JP6766017B2 - 制御装置、通信システム、制御方法及びコンピュータプログラム - Google Patents

Description

本発明は、通信装置に対して行われる攻撃の影響を軽減させる技術に関する。

ネットワークに接続された通信装置に対して攻撃を行う技術がある。このような攻撃技術の一つとして、攻撃対象となる通信装置に対してサービスの提供を困難に陥れる攻撃（以下、単に「攻撃」という。）がある。攻撃の具体例として、Denial of Service（ＤｏＳ）攻撃やDistributed Denial of Service（ＤＤｏＳ）攻撃がある。ＤＤｏＳ攻撃に対する防御処理として、攻撃元の通信装置から送信されるトラフィックを緩和装置に引き込むことによって通信負荷を軽減する技術がある。また、ＤｏＳ攻撃とＤＤｏＳ攻撃とで異なる防御方法を選択する技術も提案されている（例えば特許文献１参照）。

ＤＤｏＳ攻撃を受けてしまうと、上位の通信回線に輻輳が生じてしまう場合がある。そのため、攻撃元により近い位置で防御処理を実行することが望まれる。このような防御処理を実現するために、上位に位置するトランジット事業者やクラウド型のＤＤｏＳ対策事業者に対して防御処理の実行を要求することがある。防御処理の要求は、従来は電話や電子メールで行われる場合があった。また、近年ではＩＥＴＦ（Internet Engineering Task Force）のｄｏｔｓ（DDoS Open Threat Signaling）ワーキンググループで、機械的な緊急通報（シグナリング）の標準化がすすめられている。

特開２００６−６７０７８号公報

しかしながら、標準化がすすめられている仕様では、攻撃の発生に関する判断は、防御処理の要求を受ける側の判断を優先すると定められている。そのため、要求を受ける側が攻撃の有無の判断に時間を要してしまう等の事情により、防御処理の実行のタイミングが遅れてしまう場合があった。

上記事情に鑑み、本発明は、ネットワークを介した通信装置に対する攻撃への防御処理について、その実行までに要する時間を短縮できる技術の提供を目的としている。

本発明の一態様は、ネットワークへの攻撃に対して防御処理を実行する緩和装置に対し、防御処理の実行の要求を示す防御要求の受信に応じて防御処理の実行を指示する制御部を備え、前記制御部は、受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示する、制御装置である。

本発明の一態様は、上記の制御装置であって、前記制御部は、前記特定データが有効である場合には、前記特定データが有効でない又は前記特定データが含まれない場合に実行される処理の一部又は全部を実行することなく、前記防御処理の実行を指示する。

本発明の一態様は、上記の制御装置であって、前記制御部は、前記特定データが有効である場合には、防御処理の実行対象となるネットワークにおいて実際に攻撃が行われているか否かを判定する処理である判定処理を実行することなく、前記防御処理の実行を指示する。

本発明の一態様は、ネットワークの攻撃を検知し、前記ネットワークへの防御処理の実行の要求を示す防御要求を送信する検知装置と、ネットワークへの攻撃に対して防御処理を実行する緩和装置と、前記緩和装置を制御する制御装置と、を備える通信システムであって、前記制御装置は、前記緩和装置に対し、前記防御要求の受信に応じて防御処理の実行を指示する制御部を備え、前記制御部は、受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示する。

本発明の一態様は、上記の通信システムであって、前記検知装置は、検知された攻撃に関する所定の条件に応じて、前記防御要求の前記特定データを有効にさせる。

本発明の一態様は、ネットワークへの攻撃に対して防御処理を実行する緩和装置に対し、防御処理の実行の要求を示す防御要求の受信に応じて防御処理の実行を指示する制御装置が、受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示する、制御方法である。

本発明の一態様は、ネットワークへの攻撃に対して防御処理を実行する緩和装置に対し、防御処理の実行の要求を示す防御要求の受信に応じて防御処理の実行を指示する制御部を備え、前記制御部は、受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示する、制御装置、としてコンピュータを機能させるためのコンピュータプログラムである。

