WO2005074215A1 - 不正情報検知システム及び不正攻撃元探索システム - Google Patents

不正情報検知システム及び不正攻撃元探索システム Download PDF

Info

Publication number
WO2005074215A1
WO2005074215A1 PCT/JP2005/001524 JP2005001524W WO2005074215A1 WO 2005074215 A1 WO2005074215 A1 WO 2005074215A1 JP 2005001524 W JP2005001524 W JP 2005001524W WO 2005074215 A1 WO2005074215 A1 WO 2005074215A1
Authority
WO
WIPO (PCT)
Prior art keywords
field
information
unauthorized
attack
values
Prior art date
Application number
PCT/JP2005/001524
Other languages
English (en)
French (fr)
Inventor
Glenn Mansfield Keeni
Original Assignee
Cyber Solutions Inc.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cyber Solutions Inc. filed Critical Cyber Solutions Inc.
Priority to US10/588,188 priority Critical patent/US8020205B2/en
Publication of WO2005074215A1 publication Critical patent/WO2005074215A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/28—Timers or timing mechanisms used in protocols

Definitions

  • the present invention relates to a fraudulent information detection system and a fraudulent attack source search system for determining whether information transmitted through an Internet line is proper information or (D) fraudulent information such as DoS. Things.
  • Patent Document 1 JP-A-2003-318987
  • Patent Document 2 Japanese Patent Application Laid-Open No. 2003-234784
  • DoS attack is an attack method in which a very large number of packets exceeding the processing capabilities of the target device and the network are sent to disable the target service.
  • the source address (source address) included in the header part of each packet is managed, and the communication from the address that sent such a (D) DoS attack is not received again, and the source Some services have added a prevention function such as sending back a packet indicating the end of communication.
  • Patent Document 1 for an unspecified number of e-mails, an e-mail for each account in which a To address (a destination address) included in the header part of the data format of the e-mail is preset.
  • the header is defined as the content rewriting definition, and the received e-mail is rewritten and retransmitted (forwarded) to the rewritten e-mail address to distribute the load on the specified mail server.
  • Patent Document 2 it is determined whether an e-mail sent at the same time includes a large number of unknown addresses in the From address. Returns the sent mail to the From address of the large amount of sent e-mails, and receives only the returned e-mails as proper e-mails.
  • the present invention provides a fraudulent attack detection and tracking system capable of easily determining whether there is a fraudulent attack such as (D) DoS attack, in order to solve the above problem.
  • the porpose is to do.
  • the invention according to claim 1 monitors the number of values of a certain field in a header of a packet transmitted through the Internet line, and determines that the number of values of the field is a predetermined number within a predetermined time, or This is a fraudulent information detection system characterized by determining that a fraudulent attack has been performed when a predetermined rate is reached.
  • Arbitrary values can be determined, for example, by determining that there is a fraudulent attack when the number nt2 at another time is k times or more (k is, for example, 2 or more) compared to the number ntl at a certain time. Is also good. In addition, even if the number of field values decreases, In some cases, it is determined that there is a strike.
  • the invention according to claim 2 is the unauthorized information detection system according to claim 1, wherein the number of packets having the certain field value is monitored.
  • the number of packets pm may be monitored together with the number fn of the values of the field, and the determination may be made based on the ratio.
  • ratio (fnZpm) tl at a certain point of time exceeds a certain arbitrarily determined value, it may be set that there is a fraudulent attack. If the ratio of (fn / pm) tl to (fnZpm) t2 exceeds a certain value, it may be determined that the attack is unauthorized.
  • An invention according to claim 3 is the fraudulent information detection system according to claim 1 or 2, wherein the value of the field is configured by a combination of a plurality of fields.
  • a field value is configured by a combination of a "source address” and a "destination address” as the field value.
  • the invention according to claim 4 is characterized in that the number of hops of a packet corresponding to a specific field or a combination of fields changes when the number of hops of the information on the Internet line becomes a predetermined value.
  • the fraudulent information detection system according to any one of claims 13 to 13, wherein the information is recognized as fraudulent information in such a case.
  • the number of hops of a packet corresponding to a specific field or a combination of fields changes when the number of hops of the information on the Internet line becomes a predetermined value.
  • This is a fraudulent information detection system characterized in that the relevant information is identified as fraudulent information.
  • the invention monitors the number of values of a certain field in a header of a packet transmitted through the Internet line, and determines that the number of values of the field is a predetermined number within a predetermined time, or If the rate reaches a predetermined rate, it is determined that an unauthorized attack has been performed, and an unauthorized source is searched for by monitoring the number of values in the above fields at a plurality of locations on the Internet.
  • This is an unauthorized attack source search system characterized in that:
  • the synchronization is substantially synchronized. If the number of source addresses reaches the specified number or the specified rate, the large amount of e-mail is determined to be (D) DoS attack e-mail, so that reception permission setting or If you set the rejection setting, you will be able to recognize and track that a (D) DoS attack has been sent without the need for detailed settings.
  • FIG. 1 is a conceptual diagram of a (D) DoS attack detection and tracking system of the present invention.
  • FIG. 2 (A) is an explanatory diagram of the packet data format, (B) is a graph showing an example of traffic in time series, and (C) is a graph showing an example of the number of packet addresses in time series. Is
  • FIG. 3 is a conceptual diagram showing a packet search.
  • FIG. 4 is a conceptual diagram showing an Internet system.
  • a DoS attack is an attack method in which a very large number of packets exceeding the processing capacity are sent to an attack target device, thereby disabling the target service.
  • This DoS attack has the following characteristics.
