WO2009139170A1 - 攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびｉｐ通信装置 - Google Patents

攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびｉｐ通信装置 Download PDF

Info

Publication number
WO2009139170A1
WO2009139170A1 PCT/JP2009/002111 JP2009002111W WO2009139170A1 WO 2009139170 A1 WO2009139170 A1 WO 2009139170A1 JP 2009002111 W JP2009002111 W JP 2009002111W WO 2009139170 A1 WO2009139170 A1 WO 2009139170A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
attack
information
unit
packets
Prior art date
Application number
PCT/JP2009/002111
Other languages
English (en)
French (fr)
Inventor
海老名明弘
辻敦宏
Original Assignee
パナソニック株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック株式会社 filed Critical パナソニック株式会社
Priority to JP2010511890A priority Critical patent/JPWO2009139170A1/ja
Priority to US12/992,700 priority patent/US20110066896A1/en
Publication of WO2009139170A1 publication Critical patent/WO2009139170A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/382—Information transfer, e.g. on bus using universal interface adapter
    • G06F13/385—Information transfer, e.g. on bus using universal interface adapter for adaptation of a particular data processing system to different peripheral devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2213/00—Indexing scheme relating to interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F2213/38—Universal adapter
    • G06F2213/3808—Network interface controller

Definitions

  • the present invention relates to an attack packet detection device and an attack packet detection method for detecting a high load attack on a communication system such as a DoS attack (Denial of Service attack).
  • a DoS attack Delivery of Service attack
  • ICMP Internet Control Message Protocol
  • a device that receives and processes a TCP packet is provided with a buffer that temporarily holds the received TCP packet before processing, and when the buffer is full, a method of discarding all TCP packets in the buffer (conventional method) There is a first method) (see, for example, Patent Document 1).
  • This method prevents the overflow of the reconfiguration memory for rearranging the TCP packets whose arrival order does not necessarily match the data order, and protects the processing system of the device.
  • the device can preferentially process the packet that should be processed originally, and a reduction in processing efficiency due to the DoS attack is suppressed.
  • the packet corresponding to the information registered in advance as a malicious packet is processed according to the method. Is treated as low.
  • the present invention has been made in consideration of the above-described conventional problems, and an object thereof is to provide an attack packet detection device, an attack packet detection method, and the like that efficiently prevent an attack caused by transmission of a large number of packets.
  • an attack packet detection apparatus includes a receiving unit that receives a packet, a packet buffer that stores a packet received by the receiving unit, and a packet that is stored in the packet buffer.
  • An attack packet detection device comprising a transfer unit for transferring to a main memory, wherein the attack detection unit detects an attack caused by transmission of a large number of packets based on an accumulated amount of packets in the packet buffer; and A storage unit for storing attack packet information in which information for identifying an attack packet, which is a packet used for an attack by transmission, is registered, and when the attack is detected by the attack detection unit, the packet is stored in the packet buffer
  • An update unit that updates the attack packet information using information obtained from the packet, and the reception unit Received packet, if applicable to the information shown in the attack packet information updated by the updating unit, the packet, and a discard discarding unit before the packet is forwarded to the main memory.
  • the attack packet detection device of the present invention can update the attack packet information for specifying the attack packet with information obtained from the actually received packet.
  • the attack is detected based on the accumulated amount of the packet buffer, and after the detection, a plurality of packets used for the attack are detected. Attack packets are discarded without being transferred to the main memory. A packet to be processed that is not an attack packet is transferred to the main memory without being discarded.
  • the attack packet detection apparatus of the present invention can autonomously update the attack packet information in accordance with the reality, and can discard the malicious packet based on the updated attack packet information. That is, it is possible to efficiently defend against attacks caused by the transmission of a large number of packets.
  • the updating unit acquires attribute information from each of a plurality of packets stored in the packet buffer, integrates the number or size of packets having the same attribute information, and the integration result is equal to or greater than a predetermined threshold value.
  • the attack packet information is updated by adding the attribute information to the attack packet information
  • the discarding unit updates the attack packet information in which the attribute information of the packet received by the receiving unit is updated by the updating unit. The packet may be discarded.
  • the packet having the header information can be regarded as an attack packet and discarded. it can.
  • the update unit includes statistical information for recording header information, which is attribute information of each packet accumulated in the packet buffer, and a cumulative number or cumulative size of packets for each header information, and the attack When the attack is detected by the determination unit, the header information of the packet stored in the packet buffer is read. (A) When the read header information is not included in the statistical information, the header information entry is read. In addition to the statistical information, (b) when the read header information is included in the statistical information, 1 or the size of the packet is added to the cumulative number or the cumulative size corresponding to the header information, and the statistical information Header information corresponding to the cumulative number or cumulative size greater than or equal to the predetermined threshold value shown in the attack packet information It may update the attack packet information by adding.
  • the update unit obtains attribute information from each of a plurality of packets accumulated in the packet buffer, calculates an accumulation number per unit time or an increase in accumulation capacity of packets having the same attribute information, and When the calculation result is equal to or greater than a predetermined threshold, the attack packet information is updated by adding information indicating the attribute to the attack packet information, and the discard unit is an attribute obtained from the packet received by the reception unit When the information is included in the attack packet information updated by the update unit, the packet may be discarded.
  • the packet having the header information may be regarded as an attack packet. Thereby, for example, when a large number of packets are instantaneously transmitted, occurrence of damage due to the attack is suppressed.
  • an attack pattern which is information for identifying the attack packet
  • the update unit receives information obtained from the packet stored in the packet buffer as the attack packet.
  • the attack packet information is updated by recording information indicating that the attack pattern is valid in the attack packet information, and the discard unit is a valid that is indicated in the attack packet information.
  • the packet corresponding to the attack pattern may be discarded.
  • This also efficiently determines whether or not the received packet is an attack packet and discards the attack packet.
  • the attack packet detection device of the present invention further compares the attack packet information updated by the update unit with the packet received by the reception unit, and the packet does not correspond to the information indicated in the attack packet information.
  • the packet may be discarded before being transmitted to the buffer, and the packet buffer may accumulate the packet transmitted from the comparison unit.
  • the attack detection unit detects the attack by detecting that the amount of packets accumulated in the packet buffer or the amount of increase in the accumulated amount per unit time exceeds a predetermined threshold. It may be detected.
  • the transfer unit when the transfer unit receives a change in transfer rate that is the number of packets stored in the packet buffer per unit time to the main memory, the transfer unit stores the packet in the packet buffer at the changed transfer rate.
  • the packet may be forwarded.
  • the attack detection unit may detect the attack by detecting an overflow of the packet buffer due to an amount of packets accumulated in the packet buffer exceeding the predetermined threshold.
  • the attack detection unit can detect an attack by receiving an overflow signal emitted from, for example, a packet buffer.
  • the video reception device of the present invention is a video reception device that receives video data and displays the video indicated by the received video data on a display device, the attack packet detection device of the present invention, and the attack packet detection A display control unit configured to read a packet transferred from the main memory by the device from the main memory and display a video included in the read packet on the display device;
  • the content recording device of the present invention is a content recording device that receives content data including at least one of video data and audio data, and records the received content data, the attack packet detecting device of the present invention, And a recording unit that reads content data composed of a plurality of packets transferred to the main memory by the attack packet detection device from the main memory and records the content data on a recording medium.
  • the IP (Internet Protocol) communication device of the present invention is an IP communication device that performs IP communication, and includes an attack packet detection device of the present invention and a plurality of packets transferred to the main memory by the attack packet detection device.
  • a packet processing unit that reads and processes the signal from the main memory, generates a signal including at least one of a video signal and an audio signal, and an output unit that outputs the signal generated by the packet processing unit to an external device. Prepare.
  • the present invention can also be realized as a network such as a video reception device provided with the attack packet detection device of the present invention.
  • the present invention can be realized as an attack packet detection method using steps of characteristic components of the attack packet detection device of the present invention as a step, or as a program for causing a computer to execute these steps. It can also be realized as a recording medium on which the program is recorded.
  • the program can be distributed via a transmission medium such as the Internet or a recording medium such as a DVD.
  • attack packet information for identifying the attack packet can be updated using information obtained from the received packet. For this reason, it is possible to efficiently and accurately select a packet to be discarded and a packet to be transferred to the main memory.
  • the present invention can provide an attack packet detection device, an attack packet detection method, and the like that efficiently prevent an attack caused by transmission of a large number of packets.
  • FIG. 1 is a block diagram illustrating a configuration of a network interface according to the first embodiment.
  • FIG. 2 is a flowchart illustrating an example of a processing flow when the network interface according to the first embodiment updates the attack packet table.
  • FIG. 3 is a diagram illustrating an example of a data configuration of statistical information in the first embodiment.
  • FIG. 4A is a diagram illustrating a first example of the data configuration of the attack packet table in the first embodiment
  • FIG. 4B illustrates a second example of the data configuration of the attack packet table.
  • FIG. 4C is a diagram illustrating a third example of the data structure of the attack packet table.
  • FIG. 5 is a diagram showing another example of the data structure of statistical information in the first embodiment.
  • FIG. 6 is a block diagram showing the configuration of the network interface in the second embodiment.
  • FIG. 7A is a diagram illustrating a first example of the data configuration of the attack packet table in the second embodiment
  • FIG. 7B illustrates a second example of the data configuration of the attack packet table.
  • FIG. 8 is a flowchart illustrating an example of a processing flow when the network interface according to the second embodiment updates the attack packet table.
  • FIG. 9 is a block diagram showing the configuration of the network interface in the third embodiment.
  • FIG. 10 is a block diagram illustrating a main configuration of a video reception apparatus including a network interface according to the first embodiment.
  • FIG. 11 is a block diagram illustrating a main configuration of a content recording apparatus including the network interface according to the first embodiment.
  • FIG. 12 is a block diagram illustrating a main configuration of an IP communication apparatus including the network interface according to the first embodiment.
  • FIG. 1 is a block diagram showing the configuration of the network interface 101 in the first embodiment.
  • the network interface 101 is an example of an attack packet detection device of the present invention.
  • the network interface 101 is a device that has a packet buffer 105 for storing received packets and transfers the packets stored in the packet buffer 105 to the main memory 102.
  • the main memory 102 is a storage medium such as a DRAM (Dynamic Random Access Memory) provided in a network device provided with the network interface 101, for example.
  • the network device reads packets from the main memory 102 and performs processing such as rearrangement.
  • the attack packet detection device of the present invention may include the main memory 102.
  • the network device provided with the attack packet detection device reads packets from the main memory 102 provided in the attack packet detection device, and performs processing such as rearrangement.
  • the network interface 101 is configured by hardware and has a function of transferring a packet received from the network to the main memory 102.
  • the network interface 101 includes a packet storage unit 103 that receives a packet sent from the network, and a table storage unit that stores an attack packet table 109 in which information for identifying an attack packet used for a DoS attack is registered. 110, a packet received by the packet receiver 103 (hereinafter also referred to as “received packet”) and information registered in the attack packet table 109, a packet for temporarily buffering the received packet.