本発明により、ネットワークを介した通信装置に対する攻撃への防御処理について、その実行までに要する時間を短縮することが可能となる。

緩和システムを備えた通信システムのシステム構成を表すシステム構成図である。 DOTSClientとDOTSServerとの間で行われる通信の具体例を示すシーケンスチャートである。 特定データの具体例を示す図である。 第一検知装置の機能構成を表す概略ブロック図である。 緩和システムのシステム構成を示す概略ブロック図である。 通信システムにおける処理の流れを示すシーケンスチャートである。

図１は、緩和システムを備えた通信システムのシステム構成を表すシステム構成図である。緩和システムは、本実施形態において防御処理を実行するシステムの具体例である。図１に示される通信システムは、第一ネットワーク１００、第一中継装置１１０、第一検知装置１２０、第二ネットワーク２００、第二中継装置２１０、第二検知装置２２０、第三ネットワーク３００、第三中継装置３１０、第一通信装置３２０、第二通信装置３３０、主ネットワーク４００及び緩和システム５００を備える。

第一ネットワーク１００は、緩和システム５００による防御対象のネットワークである。第一ネットワーク１００に対して攻撃が行われた場合、第一検知装置１２０の要求に基づき、緩和システム５００による防御処理が実行される。第一ネットワーク１００には、第一検知装置１２０が接続される。第一検知装置１２０は、第一中継装置１１０から通信情報を受信する。第一検知装置１２０は、受信された通信情報を解析することによって、第一ネットワーク１００に対して攻撃が行われているか否か判定し、攻撃を検知する。第一検知装置１２０は、攻撃を検知すると、防御要求を緩和システム５００に送信する。第一検知装置１２０は、例えばｄｏｔｓワーキンググループで標準化がすすめられている仕様におけるｄｏｔｓクライアントとして機能してもよい。この場合、防御要求は、ｄｏｔｓクライアントとｄｏｔｓサーバとの間の通信で用いられる２つのプロトコル（Signal Channel、Data Channel）のうち、Signal Channelを用いて送信されてもよい。

図２は、標準化が進められている仕様において、ｄｏｔｓクライアント（DOTSClient）とｄｏｔｓサーバ（DOTSServer）との間で行われる通信の具体例を示すシーケンスチャートである。まず、DOTSClient９１がMitigationRequest（防御要求に相当）をDOTSServer９２に送信する（ステップＳ００１）。次に、DOTSServer９２がMitigationResponseをDOTSClient９１に送信する（ステップＳ００２）。次に、DOTSServer９２がMitigationScope処理を実行する（ステップＳ００３）。次に、DOTSServer９２が、MitigationScopeValidator９３との間でValidationの手続を実行する（ステップＳ００４）。次に、DOTSServer９２が、BlockerSelection Service９４との間でBlockerSelectionの手続を実行する（ステップＳ００５）。次に、DOTSServer９２が、Ｓ００５の手続で選択されたBlocker９５との間で、RegisterProtectionの手続を実行する（ステップＳ００６）。その後、Ｓ００６の手続が完了すると、選択されたBlocker９５がProtection処理（防御処理に相当）を実行する（ステップＳ００７）。

防御要求には、特定のデータ（以下「特定データ」という。）が含まれる。緩和システム５００は、防御要求に含まれる特定データの内容に応じて、即時処理又は通常処理のいずれかを実行する。特定データの値が有効を示す場合、緩和システム５００は即時処理を実行する。一方、特定データの値が無効を示す場合や、特定データが防御要求に含まれない場合には、緩和システム５００は通常処理を実行する。

通常処理では、即時処理に比べて、防御要求が受信されてから防御処理の実行までにより多くの処理が実行される。そのため、通常処理では、緩和システム５００における防御処理の開始までに要する時間が、即時処理よりも長くなってしまう。

例えば、通常処理では、防御処理の実行対象となるネットワークにおいて実際に攻撃が行われているか否かを判定する処理（以下「判定処理」という。）が実行されてもよい。このような判定処理は、緩和システム５００によって実行されてもよいし、緩和システム５００との間で予め取り決められている他の装置によって実行されてもよい。このような判定処理は、例えばｄｏｔｓワーキンググループにおける標準化の仕様にしたがった処理であってもよい。この場合、緩和システム５００は、実際に攻撃が行われていると判定された場合にのみ防御処理を実行してもよい。