  • the source address which is one of the field values in the header, is forged.
  • the source address of a DoS attack is randomly selected so as to prevent the DoS attack from being blocked by filtering packets that are addresses.
  • DoS Since a very large number of packets are transmitted, DoS is detected by the following method.
  • the first method is a method of counting the number of attack packets or illegal packets. Determining what packets are malformed is difficult. This is because each packet used in a DoS attack is a normal packet.
  • the second method is a method of counting all detected packets (including attack packets).
  • Network traffic changes dynamically from moment to moment. Therefore, it cannot be pointed out that the phenomenon is due to DoS attacks simply because the amount of network traffic has increased. If the traffic volume is already saturated, the traffic volume does not increase even if a DoS attack is performed.
  • the DoS attack detection method is a method of counting the source addresses of traffic. If the attacker had chosen a random source address, the number of source addresses observed would have increased. In a certain time interval, it is normal that a packet having such a source address is observed plurally for one source address. However, during an attack, one attack packet is generally not observed for one (forged) source address. In this way, a DoS attack can be detected.
  • Count packets at time intervals For example, as shown in FIG. 3, a means for observing a packet is provided on a path between a network (Netl) and an attack target (T target), and a packet may be observed there.
  • Such means include, for example, a sniffer and a passive type.
  • Devices such as sniffers and passive probes can observe all packets, and those devices can count the following values.
  • a method for checking a change in the number of addresses observed on a route is used.
  • the following patterns are observed, which are estimated to be similar phenomena at all transit points.
  • the number of individual values of these fields may be detected. Further, the number of cases may be detected by using any combination of two or more of these individual field values as the field value.
  • a category is a property that allows a packet defined by one or more header areas to be classified.
  • Protocol area power All packets that are STCP
  • Total category For convenience, a category called “Total category” is defined. All packets belong to this category.
  • C-Transform Such a method of creating the distribution of the number of packets and the distribution of the number of categories is called a category transformation "C-Transform".
  • the maximum number of categories that can be taken by a category created by the sum of several header areas depends on the combined width of the areas. For example, in the case of a spatula that is created with a 4-bit area, the maximum number of categories is 16 (2 to the fourth power).
  • category conversion from an area that can take a very large value such as a source address and a destination address having a width of 32 bits (4294967296) provides particularly interesting statistics. become.
  • the information on the Internet line when the number of categories of the information on the Internet line reaches a predetermined value, the information is determined to be illegal information. It also improves the efficiency of detection and tracking by effectively utilizing the number of hops.
  • the number of categories, the number of packets, and the traffic are defined as follows. l ... i are values arranged in time series.
  • T is the threshold
  • T is a fixed value or a value for which traffic data power is also calculated
  • ⁇ F X movingAverageO! Statistic, in a, b, c above)
  • F is a fixed or traffic data power calculated value
  • A is a constant
  • FIG. 1 is a diagram showing a (D) DoS attack detection and tracking system of the present invention.
  • 1 is the Internet line
  • 2 is the source computer connected to the Internet line
  • 3 is the receiving computer connected to the Internet line
  • 4 is the Internet line 1 and the receiving side.
  • a communication monitoring device connected to the computer 3.
  • the communication monitoring device 4 may use the server as the communication monitoring device 4.
  • reception means reception of communication to the port allocated by the server, and does not include reception for determination. If the receiving computer 3 is a mail server owned by the provider, the mail receiving terminal is connected through another Internet line.
  • Power S will be connected.
  • a packet transmitted from the transmitting computer 2 corresponds to a source address in a header section 11 of a packet data format 10 of a packet constituting the communication, as shown in FIG. 2 (A).
  • Source address 12 and destination address (receiver address) corresponds to Source address 12 and destination address (receiver address)
  • the communication monitoring device 4 monitors the number of transmitted values or the number of packets and the number of source addresses 12.
  • the number of values transmitted from the transmission source computer 2 to the reception side computer 3 is one, for example, the value of another transmission side computer (not shown). Even if another communication is transmitted to the receiving computer 3 approximately at the same time, the number of the values and the source address 12 increase in a one-to-one proportion.
  • the mail monitoring device 4 determines that a larger number of packets than the normal communication amount have been transmitted, as indicated by the peak P1 in FIG. 2 (B).
  • the packet is formally received. If the number of categories is within a predetermined number (for example, less than 10), reception of the category may be permitted.
  • the communication monitoring device 4 determines that the communication amount (or the number of packets) becomes larger than that in normal communication transmission / reception.
  • the Source address 12 of each packet increases at about the same time.
  • the reception is rejected.
  • a predetermined number for example, 90
  • a predetermined rate for example, 90% of the number of packets
  • the setting of the predetermined number of communications (or the number of packets) and the predetermined number of Source addresses transmitted within a certain period of time corresponding to the simultaneous simultaneous transmission depends on the processing capacity of the server and the network. It can be set according to the capacity of the receiving computer 3 or the type of business of the owner of the receiving computer 3.
  • a predetermined value (number of cases, etc.) should be set in consideration of the average number of receptions.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