  • the buffer 105, the transfer unit 106 that transfers the packet stored in the packet buffer 105 to the main memory 102, and the attack that detects a DoS attack that is an attack caused by the transmission of a large number of packets based on the amount of packets stored in the packet buffer 105
  • Detector 107, Beauty if the attack detection section 107 DoS attack is detected, comprises an update unit 108 for updating the attack packets table 109 using information obtained from the packet stored in the packet buffer 105.
  • the attack detection unit 107 detects that the accumulated amount of packets accumulated in the packet buffer 105 or the increase amount per unit time of the accumulated amount exceeds a predetermined threshold. Detects DoS attacks.
  • the attack detection unit 107 detects a DoS attack by detecting an overflow of the packet buffer 105 due to the amount of accumulated packets exceeding the threshold value.
  • the update unit 108 has statistical information 111 indicating statistical results for a plurality of received packets.
  • the update unit 108 updates the attack packet table 109 using the statistical information 111.
  • the statistical information 111 will be described later with reference to FIG. 3, and the attack packet table 109 will be described later with reference to FIGS. 4 (A), 4 (B), and 4 (C).
  • the attack packet table 109 is a first example of attack packet information in the attack packet detection device of the present invention.
  • the attack packet table 109 is stored in the table storage unit 110 as shown in FIG.
  • the table storage unit 110 is realized by a non-volatile recording medium such as an HDD (Hard Disk Drive) or an EEPROM (Electrically Erasable and Programmable Read Only Memory).
  • a non-volatile recording medium such as an HDD (Hard Disk Drive) or an EEPROM (Electrically Erasable and Programmable Read Only Memory).
  • the network interface 101 has a discard unit 104a.
  • the discarding unit 104a discards the received packet.
  • the comparing unit 104 transfers the received packet to the packet buffer 105.
  • the packet buffer 105 is a memory having a function such as FIFO (First In, First Out).
  • the comparison unit 104 inputs a packet to the packet buffer 105, and the transfer unit 106 performs a process of extracting the packet from the packet buffer 105.
  • the attack detection unit 107 receives an overflow signal from the packet buffer 105 and detects that the packet buffer 105 has overflowed. Thereby, the attack detection unit 107 detects a DoS attack.
  • the network interface 101 includes the comparison unit 104.
  • the comparison unit 104 has a function of detecting the attack packet by comparing the information identifying the attack packet shown in the attack packet table 109 with the received packet, and selectively according to the contents of the attack packet table 109. 2 has a function of transferring the received packet to the packet buffer 105.
  • the comparison unit 104 has a function of discarding a packet determined to be an attack packet by including the discard unit 104a.
  • the network interface 101 includes an attack detection unit 107 that detects a DoS attack based on the amount of packets stored in the packet buffer 105.
  • the attack detection unit 107 detects a DoS attack by detecting that the packet buffer 105 has overflowed.
  • the network interface 101 updates the attack packet table 109 using information obtained from packets stored in the packet buffer 105 when a DoS attack is detected by the attack detection unit 107. 108.
  • FIG. 2 is a flowchart showing an example of the flow of processing when the network interface 101 in the first embodiment updates the attack packet table 109.
  • the attack detection unit 107 detects a DoS attack by detecting an overflow of the packet buffer 105 (S200).
  • the attack detection unit 107 transmits a predetermined signal to the update unit 108 when a DoS attack is detected.
  • the update unit 108 that has received the signal selects the first packet stored in the packet buffer 105 (S201). Further, in order to obtain information on the packet stored in the packet buffer 105, the header analysis of the selected packet is performed (S202).
  • the update unit 108 obtains information necessary for determining an attack packet such as a source MAC (Media Access Control) address, a protocol type, and destination port information in the Ether frame header.
  • MAC Media Access Control
  • the update unit 108 determines whether or not the packet is a packet to be newly registered in the statistical information 111 (S203).
  • the update unit 108 sets a set of information including the source address and the like as the analysis result Is registered in the statistical information 111 as a new entry (S204).
  • the updating unit 108 adds 1 to the number in the column of the number of corresponding entries (S205). Thereby, the number of packets having the same header information is integrated.
  • the update unit 108 determines whether the next packet is input in the packet buffer 105 (S206).
  • the update unit 108 selects the next packet (S207), and confirms the presence / absence of the next packet from the packet analysis processing (S202). The process up to the process (S206) is performed again.
  • the update unit 108 checks whether or not there is an entry in the statistical information 111 in which the number equal to or greater than the threshold is recorded.
  • the updating unit 108 determines that the packet corresponding to the entry is an attack packet, and registers the entry including the transmission source address and the like in the attack packet table 109 ( S208).
  • the update unit 108 performs packet analysis in order from the first packet in the packet buffer 105. However, if information such as the type of packet stored in the packet buffer 105 can be acquired, analysis may be performed in a random order.
  • the update unit 108 acquires the transmission source address, the protocol type, and the destination port from one Ether frame header in the packet analysis process (S202), and registers them as one entry in the statistical information 111.
  • the header information acquired in the packet analysis process is not limited to these parameters, and an arbitrary parameter may be acquired and used to determine whether registration with the statistical information 111 is necessary (S203). Furthermore, the acquired parameters may be registered as one entry in the statistical information 111.
  • the threshold used when specifying an entry to be registered in the attack packet table 109 from the entries included in the statistical information 111 is, for example, a nonvolatile record such as the table storage unit 110 provided in the network interface 101 It may be recorded on a medium.
  • a configuration may be adopted in which a host using the network interface 101 can set the threshold value.
  • FIG. 3 is a diagram illustrating an example of a data configuration of the statistical information 111 according to the first embodiment.
  • the statistical information 111 is a table used in the above-described various processes (S203 to S205 and S208).
  • the header information for each packet of the same kind when the analysis of all the packets in the packet buffer 105 is completed is recorded.
  • the statistical information 111 includes header information obtained by packet analysis processing (S202), an ID for identifying each entry, and how many packets corresponding to each entry have been input to the packet buffer 105. It consists of items that record.
  • the updating unit 108 refers to the statistical information 111 and identifies a001 that is an entry corresponding to the condition that the number in the “number” column is 50 or more.
  • the update unit 108 registers the entry a001 in the attack packet table 109 so that the packet transmitted by the ICMP protocol from the transmission source MAC address “xx-xx-xx-xx-xx-xx” is discarded. .
  • FIG. 4A is a diagram illustrating a first example of the data configuration of the attack packet table 109 according to the first embodiment
  • FIG. 4B is a diagram illustrating the data configuration of the attack packet table 109 according to the first embodiment
  • FIG. 4C is a diagram illustrating a second example
  • FIG. 4C is a diagram illustrating a third example of the data configuration of the attack packet table 109 according to the first embodiment.
  • the update unit 108 performs the packet analysis described above, and performs processing such as adding an entry to the statistical information 111 and adding the number of pieces.
  • each entry is recorded in the statistical information 111. If the threshold for the number is “50”, the update unit 108 reads the entries from the statistical information 111 to a001 from the statistical information 111, and, as shown in FIG. Register with.
  • the entry of a003 is read from the statistical information 111 and registered in the attack packet table 109.
  • the update unit 108 in this embodiment identifies an entry to be registered in the attack packet table 109 from the entries recorded in the statistical information 111 by processing using the statistical information 111 and the threshold value. To do. Further, the contents of the specified entry are registered in the attack packet table 109.
  • the attack packet table 109 is updated. Specifically, the update unit 108 adds information identifying the attack packet to the attack packet table 109.
  • the comparison unit 104 refers to the attack packet table 109 updated by the update unit 108, and transmits the source MAC address of each entry registered in the attack packet table 109, the header information of the packet received by the packet reception unit 103, and the like. Compare Thus, the received packet corresponding to the attack packet, that is, the attack packet that is a packet to be discarded is specified.
  • the discard unit 104a discards the identified attack packet.
  • the network interface 101 when the network interface 101 according to the present embodiment detects a DoS attack, the network interface 101 updates the attack packet table 109 using information obtained from the packets stored in the packet buffer 105. Further, the attack packet is identified from the plurality of received packets by comparing the updated attack packet table 109 with the received packet.
  • the network interface 101 further discards the received packet identified as the attack packet without transferring it to the main memory 102.
  • received packets other than the received packet identified as the attack packet are temporarily stored in the packet buffer 105 and then transferred to the main memory 102. That is, the received packet to be processed is appropriately processed.
  • the network interface 101 autonomously updates the attack packet table 109 and efficiently selects a packet to be discarded and a packet to be transferred to the main memory 102.
  • attack packet is discarded inside the network interface 101, processing such as interruption to a CPU (Central Processing Unit) of a network device including the network interface 101 can be reduced.
  • CPU Central Processing Unit
  • attack packets received while the packet buffer 105 overflows are discarded inside the network interface 101. Therefore, the network device can perform processing on the packet transferred to the main memory 102 without performing substantial processing on the attack packet.
  • the network interface 101 can perform efficient attack avoidance without increasing the CPU load of the network device that reads and processes the packet from the main memory 102.
  • the statistical information 111 is included in the update unit 108.
  • the statistical information 111 may be recorded on a nonvolatile recording medium such as the table storage unit 110 included in the network interface 101, for example.
  • the updating unit 108 records the number of packets having the same header information in the statistical information 111 for each header information (see FIG. 3). That is, the update unit 108 adds up the number of packets having the same header information. However, the update unit 108 may integrate the sizes of packets having the same header information.
  • the “number” column of each entry in the statistical information 111 shown in FIG. 3 is changed to “size”. Also, the update unit 108 acquires the size of each packet in the packet buffer 105 and adds the size of the corresponding packet to the “size” column of each entry. Thus, the cumulative size for each header information is recorded in the “size” column of each entry.
  • the updating unit 108 compares a predetermined size that is a threshold value with the cumulative size of each entry recorded in the statistical information 111, and identifies an entry that indicates a cumulative size that is equal to or greater than the threshold value.
  • the source MAC address or the like in the specified entry is added to the attack packet table 109. Thereby, the attack packet table 109 is updated.
  • the amount may be the number or the size.
  • the update unit 108 may record the increase amount per unit time of the amount in the statistical information 111 instead of the amount of packets having the same header information.
  • FIG. 5 is a diagram illustrating another example of the data configuration of the statistical information 111 according to the first embodiment.
  • the accumulation speed which is the number of accumulation per unit time, is recorded for each header information.
  • the update unit 108 monitors the packet buffer 105, for example, and detects how many packets having the same header information are input to the packet buffer 105 within a unit time. Furthermore, the accumulation speed for each header information is obtained from the detection result.
  • the updating unit 108 may obtain the accumulation rate for each header information from the reception interval of two packets having the same header information, for example.
  • the update unit 108 When the update unit 108 records the accumulation rate for each header information in the statistical information 111 in this way, the update unit 108 identifies an entry indicating an accumulation rate equal to or higher than a predetermined threshold, and adds the identified entry to the attack packet table 109. Thereby, the attack packet table 109 is updated.
  • accumulation speed may be the accumulation size per unit time, not the number of accumulations per unit time.
  • the accumulation rate of packets having the same header information is high, it can be determined that the reception frequency of the packets is high. Therefore, whether or not the packet is an attack packet can be determined based on whether or not the accumulation rate is greater than a predetermined threshold.
