００は、AS2の連携対処装置１００からの対処応答メッセージを受信し、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS2の情報を登録する。この際、AS2を上流（＝子）ASとして登録する。
［調整要求メッセージ処理（AS1）］
ステップＳ８１３において、AS1の連携対処装置１００は、AS2の連携対処装置１００からの調整要求メッセージを受信し、自身の攻撃情報テーブルのAS2の情報と連携先AS情報テーブルのAS2の情報を受信情報で更新する。
［対処要求メッセージ処理（AS5）］
ステップＳ８１４において、AS5の連携対処装置１００は、AS1からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS1方向に流れているかを判定する。

ステップＳ８１５において、AS5の連携対処装置１００は、AS5からAS1方向に当該通信が流れているため、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS1）を自身の攻撃情報テーブルに登録する。この際、対処要求の送信元ASを下流（＝親）ASとして登録する。

ステップＳ８１６において、AS5の連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS5内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。

ステップＳ８１７において、AS5の連携対処装置１００は、AS1の連携対処装置１００に標的AS番号（AS1）、自身のAS番号（AS5）、Status=対処中を含む対処応答メッセージを送信する。

ステップＳ８１８において、AS5の連携対処装置１００は、他ASからAS5へのAS1宛攻撃の流入があるため、対処要求メッセージの送信元(AS1)を除く連携先AS（AS2、AS5）の連携対処装置１００に、標的AS番号（AS1）、標的IPアドレスリスト（図５の内容）、自身のAS番号（AS5）を含む対処要求メッセージを送信する。
［対処応答メッセージ処理（AS1）］
ステップＳ８１９において、AS1の連携対処装置１００は、AS5の連携対処装置１００からの対処応答メッセージを受信し、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS5の情報を登録する。この際、AS1の連携対処装置１００は、AS5を上流（＝子）ASとして登録する。
［対処要求メッセージ処理（AS2）］
ステップＳ８２０において、AS2の連携対処装置１００は、AS5からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS5方向に流れているかを判定する。

ステップＳ８２１において、AS2の連携対処装置１００は、流れていないため、AS5の連携対処装置１００に、標的AS番号（AS1）、自AS番号（AS2）、Status=対処不可を含む対処応答メッセージを送信する。
［対処応答メッセージ処理（AS5）］
ステップＳ８２２において、AS5の連携対処装置１００は、AS2の連携対処装置１００からの対処応答メッセージを受信し、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS2の情報（対処不可）を登録する。
［対処要求メッセージ処理（AS7）］
ステップＳ８２３において、AS7の連携対処装置１００は、AS5からの対処要求メッセージに含まれるIPアドレス宛通信量を取得し、当該通信が自ASからAS5方向に流れているかを判定する。

ステップＳ８２４において、AS7の連携対処装置１００は、流れているため、受信した標的AS番号（AS1）、標的IPアドレスの一覧、メッセージの送信元のAS番号（AS5）を自身の攻撃情報テーブルに登録する。この際、AS7の連携対処装置１００は、対処要求の送信元ASを下流（＝親）ASとして登録する。

ステップＳ８２５において、AS7の連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレスリストを通知し、AS7内のmitigation装置５０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りmitigation装置５０に引き込んで対処するように設定）。

ステップＳ８２６において、AS7の連携対処装置１００は、AS5に標的AS番号（AS1）、自身のAS番号（AS7）、Status=対処中を含む対処応答メッセージを送信する。

ステップＳ８２７において、AS7の連携対処装置１００は、他ASからAS7へのAS1宛攻撃の流入がないため、AS7の攻撃情報テーブルの自身の最上流フラグをTrueに設定する。

ステップＳ８２８において、AS7の連携対処装置１００は、自身が最上流であることから、対処終了判断部１２２を定期的に呼び出すタイマを設定し、以下の処理を実施する。

ステップＳ８２９において、AS7の連携対処装置１００は、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンク(AS7-AS6間のリンク)の利用可能帯域量を各テーブルから取得し、最低対処量を算出する。各テーブルの情報が最新でない場合は、AS7の連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブル、AS間リンク情報テーブルの値を更新する。

