JP7271396B2 - データを処理するための方法及び装置 - Google Patents

Description

本発明の実施例は、コンピュータ技術分野に関し、具体的にデータを処理するための方法及び装置に関する。

現在、クラウドルームの総帯域幅が制限されているため、提供されたＥＩＰ（Ｅｌａｓｔｉｃ ＩＰ，インターネットからアクセス可能なパブリックＩＰ）アドレスのＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ，分散型サービス拒否）攻撃からの防御能力が制限され、ここで、分散型サービス拒否攻撃とは、ネットワーク内の多数の制御されたコンピュータによる大規模な協調型サービス拒否攻撃を指す。クラウドルームのユーザＥＩＰアドレスが大規模なＤＤｏＳ攻撃を受けると、主要なオペレーターが呼び出されて、攻撃されたＥＩＰアドレスに対してブラックホール処理を行い、該ＥＩＰアドレスにアクセスするすべてのトラフィックに対してクラウドルームへのアクセスを禁止し、ブラックホールを１日間維持する。ブラックホールは、クラウドルームのネットワーク全体に対するＤＤｏＳ攻撃の影響を解消し、ほとんどのユーザサービスが安定に確保された。ただし、このＥＩＰアドレスを使用するユーザに対して、ブラックホール中に該ＥＩＰアドレスによるサービスを引き続き使用できない。

ＥＩＰアドレスが攻撃された後にブラックホールがトリガされてサービスの利用不能になるのを防ぐために、ユーザは、高セキュリティＩＰアドレスを購入することにより、より高い攻撃防御能力を持ち、サービスの利用が確保できる。ただし、ユーザーサービスに対するＤＤｏＳ攻撃は頻繁に発生するものではなく、通常の状況では、ユーザーサービスにアクセスするトラフィックは、高セキュリティＩＰアドレスを経由して最終的にＥＩＰアドレスに到達し、ＥＩＰアドレスへの直接アクセスに比較してエクスペリエンスは良くない。高セキュリティＩＰアドレスの数が制限され、同じユーザに対して購入可能な高セキュリティＩＰアドレスの数が制限されているので、ユーザが大量のＥＩＰアドレスに対して高セキュリティサービスを購入する必要がある場合、そのニーズを満たすことはできない。

本発明の実施例は、データを処理するための方法及び装置を提供する。

第１態様では、本発明の実施例は、データを処理するための方法であって、ターゲットドメインネームにアクセスするためのアクセス要求を受信するステップと、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するステップと、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスを検索するステップと、高セキュリティドメインネームに対応するＩＰアドレスに従ってアクセス要求を送信するステップとを含み、ターゲットドメインネームに対応するＥＩＰアドレスではブラックホールが有効にされた場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、事前設定された高セキュリティＩＰアドレスであり、ブラックホールが有効になっていない場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、ターゲットドメインネームのＥＩＰアドレスであるデータを処理するための方法を提供する。

いくつかの実施例では、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する前に、該方法は、高セキュリティドメインネームを生成するステップと、ターゲットドメインネームに対応するＥＩＰアドレス、ＥＩＰアドレスが属するエリア、及びＴＣＰサービスにおけるヘルスチェックのポートを設定するステップと、高セキュリティドメインネームからＥＩＰアドレスへの名前解決レコードを作成するステップと、ターゲットドメインネームから高セキュリティドメインネームへの名前解決レコードを作成するステップと、を更に含む。

いくつかの実施例では、該方法は、ＥＩＰアドレスが攻撃されてブラックホールが有効にされたことの検出に応じて、高セキュリティＩＰアドレスを生成するステップと、高セキュリティＩＰアドレスからＥＩＰアドレスへ戻る転送ルールを構築するステップと、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決を高セキュリティＩＰアドレスに切り替えるステップとを更に含む。

いくつかの実施例では、該方法は、ＥＩＰアドレスではブラックホールの終了が検出されたことに応じて、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替えるステップを更に含む。

いくつかの実施例では、該方法は、高セキュリティＩＰアドレス及び転送ルールを削除するステップと、高セキュリティＩＰアドレスを利用可能なプールに回収するステップと、を更に含む。

第２態様では、本発明の実施例は、データを処理するための装置であって、ターゲットドメインネームにアクセスするためのアクセス要求を受信するように構成される受信ユニットと、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するように構成される変換ユニットと、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスを検索するように構成される検索ユニットと、高セキュリティドメインネームに対応するＩＰアドレスに従ってアクセス要求を送信するように構成される送信ユニットとを含み、ターゲットドメインネームに対応するＥＩＰアドレスではブラックホールが有効にされた場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、事前設定された高セキュリティＩＰアドレスであり、ブラックホールが有効になっていない場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、ターゲットドメインネームのＥＩＰアドレスである、データを処理するための装置を提供する。

いくつかの実施例では、該装置は、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する前に高セキュリティドメインネームを生成し、ターゲットドメインネームに対応するＥＩＰアドレス、ＥＩＰアドレスが属するエリア、及びＴＣＰサービスにおけるヘルスチェックのポートを設定し、高セキュリティドメインネームからＥＩＰアドレスへの名前解決レコードを作成し、ターゲットドメインネームから高セキュリティドメインネームへの名前解決レコードを作成するように構成される設定ユニットを更に含む。