明 細 書
不正情報検知システム及び不正攻撃元探索システム
技術分野
[0001] 本発明は、インターネット回線を通じて送信されてきた情報が適正な情報であるか あるいは (D)DoSなどの不正な情報であるかを判定する不正情報検知システム及び不 正攻撃元探索システムに関するものである。
背景技術
[0002] 特許文献 1：特開 2003— 318987号公報
特許文献 2：特開 2003— 234784号公報
[0003] 近年、ある企業や組織をターゲットにし、大量の不正な通信 (パケット）を送信するサ 一ビス妨害攻撃が問題となっている。このような (D)DoS攻撃は、一般にはサーバの処 理能力を超える大量の接続要求を一度に送りつけることや、通信回線の容量を不要 な通信で埋め尽くすことで他の必要な通信を妨害し、通常業務を妨害したり、課金制 ユーザーに対するプロバイダへのアクセス時間並びに通信会社への通信時間を延 長させて納付料金を高騰させると 、つた弊害を与えるものである。 V、わゆる (D)DoS攻 撃といわれるものである。
[0004] (D)DoS攻撃とは、攻撃対象機器およびネットワークの処理能力を上回る非常に甚 大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
[0005] そこで、各パケットのヘッダ部分に含まれる Sourceアドレス（送信元アドレス）を管理 し、このような (D)DoS攻撃を送りつけたアドレスからの通信を 2度と受信しないと共に その送信元に通信の終了を示すパケットを送り返すといった防止機能を付加したサ 一ビスが見受けられる。
[0006] しかしながら、このような防止サービスは、異なった Sourceアドレスから（D) DoS攻撃 を送りつけてきた場合には、その (D)DoS攻撃の受信を拒否することができな 、と 、つ た問題が生じていた。
[0007] 一方、このような (D)DoS攻撃を送りつける送信元では、受信拒否された (D)DoS攻撃 が送り返されてしまうと、自身のサーバおよびネットワークが容量オーバーとなってし まう。
従って、送信元では、 Sourceアドレスをランダムに偽造作成し、大量のパケットの各ァ ドレスを異ならせたうえで特定宛先アドレスに (D)DoS攻撃を送信するといつた対応で 対抗してきて 、るのが実情である。
[0008] これに対し、例えば、特許文献 1では、不特定多数の電子メールに対し、電子メー ルのデータフォーマットのヘッダ部分に含まれる Toアドレス（送信先アドレス）を事前 設定されたアカウント別メールヘッダ'コンテンツ書き換え定義にした力 ^、、受信した 電子メールを書き換えた上でその書き換えメールアドレスに再送信 (転送)し、特定メ ールサーバーへの負荷を分散させて 、る。
[0009] また、特許文献 2では、同時に送信されてきた電子メールの Fromアドレスに不明な ものを大量に含むか否かを判定し、 Fromアドレスに不明なものが大量に含まれてい る場合には、その送信されてきた大量の電子メールの Fromアドレスに送信メールを 返信し、返信できた電子メールのみを適正な電子メールとして受信して ヽる。
発明の開示
発明が解決しょうとする課題
[0010] ところで、送信元アドレスは容易に偽造し変更することが可能であるため、大量の送 信元アドレスを事前に予測し、対応することは非常に困難である。
[0011] また、（D)DoS攻撃は個々のパケットレベルでは正常な通信との区別が困難なことか ら、なんらかの閾値を用いた検知が検討されているが、それらは対象となるネットヮー クの特性や利用状況によって大きく変化するものであるため、高い検知精度は期待 できない。
[0012] また、（D)DoS攻撃は正常な通信との識別が困難なことから、間違った判断により正 常な通信の送受信をも遮断してしまう可能性があった。
[0013] このように、従来技術では、（D)DoS攻撃の判定基準が複雑となって 、るため、検知 が困難な小規模の (D)DoS攻撃の受信を余儀なくされたり、必要な通信をも受信拒否 してしまうと 、つた問題が生じて!/ヽた。
[0014] 本発明は、上記問題を解決するため、（D)DoS攻撃などの不正攻撃かあるか否かの 判定基準を容易に行うことが可能な不正攻撃検知およびその追跡システムを提供す ることを目的とする。
課題を解決するための手段
[0015] 請求項 1に係る発明は、インターネット回線を通じて送信されてきたパケットのへッ ダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定 数、若しくは所定率に達した場合には不正攻撃が行われていると判定することを特徴 とする不正情報検知システムである。
フィールドの値としては、例えば、次のものが上げられる。
バージョン
ヘッダ長
ToS
全長
アイデンティフィケーション
フラグ
フラグメントオフセット
Time to Live
プロ卜: πル
へッタチェックサム
発信元アドレス
到達先アドレス
オプション
ポート
あるフィールドの値の数は、例えば、フィールドの値が「発信元アドレス」として、区 別できる発信元アドレスとして、 al ( =一郎)、 a2 ( =ニ郎)、 a3 ( =三郎)ゝ… · an ( = n郎）があった場合、フィールドの値の数は nである。
[0016] フィールドの値の数力 任意に決めた値の数以上になった場合に不正攻撃が行わ れていると判断する。任意の決めた値は、例えば、ある時点における数 ntlに比較し て他の時点における数 nt2が k倍以上 (kは例えば 2以上の数）となったときに不正攻 撃が存在すると決めてもよい。なお、フィールドの値の数が減少する場合にも不正攻 撃の存在があると判断する場合もある。
[0017] 請求項 2に係る発明は、前記あるフィールド値のパケット数を監視することを特徴と する請求項 1記載の不正情報検地システム。
[0018] フィールドの値の数 fnとともにパケット数 pmを監視し、その比で判断してもよい。
ある時点における比 (fnZpm) tlがある任意に決めた値以上になった場合に不正攻 撃が存在すると設定してもよ 、。 (fn/pm) tlと (fnZpm) t2との比がある値以上に なったときに不正攻撃と判断してもよい。
[0019] 請求項 3に係る発明は、前記フィールドの値は、複数のフィールドの組合せにより構 成されていることを特徴とする請求項 1又は 2記載の不正情報検知システムである。
[0020] フィールドの値として「発信元アドレス」と「到達先アドレス」との組合せによりフィール ドの値を構成する。
[0021] まず、前記同様、発信元アドレスとして、 &1 (=ー郎）、&2 ( =ニ郎）、&3 (=三郎）、
• · · 'an (=n郎）があったとする。
[0022] ak (k= l-n)について、到達アドレスの種類が mk個あるとすると、この場合におけ る複数のフィールドの組合せにより構成されるフィールドの値の数は∑mk (k= 1— n
)となる。
[0023] 請求項 4に係る発明は、インターネット回線上における、前記情報のホップ数が所 定の値となった場合、若しくは特定のフィールドあるいはフィールドの組合せに該当 するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを 特徴とする請求項 1一 3のいずれ力 1項記載の不正情報検知システムである。
[0024] 請求項 5に係る発明は、インターネット回線上における、前記情報のホップ数が所 定の値となった場合、若しくは特定のフィールドあるいはフィールドの組合せに該当 するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定することを 特徴とする不正情報検知システムである。
