JP7806902B2 - ＤＤｏＳ検知装置および方法 - Google Patents

Description

本発明は、複数の端末から攻撃対象のウェブサイトやサーバに対して大量のトラフィックを送信するＤＤｏＳ攻撃を検知するＤＤｏＳ検知装置および方法に関するものである。

ＤＤｏＳ（Distributed Denial of Service）攻撃とは、複数の端末から攻撃対象のウェブサイトやサーバに対して大量のトラフィックを送信することでサービスを不能にするサイバー攻撃の手法である。ＤＤｏＳ検知の方法の１つとして、送信元アドレスのばらつき度合いを監視し、急激にばらつき度合いが増加した際にＤＤｏＳが発生したと判定する方法がある（非特許文献１参照）。非特許文献１に開示された方法による送信元アドレスのばらつき度合いＨ（エントロピー）の算出式を以下に示す。

式（１）において、ｉは１つの送信元ＩＰ（Internet Protocol）アドレスを意味し、Ｆｉは送信元ＩＰアドレスｉの頻度、Ｆａは頻度の総数である。非特許文献１に開示された方法は、トラフィック量の増加のみでＤＤｏＳ攻撃かどうかを判定する方法に比べて誤検知が少ないと言われている。

しかしながら、式（１）から分かるとおり、送信元ＩＰアドレスのばらつき度合いＨを算出するためには、送信元ＩＰアドレスｉの頻度Ｆｉ（フロー毎のパケット数）と頻度の総数Ｆａ（総パケット数）をカウントする必要がある。一般的にＤＤｏＳトラフィックには、数万～数十万フローが含まれる。このため、数万～数十万の送信元ＩＰアドレス毎にパケット数をカウントして、送信元ＩＰアドレスのばらつき度合いＨを算出しようとすると、必要なメモリ容量が増大するという課題があった。

本田 秀一他，"エントロピーに基づく不正アクセスＩＰパケットの特徴抽出"，熊本県産学官技術交流会講演論文集，第２２回（平成１９年度），Ｎｏ．４２，２００８年，＜https://dl.ndl.go.jp/view/download/digidepo_9592220_po_341-1029.pdf?contentNo=42&alternativeNo=＞

本発明は、上記課題を解決するためになされたもので、メモリ容量を抑えつつ、誤検知の少ないＤＤｏＳ攻撃検知を実現することができるＤＤｏＳ検知装置および方法を提供することを目的とする。

本発明のＤＤｏＳ検知装置は、ネットワークから受信したパケットが属するフローを識別し、フローテーブルに登録されたフロー毎に統計情報を取得するように構成された統計情報取得部と、前記統計情報取得部によって取得された統計情報に基づいてＤＤｏＳ攻撃が発生しているか否かを判定するように構成されたＤＤｏＳ検知部と、所定の周期毎の各サンプリング区間において、受信したパケットが属するフローの中の新規のフローを、前記統計情報を収集すべきフローとして選択して前記フローテーブルに登録するように構成されたフロー選択部とを備え、前記統計情報取得部は、前記フローテーブルと、ネットワークからパケットを受信するように構成されたパケット受信部と、前記パケット受信部によって受信されたパケットが属するフローを識別するように構成されたフロー識別部と、前記フロー識別部による識別結果に基づいて、前記フローテーブルに登録されたフロー毎に統計情報を取得するように構成された統計情報収集部とを備え、前記ＤＤｏＳ検知部は、前記統計情報取得部によって取得された統計情報に基づいて一定時間毎にフローのばらつき度合いを算出するように構成されたばらつき算出部と、前記ばらつき算出部によって算出されたばらつき度合いが閾値を超えた場合にＤＤｏＳ攻撃が発生したと判定するように構成されたＤＤｏＳ判定部とを備え、前記フロー選択部は、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない新規のフローを、前記統計情報を収集すべきフローとして選択するように構成されたフロー決定部と、前記フローテーブルに登録されているフローを、前記フロー決定部によって新たに選択されたフローに更新するように構成されたテーブル更新部とを備え、前記フロー決定部は、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない所定個数の異なるフローを、前記統計情報を収集すべきフローとして優先的に選択し、過去に選択していないフローが前記所定個数未満の場合には、過去に選択していないフローと過去に選択したフローとの合計数が前記所定個数になるようにフローを選択し、受信したパケットが属するフローの中に過去に選択していないフローが無い場合には、過去に選択したフローの数が前記所定個数になるようにフローを選択することを特徴とするものである。

