JP6777615B2 - 対処装置、対処方法及びプログラム - Google Patents

Description

本発明は、対処装置、対処方法及びプログラムに関する。

近年、ＤＤｏＳ攻撃が大規模化しており、上流ＩＳＰ（Internet Service Provider）のネットワーク帯域の枯渇や防御機能（例えば、非特許文献１に示すｍｉｔｉｇａｔｉｏｎ装置）のリソース限界により、標的となった組織単独での対処が困難な場合が存在する。このようなＤＤｏＳ攻撃に対して、複数のＡＳ（Autonomous System）のｍｉｔｉｇａｔｉｏｎ装置のリソースをシェアし、ＡＳ間リンクの輻輳を回避しつつ、各ＡＳのｍｉｔｉｇａｔｉｏｎ装置のリソース使用率を平準化しながら、発生した攻撃に分担して対処することで、インターネット全体で対処可能な攻撃量を向上させる技術が提案されている（非特許文献２）。

Arbor Networks、"DDOS PROTECTION BY ARBOR NETWORKS APS"、［online］、インターネット＜http://www.arbornetworks.com/ddos-protection-products/arbor-aps＞ 前田浩明他、"AS間リンク帯域を考慮したDDoS攻撃連携対処方式に関する一検討"、 電子情報通信学会2017年総合大会講演論文集、B-6-55、2017年3月 NTT America、"DDoS Mitigation Services Datasheet"、［online］、インターネット＜http://www.us.ntt.com/content/dam/nttcom/us/pdf/brochure/ddos-mitigation-services.pdf＞

Ｔｉｅｒ１ ＩＳＰ等では、グローバルに複数のｍｉｔｉｇａｔｉｏｎ拠点を配備し、遅延・消費帯域等の観点から流入元に近い拠点のリソースを利用したＤＤｏＳ攻撃対処が行われているが（非特許文献３）、このようなグローバル規模のＡＳと連携する場合、既存技術（非特許文献２）によるＡＳ間リンクの輻輳回避とｍｉｔｉｇａｔｉｏｎ装置のリソース負荷分散が正確に行えず、ＤＤｏＳ攻撃対処性能が劣化するという課題がある。

具体的には、既存技術では、各ＡＳのｍｉｔｉｇａｔｉｏｎ装置のリソース総量をベースに、任意の標的ＡＳ宛通信に対する各ＡＳのｍｉｔｉｇａｔｉｏｎ装置のリソース割り当て量（対処量）を調整するため、各ＡＳ内のｍｉｔｉｇａｔｉｏｎ装置のリソースを使い切れる場合はＡＳ単位での最適な調整が実現できるが、複数のＡＳ間リンクやｍｉｔｉｇａｔｉｏｎ拠点を保有するＡＳでは、標的ＡＳ宛通信の入ってくるリンクによって利用可能なｍｉｔｉｇａｔｉｏｎ拠点（ｍｉｔｉｇａｔｉｏｎ装置のリソース量）が限定されるため、ＡＳ内のリソースを使い切ることができず、正確なリソース調整ができない。例えば、或るＡＳに２つの拠点ｘ、ｙが存在し、それぞれ１０Ｇｂｐｓずつ利用可能なｍｉｔｉｇａｔｉｏｎ装置リソースがあり、拠点ｘの近くから流入した（拠点ｘで対処可能な）標的ＡＳ宛通信量が１２Ｇｂｐｓ、拠点ｙの近くから流入した（拠点ｙで対処可能な）標的ＡＳ宛通信量が３Ｇｂｐｓの状況を想定すると、既存技術ではリソースの総和２０Ｇｂｐｓ分はこのＡＳで対処可能として計算するが、もし、標的ＡＳ宛通信の総量（＝１５Ｇｂｐｓ）分の対処が当該或るＡＳに割り当てられた場合、標的ＡＳ宛通信の流入口の付近における拠点ｘのリソース不足で対処不能になる。

また、既存技術では、ＡＳ間のリンクを１つとみなして輻輳回避を行うが、特にグローバル規模のＡＳ間は、複数のリンクで接続されており、或るＡＳ間リンクで発生する輻輳を回避するためには、複数のリンク経由で下流ＡＳに流入してくる標的ＡＳ宛通信の内、当該リンクに流入する標的ＡＳ宛通信を減らすように、上流側のＡＳの適切な拠点で対処してもらう必要があるが、下流ＡＳが標的ＡＳ毎にＡＳ単位での対処量（例えば、ＡＳ１はＡＳ２宛通信に対して、１０Ｇｂｐｓ分対処）を算出して上流ＡＳに通知するだけのため、輻輳を回避するように対処してもらえるかが不明という課題もある。

本発明は、上記の点に鑑みてなされたものであって、特定の宛先の通信に関してＡＳ間リンク帯域の輻輳の回避と各ＡＳの拠点のリソース使用率の平準化とを実現可能とすることを目的とする。

そこで上記課題を解決するため、特定の宛先に対する通信に対処する拠点を含むＡＳ（Autonomous System）ごとに設置される対処装置は、当該対処装置に対応する第１のＡＳよりも前記通信に関して上流側の第２のＡＳに対応する他の対処装置に対して、前記通信に対する対処を要求する要求部と、前記他の対処装置から、前記第２のＡＳにおいて前記対処に利用される前記拠点ごとに、当該拠点に対応する前記通信の入口における通信量の和である引き込み可能な通信量と、前記第２のＡＳにおける前記通信の出口リンクの輻輳を回避するために前記第２のＡＳにおいて対処すべき前記出口リンクごとの最低量とを受信する受信部と、前記第２のＡＳが前記対処を実施しなかった場合に前記第１のＡＳにおいて前記対処に利用される前記拠点ごとに、当該拠点に対応する前記通信の入口における通信量の和である引き込み可能な通信量を取得する取得部と、前記各拠点単位の対処量が、前記各拠点についての前記引き込み可能な通信量以下であること、かつ、前記第１のＡＳの各拠点及び前記第２のＡＳの各拠点のリソース使用率が平準化されること、かつ、前記各出口リンク単位の前記第２のＡＳにおける対処量が、当該出口リンクに対する前記最低量以上であることを制約条件とし、前記各拠点単位の対処量及び前記各出口リンク単位の前記第２のＡＳにおける対処量を変数とする最適化問題を解くことで、前記各拠点単位の対処量及び前記各出口リンク単位の前記第２のＡＳにおける対処量を算出する算出部と、を有する。

特定の宛先の通信に関してＡＳ間リンク帯域の輻輳の回避と各ＡＳの拠点のリソース使用率の平準化とを実現可能とすることができる。

本発明の実施の形態におけるネットワークの構成例を示す図である。 本発明の実施の形態における連携対処装置１０を有するＡＳの構成例を示す図である。 本発明の実施の形態における連携対処装置１０のハードウェア構成例を示す図である。 本発明の実施の形態における連携対処装置１０の機能構成例を示す図である。 本発明の実施の形態における各ＡＳの連携対処装置１０が実行する処理手順の一例を説明するためのシーケンス図である。 本発明の実施の形態における各ＡＳの連携対処装置１０が実行する処理手順の一例を説明するためのシーケンス図である。 標的ＩＰアドレス情報テーブル１３１の構成例を示す図である。 対処状態管理テーブル１３２の構成例を示す図である。 連携先ＡＳ情報テーブル１３７の構成例を示す図である。 攻撃情報テーブル１３３の構成例を示す図である。 ＧＷ・拠点対応情報テーブル１３５の構成例を示す図である。 ＡＳ間リンク情報テーブル１３４の構成例を示す図である。 拠点情報テーブル１３６の構成例を示す図である。 攻撃検知メッセージ処理部１１２が実行する処理手順の一例を説明するためのフローチャートである。 対処要求メッセージ処理部１１３が実行する処理手順の一例を説明するためのフローチャートである。 対処応答メッセージ処理部１１４が実行する処理手順の一例を説明するためのフローチャートである。 調整要求メッセージ処理部１１５が実行する処理手順の一例を説明するためのフローチャートである。 リソース最適化処理の処理手順の一例を説明するためのフローチャートである。 更新要求メッセージ処理部１１６が実行する処理手順の一例を説明するためのフローチャートである。 輻輳対処メッセージ処理部１１７が実行する処理手順の一例を説明するためのフローチャートである。 対処終了要求メッセージ処理部１１８が実行する処理手順の一例を説明するためのフローチャートである。

本実施の形態では、ＤＤｏＳ攻撃情報の共有と各攻撃に対して各ＡＳ（Autonomous System）の防御機能のリソースをどれだけ割り当てるかを調整する役割を担う連携対処装置１０を導入する。なお、各ＡＳの連携対処装置１０は、近隣の連携先ＡＳの連携対処機能とのみ通信を行う分散型のアーキテクチャ上で動作する。

以下の（１）〜（４）により、ＡＳ間リンクの輻輳を回避しつつ、拠点単位でのｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率の平準化を実現する。
（１）連携対処装置１０を保有する各ＡＳは、次の情報を保持
・拠点毎のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量と利用可能リソース量
・ＡＳ間リンクが複数ある場合は、リンク毎の利用可能帯域
・通信の流入する（入口）ＧＷ毎に、対処に利用可能な拠点情報
・各ＧＷが接続する他ＡＳのＧＷの情報
（２）任意の標的宛対処を依頼された際に、その標的宛対処に関わるＡＳの連携対処装置１０は、以下を取得（特定）又は計算する。
・標的宛通信の流入する入口ＧＷと各入口ＧＷを流れる標的宛通信量
・標的宛通信の流入する入口ＧＷと他ＡＳへの出口ＧＷ・出口リンクの対応情報
・各拠点に引き込み可能な標的宛通信量
・自ＡＳでの対処を実施する前の状態を想定した際に、各出口のＡＳ間リンクを流れる標的宛通信量（出口リンクに流入する標的宛通信量）と、そのＡＳ間リンクの輻輳を回避するために、リンクへの流入前に自ＡＳで対処すべき標的宛通信量の最低値（最低対処量）
（３）連携対処装置１０は、標的ＡＳ番号や標的ＩＰアドレスに加えて、「標的宛通信の流入する入口ＧＷと各入口ＧＷを流れる標的宛通信量、標的宛通信の流入する入口ＧＷと他ＡＳへの出口ＧＷ・出口リンク・利用可能な拠点の対応情報、各拠点に引き込み可能な標的宛通信量、出口リンクに流入する標的宛通信量とそのＡＳ間リンクの輻輳を回避するための最低対処量、対処中の標的宛通信量」をメッセージに含めて、連携するＡＳ間でやり取りし、上流ＡＳのどの拠点で対処すれば下流ＡＳのどの拠点リソースが負荷分散されるか、及びどのＡＳ間リンクの輻輳を回避できるかを紐づけた上で、ＡＳ間リンクが輻輳しない範囲内で各拠点のｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率を平準化する最適化問題を構築する。この最適化問題を解くことで、上流ＡＳと下流ＡＳの各拠点で対処する標的宛通信量を算出し、その値を各ＡＳに共有する。
（４）この局所的なリソース調整を分散処理的に繰り返し実施することで、最終的に、インターネット全体で、ＡＳ間リンク輻輳の回避と各拠点単位でのｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率の平準化を統一的に実現しつつ、発生した攻撃への対処が可能となる。

以下、図面に基づいて本発明の実施の形態を説明する。本実施の形態では、Ａｕｔｏｎｏｍｏｕｓ Ｓｙｓｔｅｍ（以下、単に「ＡＳ」という。）間でのＤＤｏＳ攻撃情報の共有及び或るＡＳを標的とするＤＤｏＳ攻撃に対して、各ＡＳの防御機能のリソースをどれだけ割り当てるのかを調整する役割を担う連携対処装置１０を開示する。また、連携対処装置１０間のアーキテクチャとして、例えば、非特許文献２のアーキテクチャなど、近隣ＡＳの連携対処装置１０とのみ直接通信を行う分散型のアーキテクチャを適用することでスケーラビリティを向上させ、局所的な調整を繰り返すことで、インターネット全体で統一的なリソース割り当てを実現する。

攻撃の標的となったＡＳ（以下、「標的ＡＳ」という。）が攻撃を検知した場合、まず、標的ＡＳから他のＡＳとの連携対処を開始し、各ＡＳの連携対処装置１０を介して、上流ＡＳ方向に標的ＩＰアドレスを含む対処要求メッセージを伝搬し、要求を受信したＡＳにおいて、随時、標的宛通信への対処とさらに上流ＡＳへの対処要求の伝搬を繰り返していくことで、防御機能のリソースの許す限り、攻撃元に近いＡＳでの攻撃対処を実現する。

次に、各ＡＳの防御機能のリソース使用率を平準化するために、最上流のＡＳから下流ＡＳ方向に、「標的ＡＳ番号、標的宛通信の流入する入口ＧＷと各入口ＧＷを流れる標的宛通信量、標的宛通信の流入する入口ＧＷと他ＡＳへの出口ＧＷ・出口リンク・利用可能な拠点の対応情報、各拠点に引き込み可能な標的宛通信量、出口リンクに流入する標的宛通信量とそのＡＳ間リンクの輻輳を回避するための最低対処量、対処中の標的宛通信量」を含む調整要求メッセージを伝搬していき、調整要求メッセージを受信したＡＳ（以下、「下流ＡＳ」という。）自身の情報と合わせて、下流ＡＳとその連携先の上流ＡＳとの間で、ＡＳ間リンクの輻輳を回避しつつ、各ｍｉｔｉｇａｔｉｏｎ拠点のリソース使用率を平準化するための最適化問題を構築して解くことにより、各ＡＳで対処する標的宛通信量を調整する。

なお、ＡＳ間リンクの輻輳回避は、各ＡＳ間リンクの輻輳を回避するための最低対処量を制約条件として、当該最低対処量以上になるように上流ＡＳの対処する標的宛通信量を計算することで実現する。

分散型のアーキテクチャにより、上記の局所的なリソース割り当て量の調整を下流ＡＳ方向および上流ＡＳ方向に繰り返し行うことで、インターネット全体でＡＳ間リンクの輻輳を回避しつつ、各拠点の防御機能のリソース使用率が平準化された統一的なリソース割り当てが実現される。

図１は、本発明の実施の形態におけるネットワークの構成例を示す図である。
本実施の形態では、ネットワーク（インターネットに相当）を構成する複数の組織ネットワーク（ＡＳ）が連携対処装置１０（連携対処装置１０−１〜１０−４）を保有する状況を想定している。また、一例として、ＡＳ１（ＩＳＰ網等）内のシステムが、ＡＳ３、４、５の加入者ネットワーク内に存在する攻撃者の端末（Ｂｏｔ等）からのＤＤｏＳ攻撃の標的となった場合を想定し、ＡＳ１が、他のＡＳとの間で、ＤＤｏＳ攻撃情報の共有と連携対処時のパラメータ調整（パラメータは、ある標的への攻撃に対して、各ＡＳの防御機能のリソースをどれだけ割り当てて対処するかの量）等に必要な情報とを共有し、それらの情報を用いて、他ＡＳとの間で対処パラメータを調整する方法を説明する。

図１に示されるように、任意数のＡＳ（ＡＳ１〜ＡＳ５など）がネットワークに含まれ、これらのＡＳが相互接続されることによって、インターネットを模したネットワークのネットワークトポロジが構成される。図１において、ＡＳ１は、連携対処装置１０−１、ｍｉｔｉｇａｔｉｏｎ拠点ｂ１−１及びｂ１−２、ＧＷ１−１及び１−２、並びに標的システムｔ１を含む。ＡＳ２は、連携対処装置１０−２、ｍｉｔｉｇａｔｉｏｎ拠点ｂ２−１及びｂ２−２、並びにＧＷ２−１〜２−５を含む。ＡＳ３は、連携対処装置１０−３、ｍｉｔｉｇａｔｉｏｎ拠点ｂ３、並びにＧＷ３−１及び３−２を含む。ＡＳ４は、連携対処装置１０−４、ｍｉｔｉｇａｔｉｏｎ拠点ｂ４、並びにＧＷ４−１及び４−２を含む。ＡＳ５は、ＧＷ５−１及び５−２を含む。