[0025] 請求項 6に係る発明は、インターネット回線を通じて送信されてきたパケットのへッ ダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定 数、若しくは所定率に達した場合には不正攻撃が行われていると判定し、インターネ ットの複数個所で前記フィールドの値の数を監視することにより不正な送信元を探索 するようにしたことを特徴とする不正攻撃元探索システムである。
[0026] 請求項 7に係る発明は、前記フィールドの値は、ヘッダ内の複数のフィールドの個 々の組合せにより構成されていることを特徴とする請求項 6記載の不正攻撃元探索 システム。
[0027] 請求項 8に係る発明は、インターネット回線上における、前記情報のホップ数が所 定の値となった場合、若しくは特定のフィールドあるいはフィールドの組み合わせに 該当するパケットの持つホップ数が変化した場合に当該情報を不正情報と認定する ことを特徴とする請求項 7記載の不正攻撃元探索システムである。
発明の効果
[0028] 本発明の不正情報検知システムによれば、同時に大量に送信されてきたパケットに 対し、その大量のパケットの値の数又はパケット数が一定時間内に所定数に達した 時に、略同期して送信元アドレス件数が所定数若しくは所定率に達した場合には、 その大量の電子メールを (D)DoS攻撃メールと判定することにより、特定の送信元アド レスに対して受信許可設定若しくは受信拒否設定をすると 、つた細力べ煩わ U、設 定をすることなく (D)DoS攻撃が送信されてきたことを認識および追跡することができる 図面の簡単な説明
[0029] [図 1]本発明の (D)DoS攻撃検知およびその追跡システムの概念図である。
[図 2] (A)はパケットデータフォーマットの説明図、（B)は通信量の一例を時系列で示 したグラフ図、（C)はパケットのアドレス件数の一例を時系列で示したグラフ図である
[図 3]パケット探索を示す概念図である。
[図 4]インターネットのシステムを示す概念図である。
符号の説明
[0030] 1· ··インターネット回線
2…送信側コンピュータ
3…受信側コンピュータ
4…通信監視装置 (判定手段） 発明を実施するための最良の形態
[0031] 前述した通り、 DoS攻撃とは、攻撃対象機器に処理能力を上回る非常に甚大な数の パケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
この DoS攻撃は次のような特徴を有して 、る。
[0032] 例えば、ヘッダ内のフィールドの値の一つである発信元アドレスは偽造されている
(偽のアドレスが用いられて 、る）攻撃元の発信元
アドレスであるパケットをフィルタすることにより、 DoS攻撃をブロックされないように、 DoS攻撃の発信元アドレスはランダムに選択されていることが一般的である。
[0033] DoSは非常に莫大なパケットが送信されるので、次のような方法で検知される。
[0034] 第 1の方法は、攻撃パケットもしくは、不正なパケットの数を数える方法である。どの ようなパケットが不正であるかを判断することはむず力しい。なぜなら、 DoS攻撃に使 われるパケット一つ一つは正常なパケットである力 である。
[0035] 第 2の方法は、検知したパケット全て (攻撃パケットも含む）を数える方法である。ネ ットワークトラフィックは時々刻々動的に変化する。従って、単にネットワークトラフイツ ク量が増大したからといって、その現象は DoS攻撃によるものだと指摘することはでき ない。また、既にトラフィック量が飽和状態である場合は、 DoS攻撃があつたとしても、 トラフィック量は増加しない。
[0036] それに対して、本形態における方法は、 DoS攻撃の検知方法は、トラフィックの発 信元アドレスを数える方法である。もし攻撃者がランダムに発信元アドレスを選択して いるならば、観測される発信元アドレスの数も増加しているはずである。ある一定時間 間隔では、 1個の発信元アドレスに対して、そのような発信元アドレスを持つパケット は複数観測されるのが通常である。しかし、攻撃の最中では一般的に 1個の (偽造さ れた)発信元アドレスに対して、攻撃パケットは 1個し力観測されない。このように DoS 攻撃を検知することができる。
[0037] 発信元アドレス、到達先アドレスとその他の情報 ·データから構成されて ヽる。時間 間隔でパケットを数える。例えば、図 3に示すように、ネットワーク (Netl)と攻撃先 (T arget)との間の経路にパケットを観測するための手段を設けておき、そこで、ノ ケット を観測すればよい。かかる手段としては、例えばス-ファー（Sniffer)やパッシブ型 プローブなどの機器がある。
[0038] ス-ファー (Sniffer)や、パッシブ型プローブなどの機器は全てのパケットを観測で き、それらの機器は以下の値を数えあげることができる。
パケットの全数
ある特定の発信元アドレスを持つパケット数
ある特定の到達先アドレスを持つパケット数
発信元アドレス毎のパケット数
到達先アドレス毎のパケット数
特定のタイプのパケット数
これらの値は、一定時間間隔毎に収集可能である。
[0039] 次に Dos攻撃の追跡方法について述べる。
[0040] DoS攻撃元の追跡方法としては、第 1に、不正なパケットの経路をチェックする（パ ケット追跡）方法がある。しかし、どのようなパケットが不正なのかを知る必要がある。
[0041] 第 2に、トラフィックパターンをチェックする方法がある。しかし、この方法は、不正確 である。
[0042] それに対して、本発明の実施の形態においては、経路上において観測されるァドレ ス数の変化をチェックする方法である。全ての経由地で同様な現象が観測されると推 測される以下のようなパターンが観測される。
[0043] 時間 (任意単位） パケット数 発信元アドレス数
1 1000 50
2 800 60
3 900 57
4 1200 64
5 50 30
6 1500 530
7 1800 550
8 1700 570
9 800 80 10 900 65
上記において、時間 6、 7、 8においては、パケット数とともに発信元アドレス数が増加 している。そこでは、 DoS攻撃がなされている。
[0044] 一方、図 4に示すように、インターネットの各経路にス-ファー Sn (n= l, 2, 3, · · · )を置 、ておき、そこでの観測結果同士を比較すればどの経路で DoS攻撃がなされ て!、るかを知ることができる。その経路を遮断すれば DoS攻撃元を追跡することがで き、必要に応じてその経路を遮断すればよい。また、その経路力もの所定のパケット を遮断すればよい。
[0045] なお、本発明にお 、て、フィールドの値としては、 IPv4プロトコルパケットを例にした 場合、次のものが例示される。
バージョン領域
ヘッダ長領域
ToS領域
全長領域
アイデンティフィケーション領域
フラグ領域
フラグメントオフセット領域
Time to Live
プロトコル領域
ヘッダチェックサム領域
発信元アドレス領域
到達先アドレス領域
オプション領域
ポート領域
[0046] 本発明においては、これらのフィールドの個々の値の件数を検知してもよい。また、 これらの個々のフィールドの値の 2以上の任意の組合せをフィールドの値としてその 件数を検知してもよい。
[0047] 以下に例を示す。 カテゴリは一つ、ないしは複数のヘッダ領域によって定められるパケットを分類でき る性質のことである。
(カテゴリの例） プロトコル領域力 STCPであるパケット全て
便宜上" Totalカテゴリ"というカテゴリを定義する。全てのパケットはこのカテゴリに属 する。
[0048] 今までの統計分析手法は、モニタや探査装置により観測されたパケットから、全て の観測パケット数や、あるカテゴリに対するパケット観測数などの標本値を元にしてき た。
[0049] [表 1]
(例） プロトコル領域毎のパケット数
Figure imgf000011_0001