本発明によれば、各サンプリング区間において受信したパケットが属するフローの中の新規のフローを優先的に選択してフローテーブルに登録することにより、フローテーブルを構成するメモリの容量を抑えつつ、膨大な数のフローが含まれるＤＤｏＳ攻撃の検知が可能となる。

図１は、本発明の原理を説明する図である。 図２は、本発明の実施例に係るＤＤｏＳ検知装置の構成を示すブロック図である。 図３は、本発明の実施例に係るＤＤｏＳ検知装置の動作を説明するフローチャートである。 図４は、本発明の実施例に係るＤＤｏＳ検知装置の動作を説明するフローチャートである。 図５は、本発明の実施例に係るＤＤｏＳ検知装置を実現するコンピュータの構成例を示すブロック図である。

［発明の原理］
本発明では、図１に示すように一定周期毎のサンプリング区間１００のそれぞれにおいて、入力トラフィックのフローをサンプリングし、サンプリングしたフローの中に含まれる新規のフローを、統計情報を収集すべきフローとしてフローテーブルに登録する。例えば過去に選択していない１万のフローをフローテーブルに登録する。図１のｔ１，ｔ２，ｔ３，ｔ４・・・・は、フローテーブルを更新したタイミングを示している。

そして、フローテーブルに登録したフローの統計情報（パケット数）を取得し、統計情報を基にフローのばらつき度合い（送信元アドレスのばらつき度合い）を算出し、ＤＤｏＳ攻撃が発生しているか否かを判定する。こうして、新規のフローを優先的に選択して、フローテーブルの登録・更新をサンプリング区間の度に行うことにより、フローテーブルの登録可能数を超える数のフローが含まれるＤＤｏＳ攻撃が発生している場合であっても、これらフローの大凡の統計情報を取得することができる。その結果、本発明では、フローテーブルを構成するメモリの容量を抑えつつ、膨大な数のフローが含まれるＤＤｏＳ攻撃の検知が可能となる。

［実施例］
以下、本発明の実施例について図面を参照して説明する。図２は本実施例に係るＤＤｏＳ検知装置の構成を示すブロック図である。ＤＤｏＳ検知装置は、ネットワーク４から受信したパケットが属するフローを識別し、フローテーブルに登録されたフロー毎に統計情報を取得する統計情報取得部１と、統計情報に基づいてＤＤｏＳ攻撃が発生しているか否かを判定するＤＤｏＳ検知部２と、所定の周期毎の各サンプリング区間において、受信したパケットが属するフローの中の新規のフローを、統計情報を収集すべきフローとして優先的に選択してフローテーブルに登録するフロー選択部３とを備えている。

統計情報取得部１は、パケット受信部１０と、ヘッダ解析部１１と、フロー識別部１２と、統計情報収集部１３と、統計情報保持部１４と、フローテーブル１５とから構成される。ＤＤｏＳ検知部２は、ばらつき算出部２０と、ＤＤｏＳ判定部２１とから構成される。フロー選択部３は、キャプチャ部３０と、フロー決定部３１と、テーブル更新部３２と、記憶部３３とから構成される。

図３、図４は本実施例のＤＤｏＳ検知装置の動作を説明するフローチャートである。統計情報取得部１のパケット受信部１０は、ネットワーク４からパケットを受信する（図３ステップＳ１０１）。
ヘッダ解析部１１は、パケット受信部１０によって受信されたパケットのヘッダをフィールド（ＭＡＣ（Media Access Control）アドレスやＩＰアドレスなど）毎に解析する（図３ステップＳ１０２）。

フロー識別部１２は、ヘッダ解析部１１によって解析されたヘッダのフィールド情報に基づいて、パケット受信部１０によって受信されたパケットが属するフローを識別する（図３ステップＳ１０３）。ここで、フローとは、送信元アドレスや宛先アドレスなどの、ヘッダのフィールド情報の組み合わせで定義されるパケットのグループのことを言う。

本実施例では、送信元ＩＰアドレスが同じパケットを同じフローのパケットとみなす。また、本実施例では、統計情報としてパケット数を収集する。統計情報収集部１３は、統計情報を収集すべきフローが登録されたフローテーブル１５とフロー識別部１２による識別結果とに基づいて、統計情報を収集すべきフロー毎にパケット数をカウントする（図３ステップＳ１０４）。フローテーブル１５には、統計情報を収集すべきフローを示すフローＩＤ（送信元ＩＰアドレス）が登録されている。フローテーブル１５への登録方法については後述する。

