JP6740264B2 - 監視システム、監視方法及び監視プログラム - Google Patents

監視システム、監視方法及び監視プログラム Download PDF

Info

Publication number
JP6740264B2
JP6740264B2 JP2018023363A JP2018023363A JP6740264B2 JP 6740264 B2 JP6740264 B2 JP 6740264B2 JP 2018023363 A JP2018023363 A JP 2018023363A JP 2018023363 A JP2018023363 A JP 2018023363A JP 6740264 B2 JP6740264 B2 JP 6740264B2
Authority
JP
Japan
Prior art keywords
information
monitoring
address
unit
traffic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018023363A
Other languages
English (en)
Other versions
JP2019140573A (ja
Inventor
弘 倉上
弘 倉上
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2018023363A priority Critical patent/JP6740264B2/ja
Priority to PCT/JP2019/005170 priority patent/WO2019159989A1/ja
Priority to US16/962,855 priority patent/US20200351304A1/en
Publication of JP2019140573A publication Critical patent/JP2019140573A/ja
Application granted granted Critical
Publication of JP6740264B2 publication Critical patent/JP6740264B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、監視システム、監視方法及び監視プログラムに関する。
近年、ＩＰネットワークにおいて、ＤＤｏＳ（Distributed Denial of Service）攻撃に代表されるネットワークへの攻撃が大規模、巧妙化しており、ネットワーク監視の重要性が増している。
ＤＤｏＳ攻撃を検出する技術として、ＮｅｔＦｌｏｗ、ｓＦｌｏｗ、ＩＰＦＩＸ（Internet Protocol Flow Information Export）等のネットワーク機器が出力するフロー情報やパケットを用いて攻撃先ＩＰアドレス宛のトラフィックを監視し、検出を行うものが知られている。
例えば、宛先ＩＰアドレスごと、かつＴＣＰ ＳＹＮ等の攻撃タイプごとにトラフィックを監視し、トラフィック量に基づいて攻撃を判断するＤＤｏＳ攻撃検出システムが知られている。また、フロー情報に基づいて宛先ＩＰアドレスごとにトラフィックを監視してＤＤｏＳ攻撃を検出する装置が知られている（例えば、特許文献１を参照）。
特開２００９−０８９２４１号公報
しかしながら、従来の技術には、ＤＤｏＳ攻撃を精度良く検出することができない場合があるという問題がある。例えば、従来の技術では、リフレクション型ＤＤｏＳ攻撃によるトラフィックの集中と、正規のトラフィックの集中とを区別することが困難な場合がある。そのような場合、ＤＤｏＳ攻撃を見逃してしまうこと、又は正規のトラフィックをＤＤｏＳ攻撃によるものであると判断してしまうこと等により、検出精度が低下することが考えられる。
上述した課題を解決し、目的を達成するために、本発明の監視システムは、ネットワークのトラフィックを監視する監視部と、インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集部と、前記監視部によって監視されたトラフィックの情報及び前記収集部によって収集された情報を基に、攻撃が発生しているか否かを判定する判定部と、を有することを特徴とする。
本発明によれば、ＤＤｏＳ攻撃を精度良く検出することができる。
図１は、第１の実施形態に係る監視システムの構成の一例を示す図である。 図２は、第１の実施形態に係る監視装置の構成の一例を示す図である。 図３は、第１の実施形態に係る攻撃情報のデータ構成の一例を示す図である。 図４は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。 図５は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。 図６は、第１の実施形態に係る監視装置の判定処理の流れを示すフローチャートである。 図７は、監視プログラムを実行するコンピュータの一例を示す図である。