例えば、通常処理では、防御処理の実行対象となるネットワークにおいて行われている攻撃に関して解析を行う処理（以下「解析処理」という。）が実行されてもよい。解析処理では、具体的には攻撃の程度を判定する処理や、攻撃の種別を判定する処理や、攻撃に対して緊急に防御処理を実行する必要があるか否かを示す緊急度を判定する処理が実行される。このような解析処理は、緩和システム５００によって実行されてもよいし、緩和システム５００との間で予め取り決められている他の装置によって実行されてもよい。

例えば、通常処理では、防御処理の実行対象となるネットワークにおいて実際に攻撃が行われているか否かの判定の実行を、予め定められた管理者に対して要求する処理（以下「確認処理」という。）が実行されてもよい。このような確認処理は、例えば管理者が操作する端末装置に対してアラームを通知する処理やメールを送信する処理などを用いて実現されてもよい。この場合、緩和システム５００は、実際に攻撃が行われていると管理者が判定した場合にのみ防御処理を実行してもよい。管理者の判定結果は、例えば管理者が操作する端末装置から通信経路を介して受信されてもよい。
通常処理において実行される処理として説明した判定処理、解析処理及び確認処理はいずれも例示にすぎない。そのため、通常処理においてこれら三つの処理が必ずしも実行される必要はない。また、通常処理においてこれら三つの処理以外の処理が実行されてもよい。

即時処理では、通常処理に比べて、防御要求が受信されてからより早いタイミングで防御処理が実行される。例えば、即時処理では、通常処理においては防御処理の実行開始前に行われる処理の一部又は全部が実行されることなく防御処理が実行されてもよい。例えば、上述した判定処理や解析処理や確認処理が行われることなく、防御処理が実行されてもよい。より具体的には以下のとおりである。即時処理では、例えば判定処理、解析処理及び確認処理の全てが実行されることなく防御処理が実行されてもよい。即時処理では、例えば判定処理が実行されるものの、解析処理及び確認処理が実行されることなく防御処理が実行されてもよい。即時処理では、例えば判定処理と、解析処理の一部が実行されるものの、残りの解析処理は実行されることなく防御処理が実行されてもよい。

図３は、特定データの具体例を示す図である。図３には、防御要求の具体例として、MitigationRequestの標準化のフォーマットを示す図である。防御要求の中で使用者に自由に変更が認められている領域に、特定データとして”urgent-flag”が設けられている。特定データは、例えば図３に示されるようにbool型の値として設けられてもよいし、他の型の値として設けられてもよい。

なお、特定データは、必ずしも図３に示されるようなｄｏｔｓワーキンググループにおける標準化の仕様に適合したものでなくてもよい。特定データは、少なくとも防御要求の送信元である装置と送信先である装置（例えば緩和システム５００）との間で予め規定されたデータであれば、どのようなデータであってもよい。特定データとしてどのような値が設定されている場合に即時実施が行われるかについては、防御要求の送信元と送信先において、予めビジネス上の契約などに基づいて規定されていることが望ましい。

第二ネットワーク２００は、緩和システム５００による防御対象のネットワークである。第二ネットワーク２００に対して攻撃が行われた場合、第二検知装置２２０の要求に基づき、緩和システム５００による防御処理が実行される。第二ネットワーク２００には、第二検知装置２２０が接続される。第二検知装置２２０は、第二中継装置２１０から通信情報を受信する。第二検知装置２２０は、受信された通信情報を解析することによって、第二ネットワーク２００に対して攻撃が行われているか否か判定し、攻撃を検知する。第二検知装置２２０は、攻撃を検知すると、有効な特定データの値を有する防御要求を緩和システム５００に送信する。第二検知装置２２０によって送信される特定データは、防御対象のネットワークとして第二ネットワーク２００に関する防御処理の実行の要求を示す。