後述のように、ＤＤｏＳ検知部２で全パケット数の値が必要になるため、統計情報収集部１３は、フロー毎のパケット数とは別に、統計情報を収集すべきフローの全パケット数をカウントしてもよい。また、ＤＤｏＳ検知部２は、フロー毎のパケット数カウント値を合算して全パケット数を求めるようにしてもよい。なお、統計情報収集部１３は、フローテーブル１５にフローが登録されていない時点では、パケット数をカウントしない。

統計情報保持部１４は、統計情報収集部１３によって収集された統計情報を保持する（図３ステップＳ１０５）。統計情報保持部１４は、統計情報収集部１３がカウントしたフロー毎のパケット数を、フローＩＤ（送信元ＩＰアドレス）と対応付けて保持する。上記のように統計情報を収集すべきフローの全パケット数を統計情報収集部１３がカウントする場合には、この全パケット数を別途保持するようにしてもよい。パケット受信部１０がネットワーク４からパケットを受信する度に、ステップＳ１０１～Ｓ１０５の処理が行われるので、フロー毎のパケット数が時系列に統計情報保持部１４に格納されることになる。

次に、ＤＤｏＳ検知部２のばらつき算出部２０は、一定時間が経過したと判定したときに（図３ステップＳ１０６においてＹＥＳ）、統計情報保持部１４に保持されているフロー毎の一定時間あたりのパケット数をＦｉ、統計情報を収集すべきフローの一定時間あたりの全パケット数をＦａとして、式（１）によりフローのばらつき度合いＨ（送信元ＩＰアドレスのばらつき度合い）を算出する（図３ステップＳ１０７）。上記のとおり、ｉは１つの送信元ＩＰアドレスを意味する。フローテーブル１５に登録されたフローの総数が式（１）のｎとなる。ばらつき算出部２０は、統計情報保持部１４に全パケット数が保持されていない場合、統計情報保持部１４に保持されているフロー毎のパケット数を合算して全パケット数を計算すればよい。

ＤＤｏＳ判定部２１は、ばらつき算出部２０によって算出されたばらつき度合いと所定の閾値とを比較し、ばらつき度合いが閾値を超過した場合には（図３ステップＳ１０８においてＹＥＳ）、ＤＤｏＳ攻撃が発生したと判定する（図３ステップＳ１０９）。また、ＤＤｏＳ判定部２１は、ばらつき度合いが閾値以下の場合には（ステップＳ１０８においてＮＯ）、ＤＤｏＳ攻撃が発生していないと判定する（図３ステップＳ１１０）。ＤＤｏＳ判定部２１は、判定結果を外部に送信する（図３ステップＳ１１１）。

判定終了後、ばらつき算出部２０は、統計情報保持部１４に保持されているパケット数を０にリセットすると共に、一定時間を計測するタイマのカウント値を０にリセットする（図３ステップＳ１１２）。
こうして、本実施例では、一定時間が経過する度に、ＤＤｏＳ攻撃が発生しているか否かを判定する。

一方、フロー選択部３のキャプチャ部３０は、所定の周期毎に訪れるサンプリング区間になったときに（図４ステップＳ２００においてＹＥＳ）、フロー識別部１２によって識別されたフローを示すフローＩＤ（送信元ＩＰアドレス）を保存する（図４ステップＳ２０１）。サンプリング区間においては、例えばフローを１００個受信する度に１フローを保存するという規則に従ってフローを間引いてもよいし、インターバルの時間が経過する度に１フローを保存するという規則に従ってフローを間引いてもよい。本発明においては、サンプリング方法は特定の方法に限定されるものではない。また、サンプリングせずに全てのフローを保存してもよい。

フロー決定部３１は、フローテーブル１５へのフローの登録が未だ行われていない初回のフロー決定の場合（図４ステップＳ２０２においてＹＥＳ）、サンプリング区間中にキャプチャ部３０によって保存されたフローの中に含まれるＮ個（Ｎは自然数で例えば１万）の異なるフローをフローテーブル１５に登録する対象として選択する（図４ステップＳ２０３）。Ｎはフローテーブル１５に登録可能なフローの個数である。

フローの選択方法は、例えばパケット数が多い順にＮ個といった方法が考えられるが、この方法に限定されるものではなく、Ｎ個の任意のフローを選択できる方法であればよい。また、選択するフローは必ずしもＮ個である必要は無く、Ｎ個以下であればよい。