以下に、本願に係る監視システム、監視方法及び監視プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係る監視システムの構成について説明する。図１は、第１の実施形態に係る監視システムの構成の一例を示す図である。図１に示すように、監視システム１は、監視装置１０、ルータ２１、２２及び２３を有する。
ルータ２１は、インターネット２と接続されている。また、ルータ２２及び２３は、ユーザネットワーク３と接続されている。また、ユーザネットワーク３には、１０．０．０．０／２４で示されるＩＰアドレスが割り当てられている。
ルータ２１は、インターネット２から受信したパケットをルータ２２又は２３に転送する。また、ルータ２２及び２３は、ルータ２１から受信したパケットを、ユーザネットワーク３の所定のＩＰアドレス宛てに転送する。また、監視装置１０は、ルータ２１、ルータ２２及び２３からトラフィックに関する情報を取得する。
ここで、図２を用いて、監視装置１０の構成について説明する。図２は、第１の実施形態に係る監視装置の構成の一例を示す図である。図２に示すように、監視装置１０は、通信部１１、記憶部１２及び制御部１３を有する。
通信部１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１はＮＩＣ（Network Interface Card）である。通信部１１は、ルータ２１、２２及び２３との間でデータ通信を行う。
記憶部１２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部１２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２は、監視装置１０で実行されるＯＳ（Operating System）や各種プログラムを記憶する。さらに、記憶部１２は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１２は、攻撃情報１２５を記憶する。
制御部１３は、監視装置１０全体を制御する。制御部１３は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３は、監視部１３１、第１の収集部１３２、第２の収集部１３３及び判定部１３４を有する。なお、第１の収集部１３２、第２の収集部１３３は、収集部の一例である。
監視部１３１は、ネットワークのトラフィックを監視する。監視部１３１は、ルータ２１、ルータ２２及び２３からトラフィック情報を収集する。
例えば、監視部１３１は、トラフィック情報として、Ｎｅｔｆｌｏｗ、ｓＦｌｏｗ及びＩＰＦＩＸ等のフロー情報を収集することができる。また、監視部１３１は、トラフィック情報として、各ルータが受信したパケットのコピーを収集してもよい。
例えば、トラフィック情報は、トラフィックに含まれるパケットを受信したルータインタフェースごと、又はＶＬＡＮ ＩＤごとに各情報を時系列で並べたものである。トラフィック情報には、パケットの送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号、ＴＣＰフラグ、ｐｐｓ（packets per second）及びｂｐｓ（bits per second）等が含まれる。
さらに、監視部１３１は、トラフィック情報に基づいて攻撃を検出する。例えば、監視部１３１は、所定のトラフィック量がトラフィックパターンごとに設定された検出閾値を超えた場合に攻撃を検出する。例えば、監視部１３１は、ＴＣＰ／ＳＹＮパケットのトラフィック量を宛先ＩＰアドレスごとに集計し、いずれかの宛先ＩＰアドレスについてのｐｐｓが検出閾値１００００ｐｐｓを超えた場合、又は、ｂｐｓが検出閾値１０Ｍｂｐｓを超えた場合に攻撃を検出する。
監視部１３１は、攻撃を検出した場合、受信タイムスタンプ、攻撃タイプ、検出閾値、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ポート番号、ＴＣＰフラグ、バイト数及びパケット数等の検出情報を、判定部１３４に提供する。
また、監視装置１０は、インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及びおとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する。
第１の収集部１３２は、第１の情報を収集する。第１の収集部１３２は、インターネットで使用されていないＩＰアドレスを宛先としたパケット、すなわちダークネット宛てのパケットに関する情報を収集する。これは、ダークネット宛てのパケットに、バックスキャッターパケットが含まれている可能性があるためである。
バックスキャッターパケットとは、送信元のＩＰアドレスを詐称するタイプの攻撃において、送信元のＩＰアドレスを詐称した攻撃元からパケットの返送要求を受けた攻撃先サイトが、当該詐称したＩＰアドレスに対して送信するパケットである。このとき、詐称したＩＰアドレスが実際には使用されていない場合がある。さらに、正規の通信では使用されていないＩＰアドレスに対してパケットが送信されることは少ないと考えられるため、ダークネット宛てのパケットには、バックスキャッターパケットが含まれている可能性があると考えられる。