  • the attack detection unit 107 detects a DoS attack by detecting that the packet buffer 105 has overflowed.
  • the attack detection unit 107 may detect a DoS attack by detecting that the amount of packets stored in the packet buffer 105 exceeds a predetermined threshold smaller than the capacity of the packet buffer 105.
  • the attack detection unit 107 may detect a DoS attack by detecting that the accumulated amount of the packet buffer 105 exceeds 80% of the accumulable capacity.
  • the threshold may be variable, and may be set in the attack detection unit 107 from outside the network interface 101.
  • the attack packet can be discarded, and the packet buffer 105 can be prevented from overflowing.
  • the packet buffer 105 when the capacity of the packet buffer 105 is relatively large, or when the number of packets per unit time that the transfer unit 106 transfers to the main memory 102 (hereinafter referred to as “transfer speed”) is relatively large, the packet When the buffer 105 is unlikely to overflow, the DoS attack can be reliably detected by lowering the threshold value.
  • the criterion for determining whether or not a DoS attack has been made is not limited to a specific criterion, and is appropriate depending on the capacity of the packet buffer 105 and the amount of packets that can be recognized as a DoS attack. Should be set.
  • the transfer speed of the transfer unit 106 may be fixed or variable.
  • the transfer speed may be determined by the bus bandwidth when transferring to the main memory 102.
  • the transfer unit 106 may receive a change in transfer rate from the outside of the network interface 101 and transfer the packet at the changed transfer rate.
  • the transfer rate of the transfer unit 106 when the transfer rate of the transfer unit 106 can be changed, it is possible to change the ease of occurrence of overflow of the packet buffer 105. Specifically, the packet buffer 105 is less likely to overflow as the transfer rate of the transfer unit 106 increases.
  • the packet buffer 105 is more likely to overflow.
  • the update unit 108 may determine the order of entries in the attack packet table 109 according to the cumulative number. That is, an entry with a larger cumulative number may be registered in the higher order in the attack packet table 109.
  • the comparison unit 104 when the comparison unit 104 is configured to compare each entry with the received packet in order from the entry on the attack packet table 109, it is determined whether the received packet is an attack packet. Can be performed efficiently.
  • the update unit 108 registers, in the attack packet table 109, an entry in which the number greater than or equal to the threshold is recorded in the statistical information 111 after the analysis of all the packets in the packet buffer 105 is completed. ing.
  • entries that have accumulated more than the threshold may be registered in the attack packet table 109.
  • the abandonment of the attack packet can be started without waiting for the completion of the analysis of all the packets in the packet buffer 105, and the defense against the DoS attack can be executed quickly.
  • each of the statistical information 111 and the attack packet table 109 may be initialized at an arbitrary timing as necessary. That is, you may delete the entry registered in each at arbitrary timings.
  • the attack packet table 109 may be initialized. Thereby, for example, the comparison process by the comparison unit 104 is made efficient.
  • each of the statistical information 111 and the attack packet table 109 may be initialized.
  • header information that has become unnecessary due to a change in the communication environment is prevented from being accumulated in the statistical information 111 and the attack packet table 109, and the processing of the update unit 108 and the comparison unit 104 is made efficient.
  • attack packet corresponding to an entry deleted from each of the statistical information 111 and the attack packet table 109 is transmitted after the deletion.
  • these attack packets pass through the comparison unit 104 until an attack is detected due to an overflow of the packet buffer 105 or the like.
  • the information for identifying the attack packet is registered again in the statistical information 111 and the attack packet table 109 after the attack is detected, no substantial problem occurs.
  • FIG. 6 is a block diagram illustrating a configuration of the network interface 201 according to the second embodiment.
  • the network interface 201 in the second embodiment is another example of the attack packet detection device of the present invention. As shown in FIG. 6, the network interface 201 has substantially the same configuration as the network interface 101 in the first embodiment shown in FIG.
  • the network interface 201 registers the attack pattern expected in the attack packet table 209 in advance and activates the registered attack pattern corresponding to the DoS attack when a DoS attack is detected. Thus, the received packet corresponding to the attack pattern is discarded, which is different from the network interface 101 in the first embodiment.
  • the table storage unit 110 stores an attack packet table 209 in which expected attack patterns are registered in advance.
  • the network interface 201 in the second embodiment does not need to hold the statistical information 111, unlike the updating unit 108 in the first embodiment, the network interface 201 does not have the statistical information 111.
  • FIG. 7A is a diagram illustrating a first example of the data configuration of the attack packet table 209 according to the second embodiment
  • FIG. 7B illustrates the data configuration of the attack packet table 209 according to the second embodiment. It is a figure which shows a 2nd example.
  • the attack packet table 209 is a second example of attack packet information in the attack packet detection device of the present invention, and is a table in which information indicating one or more preset attack patterns is registered.
  • the attack packet table 209 includes a plurality of entries. Each entry includes an ID for identifying each entry, an “pre-registered attack pattern” that is an item indicating an attack pattern for determining a DoS attack packet, and an item indicating whether or not the entry is valid. It has a certain “valid flag”.
  • header information for identifying attack packets such as a source MAC address is recorded as in the attack packet table 109 in the first embodiment.
  • the comparison unit 104 reads the information indicating the attack pattern from only the entry whose valid flag is “1”, and compares it with the header information of the received packet.
  • the valid flag is “0” in any entry.
  • the comparison unit 104 does not compare the received packet with the attack pattern registered in the attack packet table 209.
  • the attack packet table 209 shown in FIG. 7A is updated by the updating unit 208, for example, as shown in FIG. 7B, the validity flag of the entry whose ID is P001 is changed to “1”. Is assumed.
  • the comparison unit 104 compares information indicating the attack pattern indicated in the entry of P001 with the received packet.
  • the discard unit 104a discards the received packet.
  • the comparison unit 104 transfers the received packet to the packet buffer 105.
  • the packet transferred to the packet buffer 105 is transferred to the main memory 102.
  • the packet to be discarded is discarded, and the packet to be transferred to the main memory 102 is transferred to the main memory 102 Is done.
  • the method of registering prior information in the attack packet table 209 is not limited to a specific method.
  • information indicating an attack pattern may be registered in advance in the attack packet table 209 by the user.
  • the update unit 208 stores the received information in the attack packet table 209. You may register.
  • FIG. 8 is a flowchart showing an example of a processing flow when the network interface 201 in the second embodiment updates the attack packet table 209.
  • the attack detection unit 107 detects a DoS attack by detecting an overflow of the packet buffer 105 (S400).
  • the attack detection unit 107 transmits a predetermined signal to the update unit 208 when detecting a DoS attack.
  • the update unit 208 that has received the signal selects one entry whose valid flag is “0” from entries registered in advance in the attack packet table 209 (S401).
  • information indicating an attack pattern for identifying a DoS attack packet such as a source MAC address, a protocol type, and destination port information of an Ether frame header registered in the selected entry is acquired (S402).
  • the update unit 208 confirms whether or not a packet corresponding to the acquired information indicating the attack pattern exists in the packet buffer 105 (S403).
  • the update unit 208 changes the validity flag of the entry in the attack packet table 209 to “1” indicating validity (S404).
  • the update unit 208 checks whether there is a next entry in the attack packet table 209 whose valid flag is “0” (S405). If the next entry exists (“Yes” in S405), the entry is selected (S406). Thereafter, the process from the acquisition of information indicating the attack pattern (S402) to the confirmation process (S405) of the presence / absence of the next entry having the valid flag “0” is performed again.
  • the network interface 201 in the second embodiment holds the attack packet table 209 in which information for identifying attack packets is registered in advance.
  • the update unit 208 compares each packet in the packet buffer 105 with information indicating an attack pattern registered in advance in the attack packet table 209.
  • the attack packet table 209 is updated using information obtained from the packets stored in the packet buffer 105.
  • the network interface 201 according to the second embodiment should autonomously update the attack packet table 209 and transfer the packet to be discarded and the main memory 102 in the same manner as the network interface 101 according to the first embodiment. Efficiently sorts packets.
  • the comparison unit 104 only has to compare the received packet with only an entry having a valid flag “1” among a plurality of entries registered in the attack packet table 209. Thereby, the comparison unit 104 can efficiently and accurately determine whether or not the received packet is an attack packet.
  • the network interface 201 according to the second embodiment can efficiently prevent an attack caused by transmission of a large number of packets.
  • the information indicating the attack pattern registered in the attack packet table 209 is the source MAC address, protocol type, and destination port information of the Ether frame header.
  • the information indicating the attack pattern is not limited to these header information, and may be information included in other fields in the header portion of the packet.
  • information indicating the packet length may be included in the information indicating the attack pattern.
  • the information indicating the attack pattern is not limited to the header information, but information may be acquired from the data portion in various protocols and registered in the attack packet table 209 as information indicating the attack pattern. That is, information other than the header information may be used for the comparison process by the comparison unit 104.
  • the network interface 201 of the second embodiment it is possible to flexibly cope with a packet that cannot be analyzed by the network interface 201.
  • Embodiment 3 Next, Embodiment 3 will be described with reference to FIG.
  • the network interface 301 in the third embodiment is configured so that the processing performed by the update unit 108 in hardware in the network interface 101 in the first embodiment can be performed in the upper application layer.
  • processing such as updating of the attack packet table 109 by the updating unit 108 is performed by the CPU 302 of the network device provided with the network interface 301 in the third embodiment.
  • At least the network interface 301 and the CPU 302 constitute the attack packet detection device of the present invention.
  • FIG. 9 is a block diagram showing the configuration of the network interface 301 in the third embodiment.
  • the network interface 301 is a device that has a packet buffer 105 that stores received packets and transfers the packets stored in the packet buffer 105 to the main memory 102.
  • the attack detection unit 107 that notifies the interrupt generation unit 304 of the overflow
  • the attack detection An interrupt generation unit 304 that operates to generate an interrupt to the CPU 302 when notified by the unit 107
  • an I / C that provides a function that allows the CPU 302 to access the packet buffer 105 and the attack packet table 109 of the network interface 301
  • An O unit 303 and a table storage unit 110 that stores an attack packet table 109 are provided.
  • the interrupt generation unit 304 functions as a notification unit that notifies the CPU 302 of an overflow of the packet buffer 105.
  • the I / O unit 303 functions as an input / output unit that connects the CPU 302 and the packet buffer 105 so that the CPU 302 can access the contents of the packet buffer 105.
  • CPU 302 when CPU 302 receives an interrupt signal from interrupt generation unit 304, CPU 302 executes an attack determination program stored in a non-volatile recording medium (not shown in FIG. 9) such as HDD or EEPROM. .
  • a non-volatile recording medium such as HDD or EEPROM.
  • data similar to the statistical information 111 in the first embodiment is also stored in the nonvolatile recording medium, for example.
  • the attack packet table 109 is updated when the attack detection unit 107 detects a DoS attack by the CPU 302 executing the attack determination program.
  • the interrupt generation unit 304, the CPU 302, and the I / O unit 303 implement an update unit in the attack packet detection device of the present invention. Thereby, it is possible to easily defend the attack packet at the timing of the DoS attack even in the upper application layer.