連携対処装置１０は、後述されるように、各ＡＳ間でＤＤｏＳ攻撃情報等をやり取りし、やり取りした情報に基づき、ＤＤｏＳ攻撃に対処するためのパラメータを調整すると共に、他のＡＳに対してＤＤｏＳ攻撃の対処を要求する１以上のコンピュータである。

ＤＤｏＳ攻撃に対処するためのパラメータとは、例えば、ＡＳ２、ＡＳ３及びＡＳ４で分担してある標的宛の攻撃に対処する場合、各ＡＳで標的宛通信量を何Ｇｂｐｓずつｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処するのかを示す量、フィルタリングする場合に各ＡＳで何Ｇｂｐｓまで標的宛通信を減らすのかを示す量（フィルタリングの閾値）などである。これらの対処パラメータは、各ＡＳを流れる標的宛通信量や各ＡＳが保有するｍｉｔｉｇａｔｉｏｎ装置４０の容量（リソース量）、ＡＳ間リンクの利用可能帯域量などの情報に基づく計算や、ＡＳ間のリンク輻輳の検査・対処処理を通じて調整される。

ＡＳ１内の任意のシステムがＤＤｏＳ攻撃の被害に遭っている場合、ＡＳ１は、連携対処装置１０を保有する近隣のＡＳ（ＡＳ１の場合、ＡＳ２。以降、「連携先ＡＳ」という。）の連携対処装置１０に対して、自ＡＳ番号や標的システムｔ１のＩＰアドレス（標的システムｔ１が複数存在する場合は、ＩＰアドレスのリスト）等のＤＤｏＳ攻撃情報を含む、攻撃への対処要求メッセージを送信する。

連携先ＡＳの連携対処装置１０は、連携対処装置１０−１１０−１から受信した情報、自ＡＳの各ＧＷ等から取得したフロー等のトラヒック情報、ＢＧＰ（Border Gateway Protocol）等の経路情報、自身の連携先ＡＳ情報に基づき、標的宛通信が自網内から対処要求メッセージの送信元ＡＳ（ＡＳ１）に、他の連携先ＡＳを経由せずに流れているのかを示す情報の取得、標的宛通信への対処等を実施し、対処要求メッセージの送信元ＡＳ（ＡＳ１）に対して、取得した情報や対処状況等を応答する。連携先ＡＳの連携対処装置１０は、更に、標的宛通信が自網内から対処要求メッセージの送信元ＡＳに流れている場合は、メッセージの送信元（ＡＳ１）を除く、他の連携先ＡＳ（ＡＳ２の場合は、ＡＳ３及びＡＳ４）の連携対処装置１０に、ＤＤｏＳ攻撃情報を含む対処要求メッセージを送信する。これを上流側ＡＳ方向に繰り返していくことで、攻撃元近くのＡＳまでＤＤｏＳ攻撃情報を含む対処要求メッセージが伝搬される。その後、最上流のＡＳから下流ＡＳ方向に、拠点単位のｍｉｔｉｇａｔｉｏｎ装置４０のリソース負荷分散に必要な情報及び調整要求メッセージを伝搬することで、徐々に拠点単位でのｍｉｔｉｇａｔｉｏｎ装置４０のリソースの負荷分散が進んでいく。

ここで、各ＡＳの連携対処装置１０は、連携先ＡＳの連携対処装置１０との通信に必要な連携先ＡＳの連携対処装置１０のＩＰアドレス等の情報を予め保有していることを想定している。また、各ＡＳの連携対処装置１０に対する連携先ＡＳの連携対処装置１０に関する情報の設定は、本仕組みを各ＡＳに導入する際などに、ＢＧＰの経路情報やインターネットのトポロジ情報に基づき行われることを想定している。なお、標的ＡＳから連携対処を開始する（標的ＡＳから他のＡＳに攻撃情報や対処要求等を送信する）タイミングは任意である。例えば、自ＡＳ内のシステムを標的とする攻撃を検知した際に連携対処を開始する他、攻撃を検知した場合には、まず自ＡＳ内の防御機能のみで対処を行い、自ＡＳ内の防御機能のリソースやネットワーク帯域が逼迫した際に連携対処を開始することや、攻撃を検知してから一定時間毎等に連携対処を実施することも想定される。

ｍｉｔｉｇａｔｉｏｎ拠点ｂ１―１、ｂ１−２、ｂ２−１、ｂ２−２、ｂ３、ｂ４（以下、それぞれを区別しない場合、単に「拠点」というは、１以上のｍｉｔｉｇａｔｉｏｎ装置４０を含むデータセンタ等である。

ｍｉｔｉｇａｔｉｏｎ装置４０は、例えば、非特許文献１に記載される装置であってもよく、対処要求メッセージに含まれるＤＤｏＳ攻撃情報等に基づき標的宛通信に対する対処を実施する。なお、ＤＤｏＳ攻撃に対処する技術としては、ｍｉｔｉｇａｔｉｏｎ装置４０のほかに、ルータ等の転送装置によるＡＣＬ（Access Control List）等を利用した攻撃通信のフィルタリング、攻撃の標的宛通信の帯域制限（レートリミット等）等も想定され、本実施の形態は、これらの対処技術との組み合わせも可能である。後述の本実施の形態における動作手順では、ｍｉｔｉｇａｔｉｏｎ装置４０を利用して連携対処する場合の具体的な動作手順を説明する。

ＧＷ（ゲートウェイ）は、他ＡＳや自ＡＳ内の加入者ネットワーク等との境界（エッジ）に位置するパケット転送装置を表す。なお、ここでいうパケット転送装置は、厳密にはパケットを転送する機能を持つ装置であればルータに限定されず、例えばレイヤ２スイッチ等であってもよい。

図２は、本発明の実施の形態における連携対処装置１０を有するＡＳの構成例を示す図である。図２では、ＡＳ１に着目して説明するが、他のＡＳについても同様の構成が採用されてもよい。

図２において、ＡＳ１には、ｍｉｔｉｇａｔｉｏｎ装置４０、連携対処装置１０、攻撃検知装置２０、ネットワーク制御装置３０、パケット転送装置及びＧＷ等が設置される。

ここで、ＧＷは、パケット転送装置と同等の装置であるが、特に他ＡＳや自ＡＳ内の加入者ネットワーク等との境界に位置するものとして、他のパケット装置と区別して記載している。但し、以下における「パケット転送装置」には、ＧＷも含まれる。

攻撃検知装置２０は、各パケット転送装置から定期的にフロー情報（送受信ＩＰアドレス、送受信ポート番号、プロトコル番号等の組からなるフロー毎の通信量等）を収集し、収集したフロー情報を分析することで特定の宛先へのＤＤｏＳ攻撃の発生を検知する。

攻撃検知装置２０は、また、攻撃検知時等の任意のタイミングで、自ＡＳ（図２ではＡＳ１）の連携対処装置１０に対して、標的システムｔ１のＩＰアドレスを含む攻撃検知メッセージを送信する。標的システムｔ１が複数存在する場合や標的システムｔ１が複数のＩＰアドレスを保有する場合には、複数の標的ＩＰアドレスが攻撃検知メッセージに含まれる。なお、攻撃検知装置２０は、例えば、非特許文献４に記載されるＳＡＭＵＲＡＩ等によって実現されてもよい。ＳＡＭＵＲＡＩについては、「水口孝則他，"トラフィック解析システムＳＡＭＵＲＡＩとサービス展開，"ＮＴＴ技術ジャーナル，2008.7，http://www.ntt.co.jp/journal/0807/files/jn200807016.pdf」等が参考とされてもよい。

攻撃検知装置２０は、更に、ＤＤｏＳ攻撃が発生した際、又は任意のタイミングで、各ＧＷやパケット転送装置を流れる標的のＩＰアドレス宛通信量、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の利用可能なリソース量、隣接ＡＳとの間のリンク（ＡＳ間リンク）の利用可能帯域量等を測定し、任意のテーブルに格納すると共に、自ＡＳの連携対処装置１０に通知する機能を有する。

ｍｉｔｉｇａｔｉｏｎ装置４０は、非特許文献１に説明される装置のように、ＤＤｏＳ攻撃対処に特化した装置であり、ある宛先に対する通信の中から、攻撃通信と正常通信とを区別して、攻撃通信のみを遮断するといった対処を行うことができる。前述の通り、ＤＤｏＳ攻撃対処の手段はこの他にも想定できるが、本実施の形態では、ＤＤｏＳ攻撃対処のための手段の一例として、ＡＳがｍｉｔｉｇａｔｉｏｎ装置４０を保有する場合について記載している。

ネットワーク制御装置３０は、パケット転送装置を制御する機能を有する。ネットワーク制御装置３０は、例えば、ＳＤＮ（Software-Defined Networking）コントローラであってもよい。ネットワーク制御装置３０は、また、連携対処装置１０と通信し、連携対処装置１０から通知された情報（標的のＩＰアドレスの一覧、対処方式、対処のためのパラメータ等）に基づき、パケット転送装置を制御することで、ｍｉｔｉｇａｔｉｏｎ装置４０に標的宛の通信を迂回させたり、各パケット転送装置にフィルタリングを設定したりといった制御や、適用中のトラヒック制御等を終了するための制御を行う。

ｍｉｔｉｇａｔｉｏｎ装置４０を利用して対処する場合の具体例を説明すると、ネットワーク制御装置３０は、ＢＧＰ（Border Gateway Protocol）又はＯｐｅｎＦｌｏｗ等を利用し、各パケット転送装置が保有する標的宛パケットの転送に関わるルーティング情報を一時的に書き換える（転送先をｍｉｔｉｇａｔｉｏｎ装置４０のＩＰアドレスに変更する）ことで、標的宛パケットのみをｍｉｔｉｇａｔｉｏｎ装置４０に迂回させて検査及び対処することができる。

連携対処装置１０は、ネットワーク制御装置３０と通信し、標的のＩＰアドレスのリストを含むＤＤｏＳ攻撃情報、ＤＤｏＳ攻撃の対処方式（例えば、ｍｉｔｉｇａｔｉｏｎ装置４０を利用）、対処する通信量（ｍｉｔｉｇａｔｉｏｎ装置４０に引き込む標的宛通信量）等をネットワーク制御装置３０に通知する。連携対処装置１０は、また、攻撃検知装置２０と通信し、各ＧＷやルータを流れる標的のＩＰアドレス宛の通信量、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量や利用可能なリソース量、ＡＳ間リンクの利用可能帯域量等を、攻撃検知装置２０から取得する。

連携対処装置１０は、また、攻撃検知メッセージを受信した場合、攻撃検知メッセージに含まれる標的ＩＰアドレスを標的ＩＰアドレス情報テーブル１３１（図７）に格納する。

連携対処装置１０は、更に、他のＡＳの連携対処装置１０と通信し、ＤＤｏＳ攻撃情報（標的ＡＳを識別可能な番号（例えば、ＡＳ番号）、標的ＩＰアドレスの一覧等）や、連携対処に必要な情報（各ＡＳにおける標的宛通信の流入する入口ＧＷと各入口ＧＷを流れる標的宛通信量、標的宛通信の流入する入口ＧＷと他ＡＳへの出口ＧＷ・出口リンク・利用可能な拠点の対応情報、各拠点に引き込み可能な標的宛通信量、出口リンクに流入する標的宛通信量とそのＡＳ間リンクの輻輳を回避するための最低対処量、対処中の標的宛通信量といった対処パラメータ等）等をやり取りする。

ここで、ＤＤｏＳ攻撃情報は、前記情報のみに限定されず、連携して対処する際のやり方に応じて、攻撃タイプ、攻撃元のＩＰアドレス情報、ｍｉｔｉｇａｔｉｏｎ装置４０で検査後のパケットを元のＡＳまで転送するためのトンネル情報等を含むものであってもよい。また、連携対処装置１０は、他のＡＳの連携対処装置１０との間でＡＳ間のリンク輻輳の発生の有無を検査するためのパケットをやり取りし、平常時のＲＴＴ（Round Trip Time）からの遅延の増大やパケットのドロップの有無等に基づき、輻輳発生を検知する機能を有する。

図３は、本発明の実施の形態における連携対処装置１０のハードウェア構成例を示す図である。図３の連携対処装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。

連携対処装置１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）、ＤＶＤ（Digital Versatile Disk）、フラッシュメモリ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って連携対処装置１０に係る各種機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。

但し、連携対処装置１０は、上述したハードウェア構成に限定されるものでなく、他の何れか適切なハードウェア構成により実現されてもよい。なお、本実施例で示す構成は一例であり、例えば、連携対処装置１０が、攻撃検知装置２０やネットワーク制御装置３０を含んでもよい。

図４は、本発明の実施の形態における連携対処装置１０の機能構成例を示す図である。図４において、連携対処装置１０は、処理部１１及び通信部１２を有する。これら各部は、連携対処装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。連携対処装置１０は、また、記憶部１３を利用する。記憶部１３は、例えば、補助記憶装置１０２、又は連携対処装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。

処理部１１は、メッセージ受付部１１１、攻撃検知メッセージ処理部１１２、対処要求メッセージ処理部１１３、対処応答メッセージ処理部１１４、調整要求メッセージ処理部１１５、更新要求メッセージ処理部１１６、輻輳対処メッセージ処理部１１７、対処終了要求メッセージ処理部１１８、輻輳検査部１１９、パラメータ調整部１２０、攻撃対処設定部１２１及び対処終了判断部１２２等を含む。

通信部１２は、他のＡＳの連携対処装置１０、自ＡＳの攻撃検知装置２０及び自ＡＳのネットワーク制御装置３０と通信する。また、通信部１２は、パケット転送装置やｍｉｔｉｇａｔｉｏｎ装置４０から直接情報を取得したり、制御対象の装置とも通信したりする。

記憶部１３は、自ＡＳ及び連携先ＡＳのＤＤｏＳ攻撃対処に関する情報を記憶する。図４において、記憶部１３は、標的ＩＰアドレス情報テーブル１３１、対処状態管理テーブル１３２、攻撃情報テーブル１３３、ＡＳ間リンク情報テーブル１３４、ＧＷ・拠点対応情報テーブル１３５、拠点情報テーブル１３６及び連携先ＡＳ情報テーブル１３７等を記憶する。

まず、全体的な処理の流れについて説明する。図５及び図６は、本発明の実施の形態における各ＡＳの連携対処装置１０が実行する処理手順の一例を説明するためのシーケンス図である。当該シーケンス図が示すロジックでは、複数箇所が同時に攻撃される場合にも対処不能にならないように、可能な限りＡＳ全体で各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の使用率が均一になるように、かつ、ＡＳ間リンクの輻輳を回避するように、各拠点で処理する通信量（攻撃通信＋正常通信）を調整しながら対処が実施される。

ここでは、下流ＡＳが、上流ＡＳのｍｉｔｉｇａｔｉｏｎ装置４０で検査済みのパケット（すなわち、攻撃パケットではない標的宛てパケット）と未検査のパケット（すなわち、攻撃パケットであるか否かが不明な標的宛てパケット）とを区別可能であることを前提とし、各ＡＳでは、標的宛かつ未検査のパケットのみを対象に、指定された通信量分をｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する。

なお、検査済みのパケットと未検査のパケットとを区別可能にする方法としては、例えば、ＯｐｅｎＦｌｏｗ等を利用して、上流ＡＳにおいて、ｍｉｔｉｇａｔｉｏｎ装置４０で検査済みの標的宛パケットの宛先ＩＰアドレスを、標的ＡＳ内の平常時は使用していない任意のＩＰアドレスに書き換え、標的ＡＳに到達後に、元のＩＰアドレスに戻すといった方法や、ＧＲＥ（Generic Routing Encapsulation）等のトンネリング技術を利用して、標的ＡＳの任意のルータ等までカプセル化して転送するといった方法が考えられるが、これらの方法に限定されない（どちらの方法でも、上流ＡＳのｍｉｔｉｇａｔｉｏｎ装置４０で検査済みの場合は、途中のＡＳでは、標的とは異なる宛先ＩＰアドレスのパケットに見えるため、ｍｉｔｉｇａｔｉｏｎ装置４０への二重引き込みを回避できる）。この場合、標的ＡＳの連携対処装置１０と対処を実施するＡＳの連携対処装置１０との間で、書き換えに利用するＩＰアドレス情報、トンネルの始点、終点となるノードのＩＰアドレスを追加で共有する必要があるが、例えば、対処要求メッセージや調整要求メッセージに含めて共有することが考えられる。