カテゴリ変換 (C-Transform)における統計分析では、検知したパケットが属する力 テゴリの数に着目する。上記の例において、プロトコル領域ごとのカテゴリの数を見た 場合以下の通りになる。
[表 2]
Figure imgf000011_0002
このようにパケットの数の分布力もカテゴリの数の分布を作成する方法のことをカテゴ リ変換" C- Transform"と呼ぶ。
[0050] いくつかのヘッダ領域の和によって作成されたカテゴリがとる事が可能な最大の力 テゴリの数はその領域の合わせた幅による。例えば幅が合わせて 4ビットの領域で作 成される彼ごりの場合、最大のカテゴリの数は 16個（2の 4乗)である。
[0051] し力し、 IPヘッダにおける Version領域と Protocol領域のように、予め定義された以外 の値を持つことができないヘッダ領域がある (ASSIGNED NUMBERS, RFC 790参照） 。そのためこのような領域力 作成できる意味のあるカテゴリは限定される。
[0052] また、 32ビット（4294967296)の幅を持つ発信元アドレス、到達先アドレスのように非 常に大きな値を取り得る領域からのカテゴリ変換（C-Transform)は特に興味深い統 計を提供することになる。
[0053] 本発明においては、インターネット回線上における、前記情報のカテゴリ数が所定 の値となった場合に当該情報を不正情報と認定する。またホップ数を効果的に活用 することで検知および追跡の効率を向上する。
[0054] (検知方法）
カテゴリ数、パケット数、通信量をそれぞれ以下のように定義する。 l...iは時系列に 並んだ値とする。
カテゴリ数： C1, .... Ci, ....
パケット数： P1, .... Pi, ....
通信量： 01, .... Oi, ....
このとき、以下の条件で検知する。
a. Ci >T
b. Ci I Ci+1 >T
c. Ci I {Pi|Oi} >T
Tは閾値である
Tは固定値もしくはトラフィックデータ力も算出される値である
例えば、 Τ = F X movingAverageO!Statistic、 in a, b, c above)
のように上記の a,b,cの値の移動平均になんらかの数 Fを乗じて差出されたもの である。
Fは固定あるいはトラフィックデータ力も算出される値である
例えば、 F = A X standardDeviationO!Statistic
のように標準偏差を用いて算出されることもある。
Aは定数である
インターネットにおいては、情報の無限循環を防止するために、ヘッダの TTL ( Time to Live)のフィールドの値に基づき HOP (ホップ）の数が 0となったらその情報を インターネット上から落とすことが行われている。ところで、ある送信元情報が示された 場合、それが詐称されたものではなく正規の場合 HOP数はほぼ決まっている。した がって、その決まっている HOP数と比較して、実際に送られた来た詐称情報の場合 の HOP数が異なる場合その情報は不正情報と判断することができる。
実施例
[0055] 次に、本発明の (D)DoS攻撃検知およびその追跡システムの実施の形態を図面に 基づいて説明する。
[0056] 図 1は本発明の (D)DoS攻撃検知およびその追跡システムを示す図である。図 1に おいて、 1はインターネット回線、 2はインターネット回線 1に接続された送信元のコン ピュータ本体、 3はインターネット回線 1に接続された受信側コンピュータ、 4はインタ 一ネット回線 1と受信側コンピュータ 3との間に接続された通信監視装置である。
[0057] 尚、この通信監視装置 4はネットワークに接続される力 受信側コンピュータ 3がサ 一バー等であった場合には、そのサーバーを通信監視装置 4としても良い。
この場合、受信とはサーバーで割り当てたポートに対する通信の受信を意味、判定 のための受信は含まないものとする。また、受信側コンピュータ 3がプロバイダ所有の メールサーバーであった場合には、他のインターネット回線を通じてメール受信端末
(例えば、パーソナルコンピュータ等）力 S接続されることとなる。
[0058] 通常、送信側コンピュータ 2から送信されるパケットは、図 2 (A)に示すように、その 通信を構成するパケットのパケットデータフォーマット 10のヘッダ部 11に、送信元アド レスに相当する Sourceアドレス 12と送信先アドレス（受信側アドレス）に相当する
Destinationアドレス 13とが含まれている。
[0059] 通信監視装置 4は、送信された値の数若しくはパケット数と、 Sourceアドレス 12の件 数とを監視する。
[0060] 例えば、通常の送受信を想定した場合、送信元コンピュータ 2から受信側コンビュ ータ 3に送信される値の数は 1件であり、例え、他の送信側コンピュータ（図示せず） 力 略同時期に他の通信が受信側コンピュータ 3に送信されたとしても、その値の数 と Sourceアドレス 12とは 1対 1で比例して増える。
[0061] また、例えば、特定の通常の通信が偶然大容量となることがあり得る。この場合、従 来の通信量に基づく検知では、その量だけを問題として、不正であると誤って判断さ れることがある。
[0062] この問題は、多くの通信が集まる人気のあるコンテンツを運用するサーバでは特に 顕著な問題となり、通常の通信と (D)DoS攻撃を識別することが非常に困難となる。
[0063] このような場合、メール監視装置 4では、図 2 (B)のピーク P1に示すように、通信量 としては通常の通信量よりも多い件数のパケットが送信されてきた判定する。
[0064] しかしながら、各パケットの Sourceアドレス 12は共通、あるいは特定のグループで占 められることから、そのパケットを正式に受信する。尚、カテゴリ数が所定数以内であ つた場合 (例えば、 10件未満）に、その受信を許容するようにしても良い。
[0065] 一方、実際には 1台の送信側コンピュータ 2から送信されたパケットでありながら、送 信元アドレス（Sourceアドレス 12)をランダムに偽装して大量のパケットを受信側コンビ ユータ 3に送信してきた場合、通信監視装置 4では、図 2 (B)及び図 2 (C)のピーク P2 , P3に示すように、通信量 (若しくはパケット数)が通常の通信の送受信のときよりも 多くなると同時に、その各パケットの Sourceアドレス 12も略同時期に増大することにな る。
[0066] 従って、通信量 (若しくはパケット数)が所定数 (例えば、 100件)を越えた際、
Sourceアドレス 12の数も略同時期に所定数 (例えば、 90件)若しくは所定率 (例えば 、パケットの数に対して 90%)を超えた場合には、その受信を拒否する。
[0067] 尚、このような一斉同時送信に対応した一定時間内に送信されてきた通信の件数（ 若しくはパケット数)の所定数並びに Sourceアドレス数の所定数の設定は、サーバー の処理能力やネットワークの容量に応じたり、受信側コンピュータ 3の所有者の業種 等に応じたりして設定することができる。
[0068] 例えば、受信側コンピュータ 3の所有者の業種力インターネット検索サービスゃチケ ット販売等であった場合、多くの人の検索要求や人気のある旅行プランやイベント内 容に対するアクセスが殺到するといつたことが想定される。
[0069] 従って、これらの業種等では、日常的に通信量も多いことが想定できるため、その 平均的な受信件数を考慮して所定値 (件数等)を設定すればょ ヽ。
[0070] また、このようなアクセスが殺到した場合であっても、（D)DoS攻撃に相当するような 全く同じ時間（瞬間的）に大量の情報が送信されてくることは想定されるが、判定のた めの一定時間の設定を短くするといつた設定変更でも対応は可能である。
[0071] また、不正攻撃元探索もできる。
[0072] また、特定のサーバが近隣にない、ネットワークの中間点であっても判定された不 正攻撃先を割りだすことができる。（請求項 9)