いくつかの実施例では、該装置は、ＥＩＰアドレスが攻撃されてブラックホールが有効にされたことの検出に応じて、高セキュリティＩＰアドレスを生成し、高セキュリティＩＰアドレスからＥＩＰアドレスへ戻る転送ルールを構築し、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決を高セキュリティＩＰアドレスに切り替えるように構成されるディスパッチユニットを更に含む。

いくつかの実施例では、ディスパッチユニットは、更にＥＩＰアドレスではブラックホールの終了が検出されたことに応じて、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替えるように構成される。

いくつかの実施例では、ディスパッチユニットは、更に高セキュリティＩＰアドレス及び転送ルールを削除し、高セキュリティＩＰアドレスを利用可能なプールに回収するように構成される。

第３態様では、本発明の実施例は、１つ又は複数のプロセッサと、１つ又は複数のプログラムが格納されている記憶デバイスと、を備える電子機器であって、１つ又は複数のプログラムが１つ又は複数のプロセッサによって実行されると、１つ又は複数のプロセッサに第１態様のいずれかに記載の方法を実現させる電子機器を提供する。

第４態様では、本発明の実施例は、コンピュータプログラムが格納されているコンピュータ可読媒体であって、プログラムがプロセッサにより実行されると、第１の態様のいずれかに記載の方法を実現するコンピュータ可読媒体を提供する。

本発明の実施例によって提供されるデータを処理するための方法及び装置は、通常、ドメインネームにアクセスするユーザのトラフィックはＥＩＰアドレスに直接到達する。ＥＩＰアドレスが攻撃されてブラックホールがトリガーされると、アクセストラフィックは高セキュリティＩＰアドレスを経由してＥＩＰアドレスに到達する。ＥＩＰアドレスブラックホールが解除されると、アクセスするトラフィックは自動的にＥＩＰアドレスに直接切り替える。ＥＩＰアドレスのブラックホールのトリガーからブラックホールの解除までの全プロセスにおいて、ユーザは参加する必要がなく、完全自動で完了できる。この技術案によれば、攻撃を受けたときのサービスの可用性が確保されるだけでなく、通常の状況下でもユーザーサービスの最高のエクスペリエンスが確保された。

本発明の他の特徴、目的及び利点は、以下の図面を参照してなされる非限定的な実施例に係る詳細な説明を読むことにより、より明らかになるであろう。
本発明の一実施例を適用可能な例示的なシステムアーキテクチャを示す図である。 本発明に係るデータを処理するための方法の一実施例を示すフローチャートである。 本発明に係るデータを処理するための方法の一応用シナリオを示す概略図である。 本発明に係るデータを処理するための方法の一応用シナリオを示す概略図である。 本発明に係るデータを処理するための方法のもう一つの実施例を示すフローチャートである。 本発明に係るデータを処理するための装置の一実施例を示す構造概略図である。 本発明の実施例を達成するための電子機器に適用されるコンピュータシステムの構造概略図である。

以下、図面及び実施例を参照しながら本発明をより詳細に説明する。ここで説明する具体的な実施例は、関連する発明を説明するためのものに過ぎず、当該発明を限定するものではないことを理解されたい。また、説明の便宜上、図面には発明に関連する部分のみが示されていることに留意されたい。

なお、本発明の実施例及び実施例における特徴は、矛盾を生じない限り、相互に組み合わせることができる。以下、図面及び実施例を参照しながら本発明を詳細に説明する。

図１は、本発明に係るデータを処理するための方法又はデータを処理するための装置が適用可能な例示的なシステムアーキテクチャ１００を示している。

図１に示すように、システムアーキテクチャ１００は、サーバ１０１、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ，ドメインネームシステム）１０２、クレンジングデバイス（ｃｌｅａｎｓｉｎｇ ｄｅｖｉｃｅ）１０３、及びバックエンドサーバ１０４を含むことができる。ネットワークは、サーバ１０１、ＤＮＳ１０２、クレンジングデバイス１０３、及びバックエンドサーバ１０４の間の通信リンクの媒体を提供するために使用される。ネットワークは、有線、無線通信リンク、光ファイバーケーブルなどのさまざまなタイプの接続を含むことができる。

クレンジングデバイス１０３のＩＰアドレスは、ターゲットドメインネームへのアクセスデータをフィルタリングするための高セキュリティＩＰアドレスであり、フィルタリングされた通常のトラフィックはオリジンサイトＩＰアドレスに返される。高セキュリティＩＰアドレスは、インターネットサーバが大規模なトラフィックのＤＤｏＳ攻撃を受けた後にサービスが利用不能となった場合に対して提供された有料の付加価値サービスであり、ユーザは、高セキュリティＩＰアドレスを設けることで、攻撃トラフィックを高セキュリティＩＰアドレスにガイドさせ、オリジンサイトの安定性と信頼性が確保される。ユーザは高セキュリティＩＰアドレスを購入し、ドメインネームを高セキュリティＩＰアドレスで解決する。同時に、高セキュリティＩＰアドレスに転送ルールを設定する。すべてのパブリックネットワークトラフィックは、高セキュリティ計算機室に送られ、ポートプロトコルによる転送によりユーザのアクセスが高セキュリティＩＰアドレスを介してオリジンサイトＩＰアドレスに転送され、同時に、悪意のある攻撃トラフィックを高セキュリティＩＰアドレスでクレンジング及びフィルタリングした後、正当のトラフィックをオリジンサイトＩＰアドレスに戻すことによって、オリジンサイトＩＰアドレスの安定したアクセス防御サービスが確保される。

