JP7002647B2 - 多層ネットワーク・トポロジにおける攻撃フローを識別するコンピュータ実施方法、コンピュータ・プログラム製品およびシステム - Google Patents

Description

本出願は、概して、特に多層ネットワーク・トポロジに関する、複数の接続に関与する攻撃フローを識別するのに用いることができるシステムおよび方法に関する。

多層ネットワーク・トポロジにおいて、セキュリティ管理者が複数の接続に関与する攻撃フローを識別することは、ジレンマである。攻撃に対する典型的な応答は、パケットの廃棄および接続のリセットを含むことができ、管理者が攻撃を侵入の出所まで戻って追跡するのを支援することはできず、その代わりにその最終段階で攻撃を止めることしかできない。セキュリティ情報イベント管理（ＳＩＥＭ）製品は、それらのタイムスタンプに基づいて、接続を相関させるのを支援することはできるが、これは、管理者が、環境内のすべてのトラフィックを記録し、次に、大量の背景トラフィックをフィルタリングし、接続間の関係に発見することを要求するため、資源を消費するプロセスであり、最終的に持続可能ではない。

図１は、従来、東西攻撃の全部の状況を識別できないことを示す。図示するように、ハッカーは、ＴＬＳプロトコルでＳＱＬインジェクションを有する悪意のあるペイロードをウェブサイトに送信しうる。トラフィックは暗号化されるので、アプリケーション・サーバ（ＡＰＰサーバ）がデータベース・サーバ（ＤＢサーバ）に問い合わせることを試みるまで、攻撃を発見および阻止することができない。従来技術のセキュリティ・システムは、イベントを引き起こし、攻撃が内部のアプリケーション・サーバから他のデータベース・サーバに生成されたと誤って識別する。しかしながら、システム管理者は、攻撃がどこから生じるかについて分からず、侵入の出所まで戻って追跡することはできない。

既存の解決法は、特別な署名をＬ３／Ｌ４ヘッダ内に追加するかまたはアプリケーションフレームワークに完全に依存する。一旦経路上の任意のノードが次のエンティティへの新しい接続を確立すると、これらの方法は現実の世界において実用的でない。サイバー攻撃の洗練度のため、攻撃の兆候（ＩＯＡ）の伝搬は、アプリケーション層から独立していなければならず、さもなければ、情報はおそらく中央において取り除かれ、出所の識別は不可能である。

多層ネットワーク・トポロジにおける攻撃フローを識別するコンピュータ実施方法、コンピュータ・プログラム製品およびシステムを提供する。

実施形態は、プロセッサおよび命令を備えるメモリを備えるデータ処理システムにおけるコンピュータ実施方法を提供することができ、命令は、プロセッサによって実行され、プロセッサにネットワーク保護のためのシステムを実施させ、方法は、分析ユニットによって、１つまたは複数のパケットを備える着信接続（incoming connection）がトリガ・レイテンシより大きい不正なレイテンシを有するかを決定することと、着信接続のレイテンシがトリガ・レイテンシより大きい場合、分析ユニットによって、着信接続を疑わしい接続として報告することと、分析ユニットによって、攻撃が現在進行中かを決定することと、攻撃が進行中である場合、分析ユニットによって、不正なレイテンシを有する着信接続の１つまたは複数のパケットまたは発信接続（outgoing connection）の１つまたは複数のパケットの少なくとも１つを注入することと、を含む。

一態様によれば、ネットワーク保護を提供するためのコンピュータ・プログラム製品が提供され、コンピュータ・プログラム製品は、それとともに実施されるプログラム命令を有するコンピュータ可読の記憶媒体を備え、プロセッサによって実行可能なプログラム命令は、プロセッサに、分析ユニットによって、１つまたは複数のパケットを備える着信接続がトリガ・レイテンシより大きい不正なレイテンシを有するかを決定させ、着信接続のレイテンシがトリガ・レイテンシより大きい場合、分析ユニットによって、着信接続を疑わしい接続として報告させ、分析ユニットによって、攻撃が現在進行中かを決定させ、攻撃が進行中である場合、分析ユニットによって、不正なレイテンシを有する着信接続の１つまたは複数のパケットまたは発信接続の１つまたは複数のパケットの少なくとも１つを注入させる。

他の態様によれば、ネットワーク分析プロセッサを備えるネットワーク保護を提供するためのシステムが提供され、ネットワーク分析プロセッサは、１つまたは複数のパケットを備える着信接続がトリガ・レイテンシより大きい不正なレイテンシを有するかを決定し、着信接続のレイテンシがトリガ・レイテンシより大きい場合、着信接続を疑わしい接続として報告し、攻撃が現在進行中かを決定し、攻撃が進行中である場合、不正なレイテンシを有する着信接続の１つまたは複数のパケットまたは発信接続の１つまたは複数のパケットの少なくとも１つを注入するように構成される。