  • each of the network interfaces 101, 201, and 301 in the first to third embodiments includes the packet buffer 105 that accumulates received packets, and discards the attack packet before transferring it to the main memory 102.
  • Each of the network interfaces 101, 201, and 301 can update the attack packet table 109 or 209 that is referred to when discarding the attack packet by using information obtained from the packet stored in the packet buffer 105. . This realizes efficient defense against DoS attacks.
  • each of the network interfaces 101, 201, and 301 is useful as a component that protects a home appliance with low processing capability from a DoS attack.
  • FIG. 10 is a block diagram showing a main configuration of video receiving apparatus 1100 provided with network interface 101 in the first embodiment.
  • a television that receives and displays broadcast data, and includes a display control unit 1110, a tuner 1120, a decoder 1130, a display device 1140, and an attack packet detection device 1150.
  • the attack packet detection device 1150 includes a network interface 101 and a main memory 1102.
  • the decoder 1130 decodes the broadcast data (for example, MPEG-2 TS (Transport Stream)) received by the tuner 1120.
  • the video obtained by this decoding is displayed on the display device 1140. Note that the series of processing is controlled by the display control unit 1110.
  • the video receiving device 1100 is connected to a network such as the Internet via the network interface 101.
  • the network interface 101 receives data transmitted by being divided into a plurality of packets, for example, moving image data, still image data, an HTML (HyperText Markup Language) file, text data, and the like.
  • HTML HyperText Markup Language
  • the network interface 101 discards the packet corresponding to the attack packet based on the attack packet table 109 among the received packets. In addition, a packet not corresponding to the attack packet is transferred to the main memory 1102.
  • the display control unit 1110 reads a packet from the main memory 1102 and causes the display device 1140 to display information indicated in the read packet.
  • Web content received via the Internet is displayed on the display device.
  • the various processing functions of the display control unit 1110 are realized, for example, by a computer having a CPU, a storage device, and an interface for inputting and outputting information executing a predetermined program.
  • the video reception device 1100 includes the attack packet detection device 1150.
  • the attack packet is discarded within the network interface 101, and the packet constituting the Web content or the like is transferred to the main memory 1102 for display control. Appropriately processed by the unit 1110.
  • the video receiving apparatus 1100 can discard the attack packet before transferring it to the main memory 1102 by updating the attack packet table 109. That is, the video reception device 1100 can efficiently prevent a DoS attack.
  • FIG. 11 is a block diagram illustrating a main configuration of a content recording apparatus 1200 including the network interface 101 according to the first embodiment.
  • a content recording device 1200 shown in FIG. 11 is a device that receives content data including at least one of video data and audio data, and records the received content data.
  • the content recording device 1200 is realized, for example, as a hard disk recorder or a Blu-ray disc recorder.
  • the content recording device 1200 includes a recording unit 1210, a recording medium 1220, a data processing unit 1230, an output unit 1240, and an attack packet detection device 1250.
  • the attack packet detection device 1250 includes a network interface 101 and a main memory 1202.
  • the content recording device 1200 receives content data transmitted in packet units via the network interface 101.
  • the received content data is recorded on the recording medium 1220 by the recording unit 1210.
  • the data processing unit 1230 performs processing such as decoding and compression encoding on the content data, for example, according to settings by the user. Further, the processed content data is recorded on the recording medium 1220 by the recording unit 1210.
  • the content data recorded on the recording medium 1220 is decrypted by the data processing unit 1230 and output from the output unit 1240.
  • the recording unit 1210 reads the packet transferred from the network interface 101 to the main memory 1202 from the main memory 1202 and records it on the recording medium 1220.
  • the attack packet is discarded within the network interface 101, and the packet constituting the content data is transferred to the main memory 1202, and is appropriately recorded by the recording unit 1210. To be processed.
  • the content recording device 1200 can discard the attack packet before transferring it to the main memory 1202 by updating the attack packet table 109. That is, the content recording device 1200 can efficiently defend against a DoS attack.
  • FIG. 12 is a block diagram showing the main configuration of IP communication apparatus 1300 provided with network interface 101 in the first embodiment.
  • the IP communication device 1300 shown in FIG. 12 is a device that performs IP (Internet Protocol) communication.
  • the IP communication device 1300 is realized as, for example, a set-top box that receives content data transmitted by IP communication and outputs it to a television.
  • the IP communication device 1300 includes a packet processing unit 1310, an output unit 1320, and an attack packet detection device 1350.
  • the attack packet detection device 1350 includes a network interface 101 and a main memory 1302.
  • the IP communication device 1300 receives content data transmitted in packet units via the network interface 101.