ステップＳ８３０において、AS7の連携対処装置１００は、AS5に標的AS番号（AS1）、自身のAS番号（AS7）、自AS（AS7）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、最低対処量を含む調整要求メッセージを送信する。
［対処応答メッセージ処理（AS5）］
ステップＳ８３１において、AS5の連携対処装置１００は、AS7の連携対処装置１００からの対処応答メッセージを受信し、攻撃情報テーブルの標的AS番号がAS1の行の連携先ASの項目に、受信したAS7の情報を登録する。この際、AS5の連携対処装置１００は、AS7を上流（＝子）ASとして登録する。

ここまでの手順で、攻撃元に最も近いASのmitigation装置５０のリソースを最大限用いた対処（インターネット全体での攻撃通信による消費帯域が最小になるような対処）が完了する。以降の手順では、さらに各ASのmitigation装置５０のリソース使用率をAS間リンクが輻輳しない範囲で平準化するための調整について、図１７を参照して説明する。
［調整要求メッセージ処理（AS5）］
ステップＳ８３１において、AS5の連携対処装置１００は、AS7から受信した情報を攻撃情報テーブル、連携先AS情報テーブルに格納する。

ステップＳ８３２において、AS5の連携対処装置１００は、対処要求の送信先全てから対処応答を受信済みかつ全ての子から調整要求を受信済みのため、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量を各テーブルから取得する。各テーブルの情報が最新でない場合は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブルの値を更新する。

ステップＳ８３２において、AS5の連携対処装置１００は、下記の最適化問題を解くことで、自身と子（AS5、AS7）のmitigation装置５０のリソース使用率が平準化するような対処量の値の組み合わせを算出する。一般化した表現では、当該最適化問題は、以下とすることができる。

AS5、AS7で調整する場合には、以下の最適化問題を解くことになる。

ステップＳ８３５において、AS5の連携対処装置１００は、前記パラメータ調整の結果得られた、「その標的AS宛通信に対して各ASで対処する通信量(x_AS)」を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新する。また、AS5の連携対処装置１００は、自ASで対処する標的宛通信量の最低値を、更新した標的AS単位の攻撃通信量の合計値とAS間リンクの利用可能帯域量から算出して更新する。この際、AS5の連携対処装置１００は、ネットワーク制御装置３００に対して、標的IPアドレス、自ASで対処する標的AS宛通信量(x_AS5)を通知して最新の情報での攻撃対処を適用する。ネットワーク制御装置３００は、攻撃情報テーブルに記載の標的IPアドレス宛通信をx_AS5分、mitigation装置５０に引き込んで対処する。

ステップＳ８３６において、AS5の連携対処装置１００は、子（AS7）の連携対処装置１００に対して、標的AS番号（AS1）、自身のAS番号（AS5）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られたx_AS）、標的AS宛通信に対する対処量の差分値（x_AS-X_AS）、Flag=fromParentが含まれる更新要求メッセージを送信する。

ステップＳ８３７において、AS5の連携対処装置１００は、親（AS1）に、標的AS番号（AS1）、自身のAS番号（AS5）、自AS（AS5）を流れる標的宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量、AS間リンクの利用可能帯域量、自AS（AS5）で対処する標的宛通信量の最低値（最低対処量）を含む調整要求メッセージを送信する。
［更新要求メッセージ処理（AS7）］
ここでは、「AS5=隣接AS」かつ「最低対処量 ≦ 要求量」かつ「自AS=最上流」を想定して説明する。

ステップＳ８３８において、AS7の連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新し、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。

