JP6740189B2 - 通信制御装置、通信制御方法、及びプログラム - Google Patents

Description

本発明は、ＤＤｏＳ（Distributed Denial of Service attack）攻撃等のサイバー攻撃に対して帯域制御により対処を行う技術に関連するものである。

近年、サイバー攻撃による被害は増加しており、攻撃手法も高度化・多様化してきている。サイバー攻撃の中には、攻撃対象サーバを高負荷状態にすることでサービスを停止させるＤｏＳ攻撃がある。特に、複数の攻撃者が同時多発的に攻撃対象サーバを攻撃するＤＤｏＳでは攻撃対象サーバに対してＴｂｐｓ以上の高いボリュームでの攻撃（帯域圧迫型ＤＤｏＳ攻撃）が可能であり、攻撃対象サーバのみならず、ネットワーク全体に影響を与えてしまう。

帯域圧迫型ＤＤｏＳ攻撃は、ボットネットと呼ばれる第三者の端末等を踏み台にして攻撃を分散させているため、一人一人の攻撃者の特定が困難である。また、正常ユーザトラヒックと攻撃トラヒックを正確に判別することも困難であり攻撃対象サーバ宛のパケットを遮断してしまうと正常ユーザがサービス利用不可状態に陥ってしまう。そこで、帯域制御により攻撃を抑制することで、攻撃が収まるまで攻撃を抑制し、かつ攻撃対象サーバの可用性を維持させる方法がある。

帯域制御による対処方法として、キャリアネットワークの複数のゲートウェイ（中継装置）に対して、各ゲートウェイを通過する攻撃対象サーバ宛の総トラヒック量に比例するように、それぞれ異なる帯域制限値を各ゲートウェイに設定することで、全利用ユーザのネットワーク品質の公平性を維持させる帯域制御方式（特許文献１）が提案されている。

特開２０１７−９８６０５号公報

従来方式による帯域制御方式（特許文献１）では各ゲートウェイを通過する攻撃対象サーバ宛トラヒック量に比例した割合で各ゲートウェイに対してそれぞれ異なる帯域制御を実施するため、ある特定のゲートウェイを通過する攻撃対象サーバ宛トラヒックが非常に大きい場合、従来方式による帯域制御方式によって算出された帯域制限値を用いて各ゲートウェイに対して帯域制御を行った結果、攻撃対象サーバ宛のトラヒック量が非常に少ないゲートウェイを通過するユーザの帯域が非常に少なくなってしまい、サービスによってはサービス断になる可能性がある。

図１は、上記の状況の例を示している。図１は、複数の攻撃元装置１０が、ゲートウェイ２Ａ、２Ｂ、２Ｃを介して攻撃対象サーバ３に攻撃を行っている状況を示している。また、正常ユーザ端末２０、３０、４０が示されている。図１に示す例では、攻撃対象サーバ３宛のトラヒック量が非常に少ないゲートウェイ２Ａの通過帯域が非常に小さく制限されているため、ゲートウェイ２Ａを通過する正常ユーザ端末２０の帯域が非常に少なくなっている。

本発明は上記の点に鑑みてなされたものであり、サイバー攻撃に対して、複数の中継装置における帯域制御により対処を行う技術において、複数の中継装置間で攻撃トラフィック量に大きな差がある場合でも、攻撃対象を利用するユーザのネットワーク品質の公平性を維持することを可能とする技術を提供することを目的とする。

開示の技術によれば、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置であって、
前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレスを取得する取得手段と、
前記各中継装置に対して、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレス全体に対する帯域制限値を設定する設定手段と
を備えることを特徴とする通信制御装置が提供される。

開示の技術によれば、サイバー攻撃に対して、複数の中継装置における帯域制御により対処を行う技術において、複数の中継装置間で攻撃トラフィック量に大きな差がある場合でも、攻撃対象を利用するユーザのネットワーク品質の公平性を維持することが可能となる。