バックエンドサーバ１０４は、ＤＤｏＳに攻撃されるサーバであり、そのＩＰアドレスはＥＩＰアドレスである。

サーバ１０１は、様々なサービスを提供するサーバであってもよい。サーバ１０１は、ＤＮＳのコンテンツを変更することができる。ＥＩＰアドレスがブラックホールをトリガすると、サーバ１０１は、ＤＮＳ内の高セキュリティドメインネームに対応するＩＰアドレスを高セキュリティＩＰアドレスに変更する。ＥＩＰアドレスがブラックホールを解除すると、サーバ１０１は、ＤＮＳ内の高セキュリティドメインネームに対応するＩＰアドレスをＥＩＰアドレスに変更する。サーバ１０１は、受信された宛先がバックエンドサーバであるアクセス要求のドメインネームを高セキュリティドメインネームに変更してもよい。ＥＩＰアドレスがブラックホールをトリガすると、サーバ１０１は、高セキュリティＩＰアドレスに対応するクレンジングデバイスにアクセス要求を送信することができる。クレンジングデバイスによってフィルタリングした後にバックエンドサーバに返送する。ＥＩＰアドレスがブラックホールを解除すると、サーバ１０１はアクセス要求をバックエンドサーバに直接送信する。

なお、サーバは、ハードウェアでもソフトウェアでもよい。サーバがハードウェアである場合、複数のサーバから構成される分散サーバクラスターとしても、単一のサーバとしても実現可能である。サーバがソフトウェアである場合、複数のソフトウェア又はソフトウェアモジュール（例えば、分散サービスを提供するためのソフトウェア又はソフトウェアモジュール）として実現されてもよく、又は単一のソフトウェア若しくはソフトウェアモジュールとして実現されてもよい。ここでは特に限定されない。

なお、本発明の実施例に係るデータを処理するための方法は、通常はサーバ１０１によって実行され、これに応じて、データを処理するための装置は、通常はサーバ１０１に設けられる。

図１におけるサーバ、ＤＮＳ、クレンジングデバイス及びバックエンドサーバの数は例示的なものに過ぎないことを理解されたい。必要に応じて、サーバ、ＤＮＳ、クレンジングデバイス及びバックエンドサーバの数を任意に加減してもよい。

次に、本発明に係るデータを処理するための方法の一実施例のフロー２００を示す図２を参照する。このデータを処理するための方法は、次のステップ（ステップ２０１～２０４）を含む。

ステップ２０１：ターゲットドメインネームにアクセスするためのアクセス要求を受信する。

本実施例では、データを処理するための方法の実行主体（例えば、図１に示すサーバ）は、有線接続方式又は無線接続方式により、ターゲットドメインネームに対応するサーバにアクセスするためのアクセス要求をネットワークから受信する。アクセス要求にはターゲットドメインネームが示されている。ターゲットドメインネームは、ＤＮＳにおいてＥＩＰアドレスに対応している。

ステップ２０２：ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する。

本実施例において、アクセス要求におけるターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する。高セキュリティドメインネームは、クレンジングデバイスのドメインネームである。高セキュリティドメインネームは、ＤＮＳにおいてＥＩＰアドレスに対応できる。また、高セキュリティＩＰアドレスにも対応できる。ＥＩＰアドレスがブラックホールをトリガすると、サーバは、ＤＮＳ内の高セキュリティドメインネームに対応するＩＰアドレスを高セキュリティＩＰアドレスに変更する。ＥＩＰアドレスがブラックホールを解除すると、サーバは、ＤＮＳ内の高セキュリティドメインネームに対応するＩＰアドレスをＥＩＰアドレスに変更する。ここでのブラックホールは、サーバールームのブラックホール又はオペレーターのブラックホールであり得る。大規模なトラフィック攻撃を受けると、ＤＤｏＳ防御システムはオペレーターのブラックホールを呼び出し、オペレーター側でトラフィックを破棄することにより、サーバールームの帯域幅に対するＤＤｏＳ攻撃の圧力を大幅に軽減できる。

ステップ２０３：ドメインネームシステムで高セキュリティドメインネームに対応するＩＰアドレスを検索する。

本実施例では、ターゲットドメインネームに対応するＥＩＰアドレスではブラックホールが有効にされた場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、事前設定された高セキュリティＩＰアドレスであり、ブラックホールが有効になっていない場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、ターゲットドメインネームのＥＩＰアドレスである。