ステップＳ８３９において、AS7の連携対処装置１００は、連携先情報テーブルを参照し、親（AS5）が隣接ASでないため、輻輳検査部１１９を介して輻輳検査処理を実行する。輻輳検査の実現方法は任意だが、例えば、AS7の連携対処装置１００の輻輳検査部１１９からAS5の連携対処装置１００の輻輳検査部１１９に、検査パケットを送信する。検査パケットを受信したAS5連携対処装置１００の輻輳検査部１１９は、応答パケットを返す。AS7において、送信したパケットへの応答が一定期間内に返ってこない（パケットドロップ）場合や、平常時よりも応答が返ってくるまでの時間が長い場合は、AS7とAS5間の経路上でリンク輻輳が発生していると判定する。また、検査パケットに送信時間を付与し、受信側に到達した時間と比べて、平常時よりもパケット転送に時間がかかっているかを判定することで、輻輳の有無を判定する方法も考えられる。

以降、AS7とAS5の間で通信する際の経路上のリンクで輻輳が発生と想定して説明する。

ステップＳ８４０において、AS7の連携対処装置１００は、輻輳しているため、自身の対処量を増加させて対処を実施する。なお、増加させる量は、例えば以下の式で算出することが想定される。

1度の増加量＝元の対処量×γ（0<γ<1）
上記の増加量ずつ加算していき、自ASを流れる標的宛通信量を超える場合は、通信量を上限にする等が考えられる。なお、γの設定方法は任意だが、事前に運用者等によって設定される等が想定される。また、上記方法は割合で加算していく方法だが、他にも事前に設定した量（例えば1Gbpsずつ）を加算していく等の方法も想定され、1度に増加させる量の決定方法は任意である。

ステップＳ８４１において、AS7の連携対処装置１００は、輻輳検査部１１９による輻輳の再検査を実施する。

以降、輻輳が解消した想定で説明する。

ステップＳ８４２において、AS7の連携対処装置１００は、攻撃情報テーブルの自ASの対処中の通信量を増加後の値に更新し、最低対処量を増加後の値に設定する。また、AS7の連携対処装置１００は、自ASのmitigation装置情報テーブルの利用可能リソース量を増加分だけ減算する。

ステップＳ８４３において、AS7の連携対処装置１００は、AS5の連携対処装置１００に、標的AS番号（AS1）、自AS番号（AS7）、AS7の増加前の標的AS宛通信量、AS7の増加後の標的AS宛通信量を含む輻輳対処メッセージを送信する。
［輻輳対処メッセージ処理（AS5）］
ステップＳ８４４において、AS5の連携対処装置１００は、AS7から受信した子（AS7）の対処量の「増加後の値-増加前の値」分、攻撃情報テーブルの自身の対処量と自身へ流入する標的宛通信量を減算し、mitigation装置情報テーブルの利用可能リソース量を加算する。また、AS5の連携対処装置１００は、攻撃情報テーブルのAS7の対処量と最低対処量を受信した値に更新する。
［調整要求メッセージ処理（AS1）］
ステップＳ８４５において、AS1の連携対処装置１００は、AS5から受信した情報を攻撃情報テーブル、連携先AS情報テーブルに格納する。

ステップＳ８４６において、AS1の連携対処装置１００は、対処要求の送信先全てから対処応答を受信済みかつ全ての子から調整要求を受信済みのため、自AS内を流れる標的IPアドレスリストに含まれるIPアドレス宛通信量の合計値、mitigation装置５０の利用可能リソース量、現在対処中の標的宛通信量を各テーブルから取得する。各テーブルの情報が最新でない場合は、AS1の連携対処装置１００は、トラヒック情報収集・DDoS攻撃検知装置２００経由で情報を取得し、攻撃情報テーブル、mitigation装置情報テーブルの値を更新する。

ステップＳ８４７において、AS1の連携対処装置１００は、前記最適化問題を解くことで、自身と子（AS2、AS5）のmitigation装置５０のリソース使用率が平準化するような対処量の値の組み合わせを算出する。

ステップＳ８４８において、AS1の連携対処装置１００は、前記パラメータ調整の結果得られた、「その標的AS宛通信に対して各ASで対処する通信量を用いて、mitigation装置情報テーブルの利用可能リソース量の値（自ASで対処する通信量分減算）、攻撃情報テーブルの自ASに関する情報の標的AS単位の攻撃通信量の合計値（他ASで対処する通信量分減算）と自ASと他ASの情報内の対処中の通信量の値（それぞれのASで対処する通信量の値を設定）を更新する。