図５及び図６では、ＡＳ１の攻撃検知装置２０による、ＡＳ１の標的システムｔ１への攻撃の検知をトリガーとして、自動的にＡＳ間での連携対処が行われる際の処理手順を説明する。ここで、各ＡＳの連携対処装置１０は、攻撃検知装置２０や他のＡＳの連携対処装置１０からのメッセージを常に待ち受け、メッセージを受信した際には、当該メッセージに対応した処理を実施する。また、連携対処装置１０は、あるメッセージの処理中に他のメッセージを受信した場合は、受信したメッセージをキューに貯めていき、最も古いメッセージから１つずつ処理を実施する。

また、図５及び図６では、ＡＳ３、ＡＳ４、ＡＳ５内の端末が攻撃元となり、１つのＡＳ（ＡＳ１）が標的となっている場合について説明しているが、複数のＡＳが同時に攻撃される場合にも、それぞれの攻撃に並列で対処することができる。さらに、連携対処装置１０は、他の連携対処装置１０にメッセージを送信する際に、非同期で動作する（すなわち、送信したメッセージに対する応答を待たずに他の処理を実行する）。

ステップＳ１０１において、連携対処装置１０−１は、ＡＳ１の攻撃検知装置２０からの攻撃検知メッセージを受信すると、ＡＳ１の標的ＩＰアドレス情報テーブル１３１に、自身の標的ＡＳ番号と当該攻撃検知メッセージに含まれる標的ＩＰアドレスとを対応付けて登録する。

図７は、標的ＩＰアドレス情報テーブル１３１の構成例を示す図である。標的ＩＰアドレス情報テーブル１３１は、標的となっているシステム（標的システムｔ１）のＩＰアドレスを管理するためのテーブルである。図７において、標的ＩＰアドレス情報テーブル１３１には、「標的ＡＳ番号」ごとに、１以上の「標的ＩＰアドレス」が対応付けられて記憶される。

「標的ＡＳ番号」は、検知されたＤＤｏｓ攻撃の被害に遭っているＡＳを一意に識別可能な情報（ＡＳ番号）である。「標的ＩＰアドレス」は、「標的ＡＳ番号」に係るＡＳにおける標的システムｔ１のＩＰアドレスである。自ＡＳにおける「標的ＩＰアドレス」の値は、新規のＩＰアドレス宛攻撃の検知の都度、または、一定時間毎等の任意のタイミングで、攻撃検知装置２０から通知され、記憶される。また、他ＡＳの標的ＡＳ番号に対応する「標的ＩＰアドレス」は、他ＡＳを標的とする攻撃対処において、他ＡＳの連携対処装置１０からの対処要求メッセージに含めて通知され、対処要求メッセージの受信時の処理の中で、連携対処装置１０によって登録される。なお、図７は、ＡＳ１（連携対処装置１０−１）における標的ＩＰアドレス情報テーブル１３１の内容を示す。

続いて、連携対処装置１０−１は、対処状態管理テーブル１３２に、自ＡＳを標的とする攻撃に対応するレコードを生成する（Ｓ１０２）。

図８は、対処状態管理テーブル１３２の構成例を示す図である。対処状態管理テーブル１３２は、現在対処中の攻撃の標的ＡＳ毎に、その対処に関わる各ＡＳの対処ステータスを管理するためのテーブルである。図８において、対処状態管理テーブル１３２は、「標的ＡＳ番号」、「要求元（下流＝親）ＡＳ番号」、及び「対処ステータス」等の項目を含む。

「標的ＡＳ番号」は、標的ＡＳのＡＳ番号である。「要求元（下流＝親）ＡＳ番号」は、対処要求メッセージの直接の送信元ＡＳのＡＳ番号である。

「対処ステータス」は、「標的ＡＳ番号」に係るＡＳに対する攻撃に関する「自ＡＳに関する情報」及び「連携先（上流＝子）に関する情報」等を含む。「自ＡＳに関する情報」は、当該対処状態管理テーブル１３２を連携対処装置１０が属するＡＳのＡＳ番号、対処方式、状態及び最上流フラグ等を含む。「連携先（上流＝子）に関する情報」は、連携先の連携対処装置１０が属するＡＳの「ＡＳ番号」、「対処方式」及び「状態」等を含む。なお、「連携先（上流＝子）に関する情報」は、連携先ＡＳの個数分存在する。「対処方式」は、実施中の対処方式である。「状態」は、対処に関する状態である。「最上流フラグ」は、標的ＡＳ宛通信対処の最上流ＡＳかどうかを表すフラグである。なお、図８は、便宜上、連携対処装置１０−２−２における対処状態管理テーブル１３２の内容を示す。

ステップＳ１０２では、「標的ＡＳ番号」がＡＳ１のＡＳ番号であるレコードが生成される。

続いて、連携対処装置１０−１は、ＡＳ１のネットワーク制御装置３０に対して、標的ＩＰアドレスリスト（図７の「標的ＡＳ番号」が「ＡＳ１」であるレコードの内容）を通知し、自ＡＳ内のｍｉｔｉｇａｔｉｏｎ装置４０を用いた対処を適用する（上流で未検査の標的宛通信を全てｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処するように設定）（Ｓ１０３）。この際、連携対処装置１０−１は、対処状態管理テーブル１３２に対してステップＳ１０２において生成したレコードの「自ＡＳに関する情報」に値を登録する。具体的には、「ＡＳ番号」には、ＡＳ１のＡＳ番号が登録される。対処方式には、対処した方式が登録される。状態には、「対処中」が登録される。「最上流フラグ」は、このタイミングでは値は登録されない。

続いて、連携対処装置１０−１は、連携先ＡＳ情報テーブル１３７を参照することで特定される、連携先ＡＳ（ＡＳ２）の連携対処装置１０−２に対して、標的ＡＳ番号（ＡＳ１）、標的ＩＰアドレスリスト、自身のＡＳ番号（ＡＳ１）を含む対処要求メッセージを送信する（Ｓ１０４）。

図９は、連携先ＡＳ情報テーブル１３７の構成例を示す図である。連携先ＡＳ情報テーブル１３７、自ＡＳにおいて、直接の通信先となる連携先ＡＳに関する情報を管理するためのテーブルである。図９において、連携先ＡＳ情報テーブル１３７には、連携先ＡＳごとに、「連携先ＡＳ番号」、「隣接フラグ」、「ＩＰアドレス：ポート番号」及び「拠点情報」等の項目を含む。

「連携先ＡＳ番号」は、連携先ＡＳのＡＳ番号である。「隣接フラグ」は、当該連携先ＡＳが隣接ＡＳか否かを示すフラグである。なお、連携対処装置１０を有さないＡＳを跨いで二つのＡＳが連携する場合（例えば、仮に、ＡＳ５の上流に、連携対処装置１０を有するＡＳ６が存在する場合、ＡＳ２は、ＡＳ５を跨いでＡＳ６と連携する。）、当該二つのＡＳの一方にとって他方は連携先では有るが、隣接はしない。「ＩＰアドレス：ポート番号」は、当該連携先ＡＳの連携対処装置１０のＩＰアドレス及びポート番号である。

「拠点情報」は、連携先ＡＳが保有する拠点ごとに「拠点番号」、「最大リソース量」、「利用可能リソース量」等の項目を含む。「拠点番号」は、拠点を一意に識別可能な情報（拠点番号）である。本実施の形態では、図１における各拠点の参照番号が、拠点番号とされる。「最大リソース量」は、当該拠点におけるｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量である。「利用可能リソース量」は、当該ｍｉｔｉｇａｔｉｏｎ装置４０において利用可能なリソース量である。なお、図９は、連携対処装置１０−１における連携先ＡＳ情報テーブル１３７の内容を示す。

なお、連携先ＡＳの連携対処装置１０との通信形態によっては、連携対処装置１０のＭＡＣアドレスやポート番号等の他の情報の登録も想定される。「ＩＰアドレス：ポート番号」、「隣接フラグ」の取得方法は任意だが、例えば、本システムを各ＡＳに導入する際に、システムの運用者間で共有し、本テーブルに格納すること等が想定される。また、「拠点番号」、「最大リソース量」、「利用可能リソース量」は、攻撃への連携対処の手順において、他ＡＳの連携対処装置１０から通知された情報に基づき更新される。

続いて、対処要求メッセージを受信した連携対処装置１０−２は、当該対処要求メッセージに含まれる各ＩＰアドレス宛の通信についてＡＳ２における通信量を取得し、当該通信が自ＡＳからＡＳ１方向に流れているかを判定する（Ｓ１０５）。例えば、ＡＳ２の各ＧＷ等から定期的に収集したフロー情報の中から、宛先が標的ＩＰアドレスリストに含まれるものを抽出することで、斯かる判定が実行されてもよい。

ＡＳ２からＡＳ１方向に当該通信が流れている場合、連携対処装置１０−２は、受信した対処要求メッセージに含まれる標的ＡＳ番号（ＡＳ１）と、当該対処要求メッセージの送信元のＡＳ番号（ＡＳ１）とを含むレコードを、自身の対処状態管理テーブル１３２（図８）に登録する（Ｓ１０６）。すなわち、当該対処要求メッセージに含まれる標的ＡＳ番号を「標的ＡＳ番号」とし、「要求元（下流＝親）ＡＳ番号」を当該対処要求メッセージの送信元のＡＳ番号とするレコード（以下、「対象対処状態レコード」という。）が対処状態管理テーブル１３２に登録される。また、当該対処要求メッセージに含まれる標的ＡＳ番号及び標的ＩＰアドレスリストが、連携対処装置１０−２の標的ＩＰアドレス情報テーブル１３１（図７）に対応付けられて登録される。

続いて、連携対処装置１０−２は、ＡＳ２のネットワーク制御装置３０に対して、標的ＩＰアドレスリストを通知し、ＡＳ２内のｍｉｔｉｇａｔｉｏｎ装置４０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処するように設定する。）（Ｓ１０７）。この際、連携対処装置１０−２は、対処状態管理テーブル１３２の対象対処状態レコードの「自ＡＳに関する情報」に値を登録する。

続いて、連携対処装置１０−２は、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ２）、Ｓｔａｔｕｓ＝対処中を含む対処応答メッセージを、対処要求メッセージの送信元である連携対処装置１０−１に送信する（Ｓ１０８）。なお、本実施の形態では、対処方式として、ｍｉｔｉｇａｔｉｏｎ装置４０への引き込みが既定であるとする。したがって、対処応答メッセージに対処方式が含まれなくても、対処応答メッセージの受信先では、対処方式が既知であるとする。但し、対処方式が動的に決定される場合には、対処応答メッセージに対処方式が含まれてもよい。

続いて、連携対処装置１０−２は、ＡＳ２の各ＧＷ等から収集したフロー情報に基づき、他ＡＳから自ＡＳへの標的宛通信の流入の有無を判定し、他ＡＳからＡＳ２へのＡＳ１宛攻撃の流入が有る場合には、ＡＳ２の対処状態管理テーブル１３２（図８）の対象対処状態レコードの「自ＡＳに関する情報」の「最上流フラグ」に「Ｆａｌｓｅ」を設定する（Ｓ１０９）。

続いて、連携対処装置１０−２は、対処要求メッセージの送信元（ＡＳ１）を除く連携先ＡＳ（ＡＳ３、ＡＳ４）の連携対処装置１０に、標的ＡＳ番号（ＡＳ１）、標的ＩＰアドレスリスト、自身のＡＳ番号（ＡＳ２）を含む対処要求メッセージを送信する（Ｓ１１０）。ここでは、通信の流入する隣接ＡＳ毎に、どのＡＳを連携先にするかの対応関係を予め設定しておき、どの隣接ＡＳから標的宛通信が流入しているかを調査して対応する連携先にのみメッセージを送信することで、ＡＳ間でやり取りの必要なメッセージ数を削減しても良い。

一方、連携対処装置１０−２からの対処応答メッセージを受信した連携対処装置１０−１は、自身の対処状態管理テーブル１３２（図８）の「標的ＡＳ番号」が「ＡＳ１」であるレコードの「連携先（上流＝子）ＡＳに関する情報」に当該対処応答メッセージに含まれる情報を登録する（Ｓ１１１）。すなわち、当該対処応答メッセージに含まれるＡＳ２のＡＳ番号が「連携先（上流＝子）ＡＳに関する情報」の「ＡＳ番号」に登録され、「状態」に「対処中」が登録される。

また、連携対処装置１０−３は、連携対処装置１０−２からの対処要求メッセージを受信すると、当該対処要求メッセージに含まれる各ＩＰアドレス宛の通信についてＡＳ３における通信量を取得し、当該通信が自ＡＳからＡＳ２方向に流れているかを判定する（Ｓ１１２）。

ＡＳ３からＡＳ２方向に当該通信が流れている場合、連携対処装置１０−３は、受信した対処要求メッセージに含まれる標的ＡＳ番号（ＡＳ１）と、当該対処要求メッセージの送信元のＡＳ番号（ＡＳ２）とを含むレコードを自身の対処状態管理テーブル１３２（図８）に登録する（Ｓ１１３）。すなわち、当該対処要求メッセージに含まれる標的ＡＳ番号を「標的ＡＳ番号」とし、「要求元（下流＝親）ＡＳ番号」を当該対処要求メッセージの送信元のＡＳ番号とするレコード（以下、「対象対処状態レコード」という。）が対処状態管理テーブル１３２に登録される。また、当該対処要求メッセージに含まれる標的ＡＳ番号及び標的ＩＰアドレスリストが、連携対処装置１０−３の標的ＩＰアドレス情報テーブル１３１（図７）に対応付けられて登録される。

続いて、連携対処装置１０−３は、ＡＳ３のネットワーク制御装置３０に対して、標的ＩＰアドレスリストを通知し、ＡＳ３内のｍｉｔｉｇａｔｉｏｎ装置４０を用いた対処を適用する（上流で未検査の標的宛通信をリソースの許す限りｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処するように設定する。）（Ｓ１１４）。この際、連携対処装置１０−３は、対処状態管理テーブル１３２の対象対処状態レコードの「自ＡＳに関する情報」に値を登録する。

続いて、連携対処装置１０−３は、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ３）、Ｓｔａｔｕｓ＝対処中を含む対処応答メッセージを、対処要求メッセージの送信元である連携対処装置１０−２に送信する（Ｓ１１５）。

続いて、連携対処装置１０−３は、ＡＳ３の各ＧＷ等から収集したフロー情報に基づき、他ＡＳから自ＡＳへの標的宛通信の流入の有無を判定し、他ＡＳからＡＳ３へのＡＳ１宛攻撃の流入が無い場合には、ＡＳ３の対処状態管理テーブル１３２（図８）の対象対処状態レコードの「自ＡＳに関する情報」の「最上流フラグ」に「Ｔｒｕｅ」を設定する（Ｓ１１６）。

続いて、連携対処装置１０−３は、自身が最上流であることから、対処終了判断部１２２を定期的に呼び出すタイマを設定し（Ｓ１１７）、以下の処理（Ｓ１１８−１〜Ｓ１１８−４）により、リソース最適化に必要な情報を取得する（Ｓ１１８）。

ステップＳ１１８−１において、連携対処装置１０−３は、ＡＳ３の各ＧＷから収集したフロー情報と標的ＩＰアドレスリストとに基づき、標的ＩＰアドレス宛通信の流入するＧＷ番号を取得すると共に、ＧＷごとに、当該ＧＷを流れる標的ＡＳ宛通信量（標的ＩＰアドレスリストに含まれる各ＩＰアドレス宛通信量を合算した値）を算出し、取得結果及び算出結果を攻撃情報テーブル１３３に登録する。

図１０は、攻撃情報テーブル１３３の構成例を示す図である。攻撃情報テーブル１３３は、自ＡＳ及び連携先ＡＳで対処中の攻撃に関する情報を管理するためのテーブルであり、標的ＡＳと対処中の連携先ＡＳとの組ごとにレコードが記憶される。図１０において、攻撃情報テーブル１３３は、「標的ＡＳ番号」、「ＡＳ番号」、「標的宛通信の流入する入口ＧＷ情報」、「標的宛通信の流入する出口ＧＷ・リンク情報」、「標的宛通信を引き込み可能な拠点情報」等の項目を有する。「ＡＳ番号」は、対処中の連携先ＡＳのＡＳ番号である。