ステップ２０４：高セキュリティドメインネームに対応するＩＰアドレスに従ってアクセス要求を送信する。

本実施例では、ＥＩＰアドレスがブラックホールをトリガすると、サーバは、高セキュリティＩＰアドレスに対応するクレンジングデバイスにアクセス要求を送信することができる。クレンジングデバイスによってフィルタリングした後にバックエンドサーバに返送する。ＥＩＰアドレスがブラックホールを解除すると、サーバはアクセス要求をバックエンドサーバに直接送信する。

本実施例のいくつかの任意選択実施態様では、ステップ２０１～２０３を実行する前に、次のよな設定を行う必要がある。

１）ディスパッチインスタンスを作成し、高セキュリティドメインネームを生成する。高セキュリティサービスプロバイダーによって提供される高セキュリティドメインネームのリストから高セキュリティドメインネームを選択できる。ユーザの定義によって高セキュリティドメインネームを生成することもできる。

２）ディスパッチすべきＥＩＰアドレス、ＥＩＰアドレスが属するエリア、及びＴＣＰサービスにおけるヘルスチェックのポート（ディスパッチ段階で、高セキュリティ機器からバックエンドサーバに戻るネットワークのスムーズさの検査に使用される）などのディスパッチインスタンスを設定する。ディスパッチインスタンスを設定した後、ＤＮＳで高セキュリティドメインネームからＥＩＰアドレスへの名前解決のレコードを作成する。

３）ＤＮＳにおいてターゲットドメインネームから高セキュリティドメインネームに名前解決するＣＮＡＭＥレコードを作成する。

次に、本実施例に係るデータを処理するための方法の応用シナリオを示す概略図である図３ａ、図３ｂを参照する。図３ａに示すように、ＥＩＰアドレスでブラックホールが有効になっていない場合、ＤＮＳの高セキュリティドメインネームに対応するＩＰアドレスは、ターゲットドメインネームのＥＩＰアドレスである。サーバがターゲットドメインネームへのアクセス要求を受信すると、ターゲットドメインネームを高セキュリティドメインネームに変換する。次に、ＤＮＳから高セキュリティドメインネームに対応するＩＰアドレス（即ち、ＥＩＰアドレス）を取得し、ＥＩＰアドレスに対応するバックエンドサーバにアクセス要求を送信する。図３ｂに示すように、ＥＩＰアドレスでブラックホールが有効になっている場合、ＤＮＳの高セキュリティドメインネームに対応するＩＰアドレスは高セキュリティＩＰアドレスである。サーバがターゲットドメインネームへのアクセス要求を受信すると、ターゲットドメインネームを高セキュリティドメインネームに変換する。次に、ＤＮＳから高セキュリティドメインネームに対応するＩＰアドレス（即ち、高セキュリティＩＰアドレス）を取得し、高セキュリティＩＰアドレスに対応するクレンジングデバイスにアクセス要求を送信する。アクセス要求がクレンジングされた後、専用回線を介してＥＩＰアドレスに対応するバックエンドサーバに返される。

本発明の上記実施例により提供される方法は、以下の利点を有する。

１、ユーザは、高価な高セキュリティＩＰアドレスの費用を負担する必要がなく、該解決案の契約料金を支払うだけで済む。高セキュリティＩＰアドレスがＤＤＯＳによる攻撃を受けた場合にのみ使用されるため、その他の場合には攻撃を受けた他のサーバと該高セキュリティＩＰアドレスを共有できる。高セキュリティＩＰアドレスの使用効率が大幅に向上され、使用費用が複数のユーザにより分担できる。

２、ユーザはコンソールで各ＥＩＰアドレスに対して高セキュリティＩＰアドレスを手動で購入して一連のポート転送ルールを設定する必要がなく、コンソールでのユーザによる面倒な設定操作が回避された。

３、この技術案により、ユーザーサービスの最高のエクスペリエンスが確保され、通常の場合では、バックエンドサーバへのアクセスはＥＩＰアドレスを介して直接行われる。ＥＩＰアドレスが攻撃されてブラックホールがトリガされた場合、バックエンドサーバへのアクセスは、高セキュリティＩＰアドレスを経由してＥＩＰアドレスへのバックツーオリジンにより実現され、サービスの可用性が確保された。

４、必要に応じて高セキュリティＩＰアドレスを使用できる。ユーザに対する高セキュリティＩＰアドレスの購入数の制限がなく、同じユーザは多数のＥＩＰアドレスに対して自動ディスパッチサービスを設定できる。

更に、データを処理するための方法のもう一つの実施例のフロー４００を示す図４を参照する。このデータを処理するための方法のフロー４００は、次のステップ（ステップ４０１～ステップ４０５）を含む。

ステップ４０１：ＥＩＰアドレスが攻撃されてブラックホールが有効にされたことの検出に応じて、高セキュリティＩＰアドレスを生成する。

本実施例では、サーバは、バックエンドサーバによって送信されたブラックホールを有効にするメッセージを受信して、高セキュリティＩＰアドレスを生成できる。高セキュリティＩＰアドレスは、サービスプロバイダーから購入した高セキュリティＩＰアドレスであってもよい。