課題を説明するための図である。 本発明の実施の形態の概要を説明するための図である。 本発明の実施の形態の概要を説明するための図である。 本発明の実施の形態におけるシステム構成図である。 本発明の実施の形態における処理の流れを示す図である。 装置のハードウェア構成例を示す図である。 システムの動作を説明するためのシーケンス図である。 システムの動作を説明するためのシーケンス図である。 システムの動作を説明するためのシーケンス図である。 各種情報テーブルを示す図である。

本実施の形態では、攻撃対象サーバにて、攻撃対象サーバを利用しているユーザの１ＩＰアドレス当たりの上限値を予め規定し、上限値を超えるトラヒックのユーザを「攻撃を行っている可能性のあるユーザ」、上限値を下回るトラヒックのユーザを「正常ユーザ」と判別し、「攻撃を行っている可能性のあるユーザ」のトラヒックのみについて、各ゲートウェイにて、攻撃対象サーバを利用しているユーザの１ＩＰアドレス当たりの上限値まで帯域制御を行うことにより、従来方式の課題を解決している。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。例えば、本実施の形態では、攻撃対象をサーバとしているが、攻撃対象はサーバに限らず、スイッチ、ルータ等の通信装置である場合もある。攻撃対象をターゲットと称してもよい。また、本実施の形態では、キャリアネットワークのような多数の外部ネットワークとのゲートウェイを持つネットワークにおいて、当該ゲートウェイで帯域制御を行うことを想定しているが、これは例であり、攻撃パケットを中継する任意の中継装置で本発明に係る帯域制御技術を適用することが可能である。

（実施の形態の概要）
図２を参照して、本実施の形態の概要を説明する。図２には、攻撃対象サーバ３００、ゲートウェイ２００Ａ、２００Ｂ、２００Ｃ、複数の攻撃元装置１０、及び正常ユーザ端末２０、３０、４０が示されている。

本実施の形態ではまず、管理対象とするネットワーク内に存在する攻撃対象サーバ３００を利用しているユーザの１ＩＰアドレス当たりの上限値βを規定しておく（Ｓ（ステップ）１）。

ＤＤｏＳ攻撃による輻輳発生時、ゲートウェイ２００Ａ、２００Ｂ、２００Ｃのそれぞれにおいて、トラヒック（帯域）が上限値βを上回るユーザのＩＰアドレスを特定する（Ｓ２）。ここでは、上限値βを上回るトラヒックのユーザは帯域圧迫型ＤＤｏＳ攻撃を行っている可能性のあるユーザ（黒又はグレーなユーザ）として区別され、上限値βを下回るトラヒックのユーザは正常ユーザ（厳密には白又はグレーなユーザ）として区別され、黒又はグレーなユーザのＩＰアドレスを特定する。そして、トラヒックが上限値βを上回るユーザ（黒又はグレーなユーザ）の帯域のみについて、各ゲートウェイにて一律上限値βに制御する（Ｓ３）。

上記の提案方式による帯域制御後も輻輳が抑制されない場合は、更に続けて、従来方式（特許文献１）による帯域制御により、各ゲートウェイを通過する攻撃対象サーバ３００宛の総トラヒック量に比例するように、それぞれ異なる帯域制限値を各ゲートウェイに設定することで、全利用ユーザのネットワーク品質の公平性を維持させながら、攻撃対象サーバ３００宛ての通信全体の帯域制御を行う。

本実施の形態における技術の特徴としては、従来方式による帯域制御を実施する前に、上限値βによる帯域制御を実施することで、非常に大きい攻撃対象サーバ３００宛トラフィックがゲートウェイ２００を通過することを防ぐ。その後、従来方式による帯域制御を実施することで、攻撃対象サーバ３００宛トラヒック量が非常に少ないゲートウェイを通過するユーザの帯域が非常に少なくなってしまい、サービスによってはサービス断になる可能性があるという従来方式の課題が解決される。すなわち、複数のゲートウェイ２００間で攻撃トラフィック量に大きな差がある場合でも、攻撃対象サーバ３００を利用するユーザのネットワーク品質の公平性が維持される。

（実施の形態の詳細）
図３は、本実施の形態におけるシステム構成と、処理の流れを説明するための図である。図３に示すとおり、本実施の形態では、ＮＷコントローラ１００が、攻撃対象サーバ３００及び各ゲートウェイ２００と通信を行うことにより、各ゲートウェイ２００における帯域制御が実行される。ＮＷコントローラ１００をＱｏＳ制御装置１００と称してもよい。