「標的宛通信の流入する入口ＧＷ情報」は、「ＡＳ番号」に係るＡＳにおける、標的宛通信の入口ＧＷごとに、「入口ＧＷ番号」、「入口ＧＷを流れる標的宛通信量」、「入口ＧＷ単位の対処中の量」、「対応する連携ＡＳ番号」、「対応する連携先ＡＳの出口ＧＷ番号」等の項目を含む。「入口ＧＷ番号」、は、「ＡＳ番号」に係るＡＳにおいて、標的宛通信の入口ＧＷを一意に識別可能な情報（ＧＷ番号）である。本実施の形態では、図１における各ＧＷの参照番号が、ＧＷ番号とされる。「入口ＧＷを流れる標的宛通信量」は、当該入口ＧＷを流れる標的宛通信量である。「入口ＧＷ単位の対処中の量」は、「入口ＧＷを流れる標的宛通信量」のうち、当該入口ＧＷの存在するＡＳにおいて対処中の通信量である。「対応する連携ＡＳ番号」は、当該入口ＧＷの上流に位置する連携先ＡＳのＡＳ番号である。「対応する連携先ＡＳの出口ＧＷ番号」は、「対応する連携ＡＳ番号」に係る連携先ＡＳにおいて当該入口ＧＷに対応する出口ＧＷのＧＷ番号である。

「標的宛通信の流入する出口ＧＷ・リンク情報」は、「ＡＳ番号」に係るＡＳにおける、標的宛通信の出口ＧＷ及び出口リンクごとに、「出口ＧＷ番号」、「出口リンク番号」、「出口リンクを流れる標的宛通信量」、「出口リンク単位の対処中の量」等の項目を含む。「出口ＧＷ番号」は、各入口ＧＷから流入した標的宛通信を自ＡＳで対処しない場合に他ＡＳに流出する際の出口となるＧＷ（出口ＧＷ）のＧＷ番号である。「出口リンク番号」は、「出口ＧＷ番号」に係る出口ＧＷにおいて、標的宛通信が流出するリンクを一意に識別可能な情報である。「出口リンクを流れる標的宛通信量」は、各入口ＧＷから流入した標的宛通信を自ＡＳで対処しない場合に「出口リンク番号」に係るリンク（出口リンク）から流出する標的宛通信量である。「出口リンクに流入する標的宛通信の最低対処量」は、当該出口リンクを流れる標的宛通信量のうち、当該出口リンクの輻輳を回避するために、当該出口ＧＷを保有するＡＳで対処すべき最低の通信量である。「出口リンク単位の対処中の量」は、当該出口リンクに流入する標的宛通信量の流入元の入口ＧＷから流入した標的宛通信のうち、当該出口ＧＷを保有するＡＳで対処中の通信量である。例えば、図１において、ＧＷ２−４には、ＧＷ２−１及びＧＷ２−２から流入した標的宛通信が流入する。したがって、ＧＷ２−４についての「出口リンク単位の対処中の量」は、ＧＷ２−１及びＧＷ２−２からの流入した標的宛通信量のうち、ＡＳ２において対処中の通信量である。

「標的宛通信を引き込み可能な拠点情報」は、「拠点番号」、「拠点に引き込み可能な標的宛通信量」、「拠点単位の対処中の量」等の項目を含む。「拠点番号」は、「入口ＧＷ番号」に係る入口ＧＷから流入する標的宛通信に対応する（当該標的宛通信に対する対処を行う）拠点の拠点番号である。「拠点に引き込み可能な標的宛通信量」は「入口ＧＷ番号」に係る入口ＧＷから当該拠点に引き込み可能な標的宛通信量である。「拠点単位の対処中の量」は、当該拠点に引き込み可能な標的宛通信量のうち、当該拠点で対処中の通信量である。

攻撃情報テーブル１３３の各情報は、各種メッセージ受信時の処理の中で、連携対処装置１０によって登録される。なお、図１０には、連携対処装置１０−２における攻撃情報テーブル１３３の内容の例が示されている。

Ｓ１１８−１では、攻撃情報テーブル１３３における「標的ＡＳ番号」が「ＡＳ１」であり、かつ「ＡＳ番号」が自身（ＡＳ３）であるレコードに対して、ＡＳ３における標的ＡＳ宛て通信の入口ＧＷごとに、「標的宛通信量の流入する入口ＧＷ情報」の「入口ＧＷ番号」、「入口ＧＷを流れる標的宛通信量」の値を含むレコードが登録される。なお、ＧＷは、他ＡＳとの境界に位置するエッジルータだけでなく、自ＡＳの管理する加入者ネットワークとの境界に位置するエッジルータも含み、自ＡＳ内を発信元とする通信のフロー情報を入口で取得することを想定している。

ステップＳ１１８−２において、連携対処装置１０−３は、自ＡＳ内のルーティング情報等（ルータ等のルーティングテーブルやＢＧＰ経路情報等）に基づき、前述の各入口ＧＷ（ＡＳ３の場合はＧＷ３−１）から流入した標的ＡＳ宛通信が、他ＡＳに流れる際の出口となるＧＷ番号（ＡＳ３の場合はＧＷ３−２）とリンク番号とを取得する。また、連携対処装置１０−３は、ＧＷ・拠点対応情報テーブル１３５に基づき、各ＧＷから流入した標的宛通信を引き込み可能な拠点番号（ＡＳ３の場合は拠点ｂ３）を取得し、攻撃情報テーブル１３３における各入口ＧＷのレコードの「標的宛通信の流入する出口ＧＷ・リンク情報」の対応する「出口ＧＷ番号」、「出口リンク番号」と、「標的宛通信を引き込み可能な拠点情報」の対応する「拠点番号」に取得した値を登録する。

図１１は、ＧＷ・拠点対応情報テーブル１３５の構成例を示す図である。ＧＷ・拠点対応情報テーブル１３５は、各ＡＳにおいて、各ＧＷから流入した通信を引き込み可能な拠点情報を管理するためのテーブルである。図１１において、ＧＷ・拠点対応情報テーブル１３５は、「入口ＧＷ番号」及び「拠点番号」等の項目を有する。「入口ＧＷ番号」は、通信の入口となるＧＷのＧＷ番号である。「拠点番号」は、「入口ＧＷ番号」に係るＧＷから流入した通信を引き込み可能な拠点の拠点番号である。これらの情報は、ＧＷや拠点を配備する際や本システムを導入する際等の任意のタイミングで、運用者等によって登録される。なお、図１１には、連携対処装置１０−２におけるＧＷ・拠点対応情報テーブル１３５の内容の例が示されている。

ステップＳ１１８−３において、連携対処装置１０−３は、攻撃情報テーブル１３３（図１０）を参照して、「標的ＡＳ番号」＝「ＡＳ１」、かつ、「ＡＳ番号」＝「ＡＳ３」に関して、各拠点番号に紐づく入口ＧＷ番号の一覧（ＡＳ３の場合は拠点ｂ３ならＧＷ３−１）を取得し、取得された各入口ＧＷ番号に係る「標的宛通信量の流入する入口ＧＷ情報」の「各入口ＧＷの標的宛通信量」に基づき、各拠点に引き込み可能な標的宛通信量を算出し（例えば、ＡＳ３の拠点ｂ３なら、ＧＷ３−１の標的ＡＳ１宛通信量が拠点ｂ３に引き込み可能な標的宛通信量とされる。）、算出結果を「標的宛通信量を引き込み可能な拠点情報」の「拠点に引き込み可能な標的宛通信量」に格納する。

ステップＳ１１８−４において、連携対処装置１０−３は、攻撃情報テーブル１３３（図１０）を参照して、「標的ＡＳ番号」＝「ＡＳ１」、かつ、「ＡＳ番号」＝「ＡＳ３」に関して、各出口ＧＷ番号に紐づく入口ＧＷ番号（例えば、ＡＳ３の出口ＧＷ３−２なら入口ＧＷ２−１）を取得し、各入口ＧＷに係る「標的宛通信の流入する入口ＧＷ情報」の「入口ＧＷを流れる標的宛通信量」に基づき、自ＡＳで対処を実施しなかった場合に、各出口ＧＷ・出口リンクに流入する標的宛通信量を算出し（例えば、ＡＳ３の出口ＧＷ３−２なら入口ＧＷ２−１を流れる標的宛通信量が、出口ＧＷ３−２のリンクに流入する標的宛通信量とされる。）、算出結果を「標的宛通信の流入する出口ＧＷ・リンク情報」の「出口リンクを流れる標的宛通信量」に格納する。また、連携対処装置１０−３は、各出口リンクに対して、下記式（１）により、出口リンクの輻輳を回避するために、最低限対処すべき標的宛通信量（標的宛通信の最低対処量）を算出し、「出口リンクに流入する標的宛通信の最低対処量」に格納する。
最低対処量＝対処を実施しなかった場合に出口リンクに流入する標的宛通信量−出口リンクの利用可能帯域量×β（０≦β≦１） ・・・（１）
ここで、出口リンクの利用可能帯域量は、ＡＳ間リンク情報テーブル１３４から取得する。

図１２は、ＡＳ間リンク情報テーブル１３４の構成例を示す図である。ＡＳ間リンク情報テーブル１３４は、各ＡＳにおいて、隣接ＡＳとの間のリンク情報を管理するためのテーブルである。図１２において、ＡＳ間リンク情報テーブル１３４は、「リンク番号」、「自ＡＳ側の接続ＧＷ情報」、「隣接ＡＳ側の接続ＧＷ情報」、「最大帯域量」、「利用可能帯域量」等の項目を有する。

「リンク番号」は、リンクを一意に識別するための情報である。「自ＡＳ側の接続ＧＷ情報」は、「ＧＷ番号」及び「インタフェースのＩＰアドレス」等の項目を含む。「ＧＷ番号」は、「リンク番号」に係るリンクに接続する自ＡＳ側のＧＷの識別情報である。「インタフェースのＩＰアドレス」は、当該リンクに接続する自ＡＳ側のＧＷのインタフェースのＩＰアドレスである。「隣接ＡＳ側の接続ＧＷ情報」は、「隣接ＡＳ番号」、「ＧＷ番号」及び「インタフェースのＩＰアドレス」等の項目を含む。「隣接ＡＳ番号」は、隣接ＡＳを一意に識別するための情報である。「ＧＷ番号」は、「リンク番号」に係るリンクに接続する隣接ＡＳ側のＧＷの識別情報である。「インタフェースのＩＰアドレス」は、当該リンクに接続する隣接ＡＳ側のＧＷのインタフェースのＩＰアドレスである。「最大帯域量」は、「リンク番号」に係るリンクの最大帯域量である。「利用可能帯域量」は、「最大帯域量」から各種通信サービスで利用中の通信帯域量を減算した値である。

リンク番号や接続ＧＷ情報、最大帯域量は、任意のタイミングで運用者等によって登録される。また、利用可能帯域は、攻撃検知装置２０を介して、パケット転送装置から定期的または任意のタイミングで収集され、更新される。なお、図１２には、連携対処装置１０−１におけるＡＳ間リンク情報テーブル１３４の内容の例が示されている。

式（１）のβは、ＡＳ間リンクの利用可能帯域量の何割をその標的宛通信の対処に利用するのかを示す値であり、特定ＡＳへの攻撃対処だけでＡＳ間リンク帯域を使い切らないようにする効果がある。

βの値は、管理者等が事前設定するほか、動的に設定しても良い。動的に設定する場合、例えば、ＡＳ間リンクの利用可能帯域量と本リンクに流入する標的宛通信の対処に利用可能な拠点のｍｉｔｉｇａｔｉｏｎ装置４０の利用可能リソース量に基づき、β＝（ＡＳ間リンクの利用可能帯域量）／（ＡＳ間リンクの利用可能帯域量＋ｍｉｔｉｇａｔｉｏｎ装置４０の利用可能リソース量）のように設定することが想定される。

なお、算出した最低対処量が、対応するｍｉｔｉｇａｔｉｏｎ装置４０の利用可能リソース量を超える場合は、そのリンクの輻輳を回避するように対処することが不可能なため、例えば、ｍｉｔｉｇａｔｉｏｎ装置４０の利用可能リソース量の値を最低対処量として設定することで、リソース上限まで対処するように調整することが考えられる。

ステップＳ１１８に続いて、連携対処装置１０−３は、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ３）、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」が自身のＡＳ番号のレコードの内容と、拠点情報テーブル１３６のＡＳ１宛攻撃対処に利用する拠点情報を含む調整要求メッセージを連携対処装置１０−２に対して送信する（Ｓ１１９）。

図１３は、拠点情報テーブル１３６の構成例を示す図である。拠点情報テーブル１３６は、各ＡＳにおいて、自ＡＳが保有する拠点と各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の情報を管理するためのテーブルである。図１３において、拠点情報テーブル１３６は、「拠点番号」、「最大リソース量」、及び「利用可能リソース量」等の項目を有する。

「最大リソース量」は、「拠点番号」に係る拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量である。「利用可能リソース量」は、「拠点番号」に係る拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量から攻撃対処に利用中のリソース量を減算した値である。これらの情報は、攻撃検知装置２０を介して、ｍｉｔｉｇａｔｉｏｎ装置４０等から定期的または任意のタイミングで収集され、更新される。また、最大リソース量は、ｍｉｔｉｇａｔｉｏｎ装置４０を導入する際や本システムを導入する際等の任意のタイミングで、運用者等によって登録されてもよい。なお、図１３には、連携対処装置１０−１における拠点情報テーブル１３６の内容の例が示されている。

ステップＳ１１９において送信される調整メッセージは、具体的には、標的宛通信の流入する入口ＧＷ番号、入口ＧＷを流れる標的宛通信量、標的宛通信の流入する入口ＧＷと出口ＧＷ・拠点の対応情報、標的宛通信を引き込み可能な拠点番号、各拠点に引き込み可能な標的宛通信量、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量及び利用可能リソース量、標的宛通信の流れる出口リンクと接続する出口ＧＷと当該リンクに流入する標的宛通信量およびそのリンクの最低対処量といった情報を含む。

なお、分散処理により、各ＡＳの処理が並列に動くことによる値ずれを補正するために、現在の対処量の情報も含めて送信することも想定される。

また、ｍｉｔｉｇａｔｉｏｎ装置４０の利用可能リソース量のうち、対象の標的ＡＳ宛攻撃対処に利用中のものがあれば、その対処量分加算した値を通知する。但し、現在の対処量を調整要求メッセージに含めて送信し、受信側で加算しても良い。

一方、連携対処装置１０−４は、ステップＳ１１０において送信された連携対処装置１０−２からの対処要求メッセージを受信すると、連携対処装置１０−３と同様の処理（Ｓ１１２〜Ｓ１１９）を実行する。

ここまでの手順で、攻撃元に最も近い拠点のｍｉｔｉｇａｔｉｏｎ装置４０のリソースを最大限用いた対処（インターネット全体での攻撃通信による消費帯域が最小になるような対処）が完了する。以降（図６）では、さらに各ＡＳのｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率をＡＳ間リンクが輻輳しない範囲で平準化するための調整処理が実行される。

図６のステップＳ１５１において、連携対処装置１０−２は、連携対処装置１０−３からの対処応答メッセージ（図５：Ｓ１１５）を受信し、対処状態管理テーブル１３２（図８）の「標的ＡＳ番号」がＡＳ１のレコードの「連携先（上流＝子）ＡＳに関する情報」に、当該対処応答メッセージに含まれるＡＳ３の情報を格納する。

ステップＳ１５２において、連携対処装置１０−２は、連携対処装置１０−３からの調整要求メッセージ（図５：Ｓ１１９）を受信し、自身の攻撃情報テーブル１３３（図１０）に、「標的ＡＳ番号」がＡＳ１であり「ＡＳ番号」がＡＳ３であるレコード（図１０において２番目のレコード）を生成し、当該調整要求メッセージに含まれるＡＳ３の情報（標的宛通信の流入する入口ＧＷ情報、標的宛通信の流入する出口ＧＷ・リンク情報、標的宛通信を引き込み可能な拠点情報）を当該レコードに格納する。連携対処装置１０−２は、また、連携先ＡＳ情報テーブル１３７（図９）に、当該調整要求メッセージに含まれるＡＳ３の情報（拠点情報）を格納する。