ステップ４０２：高セキュリティＩＰアドレスからＥＩＰアドレスへ戻る転送ルールを構築する。

本実施例では、高セキュリティＩＰアドレスからＥＩＰアドレスへのバックツーオリジンの転送時のポートの対応関係を設定する。例えば、高セキュリティＩＰアドレスのポート８０はＥＩＰアドレスのポート８０に対応する。高セキュリティＩＰアドレスで受信したポート８０のデータをＥＩＰアドレスのポート８０に転送する。

ステップ４０３：ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決を高セキュリティＩＰアドレスに切り替える。

本実施例では、ＤＮＳ内の高セキュリティドメインネームに対応するＩＰアドレスを修正し、元の対応するＥＩＰアドレスを高セキュリティＩＰアドレスに修正する。このように、ＥＩＰアドレスではブラックホールが有効になった後、ＤＮＳによって解決されると、ターゲットドメインネームにアクセスするとき、実際には、アクセスされたのは高セキュリティＩＰアドレスである。要求されたトラフィックは、まず高セキュリティサーバールームに到達し、次に専用回線を介してユーザＥＩＰアドレスに戻り、最終的にバックエンドサーバに到達する。

ステップ４０４：ＥＩＰアドレスではブラックホールが解除されたことの検出に応じて、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替える。

本実施例では、ＥＩＰアドレスブラックホールが終了すると、まずＤＮＳを呼び出し、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替える。このようにして、ＤＮＳにより名前解決されると、ターゲットドメインネームにアクセスするとき、ＥＩＰアドレスに直接アクセスし、要求されたトラフィックはクラウドルームに直接到達する。

ステップ４０５：高セキュリティＩＰアドレス及び転送ルールを削除し、高セキュリティＩＰアドレスを利用可能なプールに回収する。

本実施例では、ＤＮＳ内の高セキュリティドメインネームのＩＰアドレスがＥＩＰアドレスに切り替えられた数分間後に、高セキュリティＩＰアドレス及び転送ルールを削除し、高セキュリティＩＰアドレスを利用可能なプールに回収する。

図４から分かるように、図２の対応する実施例と比較して、本実施例におけるデータを処理するための方法のフロー４００では、ＤＮＳに対してディスパッチを行うステップが具現化された。したがって、本実施例で説明する技術案は、ターゲットドメインネームに対応するＩＰアドレスを動的に調整することができ、それによりＥＩＰアドレスと高セキュリティＩＰアドレスとの間の自由な切り替えが実現された。

更に図５を参照すると、上記の図に示された方法の実施態様として、本発明は、データを処理するための装置の一実施例を提供し、該装置の実施例は、図２に示された方法の実施例に対応しており、該装置は、具体的に様々な電子機器に適用することができる。

図５に示すように、本実施例のデータを処理するための装置５００は、受信ユニット５０１、変換ユニット５０２、検索ユニット５０３、及び送信ユニット５０４を含む。受信ユニット５０１は、ターゲットドメインネームにアクセスするためのアクセス要求を受信するように構成される。変換ユニット５０２は、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するように構成される。検索ユニット５０３は、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスを検索するように構成される。送信ユニット５０４は、高セキュリティドメインネームに対応するＩＰアドレスに従ってアクセス要求を送信するように構成される。ここで、ターゲットドメインネームに対応するＥＩＰアドレスがブラックホールを有効にする場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、事前設定された高セキュリティＩＰアドレスであり、ブラックホールが有効になっていない場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、ターゲットドメインネームのＥＩＰアドレスである。

本実施例では、データを処理するための装置５００の受信ユニット５０１、変換ユニット５０２、検索ユニット５０３及び送信ユニット５０４の具体的な処理は、図２に対応する実施例のステップ２０１、ステップ２０２、ステップ２０３、ステップ２０４を参照できる。

本実施例のいくつかの任意選択実施態様では、装置５００は、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する前に高セキュリティドメインネームを生成し、ターゲットドメインネームに対応するＥＩＰアドレス、ＥＩＰアドレスが属するエリア及びＴＣＰサービスにおけるヘルスチェックのポートを設定し、高セキュリティドメインネームからＥＩＰアドレスへの名前解決レコードを作成し、ターゲットドメインネームから高セキュリティドメインネームへの名前解決レコードを作成するように構成される設定ユニット（図示せず）を更に含む。

本実施例のいくつかの任意選択実施態様では、装置５００は、ＥＩＰアドレスが攻撃されてブラックホールが有効にされたことの検出に応じて、高セキュリティＩＰアドレスを生成し、高セキュリティＩＰアドレスからＥＩＰアドレスへ戻る転送ルールを構築し、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決を高セキュリティＩＰアドレスに切り替えるように構成されるディスパッチユニット（図示せず）を更に含む。

本実施例のいくつかの任意選択実施態様では、ディスパッチユニットは、更にＥＩＰアドレスではブラックホールの終了が検出されたことに応じて、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替えるように構成される。

本実施例のいくつかの任意選択実施態様では、ディスパッチユニットは、更に高セキュリティＩＰアドレス及び転送ルールを削除し、高セキュリティＩＰアドレスを利用可能なプールに回収するように構成される。

以下、本発明の実施例を実現するために適用される電子機器（例えば、図１に示すサーバ）６００を示す構造概略図である図６を参照する。図６に示すサーバは、あくまでも一例に過ぎず、本発明の実施例の機能及び使用範囲を限定するものではない。