図３に示すシステムにおいて、予め、攻撃対象サーバ３００を利用しているユーザの１ＩＰアドレス当たりのトラヒックの上限値βを規定しておく（Ｓ１１）。攻撃対象サーバ３００にて輻輳を検知すると、ＮＷコントローラ１００へ輻輳の発生を通知する（Ｓ１２）。

続いて、輻輳の発生を通知されたＮＷコントローラ１００にて、攻撃対象サーバ３００の上限値βを上回るトラヒック量の黒又はグレーなユーザのＩＰアドレスとユーザ数を各ゲートウェイ２００より収集する（Ｓ１３）。なお、ＩＰアドレスのみゲートウェイ２００から収集し、ユーザ数についいては、ＮＷコントローラ１００にてＩＰアドレス数から求めてもよい。

ＮＷコントローラ１００は、Ｓ１３にて収集したユーザ数とＮＷコントローラ１００にて元々把握している攻撃対象サーバ３００の上限値βをもとに、各ゲートウェイ２００にて設定する帯域制限値を計算する（Ｓ１４）。帯域制限値は各ゲートウェイに対して以下の計算式で算出される。

対象ゲートウェイの帯域制限値（Ｌ＿ｉ）＝対象ゲートウェイでの黒又はグレーなユーザ数（Ｙ＿ｉ）×β（ｉ＝１，２，３・・・）
次に、ＮＷコントローラ１００は、Ｓ１４にて算出した帯域制限値を各ゲートウェイ２００へ設定する（Ｓ１５）。各ゲートウェイでは、黒又はグレーなユーザのＳｒｃＩＰアドレス全体に対して、帯域制限値Ｌ＿ｉが設定され、帯域制限が実行される。

（装置構成、動作概要）
図４は、本実施の形態におけるシステムの各装置の機能構成を示した図である。攻撃対象サーバ３００は、１つ又は複数のゲートウェイ２００を介して外部ネットワーク４００に接続される。ＱｏＳ制御装置１００は、各ゲートウェイ２００及び攻撃対象サーバ３００と通信可能である。

図５のフローチャートを参照して、動作概要を説明する。各ゲートウェイ２００がトラフィックモニタリングを行う（Ｓ１０２）。攻撃対象サーバ３００宛ての合計トラヒックが、攻撃判定閾値を超えているか（攻撃のよる輻輳を検知したかどうか）判断し（Ｓ１０２）、超えていなければ帯域制御を行わない（Ｓ１０３）。

攻撃判定閾値を超えている場合、ＱｏＳ制御装置１００は提案方式による帯域制御を実行する（Ｓ１０５）。その後、輻輳が収まったかどうかが判断され（Ｓ１０５）、輻輳が収まれば処理を終了し、輻輳が収まらない場合には、従来方式により帯域制御を実行する（Ｓ１０６）。

以下、図４に示される各装置の各機能部について説明する。

＜ＱｏＳ制御装置１００＞
図４に示すとおり、ＱｏＳ制御装置１００は、送受信部１１０、モニタリング情報収集部１２０、モニタリング情報テーブル１３０、閾値情報テーブル１４０、従来方式による帯域制御を実現する機能部であるＱｏＳ計算部１５０、提案方式による帯域制御を実現する機能部であるＱｏＳ計算部１６０、ユーザ情報テーブル１７０、及び上限値テーブル１８０を有する。

送受信部１１０は、ゲートウェイ２００及び攻撃対象サーバ３００との情報の送受信機能を有している。また、これらからの情報を理解し、またスイッチへの設定を行うために、情報をそれらの装置に合う形に変換する機能（データ翻訳・変換機能）も有している。

モニタリング情報収集部１２０は、各ゲートウェイ２００のモニタリング部２２０により収集した情報を集め、集約し、モニタリング情報テーブル１３０等に書き込む機能を有している。