実施形態は、分析ユニットによって、ネットワーク内の各ＩＰアドレスとの１つまたは複数の接続のレイテンシ分布を計算することと、分析ユニットによって、トリガ・レイテンシを特定することと、をさらに含む方法をさらに提供することができる。

実施形態は、分析ユニットによって、最大レイテンシをプロファイルすることと、分析ユニットによって、１つまたは複数の報告された疑わしい接続に基づいて、最大レイテンシを更新することと、分析ユニットによって、トリガ・レイテンシを最大レイテンシより大きいとして特定することと、をさらに含む方法をさらに提供することができる。

実施形態は、分析ユニットによって、最大レイテンシより大きい不正なレイテンシを有する着信接続の１つまたは複数のパケットまたは発信接続の１つまたは複数のパケットの少なくとも１つを注入することをさらに含む方法をさらに提供することができる。

実施形態は、保護ユニットによって、異常なレイテンシを有する外部接続との遭遇を検出することと、保護ユニットによって、外部接続を孤立させること、異常な接続をリセットすること、異常な接続をハニーポットにリダイレクトすること、または、さらなる情報をイベント・コレクタに提供することのうちの少なくとも１つを実行することと、をさらに含む方法をさらに提供することができる。

実施形態は、ＤＤＯＳ保護モジュールによって、１つまたは複数の接続の各々をネットワーク内に伝搬するべきかを決定することと、ＤＤＯＳ保護モジュールによって、システムが１つまたは複数の接続の各々を伝搬可能か決定することと、をさらに含む方法をさらに提供することができ、伝搬可能か決定することは、ＤＤＯＳ保護モジュールによって、以前の接続が伝搬された最後の時間を決定することと、ＤＤＯＳ保護モジュールによって、以前の接続が伝搬された最後の時間を所定の遅延時間と比較することと、以前の接続が伝搬された最後の時間が所定の遅延時間を上回る場合、ＤＤＯＳ保護モジュールによって、接続をネットワーク内に伝搬可能にすることと、を含む。

実施形態は、ＤＤＯＳ保護モジュールによって、所定の遅延時間に基づいて、不正なレイテンシを調整することをさらに含む方法をさらに提供することができる。

他の例示的な実施形態では、コンピュータ可読のプログラムを有するコンピュータが使えるまたはコンピュータ可読の媒体を備えるコンピュータ・プログラム製品が提供される。コンピュータ可読のプログラムは、プロセッサ上で実行されるとき、プロセッサに方法の例示的な実施形態に関して上述した動作のさまざまな動作および組み合わせを実行させる。

さらに他の例示的な実施形態では、システムが提供される。システムは、方法の例示的な実施形態に関して上述した動作のさまざまな動作および組み合わせを実行するように構成されるネットワーク分析プロセッサ、ネットワーク保護プロセッサおよびＤＤＯＳ保護プロセッサの１つまたは複数を備えてもよい。

この開示の追加の特徴および効果は、添付の図面を参照しながら進める例示的な実施形態の以下の詳細な説明から明らかになる。

以下、本発明の好適実施形態は、以下の図面を一例としてのみ参照して記載される。

ネットワーク攻撃の従来技術の識別を示す。 本願明細書において記載されている実施形態に従って、現在のネットワーク保護システムを用いた攻撃の検出を表すフロー図を示す。 本願明細書において記載されている実施形態に従って、ＤＤＯＳ攻撃の間のネットワーク保護システムの機能を示す。 本願明細書において記載されている実施形態に従って、ネットワーク保護システムの機能を表すフローチャートを示す。 本願明細書において記載されている実施形態に従って、ネットワークと統合されるときのネットワーク保護システムの構成要素を示すブロック図を表す。 例示的な実施形態の態様が実施されてもよい例示的データ処理システムのブロック図である。

単にパケットを廃棄するかまたは接続をリセットするだけである従来技術とは対照的に、本発明は、好ましくは、攻撃の兆候（ＩＯＡ）を攻撃に関与する複数のエンティティを通り伝搬することができる。タイミングは、アプリケーション論理およびネットワークプロトコルに関係なく、複数のノードを通過することができる唯一の属性である。このように、本発明は、好ましくは、ＩＯＡが識別されるとき、特別なレイテンシを接続に追加するための新規な機構を作成することができる。

レイテンシを特定の接続のパケットに追加することによって、本発明は、好ましくは、攻撃の兆候を伝搬することができ、関連した接続を識別することができ、このことは、ＳＩＥＭ製品のための複雑さを大いに減少し、すべての東西トラフィックの中の攻撃フローを分析することができ、東西トラフィックは、クライアント・サーバ・トラフィックとは対照的に、データセンタ内のデータ・トラフィックを備える。疑わしい候補を分析した後に、ネットワークの端のネットワーク保護製品は、最初の患者（すなわち、攻撃の出所）を識別することができ、攻撃者によって確立された接続をリセットすることができる。次に、本発明は、好ましくはイントルーダの発信元ＩＰアドレスを孤立させることができる。リンク親和性を識別することは、ＳＩＥＭ製品およびすべてのサイバー・セキュリティ・エリアにわたる難題である。本発明は、好ましくは、アプリケーション自体からの修正または認識を必要とせずに、大部分の種類のアプリケーション・アーキテクチャを有する攻撃フローを識別する複雑さを減少することができる。