第三ネットワーク３００は、緩和システム５００による防御の対象となっていないネットワークである。第三ネットワーク３００は、例えば不特定のＩＰ（Internet Protocol）ネットワークである。第三ネットワーク３００は、例えばインターネットであってもよい。第三ネットワーク３００には、第一通信装置３２０が接続される。第一通信装置３２０は、第三ネットワーク３００に接続される不特定の通信装置の具体例である。以下、第一通信装置３２０を、第一ネットワーク１００又は第二ネットワーク２００に対して攻撃を行う装置の具体例として説明する。

主ネットワーク４００は、ゲートウェイとして第一中継装置１１０、第二中継装置２１０及び第三中継装置３１０を備える。第一ネットワーク１００は、第一中継装置１１０を介して主ネットワーク４００に接続される。第二ネットワーク２００は、第二中継装置２１０を介して主ネットワーク４００に接続される。第三ネットワーク３００は、第三中継装置３１０を介して主ネットワーク４００に接続される。主ネットワーク４００は、例えば第一ネットワーク１００及び第二ネットワーク２００に対して不特定のＩＰネットワークへの接続サービスをする事業者（キャリア）によって管理されるネットワークであってもよい。

緩和システム５００は、主ネットワーク４００に接続される。緩和システム５００は、防御対象のネットワーク（例えば第一ネットワーク１００及び第二ネットワーク２００）に対して、攻撃からの防御処理の機能を提供する。緩和システム５００は、例えばｄｏｔｓワーキンググループで標準化がすすめられている仕様におけるｄｏｔｓサーバとして機能してもよい。

図４は、第一検知装置１２０の機能構成を表す概略ブロック図である。第一検知装置１２０は、ブレードサーバ、ワークステーション又はパーソナルコンピュータなどの情報処理装置を用いて構成される。第一検知装置１２０は、バスで接続されたプロセッサやメモリや補助記憶装置などを備える。第一検知装置１２０は、検知プログラムを実行することによって、通信部１２１、判定部１２２及び通知部１２３を備える装置として機能する。なお、第一検知装置１２０の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。検知プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ、半導体記憶装置（例えばＳＳＤ：Solid State Drive）等の可搬媒体、コンピュータシステムに内蔵されるハードディスクや半導体記憶装置等の記憶装置である。検知プログラムは、電気通信回線を介して送信されても良い。

通信部１２１は、通信インタフェース等の通信装置を用いて構成される。通信部１２１は、有線通信を行ってもよいし、無線通信を行ってもよい。通信部１２１は、第一中継装置１１０及び緩和システム５００と通信する。通信部１２１は、例えば第一中継装置１１０から通信情報を受信する。通信情報は、第一中継装置１１０が中継した通信に関する情報である。通信情報は、例えば第一中継装置１１０によって中継されたパケットに関する情報を含んでもよい。通信部１２１は、例えば通知部１２３によって生成された防御要求を緩和システム５００に送信する。

判定部１２２は、第一中継装置１１０から受信された通信情報に基づいて、防御対象である第一ネットワーク１００に対して攻撃が行われているか否か判定する。判定部１２２には、例えばトラフィック解析技術の一つであるフロー技術が適用されてもよい。検知される攻撃の具体例として、通信装置に対して過剰な負荷をかけることによってサービスの提供を困難に陥れる攻撃（高負荷攻撃）がある。より具体的な攻撃の例としては、ＤｏＳ攻撃や、HTTP Get floodやTCP SYN flood等のＤＤｏＳ攻撃がある。判定部１２２は、攻撃が行われている場合には、行われている攻撃の種別を判定する。判定部１２２は、判定結果を通知部１２３に通知する。

通知部１２３は、判定部１２２によって行われた判定の結果に応じて、防御要求を緩和システム５００に通知する。例えば、通知部１２３は、第一ネットワーク１００に対して行われている攻撃の種別と、攻撃対象となっているネットワーク（例えば第一ネットワーク１００）を示す情報と、特定データと、を含む防御要求を生成する。攻撃対象となっているネットワークを示す情報として、ネットワークのアドレス空間を示す情報が用いられてもよいし、ネットワークに対して予め割り当てられた名前や番号等の識別情報が用いられてもよい。通知部１２３は、生成された防御要求を緩和システム５００に送信することによって、防御処理の実行の要求や、受けている攻撃の種別等を緩和システム５００に通知する。