モニタリング情報テーブル１３０は、モニタリング情報収集部１２０により集められた各ゲートウェイ２００のモニタリング情報を有している。モニタリング情報テーブル１３０には、図１０（ａ）に示す通り、攻撃対象サーバ３００と各ゲートウェイ２００それぞれの使用帯域の情報が、各攻撃対象サーバ３００のＩＰアドレス（ＤｓｔＩＰアドレス）、各ゲートウェイ２００の識別子（ゲートウェイＩＤ）、使用帯域の組み合わせで保存される。

閾値情報テーブル１４０は、攻撃対象サーバ３００ごとの使用帯域の閾値である攻撃判定閾値を有している。図１０（ｂ）に示す通り、各攻撃対象サーバ３００のＩＰアドレス（ＤｓｔＩＰアドレス）と、合計帯域制限値の組み合わせで保存される。

ＱｏＳ計算部１５０は、提案方式による帯域制御実施後も輻輳が解消されない場合に、モニタリング情報テーブル１３０と閾値情報テーブル１４０の情報に基づいて、各ゲートウェイ２００を通過する攻撃対象サーバ３００宛トラヒックに比例した割合で各ゲートウェイ２００に対してそれぞれ異なる帯域制限値を算出する機能を有する。

ＱｏＳ計算部１６０は、攻撃対象サーバ３００からの輻輳発生通知を契機に、ユーザ情報テーブル１７０と上限値テーブル１８０から、各ゲートウェイ２００における上限値βを上回るトラヒック量のユーザ数と、上限値βの情報を基に各ゲートウェイ２００へ設定する帯域制限値を算出する機能を有する。

ユーザ情報テーブル１７０は、モニタリング情報収集部１２０により集められた、各ゲートウェイ２００ごとの、上限値βを超える全ユーザのＳｒｃＩＰアドレスと、そのＳｒｃＩＰアドレス数をユーザ数として保存している。図１０（ｃ）に示す通り、各ゲートウェイの識別子（ゲートウェイＩＤ）、ＳｒｃＩＰアドレス、ＳｒｃＩＰアドレス数（ユーザ数）の組み合わせで保存される。

上限値テーブル１８０は、攻撃対象サーバ３００ごとに事前に規定された上限値βを有している。図１０（ｄ）に示す通り、各攻撃対象サーバ３００のＩＰアドレス（ＤｓｔＩＰアドレス）と上限値の組み合わせで保存される。

＜ゲートウェイ２００＞
図４に示すとおり、ゲートウェイ２００は、送受信部２３０、ＱｏＳ設定部２１０、モニタリング部２２０、ユーザ情報収集部２４０を有する。ここで、ゲートウェイ２００は、複数存在するものとする。

送受信部２３０は、モニタリング部２２０により得た情報のＱｏＳ制御装置１００への送信、及び、ＱｏＳ制御装置１００からの帯域制限設定要求の受信の機能を有する。ＱｏＳ制御装置１００の送受信部１１０と異なり、データ翻訳・変換機能を持つ必要はない。

ＱｏＳ設定部２１０は、ＱｏＳ制御装置１００から受信した帯域制限設定要求に基づき、特定のＳｒｃＩＰアドレスをもつパケット複数に対して合計帯域を制限する機能、及び特定の宛先ＩＰアドレスをもつパケットに対して合計帯域を制限する機能を有する。

モニタリング部２２０は、特定の宛先ＩＰアドレスを持つパケットの一定時間での帯域使用量をモニタリングする機能と、モニタリングした情報をモニタリング情報テーブル１３０へ保存する機能を有する。

ユーザ情報収集部２４０は、上限値βを上回る全ユーザのＳｒｃＩＰアドレスを抽出する機能とそのＳｒｃＩＰアドレス数（ユーザ数）をカウントする機能を有する。また、それらの情報をユーザ情報テーブル１７０へ保存する機能も有する。なお、ＳｒｃＩＰアドレス数（ユーザ数）のカウントは、ＱｏＳ制御装置１００が行うこととしてもよい。