ステップＳ８４９において、AS1の連携対処装置１００は、子（AS2とAS5）の連携対処装置１００に対して、標的AS番号（AS1）、自身のAS番号（AS1）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られたx_AS）、標的AS宛通信に対する対処量の差分値（x_AS-X_AS）、Flag=fromParentが含まれる更新要求メッセージを送信する。
［更新要求メッセージ処理（AS2）］
ステップＳ８５０において、AS2の連携対処装置１００は、受信した情報に基づき、当該攻撃に対する自ASの情報を更新し、最新の情報での対処を実施する。
［更新要求メッセージ処理（AS5）］
ここでは、「AS1=隣接AS」かつ「最低対処量 ≦ 要求量」かつ「自AS=最上流」を想定して説明する。

ステップＳ８５１において、AS5の連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新する。また、AS5の連携対処装置１００は、更新された情報を用いて最適化問題を解くことで、AS5とAS7で対処する標的AS宛通信量を再計算する。

ステップＳ８５２において、AS5の連携対処装置１００は、計算結果に基づき、テーブルの情報を更新後、ネットワーク制御装置３００を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。

ステップＳ８５３において、AS5の連携対処装置１００は、連携先情報テーブルを参照し、親（AS1）が隣接ASでないため、輻輳検査部１１９を介して輻輳検査処理を実行する。

以降、AS5とAS1の間で通信する際の経路上のリンクで輻輳なしと想定して説明する。

ステップＳ８５４において、AS5の連携対処装置１００は、子（AS7）の連携対処装置１００に、標的AS番号（AS1）、自身のAS番号（AS5）、メッセージの宛先ASで対処する標的AS宛通信量（調整の結果得られたx_AS）、標的AS宛通信に対する対処量の差分値（x_AS-X_AS）、Flag=fromParentが含まれる更新要求メッセージを送信する。

ステップＳ８５５において、AS5の連携対処装置１００は、自身の最低対処量を再計算後、親（AS1）の連携対処装置１００に、標的AS番号（AS1）、自AS番号（AS5）、標的AS単位の攻撃通信量の合計値、mitigation装置５０の利用可能リソース量、対処中の標的AS宛通信量、最低対処量、Flag=fromChildを含む更新要求メッセージを送信する。
［更新要求メッセージ処理（AS7）］
ステップＳ８５６において、AS7の連携対処装置１００は、受信メッセージに含まれる標的AS宛通信に対する対処量の差分値を用いて、mitigation装置情報テーブルの利用可能リソース量（差分値分減算）、攻撃情報テーブルの自ASで対処中の標的AS宛通信量（差分値分加算）を更新し、ネットワーク制御装置を介して、標的IPアドレス宛通信を要求分mitigation装置５０に引き込んで対処する。

ステップＳ８５７において、AS7の連携対処装置１００は、連携先情報テーブルを参照し、親（AS5）が隣接ASでないため、輻輳検査部１１９を介して輻輳検査処理を実行する。ここでは、輻輳なしとして説明する。
［更新要求メッセージ処理（AS1）］
ステップＳ８５８において、AS1の連携対処装置１００は、受信した情報に基づき、当該攻撃に対する自ASの情報を更新後、最適化問題を解くことで、自身と子（AS2、AS5）で対処する標的AS宛通信量を再計算する。

ステップＳ８５９において、AS1の連携対処装置１００は、計算結果に基づき、各テーブルの情報を更新後、最新の情報での対処を実施する。

ステップＳ８６０において、AS1の連携対処装置１００は、自身の子（AS2とAS5）の連携対処装置１００に、標的AS番号（AS1）、自AS番号（AS1）、子で対処する標的AS宛通信量、標的AS宛通信に対する対処量の差分値、Flag=fromParentを含む更新要求メッセージを送信する。

以降、後述の収束条件を満たすまで、各ASにおいてメッセージの受信に伴う処理と他ASへのメッセージ送信を繰り返し行うことで、インターネット全体として、AS間リンク輻輳を防ぎつつ、各ASのmitigation装置５０のリソース使用率が平準化するように、標的AS宛攻撃に分担して対処することができる。