通知部１２３は、所定の条件が満たされる場合には防御要求の特定データを有効にし、所定の条件が満たされない場合には防御要求の特定データを無効にしてもよい。所定の条件とは、例えば、判定部１２２による判定結果に関する条件であってもよい。より具体的には、例えば行われている攻撃の種別が、予め定められている１又は複数の攻撃の種別に一致する場合には、所定の条件が満たされると判定されてもよい。なお、所定の条件は攻撃の種別に限られる必要はない。

以上で第一検知装置１２０についての説明を終える。なお、第二検知装置２２０は、第一検知装置１２０と同様の構成を有する。ただし、第二検知装置２２０が防御対象とするネットワークは、第一ネットワーク１００ではなく第二ネットワーク２００である。

図５は、緩和システム５００のシステム構成を示す概略ブロック図である。緩和システム５００は、制御装置５０１及び緩和装置５０２を備える。

制御装置５０１は、ブレードサーバ、ワークステーション又はパーソナルコンピュータなどの情報処理装置を用いて構成される。制御装置５０１は、バスで接続されたプロセッサやメモリや補助記憶装置などを備える。制御装置５０１は、緩和制御プログラムを実行することによって、通信部５１及び制御部５２を備える装置として機能する。なお、制御装置５０１の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。緩和制御プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ、半導体記憶装置（例えばＳＳＤ：Solid State Drive）等の可搬媒体、コンピュータシステムに内蔵されるハードディスクや半導体記憶装置等の記憶装置である。緩和制御プログラムは、電気通信回線を介して送信されても良い。

通信部５１は、通信インタフェース等の通信装置を用いて構成される。通信部５１は、有線通信を行ってもよいし、無線通信を行ってもよい。通信部５１は、第一中継装置１１０等の通信装置と、緩和装置５０２と、通信する。通信部５１は、例えば防御要求を受信する。通信部５１は、例えば防御処理の実行の指示を緩和装置５０２に送信する。

制御部５２は、検知装置（例えば第一検知装置１２０又は第二検知装置２２０）から受信される防御要求に基づいて、緩和装置５０２に対して防御処理の実行を指示する。制御部５２は、防御要求の特定データが有効ではない場合や防御要求に特定データが含まれない場合には通常処理を実行する。一方、防御要求の特定データが有効である場合には、制御部５２は即時処理を実行する。

緩和装置５０２は、攻撃の通信に対する防御処理（攻撃を止める処理）を実行する装置である。緩和装置５０２は、制御装置５０１から防御処理の実行の指示を受けると、攻撃の通信を自装置で受信するための経路制御を実行する。このような経路制御は、例えばＢＧＰ（Border Gateway Protocol）を用いて行われてもよい。緩和装置５０２は、例えば自装置で受信する対象となる通信を示す情報（以下「通信識別情報」という。）と、対象となる通信の中継先となる自装置の宛先情報と、を主ネットワーク４００内の中継装置に通知することによって経路制御を行ってもよい。このような経路制御は、攻撃の通信の流入元となっている中継装置（本実施形態では第三中継装置３１０）に対して行われてもよい。

緩和装置５０２は、上述した経路制御の後に攻撃の通信のパケットを受信すると、防御処理を実行する。緩和装置５０２は、例えば攻撃の通信のパケットを廃棄することによって防御処理を実行する。緩和装置５０２が行う防御処理には複数の方式がある。緩和装置５０２には、どのような防御処理が実装されてもよい。緩和装置５０２には、複数種類の防御処理が実装されてもよい。

図６は、通信システムにおける処理の流れを示すシーケンスチャートである。図６の例では、第三ネットワーク３００に接続されている第一通信装置３２０から第一ネットワーク１００に接続された通信装置に対して攻撃が行われていることが想定されている。

第一中継装置１１０は、所定のタイミングが到来すると、防御対象である第一ネットワーク１００に対して中継される通信の情報（通信情報）を第一検知装置１２０に送信する（ステップＳ１０１）。所定のタイミングは、一定の周期で到来するタイミング（例えば１秒毎、１分毎、５分毎など）であってもよいし、通信に関する所定の条件が満たされたタイミング（例えば、第一ネットワーク１００へ中継された通信の量が閾値を超えたタイミング）であってもよいし、他のタイミングであってもよい。