＜攻撃対象サーバ３００＞
図４に示すとおり、攻撃対象サーバ３００は、送受信部３２０、攻撃検知部３１０、攻撃抑制検知部３３０を有する。ここで、攻撃対象サーバ３００は、不特定のユーザに対して外部ネットワーク４００を経由してＷｅｂ上等でサービスを提供するサーバを想定している。本実施の形態では、攻撃対象となるサーバが１台と想定して１台のみ記載しているが、攻撃対象となり得るサーバはゲートウェイ２００以下のネットワークには複数存在する。また、本実施の形態では、ＤＤｏＳ攻撃は外部ネットワーク４００から攻撃対象サーバ３００に向かって行われるものとする。

送受信部３２０は、攻撃検知部３１０により得た情報のＱｏＳ制御装置１００への送信を行う機能を有する。ＱｏＳ制御装置１００の送受信部１１０と異なり、データ翻訳・変換機能を持つ必要はない。

攻撃検知部３１０は、攻撃対象サーバ３００の負荷状況等を見て、ＤＤｏＳ攻撃を検知する機能を有する。

攻撃抑制検知部３３０は、攻撃対象サーバ３００の負荷状況等を見て、ＤＤｏＳ攻撃が抑制されたことを検知する機能を有する。

（装置のハードウェア構成）
上述した各装置（ＱｏＳ制御装置１００、ゲートウェイ２００、攻撃対象サーバ３００）はいずれも、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、当該装置が有する機能は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

図６は、本実施の形態における上記装置のハードウェア構成例を示す図である。図６の装置は、それぞれバスＢで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、及び入力装置１００７等を有する。

当該装置での処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って当該装置に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。

（システムの動作例）
以下、図７〜図９のシーケンス図を参照して本実施の形態におけるシステムの動作例を説明する。以下では、攻撃対象サーバ３００での攻撃検知をトリガとして、ＱｏＳ制御装置１００が帯域制限値を計算し、各ゲートウェイ２００にＱｏＳ設定を行う場合の手順を説明する。なお、攻撃対象サーバ３００での攻撃検知をトリガとすることは例であり、攻撃対象サーバ３００での攻撃検知以外の事象をトリガとしてもよい。

以下の説明において、各装置間の情報のやり取りは、全て各装置の送受信部を通して行われるが、以下の説明及び図７〜図９では割愛している。なお、図７、図８は提案方式による帯域制御実施で輻輳解消する場合のシーケンス図であり、図９は提案方式による帯域制御実施では輻輳解消しない場合のシーケンス図である。

以下で説明する手順の前提として、閾値情報テーブル１４０に、攻撃対象サーバ３００の合計帯域制限値αが設定され、上限値テーブル１８０には、攻撃対象サーバ３００を利用しているユーザの１ＩＰアドレス当たりの上限値βが設定されているものとする。

まず、図７を参照して説明する。

Ｓ２０１）モニタリング情報収集部１１０は、定期的に各ゲートウェイ２００に対して、攻撃対象サーバ３００（宛先ＩＰアドレス）のパケットのモニタリング情報の送信を要求する。

Ｓ２０２）モニタリング情報送信要求を受けた各ゲートウェイ２００のモニタリング部２２０は、モニタリングを一定時間行い、攻撃対象サーバ３００とその宛先へのパケットの使用帯域が含まれたモニタリング情報をモニタリング情報収集部１２０に送信する。

Ｓ２０３、Ｓ２０４）各ゲートウェイ２００からモニタリング情報を受信したモニタリング情報収集部１２０は、その情報を適宜モニタリング情報テーブル１３０に書き込み、テーブル１３０を更新する。

Ｓ２０５、Ｓ２０６）攻撃対象サーバ３００の攻撃検知部３１０が、攻撃を検知したら、ＱｏＳ計算部１６０に対し、ＤＤｏＳ攻撃による輻輳が発生していることを通知する。

Ｓ２０７、Ｓ２０８）ＤＤｏＳ攻撃による輻輳が発生していることを通知されたＱｏＳ計算部１６０は、上限値テーブル１８０にアクセスし、攻撃対象サーバ３００の上限値βを受け取る。

Ｓ２０９）更に、ＱｏＳ計算部１６０はユーザ情報収集部２４０に対するユーザ情報要求により、攻撃対象サーバ３００へのトラフィック（帯域）が上限値βを上回るユーザのＳｒｃＩＰアドレスやそのユーザ数（ＳｒｃＩＰアドレス数）といったユーザ情報の取得を要求する。