無限にパラメータ調整が実施されるのを防ぐための収束条件としては、例えば、各ASにおいて、ある標的宛通信に対する調整実施時の入力値で計算したFの値とGの値の差（preF - preG）と調整の結果得られたFの値とGの値の差（F - G）を比較して、事前設定した閾値以上改善していない場合は、そのパラメータ調整を実施せずにそのメッセージ処理を終了することが想定される。なお、収束条件については任意であり、この方法に限定されない。

なお、2地点間で通信を行う際の経路上に存在するボトルネックとなるリンクの利用可能帯域を推定する技術が存在しており（例えば、非特許文献４）、検査パケットが通過したリンクの帯域しか推定できない制限はあるが、本実施例のステップＳ８３０やＳ８３７の前に、最低対処量を見積もることで、リンク輻輳を解消するための性能を向上させられる可能性があるため、本実施例は、これらの技術と組み合わせて利用しても良い。

上述した実施例によると、DDoS攻撃情報の共有と各攻撃に対して各ASの防御機能のリソースをどれだけ割り当てるかを調整する役割を担う連携対処装置１００に加えて、連携するAS間が直接接続していない場合に、そのAS間で通信する際に経由するリンクの輻輳状態を検査する機能を持つ輻輳検査部１１９を導入する。なお、各ASの連携対処装置１００は、近隣の連携先ASの連携対処機能とのみ通信を行う分散型のアーキテクチャ上で動作する。

具体的には、以下の手順により、インターネット全体でDDoS攻撃に連携して対処する場合で、かつ一部のASしか本機能を保有しない場合でも、AS間リンク帯域の輻輳の回避と各ASの防御装置のリソース使用率の平準化を同時に実現する。

すなわち、標的ASから連携対処を開始して、まず、攻撃元に近いASのmitigation装置５０リソースを優先的に利用して対処するように設定する（攻撃による消費帯域が最小になるように対処）。

次に、リソース使用率を平準化するために、最上流ASから負荷分散の調整を実施する。この時、自身の親ASが隣接AS（自身と直接接続関係にあるAS）の場合は、自身と親ASとの間のリンク帯域情報から、輻輳を回避するために自ASで最低限対処しなければならない量（最低対処量）を算出して、調整要求メッセージに含めて親ASに送信し、親ASで実施される、AS間のmitigation装置負荷分散のための最適化問題の制約条件として使用する。

他方、自身の親ASが隣接ASでない場合は、上記と同様の処理を実施後、親ASからの更新要求メッセージに含まれる自ASの対処量に従って対処を適用後に、自ASと親AS間で輻輳検査部を介して検査パケットを送信し、パケットドロップの発生の有無や応答が返ってくるまでの遅延の増大等に基づき、自身と親AS間で通信をする際に経由するリンク上で輻輳が発生しているか調べる。輻輳が発生している場合は、上流の対処量を増加させて再検査を繰り返し、輻輳が解消された時点の対処量を最低対処量に設定し直して、輻輳解消前の対処量、輻輳解消後の対処量、最低対処量を含む輻輳対処メッセージを親ASに送信し、親ASにおいて、親ASの対処量を差分だけ減少させる補正を行う。

前記の局所的な調整をネットワーク全体で繰り返し実施することで、最終的に、インターネット全体でAS間リンク輻輳を回避しつつ、mitigation装置５０の負荷分散を統一的に実現する。

本発明により、インターネット全体で防御装置のリソースを共用してDDoS攻撃に連携対処する場合に、一部のASしか本発明技術を保有しない場合でも、AS間リンク帯域の輻輳を回避することで、他の通信サービスへの影響を抑えつつ、各ASの防御装置のリソース使用率を平準化することで、インターネット全体としてより多くのDDoS攻撃に対処可能となる。

以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ ネットワーク
５０ mitigation装置
１００ 連携対処装置
１１０ 処理部
１３０ 記憶部
１４０ 通信部
２００ トラヒック情報収集・DDoS攻撃検知装置
３００ ネットワーク制御装置
４００ パケット転送装置