ステップＳ１５３において、連携対処装置１０−２は、連携対処装置１０−４からの対処応答メッセージを受信し、対処状態管理テーブル１３２（図８）の「標的ＡＳ番号」がＡＳ１のレコードの「連携先（上流＝子）ＡＳに関する情報」に、当該対処応答メッセージに含まれるＡＳ４の情報を格納する。

ステップＳ１５４において、連携対処装置１０−２は、連携対処装置１０−４からの調整要求メッセージを受信し、自身の攻撃情報テーブル１３３（図１０）に、「標的ＡＳ番号」がＡＳ１であり「ＡＳ番号」がＡＳ４であるレコード（図１０において３番目のレコード）を生成し、当該調整要求メッセージに含まれるＡＳ４の情報（標的宛通信の流入する入口ＧＷ情報、標的宛通信の流入する出口ＧＷ・リンク情報、標的宛通信を引き込み可能な拠点情報）を当該レコードに格納する。連携対処装置１０−２は、また、連携先ＡＳ情報テーブル１３７（図９）に、当該調整要求メッセージに含まれるＡＳ４の情報（拠点情報）を格納する。

続いて、連携対処装置１０−２は、対処要求メッセージの全ての送信先から対処応答メッセージを受信し、かつ、全ての子から調整要求を受信すると、リソース最適化の計算に必要な自ＡＳ内の情報を取得する（Ｓ１５５）。具体的には、以下のステップＳ１５５−１〜Ｓ１５５−３が実行される。

ステップＳ１５５−１において、連携対処装置１０−２は、ＡＳ２の各ＧＷから収集したフロー情報と標的ＩＰアドレスリストとに基づき、標的ＩＰアドレス宛通信の流入するＧＷ番号の取得と、当該ＧＷ番号に係る各ＧＷを流れる標的ＡＳ宛通信量（標的ＩＰアドレスリストに含まれるＩＰアドレス宛通信量を合算した値）の算出を行い、攻撃情報テーブル１３３（図１０）における「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」が自身のＡＳ番号（ＡＳ２）のレコード（図１０において１番目のレコード）の「標的宛通信量の流入する入口ＧＷ情報」の「入口ＧＷ番号」及び「標的宛通信量」に値を登録する。入口ＧＷが複数存在する場合は、入口ＧＷ毎にレコードが登録される。

連携対処装置１０−２は、また、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」が連携先ＡＳ（標的ＡＳが１の場合はＡＳ３とＡＳ４）」のレコード（図１０の２番目及び３番目のレコード）の「ＡＳ番号」、「出口ＧＷ番号」と、ＡＳ間リンク情報テーブル１３４（図１２）の「隣接ＡＳ側の接続ＧＷ情報」の「隣接ＡＳ番号」・「ＧＷ番号」とを突合することで、連携先の各出口リンクから流出した標的宛通信が流入する自ＡＳの入口ＧＷ番号を取得し、攻撃情報テーブル１３３に登録する。このとき、「標的宛通信の流入する入口ＧＷ情報」の「対応する連携先ＡＳ番号」及び「対応する連携先ＡＳの出口ＧＷ番号」も同じレコードに登録される。また、連携対処装置１０−２は、各入口ＧＷの「入口ＧＷを流れる標的宛通信量」に、当該入口ＧＷに対応する連携先ＡＳの出口ＧＷを流れる標的宛通信量を加算する。上流での対処が行われなかった状況下での当該各入口ＧＷを流れる標的宛通信量に基づいて、後述の最適化問題を解くためである。

なお、連携先ＡＳ（子）と対処要求メッセージの送信元ＡＳ（親）が直接接続していない場合は、子の標的宛通信の流出する出口ＧＷの接続する隣接ＡＳ番号と親の入口ＧＷの接続する隣接ＡＳ番号およびＢＧＰの経路情報に基づき、子の出口ＧＷから流出した標的宛通信が親のどの入口ＧＷから流入するかを判定する。この場合、調整要求メッセージに、子の出口ＧＷの接続する隣接ＡＳ番号を合わせて通知することが想定される。

ステップＳ１５５−２において、連携対処装置１０−２は、ＧＷ・拠点対応情報テーブル１３５（図１１）に基づき、ＡＳ２の各入口ＧＷから流入した標的宛通信を引き込み可能な拠点番号（ＡＳ２の場合、入口ＧＷ２−１、入口ＧＷ２−２については拠点ｂ２−１、入口ＧＷ２−３については拠点ｂ２−２）を取得し、攻撃情報テーブル１３３（図１０）における「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」がＡＳ２となる各入口ＧＷのレコードの「標的宛通信を引き込み可能な拠点情報」の「拠点番号」に、取得した拠点番号を登録する。また、連携対処装置１０−２は、攻撃情報テーブル１３３（図１０）を参照して、各拠点に紐づく入口ＧＷ番号の一覧（ＡＳ２の場合、拠点ｂ２−１なら入口ＧＷ２−１と入口ＧＷ２−２）を取得し、各入口ＧＷの「標的宛通信量の流入する入口ＧＷ情報」の「入口ＧＷを流れる標的宛通信量」に基づき、各拠点に引き込み可能な標的宛通信量を算出し（ＡＳ２の拠点ｂ２−１の場合、ＧＷ２−１の標的ＡＳ宛通信量とＧＷ２−２の標的ＡＳ宛通信量の和）、「標的宛通信量を引き込み可能な拠点情報」の「拠点に引き込み可能な標的宛通信量」に算出結果を格納する。

ステップＳ１５５−３において、連携対処装置１０−２は、拠点情報テーブル１３６（図１３）を参照して、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量及び利用可能リソース量を取得する。

ステップＳ１５５に続いて、連携対処装置１０−２は、下記の最適化問題を解くことで、ＡＳ間リンク輻輳を回避しつつ、自身（ＡＳ２）と子（ＡＳ３、ＡＳ４）の各拠点のｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率が平準化するような対処量の値の組み合わせを算出する。一般化した表現では、当該最適化問題は、以下とすることができる。
［目的関数］
自ＡＳ（この計算を実行しているＡＳ）とその子ＡＳ（複数可）において、各拠点の「標的宛通信対処に利用可能なリソース使用率」の値のうち、最大となるものの値をＦ、最小となるものの値をＧとしたときに、Ｆ−Ｇが最小となる、「各拠点で対処する標的ＡＳ宛通信量（各拠点単位の対処量）」の組み合わせを決定する。ここで、或る拠点の「標的宛通信対処に利用可能なリソース使用率」は、当該拠点について拠点情報テーブル１３６に記憶されている「最大リソース量」、「利用可能リソース量」を用いて以下のように算出される値である。
（最大リソース量−利用可能リソース量）÷最大リソース量
なお、ＡＳ２の子ＡＳ（ＡＳ３、ＡＳ４）の各拠点のｍｉｔｉｇａｔｉｏｎ装置４０に関する拠点情報は、各連携先からの調整要求メッセージに基づいて、連携対処装置１０−２の連携先ＡＳ情報テーブル１３７（図９）に登録されているため、連携対処装置１０−２は、各子ＡＳの各拠点に関する「標的宛通信対処に利用可能なリソース使用率」についても計算可能である。
［変数］
・各拠点単位の対処量
・各入口ＧＷ単位の対処量
・各出口リンク単位の対処量（子の分のみ）
但し、入口ＧＷ単位の対処量は、当該入口ＧＷを流れる標的宛通信量のうち、当該入口ＧＷの存在するＡＳで対処する標的宛通信量を表し、出口リンク単位の対処量は、当該出口リンクの接続する出口ＧＷの存在するＡＳで対処を実施しなかった場合に、当該出口リンクを流れる標的宛通信量のうち、当該出口ＧＷの存在するＡＳで対処する標的宛通信量を表す。例えば、図１において、ＧＷ２−４には、ＧＷ２−１及びＧＷ２−２から流入した標的宛通信が流入する。したがって、ＧＷ２−４についての「出口リンク単位の対処量」は、ＧＷ２−１及びＧＷ２−２からの流入した標的宛通信量のうち、ＡＳ２において対処する通信量である。
［制約条件］
・（子の各出口リンク単位の対処量）＝（当該出口リンクに対応する子の入口ＧＷ単位の対処量の和）
・（各拠点単位の対処量）＝（当該拠点に対応する入口ＧＷ単位の対処量の和）
・（子の各出口リンク単位の対処量）≧（当該出口リンクの最低対処量）
・（各拠点単位の対処量）≦（当該拠点に引き込み可能な標的宛通信量）
・（各拠点単位の対処量）≦（当該拠点の利用可能リソース量）
・（各拠点単位の対処量の和）=（自ＡＳと子ＡＳの各入口ＧＷで対処中の標的宛通信量の和）
・（各入口ＧＷ単位の対処量）≦（当該入口ＧＷを流れる標的宛通信量）
・（各入口ＧＷ単位の対処量）≦（当該入口ＧＷに対応する拠点の利用可能リソース量）
・（各入口ＧＷ単位の対処量の和）=（自ＡＳと子ＡＳの各入口ＧＷで対処中の標的宛通信量の和）
・（自ＡＳの各入口ＧＷ単位の対処量）＋（当該入口ＧＷに対応する子の出口ＧＷに接続する出口リンク単位の対処量）＝（当該入口ＧＷで対処中の標的宛通信量と当該出口リンクで対処中の標的宛通信量の和）
・（各拠点の対処量割り当て後のｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率）≦Ｆ
・（各拠点の対処量割り当て後のｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率）≧Ｇ
・（各拠点単位の対処量）≧０，（子の各出口リンク単位の対処量）≧０，（各入口ＧＷ単位の対処量）≧０
続いて、連携対処装置１０−２は、上記のパラメータ調整の結果として（上記の最適化問題を解くことで）得られた、「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量（子の分のみ）」、「各拠点単位の対処量」を用いて、攻撃情報テーブル１３３（図１０）の自ＡＳと連携先（子）ＡＳのレコードにおける「入口ＧＷ単位の対処中の量」と「出口リンク単位の対処中の量」と「拠点単位の対処中の量」を更新する（Ｓ１５７）。また、連携対処装置１０−２は、攻撃情報テーブル１３３（図１０）において「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」がＡＳ２となる（自ＡＳの情報の）各入口ＧＷのレコードについて、「入口ＧＷを流れる標的宛通信量」を、対応する連携先ＡＳの出口リンクの対処量分だけ減算する。また、連携対処装置１０−２は、「拠点に引き込み可能な標的宛通信量」を、更新された各入口ＧＷを流れる標的宛通信量の値を用いて再計算して更新する。更に、連携対処装置１０−２は、拠点情報テーブル１３６（図１３）に記憶されている各拠点の「利用可能リソース量」を当該拠点の対処量分だけ減算する。また、連携対処装置１０−２は、ステップＳ１１８−２、Ｓ１１８−４と同様の手順で、自ＡＳの各入口ＧＷに対応する出口ＧＷ番号、出口リンク番号、出口リンクを流れる標的宛通信量、最低対処量を取得・算出し、攻撃情報テーブル１３３に登録する。

続いて、連携対処装置１０−２は、ＡＳ２のネットワーク制御装置３０に対して、標的ＩＰアドレス、自ＡＳの各入口ＧＷ単位の対処量を通知して、最新の情報での攻撃対処を適用する（Ｓ１５８）。ネットワーク制御装置３０は、標的ＩＰアドレス情報テーブル１３１（図７）に登録されている標的ＩＰアドレス宛通信を、それらの通信が流入する各入口ＧＷから、通知された各入口ＧＷ単位の対処量分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する。

なお、各拠点の対処量が計算結果と同じになれば、標的宛通信の引き込み（の設定）を行う装置は必ずしも入口ＧＷでなくても良い。

続いて、連携対処装置１０−２は、子（ＡＳ３、ＡＳ４）の連携対処装置１０に対して、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ２）、調整の結果得られた「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」（メッセージの宛先ＡＳに関する情報のみ）、「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」が含まれる更新要求メッセージを送信する（Ｓ１５９）。

ここで、各対処量は、当該対処量に紐づくＧＷや拠点の識別子とセットで送信する。例えば、「各入口ＧＷ単位の対処量」の場合は、「入口ＧＷ番号：その入口ＧＷの対処量、・・・」のような形式で、どの入口ＧＷの対処量なのかが受信側で分かるようにする。なお、データ形式は前述のものに限定されず、任意の形式で良い。

また、分散処理の実行順序による値ずれを補正するために、例えば、計算前の子の対処中の量の値または計算前後の対処量の差分値もメッセージに含めて送信することが想定される。受信側では、対処量そのものの値でなく、元の対処量からの差分値を用いてその値分だけ現在の対処量から値を増加または減少させることで、親によるリソース調整を実施中に、自身とその子とのリソース調整が先に実施されて現在の対処量が変化した場合でも、システム全体としての整合性を保つことができる。

続いて、連携対処装置１０−２は、親（ＡＳ１）に対して、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ２）、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」が自身（ＡＳ２）のレコードの内容、拠点情報テーブル１３６（図１３）のＡＳ１宛攻撃対処に利用する拠点情報、を含む調整要求メッセージを送信する（Ｓ１６０）。

ステップＳ１６１において、連携対処装置１０−３は、受信した更新要求メッセージに含まれる「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」を用いて、拠点情報テーブル１３６（図１３）の「利用可能リソース量」を拠点単位の対処量分だけ減算すると共に、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」がＡ３のレコードの各対処量の値を更新し、ネットワーク制御装置３０を介して、標的ＩＰアドレス宛通信を更新要求メッセージによって要求された分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する。

この際、各入口ＧＷ単位の対処量を用いて、各入口ＧＷから標的宛通信を各拠点に引き込んでも良いし、各拠点単位の対処量の値を用いて、任意の装置から要求された量を対処できるように各拠点に引き込んでも良い。

ステップＳ１６２において、連携対処装置１０−４は、受信した更新要求メッセージに含まれる「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」を用いて、拠点情報テーブル１３６（図１３）の「利用可能リソース量」を拠点単位の対処量分減算すると共に、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」がＡ４のレコードの各対処量の値を更新し、ネットワーク制御装置３０を介して、標的ＩＰアドレス宛通信を更新要求メッセージによって要求された分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する。

ここで、親と子が直接接続されていない場合、子での対処適用後に、親と子のそれぞれの網内のシステム間で検査パケット等を用いたＡＳ間のネットワークの輻輳検査を実施し、輻輳している場合は、輻輳が解消されるまで子の対処量を増加させて、解消後の値を親に通知することで、ｍｉｔｉｇａｔｉｏｎ装置４０のリソースの割り当てを再調整しても良い。

一方、ステップＳ１７１において、連携対処装置１０−１は、連携対処装置１０−２からの調整要求メッセージを受信し、自身の攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１で「ＡＳ番号」がＡＳ２となるレコードを生成し、受信した調整要求メッセージに含まれるＡＳ２の情報（標的宛通信の流入する入口ＧＷ情報、標的宛通信の流入する出口ＧＷ・リンク情報、標的宛通信を引き込み可能な拠点情報）を当該レコードに格納する。また、連携対処装置１０−１は、連携先ＡＳ情報テーブル１３７（図９）に、受信したＡＳ２の情報（拠点情報）を格納する。

続いて、連携対処装置１０−１は、対処要求メッセージの全ての送信先から対処応答メッセージを受信し、かつ、全ての子から調整要求を受信すると、リソース最適化の計算に必要な自ＡＳ内の情報を取得する（Ｓ１７２）。なお、取得する情報と取得方法はステップＳ１５５と同様である。

続いて、連携対処装置１０−１は、最適化問題を解くことで、ＡＳ間リンクの輻輳を回避しつつ、自身（ＡＳ１）と子（ＡＳ２）の各拠点のｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率が平準化するような対処量の値の組み合わせを算出する（Ｓ１７３）。この手順は、ステップＳ１５６と同様である。