Claims

請求の範囲
[1] インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値 の数を監視し、該フールドの値の数が一定時間内で所定数、若しくは所定率に達し た場合には不正攻撃が行われていると判定することを特徴とする不正情報検知シス テム。
[2] 前記フィールド値の値の数とパケット数を監視することを特徴とする請求項 1記載の 不正情報検知システム。
[3] 前期フィールドの値の数と通信量 (オクテット数 Zビット数)を監視することを特徴とす る請求項 1記載の不正情報検知システム。
[4] 前記フィールドの値は、複数のフィールドの組合せにより構成されていることを特徴と する請求項 1又は 2記載の不正情報検知システム。
[5] インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しく は特定のフィールドあるいはフィールドの組合せに該当するパケットの持つホップ数 が変化した場合に当該情報を不正情報と認定することを特徴とする請求項 1乃至 4の
V、ずれか 1項記載の不正情報検知システム。
[6] インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しく は特定のフィールドあるいはフィールドの組合せに該当するパケットの持つホップ数 が変化した場合に当該情報を不正情報と認定することを特徴とする不正情報検知シ ステム。
[7] インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値 の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達 した場合には不正攻撃が行われて 、ると判定し、
インターネットの複数個所で前記フィールドの値の数を監視することにより不正な送 信元を探索するようにしたことを特徴とする不正攻撃元探索システム。
[8] 前記フィールドの値は、ヘッダ内の複数のフィールドの個々の組合せにより構成され ていることを特徴とする請求項 7記載の不正攻撃元探索システム。
[9] インターネット回線上における、前記情報のホップ数が所定の値となった場合、若しく は特定のフィールドあるいはフィールドの組み合わせに該当するパケットの持つホッ プ数が変化した場合に当該情報を不正情報と認定することを特徴とする請求項 8記 載の不正攻撃元探索システム。
PCT/JP2005/001524 2004-02-02 2005-02-02 不正情報検知システム及び不正攻撃元探索システム WO2005074215A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US10/588,188 US8020205B2 (en) 2004-02-02 2005-02-02 Unauthorized information detection system and unauthorized attack source search system