図２は、本願明細書において記載されている実施形態に従って、現在のネットワーク保護システムを用いた攻撃の検出を表すフロー図を示す。一般的に、攻撃者２００は、悪意のあるペイロード２０１をネットワーク内に挿入し、通常の入力点は、ロード・バランサ２０３である。特定の悪意のあるペイロード２０１は、アプリケーション・サーバ２０４内で動作することができる特定のアプリケーション２０５を攻撃することができる。アプリケーション２０５の感染を通して、アプリケーションは、１つまたは複数のデータベース２０７含むデータベース・サーバ２０６ならびに１つまたは複数のファイル２０９を含む１つまたは複数のファイル・サーバ２０８と相互作用することができる。従来、検出された攻撃フロー２１０は、アクセスされている特定のデータベース２０７とのアプリケーション２０５の相互作用の間にのみ以前誤って検出された。しかしながら、不正なレイテンシ・インジェクション機構による攻撃している接続への不正なレイテンシΔｔ２０２のインジェクションにより、攻撃の兆候を提供することができ、これにより、対応するＳＩＥＭ製品は、悪意のあるペイロード２０１を、最初の攻撃者２００およびその起点に戻って追跡することができ、攻撃をより速く有効に終了することができる。この方法を用いて、アプリケーション内に存在するアプリケーション論理不在のＩＯＡ応答論理の障害を防止することができる。アプリケーションがＩＯＡに応答することができる論理を有する範囲で、アプリケーションは、ＩＯＡ情報を接続のアプリケーション層を通り伝搬することができる。

分散型サービス拒否（ＤＤＯＳ）攻撃を回避するために、ＤＤＯＳ攻撃の一部として発生する攻撃が多数であるため、攻撃が検出されるたびに、不正なレイテンシ・インジェクション機構をトリガすることができない。ネットワーク保護システムはまた、ＤＤＯＳ攻撃を回避するための手順を提供することができ、それゆえ、不正なレイテンシ・インジェクションは、構成可能な時間窓においてだけのみ１回以上トリガすることができる。

図３は、本願明細書において記載されている実施形態に従って、ＤＤＯＳ攻撃の間のネットワーク保護システムの機能を示す。入パケットを受信すると３０１、システムは、パケットを検査し、パケットの特徴を決定するとともに、パケットが悪意のあるペイロードかＤＤＯＳ攻撃の一部であるか否かを決定することができる３０２。パケットの検査３０２に基づいて、システムは、接続をネットワーク内に伝搬するべきか否かを決めることができる３０３。システムが接続をネットワーク内に伝搬しないことを選択する場合、システムはネットワーク内へのパケットを拒否することができる。

システムが接続をネットワーク内に伝搬することを選択する場合、次に、システムは、システムが接続を伝搬できるか否かを決定することができる３０４。システムは、所定の遅延時間３０８に対して接続が伝搬された最後の時間を決定することによって３０７、この決定を行うことができる。最後の伝搬時間３０７が所定の遅延時間３０８より短い場合、接続は伝搬可能ではなく、システムは、最初の動作の１つまたは複数を行うことができ３０６、これは、接続をリセットすること、ペイロード（またはパケット）を修正すること、または、ネットワーク内へのパケットを承認もしくは拒否することを含むことができる。最後の伝搬時間３０７が所定の遅延時間３０８より長い場合、一旦システムが不正なレイテンシ・インジェクション機構を用いることによりパケットに不正なレイテンシ遅延または署名あるいはその両方を注入したならば、接続は伝搬可能であり３０５、これは、ネットワーク内へのパケットの伝搬を遅延させること（すなわち、不正なレイテンシを注入すること）を含むことができる。次に、変更されたパケットは、それに基づいて行われる１つまたは複数の最初の動作３０６を有することができ、ネットワークを介する変更されたパケットの許可を含む。

接続をリセットする、ペイロードを修正すること、または、パケットを許容することのようないかなる最初の動作３０６も行う前に、システムは、必要とされるとき、不正なレイテンシを注入することができる。検出された攻撃／イベントに完全に依存する必要なく、ネットワーク保護システムはまた、最後の伝搬時間および時間窓を考慮することができる。この機構により、ネットワーク保護システムは、ＤＤＯＳ攻撃を回避することができる。一実施形態では、注入された不正なレイテンシΔｔは、環境および所定の遅延時間によって最適に計算可能であり、これは、管理者が通常のトラフィックを容易にフィルタリングする際、重要なサービスの影響を生じない。