続いて、連携対処装置１０−１は、上記のパラメータ調整の結果として得られた、「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量（子の分のみ）」、「各拠点単位の対処量」を用いて、攻撃情報テーブル１３３（図１０）の自ＡＳと連携先（子）ＡＳのレコードにおける「入口ＧＷ単位の対処中の量」と「出口リンク単位の対処中の量」と「拠点単位の対処中の量」を更新する（Ｓ１７４）。また、連携対処装置１０−１は、攻撃情報テーブル１３３（図１０）において「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」がＡＳ１となる（自ＡＳの情報の）各入口ＧＷのレコードについて、「入口ＧＷを流れる標的宛通信量」を、対応する連携先ＡＳの出口リンクの対処量分だけ減算する。また、連携対処装置１０−１は、「拠点に引き込み可能な標的宛通信量」を、更新された各入口ＧＷを流れる標的宛通信量の値を用いて再計算して更新する。更に、連携対処装置１０−１は、拠点情報テーブル１３６（図１３）の「利用可能リソース量」を当該拠点の対処量分だけ減算する。

なお、ＡＳ１は、標的ＡＳ（本攻撃対処における最下流のＡＳ）であるため、自身の出口リンク（本実施例の場合は標的システムｔ１の存在するデータセンタとの接続点のＧＷ）を流れる標的宛通信量と最低対処量の更新は実施されなくても良い。

続いて、連携対処装置１０−１は、ＡＳ１のネットワーク制御装置３０に対して、標的ＩＰアドレス、自ＡＳの各入口ＧＷ単位の対処量を通知して、最新の情報での攻撃対処を適用する（Ｓ１７５）。ネットワーク制御装置３０は、標的ＩＰアドレス情報テーブル１３１に記載の標的ＩＰアドレス宛通信を、それらの通信が流入する各入口ＧＷから、通知された各入口ＧＷ単位の対処量分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する。

続いて、連携対処装置１０−１は、子（ＡＳ２）の連携対処装置１０−２に対して、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ１）、調整の結果得られた「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」（メッセージの宛先ＡＳに関する情報のみ）、「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」が含まれる更新要求メッセージを送信する（Ｓ１７６）。

ステップＳ１８１において、連携対処装置１０−２は、当該更新要求メッセージを受信すると、当該更新要求メッセージに含まれる「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」を用いて、拠点情報テーブル１３６（図１３）の「利用可能リソース量」を拠点単位の対処量分だけ減算すると共に、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」がＡ２のレコードの各対処量の値を更新し、ネットワーク制御装置３０を介して、標的ＩＰアドレス宛通信を更新要求メッセージによって要求された分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する。

続いて、連携対処装置１０−２は、更新された情報を用いて、最適化問題を解くことで、自身と子（ＡＳ３とＡＳ４）の各対処量を再計算する（Ｓ１８２）。

続いて、連携対処装置１０−２は、計算結果を用いて、攻撃情報テーブル１３３（図１０）と拠点情報テーブル１３６（図１３）の情報を更新し（手順はステップＳ１５７と同様）、更新された対処量での対処を実施する（手順はステップＳ１５８と同様）（Ｓ１８３）。

続いて、連携対処装置１０−２は、子（ＡＳ３、ＡＳ４）の連携対処装置１０に対して、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ２）、調整の結果得られた「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」（メッセージの宛先ＡＳに関する情報のみ）、「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」が含まれる更新要求メッセージを送信する（Ｓ１８４）。

続いて、連携対処装置１０−２は、親（ＡＳ１）に対して、標的ＡＳ番号（ＡＳ１）、自身のＡＳ番号（ＡＳ２）、攻撃情報テーブル１３３の「標的ＡＳ番号」がＡＳ１、かつ、「ＡＳ番号」が自身のＡＳ番号であるレコードの内容、拠点情報テーブル１３６のＡＳ１宛攻撃対処に利用する拠点情報、「Ｆｌａｇ＝ｆｒｏｍＣｈｉｌｄ」を含む［更新要求メッセージ］を送信する（Ｓ１８５）。

以降、後述の収束条件を満たすまで、各ＡＳにおいてメッセージの受信に伴う処理と他ＡＳへのメッセージ送信を繰り返し行うことで、インターネット全体として、ＡＳ間リンク輻輳を防ぎつつ、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率が平準化するように、標的ＡＳ宛攻撃に分担して対処することができる。

なお、無限にパラメータ調整が実施されるのを防ぐための収束条件としては、例えば、各ＡＳにおいて、ある標的宛通信に対する調整実施時の入力値で計算したＦの値とＧの値との差（ｐｒｅＦ−ｐｒｅＧ）と、調整の結果得られたＦの値とＧの値との差（Ｆ−Ｇ）とを比較して、事前設定した閾値以上改善していない場合は、そのパラメータ調整を実施せずにそのメッセージ処理を終了することが想定される。なお、収束条件については任意であり、この方法に限定されない。

続いて、図５及び図６において説明した処理手順を実現するために、図４の処理部１１を構成する各部が有する機能又は各部が実行する処理手順について説明する。

メッセージ受付部１１１は、攻撃検知装置２０や他の連携対処装置１０からの各種メッセージの受信を待ち受け、受信したメッセージの種類に応じて、対応するメッセージ処理部に振り分ける。メッセージ受付部１１１は、受信したメッセージをキューに格納し、例えば、ＦＩＦＯ方式で対応するメッセージ処理部に転送する。メッセージは、上述より明らかなように、攻撃検知メッセージ、対処要求メッセージ、対処応答メッセージ、調整要求メッセージ、更新要求メッセージ、輻輳対処メッセージ、対処終了要求メッセージの７種類存在する。

攻撃検知メッセージ処理部１１２は、攻撃検知装置２０からの攻撃検知メッセージに対する処理を行う。図１４は、攻撃検知メッセージ処理部１１２が実行する処理手順の一例を説明するためのフローチャートである。

攻撃検知メッセージ処理部１１２は、攻撃検知メッセージを受信すると、自ＡＳの標的ＩＰアドレス情報テーブル１３１（図７）に、自ＡＳを標的とするレコードを生成し、攻撃検知メッセージに含まれる標的ＩＰアドレスを当該レコードに追加する（Ｓ２０１）。また、攻撃検知メッセージ処理部１１２は、対処状態管理テーブル１３２（図８）に自ＡＳを標的とする攻撃のレコードを生成する。

続いて、攻撃検知メッセージ処理部１１２は、攻撃対処設定部１２１を介して、標的ＩＰアドレスの一覧に含まれるアドレス宛通信を自ＡＳ内のｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処するように設定する（Ｓ２０２）。

続いて、攻撃検知メッセージ処理部１１２は、自身の連携先ＡＳ情報テーブル１３７（図９）を参照し、各連携先ＡＳの連携対処装置１０に対して、標的ＡＳ番号（自身のＡＳ番号）、標的ＩＰアドレスリスト（図７の標的ＡＳ番号が自身のＡＳ番号となるレコードの内容全て、又はデータサイズを削減するために過去に送信済みの場合は追加分のみでもよい）、要求元ＡＳ番号（自身のＡＳ番号）を含む対処要求メッセージを送信する（Ｓ２０３）。

なお、ステップＳ２０３の前に、自ＡＳ内を流れる標的宛通信量（複数の宛先ＩＰアドレスが標的の場合は、各宛先への通信量の合計値）と、事前設定された閾値とを比較し、当該合計値が閾値未満の場合は、ステップＳ２０３を実施せずに自ＡＳのみで攻撃に対処することも想定される。

対処要求メッセージ処理部１１３は、他の連携対処装置１０からの対処要求メッセージに対する処理を行う。図１５は、対処要求メッセージ処理部１１３が実行する処理手順の一例を説明するためのフローチャートである。

対処要求メッセージ処理部１１３は、対処要求メッセージを受信すると、攻撃検知装置２０を介して、受信した対処要求メッセージに含まれる標的ＩＰアドレスリストを構成する各ＩＰアドレス宛の通信量を取得する（Ｓ３０１）。

続いて、対処要求メッセージ処理部１１３は、ＢＧＰの経路情報等を用いることで、自ＡＳから対処要求メッセージの送信元ＡＳへ、標的宛通信が流れているか否かを判定する（Ｓ３０２）。標的宛通信が当該送信元ＡＳへ流れていない場合（Ｓ３０２でＮｏ）、対処要求メッセージ処理部１１３は、標的ＡＳ番号、自身のＡＳ番号、対処状況（Ｓｔａｔｕｓ＝対処不可）を含む対処応答メッセージを当該送信元ＡＳの連携対処装置１０へ送信し（Ｓ３０３）、図１５の処理を終了する。

一方、標的宛通信が当該送信元ＡＳへ流れている場合（Ｓ３０２でＹｅｓ）、対処要求メッセージ処理部１１３は、対処要求メッセージに含まれる標的ＡＳ番号及び標的ＩＰアドレスリストを、標的ＩＰアドレス情報テーブル１３１に対応付けて登録する（Ｓ３０４）。

続いて、対処要求メッセージ処理部１１３は、対処要求メッセージに含まれる標的ＡＳ番号を「標的ＡＳ番号」とし、対処要求メッセージに含まれる要求元ＡＳ番号を「要求元（下流＝親）ＡＳ番号」とするレコードを対処状態管理テーブル１３２（図８）に生成する（Ｓ３０５）。

続いて、対処要求メッセージ処理部１１３は、攻撃対処設定部１２１を介して、対処要求メッセージに含まれる標的ＩＰアドレスリストを構成する各ＩＰアドレス宛の通信を自ＡＳ内のｍｉｔｉｇａｔｉｏｎ装置４０のリソース上限まで引き込んで対処するように設定する（標的宛通信量がｍｉｔｉｇａｔｉｏｎ装置４０の利用可能リソース量より大きい場合は、利用可能リソース量まで引き込むように対処量を設定し、小さい場合は、対処量を指定せずに引き込みを設定する）（Ｓ３０６）。ここで、ｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量は、攻撃検知装置２０が定期的に収集し、拠点情報テーブル１３６（図１３）に登録した値を参照してもよいし、攻撃検知装置２０に情報の取得を指示して、最新の情報を取得してもよい。

続いて、対処要求メッセージ処理部１１３は、対処要求メッセージの送信元ＡＳに対して、標的ＡＳ番号、自身のＡＳ番号、対処状況（Ｓｔａｔｕｓ＝対処中）を含む対処応答メッセージを送信する（Ｓ３０７）。

続いて、対処要求メッセージ処理部１１３は、他のＡＳから自ＡＳに対して標的宛通信が流入しているか否かを判定する（Ｓ３０８）。

他のＡＳから自ＡＳに対して標的宛通信が流入している場合（Ｓ３０８でＮｏ）、対処要求メッセージ処理部１１３は、対処状態管理テーブル１３２（図８）の自身の「最上流フラグ」を「Ｆａｌｓｅ」に設定する（Ｓ３０９）。続いて、対処要求メッセージ処理部１１３は、自ＡＳの連携先ＡＳ情報テーブル１３７（図１０）に含まれる連携先ＡＳ（要求元ＡＳを除く）の連携対処装置１０に対して、受信した対処要求メッセージに含まれる標的ＡＳ番号及び標的ＩＰアドレスリストと、自身のＡＳ番号とを含む対処要求メッセージを送信する（Ｓ３１０）。

一方、他のＡＳから自ＡＳに対して標的宛通信が流入していない場合（Ｓ３０８でＹｅｓ）、対処要求メッセージ処理部１１３は、対処状態管理テーブル１３２（図８）において対処要求メッセージに対応するレコードの「自ＡＳに関する情報」の「最上流フラグ」に「Ｔｒｕｅ」を設定する（Ｓ３１１）。

続いて、対処要求メッセージ処理部１１３は、対処終了判断部１２２に対処要求メッセージに含まれる標的ＡＳ番号を通知し、当該対処要求メッセージに係る攻撃の終了を監視するためのタイマを設定する（Ｓ３１２）。

続いて、対処要求メッセージ処理部１１３は、以下のステップＳ３１３−１〜Ｓ３１３−４の手順でリソース最適化の計算に必要な情報を取得し、取得した情報を各テーブルに登録する（Ｓ３１３）。

ステップＳ３１３−１において、対処要求メッセージ処理部１１３は、自ＡＳの各ＧＷから収集したフロー情報等の任意のトラヒック情報と標的ＩＰアドレスリストに基づき、標的ＩＰアドレス宛通信の流入するＧＷ番号の取得と各ＧＷを流れる標的ＡＳ宛通信量（標的ＩＰアドレスリストに含まれるＩＰアドレス宛通信量を合算した値）の算出を行い、攻撃情報テーブル１３３（図１０）において「標的ＡＳ番号」が当該攻撃の標的ＡＳ、かつ「ＡＳ番号」が自身のＡＳ番号のレコードの「標的宛通信量の流入する入口ＧＷ情報」の「入口ＧＷ番号」、「標的宛通信量」に取得結果又は算出結果を登録する。入口ＧＷが複数存在する場合は、ＧＷ毎にレコードが登録される。

なお、ＧＷは他ＡＳとの境界に位置するエッジルータだけでなく、自ＡＳの管理する加入者ネットワークとの境界に位置するエッジルータも含み、自ＡＳ内を発信元とする通信のフロー情報を入口で取得することを想定している。

ステップＳ３１３−２において、対処要求メッセージ処理部１１３は、自ＡＳ内のルーティング情報等（ルータ等のルーティングテーブルやＢＧＰ経路情報等）に基づき、前述の各入口ＧＷから流入した標的ＡＳ宛通信が他ＡＳに流れる際の出口となるＧＷ番号及びリンク番号を取得すると共に、ＧＷ・拠点対応情報テーブル１３５（図１１）に基づき、各入口ＧＷから流入した標的宛通信を引き込み可能な拠点番号を取得し、攻撃情報テーブル１３３（図１０）における各入口ＧＷのレコードの「標的宛通信の流入する出口ＧＷ・リンク情報」と「標的宛通信を引き込み可能な拠点情報」に、当該レコードに対応する「出口ＧＷ番号」「出口リンク番号」「拠点番号」を登録する。

ステップＳ３１３−３において、対処要求メッセージ処理部１１３は、攻撃情報テーブル１３３（図１０）を参照して、各拠点に紐づく入口ＧＷ番号の一覧を取得し、「標的宛通信量の流入する入口ＧＷ情報」の各入口ＧＷの標的宛通信量に基づき、各拠点に引き込み可能な標的宛通信量を算出し、「標的宛通信量を引き込み可能な拠点情報」の「拠点に引き込み可能な標的宛通信量」に算出結果を格納する。

ステップＳ３１３−４において、対処要求メッセージ処理部１１３は、攻撃情報テーブル１３３（図１０）を参照して、各出口ＧＷに紐づく入口ＧＷ番号を取得し、「標的宛通信の流入する入口ＧＷ情報」の各入口ＧＷの標的宛通信量に基づき、自ＡＳで対処を実施しなかった場合に、各出口ＧＷ・出口リンクに流入する標的宛通信量を算出し、「標的宛通信の流入する出口ＧＷ・リンク情報」の「出口リンクを流れる標的宛通信量」に算出結果を格納する。また、対処要求メッセージ処理部１１３は、各出口リンクに対して、上述した式（１）により、出口リンクの輻輳を回避するために、最低限対処すべき標的ＡＳ宛通信量（標的宛通信の最低対処量）を算出し、攻撃情報テーブル１３３（図１０）の「出口リンクに流入する標的宛通信の最低対処量」に格納する。

ステップＳ３１３に続いて、対処要求メッセージ処理部１１３は、親ＡＳ（対処要求メッセージの送信元のＡＳ）の連携対処装置１０に対して、標的ＡＳ番号（受信した対処要求メッセージに含まれるものと同じ値）、自身のＡＳ番号、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」が当該￥標的ＡＳ番号、かつ、「ＡＳ番号」が自身のＡＳ番号であるレコードの内容と、拠点情報テーブル１３６（図１３）の当該攻撃対処に利用する拠点情報とを含む調整要求メッセージを送信する（Ｓ３１４）。

対処応答メッセージ処理部１１４は、他の連携対処装置１０からの対処応答メッセージに対する処理を行う。図１６は、対処応答メッセージ処理部１１４が実行する処理手順の一例を説明するためのフローチャートである。