  • the packet processing unit 1310 performs processing such as decoding and descrambling on the received content data, and generates a signal including at least one of a video signal and an audio signal.
  • the signal generated by the packet processing unit 1310 is output to an external device such as a television connected to the IP communication device 1300 via the output unit 1320.
  • the packet processing unit 1310 reads the packet transferred from the network interface 101 to the main memory 1302 from the main memory 1302 and processes it.
  • the attack packet is discarded in the network interface 101, and the packet constituting the content data is transferred to the main memory 1302, and is transmitted by the packet processing unit 1310. Properly processed.
  • the IP communication apparatus 1300 can discard the attack packet before transferring it to the main memory 1302 by updating the attack packet table 109. That is, the IP communication device 1300 can efficiently prevent a DoS attack.
  • each device 10 to 12 may include the network interface 201 or the network interface 301 in place of the network interface 101. In any case, each device can efficiently protect against a DoS attack.
  • each device includes the network interface 301, as described with reference to FIG. 9, the update processing of the attack packet table 109 is realized by the CPU included in each device executing the attack determination program.
  • the attack packet table can be updated using information obtained from the received packet. Therefore, it is efficiently determined whether or not the received packet is an attack packet, and as a result, efficient defense against a DoS attack is realized.
  • the present invention is useful as an attack packet detection device and an attack packet detection method for protecting a network device from a DoS attack.
  • the present invention is also useful as a network device such as a television, a hard disk recorder, a Blu-ray disc recorder, and a set top box.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　パケット受信部（１０３）と、パケットバッファ（１０５）と、パケットバッファに蓄積されたパケットをメインメモリ（１０２）に転送する転送部（１０６）とを備えるネットワークインターフェース（１０１）であって、パケットバッファ（１０５）のパケットの蓄積量に基づいて、大量のパケットの送信による攻撃を検知する攻撃検知部（１０７）と、攻撃パケットを識別する情報が登録される攻撃パケットテーブル（１０９）を記憶するテーブル記憶部（１１０）と、攻撃検知部（１０７）により攻撃が検知された場合、パケットバッファに蓄積されているパケットから得られる情報を用いて、攻撃パケットテーブル（１０９）を更新する更新部（１０８）と、パケット受信部（１０３）が受信したパケットが、更新された攻撃パケット情報に示される情報に該当する場合、当該パケットを、当該パケットがメインメモリ（１０２）に転送される前に破棄する破棄部（１０４ａ）とを備える。

Description

攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびＩＰ通信装置
　本発明は、ＤｏＳ攻撃（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ攻撃）等の、通信システムに対する高負荷攻撃を検知する、攻撃パケット検知装置および攻撃パケット検知方法に関する。
　従来、ネットワーク機能を有する機器であるネットワーク機器に対して、短時間に大量のデータ送信し、当該ネットワーク機器に対して高負荷を与えることにより、サービスおよびシステムを利用不能にさせるＤｏＳ攻撃と言われるものがある。
　ＤｏＳ攻撃には、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ）と呼ばれるプロトコルを利用して短時間に膨大な数のＩＣＭＰ　Ｅｃｈｏ　Ｒｅｑｕｅｓｔパケットを送信する攻撃方法などがよく知られている。従来、このようなＤｏＳ攻撃を行うにはネットワークの知識が必要であった。
　しかし、近年では、容易に利用できるＤｏＳ攻撃ツールなどが広がっている。そのため、ネットワークの知識の乏しいユーザであっても簡単に攻撃可能な環境が整ってきている。
　そこで、このようなＤｏＳ攻撃を回避するいくつかの方法が開示されている。例えば、ＴＣＰパケットを受信し処理する機器において、受信したＴＣＰパケットを処理前に一時的に保持するバッファを設け、当該バッファが満杯になると、当該バッファ内のＴＣＰパケットを全て破棄する方法（従来の第一の方法）がある（例えば、特許文献1参照）。
　この方法により、到着順とデータとしての並び順とが必ずしも一致しないＴＣＰパケットを並び替えるための再構成用メモリのオーバーフローが防止され、当該機器が有する処理システムは保護される。
　また、パケットを受信し処理する機器において、ＤｏＳ攻撃に用いられる攻撃パケット等の悪意あるパケットを識別する情報を予め登録しておき、メインメモリに格納されたパケットのうち、当該情報に該当しないパケットを優先的に処理する方法（従来の第二の方法）がある（例えば、特許文献２参照）。
　この方法により、当該機器は、本来的に処理すべきパケットを優先的に処理することができ、ＤｏＳ攻撃による処理効率の低下が抑制される。
米国特許出願公開第２００７／０１８０５３３号明細書 米国特許出願公開第２００５／０２１３５７０号明細書
　ネットワーク機能を有する機器としては、ルータやＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）などの処理能力の高い機器以外に、近年では、デジタルテレビなどの処理能力の低い家電機器が増えてきている。
　この様な家電機器がＤｏＳ攻撃を受けると、処理能力の低さゆえに多大な問題が引き起こされる可能性がある。例えば、デジタルテレビに関して言えば、表示映像が乱れ、操作性が悪くなるなど、本来のテレビとしての機能を提供できなくなるといった深刻な問題が発生する。
　そこで、上記従来の第一の方法について検討してみると、ＤｏＳ攻撃により大量のパケットが送信された場合、当該方法により、バッファに蓄積されたパケットは再構成などの実質的な処理がなされることなく破棄される。
　しかしながら、バッファに蓄積されたパケットの全てがＤｏＳ攻撃に用いられた悪意あるパケットであるとは限らない。そのため、本来的にはデジタルテレビ等が処理すべきパケットまで破棄される可能性がある。
　また、上記従来の第二の方法について検討してみると、ＤｏＳ攻撃により大量のパケットが送信された場合、当該方法により、悪意あるパケットとして予め登録された情報に該当するパケットは処理の優先度が低いものとして扱われる。
　しかしながら、未登録のパケットが攻撃目的で大量に送信された場合、当該方法では、当該攻撃を防御することができない。
　もちろん、数多くの種類のパケットを識別できるように、予め大量の識別情報を登録しておけば、攻撃に対する防御可能性を向上させることは可能である。しかし、大量の登録情報と、メインメモリに格納されるパケットの一つ一つとを照合することは、処理負荷の増加を招き、特に処理能力の低い家電機器等では現実的ではない。
　さらに、将来的にどのようなパケットが攻撃に用いられるかの予測は困難である。そのため、予め大量の情報を登録したとしても、それら登録情報により悪意あるパケットを正確に識別することは難しく、かつ、本来的に処理すべきパケットまで処理の優先度が低いものと誤認識される可能性もある。
　本発明は上記従来の課題を考慮し、大量のパケットの送信による攻撃を効率よく防御する攻撃パケット検知装置および攻撃パケット検知方法等を提供することを目的とする。
　上記従来の課題を解決するために、本発明の攻撃パケット検知装置は、パケットを受信する受信部と、前記受信部が受信したパケットを蓄積するパケットバッファと、前記パケットバッファに蓄積されたパケットをメインメモリに転送する転送部とを備える攻撃パケット検知装置であって、前記パケットバッファのパケットの蓄積量に基づいて、大量のパケットの送信による攻撃を検知する攻撃検知部と、前記大量のパケットの送信による攻撃に用いられるパケットである攻撃パケットを識別する情報が登録される攻撃パケット情報を記憶する記憶部と、前記攻撃検知部により前記攻撃が検知された場合、前記パケットバッファに蓄積されているパケットから得られる情報を用いて、前記攻撃パケット情報を更新する更新部と、前記受信部が受信したパケットが、前記更新部により更新された攻撃パケット情報に示される情報に該当する場合、当該パケットを、当該パケットが前記メインメモリに転送される前に破棄する破棄部とを備える。
　このように、本発明の攻撃パケット検知装置は、攻撃パケットを特定するための攻撃パケット情報を、実際に受信したパケットから得られる情報により更新することができる。
　これにより、攻撃パケット情報を、現実に即した無駄の少ない内容に維持することが可能となる。つまり、ＤｏＳ攻撃を受けた場合に、受信したパケットに対する、破棄すべきか、メインメモリに転送すべきかの選別を効率よく、かつ、精度よく行うことができる。
　例えば、未知のパケットが攻撃目的で大量に送信された場合であっても、パケットバッファの蓄積量に基づいてその攻撃は検知され、かつ、当該検知後には、その攻撃に用いられている複数の攻撃パケットはメインメモリに転送されずに破棄される。また、攻撃パケットではない処理すべきパケットは破棄されずにメインメモリに転送される。
　つまり、メインメモリに転送されたパケットを処理（パケットの並び替え、および並び替えにより得られたデータの復号または符号化など）するシステムの、これら攻撃パケットに起因する負荷の発生は抑制され、当該システムは当該攻撃から保護される。
　このように、本発明の攻撃パケット検知装置は、攻撃パケット情報を現実に即して自律的に更新し、更新した攻撃パケット情報に基づいて悪意あるパケットを破棄することができる。つまり、大量のパケットの送信による攻撃を効率よく防御することができる。
　また、前記更新部は、前記パケットバッファに蓄積された複数のパケットそれぞれから属性情報を取得し、同一の属性情報を有するパケットの個数またはサイズを積算し、当該積算結果が所定の閾値以上である場合、前記属性情報を前記攻撃パケット情報に追加することで前記攻撃パケット情報を更新し、前記破棄部は、前記受信部が受信したパケットの属性情報が、前記更新部により更新された攻撃パケット情報に含まれている場合、当該パケットを破棄するとしてもよい。
　これにより、同一の属性情報、例えば、同一のヘッダ情報を有するパケットの個数またはサイズの積算結果が所定の閾値以上となった場合、当該ヘッダ情報を有するパケットを攻撃パケットとみなし、破棄することができる。