また、監視装置１０は、インターネットで使用されていないＩＰアドレスの宛先を監視装置１０宛てであるようにルーティングプロトコルで経路広告しておくことで、ダークネット宛てのパケットを受信することができる。
さらに、第１の収集部１３２は、ダークネット宛てのパケットから、バックスキャッターパケットを抽出する。例えば、第１の収集部１３２は、送信元ＩＰアドレスを詐称したＴＣＰ ＳＹＮ攻撃へのバックスキャッターパケットとしてＳＹＮ／ＡＣＫパケットを抽出する。また、例えば、第１の収集部１３２は、ＴＣＰ攻撃パケットにおけるバックスキャッターパケットとしてＲＳＴ／ＡＣＫパケットを抽出する。また、例えば、第１の収集部１３２は、サービス外ポートへのスキャンに対するバックスキャッターパケットとしてＩＣＭＰ Port Unreachableパケットを抽出する。
また、例えば、第１の収集部１３２が、バックスキャッターパケットとしてＳＹＮ／ＡＣＫパケットを抽出した場合、当該ＳＹＮ／ＡＣＫパケットの送信元がＴＣＰ ＳＹＮ攻撃を受けていることがわかる。また、例えば、第１の収集部１３２が抽出したバックスキャッターパケットの送信元ＩＰアドレスが、１０．０．０．１、１０．０．０．２、１０．０．０．３のように近傍のＩＰアドレス空間に含まれるものである場合、１０．０．０．０／３０に含まれる３つのＩＰアドレスに対して攻撃が行われていることがわかる。
第１の収集部１３２は、収集したバックスキャッターパケットがＴＣＰ又はＵＤＰのパケットである場合、バックスキャッターパケットの情報として、受信タイムスタンプ、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ポート番号、ＴＣＰフラグ及びバイト数等の収集情報を、判定部１３４に提供する。
また、第１の収集部１３２は、収集したバックスキャッターパケットがＩＣＭＰパケットである場合、バックスキャッターパケットの情報として、受信タイムスタンプ、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、タイプ、コード及びバイト数等の収集情報を、判定部１３４に提供する。
なお、第１の収集部１３２が提供する収集情報のうち、送信元ＩＰアドレスは攻撃を受けているサイトのＩＰアドレスであり、宛先ＩＰアドレスは攻撃者が詐称したＩＰアドレスである。
第２の収集部１３３は、第２の情報を収集する。第２の収集部１３３は、おとりとして機能し、おとりとして設定された特定のＩＰアドレスに対して送信されてきたパケットの情報を収集する。例えば、第２の収集部１３３は、おとり宛に送信されてきたパケットのうち、宛先のＵＤＰポート番号が１２３番であるパケットを受信する。
また、第２の収集部１３３は、おとりとして設定された特定のＩＰアドレスに対して送信されてきたパケットのうちのスキャンパケットに対して応答パケットを送信し、さらに応答パケットの送信先から送信されてきたパケットの情報を収集する。
つまり、第２の収集部１３３は、リフレクション型攻撃において一例としてＤＮＳ（Domain Name System）サーバ及びＮＰＴ（Network Time Protocol）サーバ等のリフレクターとして機能する。また、すべてのスキャンパケットに対して応答する場合、リフレクション型攻撃への加担することになる場合があるため、第２の収集部１３３は、応答パケットを送信する送信先ごとに、送信する応答パケットの数の上限を設けてもよい。
第２の収集部１３３は、応答パケットの送信先から送信されてきた指示パケットを、当該パケットの送信元ごとに集計し、集計値が一定時間内に設定された閾値以上になった場合、当該送信元がリフレクション型攻撃を受けていると判定し、受信タイムスタンプ、攻撃タイプ、閾値、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ポート番号、バイト数及びパケット数等の収集情報を、判定部１３４に提供する。
なお、第２の収集部１３３は、受信した指示パケットがＮＴＰ monlistリクエストパケット等のリフレクション型攻撃で用いられるパケットである場合に、送信元が攻撃を受けていると判定してもよい。
判定部１３４は、監視部１３１によって監視されたトラフィックの情報及び第１の収集部１３２及び第２の収集部１３３のうちの少なくともいずれか一方によって収集された情報を基に、攻撃が発生しているか否かを判定する。
言い換えると、判定部１３４は、監視部１３１から提供された検出情報と、第１の収集部１３２及び第２の収集部１３３から提供された収集情報とを比較し、検出情報が示す検出結果を収集情報で裏付けることができる場合、監視部１３１による検出結果が高精度なものであったと判定する。
また、判定部１３４は、監視部１３１が高い精度で攻撃を検出したと判定した場合、収集情報と検出情報に基づく攻撃情報１２５を記憶部１２に格納する。図３は、第１の実施形態に係る攻撃情報のデータ構成の一例を示す図である。