対処応答メッセージ処理部１１４は、対処応答メッセージを受信すると、当該対処応答メッセージに含まれる対処状況が、「Ｓｔａｔｕｓ＝対処中」であるか否かを判定する（Ｓ４０１）。当該対処状況が、「Ｓｔａｔｕｓ＝対処中」である場合（Ｓ４０１でＹｅｓ）、対処応答メッセージ処理部１１４は、対処状態管理テーブル１３２（図８）において当該対処応答メッセージに含まれる標的ＡＳ番号に対応するレコードの「連携先ＡＳ（上流＝子）ＡＳに関する情報」の「ＡＳ番号」に、当該対処応答メッセージの送信元ＡＳ番号を登録する（Ｓ４０２）。

一方、当該対処状況が、「Ｓｔａｔｕｓ＝対処中」でない場合（Ｓ４０１でＮｏ）、対処応答メッセージ処理部１１４は、対処要求メッセージの全ての送信先から対処応答メッセージを受信済みであり、かつ、全ての子から調整要求メッセージを受信済みか否かを判定する（Ｓ４０３）。

ステップＳ４０３の判定がＹｅｓの場合、対処応答メッセージ処理部１１４は、リソース最適化処理を実行する（Ｓ４０４）。リソース最適化処理の詳細については後述する。

調整要求メッセージ処理部１１５は、他の連携対処装置１０からの調整要求メッセージに対する処理を行う。図１７は、調整要求メッセージ処理部１１５が実行する処理手順の一例を説明するためのフローチャートである。

調整要求メッセージ処理部１１５は、調整要求メッセージを受信すると、「標的ＡＳ番号」が当該調整要求メッセージに含まれる標的ＡＳ番号、かつ、「ＡＳ番号」が当該調整要求メッセージの送信元ＡＳとなるレコードを（新規の場合）攻撃情報テーブル１３３（図１０）に生成し、当該調整要求メッセージに含まれる情報（標的宛通信の流入する入口ＧＷ情報、標的宛通信の流入する出口ＧＷ・リンク情報、標的宛通信を引き込み可能な拠点情報）を当該レコードに格納する（Ｓ５０１）。

続いて、調整要求メッセージ処理部１１５は、連携先ＡＳ情報テーブル１３７（図９）において「連携先ＡＳ番号」が、当該調整要求メッセージの送信元ＡＳとなるレコードの「拠点情報（「拠点番号」、「最大リソース量」、「利用可能リソース量」）」を当該調整要求メッセージに含まれる情報で更新する（Ｓ５０２）。但し、該当するレコードが無い場合には、該当するレコードが生成される。

続いて、調整要求メッセージ処理部１１５は、対処要求メッセージの全ての送信先から対処応答メッセージを受信済みであり、かつ、全ての子から調整要求メッセージを受信済みであるか否かを判定する（Ｓ５０３）。ステップＳ５０３の判定がＹｅｓの場合、調整要求メッセージ処理部１１５は、リソース最適化処理を実行する（Ｓ５０４）。

続いて、図１６のステップＳ４０４及び図１７のステップＳ５０４の詳細について説明する。図１８は、リソース最適化処理の処理手順の一例を説明するためのフローチャートである。

ステップＳ６０１において、リソース最適化の計算に必要な自ＡＳ内の情報を次のＳ６０１−１〜Ｓ６０１−５の手順で取得する。

ステップＳ６０１−１において、自ＡＳの各ＧＷから収集したフロー等のトラヒック情報と標的ＩＰアドレスリストとに基づき、標的ＩＰアドレス宛通信の流入するＧＷ番号を取得すると共に、当該ＧＷ番号に係る各ＧＷを流れる標的ＡＳ宛通信量（標的ＩＰアドレスリストに含まれるＩＰアドレス宛通信量を合算した値）を算出し、攻撃情報テーブル１３３（図１０）において「標的ＡＳ番号」が受信したメッセージに含まれる標的ＡＳ番号、かつ、「ＡＳ番号」が自身のＡＳ番号であるレコードの「標的宛通信量の流入する入口ＧＷ情報」の「入口ＧＷ番号」、「標的宛通信量」に、取得したＧＷ番号、算出した標的ＡＳ宛通信量を登録する。入口ＧＷが複数存在する場合は、ＧＷ毎にレコードを登録する。

ステップＳ６０１−２において、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」が受信メッセージに含まれる標的ＡＳ、かつ、「ＡＳ番号」が連携先ＡＳであるレコードの「ＡＳ番号」・「出口ＧＷ番号」と、ＡＳ間リンク情報テーブル１３４（図１２）の「隣接ＡＳ側の接続ＧＷ情報」の「隣接ＡＳ番号」・「ＧＷ番号」とを突合することで、連携先の各出口リンクから流出した標的宛通信の流入元である自ＡＳの入口ＧＷ番号を取得し、当該入口ＧＷ番号を攻撃情報テーブル１３３（図１０）において「ＡＳ番号」が自ＡＳのＡＳ番号であるレコードの「入口ＧＷ番号」に登録する。このとき、「標的宛通信の流入する入口ＧＷ情報」の「対応する連携先ＡＳ番号」及び「対応する連携先ＡＳの出口ＧＷ番号」も登録する。また、現在の各入口ＧＷに対応する「入口ＧＷを流れる標的宛通信量」に、当該入口ＧＷに対応する連携先ＡＳの出口ＧＷを流れる標的宛通信量を加算する。

なお、連携先ＡＳ（子）と対処要求メッセージの送信元ＡＳ（親）が直接接続していない場合は、子の標的宛通信の流出する出口ＧＷが接続する隣接ＡＳ番号と親の入口ＧＷが接続する隣接ＡＳ番号およびＢＧＰの経路情報に基づき、子の出口ＧＷから流出した標的宛通信が親のどの入口ＧＷから流入するのかを判定することが考えられる。この場合、調整要求メッセージに、例えば、子の出口ＧＷの接続する隣接ＡＳ番号を含めることで、受信側において隣接ＡＳ番号を用いた判定が可能になると想定される。

ステップＳ６０１−３において、ＧＷ・拠点対応情報テーブル１３５（図１１）に基づき、各入口ＧＷから流入した標的宛通信を引き込み可能な拠点番号を取得し、攻撃情報テーブル１３３（図１０）において「標的ＡＳ番号」が受信メッセージに含まれる標的ＡＳ番号、かつ、「ＡＳ番号」が自ＡＳのＡＳ番号である各入口ＧＷのレコードの「標的宛通信を引き込み可能な拠点情報」の、「拠点番号」に、取得した拠点番号を登録する。

ステップＳ６０１−４において、攻撃情報テーブル１３３（図１０）を参照して、各拠点に紐づく入口ＧＷ番号の一覧を取得し、「標的宛通信量の流入する入口ＧＷ情報」の各入口ＧＷの標的宛通信量に基づき、各拠点に引き込み可能な標的宛通信量を算出し（拠点に紐付く入口ＧＷが複数の場合は、各ＧＷの標的ＡＳ宛通信量の和）、算出結果を「標的宛通信量を引き込み可能な拠点情報」の「拠点に引き込み可能な標的宛通信量」に格納する。

ステップＳ６０１−５において、拠点情報テーブル１３６（図１３）を参照して、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の最大リソース量及び利用可能リソース量を取得する。

続いて、ステップＳ６０１で取得した自ＡＳの情報と、受信済みの連携先ＡＳの情報とを用いて、自身と子との各拠点で対処する標的宛通信量（対処量）を算出するためのパラメータ調整処理（最適化問題を解く処理）を、パラメータ調整部１２０に実行させる（Ｓ６０２）。

続くステップＳ６０３において、パラメータ調整処理によって得られた、「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量（子の分のみ）」、「各拠点単位の対処量」によって、攻撃情報テーブル１３３（図１０）の自ＡＳと連携先（子）ＡＳのレコードにおける「入口ＧＷ単位の対処中の量」、「出口リンク単位の対処中の量」及び「拠点単位の対処中の量」を更新する。

また、攻撃情報テーブル１３３（図１０）において「標的ＡＳ番号」が受信した標的ＡＳ番号、かつ、「ＡＳ番号」が自身のＡＳ番号となる各入口ＧＷのレコードについて、「入口ＧＷを流れる標的宛通信量」を、対応する連携先ＡＳの出口リンクの対処量分減算する。また、「拠点に引き込み可能な標的宛通信量」を、更新された各入口ＧＷを流れる標的宛通信量の値を用いて再計算する。更に、拠点情報テーブル１３６（図１３）の「利用可能リソース量」をその拠点の対処量分だけ減算する。

ステップＳ６０３に続いて、子の連携対処装置１０に対して、標的ＡＳ番号（受信した標的ＡＳ番号と同じ）、自身のＡＳ番号、調整の結果得られた「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」（メッセージの宛先ＡＳに関する情報のみ）、及び「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」が含まれる更新要求メッセージを送信する（Ｓ６０４）。

なお、分散処理の実行順序による値ずれを補正するために、例えば、「計算前の子の対処中の量の値」または「計算前後の対処量の差分値」も更新要求メッセージに含めて送信しても良い。受信側では、対処量そのものの値でなく、元の対処量からの差分値を用いてその値分現在の対処量から値を増加または減少させることで、親によるリソース調整を実施中に、自身とその子とのリソース調整が先に実施されて現在の対処量が変化した場合でも、システム全体としての整合性を保つことができる。

続いて、自ＡＳが標的ＡＳでない場合（Ｓ６０５でＹｅｓ）、自ＡＳの各入口ＧＷに対応する出口ＧＷ番号・出口リンク番号、出口リンクを流れる標的宛通信量、最低対処量を取得・算出し、攻撃情報テーブル１３３に登録する（Ｓ６０６）。続いて、自身の親の連携対処装置１０に、標的ＡＳ番号（受信したものと同じ）、自身のＡＳ番号、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」が受信したメッセージに含まれる標的ＡＳ番号、かつ、「ＡＳ番号」が自身のＡＳ番号であるレコードの内容、拠点情報テーブル１３６（図１３）において、受信したメッセージに含まれる標的ＡＳ宛攻撃対処に利用する拠点情報、を含む調整要求メッセージを送信する（Ｓ６０７）。なお、当該調整要求メッセージと更新要求メッセージの受信時の処理において、親と子にメッセージを送る順番は、子、親の順又は親、子の順のどちらでも良い。

更新要求メッセージ処理部１１６は、他の連携対処装置１０からの更新要求メッセージに対する処理を行う。図１９は、更新要求メッセージ処理部１１６が実行する処理手順の一例を説明するためのフローチャートである。

ステップＳ７０１において、更新要求メッセージ処理部１１６は、受信した更新要求メッセージに「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」が含まれるか否かを判定する。当該更新要求メッセージに「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」が含まれる場合（Ｓ７０１でＹｅｓ）、親が隣接ＡＳであり（Ｓ７０２でＹｅｓ）、対処状態管理テーブル１３２（図８）において自ＡＳの「最上流フラグ」が「Ｔｒｕｅ」であれば（Ｓ７０３でＹｅｓ）、更新要求メッセージ処理部１１６は、当該更新要求メッセージに含まれる「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」を用いて、拠点情報テーブル１３６（図１３）の「利用可能リソース量」を拠点単位の対処量分だけ減算すると共に、攻撃情報テーブル１３３（図１０）の自ＡＳの各対処中の量の値を更新し、ネットワーク制御装置３０を介して、標的ＩＰアドレス宛通信を要求分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する（Ｓ７０４）。ここでは、当該更新要求メッセージに、「計算前の子の対処中の量の値」または「計算前後の対処量の差分値」が含まれる場合は、前述のように、これらの値も利用して値を更新しても良い。

また、親が隣接ＡＳであり（Ｓ７０２でＹｅｓ）、対処状態管理テーブル１３２（図８）において自ＡＳの「最上流フラグ」が「Ｔｒｕｅ」でない場合（Ｓ７０３でＮｏ）、更新要求メッセージ処理部１１６は、自身と子との各拠点で対処する標的宛て通信量を算出するためのパラメータ調整処理を、パラメータ調整部１２０に実行させる（Ｓ７０５）。

続いて、更新要求メッセージ処理部１１６は、パラメータ調整処理によって得られた、「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量（子の分のみ）」、「各拠点単位の対処量」を用いて、攻撃情報テーブル１３３（図１０）の自ＡＳと連携先（子）ＡＳのレコードにおける「入口ＧＷ単位の対処中の量」、「出口リンク単位の対処中の量」及び「拠点単位の対処中の量」を更新し、攻撃への対処を実施する（Ｓ７０６）。また、更新要求メッセージ処理部１１６は、拠点に引き込み可能な標的宛通信量を、更新された各入口ＧＷを流れる標的宛通信量の値を用いて再計算する。さらに、更新要求メッセージ処理部１１６は、拠点情報テーブル１３６（図１３）の利用可能リソース量をその拠点の対処量分だけ減算する。

続いて、更新要求メッセージ処理部１１６は、自ＡＳの各入口ＧＷに対応する出口ＧＷ番号・出口リンク番号、出口リンクを流れる標的宛通信量、最低対処量を取得・算出し、取得結果又は算出結果を攻撃情報テーブル１３３（図１０）に登録する（Ｓ７０７）。

続いて、更新要求メッセージ処理部１１６は、子の連携対処装置１０に対して、標的ＡＳ番号（受信メッセージに含まれるものと同じ）、自身のＡＳ番号、調整の結果得られた「各入口ＧＷ単位の対処量」、「各出口リンク単位の対処量」、「各拠点単位の対処量」（メッセージの宛先ＡＳに関する情報のみ）、「Ｆｌａｇ＝ｆｒｏｍＰａｒｅｎｔ」を含む更新要求メッセージを送信する（Ｓ７０８）。

続いて、更新要求メッセージ処理部１１６は、親の連携対処装置１０に対して、標的ＡＳ番号（受信メッセージに含まれるものと同じ）、自身のＡＳ番号、攻撃情報テーブル１３３（図１０）の「標的ＡＳ番号」が受信した更新要求メッセージの標的ＡＳ番号、かつ、「ＡＳ番号」が自身のＡＳ番号であるレコードの内容、拠点情報テーブル１３６（図１３）の攻撃対処に利用する拠点情報、「Ｆｌａｇ＝ｆｒｏｍＣｈｉｌｄ」を含む更新要求メッセージを送信する（Ｓ７０９）。

また、親が隣接ＡＳではない場合（Ｓ７０２でＮｏ）、更新要求メッセージ処理部１１６は、対処を実施後（Ｓ７１０）、輻輳検査部１１９を介して、自身と親との間のリンクで輻輳が発生しているかの検査を実行してもよい（Ｓ７１１）。なお、輻輳検査部１１９は、他の連携対処装置１０の輻輳検査部１１９からの検査パケットを受信すると、それに対する応答パケットを返送する機能を有し、例えば、自身と親の連携対処装置１０との間で検査パケットを送信して応答を待ち、パケットのドロップが発生している場合や、ＲＴＴ（Round Trip Time）の値を見て平常時と比較して遅延が発生している場合に、輻輳が発生していると判定する。

輻輳検査の結果、自身と親の間のリンクで輻輳が発生している場合、更新要求メッセージ処理部１１６は、自身の対処量を任意の量だけ増加させ、再度輻輳検査を実施する（Ｓ７１２）。更新要求メッセージ処理部１１６は、子の対処量の増加と輻輳検査とを輻輳が解消されるまで繰り返し、自身の対処量が元よりも増加している場合に、自身の最低対処量として増加後の対処量を設定し、各テーブルの値を更新する（Ｓ７１３）。

続いて、更新要求メッセージ処理部１１６は、自身の親の連携対処装置１０に、標的ＡＳ番号（受信した更新要求メッセージに含まれるものと同じ）、自身のＡＳ番号、攻撃情報テーブル１３３の「標的ＡＳ番号」が受信した更新要求メッセージに含まれる標的ＡＳ番号、かつ、「ＡＳ番号」が自身のＡＳ番号であるレコードの内容、拠点情報テーブル１３６のＡＳ１宛攻撃対処に利用する拠点情報を含む、輻輳対処メッセージを送信する（Ｓ７１４）。

一方、受信した更新要求メッセージに「Ｆｌａｇ＝ｆｒｏｍＣｈｉｌｄ」が含まれる場合（Ｓ７０１でＮｏ）、ステップＳ７０５〜Ｓ７０９とほぼ同様の処理が実行される（Ｓ７１５〜Ｓ７１９）。但し、自ＡＳが標的ＡＳでない場合のみ、最低対処量の更新（Ｓ７１７）と、親への更新要求メッセージの送信（Ｓ７１９）が実行される。