　また、前記更新部は、前記パケットバッファに蓄積されたパケットそれぞれの属性情報であるヘッダ情報と、ヘッダ情報ごとのパケットの累積個数または累積サイズとを記録するための統計情報を有し、前記攻撃判定部により前記攻撃が検知された場合、前記パケットバッファに蓄積されているパケットのヘッダ情報を読み出し、（ａ）読み出したヘッダ情報が前記統計情報に含まれていない場合、当該ヘッダ情報のエントリを前記統計情報に追加し、（ｂ）読み出したヘッダ情報が前記統計情報に含まれている場合、当該ヘッダ情報に対応する累積個数または累積サイズに１または当該パケットのサイズを加算し、前記統計情報に示される、前記所定の閾値以上の累積個数または累積サイズに対応するヘッダ情報を前記攻撃パケット情報に追加することで前記攻撃パケット情報を更新するとしてもよい。
　これにより、例えば、属性情報が互いに異なる多数のパケットが送信された場合であっても、属性情報ごとのパケットの積算量が的確に記録される。
　また、前記更新部は、前記パケットバッファに蓄積された複数のパケットそれぞれから属性情報を取得し、同一の属性情報を有するパケットの単位時間あたりの蓄積個数または蓄積容量の増加量を算出し、当該算出結果が所定の閾値以上である場合、前記属性を示す情報を前記攻撃パケット情報に追加することで前記攻撃パケット情報を更新し、前記破棄部は、前記受信部が受信したパケットから得られる属性情報が前記更新部により更新された攻撃パケット情報に含まれている場合、当該パケットを破棄するとしてもよい。
　つまり、同一の属性情報、例えば、同一のヘッダ情報を有するパケットの蓄積速度が所定の閾値以上となった場合、当該ヘッダ情報を有するパケットを攻撃パケットとみなしてもよい。これにより、例えば、瞬間的に多数のパケットが送信された場合に、当該攻撃による被害の発生が抑制される。
　また、前記攻撃パケット情報には、予め、前記攻撃パケットを識別する情報である攻撃パターンが登録されており、前記更新部は、前記パケットバッファに蓄積されているパケットから得られる情報が、前記攻撃パターンに該当する場合、前記攻撃パターンが有効であることを示す情報を前記攻撃パケット情報に記録することで、前記攻撃パケット情報を更新し、前記破棄部は、前記攻撃パケット情報に示される、有効である攻撃パターンに該当するパケットを破棄するとしてもよい。
　こうすることでも、受信されたパケットが攻撃パケットであるか否かの判定、および攻撃パケットの破棄が効率よく行われる。
　また、本発明の攻撃パケット検知装置はさらに、前記更新部により更新された攻撃パケット情報と、前記受信部が受信したパケットとを比較し、当該パケットが前記攻撃パケット情報に示される情報に該当しない場合、当該パケットを前記パケットバッファに送信する比較部を備え、前記破棄部は、前記比較部による比較の結果、当該パケットが前記攻撃パケット情報に示される情報に該当する場合、当該パケットが前記パケットバッファに送信される前に当該パケットを破棄し、前記パケットバッファは、前記比較部から送信されたパケットを蓄積するとしてもよい。
　これにより、攻撃パケットと判定されたパケットは、パケットバッファに蓄積されることなく破棄される。つまり、不要なパケットのパケットバッファにおける蓄積量が増加することが防止される。そのため、メインメモリに転送されるべきパケットのための、パケットバッファの空き容量は確保され、これらパケットはパケットバッファからメインメモリに転送された後に適切に処理される。
　また、前記攻撃検知部は、前記パケットバッファに蓄積されているパケットの蓄積量、または、前記蓄積量の単位時間当たりの増加量が所定の閾値を超えたことを検出することで、前記攻撃を検知するとしてもよい。
　これにより、送信されるパケットの蓄積量、または、蓄積速度に基づいて、攻撃を的確に検知することができる。
　また、前記転送部は、前記パケットバッファに蓄積されているパケットの前記メインメモリへの単位時間あたりの転送個数である転送速度の変更を受け付けると、変更後の転送速度で前記パケットバッファに蓄積されているパケットを転送するとしてもよい。
　これにより、パケットの蓄積量、または、前記蓄積量の単位時間当たりの増加量の、所定の閾値の超え易さを変化させることができる。つまり、転送速度を変更することで、攻撃検知部が攻撃と認定する基準を変更することができる。
　また、前記攻撃検知部は、前記パケットバッファに蓄積されているパケットの蓄積量が前記所定の閾値を越えることによるパケットバッファのオーバーフローを検出することで、前記攻撃を検知するとしてもよい。
　これにより、攻撃検知部は、例えばパケットバッファから発せられるオーバーフロー信号を受け取ることで、攻撃を検知することができる。
　また、本発明の映像受信装置は、映像データを受信し、受信した映像データに示される映像を表示装置に表示する映像受信装置であって、本発明の攻撃パケット検知装置と、前記攻撃パケット検知装置により前記メインメモリに転送されたパケットを前記メインメモリから読み出して、読み出したパケットに含まれる映像を前記表示装置に表示させる表示制御部とを備える。
　また、本発明のコンテンツ記録装置は、映像データおよび音声データのうちの少なくとも一方を含むコンテンツデータを受信し、受信したコンテンツデータを記録するコンテンツ記録装置であって、本発明の攻撃パケット検知装置と、前記攻撃パケット検知装置により前記メインメモリに転送された複数のパケットで構成されるコンテンツデータを前記メインメモリから読み出して、前記コンテンツデータを記録媒体に記録する記録部とを備える。
　また、本発明のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）通信装置は、ＩＰ通信を行うＩＰ通信装置であって、本発明の攻撃パケット検知装置と、前記攻撃パケット検知装置により前記メインメモリに転送された複数のパケットを前記メインメモリから読み出して処理し、映像信号および音声信号の少なくとも一方を含む信号を生成するパケット処理部と、前記パケット処理部により生成された信号を、外部の機器に出力する出力部とを備える。
　このように、本発明は、本発明の攻撃パケット検知装置を備える、映像受信装置等のネットワークとして実現することもできる。
　また、本発明は、本発明の攻撃パケット検知装置の特徴的な構成部の動作をステップとする攻撃パケット検知方法として実現したり、それらステップをコンピュータに実行させるためのプログラムとして実現したり、そのプログラムが記録された記録媒体として実現することもできる。そして、そのプログラムをインターネット等の伝送媒体又はＤＶＤ等の記録媒体を介して配信することもできる。
　本発明によれば、大量のパケットの送信による攻撃を検知すると、攻撃パケットを識別するための攻撃パケット情報を、受信したパケットから得られる情報を用いて更新することができる。そのため、破棄すべきパケットとメインメモリに転送すべきパケットとの選別を効率よく、かつ、精度よく実行することができる。
　このように、本発明は、大量のパケットの送信による攻撃を効率よく防御する攻撃パケット検知装置および攻撃パケット検知方法等を提供することができる。
（本願の技術的背景に関する情報）
　２００８年５月１６日に出願された出願番号２００８－１３００６１の日本出願の明細書、図面および特許請求の範囲における開示は、その全体を参照により本願に取り込む。
図１は、実施の形態１におけるネットワークインターフェースの構成を示すブロック図である。 図２は、実施の形態１におけるネットワークインターフェースが攻撃パケットテーブルの更新を行う際の処理の流れの一例を示すフロー図である。 図３は、実施の形態１における統計情報のデータ構成の一例を示す図である。 図４（Ａ）は、実施の形態１における攻撃パケットテーブルのデータ構成の第一の例を示す図であり、図４（Ｂ）は、当該攻撃パケットテーブルのデータ構成の第二の例を示す図であり、図４（Ｃ）は、当該攻撃パケットテーブルのデータ構成の第三の例を示す図である。 図５は、実施の形態１における統計情報のデータ構成の別の一例を示す図である。 図６は、実施の形態２におけるネットワークインターフェースの構成を示すブロック図である。 図７（Ａ）は、実施の形態２における攻撃パケットテーブルのデータ構成の第一の例を示す図であり、図７（Ｂ）は、当該攻撃パケットテーブルのデータ構成の第二の例を示す図である。 図８は、実施の形態２におけるネットワークインターフェースが攻撃パケットテーブルの更新を行う際の処理の流れの一例を示すフロー図である。 図９は、実施の形態３におけるネットワークインターフェースの構成を示すブロック図である。 図１０は、実施の形態１におけるネットワークインターフェースを備える映像受信装置の主要な構成を示すブロック図である。 図１１は、実施の形態１におけるネットワークインターフェースを備えるコンテンツ記録装置の主要な構成を示すブロック図である。 図１２は、実施の形態１におけるネットワークインターフェースを備えるＩＰ通信装置の主要な構成を示すブロック図である。
　以下、本発明の実施の形態について図面を参照しながら説明する。
　（実施の形態１）
　実施の形態１について、図１～図４を用いて説明する。
　図１は、実施の形態１におけるネットワークインターフェース１０１の構成を示すブロック図である。
　ネットワークインターフェース１０１は、本発明の攻撃パケット検知装置の一例である。
　ネットワークインターフェース１０１は、受信したパケットを蓄積するパケットバッファ１０５を有し、パケットバッファ１０５に蓄積されたパケットをメインメモリ１０２に転送する装置である。
　なお、メインメモリ１０２は、例えば、ネットワークインターフェース１０１が備えられたネットワーク機器が備えるＤＲＡＭ（Ｄｙｎａｍｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）等の記憶媒体である。当該ネットワーク機器は、メインメモリ１０２からパケットを読み出して並べ替え等の処理を行う。
　また、本発明の攻撃パケット検知装置は、メインメモリ１０２を含んでもよい。この場合、当該攻撃パケット検知装置が備えられたネットワーク機器は、当該攻撃パケット検知装置が備えるメインメモリ１０２からからパケットを読み出して並べ替え等の処理を行う。
　本実施の形態において、ネットワークインターフェース１０１は、ハードウェアで構成され、ネットワークから受信したパケットをメインメモリ１０２に転送する機能を有する。
　具体的には、ネットワークインターフェース１０１は、ネットワークから送られてくるパケットを受信するパケット受信部１０３、ＤｏＳ攻撃に用いられる攻撃パケットを識別する情報が登録される攻撃パケットテーブル１０９を記憶するテーブル記憶部１１０、パケット受信部１０３が受信したパケット（以下、「受信パケット」ともいう。）と、攻撃パケットテーブル１０９に登録された情報とを比較する比較部１０４、受信パケットを一時的にバッファリングするパケットバッファ１０５、パケットバッファ１０５に蓄積されているパケットをメインメモリ１０２に転送する転送部１０６、パケットバッファ１０５のパケットの蓄積量に基づいて、大量のパケットの送信による攻撃であるＤｏＳ攻撃を検知する攻撃検知部１０７、および、攻撃検知部１０７によりＤｏＳ攻撃が検知された場合、パケットバッファ１０５に蓄積されているパケットから得られる情報を用いて攻撃パケットテーブル１０９を更新する更新部１０８を備える。
　なお、攻撃検知部１０７は、具体的には、パケットバッファ１０５に蓄積されているパケットの蓄積量、または、蓄積量の単位時間当たりの増加量が所定の閾値を超えたことを検出することでＤｏＳ攻撃を検知する。
　本実施の形態では、攻撃検知部１０７は、パケットの蓄積量が当該閾値を越えることによるパケットバッファ１０５のオーバーフローを検出することで、ＤｏＳ攻撃を検知する。
　また更新部１０８は、複数の受信パケットについての統計結果を示す統計情報１１１を有している。更新部１０８は、統計情報１１１を用いて、攻撃パケットテーブル１０９を更新する。統計情報１１１については、図３を用いて後述し、攻撃パケットテーブル１０９については、図４（Ａ）、図４（Ｂ）、および図４（Ｃ）を用いて後述する。
　また、攻撃パケットテーブル１０９は、本発明の攻撃パケット検知装置における攻撃パケット情報の第一の例である。攻撃パケットテーブル１０９は、図１に示すように、テーブル記憶部１１０に記憶されている。
　テーブル記憶部１１０は、例えば、ＨＤＤ（Ｈａｒｄ　ｄｉｓｋ　ｄｒｉｖｅ）またはＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ　Ｅｒａｓａｂｌｅ　ａｎｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）などの不揮発性記録媒体により実現される。
　また、ネットワークインターフェース１０１は、破棄部１０４ａを有している。破棄部１０４ａは、比較部１０４による比較の結果、受信パケットが攻撃パケットテーブル１０９に登録された情報に該当する場合、当該受信パケットを破棄する。
　なお、上記比較の結果、受信パケットが攻撃パケットテーブル１０９に登録された情報に該当しない場合、比較部１０４は当該受信パケットをパケットバッファ１０５に転送する。
　パケットバッファ１０５はＦＩＦＯ（Ｆｉｒｓｔ　Ｉｎ，　Ｆｉｒｓｔ　Ｏｕｔ）の様な機能を有するメモリである。
　比較部１０４はパケットバッファ１０５に対してパケットの入力を行い、転送部１０６はパケットバッファ１０５からパケットを取り出す処理を行う。
　しかし、転送部１０６の取り出し処理が追いつかずパケットバッファ１０５のオーバーフローが発生した場合、オーバーフロー信号がパケットバッファ１０５から発せられる。
　攻撃検知部１０７は、パケットバッファ１０５からオーバーフロー信号を受け取ることで、パケットバッファ１０５がオーバーフローしたことを検出する。これにより、攻撃検知部１０７はＤｏＳ攻撃を検知する。