例えば、判定部１３４は、第１の収集部１３２から提供された収集情報と監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第１の収集部１３２から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、判定部１３４は、監視部１３１が高い精度で送信元ＩＰアドレスを詐称するタイプの攻撃を検出したと判定する。
例えば、図３に示すように、判定部１３４は、2018/1/22 4:48に発生した、送信元ＩＰアドレスが１０．０．０．１、宛先ＩＰアドレスが１０．０．０．１０１、プロトコルがＵＤＰであるトラフィックが、ＩＰアドレス詐称タイプの攻撃によるものであるとの検出結果が高精度なものであると判定した場合、当該情報を攻撃情報１２５として記憶部１２に格納する。
また、例えば、判定部１３４は、第２の収集部１３３から提供された収集情報と監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第２の収集部１３３から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、判定部１３４は、監視部１３１が高い精度でリフレクション型攻撃を検出したと判定する。
例えば、図３に示すように、判定部１３４は、2018/1/23 2:42に発生した、送信元ＩＰアドレスが１０．０．０．３、宛先ＩＰアドレスが１０．０．０．２００、プロトコルがＵＤＰであるトラフィックが、ＤＮＳサーバを対象としたリフレクション型攻撃によるものであるとの検出結果が高精度なものであると判定した場合、当該情報を攻撃情報１２５として記憶部１２に格納する。
また、監視装置１０は、第１の収集部１３２や第２の収集部１３３では攻撃されているＩＰアドレスを複数検出できることから、第１の情報及び第２の情報のうち少なくとも一方を収集して同一ネットワークに対する複数ＩＰアドレスへの攻撃判定に利用する。また、判定部１３４は、監視部１３１によって監視されたトラフィックの量であって、第１の情報及び第２の情報が示す複数の送信元ＩＰアドレスを宛先とするトラフィックの量の合計を基に、攻撃が発生しているか否かを判定する。
ここで、ＤＤｏＳ攻撃の攻撃者は、１つのネットワークへのアクセス回線を輻輳させるため、同一ネットワーク内の１０．０．０．１、１０．０．０．２、１０．０．０．３のような複数のＩＰアドレスへアクセスを分散させる場合がある。このような場合、攻撃が発生していたとしても、宛先ＩＰアドレス単位のトラフィック量が監視部１３１で設定された検出閾値に達しないことがあり得る。
そこで、判定部１３４は、監視部１３１に、複数のＩＰアドレスのトラフィック量を集計させ、集計結果を基に閾値による検出を実行させ、その結果を基に判定を行うことができる。
［第１の実施形態の処理］
図４から６を用いて、監視装置１０による収集処理及び判定処理について説明する。例えば、第１の収集部１３２及び第２の収集部１３３による収集処理が行われ、各収集情報が提供された後に、判定部１３４による判定処理が行われる。
図４を用いて、第１の収集部１３２による収集処理について説明する。図４は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。図４に示すように、まず、第１の収集部１３２は、ダークネット宛てのパケットを監視装置１０宛てであるように経路広告しておく（ステップＳ１０１）。また、第１の収集部１３２は、受信したダークネット宛てのパケットからバックスキャッターパケットを抽出する（ステップＳ１０２）。そして、第１の収集部１３２は、バックスキャッターパケットの情報を判定部１３４に提供する（ステップＳ１０３）。
図５を用いて、第２の収集部１３３による収集処理について説明する。図５は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。図５に示すように、まず、第２の収集部１３３は、リフレクター探索のスキャンパケットを受信する（ステップＳ２０１）。次に、第２の収集部１３３は、受信したスキャンパケットの送信元に応答パケットを返送する（ステップＳ２０２）。そして、第２の収集部１３３は、応答パケットの送信先から送信された指示パケットを受信し、カウントする（ステップＳ２０３）。
ここで、一定時間内のカウント数が閾値を超えた場合（ステップＳ２０４、Ｙｅｓ）、第２の収集部１３３は、リフレクション型攻撃が発生していると判定し、指示パケットの情報を判定部１３４に提供する（ステップＳ２０５）。一方、一定時間内のカウント数が閾値を超えていない場合（ステップＳ２０４、Ｎｏ）、第２の収集部１３３は、ステップＳ２０３に戻り、さらにカウントを続ける。
図６を用いて、判定部１３４による判定処理について説明する。図６は、第１の実施形態に係る監視装置の判定処理の流れを示すフローチャートである。図６に示すように、判定部１３４は、監視部１３１から提供される検出情報を取得する（ステップＳ３０１）。また、判定部１３４は、第１の収集部１３２及び第２の収集部１３３から提供される収集情報を取得する（ステップＳ３０２）。そして、判定部１３４は、収集情報を基に、検出情報が高精度なものであるか否かを判定し、実際に攻撃が発生していることがいえるか否かを判定する（ステップＳ３０３）。