Ｓ２１０、Ｓ２１１）ユーザ情報要求を受け取ったユーザ情報収集部２４０は、上限値βを上回る全ユーザのＳｒｃＩＰアドレスを抽出し、更にそのユーザ数（ＳｒｃＩＰアドレス数）をカウントする。更に、ユーザ情報収集部２４０は、抽出したＳｒｃＩＰアドレスとユーザ数（ＳｒｃＩＰアドレス数）をユーザ情報テーブル１７０へ送信し、ユーザ情報テーブル１７０を更新する。

Ｓ２１２、Ｓ２１３）ユーザ情報テーブル１７０を更新後、ＱｏＳ計算部１６０はユーザ情報テーブル１７０から上限値βを上回るユーザのＳｒｃＩＰアドレスとユーザ数（ＳｒｃＩＰアドレス数）をユーザ情報として受け取り、各ゲートウェイ２００に設定する帯域制限値を計算する（上限値βを下回るユーザに対しては帯域制御は実施しない）。各ゲートウェイ２００に設定する帯域制限値は以下の計算式で算出される。ここで、ｉ＝１，２，３・・・はゲートウェイＩＤである。

対象ゲートウェイでの帯域制限値（Ｌ＿ｉ）＝ユーザ数（Ｙ＿ｉ）×β （ｉ＝１，２，３・・・）
Ｓ２１４）ＱｏＳ計算部１６０はＳ２１３で算出した帯域制限値Ｌ＿ｉを各ゲートウェイ２００のＱｏＳ設定部２１０に対して設定するための設定要求を送信する。

Ｓ２１５）ＱｏＳ計算部１６０から帯域制限設定要求を受けた各ゲートウェイ２００のＱｏＳ設定部２１０は、攻撃対象サーバ３００へのトラヒックが上限値βを上回るユーザのＳｒｃＩＰアドレス全体に対して、Ｓ２１３で算出した帯域制限値Ｌ＿ｉを設定し、ＱｏＳ計算部１６０へ設定完了を通知する。

次に、図８を参照する。

Ｓ２１６）各ゲートウェイ２００のＱｏＳ設定部２１０から設定完了通知を受けたＱｏＳ計算部１６０は、モニタリング情報収集部１２０に対し、モニタリング情報の更新を要求する。

Ｓ２１７）モニタリング情報収集部１２０は、各ゲートウェイ２００に対して、攻撃対象サーバ３００（宛先ＩＰアドレス）のパケットのモニタリング情報の送信を要求する。

Ｓ２１８）モニタリング情報送信要求を受けた各ゲートウェイ２００のモニタリング部２２０は、モニタリングを一定時間行い、攻撃対象サーバ３００とその宛先へのパケットの使用帯域が含まれたモニタリング情報をモニタリング情報収集部１２０に送信する。

Ｓ２１９、Ｓ２２０）各ゲートウェイ２００からモニタリング情報を受信したモニタリング情報収集部１２０は、その情報を適宜モニタリング情報テーブル１３０に書き込み、テーブル１３０を更新する。

Ｓ２２１、Ｓ２２２）Ｓ２１４での帯域制限値Ｌ＿ｉ設定後、攻撃抑制検知部３３０にてＤＤｏＳ攻撃の抑制を検知した場合は、ＱｏＳ計算部１５０へＤＤｏＳ攻撃抑制完了通知を送信し、処理を終了する。

次に、図９を参照して説明する。

Ｓ３０１、Ｓ３０２）Ｓ２１４での帯域制限値Ｌ＿ｉ設定後、攻撃抑制検知部３３０にてＤＤｏＳ攻撃の継続を検知した場合は、攻撃抑制検知部３３０からＱｏＳ計算部１５０へ攻撃継続通知を送信し、Ｓ３０３以降の従来方式による帯域制御の実施シーケンスに移行する。