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
JP2004025015 2004-02-02
JP2004-025015 2004-02-02
JP2004-267519 2004-09-14
JP2004267519 2004-09-14
JP2004307953A JP4484663B2 (ja) 2004-02-02 2004-10-22 不正情報検知システム及び不正攻撃元探索システム
JP2004-307953 2004-10-22

Publications (1)

Publication Number Publication Date
WO2005074215A1 true WO2005074215A1 (ja) 2005-08-11

Family

ID=34830975

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/001524 WO2005074215A1 (ja) 2004-02-02 2005-02-02 不正情報検知システム及び不正攻撃元探索システム

Country Status (3)

Country Link
US (1) US8020205B2 (ja)
JP (1) JP4484663B2 (ja)
WO (1) WO2005074215A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007081023A1 (ja) * 2006-01-16 2007-07-19 Cyber Solutions Inc. トラヒック分析診断装置及びトラヒック分析診断システム並びにトラヒック追跡システム
JP2008136012A (ja) * 2006-11-29 2008-06-12 Alaxala Networks Corp トラヒック分析装置および分析方法
JP2009044665A (ja) * 2007-08-10 2009-02-26 Fujitsu Ltd 通信装置を制御するプログラム及び通信装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005227824A (ja) * 2004-02-10 2005-08-25 Matsushita Electric Works Ltd 機器監視制御装置及び機器監視制御方法
JP4557815B2 (ja) * 2005-06-13 2010-10-06 富士通株式会社 中継装置および中継システム
US7624447B1 (en) * 2005-09-08 2009-11-24 Cisco Technology, Inc. Using threshold lists for worm detection
US7738377B1 (en) * 2006-05-22 2010-06-15 At&T Intellectual Property Ii, L.P. Method and apparatus for volumetric thresholding and alarming on internet protocol traffic
JP4764810B2 (ja) * 2006-12-14 2011-09-07 富士通株式会社 異常トラヒック監視装置、エントリ管理装置およびネットワークシステム
CN101803305B (zh) * 2007-09-28 2014-06-11 日本电信电话株式会社 网络监视装置、网络监视方法
JP4909875B2 (ja) * 2007-11-27 2012-04-04 アラクサラネットワークス株式会社 パケット中継装置
CN101686235B (zh) * 2008-09-26 2013-04-24 北京神州绿盟信息安全科技股份有限公司 网络异常流量分析设备和方法
US20100208631A1 (en) * 2009-02-17 2010-08-19 The Regents Of The University Of California Inaudible methods, apparatus and systems for jointly transmitting and processing, analog-digital information
JP5648639B2 (ja) 2009-09-10 2015-01-07 日本電気株式会社 中継制御装置、中継制御システム、中継制御方法及び中継制御プログラム
JP5668034B2 (ja) 2012-09-04 2015-02-12 ビッグローブ株式会社 電子メール監視装置、送信メールサーバ、電子メール監視方法およびプログラム
US9386030B2 (en) * 2012-09-18 2016-07-05 Vencore Labs, Inc. System and method for correlating historical attacks with diverse indicators to generate indicator profiles for detecting and predicting future network attacks
US9338098B2 (en) * 2012-12-13 2016-05-10 Cellco Partnership Dynamic flow management at a firewall based on error messages
US9591022B2 (en) 2014-12-17 2017-03-07 The Boeing Company Computer defenses and counterattacks
RU2704741C2 (ru) * 2018-03-16 2019-10-30 Федеральное государственное автономное образовательное учреждение дополнительного профессионального образования "Центр реализации государственной образовательной политики и информационных технологий" СПОСОБ ЗАЩИТЫ ОТ DDoS-АТАК НА ОСНОВЕ КЛАССИФИКАЦИИ ТРАФИКА
US20230100792A1 (en) * 2021-09-24 2023-03-30 Qualcomm Incorporated Techniques for misbehavior detection in wireless communications systems

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001088731A1 (en) * 2000-05-12 2001-11-22 Niksun, Inc. Security camera for a network
JP2002252654A (ja) * 2001-02-23 2002-09-06 Mitsubishi Electric Corp 侵入検出装置およびシステムならびにルータ
JP2003283571A (ja) * 2002-03-20 2003-10-03 Nippon Telegr & Teleph Corp <Ntt> サービス不能攻撃の防御方法および装置ならびにそのコンピュータプログラム
JP2004140524A (ja) * 2002-10-16 2004-05-13 Sony Corp ＤｏＳ攻撃検知方法、ＤｏＳ攻撃検知装置及びプログラム
JP2005086452A (ja) * 2003-09-08 2005-03-31 Matsushita Electric Ind Co Ltd ネットワーク機器の接続制御方法及び接続制御プログラム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002124996A (ja) 2000-10-13 2002-04-26 Yoshimi Baba 高速パケット取得エンジン・セキュリティ
JP3584877B2 (ja) 2000-12-05 2004-11-04 日本電気株式会社 パケット転送制御装置、パケット転送制御方法およびパケット転送制御システム
US20040085906A1 (en) 2001-04-27 2004-05-06 Hisamichi Ohtani Packet tracing system
US7448084B1 (en) * 2002-01-25 2008-11-04 The Trustees Of Columbia University In The City Of New York System and methods for detecting intrusions in a computer system by monitoring operating system registry accesses
JP3892322B2 (ja) 2002-03-04 2007-03-14 三菱電機株式会社 不正アクセス経路解析システム及び不正アクセス経路解析方法
US7313092B2 (en) * 2002-09-30 2007-12-25 Lucent Technologies Inc. Apparatus and method for an overload control procedure against denial of service attack
US7681235B2 (en) * 2003-05-19 2010-03-16 Radware Ltd. Dynamic network protection
US7526807B2 (en) * 2003-11-26 2009-04-28 Alcatel-Lucent Usa Inc. Distributed architecture for statistical overload control against distributed denial of service attacks
US7478429B2 (en) * 2004-10-01 2009-01-13 Prolexic Technologies, Inc. Network overload detection and mitigation system and method