［第１の実施形態の効果］
監視装置１０は、ネットワークのトラフィックを監視する。また、監視装置１０は、インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及びおとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する。また、監視装置１０は、監視装置１０によって監視されたトラフィックの情報及び監視装置１０によって収集された情報を基に、攻撃が発生しているか否かを判定する。このように、本実施形態では、ＤＤｏＳ攻撃の発生を、トラフィックの面だけでなく、バックスキャッターパケット及びリフレクション攻撃の少なくとも一方の発生状況を考慮して判定することができる。そのため、本実施形態によれば、ＤＤｏＳ攻撃を精度良く検出することができる。
また、トラフィックのみに基づく検出では、ネットワーク内の特定のＩＰアドレスについて攻撃を検出することができない場合がある。これに対し、本実施形態によれば、バックスキャッターパケットの送信元等の特定のＩＰアドレスについての攻撃の検出精度を高めることができる。
監視装置１０は、第１のパケットとして受信した送信元ＩＰアドレスを詐称する攻撃パケットに対する応答パケットの情報を第１の情報として収集する。これにより、ＩＰアドレス詐称型攻撃を受けているサイトのＩＰアドレスを特定し、トラフィックに基づくＩＰアドレス詐称型攻撃の検出精度の高低を判定することができる。
監視装置１０は、第２のパケットとして受信したリフレクション攻撃パケットの情報を第２の情報として収集する。これにより、リフレクション型攻撃を受けているサイトのＩＰアドレスを特定し、トラフィックに基づくリフレクション型攻撃の検出精度の高低を判定することができる。
第１の収集部１３２で収集された収集情報と、監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第１の収集部１３２から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、監視装置１０は、送信元ＩＰアドレスを詐称するタイプの攻撃を検出したと判定する。これにより、ＩＰアドレスを詐称するタイプの攻撃の検出精度を高めることができる。
第２の収集部１３３で収集された収集情報と、監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第２の収集部１３３から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、監視装置１０は、リフレクション型攻撃を検出したと判定する。これにより、リフレクション型攻撃の検出精度を高めることができる。
監視装置１０は、異なる複数のＩＰアドレスを送信元とするパケットのそれぞれについて、第１の情報及び第２の情報のうち少なくとも一方を収集する。また、監視装置１０は、監視装置１０によって監視されたトラフィックの量であって、複数のアドレスを宛先とするトラフィックの量の合計を基に、攻撃が発生しているか否かを判定する。これにより、同一ネットワーク内の複数のＩＰアドレスにアクセスを分散させたＤＤｏＳ攻撃を検出することができる。
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
一実施形態として、監視装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の監視を実行する監視プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の監視プログラムを情報処理装置に実行させることにより、情報処理装置を監視装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。
また、監視装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の監視に関するサービスを提供する監視サーバ装置として実装することもできる。例えば、監視サーバ装置は、フロー情報又はパケットのコピーを入力とし、判定結果を出力とする監視サービスを提供するサーバ装置として実装される。この場合、監視サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の監視に関するサービスを提供するクラウドとして実装することとしてもかまわない。
図７は、監視プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、監視装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、監視装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
１ 監視システム
２ インターネット
３ ユーザネットワーク
１０ 監視装置
１１ 通信部
１２ 記憶部
１３ 制御部
２１、２２、２３ ルータ
１２５ 攻撃情報
１３１ 監視部
１３２ 第１の収集部
１３３ 第２の収集部
１３４ 判定部