図４は、本願明細書において記載されている実施形態に従って、ネットワーク保護システムの機能を表すフローチャートを示す。ネットワーク保護システムの実施態様は、２つの部分を備えることができ、第１は、各ワークロード上の保護ユニット４０１であり、第２は、分析ユニット４００であり、中央サーバ、例えばＳＩＥＭ製品上に配置可能である。一実施形態では、分析ユニット４００は、プロファイリング機構およびフロー・データを用いて、各ＩＰアドレスとの全体の接続の不正なレイテンシ分布を計算することができ、最大のレイテンシΔｕをプロファイルすることができる４０２。次に、分析ユニット４００は、最大の許容されたレイテンシΔｕより大きくなりうるトリガ・レイテンシを特定することができる。一実施形態では、トリガ・レイテンシは、所定のタイミング・ウインドウにおいて最大レイテンシΔｕより大きくなりうる。次に、分析ユニット４００は、任意の着信接続がトリガ・レイテンシより大きい不正なレイテンシを有するか否かを決定することができる４０３。その場合は、分析ユニット４００は、フロー・データを介して疑わしい接続を報告することができる４０７。そうでない場合には、分析ユニット４００は、フロー・データを介して最大レイテンシΔｕを更新することができる４０４。次に、分析ユニット４００は、攻撃が現在進行中であるか否かを検出することができる４０５。そうでない場合には、分析ユニット４００は、最大のレイテンシΔｕを再プロファイルすることができ４０２、以前のプロセスを繰り返すことができる。

攻撃が生じた場合、分析ユニット４００は、不正なレイテンシΔｔを有する悪意のあるペイロードを注入することができる４０８。不正なレイテンシのインジェクションは、不正なレイテンシを有するパケットをΔｔだけ遅延させることを含むことができる。一実施形態では、Δｔは、Δｕより大きくなりうる。一実施形態では、接続をリセット／クローズすることのような他の動作をとる前に、接続上の不正なレイテンシΔｔのインジェクションが発生しうる。不正なレイテンシの追加は、異常な接続を作成し、これは、ネットワーククラウド内の他の構成要素に異常なレイテンシを生じさせることがありえ、これは、異常なレイテンシ・スパイク（latency spike）を有するエラーを容易に伝搬することができ、より詳細な追跡を可能にする。

エッジ上の保護ユニット４０１が、分析ユニット４００によって検出された異常なレイテンシを有する任意の外部接続に遭遇するとき、それは、接続を孤立させてもよく４０９、接続をリセットしてもよく４１０、接続を出所のためのハニーポットにリダイレクトしてもよく４１１、または、さらなる分析のためにイベント・コレクタ、例えばＳＩＥＭ製品にさらなる情報を提供することができる４１２。

図５は、本願明細書において記載されている実施形態に従って、ネットワークに統合されるときのネットワーク保護システムの構成要素を示すブロック図を表す。中央サーバ５００とクライアント５０１との間の従来の相互作用を調停する際、ネットワーク保護システムは、中央サーバ５００上に収納される不正なレイテンシ計算モジュール５０２ならびに中央サーバ５００上に収納されるサーバＤＤＯＳ防止モジュール５０３を含みうる。フロー・データ、ＡＰＩまたは要求プロファイルまたは任意のセキュリティ・イベント応答あるいはその組み合わせに基づいて、クライアント５０１は、不正なレイテンシ・インジェクション５０４を特定のネットワーク・ストリームに挿入することがありえ、それは、上述したように、不正なレイテンシ計算モジュール５０２により、攻撃の経路および出所を決定することができる。さらに、クライアントＤＤＯＳ防止モジュール５０５は、クライアント５０１内に実装され、クライアント側のＤＤＯＳ攻撃が生じた場合に、追加のＤＤＯＳ保護を提供することができる。不正なレイテンシ計算モジュール５０２およびサーバＤＤＯＳ防止モジュール５０３は、ネットワークが攻撃調停能力を有するために、レイテンシ値および反ＤＤＯＳ材料、例えば所定の時間遅延を、中央サーバ５００からクライアント５０１に渡すことができる。

図６は、例示的データ処理システム６００のブロック図であり、ユーザ・エージェント、認証符号または認証サーバあるいはその組み合わせのような例示的な実施形態の態様が実施可能である。データ処理システム６００は、サーバまたはクライアントのようなコンピュータの一例であり、本発明の例示的な実施形態のためのプロセスを実施するコンピュータが使えるコードまたは命令が配置される。一実施形態では、図６は、本願明細書において記載されているネットワーク保護システムを実施するサーバのようなサーバ・コンピューティング装置を表す。

図示例では、データ処理システム６００は、ノース・ブリッジおよびメモリ・コントローラ・ハブ（ＮＢ／ＭＣＨ）６０１ならびにサウス・ブリッジおよび入出力（Ｉ／Ｏ）コントローラ・ハブ（ＳＢ／ＩＣＨ）６０２を含むハブ・アーキテクチャを使用することができる。処理ユニット６０３、メイン・メモリ６０４およびグラフィックス・プロセッサ６０５は、ＮＢ／ＭＣＨ６０１に接続可能である。グラフィックス・プロセッサ６０５は、アクセラレーティッド・グラフィックス・ポート（ＡＧＰ）を介してＮＢ／ＭＣＨに接続可能である。