第一検知装置１２０の判定部１２２は、通信情報を受信する。第一検知装置１２０は、受信された通信情報に基づいて攻撃が行われているか否か判定する（ステップＳ１０２）。攻撃が行われていないと判定した場合（ステップＳ１０２−ＮＯ）、判定部１２２は次の通信情報が受信されるまで待機する（ステップＳ１０３）。判定部１２２は、次の通信情報が受信されると、受信された通信情報についてステップＳ１０２の処理を実行する。

一方、攻撃が行われていると判定した場合（ステップＳ１０２−ＹＥＳ）、判定部１２２は判定結果を通知部１２３に通知する。通知部１２３は、攻撃が行われているとの判定結果の通知を受けた場合、所定の条件に応じた特定データを含む防御要求を緩和システム５００に送信する（ステップＳ１０４）。

緩和システム５００の制御装置５０１は、第一検知装置１２０から防御要求を受信する。制御装置５０１は、受信された防御要求の特定データが有効であるか否か判定する（ステップＳ１０５）。特定データが有効ではない場合（ステップＳ１０５−ＮＯ）、制御装置５０１は通常処理を実行する（ステップＳ１０６）。一方、特定データが有効である場合（ステップＳ１０５−ＹＥＳ）、制御装置５０１は即時処理を実行する（ステップＳ１０７）。すなわち、この場合には、特定データが含まれていない場合に比べてより早いタイミングで防御処理が実行される。防御処理の実行の指示を受けた緩和装置５０２は、防御処理を実行する。例えば、緩和装置５０２は、自装置に対して攻撃の通信を中継するように、主ネットワーク４００内の中継装置に対して経路変更指示を送信する（ステップＳ１０８）。図６の例では、緩和装置５０２は、第一通信装置３２０から第一ネットワーク１００に対して送信される通信を自装置に中継するように第三中継装置３１０に経路変更を指示する。経路変更指示を受信した第三中継装置３１０は、第一通信装置３２０から第一ネットワーク１００宛に送信された通信を緩和装置５０２に中継するように経路制御を実行する（ステップＳ１０９）。経路制御の実行は、例えば上述したようにＢＧＰを用いて実現されてもよい。経路制御が実行された後、第一通信装置３２０から第一ネットワーク１００宛に送信される通信（攻撃の通信）は緩和装置５０２に中継される。

このように構成された本実施形態の通信システムでは、ネットワークを介した通信装置に対する攻撃への防御処理について、その実行までに要する時間を短縮することが可能となる。以下、このような本実施形態の効果について詳細に説明する。

現在主流となっているＤＤｏＳ攻撃は、３０分程度の短時間で攻撃が成立してしまうことが多い。このような短時間で攻撃を成立させ、攻撃の解除を脅しとして用いることによって金銭を要求するような行為も行われている。そのため、攻撃が発生してから極めて短い時間（例えば１０分程度）で防御処理を適切に開始することが要求されている。

このような要求に対し、本実施形態の通信システムでは、防御要求に特定データの値を定義している。防御要求の特定データが有効である場合には即時処理が行われる。例えば、特定データが有効であることに応じて、防御対象のネットワークにおいて判定処理や解析処理や確認処理を実行することなく防御処理が開始される。そのため、攻撃が検知されてから防御処理が実行されるまでに要する時間を短縮することが可能となる。

また、本実施形態では、防御対象のネットワークにおいてたとえ複数のＤＤｏＳ対策事業者のサービスを利用している場合であっても、同様に防御処理の実行までの時間を短縮することが可能となる。また、防御処理を実行する主体において、防御要求を信頼するか否かについてのビジネス上の関係もスムーズに構築することが可能となる。

また、防御要求の要求を受けるシステムにおいて、特定データに応じた即時処理に対応していない場合であっても、特定データ以外の仕様が標準化に応じた仕様であれば、従来通りの処理を実行できる。そのため、特定データに対応していないシステムとの相互接続性を維持することが可能となる。