Claims (8)

  1. ネットワークのトラフィックを監視する監視部と、
    インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集部と、
    前記監視部によって監視されたトラフィックの情報及び前記収集部によって収集された情報を基に、攻撃が発生しているか否かを判定する判定部と、
    を有し、
    前記判定部は、前記収集部で収集した第１の情報と、前記監視部で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第１の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、送信元ＩＰアドレスを詐称する攻撃を検出したと判定することを特徴とする監視システム。
  2. ネットワークのトラフィックを監視する監視部と、
    インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集部と、
    前記監視部によって監視されたトラフィックの情報及び前記収集部によって収集された情報を基に、攻撃が発生しているか否かを判定する判定部と、
    を有し、
    前記判定部は、前記収集部で収集した第２の情報と、前記監視部で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第２の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、リフレクション攻撃を検出したと判定することを特徴とする監視システム。
  3. 前記収集部は、前記第１のパケットとして受信した送信元ＩＰアドレスを詐称する攻撃パケットに対する応答パケットの情報を前記第１の情報として収集することを特徴とする請求項１又は２に記載の監視システム。
  4. 前記収集部は、前記第２のパケットとして受信したリフレクション攻撃パケットの情報を前記第２の情報として収集することを特徴とする請求項１又は２に記載の監視システム。
  5. 前記収集部は、同一ネットワーク内の異なる複数のアドレスを送信元とするパケットのそれぞれについて、前記第１の情報及び前記第２の情報のうち少なくとも一方を収集し、前記監視部へ通知し、
    前記判定部は、前記監視部によって監視されたトラフィックの量であって、前記複数のアドレスを宛先とするトラフィックの量の合計を基に、攻撃が発生しているか否かを判定することを特徴とする請求項１から４のいずれか１項に記載の監視システム。
  6. 監視システムで実行される監視方法であって、
    ネットワークのトラフィックを監視する監視工程と、
    インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集工程と、
    前記監視工程によって監視されたトラフィックの情報及び前記収集工程によって収集された情報を基に、攻撃が発生しているか否かを判定する判定工程と、
    を含み、
    前記判定工程は、前記収集工程で収集した第１の情報と、前記監視工程で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第１の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、送信元ＩＰアドレスを詐称する攻撃を検出したと判定することを特徴とする監視方法。
  7. 監視システムで実行される監視方法であって、
    ネットワークのトラフィックを監視する監視工程と、
    インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集工程と、
    前記監視工程によって監視されたトラフィックの情報及び前記収集工程によって収集された情報を基に、攻撃が発生しているか否かを判定する判定工程と、
    を含み、
    前記判定工程は、前記収集工程で収集した第２の情報と、前記監視工程で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第２の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、リフレクション攻撃を検出したと判定することを特徴とする監視方法。
  8. コンピュータを、請求項１から５のいずれか１項に記載の監視システムとして機能させるための監視プログラム。
JP2018023363A 2018-02-13 2018-02-13 監視システム、監視方法及び監視プログラム Active JP6740264B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2018023363A JP6740264B2 (ja) 2018-02-13 2018-02-13 監視システム、監視方法及び監視プログラム
PCT/JP2019/005170 WO2019159989A1 (ja) 2018-02-13 2019-02-13 監視システム、監視方法及び監視プログラム
US16/962,855 US20200351304A1 (en) 2018-02-13 2019-02-13 Monitoring system, monitoring method, and monitoring program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018023363A JP6740264B2 (ja) 2018-02-13 2018-02-13 監視システム、監視方法及び監視プログラム