図示例では、ネットワーク・アダプタ６０６は、ＳＢ／ＩＣＨ６０２に接続する。オーディオ・アダプタ６０７、キーボードおよびマウス・アダプタ６０８、モデム６０９、読み出し専用メモリ（ＲＯＭ）６１０、ハード・ディスク・ドライブ（ＨＤＤ）６１１、光ドライブ（ＣＤまたはＤＶＤ）６１２、ユニバーサル・シリアル・バス（ＵＳＢ）ポートおよび他の通信ポート６１３ならびにＰＣＩ／ＰＣＩｅデバイス６１４は、バスシステム６１６を介してＳＢ／ＩＣＨ６０２に接続可能である。ＰＣＩ／ＰＣＩｅデバイス６１４は、イーサネット（Ｒ）・アダプタ、アドイン・カードおよびノート・パソコン用のＰＣカードを含んでもよい。ＲＯＭ６１０は、例えば、フラッシュ・ベーシック・インプット／アウトプット・システム（ＢＩＯＳ）でもよい。ＨＤＤ６１１および光ドライブ６１２は、インテグレーティッド・ドライブ・エレクトロニクス（ＩＤＥ）またはシリアルＡＴＡ（ＳＡＴＡ）インターフェースを使用することができる。スーパーＩ／Ｏ（ＳＩＯ）デバイス６１５は、ＳＢ／ＩＣＨに接続可能である。

オペレーティング・システムは、処理ユニット６０３上で動作することができる。オペレーティング・システムは、データ処理システム６００内の各種要素の制御を調整および提供することができる。クライアントとして、オペレーティング・システムは、市販のオペレーティング・システムとすることができる。オブジェクト指向プログラミング・システム、例えばＪａｖａ（Ｒ）プログラミング・システムは、オペレーティング・システムと協働して動作してもよく、オブジェクト指向プログラムまたはデータ処理システム６００上で実行するアプリケーションから呼び出しをオペレーティング・システムに提供してもよい。サーバとして、データ処理システム６００は、ＡＩＸオペレーティング・システムまたはＬｉｎｕｘオペレーティング・システムを実行するＩＢＭ（Ｒ）ｅＳｅｒｖｅｒ（ＴＭ）Ｓｙｓｔｅｍ ｐ（Ｒ）とすることができる。データ処理システム６００は、複数のプロセッサを処理ユニット６０３内に含むことができる対称型マルチプロセッサ（ＳＭＰ）システムとすることができる。代替的には、単一のプロセッサ・システムを使用してもよい。

オペレーティング・システム、オブジェクト指向プログラミング・システムおよびアプリケーションまたはプログラムのための命令は、ＨＤＤ６１１のような記憶装置上に配置され、処理ユニット６０３によって実行のためのメイン・メモリ６０４内にロードされる。ネットワーク保護システムの実施形態のためのプロセスは、例えばメイン・メモリ６０４、ＲＯＭ６１０のようなメモリ内または１つまたは複数の周辺装置内に配置可能であるコンピュータが使えるプログラム・コードを用いて処理ユニット６０３によって実行可能である。

バスシステム６１６は、１つまたは複数のバスを備えることができる。バスシステム６１６は、任意のタイプの通信ファブリックまたはアーキテクチャを用いて実施可能であり、通信ファブリックまたはアーキテクチャは、当該ファブリックまたはアーキテクチャに取り付けられる異なる構成要素または装置の間でデータ転送を提供することができる。モデム６０９またはネットワーク・アダプタ６０６のような通信ユニットは、データを送受信するのに用いることができる１つまたは複数の装置を含むことができる。

当業者は、図６に表されるハードウェアが実施態様に応じて異なることができるということを認識する。表されるハードウェアに加えて、または、それの代わりに、他の内部ハードウェアまたは周辺装置、例えば、フラッシュ・メモリ、等価な不揮発メモリまたは光ディスク・ドライブが用いられてもよい。さらに、データ処理システム６００は、クライアント・コンピューティング装置、サーバ・コンピューティング装置、タブレット・コンピュータ、ラップトップ・コンピュータ、電話または他の通信装置、携帯情報端末などを含むが、これらに限定されるものではない多くの異なるデータ処理システムのいずれかの形をとることができる。基本的に、データ処理システム６００は、設計上の限定なく、任意の周知であるかまたは将来開発されるデータ処理システムとすることができる。