図６に示すように、電子機器６００は、読み出し専用メモリ（ＲＯＭ）６０２に格納されているプログラム又は記憶デバイス６０８からランダムアクセスメモリ（ＲＡＭ）６０３にロードされたプログラムによって様々な適当な動作及び処理を実行可能な処理デバイス（例えば、中央処理装置、グラフィックスプロセッサなど）６０１を含むことができる。ＲＡＭ６０３には、電子機器６００の動作に必要な様々なプログラム及びデータが更に格納されている。処理デバイス６０１、ＲＯＭ６０２及びＲＡＭ６０３は、バス６０４を介して互いに接続されている。入力／出力（Ｉ／Ｏ）インターフェース６０５もバス６０４に接続されている。

例えば、タッチスクリーン、タッチパッド、キーボード、マウス、カメラ、マイクロホン、加速度計、ジャイロスコープなどを含む入力デバイス６０６、液晶ディスプレイ（ＬＣＤ）、スピーカ、振動子などを含む出力デバイス６０７、例えば、磁気テープ、ハードディスクなどを含む記憶デバイス６０８、及び通信デバイス６０９がＩ／Ｏインターフェース６０５に接続されてもよい。通信デバイス６０９により、電子機器６００は、データを交換するために他のデバイスと無線又は有線で通信することができる。図６は、様々なデバイスを有する電子機器６００を示しているが、図示されたデバイスのすべてを実装又は具備することが要求されないことを理解されたい。代替的に又はより多い又はより少ないデバイスが実装されてもよい。図６に示す各ブロックは、１つのデバイスを表すことも、必要に応じて複数のデバイスを表すこともできる。

特に、本発明の実施例によれば、上記のフローチャートを参照しながら記載されたプロセスは、コンピュータのソフトウェアプログラムとして実現されてもよい。例えば、本発明の実施例は、コンピュータ可読媒体に具現化されるコンピュータプログラムを含むコンピュータプログラム製品を備え、該コンピュータプログラムは、フローチャートで示される方法を実行するためのプログラムコードを含む。このような実施例では、該コンピュータプログラムは、通信デバイス６０９を介してネットワークからダウンロードされてインストールされることが可能であり、又は記憶デバイス６０８又はＲＯＭ６０２からインストールされ得る。該コンピュータプログラムが処理デバイス６０１によって実行されると、本発明の実施例の方法で限定された上記の機能を実行する。注意すべきなのは、本発明の実施例に記載されたコンピュータ可読媒体は、コンピュータ可読信号媒体又はコンピュータ可読記憶媒体、又はこれらの任意の組み合わせであってもよい。コンピュータ可読記憶媒体は、例えば、電気、磁気、光、電磁気、赤外線、又は半導体システム、装置もしくはデバイス、又はこれらの任意の組み合わせであってもよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例としては、１本又は複数の導線による電気的接続、ポータブルコンピュータディスク、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読取り専用メモリ（ＥＰＲＯＭもしくはフラッシュメモリ）、光ファイバ、ポータブルコンパクトディスク読取り専用メモリ（ＣＤ－ＲＯＭ）、光メモリ、磁気メモリ、又はこれらの任意の適切な組み合わせを含むことができるが、これらに限定されない。本発明の実施例において、コンピュータ可読記憶媒体は、命令実行システム、装置もしくはデバイスによって使用可能な、又はそれらに組み込まれて使用可能なプログラムを包含又は格納する任意の有形の媒体であってもよい。本発明の実施例において、コンピュータ可読信号媒体は、ベースバンド内の、又は搬送波の一部として伝搬されるデータ信号を含むことができ、その中にコンピュータ可読プログラムコードが担持されている。かかる伝搬されたデータ信号は、様々な形態をとることができ、電磁信号、光信号、又はこれらの任意の適切な組み合わせを含むが、これらに限定されない。コンピュータ可読信号媒体は、更にコンピュータ可読記憶媒体以外の任意のコンピュータ可読媒体であってもよい。当該コンピュータ可読媒体は、命令実行システム、装置もしくはデバイスによって使用されるか、又はそれらに組み込まれて使用されるプログラムを、送信、伝搬又は伝送することができる。コンピュータ可読媒体に含まれるプログラムコードは任意の適切な媒体で伝送することができ、当該任意の適切な媒体とは、電線、光ケーブル、ＲＦ（無線周波数）など、又はこれらの任意の適切な組み合わせを含むが、これらに限定されない。

前記コンピュータ可読媒体は、前記電子機器に含まれるものであってもよく、該電子機器に実装されずに別体として存在するものであってもよい。前記コンピュータ可読媒体には１つ又は複数のプログラムが担持され、前記１つ又は複数のプログラムが該電子機器によって実行されると、
ターゲットドメインネームにアクセスするためのアクセス要求を受信するステップと、ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するステップと、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスを検索するステップと、高セキュリティドメインネームに対応するＩＰアドレスに従ってアクセス要求を送信するステップとを該電子機器に実行させ、
ここで、ターゲットドメインネームに対応するＥＩＰアドレスがブラックホールを有効にする場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、事前設定された高セキュリティＩＰアドレスであり、ブラックホールが有効になっていない場合、ドメインネームシステムにおける高セキュリティドメインネームに対応するＩＰアドレスは、ターゲットドメインネームのＥＩＰアドレスである。