フロー決定部３１は、選択したフローを示すフローＩＤを記憶部３３に記録する（図４ステップＳ２０４）。
テーブル更新部３２は、フロー決定部３１によって選択されたフローを示すフローＩＤをフローテーブル１５に登録する（図４ステップＳ２０５）。

フローテーブル１５へのフローの登録が既に行われている２回目以降のフロー決定の場合（ステップＳ２０２においてＮＯ）、フロー決定部３１は、サンプリング区間中にキャプチャ部３０によって新たに保存されたフローの中の過去に選択していないＮ個の異なるフローをフローテーブル１５に登録する対象として優先的に選択する（図４ステップＳ２０６）。上記のとおり、フロー決定部３１が過去に選択したフローのＩＤは記憶部３３に記録されている。

また、フロー決定部３１は、キャプチャ部３０によって新たに保存されたフローの中の過去に選択していない異なるフローの数がＭ個（Ｍ＜Ｎ）の場合、過去に選択していないＭ個の異なるフローを優先的に選択し、さらに過去に選択したＬ個（Ｌ＝Ｎ－Ｍ）の異なるフローを選択する。これにより、Ｎ（＝Ｍ＋Ｌ）個のフローをフローテーブル１５に登録する対象として選択することができる。Ｌ個のフローの選択方法は、例えばパケット数が多い順にＬ個といった方法が考えられるが、この方法に限定されるものではなく、Ｌ個の任意のフローを選択できる方法であればよい。

また、フロー決定部３１は、キャプチャ部３０によって新たに保存されたフローの中に過去に選択していないフローが無い場合、過去に選択したＮ個の異なるフローを選択する。Ｎ個のフローの選択方法は、例えばパケット数が多い順にＮ個といった方法が考えられるが、この方法に限定されるものではなく、Ｎ個の任意のフローを選択できる方法であればよい。

フロー決定部３１は、選択したフローを示すフローＩＤを記憶部３３に追加記録する（図４ステップＳ２０７）。
テーブル更新部３２は、フローテーブル１５に登録されているフローＩＤを、フロー決定部３１によって新たに選択されたフローを示すフローＩＤに更新する（図４ステップＳ２０８）。こうして、一定周期のサンプリング区間毎にフローテーブル１５が更新される。

以上の構成により、本実施例では、フローテーブル１５を構成するメモリの容量を抑えつつ、膨大な数のフローが含まれるＤＤｏＳ攻撃の検知が可能となる。

本実施例で説明したＤＤｏＳ検知装置は、ＣＰＵ（Central Processing Unit）、記憶装置及びインターフェースを備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。このコンピュータの構成例を図５に示す。

コンピュータは、ＣＰＵ２００と、記憶装置２０１と、インターフェース装置（Ｉ／Ｆ）２０２とを備えている。Ｉ／Ｆ１０２には、ネットワーク４と接続するための通信回路等が接続されている。このようなコンピュータにおいて、本発明のＤＤｏＳ検知方法を実現させるためのプログラムは記憶装置２０１に格納される。ＣＰＵ２００は、記憶装置２０１に格納されたプログラムに従って本実施例で説明した処理を実行する。また、ＤＤｏＳ検知装置の少なくとも一部をハードウェアで実現してもよい。

上記の実施例の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）本発明のＤＤｏＳ検知装置は、ネットワークから受信したパケットが属するフローを識別し、フローテーブルに登録されたフロー毎に統計情報を取得するように構成された統計情報取得部と、前記統計情報取得部によって取得された統計情報に基づいてＤＤｏＳ攻撃が発生しているか否かを判定するように構成されたＤＤｏＳ検知部と、所定の周期毎の各サンプリング区間において、受信したパケットが属するフローの中の新規のフローを、前記統計情報を収集すべきフローとして選択して前記フローテーブルに登録するように構成されたフロー選択部とを備える。

（付記２）付記１記載のＤＤｏＳ検知装置において、前記統計情報取得部は、前記フローテーブルと、ネットワークからパケットを受信するように構成されたパケット受信部と、前記パケット受信部によって受信されたパケットが属するフローを識別するように構成されたフロー識別部と、前記フロー識別部による識別結果に基づいて、前記フローテーブルに登録されたフロー毎に統計情報を取得するように構成された統計情報収集部とを備え、前記ＤＤｏＳ検知部は、前記統計情報取得部によって取得された統計情報に基づいて一定時間毎にフローのばらつき度合いを算出するように構成されたばらつき算出部と、前記ばらつき算出部によって算出されたばらつき度合いが閾値を超えた場合にＤＤｏＳ攻撃が発生したと判定するように構成されたＤＤｏＳ判定部とを備え、前記フロー選択部は、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない新規のフローを、前記統計情報を収集すべきフローとして選択するように構成されたフロー決定部と、前記フローテーブルに登録されているフローを、前記フロー決定部によって新たに選択されたフローに更新するように構成されたテーブル更新部とを備える。