本明細書および請求項は、例示的な実施形態の特定の特徴および要素に関して、「１つの」、「少なくとも１つの」および「１つまたは複数の」という用語を利用することができる。特定の例示的な実施形態に存在する特定の特徴または要素の少なくとも１つがあるが、１つより多くもまた存在しうることを、これらの用語およびフレーズが意図することを認識されたい。すなわち、これらの用語／フレーズは、明細書または請求項を、単一の特徴／要素が存在することに限定することを意図しないし、または、複数のこの種の特徴／要素が存在することが必要であることも意図しない。それとは反対に、これらの用語／フレーズは、明細書および請求項の範囲にある複数のこの種の特徴／要素の可能性を有しつつ、少なくとも単一の特徴／要素を必要とするだけである。

さらに、以下の説明が例示的な実施形態のさまざまな要素のための複数のさまざまな例を使用し、例示的な実施形態の機構を理解する際の助けとなる例示的な実施形態の例示的実施態様をさらに示すことを認識されたい。これらの例は、非限定的であることを意図し、例示的な実施形態の機構を実施するためのさまざまな可能性を包括することを意図しない。本発明の思想および範囲から逸脱することなく、本明細書に提供されている例に追加して、または、置換して利用されうるさまざまな要素用の多くの他の代替の実施態様があることは、本明細書を考慮して当業者にとって明らかである。

本発明は、システム、方法またはコンピュータ・プログラム製品あるいはその組み合わせでもよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読のプログラム命令を有する１つ（または複数の）コンピュータ可読の記憶媒体を含んでもよい。

コンピュータ可読の記憶媒体は、命令実行装置が使用するための命令を保持および格納することができる有形の装置とすることができる。コンピュータ可読の記憶媒体は、例えば、電子記憶装置、磁気記憶装置、光記憶装置、電磁記憶装置、半導体記憶装置または前述の任意の適切な組み合わせでもよいが、これらに限定されるものではない。コンピュータ可読の記憶媒体のより多くの具体例の包括的ではないリストは、ポータブル・コンピュータ・ディスケット、ヘッド・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能なプログラマブル読み出し専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリースティック、フロッピー（Ｒ）・ディスク、機械的にコード化された装置、例えばパンチ・カードまたは記録される命令を有する溝内の隆起した構造、および、前述の任意の適切な組み合わせを含む。本明細書で用いられるコンピュータ可読の記憶媒体は、それ自体は一時的信号、例えば、電波もしくは他の自由に伝搬する電磁波、導波路もしくは他の伝送媒体を通り伝搬する電磁波（例えば、光ファイバー・ケーブルを通過している光パルス）またはワイヤを通り送信される電気信号であるものとして解釈されてはならない。

本願明細書において記載されているコンピュータ可読のプログラム命令は、コンピュータ可読の記憶媒体からそれぞれのコンピューティング／処理装置にダウンロード可能であるか、または、ネットワーク、例えば、インターネット、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）または無線ネットワークあるいはその組み合わせを介して外部コンピュータまたは外部記憶装置にダウンロード可能である。ネットワークは、銅の伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータまたはエッジ・サーバあるいはその組み合わせを備えてもよい。各コンピューティング／処理装置内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読のプログラム命令を受信し、それぞれのコンピューティング／処理装置の範囲内のコンピュータ可読の記憶媒体に記憶するためにコンピュータ可読のプログラム命令を転送する。

本発明の動作を実行するためのコンピュータ可読のプログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械命令、機械依存の命令、マイクロコード、ファームウェア命令、状態設定データ、または、１つまたは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードもしくはオブジェクト・コードでもよく、１つまたは複数のプログラミング言語は、例えば、Ｊａｖａ（Ｒ）、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋等、および、従来の手続きプログラミング言語、例えば「Ｃ」プログラミング言語または類似のプログラミング言語などのオブジェクト指向プログラミング言語を含む。コンピュータ可読のプログラム命令は、ユーザのコンピュータ上で完全に実行してもよいし、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行してもよいし、部分的にユーザのコンピュータ上でかつ部分的にリモート・コンピュータ上で実行してもよいし、または、リモート・コンピュータまたはサーバ上で完全に実行してもよい。後者のシナリオでは、リモート・コンピュータは、ＬＡＮまたはＷＡＮを含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、または、（例えば、インターネット・サービス・プロバイダを用いたインターネットを介して）外部コンピュータに接続されてもよい。いくつかの実施形態では、例えば、プログラム可能論理回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）またはプログラム可能論理アレイ（ＰＬＡ）を含む電子回路は、コンピュータ可読のプログラム命令の状態情報を利用することによって、コンピュータ可読のプログラム命令をパーソナライズし、電子回路を実現し、本発明の態様を実行することができる。

本発明の態様は、本発明の実施形態に従って、方法、装置（システム）およびコンピュータ・プログラム製品のフローチャートの図示またはブロック図あるいはその両方を参照し、本願明細書において記載されている。フローチャートの図示またはブロック図あるいはその両方の各ブロックおよびフローチャートの図示またはブロック図あるいはその両方のブロックの組み合わせがコンピュータ可読のプログラム命令によって実施可能であることを理解されたい。