［変形例］
制御装置５０１は、自装置が設けられた緩和システム５００では防御処理の実行ができない場合には、他の緩和システムに対して防御処理の実行を要求してもよい。このような場合であって、且つ、受信された防御要求に特定データが含まれる場合、制御装置５０１は他の緩和システムに対して特定データを含む防御要求を送信してもよい。

緩和システム５００は、複数の緩和装置５０２を備えてもよい。各緩和装置５０２には、それぞれ異なる防御処理が実装されてもよい。この場合、制御装置５０１は、防御対象のネットワークにおいて行われている攻撃の種別に応じて適した緩和装置５０２を選択してもよい。制御装置５０１は、選択された緩和装置５０２に対して防御処理の実行を指示する。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１００…第一ネットワーク， １１０…第一中継装置， １２０…第一検知装置， １２１…通信部， １２２…判定部， １２３…通知部， ２００…第二ネットワーク， ２１０…第二中継装置， ２２０…第二検知装置， ３００…第三ネットワーク， ３１０…第三中継装置， ３２０…第一通信装置， ４００…主ネットワーク， ５００…緩和システム， ５０１…制御装置， ５１…通信部， ５２…制御部， ５０２…緩和装置

Claims (6)

1. ネットワークへの外部からの攻撃に対して防御処理を実行する緩和装置に対し、外部からの攻撃に対する防御処理の実行の要求を示す防御要求の受信に応じて防御処理の実行を指示する制御部を備え、
   前記制御部は、受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが含まれない場合に実行される処理の一部又は全部を実行することなく前記防御処理の実行を指示することによって、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示し、
   前記特定データは、前記緩和装置による前記防御処理を提供する第一主体と、前記防御処理の提供を受ける第二主体との間で予め規定されたデータであり、前記第二主体が受ける外部からの攻撃の種別が予め定められている１又は複数の攻撃の種別であることを示す、制御装置。
2. 前記制御部は、前記特定データが有効である場合には、防御処理の実行対象となるネットワークにおいて実際に攻撃が行われているか否かを判定する処理である判定処理を実行することなく、前記防御処理の実行を指示する、請求項１に記載の制御装置。
3. ネットワークへの外部からの攻撃を検知し、前記ネットワークへの防御処理の実行の要求を示す防御要求を送信する検知装置と、
   ネットワークへの外部からの攻撃に対して防御処理を実行する緩和装置と、
   前記緩和装置を制御する制御装置と、を備える通信システムであって、
   前記制御装置は、前記緩和装置に対し、前記防御要求の受信に応じて防御処理の実行を指示する制御部を備え、
   前記制御部は、受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが含まれない場合に実行される処理の一部又は全部を実行することなく前記防御処理の実行を指示することによって、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示し、
   前記特定データは、前記緩和装置による前記防御処理を提供する第一主体と、前記検知装置を介して前記防御処理の提供を受ける第二主体との間で予め規定されたデータであり、前記第二主体が受ける外部からの攻撃の種別が予め定められている１又は複数の攻撃の種別であることを示す、通信システム。
4. 前記検知装置は、検知された攻撃に関する所定の条件に応じて、前記防御要求の前記特定データを有効にさせる、請求項３に記載の通信システム。
5. ネットワークへの外部からの攻撃に対して防御処理を実行する緩和装置に対し、外部からの攻撃に対する防御処理の実行の要求を示す防御要求の受信に応じて防御処理の実行を指示する制御装置が、
   受信された防御要求に含まれる所定の特定データが有効である場合には、前記特定データが有効でない又は前記特定データが含まれない場合に実行される処理の一部又は全部を実行することなく前記防御処理の実行を指示することによって、前記特定データが有効でない又は前記特定データが前記防御要求に含まれない場合に比べて、前記防御要求が受信されてからより早いタイミングで前記防御処理の実行を指示し、
   前記特定データは、前記緩和装置による前記防御処理を提供する第一主体と、前記防御処理の提供を受ける第二主体との間で予め規定されたデータであり、前記第二主体が受ける外部からの攻撃の種別が予め定められている１又は複数の攻撃の種別であることを示す、制御方法。
6. 請求項１又は請求項２に記載の制御装置としてコンピュータを機能させるためのコンピュータプログラム。

Images