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001088731A1 (en) * 2000-05-12 2001-11-22 Niksun, Inc. Security camera for a network
JP2002252654A (ja) * 2001-02-23 2002-09-06 Mitsubishi Electric Corp 侵入検出装置およびシステムならびにルータ
JP2003283571A (ja) * 2002-03-20 2003-10-03 Nippon Telegr & Teleph Corp <Ntt> サービス不能攻撃の防御方法および装置ならびにそのコンピュータプログラム
JP2004140524A (ja) * 2002-10-16 2004-05-13 Sony Corp ＤｏＳ攻撃検知方法、ＤｏＳ攻撃検知装置及びプログラム
JP2005086452A (ja) * 2003-09-08 2005-03-31 Matsushita Electric Ind Co Ltd ネットワーク機器の接続制御方法及び接続制御プログラム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
OIKAWA T. ET AL: "Network anomaly Detection using Statistical clustering Method", TECHICAL REPORT OF IEICE IN 2002-87, 24 September 2002 (2002-09-24), pages 83 - 88, XP002998228 *
PENG T. ET AL: "Protection form Distributed Denial of Service Attacks Using History-based IP Filtering", ICC'03, vol. 1, 11 May 2003 (2003-05-11) - 15 May 2003 (2003-05-15), pages 482 - 486, XP010642796 *
TAKEI Y. ET AL: "A Intrusion Detection and Trace using the Traffic Pattern", TECHNICAL REPORT OF IEICE IN99-75, 18 November 1999 (1999-11-18), pages 37 - 42, XP002952666 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007081023A1 (ja) * 2006-01-16 2007-07-19 Cyber Solutions Inc. トラヒック分析診断装置及びトラヒック分析診断システム並びにトラヒック追跡システム
JP5015014B2 (ja) * 2006-01-16 2012-08-29 株式会社サイバー・ソリューションズ トラヒック分析診断装置及びトラヒック分析診断システム並びにトラヒック追跡システム
US8689326B2 (en) 2006-01-16 2014-04-01 Cyber Solutions Inc. Device for analyzing and diagnosing network traffic, a system for analyzing and diagnosing network traffic, and a system for tracing network traffic
JP2008136012A (ja) * 2006-11-29 2008-06-12 Alaxala Networks Corp トラヒック分析装置および分析方法
JP4734223B2 (ja) * 2006-11-29 2011-07-27 アラクサラネットワークス株式会社 トラヒック分析装置および分析方法
JP2009044665A (ja) * 2007-08-10 2009-02-26 Fujitsu Ltd 通信装置を制御するプログラム及び通信装置

Also Published As

Publication number Publication date
JP4484663B2 (ja) 2010-06-16
JP2006115432A (ja) 2006-04-27
US8020205B2 (en) 2011-09-13
US20080016562A1 (en) 2008-01-17

Similar Documents

Publication Publication Date Title
WO2005074215A1 (ja) 不正情報検知システム及び不正攻撃元探索システム
US8201252B2 (en) Methods and devices for providing distributed, adaptive IP filtering against distributed denial of service attacks
Ganesh Kumar et al. Improved network traffic by attacking denial of service to protect resource using Z-test based 4-tier geomark traceback (Z4TGT)
Pham et al. Detecting colluding blackhole and greyhole attacks in delay tolerant networks
US7921462B2 (en) Identifying a distributed denial of service (DDOS) attack within a network and defending against such an attack
US7331060B1 (en) Dynamic DoS flooding protection
EP1393194B1 (en) Weighted fair queuing-based methods and apparatus for protecting against overload conditions on nodes of a distributed network
JP2006115432A5 (ja)
JP5015014B2 (ja) トラヒック分析診断装置及びトラヒック分析診断システム並びにトラヒック追跡システム
US20060130147A1 (en) Method and system for detecting and stopping illegitimate communication attempts on the internet
KR20130014226A (ko) 공격 트래픽 형태별 특성에 따른 ｄｎｓ 플러딩 공격 탐지 방법
WO2008148106A1 (en) Proactive test-based differentiation method and system to mitigate low rate dos attacks
Mansfield et al. Towards trapping wily intruders in the large
CN109951459A (zh) 一种基于局域网的arp欺骗攻击检测方法
Thamilarasu et al. A cross-layer approach to detect jamming attacks in wireless ad hoc networks
Chang et al. P2P botnet detection using behavior clustering & statistical tests
CN102026199B (zh) 一种WiMAX系统及其防御DDoS攻击的装置和方法
Liu et al. TrustGuard: A flow-level reputation-based DDoS defense system
Song et al. Flow-based statistical aggregation schemes for network anomaly detection
JP2004140524A (ja) ＤｏＳ攻撃検知方法、ＤｏＳ攻撃検知装置及びプログラム
Farooq et al. Systematic analysis of DoS attacks in wireless sensor networks with wormhole injection
JP4914468B2 (ja) 不正情報検知システム及び不正攻撃元探索システム
Xiang et al. A defense system against DDOS attacks by large-scale IP traceback
Al-Duwairi et al. Distributed packet pairing for reflector based DDoS attack mitigation
Kuriakose et al. Effective defending against flood attack using stream-check method in tolerant network

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
DPEN Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed from 20040101)
NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Ref document number: DE

WWE Wipo information: entry into national phase

Ref document number: 1024/MUMNP/2006

Country of ref document: IN

122 Ep: pct application non-entry in european phase
WWE Wipo information: entry into national phase

Ref document number: 10588188

Country of ref document: US

WWP Wipo information: published in national office

Ref document number: 10588188

Country of ref document: US