これらのコンピュータ可読のプログラム命令は、コンピュータのプロセッサまたは他のプログラム可能なデータ処理装置を介して実行する命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックで特定される機能／動作を実施するための手段を作成するべく、汎用コンピュータ、専用コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサに提供されて、機械を生成してもよい。これらのコンピュータ可読のプログラム命令は、格納される命令を有するコンピュータ可読の記憶媒体が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックで特定される機能／動作の態様を実施する命令を含む製品を備えるように、コンピュータ、プログラム可能なデータ処理装置または他の装置あるいはその組み合わせに特定の方法で機能するように指示することができるコンピュータ可読の記憶媒体に格納されてもよい。

コンピュータ可読のプログラム命令はまた、コンピュータ、他のプログラム可能な装置または他の装置上で実行する命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて特定される機能／動作を実施するように、コンピュータ、他のプログラム可能なデータ処理装置または他の装置上にロードされ、一連の動作ステップをコンピュータ、他のプログラム可能な装置または他の装置上で実行させ、コンピュータ実施プロセスを生成してもよい。

図面のフローチャートおよびブロック図は、本発明の各種実施形態に従って、システム、方法およびコンピュータ・プログラム製品の考えられる実施態様のアーキテクチャ、機能および動作を示す。この点に関しては、フローチャートまたはブロック図の各ブロックは、特定された論理機能を実施するための１つまたは複数の実行可能命令を備える命令のモジュール、セグメントまたは部分を表してもよい。いくつかの代替実施態様では、ブロック内に記載の機能は、図面に記載の順序と異なって発生してもよい。例えば、関係する機能に従って、連続して示される２つのブロックは、事実、実質的に並行して実行されてもよいし、または、それらのブロックは、時々、逆順で実行されてもよい。ブロック図またはフローチャートの図示あるいはその両方の各ブロックおよびブロック図またはフローチャートの図示あるいはその両方のブロックの組み合わせは、特定された機能または動作を実行するかまたは特別な目的ハードウェアおよびコンピュータ命令の組み合わせを実行する特別な目的ハードウェア・ベースのシステムによって実施可能であることにもまた留意されたい。

図面のシステムおよびプロセスは、排他的ではない。他のシステム、プロセスおよびメニューは、同じ目的を達成するために本願明細書において記載されている実施形態の原則に従って導出されてもよい。本願明細書において図示および記載される実施形態およびバリエーションが説明目的のためにだけあることを理解されたい。現在の設計に対する変更態様は、実施形態の範囲を逸脱しない範囲で、当業者によって実施されうる。本願明細書において記載されているように、さまざまなシステム、サブシステム、エージェント、マネージャおよびプロセスは、ハードウェア構成要素、ソフトウェア構成要素またはその組み合わせあるいはその組み合わせを用いて実施可能である。本願明細書における請求項の要素は、要素が「～のための手段」というフレーズを用いて明確に記述されない限り、３５Ｕ．Ｓ．Ｃ．１１２第６の段落の規定により解釈されてはならない。

本発明が例示的実施形態を参照して記載されてきたが、それに限定されるものではない。多数の変化および変更を本発明の好適実施形態に行うことができ、かつ、この種の変化および変更を本発明の真の思想を逸脱しない範囲で行うことができることを当業者は認識するであろう。それゆえ、添付の請求の範囲がすべてのこの種の等価なバリエーションを本発明の真の思想および範囲に該当するものとしてカバーするものであると解釈されることが意図される。

Claims (16)