　このように、本実施の形態のネットワークインターフェース１０１は、比較部１０４を備える。比較部１０４は、攻撃パケットテーブル１０９に示される攻撃パケットを識別する情報と受信パケットとの比較を行うことで、攻撃パケットを検出する機能を有するとともに、攻撃パケットテーブル１０９の内容に応じて選択的に受信パケットをパケットバッファ１０５に転送する機能を有する。
　また、比較部１０４は、破棄部１０４ａを有することで、攻撃パケットであると判断されたパケットを破棄する機能をも有する。
　また、本実施の形態のネットワークインターフェース１０１は、パケットバッファ１０５のパケットの蓄積量に基づいて、ＤｏＳ攻撃を検知する攻撃検知部１０７を備える。本実施の形態では、攻撃検知部１０７は、パケットバッファ１０５がオーバーフローしたことを検出することでＤｏＳ攻撃を検知する。
　また、本実施の形態のネットワークインターフェース１０１は、攻撃検知部１０７によりＤｏＳ攻撃が検知されると、パケットバッファ１０５に蓄積されているパケットから得られる情報を用いて攻撃パケットテーブル１０９を更新する更新部１０８を備える。
　このように構成された実施の形態のネットワークインターフェース１０１の処理の流れを図２を用いて説明する。
　図２は、実施の形態１におけるネットワークインターフェース１０１が攻撃パケットテーブル１０９の更新を行う際の処理の流れの一例を示すフロー図である。
　まず、攻撃検知部１０７は、パケットバッファ１０５のオーバーフローを検出することでＤｏＳ攻撃を検知する（Ｓ２００）。
　攻撃検知部１０７は、ＤｏＳ攻撃を検知すると所定の信号を更新部１０８に送信する。
　当該信号を受け取った更新部１０８は、パケットバッファ１０５内に蓄積されている一番先頭のパケットを選択する（Ｓ２０１）。さらに、パケットバッファ１０５内に蓄積されているパケットの情報を取得するために、選択したパケットのヘッダ解析をする（Ｓ２０２）。
　このヘッダ解析（Ｓ２０２）により、更新部１０８は、例えば、Ｅｔｈｅｒフレームヘッダの送信元ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレス、プロトコルタイプ、宛先ポート情報など攻撃パケットを判定するために必要な情報を得る。
　なお、これら送信元ＭＡＣアドレス等は、本発明の攻撃パケット検知装置における属性情報の一例である。
　解析した結果から、更新部１０８は、当該パケットが、統計情報１１１に新規に登録すべきパケットか否かを判断する（Ｓ２０３）。
　具体的には、統計情報１１１に当該パケットのヘッダを解析した結果と同一のエントリが存在しない場合は、更新部１０８は、当該解析結果である、送信元アドレス等から構成される一組の情報を新規エントリとして統計情報１１１に登録する（Ｓ２０４）。
　統計情報１１１に前記ヘッダ解析した結果と同じエントリが存在する場合は、更新部１０８は、該当エントリの個数の欄の数字に１を加算する（Ｓ２０５）。これにより、同一のヘッダ情報を有するパケットの個数が積算される。
　次に、更新部１０８は、パケットバッファ１０５内に次のパケットが入力されているか判断する（Ｓ２０６）。
　次のパケットが存在する場合（Ｓ２０６で「はい」）、更新部１０８は、次のパケットを選択し（Ｓ２０７）、パケットの解析処理（Ｓ２０２）から、さらにその次のパケットの存在の有無の確認処理（Ｓ２０６）までを再度行う。
　次のパケットが存在しない場合（Ｓ２０６で「いいえ」）、更新部１０８は、統計情報１１１に、閾値以上の個数が記録されているエントリが存在するか否かを確認する。
　閾値以上の個数が記録されているエントリが存在する場合、更新部１０８は、当該エントリに対応するパケットを攻撃パケットと判断し、送信元アドレス等を含む当該エントリを攻撃パケットテーブル１０９に登録する（Ｓ２０８）。
　なお、図２に示される処理の流れの一例では、更新部１０８は、パケットバッファ１０５内の一番先頭のパケットから順番にパケット解析を行っている。しかし、パケットバッファ１０５内に蓄積されているパケットの種類などの情報が取得できるのであれば、ランダムな順番で解析してもよい。
　また、更新部１０８は、パケット解析処理（Ｓ２０２）において、一つのＥｔｈｅｒフレームヘッダから、送信元アドレス、プロトコルタイプ、および宛先ポートを取得し、統計情報１１１に一つのエントリとして登録している。
　しかし、パケット解析処理において取得されるヘッダ情報は、これらパラメータに限るものではなく、任意のパラメータを取得して、統計情報１１１への登録の要否の判断（Ｓ２０３）に用いてもよい。さらに、取得したそれらパラメータを統計情報１１１に一つのエントリとして登録してもよい。
　また、統計情報１１１に含まれるエントリの中から攻撃パケットテーブル１０９に登録すべきエントリを特定する際（Ｓ２０８）に使用する閾値は、例えば、ネットワークインターフェース１０１が備えるテーブル記憶部１１０等の不揮発性記録媒体に記録されていてもよい。
　また、ネットワークインターフェース１０１を使用するホストがその閾値を設定できるような構成にしてもよい。
　図３は、実施の形態１における統計情報１１１のデータ構成の一例を示す図である。
　統計情報１１１は、上述の各種処理（Ｓ２０３～Ｓ２０５、およびＳ２０８）で使用されるテーブルである。
　具体的には、パケットバッファ１０５内の全パケットの解析が終了した際の、同種のパケットごとのヘッダ情報が記録される。
　統計情報１１１は、図３に示すように、パケット解析処理（Ｓ２０２）により得られたヘッダ情報と、各エントリを識別するＩＤと、各エントリに対応するパケットがパケットバッファ１０５に何個入力されたかを記録する項目とから構成される。
　例えば、上述の閾値が“５０”である場合、更新部１０８は、統計情報１１１を参照し、“個数”の欄の数字が５０以上という条件に該当するエントリであるａ００１を特定する。
　また、ａ００１には、プロトコルがＩＣＭＰであることが記録されているため、ＩＣＭＰプロトコルによるＰｉｎｇ　ＦｌｏｏｄによるＤｏＳ攻撃を受信していると判断される。また、ａ００１には送信元ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスとして、“ｘｘ－ｘｘ－ｘｘ－ｘｘ－ｘｘ－ｘｘ”が記録されている。
　そのため、更新部１０８は、送信元ＭＡＣアドレス“ｘｘ－ｘｘ－ｘｘ－ｘｘ－ｘｘ－ｘｘ”からＩＣＭＰプロトコルにより送信されたパケットが破棄されるように、ａ００１のエントリを攻撃パケットテーブル１０９に登録する。
　図４（Ａ）は、実施の形態１における攻撃パケットテーブル１０９のデータ構成の第一の例を示す図であり、図４（Ｂ）は、実施の形態１における攻撃パケットテーブル１０９のデータ構成の第二の例を示す図であり、図４（Ｃ）は、実施の形態１における攻撃パケットテーブル１０９のデータ構成の第三の例を示す図である。
　例えば、図４（Ａ）に示すように、攻撃パケットテーブル１０９に、攻撃パケットを識別する情報が登録されていない場合を想定する。
　この状態で、攻撃検知部１０７がＤｏＳ攻撃を検知すると、更新部１０８は、上述のパケット解析を行い、統計情報１１１にエントリの追加および個数の追加等の処理を行う。
　その結果、例えば、図３に示すように、統計情報１１１に各エントリが記録される。また、個数についての閾値が“５０”であれば、更新部１０８は、統計情報１１１からａ００１のエントリを統計情報１１１から読み出し、図４（Ｂ）に示すように、当該エントリを攻撃パケットテーブル１０９に登録する。
　また、その後、図２に示す、攻撃の検知（Ｓ２００）から、未解析のパケットの有無の確認（Ｓ２０６）までが行われ、統計情報１１１において、例えばａ００３のエントリの個数欄が“５０”となった場合を想定する。
　この場合、図４（Ｃ）に示すように、ａ００３のエントリが統計情報１１１から読み出されて攻撃パケットテーブル１０９に登録される。
　本実施の形態における更新部１０８は、このように、統計情報１１１と閾値とを用いた処理により、統計情報１１１に記録されているエントリの中から、攻撃パケットテーブル１０９に登録すべきエントリを特定する。さらに、特定したエントリの内容を攻撃パケットテーブル１０９に登録する。
　このようにして、攻撃パケットテーブル１０９は更新される。具体的には、更新部１０８により、攻撃パケットを識別する情報が攻撃パケットテーブル１０９に追加される。
　比較部１０４は、更新部１０８により更新された攻撃パケットテーブル１０９を参照し、攻撃パケットテーブル１０９に登録された各エントリの送信元ＭＡＣアドレス等と、パケット受信部１０３が受信したパケットのヘッダ情報とを比較する。これにより、攻撃パケットに該当する受信パケット、つまり、破棄すべきパケットである攻撃パケットを特定する。破棄部１０４ａは、特定された攻撃パケットを破棄する。
　以上のように、本実施の形態のネットワークインターフェース１０１は、ＤｏＳ攻撃を検知すると、パケットバッファ１０５に蓄積されているパケットから得られる情報を用いて、攻撃パケットテーブル１０９を更新する。また、更新した攻撃パケットテーブル１０９と受信パケットとを比較することで、複数の受信パケットの中から攻撃パケットを特定する。
　ネットワークインターフェース１０１はさらに、攻撃パケットと特定した受信パケットをメインメモリ１０２に転送することなく破棄する。
　また、攻撃パケットと特定した受信パケット以外の受信パケットはパケットバッファ１０５に一旦蓄積した後に、メインメモリ１０２に転送する。つまり、処理されるべき受信パケットは適切に処理される。
　このように、本実施の形態のネットワークインターフェース１０１は、攻撃パケットテーブル１０９を自律的に更新し、破棄すべきパケットと、メインメモリ１０２に転送すべきパケットとの選別を効率よく行っている。
　また、未知の攻撃パケットを受信した場合であっても、その攻撃パケットを識別する情報が攻撃パケットテーブル１０９に追加され、当該情報に該当するパケットは、メインメモリ１０２に転送されることなく破棄される。
　また、攻撃パケットの破棄をネットワークインターフェース１０１の内部で行うため、ネットワークインターフェース１０１を備えるネットワーク機器のＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）に対する割り込みなどの処理を軽減することが出来る。
　さらに、パケットバッファ１０５のオーバーフロー発生中に受信する攻撃パケットはネットワークインターフェース１０１内部で破棄される。そのため、当該ネットワーク機器は、攻撃パケットに対する実質的な処理をすることなく、メインメモリ１０２に転送されたパケットに対する処理を行うことができる。
　このように、本実施の形態のネットワークインターフェース１０１は、メインメモリ１０２からパケットを読み出して処理するネットワーク機器のＣＰＵ負荷を増大させることなく、効率のよい攻撃回避を行うことが出来る。
　なお、統計情報１１１は、更新部１０８が有しているとした。しかし、統計情報１１１は、例えばネットワークインターフェース１０１が備えるテーブル記憶部１１０等の不揮発性記録媒体に記録されていてもよい。
　また、本実施の形態において、更新部１０８は、同一のヘッダ情報を有するパケットの個数を、ヘッダ情報ごとに統計情報１１１に記録するとした（図３参照）。つまり、更新部１０８は、同一のヘッダ情報を有するパケットの個数を積算するとした。しかしながら、更新部１０８は、同一のヘッダ情報を有するパケットのサイズを積算してもよい。
　この場合、図３に示す統計情報１１１における各エントリの“個数”の欄が、“サイズ”に変更される。また、更新部１０８は、パケットバッファ１０５内の各パケットのサイズを取得し、各エントリの“サイズ”の欄に、それぞれ該当するパケットのサイズを追加する。これにより、各エントリの“サイズ”の欄にヘッダ情報ごとの累積サイズが記録される。
　さらに、更新部１０８は、閾値である所定のサイズと、統計情報１１１に記録された各エントリの累積サイズとを比較し、閾値以上の累積サイズを示すエントリを特定する。また、特定したエントリ内の送信元ＭＡＣアドレス等を、攻撃パケットテーブル１０９に追加する。これにより、攻撃パケットテーブル１０９が更新される。
　すなわち、ネットワークインターフェース１０１が受信した、同一のヘッダ情報を有するパケットの量を定量的に記録できるのであれば、その量は、個数であってもサイズであってもよい。
　また、更新部１０８は、同一のヘッダ情報を有するパケットの量そのものではなく、当該量の単位時間あたりの増加量を統計情報１１１に記録してもよい。
　図５は、実施の形態１における統計情報１１１のデータ構成の別の一例を示す図である。
　図５に示す統計情報１１１には、ヘッダ情報ごとの、単位時間あたりの蓄積個数である蓄積速度が記録されている。
　更新部１０８は、例えば、パケットバッファ１０５を監視し、単位時間内に同一のヘッダ情報を有するパケットがパケットバッファ１０５に何個入力されたかを検出する。さらにその検出結果から、ヘッダ情報ごとの蓄積速度を求める。
　なお、更新部１０８は、例えば、同一のヘッダ情報を有する２つのパケットの受信間隔から、これらヘッダ情報ごとの蓄積速度を求めてもよい。
　更新部１０８は、このようにヘッダ情報ごとの蓄積速度を統計情報１１１に記録した場合、所定の閾値以上の蓄積速度を示すエントリを特定し、特定したエントリを、攻撃パケットテーブル１０９に追加する。これにより、攻撃パケットテーブル１０９が更新される。
　なお、蓄積速度は、単位時間あたりの蓄積個数ではなく、単位時間あたりの蓄積サイズであってもよい。