Claims (7)

1. ネットワーク接続された複数の自律システム（AS）を有する通信システムであって、
   前記ASは、標的ASにおいて検出されたDDoS攻撃に他のASと連携対処する連携対処装置を有し、
   前記連携対処装置は、連携するAS間の通信が経由するリンクの輻輳状態を検査する輻輳検査部を有し、
   連携する上流ASと下流ASが直接接続されていない場合、前記上流ASの輻輳検査部は、前記連携する上流ASと下流ASの間の通信が経由するリンクの輻輳状態を検査し、
   前記リンクに輻輳が発生している場合、前記上流ASの連携対処装置は、前記輻輳が解消されるまで前記上流ASにおける対処量を増加し続け、前記下流ASの連携対処装置は、前記輻輳が解消した際の対処量に基づき前記下流ASにおける対処量を調整する通信システム。
2. 前記標的ASにおいてDDoS攻撃が検出されると、前記標的ASの連携対処装置は、標的IPアドレスを含む対処要求メッセージを上流AS方向に伝搬し、
   前記標的ASに近いASの連携対処装置は、前記ASの防御機能の残存リソースを前記DDoS攻撃に優先的に割当てるよう前記対処量を設定する、請求項１記載の通信システム。
3. 前記対処要求メッセージが最上流ASに到達した後、前記最上流ASの連携対処装置は、各ASの防御機能のリソース使用率を平準化させるための調整要求メッセージを下流AS方向に伝搬し、
   前記調整要求メッセージを受信した下流ASの連携対処装置は、連携先の上流ASとの間で防御機能のリソース使用率を平準化するための所定の最適化問題を解くことによって、前記下流ASと前記連携先の上流ASにおける対処量を調整する、請求項２記載の通信システム。
4. 前記連携先の上流ASの連携対処装置は、当該上流ASと前記下流ASとの間のリンクの利用可能帯域量と当該上流ASに流入する前記標的AS宛の通信量とに基づき、当該上流ASと前記下流ASとの間のリンクの輻輳を回避するよう当該上流ASで最低対処量を算出する、請求項３記載の通信システム。
5. 前記下流ASの連携対処装置は、前記上流ASによって算出された最低対処量を前記所定の最適化問題の制約条件として使用する、請求項４記載の通信システム。
6. 前記上流ASの連携対処装置は、前記輻輳が解消された時点の対処量を最低対処量に再設定し、前記再設定された最低対処量を含む輻輳対処メッセージを下流ASに送信し、前記再設定された最低対処量に基づき前記下流ASの対処量を補正させる、請求項４又は５記載の通信システム。
7. ネットワーク接続された複数の自律システム（AS）を有する通信システムによって実行されるDDoS攻撃連携対処方法であって、
   DDoS攻撃を検出した標的ASが、当該標的ASのDDoS連携対処装置から対処要求メッセージを上流AS方向に伝搬するステップと、
   前記対処要求メッセージを受信したASが、前記ASの防御機能のリソースを前記DDoS攻撃に優先的に割当てるよう対処量を設定するステップと、
   前記対処要求メッセージが最上流ASに到達した後、前記最上流ASは、各ASの防御機能のリソース使用率を平準化させるための調整要求メッセージを下流AS方向に伝搬するステップと、
   前記調整要求メッセージを受信した下流ASは、連携先の上流ASとの間で防御機能のリソース使用率を平準化するための所定の最適化問題を解くことによって、前記下流ASにおける対処量を調整するステップと、
   を有し、
   当該方法は更に、
   連携する上流ASと下流ASが直接接続されていない場合、前記連携する上流ASと下流ASの間の通信が経由するリンクの輻輳状態を検査するステップと、
   前記リンクに輻輳が発生している場合、前記上流ASは、前記輻輳が解消されるまで前記上流ASにおける対処量を増加し続け、前記下流ASは、前記輻輳が解消した際の対処量に基づき前記下流ASにおける対処量を調整するステップと、
   を有する方法。

Images