（付記３）付記２記載のＤＤｏＳ検知装置において、前記ばらつき算出部は、前記フロー毎の統計情報と、前記フロー毎の統計情報の合計である全統計情報とに基づいて、パケットの送信元アドレスのばらつき度合いをフローのばらつき度合いとして算出する。

（付記４）付記２記載のＤＤｏＳ検知装置において、前記フロー決定部は、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない所定個数の異なるフローを、前記統計情報を収集すべきフローとして優先的に選択し、過去に選択していないフローが前記所定個数未満の場合には、過去に選択していないフローと過去に選択したフローとの合計数が前記所定個数になるようにフローを選択し、受信したパケットが属するフローの中に過去に選択していないフローが無い場合には、過去に選択したフローの数が前記所定個数になるようにフローを選択する。

（付記５）本発明は、ＣＰＵと記憶装置とを備えたコンピュータによってＤＤｏＳ攻撃を検知するＤＤｏＳ検知方法において、ネットワークから受信したパケットが属するフローを識別し、フローテーブルに登録されたフロー毎に統計情報を取得する第１のステップと、前記第１のステップで取得した統計情報に基づいてＤＤｏＳ攻撃が発生しているか否かを判定する第２のステップと、所定の周期毎の各サンプリング区間において、受信したパケットが属するフローの中の新規のフローを、前記統計情報を収集すべきフローとして選択して前記フローテーブルに登録する第３のステップとを、前記記憶装置に格納されたプログラムに従って前記ＣＰＵに実行させる。

（付記６）付記５記載のＤＤｏＳ検知方法において、前記第１のステップは、ネットワークからパケットを受信する第４のステップと、前記第４のステップで受信したパケットが属するフローを識別する第５のステップと、前記第５のステップによる識別結果に基づいて、前記フローテーブルに登録されたフロー毎に統計情報を取得する第６のステップとを含み、前記第２のステップは、前記第１のステップで取得した統計情報に基づいて一定時間毎にフローのばらつき度合いを算出する第７のステップと、前記第７のステップで算出したばらつき度合いが閾値を超えた場合にＤＤｏＳ攻撃が発生したと判定する第８のステップとを含み、前記第３のステップは、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない新規のフローを、前記統計情報を収集すべきフローとして選択する第９のステップと、前記フローテーブルに登録されているフローを、前記第９のステップで新たに選択したフローに更新する第１０のステップとを含む。

（付記７）付記６記載のＤＤｏＳ検知方法において、前記第７のステップは、前記フロー毎の統計情報と、前記フロー毎の統計情報の合計である全統計情報とに基づいて、パケットの送信元アドレスのばらつき度合いをフローのばらつき度合いとして算出するステップを含む。

（付記８）付記６記載のＤＤｏＳ検知方法において、前記第９のステップは、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない所定個数の異なるフローを、前記統計情報を収集すべきフローとして優先的に選択し、過去に選択していないフローが前記所定個数未満の場合には、過去に選択していないフローと過去に選択したフローとの合計数が前記所定個数になるようにフローを選択し、受信したパケットが属するフローの中に過去に選択していないフローが無い場合には、過去に選択したフローの数が前記所定個数になるようにフローを選択するステップを含む。

本発明は、サイバー攻撃を検知する技術に適用することができる。

１…統計情報取得部、２…ＤＤｏＳ検知部、３…フロー選択部、４…ネットワーク、１０…パケット受信部、１１…ヘッダ解析部、１２…フロー識別部、１３…統計情報収集部、１４…統計情報保持部、１５…フローテーブル、２０…ばらつき算出部、２１…ＤＤｏＳ判定部、３０…キャプチャ部、３１…フロー決定部、３２…テーブル更新部、３３…記憶部。

Claims (4)