Ｓ３０３、Ｓ３０４）ＱｏＳ計算部１５０は、閾値情報テーブル１４０を参照し、攻撃対象サーバ３００の合計帯域制限値αを取得する。

Ｓ３０５、Ｓ３０６）Ｓ３０３、Ｓ３０４と同時に、ＱｏＳ計算部１５０は、モニタリング情報テーブル１３０を参照し、攻撃対象サーバ３００が宛先となっているトラヒックの、各ゲートウェイ２００での使用帯域の情報を取得する。

Ｓ３０７）ＱｏＳ計算部１５０は、Ｓ３０３〜Ｓ３０６で取得したデータを利用し、以下の式の通り、各ゲートウェイ２００における特定の宛先ＩＰアドレスのパケットに対する帯域制限値ｌ_ｉを計算する。

ここで、ｌ_ｉはゲートウェイＩＤがｉであるゲートウェイ２００の帯域制限値であり、Ｂ_ｉはゲートウェイＩＤがｉであるゲートウェイ２００での攻撃対象サーバ３００宛のパケットの使用帯域、Ｂ_ｍｉｎは各ゲートウェイ２００の帯域制限値の下限値（モニタした期間でトラヒックが全くない場合、すなわちＢ_ｉ＝０のときに、帯域制限値が０となり、結果としてトラヒックを遮断してしまうことを防ぐための値）、ＧＷはネットワーク上のゲートウェイ２００の台数を示している。これにより、各ゲートウェイ２００の帯域制限値は、各ゲートウェイ２００の攻撃対象サーバ３００宛のパケットの使用帯域に比例し、かつ、その合計が合計の帯域制限値αになるように決定される。

Ｓ３０８）ＱｏＳ計算部１５０は、各ゲートウェイ２００に対してＳ３０７で計算した帯域制限値ｌ_ｉを設定するよう、各ゲートウェイ２００のＱｏＳ設定部２１０に要求する。

Ｓ３０９）各ゲートウェイ２００のＱｏＳ設定部２１０は、ＱｏＳ計算部１５０からの帯域制限設定要求に基づき、スイッチの帯域制限値を設定する。設定が完了し次第、設定完了通知をＱｏＳ計算部１５０に通知する。ＱｏＳ計算部１５０は、全てのゲートウェイ２００から設定完了通知を取得後、処理を終了する。

（実施の形態の効果等）
以上、説明したように、本実施の形態では、ＤＤｏＳ攻撃の対象となるサーバが属するネットワークと外部のネットワークの間に複数のゲートウェイ２００が存在し、かつＤＤｏＳ攻撃のトラヒックが複数のゲートウェイ２００を通り、攻撃対象サーバ３００が攻撃を受けている場合において、攻撃対象サーバ３００を利用しているユーザの１ＩＰアドレス当たりのトラヒック量の上限値を予め規定し、上限値を上回るトラヒックのユーザと上限値を下回るトラヒックのユーザに分類する。そして、各ゲートウェイ２００の、上限値を上回るトラヒックのユーザ全体に対して、各ゲートウェイ２００にて攻撃対象サーバ３００を利用しているユーザの１ＩＰアドレス当たりのトラヒック量の上限値まで帯域制御を実施する。更に帯域制御実施後もＤＤｏＳ攻撃が抑制できていない場合は、各ゲートウェイ２００を通過する攻撃対象サーバ３００宛の総トラヒック量に比例するように、それぞれ異なる帯域制限値を各ゲートウェイに設定する。

キャリアネットワークのような多数の外部ネットワークとのゲートウェイ２００を持つネットワークにおいて、ＤＤｏＳ攻撃がネットワーク内のサーバ３００になされた場合、従来方式による帯域制御実施前に、攻撃対象サーバ３００を利用しているユーザの１ＩＰアドレス当たりのトラヒック上限値に基づいた帯域制御方式を実施することで、ある特定のゲートウェイを通過する攻撃対象サーバ宛トラヒックが非常に大きい場合、攻撃対象サーバ宛トラヒックが非常に少ないゲートウェイを通過するユーザの帯域が非常に少なくなってしまい、サービスによってはサービス断になる可能性があるという従来方式の課題を解決することができる。よって、サイバー攻撃に対して、複数の中継装置における帯域制御により対処を行う技術において、複数の中継装置間で攻撃トラフィック量に大きな差がある場合でも、攻撃対象を利用するユーザのネットワーク品質の公平性を維持することができる。