輻輳対処メッセージ処理部１１７は、他の連携対処装置１０からの輻輳対処メッセージに対する処理を行う。図２０は、輻輳対処メッセージ処理部１１７が実行する処理手順の一例を説明するためのフローチャートである。

輻輳対処メッセージ処理部１１７は、他の連携対処装置１０からの輻輳対処メッセージを受信すると、当該輻輳対処メッセージに含まれる情報を用いて、拠点情報テーブル１３６（図１３）及び攻撃情報テーブル１３３（図１０）の値（各ＡＳの対処量等）を更新する（Ｓ８０１）。続いて、ステップＳ８０２が実行されてもよい。

ステップＳ８０２において、輻輳対処メッセージ処理部１１７は、子の連携対処装置１０と、親が標的でない場合には親の連携対処装置１０とに、更新要求メッセージを送信することで、対処量を再度調整する（Ｓ８０２）。

対処終了要求メッセージ処理部１１８は、対処終了判断部１２２又は他の連携対処装置１０からの対処終了要求メッセージに対する処理を行う。図２１は、対処終了要求メッセージ処理部１１８が実行する処理手順の一例を説明するためのフローチャートである。

対処終了要求メッセージ処理部１１８は、全ての子から対処終了メッセージを受信済みであれば（Ｓ９０１でＹｅｓ）、対処終了要求メッセージに含まれる標的ＡＳ番号に基づき、標的ＩＰアドレス情報テーブル１３１から標的のＩＰアドレスを抽出し、攻撃検知装置２０によって定期的に取得されるトラヒック情報と標的のＩＰアドレスとを突合することで、標的ＡＳ宛攻撃の通信量の合計値を計算する（Ｓ９０２）。続いて、対処終了要求メッセージ処理部１１８は、当該合計値を事前設定された閾値を比較する。

当該合計値が当該閾値未満である場合（Ｓ９０３でＹｅｓ）、対処終了要求メッセージ処理部１１８は、攻撃対処設定部１２１を介して、自ＡＳ内での当該標的ＡＳ宛攻撃に対する対処を終了する（Ｓ９０４）。続いて、対処終了要求メッセージ処理部１１８は、攻撃対処設定部１２１を介して、対処状態管理テーブル１３２、攻撃情報テーブル１３３等の当該標的ＡＳに対応するレコードを削除し、拠点情報テーブル１３６の利用可能リソース量を当該標的ＡＳ宛に確保していた量分増加させる（Ｓ９０５）。続いて、対処終了要求メッセージ処理部１１８は、対処終了判断部１２２に標的ＡＳ番号を通知し、当該攻撃への監視を終了させる（Ｓ９０６）。続いて、対処終了要求メッセージ処理部１１８は、標的ＡＳ番号を含む対処終了要求メッセージを下流ＡＳに送信する（Ｓ９０７）。

一方、当該合計値が当該閾値以上である場合（Ｓ９０３でＮｏ）、対処終了要求メッセージ処理部１１８は、対処終了判断部１２２を定期的に呼び出すタイマを設定する（Ｓ９０８）。続いて、対処終了要求メッセージ処理部１１８は、対処状態管理テーブル１３２（図８）において対処終了要求メッセージに含まれる標的ＡＳ番号に対応するレコードの「自ＡＳに関する情報」の「最上流フラグ」に「Ｔｒｕｅ」を設定する（Ｓ９０９）。

パラメータ調整部１２０は、他の処理部１１によって呼び出され、各テーブルに格納された情報に基づきパラメータ調整処理を実行して、任意のＡＳ宛の攻撃に対して、自ＡＳと連携先ＡＳ間で対処する通信量を算出する機能を有する。

本実施の形態では、標的ＡＳ単位で攻撃をまとめて、各拠点で対処する通信量を調整することで、標的ＩＰアドレス単位で１つずつ調整する場合と比較して、必要な調整回数を削減できる。なお、本実施の形態では、各ＡＳがｍｉｔｉｇａｔｉｏｎ装置４０を利用して対処する際に、ＡＳ間リンクが輻輳しない範囲内で、といった制約条件のもと、各拠点のｍｉｔｉｇａｔｉｏｎ装置４０の使用率ができるだけ均一になるように、各ＡＳで対処する通信量を調整する方法について説明している。しかし、ＡＳ間リンクの輻輳の回避と各ＡＳのｍｉｔｉｇａｔｉｏｎ装置４０のリソース負荷分散とを同時に実現する最適化問題の表現方法については、斯かる方法に限定されない。

攻撃対処設定部１２１は、他の処理部１１によって呼び出され、標的ＩＰアドレス情報テーブル１３１（図７）、対処状態管理テーブル１３２（図８）、攻撃情報テーブル１３３（図１０）を参照することで、標的ＩＰアドレスの一覧、対処方式、自ＡＳで対処する標的ＡＳ宛通信量（入口ＧＷ単位、拠点単位、出口リンク単位）を取得し、これらの情報をネットワーク制御装置３０に通知する。前述の通り、ネットワーク制御装置３０は、受信した当該情報に基づき、入口ＧＷ等の任意のパケット転送装置を制御することで、標的ＡＳ宛通信の内、標的ＩＰアドレスの一覧に含まれるＩＰアドレス宛通信を、通知された通信量分だけｍｉｔｉｇａｔｉｏｎ装置４０に引き込んで対処する（または適用中の制御を解除する）。

なお、他の処理部１１による攻撃対処設定部１２１の呼び出しのタイミングは任意であり、例えば、各種メッセージを受信したタイミング、パラメータ調整処理が収束したタイミングで呼び出されることが想定される。

また、各ＡＳにおいて、任意の標的宛通信を要求された対処量分だけ自ＡＳの拠点に引き込んで対処するためには、各ＡＳのＧＷ等に、任意の宛先ＩＰアドレスに合致する通信を割合ベースで複数経路に分散できる機能等が必要となる。本機能については、「Juniper, "Configuring Per-Prefix Load Balancing," https://www.juniper.net/documentation/en_US/junos/topics/usage-guidelines/policy-configuring-per-prefix-load-balancing.html」等が参考とされてもよい。こうした機能を有するパケット転送装置を保有しないＡＳにおいて、ＡＳ内の複数の入口ＧＷから標的宛通信が流入している場合には、入口ＧＷ単位で拠点に引き込む／引き込まない標的宛通信を振り分ける（例えば、或る特定のＧＷから流入した標的宛通信は拠点に引き込み、別の特定のＧＷから流入した標的宛通信はそのまま転送のようなイメージ）か、標的ＩＰアドレスが複数有る場合は、標的ＩＰアドレス単位で拠点に引き込む／引き込まない通信を振り分ける（例えば、１９２．０．２．１／３２宛通信は拠点に引き込み、１９２．０．２．２／３２宛通信はそのまま転送のようなイメージ）ことが想定される。また、前記入口ＧＷ単位の振り分けと標的ＩＰアドレス単位の振り分けの組み合わせも想定される。

このように、各ＡＳにおいて、拠点に引き込める標的宛通信量の単位が限定される場合は、子からの調整要求メッセージまたは更新要求メッセージに、「引き込み可能な標的宛通信量の単位」を含めて送信し、子の対処量を表す変数の取り得る範囲を前記値に制限した混合整数最適化問題としてリソース最適化の問題を構築することで、子の対処量を「引き込み可能な標的宛通信量の単位」の中で決定することが想定される。「引き込み可能な標的宛通信量の単位」は、例えば、ＧＷｘ、ＧＷｙから標的宛通信が流入しており、入口ＧＷ単位での振り分けを行う場合は、｛０，ＧＷｘを流れる標的宛通信量，ＧＷｙを流れる標的宛通信量，ＧＷｘ＋ＧＷｙを流れる標的宛通信量｝のように、０と各ＧＷを流れる標的宛通信量単体、又はその組み合わせの集合として表すことができる。

対処終了判断部１２２は、他の処理部１１によって呼び出され、標的ＩＰアドレス情報テーブル１３１（図７）の標的ＩＰアドレスと、攻撃検知装置２０が定期的に取得するトラヒック情報とを突合することで、各標的ＩＰアドレス宛通信量を取得し、各標的ＡＳ宛攻撃の通信量の合計値を計算する。対処終了判断部１２２は、当該合計値と事前設定された閾値とを定期的に比較し、当該合計値が閾値を下回った場合に、自ＡＳの対処を終了し、終了する標的ＡＳ番号と自身のＡＳ番号を含む対処終了要求を親の連携対処装置１０に送信する。

ここで、対処終了判断の方法としては、前記閾値を用いた定期的な比較のほか、対処要求メッセージ等にその対処の有効期限を示すライフタイムを付与して送信し、そのライフタイムが０になった場合に、自身のメッセージ受付部１１１に対処終了要求メッセージを送信して、対処終了処理を行う等の方法も想定される。特に、ライフタイムで対処終了を管理する場合、ＡＳ間での対処終了メッセージの送受信は発生せず、各ＡＳ内で完結して特定のＡＳ宛攻撃への対処終了が実施される。

上述したように、本実施の形態によれば、インターネット全体でｍｉｔｉｇａｔｉｏｎ装置４０のリソースを共用してＤＤｏＳ攻撃（特定の宛先に対する通信）に連携対処する場合で、複数のＡＳ間リンクやｍｉｔｉｇａｔｉｏｎ拠点を保有し、遅延・消費帯域等の観点から流入元に近い拠点のリソースを利用した攻撃対処を行うＴｉｅｒ１ ＩＳＰのようなグローバル規模のＡＳと連携する場合でも、ＡＳ間リンク帯域の輻輳を回避することで、他の通信サービスへの影響を抑えつつ、各ＡＳの拠点単位でｍｉｔｉｇａｔｉｏｎ装置４０のリソース使用率を平準化することで、インターネット全体としてより多くのＤＤｏＳ攻撃に対処可能となる。

なお、本実施の形態において、連携対処装置１０は、対処装置の一例である。攻撃検知メッセージ処理部１１２又は対処要求メッセージ処理部１１３は、要求部の一例である。調整要求メッセージ処理部１１５は、受信部、取得部及び送信部の一例である。パラメータ調整部１２０は、算出部の一例である。ＡＳ２は、第１のＡＳの一例である。ＡＳ３及びＡＳ４は、第２のＡＳの一例である。

以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ 連携対処装置
１１ 処理部
１２ 通信部
１３ 記憶部
２０ 攻撃検知装置
３０ ネットワーク制御装置
４０ ｍｉｔｉｇａｔｉｏｎ装置
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ ＣＰＵ
１０５ インタフェース装置
１１１ メッセージ受付部
１１２ 攻撃検知メッセージ処理部
１１３ 対処要求メッセージ処理部
１１４ 対処応答メッセージ処理部
１１５ 調整要求メッセージ処理部
１１６ 更新要求メッセージ処理部
１１７ 輻輳対処メッセージ処理部
１１８ 対処終了要求メッセージ処理部
１１９ 輻輳検査部
１２０ パラメータ調整部
１２１ 攻撃対処設定部
１２２ 対処終了判断部
１３１ 標的ＩＰアドレス情報テーブル
１３２ 対処状態管理テーブル
１３３ 攻撃情報テーブル
１３４ ＡＳ間リンク情報テーブル
１３５ ＧＷ・拠点対応情報テーブル
１３６ 拠点情報テーブル
１３７ 連携先ＡＳ情報テーブル
Ｂ バス
ｔ１ 標的システム

Claims (7)

1. 特定の宛先に対する通信に対処する拠点を含むＡＳ（Autonomous System）ごとに設置される対処装置であって、
   当該対処装置に対応する第１のＡＳよりも前記通信に関して上流側の第２のＡＳに対応する他の対処装置に対して、前記通信に対する対処を要求する要求部と、
   前記他の対処装置から、前記第２のＡＳにおいて前記対処に利用される前記拠点ごとに、当該拠点に対応する前記通信の入口における通信量の和である引き込み可能な通信量と、前記第２のＡＳにおける前記通信の出口リンクの輻輳を回避するために前記第２のＡＳにおいて対処すべき前記出口リンクごとの最低量とを受信する受信部と、
   前記第２のＡＳが前記対処を実施しなかった場合に前記第１のＡＳにおいて前記対処に利用される前記拠点ごとに、当該拠点に対応する前記通信の入口における通信量の和である引き込み可能な通信量を取得する取得部と、
   前記各拠点単位の対処量が、前記各拠点についての前記引き込み可能な通信量以下であること、かつ、前記第１のＡＳの各拠点及び前記第２のＡＳの各拠点のリソース使用率が平準化されること、かつ、前記各出口リンク単位の前記第２のＡＳにおける対処量が、当該出口リンクに対する前記最低量以上であることを制約条件とし、前記各拠点単位の対処量及び前記各出口リンク単位の前記第２のＡＳにおける対処量を変数とする最適化問題を解くことで、前記各拠点単位の対処量及び前記各出口リンク単位の前記第２のＡＳにおける対処量を算出する算出部と、
   を有することを特徴とする対処装置。
2. 前記受信部は、前記第２のＡＳにおける入口ごとの前記通信の通信量を受信し、
   前記取得部は、前記第１のＡＳにおける入口ごとの前記通信の通信量を取得し、
   前記算出部は、更に、前記第１のＡＳ及び前記第２のＡＳのそれぞれの前記入口単位の対処量が、当該入口の前記通信量以下であることを制約条件として、前記最適化問題を解くことで、前記入口単位の対処量を算出する、
   ことを特徴とする請求項１記載の対処装置。
3. 前記算出部が算出した情報を、前記他の対処装置に送信することで、当該情報に基づく対処を前記他の対処装置に実行させる送信部、
   を有することを特徴とする請求項１又は２記載の対処装置。
4. 特定の宛先に対する通信に対処する拠点を含むＡＳ（Autonomous System）ごとに設置される対処装置が、
   当該対処装置に対応する第１のＡＳよりも前記通信に関して上流側の第２のＡＳに対応する他の対処装置に対して、前記通信に対する対処を要求する要求手順と、
   前記他の対処装置から、前記第２のＡＳにおいて前記対処に利用される前記拠点ごとに、当該拠点に対応する前記通信の入口における通信量の和である引き込み可能な通信量と、前記第２のＡＳにおける前記通信の出口リンクの輻輳を回避するために前記第２のＡＳにおいて対処すべき前記出口リンクごとの最低量とを受信する受信手順と、
   前記第２のＡＳが前記対処を実施しなかった場合に前記第１のＡＳにおいて前記対処に利用される前記拠点ごとに、当該拠点に対応する前記通信の入口における通信量の和である引き込み可能な通信量を取得する取得部と、
   前記各拠点単位の対処量が、前記各拠点についての前記引き込み可能な通信量以下であること、かつ、前記第１のＡＳの各拠点及び前記第２のＡＳの各拠点のリソース使用率が平準化されること、かつ、前記各出口リンク単位の前記第２のＡＳにおける対処量が、当該出口リンクに対する前記最低量以上であることを制約条件とし、前記各拠点単位の対処量及び前記各出口リンク単位の前記第２のＡＳにおける対処量を変数とする最適化問題を解くことで、前記各拠点単位の対処量及び前記各出口リンク単位の前記第２のＡＳにおける対処量を算出する算出手順と、
   を実行することを特徴とする対処方法。
5. 前記受信手順は、前記第２のＡＳにおける入口ごとの前記通信の通信量を受信し、
   前記取得部は、前記第１のＡＳにおける入口ごとの前記通信の通信量を取得し、
   前記算出手順は、更に、前記第１のＡＳ及び前記第２のＡＳのそれぞれの前記入口単位の対処量が、当該入口の前記通信量以下であることを制約条件として、前記最適化問題を解くことで、前記入口単位の対処量を算出する、
   ことを特徴とする請求項４記載の対処方法。
6. 前記算出手順が算出した情報を、前記他の対処装置に送信することで、当該情報に基づく対処を前記他の対処装置に実行させる送信手順、
   を前記対処装置が実行することを特徴とする請求項４又は５記載の対処方法。
7. 請求項１乃至３いずれか一項記載の各部としてコンピュータを機能させることを特徴とするプログラム。

Images