1. ネットワークから受信したパケットが属するフローを識別し、フローテーブルに登録されたフロー毎に統計情報を取得するように構成された統計情報取得部と、
   前記統計情報取得部によって取得された統計情報に基づいてＤＤｏＳ攻撃が発生しているか否かを判定するように構成されたＤＤｏＳ検知部と、
   所定の周期毎の各サンプリング区間において、受信したパケットが属するフローの中の新規のフローを、前記統計情報を収集すべきフローとして選択して前記フローテーブルに登録するように構成されたフロー選択部とを備え、
   前記統計情報取得部は、
   前記フローテーブルと、
   ネットワークからパケットを受信するように構成されたパケット受信部と、
   前記パケット受信部によって受信されたパケットが属するフローを識別するように構成されたフロー識別部と、
   前記フロー識別部による識別結果に基づいて、前記フローテーブルに登録されたフロー毎に統計情報を取得するように構成された統計情報収集部とを備え、
   前記ＤＤｏＳ検知部は、
   前記統計情報取得部によって取得された統計情報に基づいて一定時間毎にフローのばらつき度合いを算出するように構成されたばらつき算出部と、
   前記ばらつき算出部によって算出されたばらつき度合いが閾値を超えた場合にＤＤｏＳ攻撃が発生したと判定するように構成されたＤＤｏＳ判定部とを備え、
   前記フロー選択部は、
   各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない新規のフローを、前記統計情報を収集すべきフローとして選択するように構成されたフロー決定部と、
   前記フローテーブルに登録されているフローを、前記フロー決定部によって新たに選択されたフローに更新するように構成されたテーブル更新部とを備え、
   前記フロー決定部は、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない所定個数の異なるフローを、前記統計情報を収集すべきフローとして優先的に選択し、過去に選択していないフローが前記所定個数未満の場合には、過去に選択していないフローと過去に選択したフローとの合計数が前記所定個数になるようにフローを選択し、受信したパケットが属するフローの中に過去に選択していないフローが無い場合には、過去に選択したフローの数が前記所定個数になるようにフローを選択することを特徴とするＤＤｏＳ検知装置。
2. 請求項１記載のＤＤｏＳ検知装置において、
   前記ばらつき算出部は、前記フロー毎の統計情報と、前記フロー毎の統計情報の合計である全統計情報とに基づいて、パケットの送信元アドレスのばらつき度合いをフローのばらつき度合いとして算出することを特徴とするＤＤｏＳ検知装置。
3. ＣＰＵと記憶装置とを備えたコンピュータによってＤＤｏＳ攻撃を検知するＤＤｏＳ検知方法において、
   ネットワークから受信したパケットが属するフローを識別し、フローテーブルに登録されたフロー毎に統計情報を取得する第１のステップと、
   前記第１のステップで取得した統計情報に基づいてＤＤｏＳ攻撃が発生しているか否かを判定する第２のステップと、
   所定の周期毎の各サンプリング区間において、受信したパケットが属するフローの中の新規のフローを、前記統計情報を収集すべきフローとして選択して前記フローテーブルに登録する第３のステップとを、前記記憶装置に格納されたプログラムに従って前記ＣＰＵに実行させ、
   前記第１のステップは、
   ネットワークからパケットを受信する第４のステップと、
   前記第４のステップで受信したパケットが属するフローを識別する第５のステップと、
   前記第５のステップによる識別結果に基づいて、前記フローテーブルに登録されたフロー毎に統計情報を取得する第６のステップとを含み、
   前記第２のステップは、
   前記第１のステップで取得した統計情報に基づいて一定時間毎にフローのばらつき度合いを算出する第７のステップと、
   前記第７のステップで算出したばらつき度合いが閾値を超えた場合にＤＤｏＳ攻撃が発生したと判定する第８のステップとを含み、
   前記第３のステップは、
   各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない新規のフローを、前記統計情報を収集すべきフローとして選択する第９のステップと、
   前記フローテーブルに登録されているフローを、前記第９のステップで新たに選択したフローに更新する第１０のステップとを含み、
   前記第９のステップは、各サンプリング区間において、受信したパケットが属するフローの中の過去に選択していない所定個数の異なるフローを、前記統計情報を収集すべきフローとして優先的に選択し、過去に選択していないフローが前記所定個数未満の場合には、過去に選択していないフローと過去に選択したフローとの合計数が前記所定個数になるようにフローを選択し、受信したパケットが属するフローの中に過去に選択していないフローが無い場合には、過去に選択したフローの数が前記所定個数になるようにフローを選択するステップを含むことを特徴とするＤＤｏＳ検知方法。
4. 請求項３記載のＤＤｏＳ検知方法において、
   前記第７のステップは、前記フロー毎の統計情報と、前記フロー毎の統計情報の合計である全統計情報とに基づいて、パケットの送信元アドレスのばらつき度合いをフローのばらつき度合いとして算出するステップを含むことを特徴とするＤＤｏＳ検知方法。