1. プロセッサおよび命令を備えるメモリを備えるデータ処理システムにおけるコンピュータ実施方法であって、前記命令は、前記プロセッサによって実行され、前記プロセッサにネットワーク保護のためのシステムを実施させ、前記方法は、
   分析ユニットによって、１つまたは複数のパケットを備える入接続がトリガ・レイテンシより大きい不正なレイテンシを有するかを決定することと、
   前記入接続のレイテンシが前記トリガ・レイテンシより大きい場合、前記分析ユニットによって、前記入接続を疑わしい接続として報告することと、
   前記分析ユニットによって、攻撃が現在進行中かを決定することと、
   前記攻撃が進行中である場合、前記分析ユニットによって、不正なレイテンシを有する前記入接続の前記１つまたは複数のパケットまたは出接続の１つまたは複数のパケットの少なくとも１つを注入することと、
   を含む方法。
2. 分析ユニットによって、ネットワーク内の各ＩＰアドレスとの１つまたは複数の接続のレイテンシ分布を計算することと、
   前記分析ユニットによって、前記レイテンシ分布に基づいて前記トリガ・レイテンシを特定することと、
   をさらに含む、請求項１に記載の方法。
3. 前記分析ユニットによって、最大レイテンシをプロファイルすることと、
   前記分析ユニットによって、１つまたは複数の報告された疑わしい接続に基づいて、前記最大レイテンシを更新することと、
   前記分析ユニットによって、前記トリガ・レイテンシを前記最大レイテンシより大きいとして特定することと、
   をさらに含む、請求項２に記載の方法。
4. 前記分析ユニットによって、前記最大レイテンシより大きい不正なレイテンシを有する前記入接続の前記１つまたは複数のパケットまたは出接続の前記１つまたは複数のパケットの前記少なくとも１つを注入することをさらに含む、請求項３に記載の方法。
5. 保護ユニットによって、異常なレイテンシを有する外部接続との遭遇を検出することと、
   前記保護ユニットによって、前記外部接続を孤立させること、前記異常な接続をリセットすること、前記異常な接続をハニーポットにリダイレクトすること、または、さらなる情報をイベント・コレクタに提供することのうちの少なくとも１つを実行することと、
   をさらに含む、請求項１に記載の方法。
6. ＤＤＯＳ保護モジュールによって、前記１つまたは複数の接続の各々をネットワーク内に伝搬するべきかを決定することと、
   前記ＤＤＯＳ保護モジュールによって、前記システムが前記１つまたは複数の接続の各々を伝搬可能か決定することと、
   をさらに含み、伝搬可能か決定することは、
   前記ＤＤＯＳ保護モジュールによって、以前の接続が伝搬された最後の時間を決定することと、
   前記ＤＤＯＳ保護モジュールによって、前記以前の接続が伝搬された前記最後の時間を所定の遅延時間と比較することと、
   前記以前の接続が伝搬された前記最後の時間が前記所定の遅延時間を上回る場合、前記ＤＤＯＳ保護モジュールによって、前記接続を前記ネットワーク内に伝搬可能にすることと、
   を含む、請求項１に記載の方法。
7. 前記ＤＤＯＳ保護モジュールによって、前記所定の遅延時間に基づいて、前記不正なレイテンシを調整することをさらに含む、請求項６に記載の方法。
8. コンピュータ・プログラムであって、請求項１ないし７のいずれか１項に記載の方法の各ステップをコンピュータに実行させるための、コンピュータ・プログラム。
9. 請求項８に記載のコンピュータ・プログラムを記録した、コンピュータ可読の記録媒体。
10. ネットワーク分析プロセッサを備えるネットワーク保護を提供するためのシステムであって、前記ネットワーク分析プロセッサは、
    １つまたは複数のパケットを備える入接続がトリガ・レイテンシより大きい不正なレイテンシを有するかを決定し、
    前記入接続のレイテンシが前記トリガ・レイテンシより大きい場合、前記入接続を疑わしい接続として報告し、
    攻撃が現在進行中かを決定し、
    前記攻撃が進行中である場合、不正なレイテンシを有する前記入接続の前記１つまたは複数のパケットまたは出接続の１つまたは複数のパケットの少なくとも１つを注入する、
    ように構成されるシステム。
11. 前記ネットワーク分析プロセッサは、
    ネットワーク内の各ＩＰアドレスとの１つまたは複数の接続のレイテンシ分布を計算し、
    前記トリガ・レイテンシを特定する、
    ようにさらに構成される、請求項１０に記載のシステム。
12. 前記ネットワーク分析プロセッサは、
    最大レイテンシをプロファイルし、
    １つまたは複数の報告された疑わしい接続に基づいて、前記最大レイテンシを更新し、
    前記トリガ・レイテンシを前記最大レイテンシより大きいとして特定する、
    ようにさらに構成される、請求項１１に記載のシステム。
13. 前記ネットワーク分析プロセッサは、
    前記最大レイテンシより大きい不正なレイテンシを有する前記入接続の前記１つまたは複数のパケットまたは出接続の前記１つまたは複数のパケットの前記少なくとも１つを注入するようにさらに構成される、請求項１２に記載のシステム。
14. ネットワーク保護プロセッサをさらに備え、前記ネットワーク保護プロセッサは、
    異常なレイテンシを有する外部接続との遭遇を検出し、
    前記外部接続を孤立させること、前記異常な接続をリセットすること、前記異常な接続をハニーポットにリダイレクトすること、または、さらなる情報をイベント・コレクタに提供することのうちの少なくとも１つを実行する、
    ように構成される、請求項１０に記載のシステム。
15. ＤＤＯＳ保護プロセッサをさらに備え、前記ＤＤＯＳ保護プロセッサは、
    前記１つまたは複数の接続の各々をネットワーク内に伝搬するべきかを決定し、
    前記システムが前記１つまたは複数の接続の各々を伝搬可能か決定する、
    ように構成され、伝搬可能か決定することは、
    以前の接続が伝搬された最後の時間を決定することと、
    前記以前の接続が伝搬された前記最後の時間を所定の遅延時間と比較することと、
    前記以前の接続が伝搬された前記最後の時間が前記所定の遅延時間を上回る場合、前記接続を前記ネットワーク内に伝搬可能にすることと、
    を含む、請求項１０に記載のシステム。
16. 前記ＤＤＯＳ保護プロセッサは、
    前記所定の遅延時間に基づいて、前記不正なレイテンシを調整するように構成される、請求項１５に記載のシステム。
    

Images