Publications (2)

Publication Number Publication Date
JP2019140573A JP2019140573A (ja) 2019-08-22
JP6740264B2 true JP6740264B2 (ja) 2020-08-12

Family

ID=67618657

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018023363A Active JP6740264B2 (ja) 2018-02-13 2018-02-13 監視システム、監視方法及び監視プログラム

Country Status (3)

Country Link
US (1) US20200351304A1 (ja)
JP (1) JP6740264B2 (ja)
WO (1) WO2019159989A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102608382B1 (ko) * 2018-10-18 2023-12-01 삼성전자주식회사 데이터를 처리하는 방법 및 이를 수행하는 전자 장치
JP7222260B2 (ja) * 2019-02-07 2023-02-15 日本電信電話株式会社 試験装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007142841A (ja) * 2005-11-18 2007-06-07 Nippon Telegr & Teleph Corp <Ntt> 攻撃パケット迂回システム、方法、およびトンネル機能付きルータ

Also Published As

Publication number Publication date
WO2019159989A1 (ja) 2019-08-22
US20200351304A1 (en) 2020-11-05
JP2019140573A (ja) 2019-08-22

Similar Documents

Publication Publication Date Title
US11563772B2 (en) Detection and mitigation DDoS attacks performed over QUIC communication protocol
US10027694B1 (en) Detecting denial of service attacks on communication networks
CN107710680B (zh) 网络攻击防御策略发送、网络攻击防御的方法和装置
US7936682B2 (en) Detecting malicious attacks using network behavior and header analysis
Binkley et al. An algorithm for anomaly-based botnet detection.
EP2127313B1 (en) A containment mechanism for potentially contaminated end systems
US20070115850A1 (en) Detection method for abnormal traffic and packet relay apparatus
US10505952B2 (en) Attack detection device, attack detection method, and attack detection program
Hugelshofer et al. OpenLIDS: a lightweight intrusion detection system for wireless mesh networks
US10257213B2 (en) Extraction criterion determination method, communication monitoring system, extraction criterion determination apparatus and extraction criterion determination program
CN112055956B (zh) 用于网络安全性的装置和方法
TW201242313A (en) Detecting and mitigating denial of service attacks
US9032524B2 (en) Line-rate packet filtering technique for general purpose operating systems
François et al. Network security through software defined networking: a survey
KR20180052324A (ko) 분산 반사 서비스 거부 공격 탐지 장치 및 방법
JP2011035932A (ja) ネットワーク制御装置およびその制御方法
CN114938308B (zh) 基于地址熵自适应阈值检测IPv6网络攻击的方法及装置
JP6740264B2 (ja) 監視システム、監視方法及び監視プログラム
CN114338120B (zh) 一种扫段攻击检测方法、装置、介质和电子设备
WO2020027250A1 (ja) 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム
KR20110067871A (ko) Ｉｐ 망에서 ｏａｍ 패킷을 이용한 트래픽 감시 및 제어를 위한 네트워크 액세스 장치 및 방법
Bala et al. Quality based Bottom-up-Detection and Prevention Techniques for DDOS in MANET
JP2017200152A (ja) 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム
Nguyen et al. Suspicious traffic detection based on edge gateway sampling method
JP6629174B2 (ja) 通信監視装置、通信監視方法及び通信監視プログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190801

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200519

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200710

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200721

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200722

R150 Certificate of patent or registration of utility model

Ref document number: 6740264

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150