本発明の実施例の動作を実行するためのコンピュータプログラムコードは、１種以上のプログラミング言語、又はそれらの組み合わせで作成されることができ、前記プログラミング言語は、Ｊａｖａ、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語と、「Ｃ」言語又は同様のプログラミング言語などの従来の手続き型プログラミング言語とを含む。プログラムコードは、完全にユーザのコンピュータで実行されることも、部分的にユーザのコンピュータで実行されることも、単独のソフトウェアパッケージとして実行されることも、部分的にユーザのコンピュータで実行されながら部分的にリモートコンピュータで実行されることも、又は完全にリモートコンピュータもしくはサーバで実行されることも可能である。リモートコンピュータの場合、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介してユーザのコンピュータに接続することができ、又は（例えば、インターネットサービスプロバイダによるインターネットサービスを介して）外部のコンピュータに接続することができる。

図面のうちのフローチャート及びブロック図は、本発明の様々な実施例に係るシステム、方法及びコンピュータプログラム製品によって実現できるアーキテクチャ、機能及び動作の表示例である。これについては、フローチャート又はブロック図における各ブロックは、モジュール、プログラムセグメント、又はコードの一部を表すことができる。当該モジュール、プログラムセグメント、又はコードの一部には、所定のロジック機能を実現するための１つ又は複数の実行可能命令が含まれている。さらに注意すべきなのは、一部の代替となる実施態様においては、ブロックに示されている機能は図面に示されているものとは異なる順序で実行することも可能である。例えば、連続して示された２つのブロックは、実際には係る機能に応じて、ほぼ並行して実行されてもよく、時には逆の順序で実行されてもよい。さらに注意すべきなのは、ブロック図及び／又はフローチャートにおけるすべてのブロック、ならびにブロック図及び／又はフローチャートにおけるブロックの組み合わせは、所定の機能又は操作を実行する専用のハードウェアベースのシステムで実現することもできれば、専用のハードウェアとコンピュータ命令との組み合わせで実現することもできる。

本発明の実施例に記載された手段は、ソフトウェアで実現されてもよく、ハードウェアで実現されてもよい。記載されたユニットは、プロセッサに設置されてもよく、例えば、「受信ユニット、変換ユニット、検索ユニット及び送信ユニットを備えるプロセッサ」と記載されてもよい。ここで、これらのユニットの名称は、ある場合において当該ユニットそれ自体を限定するものではなく、例えば、受信ユニットは、「ターゲットドメインネームにアクセスするためのアクセス要求を受信するユニット」として記載されてもよい。

以上の記載は、本発明の好ましい実施例、及び使用された技術的原理に関する説明に過ぎない。当業者であれば、本発明に係る発明の範囲が、上記の技術的特徴の特定の組み合わせからなる解決策に限定されるものではなく、上記の本発明の趣旨を逸脱しない範囲で、上記の技術的特徴又はそれらの同等の特徴の任意の組み合わせからなる他の解決策も含むべきであることを理解すべきである。例えば、上記の特徴と、本発明に開示された類似の機能を持っている技術的特徴（これらに限定されていない）とを互いに置き換えてなる技術案が挙げられる。

Claims (13)