（実施の形態のまとめ）
本実施の形態によれば、パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置であって、前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレスを取得する取得手段と、前記各中継装置に対して、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレス全体に対する帯域制限値を設定する設定手段とを備えることを特徴とする通信制御装置が提供される。

前記設定手段は、前記各中継装置に対し、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザの数と前記上限値とを掛けた値を前記帯域制限値として算出することとしてもよい。

前記ターゲットにおいて攻撃が検知されたことをトリガとして、前記取得手段による前記ソースＩＰアドレスの取得、及び前記設定手段による前記帯域制限値の設定を行うこととしてもよい。

前記設定手段による前記帯域制限値の設定の後、前記ターゲットにおいて攻撃の継続が検知された場合において、前記設定手段は、前記各中継装置に対し、前記ターゲット宛ての通信全体の帯域制限を行うための帯域制限値を設定することとしてもよい。

実施の形態におけるＱｏＳ制御装置１００は通信制御装置の例であり、送受信部１１０とモニタリング情報収集部１２０は、取得手段の例であり、ＱｏＳ計算部１６０とＱｏＳ計算部１５０と送受信部１１０は、設定手段の例である。

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ ＱｏＳ制御装置
１１０ 送受信部
１２０ モニタリング情報収集部
１３０ モニタリング情報テーブル
１４０ 閾値情報テーブル
１５０ ＱｏＳ計算部
１６０ ＱｏＳ計算部
１７０ ユーザ情報テーブル
１８０ 上限値テーブル
２００ ゲートウェイ
２１０ ＱｏＳ設定部
２２０ モニタリング部
２３０ 送受信部
２４０ ユーザ情報収集部
３００ 攻撃対象サーバ
３１０ 攻撃検知部
３２０ 送受信部
３３０ 攻撃抑制検知部
４００ 外部ネットワーク

Claims (8)

1. パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置であって、
   前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレスを取得する取得手段と、
   前記各中継装置に対して、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレス全体に対する帯域制限値を設定する設定手段と
   を備えることを特徴とする通信制御装置。
2. 前記設定手段は、前記各中継装置に対し、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザの数と前記上限値とを掛けた値を前記帯域制限値として算出する
   ことを特徴とする請求項１に記載の通信制御装置。
3. 前記ターゲットにおいて攻撃が検知されたことをトリガとして、前記取得手段による前記ソースＩＰアドレスの取得、及び前記設定手段による前記帯域制限値の設定を行う
   ことを特徴とする請求項１又は２に記載の通信制御装置。
4. 前記設定手段による前記帯域制限値の設定の後、前記ターゲットにおいて攻撃の継続が検知された場合において、前記設定手段は、前記各中継装置に対し、前記ターゲット宛ての通信全体の帯域制限を行うための帯域制限値を設定する
   ことを特徴とする請求項１ないし３のうちいずれか１項に記載の通信制御装置。
5. パケットを複数の中継装置を介してターゲットに送信することによる攻撃を抑制するための通信制御装置が実行する通信制御方法であって、
   前記複数の中継装置における各中継装置から、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレスを取得する取得ステップと、
   前記各中継装置に対して、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザのソースＩＰアドレス全体に対する帯域制限値を設定する設定ステップと
   を備えることを特徴とする通信制御方法。
6. 前記設定ステップにおいて、前記通信制御装置は、前記各中継装置に対し、前記ターゲット宛ての通信の使用帯域が上限値を超えるユーザの数と前記上限値とを掛けた値を前記帯域制限値として算出する
   ことを特徴とする請求項５に記載の通信制御方法。
7. 前記ターゲットにおいて攻撃が検知されたことをトリガとして、前記取得ステップによる前記ソースＩＰアドレスの取得、及び前記設定ステップによる前記帯域制限値の設定を行う
   ことを特徴とする請求項５又は６に記載の通信制御方法。
8. コンピュータを、請求項１ないし４のうちいずれか１項に記載の前記通信制御装置における各手段として機能させるためのプログラム。