1. データを処理するための方法であって、
   ターゲットドメインネームにアクセスするためのアクセス要求を受信するステップと、
   前記ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するステップと、
   ドメインネームシステムにおける前記高セキュリティドメインネームに対応するＩＰアドレスを検索するステップと、
   前記高セキュリティドメインネームに対応するＩＰアドレスに従って前記アクセス要求を送信するステップとを含み、
   前記ターゲットドメインネームに対応するＥＩＰアドレスでは、ブラックホールが有効にされたことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するＩＰアドレスを、事前設定された高セキュリティＩＰアドレスに変更し、アクセス要求を当該事前設定された高セキュリティＩＰアドレスによりフィルタリングして、前記ＥＩＰアドレスに送信するようにし、前記ターゲットドメインネームに対応するＥＩＰアドレスでは、ブラックホールが有効になっていないことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するＩＰアドレスを、前記ターゲットドメインネームのＥＩＰアドレスとし、前記アクセス要求を前記ＥＩＰアドレスに送信するようにし、前記ブラックホールが有効にされたこととは、高セキュリティドメインネームを介したアクセス要求を除き、ＥＩＰアドレスにアクセスする全てのトラフィックを禁止することであり、
   前記高セキュリティＩＰアドレスは、ユーザからのアクセスデータのうち悪意のある攻撃トラフィックをクレンジングした正当のトラフィックを前記ターゲットドメインネームのＥＩＰアドレスに転送するように構成される、データを処理するための方法。
2. 前記ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する前に、前記方法は、
   高セキュリティドメインネームを生成するステップと、
   前記ターゲットドメインネームに対応するＥＩＰアドレス、前記ＥＩＰアドレスが属するエリア及びＴＣＰサービスにおけるヘルスチェックのポートを設定するステップと、
   前記高セキュリティドメインネームから前記ＥＩＰアドレスへの名前解決レコードを作成するステップと、
   前記ターゲットドメインネームから前記高セキュリティドメインネームへの名前解決レコードを作成するステップと、を更に含む請求項１に記載の方法。
3. 前記方法は、
   前記ＥＩＰアドレスが攻撃されてブラックホールが有効にされたことの検出に応じて、高セキュリティＩＰアドレスを生成するステップと、
   前記高セキュリティＩＰアドレスから前記ＥＩＰアドレスへ戻る転送ルールを構築するステップと、
   ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決を高セキュリティＩＰアドレスに切り替えるステップとを更に含む請求項２に記載の方法。
4. 前記方法は、
   前記ＥＩＰアドレスではブラックホールの終了が検出されたことに応じて、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替えるステップを更に含む請求項３に記載の方法。
5. 前記方法は、
   前記高セキュリティＩＰアドレス及び前記転送ルールを削除するステップと、
   前記高セキュリティＩＰアドレスを利用可能なプールに回収するステップと、を更に含む請求項４に記載の方法。
6. データを処理するための装置であって、
   ターゲットドメインネームにアクセスするためのアクセス要求を受信するように構成される受信ユニットと、
   前記ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換するように構成される変換ユニットと、
   ドメインネームシステムにおける前記高セキュリティドメインネームに対応するＩＰアドレスを検索するように構成される検索ユニットと、
   前記高セキュリティドメインネームに対応するＩＰアドレスに従って前記アクセス要求を送信するように構成される送信ユニットとを含み、
   前記送信ユニットは、前記ターゲットドメインネームに対応するＥＩＰアドレスでは、ブラックホールが有効にされたことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するＩＰアドレスを、事前設定された高セキュリティＩＰアドレスに変更し、アクセス要求を当該事前設定された高セキュリティＩＰアドレスによりフィルタリングして、前記ＥＩＰアドレスに送信するようにし、前記ターゲットドメインネームに対応するＥＩＰアドレスでは、ブラックホールが有効になっていないことに応答して、前記ドメインネームシステムにおける前記高セキュリティドメインネームに対応するＩＰアドレスを、前記ターゲットドメインネームのＥＩＰアドレスとし、前記アクセス要求を前記ＥＩＰアドレスに送信するようにし、前記ブラックホールが有効にされたこととは、高セキュリティドメインネームを介したアクセス要求を除き、ＥＩＰアドレスにアクセスする全てのトラフィックを禁止することであり、
   前記高セキュリティＩＰアドレスは、ユーザからのアクセスデータのうち悪意のある攻撃トラフィックをクレンジングした正当のトラフィックを前記ターゲットドメインネームのＥＩＰアドレスに転送するように構成される、データを処理するための装置。
7. 前記装置は、
   前記ターゲットドメインネームを事前設定された高セキュリティドメインネームに変換する前に高セキュリティドメインネームを生成し、
   前記ターゲットドメインネームに対応するＥＩＰアドレス、前記ＥＩＰアドレスが属するエリア及びＴＣＰサービスにおけるヘルスチェックのポートを設定し、
   前記高セキュリティドメインネームから前記ＥＩＰアドレスへの名前解決レコードを作成し、
   前記ターゲットドメインネームから前記高セキュリティドメインネームへの名前解決レコードを作成するように構成される設定ユニットを更に含む請求項６に記載の装置。
8. 前記装置は、
   前記ＥＩＰが攻撃されてブラックホールが有効にされたことの検出に応じて、高セキュリティＩＰアドレスを生成し、
   前記高セキュリティＩＰアドレスから前記ＥＩＰアドレスへ戻る転送ルールを構築し、
   ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決を高セキュリティＩＰアドレスに切り替えるように構成されるディスパッチユニットを更に含む請求項７に記載の装置。
9. 前記ディスパッチユニットは、更に
   前記ＥＩＰアドレスではブラックホールの終了が検出されたことに応じて、ドメインネームシステムを呼び出して、高セキュリティドメインネームの名前解決をＥＩＰアドレスに切り替えるように構成される請求項８に記載の装置。
10. 前記ディスパッチユニットは、更に
    前記高セキュリティＩＰアドレス及び前記転送ルールを削除し、
    前記高セキュリティＩＰアドレスを利用可能なプールに回収するように構成される請求項９に記載の装置。
11. １つ又は複数のプロセッサと、１つ又は複数のプログラムが格納されている記憶デバイスと、を備える電子機器であって、
    前記１つ又は複数のプログラムが前記１つ又は複数のプロセッサによって実行されると、前記１つ又は複数のプロセッサに請求項１～５のいずれか１項に記載の方法を実現させる、電子機器。
12. コンピュータプログラムが格納されているコンピュータ可読媒体であって、
    前記コンピュータプログラムがプロセッサによって実行されると、請求項１～５のいずれか１項に記載の方法を実現する、コンピュータ可読媒体。
13. コンピュータプログラムであって、
    前記コンピュータプログラムがプロセッサによって実行されると、請求項１～５のいずれか１項に記載の方法を実現する、コンピュータプログラム。

Images