　いずれの場合であっても、同一のヘッダ情報を有するパケットの蓄積速度が大きければ、そのパケットの受信頻度が高いという判断は可能である。そのため、蓄積速度が所定の閾値より大きいか否かで、当該パケットが攻撃パケットであるか否かは判断できる。
　また、本実施の形態において、攻撃検知部１０７は、パケットバッファ１０５がオーバーフローしたことを検出することで、ＤｏＳ攻撃を検知する。
　しかしながら、攻撃検知部１０７は、パケットバッファ１０５のパケットの蓄積量が、パケットバッファ１０５の容量より小さな所定の閾値を超えたことを検出することで、ＤｏＳ攻撃を検知してもよい。
　例えば、攻撃検知部１０７は、パケットバッファ１０５の蓄積量が、蓄積可能な容量の８０％を超えたことを検出することで、ＤｏＳ攻撃を検知してもよい。また、この閾値は可変であってもよく、ネットワークインターフェース１０１の外部から攻撃検知部１０７に設定されてもよい。
　これにより、例えば、パケットバッファ１０５がオーバーフローする前に、攻撃パケットの破棄を開始することができ、パケットバッファ１０５のオーバーフローを防止することが可能となる。
　その結果、メインメモリ１０２に転送すべきパケットがパケットバッファ１０５に入力されないという事態の発生を防止することもできる。
　また、パケットバッファ１０５の容量が比較的大きい場合、または、転送部１０６がメインメモリ１０２に転送する単位時間当たりのパケットの個数（以下、「転送速度」という。）が比較的大きい場合など、パケットバッファ１０５がオーバーフローしにくい状況にある場合、当該閾値を下げることで、ＤｏＳ攻撃を確実に検知することが可能となる。
　このように、ＤｏＳ攻撃がなされているか否かの判断基準は、ある特定の基準に限定されず、パケットバッファ１０５の容量、および、ＤｏＳ攻撃と認定可能なパケットの量などに応じて適切なものに設定すればよい。
　また、転送部１０６の転送速度は、固定であっても可変であってもよい。例えば、転送速度は、メインメモリ１０２に転送する際のバス帯域によって決定されてもよい。
　また、転送部１０６は、ネットワークインターフェース１０１の外部から転送速度の変更を受け付け、変更後の転送速度でパケットを転送してもよい。
　このように、転送部１０６の転送速度の変更が可能である場合、パケットバッファ１０５のオーバーフローの発生のし易さを変えることが可能である。具体的には、転送部１０６の転送速度を上げるほど、パケットバッファ１０５はオーバーフローし難くなる。
　また、逆に、転送部１０６の転送速度を下げるほど、パケットバッファ１０５はオーバーフローし易くなる。
　つまり、転送部１０６の転送速度を可変とすることで、ＤｏＳ攻撃がなされているか否かの判断基準を変更することもできる。
　また、更新部１０８は、攻撃パケットテーブル１０９における各エントリの順番を、累積個数に応じて決定してもよい。つまり、累積個数の多いエントリほど、攻撃パケットテーブル１０９において上位に登録されてもよい。
　こうすることで、例えば、比較部１０４が、攻撃パケットテーブル１０９の上のエントリから順に各エントリと受信パケットとを比較するよう構成されている場合、受信パケットが攻撃パケットであるか否かの判定を効率よく行うことができる。
　また、本実施の形態において、更新部１０８は、パケットバッファ１０５内の全パケットの解析が終了した後に、統計情報１１１内の、閾値以上の個数が記録されたエントリを攻撃パケットテーブル１０９に登録している。
　しかしながら、パケットバッファ１０５内の全パケットの解析が終了する前に、閾値以上の累積個数となったエントリを攻撃パケットテーブル１０９に登録してもよい。
　これにより、パケットバッファ１０５内の全パケットの解析の終了を待たずに、攻撃パケットの破棄を開始することができ、ＤｏＳ攻撃からの防御を迅速に実行することができる。
　また、統計情報１１１および攻撃パケットテーブル１０９のそれぞれは、必要に応じて任意のタイミングで初期化してもよい。つまり、それぞれに登録されたエントリを任意のタイミングで削除してもよい。
　例えば、破棄部１０４ａによる、単位時間あたりの攻撃パケットの破棄回数が減少した場合、ＤｏＳ攻撃が終了した可能性が高い。そのため、攻撃パケットテーブル１０９を初期化してもよい。これにより、例えば、比較部１０４による比較処理が効率化される。
　また、例えば、ネットワークインターフェース１０１に付与されたＩＰアドレスが変更になった場合、および、ネットワークインターフェース１０１に差し込まれていたネットワークケーブルが一旦抜き取られて再び差し込まれた場合など、ネットワークインターフェース１０１の通信環境が変化した場合、変化前とは異なる種類のＤｏＳ攻撃がなされる可能性がある。
　そこで、このような場合に、統計情報１１１および攻撃パケットテーブル１０９のそれぞれを初期化してもよい。
　これにより、例えば、統計情報１１１および攻撃パケットテーブル１０９に、通信環境の変化により不要となったヘッダ情報が蓄積されることが防止され、更新部１０８および比較部１０４の処理が効率化される。
　なお、統計情報１１１および攻撃パケットテーブル１０９のそれぞれから削除されたエントリに該当する攻撃パケットが、その削除の後に送信された場合を想定する。この場合、パケットバッファ１０５のオーバーフロー等により攻撃が検知されるまで、これら攻撃パケットは比較部１０４を通過することになる。しかしながら、当該攻撃の検知後には、当該攻撃パケットを識別する情報が再び統計情報１１１および攻撃パケットテーブル１０９に登録されることになるため、実質的な問題は生じない。
　（実施の形態２）
　次に、実施の形態２について、図６、図７および図８を用いて説明する。
　図６は、実施の形態２におけるネットワークインターフェース２０１の構成を示すブロック図である。
　実施の形態２におけるネットワークインターフェース２０１は、本発明の攻撃パケット検知装置の別の一例である。また、図６に示すようにネットワークインターフェース２０１は、図１に示す、実施の形態１におけるネットワークインターフェース１０１とほぼ同じ構成を有している。
　しかし、実施の形態２におけるネットワークインターフェース２０１は、攻撃パケットテーブル２０９に予想される攻撃パターンを予め登録しておき、ＤｏＳ攻撃を検知した場合、当該ＤｏＳ攻撃に対応する登録済みの攻撃パターンを有効化することで、当該攻撃パターンに該当する受信パケットを破棄する点で実施の形態１におけるネットワークインターフェース１０１と異なる。
　具体的には、テーブル記憶部１１０に、予想される攻撃パターンが予め登録された攻撃パケットテーブル２０９が記憶されている。
　また、実施の形態２におけるネットワークインターフェース２０１は、統計情報１１１を保持しておく必要がないため、実施の形態１における更新部１０８とは異なり、統計情報１１１を有していない。
　図７（Ａ）は、実施の形態２における攻撃パケットテーブル２０９のデータ構成の第一の例を示す図であり、図７（Ｂ）は、実施の形態２における攻撃パケットテーブル２０９のデータ構成の第二の例を示す図である。
　攻撃パケットテーブル２０９は、本発明の攻撃パケット検知装置における攻撃パケット情報の第二の例であり、予め設定された１以上の攻撃パターンを示す情報が登録されたテーブルである。
　図７（Ａ）に示すように、攻撃パケットテーブル２０９は、複数のエントリから構成されている。また、各エントリは、各エントリを識別するＩＤと、ＤｏＳ攻撃パケットを判定するための攻撃パターンを示す項目である“事前登録攻撃パターン”と、当該エントリが有効であるか否かを示す項目である“有効フラグ”とを有する。
　また、事前登録攻撃パターンとして、実施の形態１における攻撃パケットテーブル１０９と同じく、送信元ＭＡＣアドレス等の、攻撃パケットを識別するヘッダ情報が記録されている。
　比較部１０４は、有効フラグが“１”であるエントリのみから攻撃パターンを示す情報を読み出し、受信パケットのヘッダ情報と比較する。
　なお、図７（Ａ）に示す攻撃パケットテーブル２０９では、いずれのエントリも有効フラグが“０”である。この場合、比較部１０４は、受信パケットと攻撃パケットテーブル２０９に登録された攻撃パターンとの比較は行わない。
　しかし、図７（Ａ）に示す攻撃パケットテーブル２０９が更新部２０８により更新され、例えば、図７（Ｂ）に示すように、ＩＤがＰ００１のエントリの有効フラグが“１”に変更された場合を想定する。
　この場合、比較部１０４は、Ｐ００１のエントリに示される攻撃パターンを示す情報と受信パケットとを比較する。
　この比較の結果、双方の情報が一致すれば、破棄部１０４ａは当該受信パケットを破棄する。
　また、この比較の結果、双方の情報が一致しなければ、比較部１０４は、当該受信パケットをパケットバッファ１０５に転送する。パケットバッファ１０５に転送されたパケットは、メインメモリ１０２に転送される。
　これにより、実施の形態１と同じく、パケット受信部１０３により受信された複数のパケットのうち、破棄すべきパケットは破棄され、かつ、メインメモリ１０２に転送されるべきパケットは、メインメモリ１０２に転送される。
　なお、攻撃パケットテーブル２０９への事前の情報の登録方法は、特定のものに限定されない。例えばユーザにより攻撃パターンを示す情報が予め攻撃パケットテーブル２０９に登録されてもよい。
　また、例えば、ネットワークインターフェース２０１がネットワークに接続された際に、攻撃パターンを示す情報を提供するサーバから当該情報をネットワークを介して受信し、受信した情報を、更新部２０８が攻撃パケットテーブル２０９に登録してもよい。
　次に、図８を用いて、ネットワークインターフェース２０１が攻撃パケットテーブル２０９の更新を行う際の処理の流れを説明する。
　図８は、実施の形態２におけるネットワークインターフェース２０１が攻撃パケットテーブル２０９の更新を行う際の処理の流れの一例を示すフロー図である。
　まず、攻撃検知部１０７は、パケットバッファ１０５のオーバーフローを検出することでＤｏＳ攻撃を検知する（Ｓ４００）。
　攻撃検知部１０７は、ＤｏＳ攻撃を検知すると所定の信号を更新部２０８に送信する。
　当該信号を受け取った更新部２０８は、攻撃パケットテーブル２０９に予め登録されているエントリの中から、有効フラグが“０”である１つのエントリを選択する（Ｓ４０１）。
　さらに、選択したエントリに登録されている、Ｅｔｈｅｒフレームヘッダの送信元ＭＡＣアドレス、プロトコルタイプ、および宛先ポート情報などＤｏＳ攻撃パケットを識別するための攻撃パターンを示す情報を取得する（Ｓ４０２）。
　更新部２０８は、取得した攻撃パターンを示す情報に該当するパケットがパケットバッファ１０５内に存在する否かを確認する（Ｓ４０３）。
　存在する場合（Ｓ４０３で「はい」）、更新部２０８は、攻撃パケットテーブル２０９の当該エントリの有効フラグを、有効を示す“１”に変更する（Ｓ４０４）。
　更新部２０８は、攻撃パケットテーブル２０９に有効フラグが“０”である次のエントリがあるか確認する（Ｓ４０５）。次のエントリが存在する場合（Ｓ４０５で「はい」）、当該エントリを選択する（Ｓ４０６）。その後、攻撃パターンを示す情報の取得処理（Ｓ４０２）から、有効フラグが“０”である次のエントリの存在の有無の確認処理（Ｓ４０５）までを再度行う。
　攻撃パケットテーブル２０９に、有効フラグが“０”である次のエントリがない場合（Ｓ４０５で「いいえ」）、攻撃パケットテーブル２０９の更新処理は終了する。
　実施の形態２におけるネットワークインターフェース２０１は、このように、攻撃パケットを識別する情報が予め登録された攻撃パケットテーブル２０９を保持している。
　また、更新部２０８は、攻撃検知部１０７がＤｏＳ攻撃を検知すると、パケットバッファ１０５内の各パケットと、攻撃パケットテーブル２０９に予め登録された攻撃パターンを示す情報とを比較する。
　この比較の結果、パケットバッファ１０５内に登録済みの攻撃パターンを示す情報に該当するパケットが存在する場合、当該攻撃パターンの有効フラグを“１”に変更する。つまり、攻撃パケットテーブル２０９は、パケットバッファ１０５に蓄積されているパケットから得られる情報を用いて更新される。
　このように、実施の形態２のネットワークインターフェース２０１は、実施の形態１のネットワークインターフェース１０１と同様に、攻撃パケットテーブル２０９を自律的に更新し、破棄すべきパケットと、メインメモリ１０２に転送すべきパケットとの選別を効率よく行っている。
　具体的には、比較部１０４は、攻撃パケットテーブル２０９に登録されている複数のエントリのうち、有効フラグが“１”であるエントリのみと、受信パケットとを比較すればよい。これにより、比較部１０４は、受信パケットが攻撃パケットであるか否かの判定を効率よくかつ精度よく行うことができる。
　従って、実施の形態２のネットワークインターフェース２０１は、大量のパケットの送信による攻撃を効率よく防御することができる。
　なお、本実施の形態では、攻撃パケットテーブル２０９に登録する攻撃パターンを示す情報は、Ｅｔｈｅｒフレームヘッダの送信元ＭＡＣアドレス、プロトコルタイプ、および宛先ポート情報であるとした。
　しかし、攻撃パターンを示す情報は、これらヘッダ情報に限定されるものではなく、パケットのヘッダ部内の他のフィールドに含まれる情報でもよい。例えば、パケット長を示す情報が、攻撃パターンを示す情報に含まれてもよい。
　さらには、攻撃パターンを示す情報は、ヘッダ情報に限定されるものでもなく各種プロトコルにおけるデータ部から情報を取得し、攻撃パターンを示す情報として攻撃パケットテーブル２０９に登録してもよい。つまり、ヘッダ情報以外の情報を、比較部１０４による比較処理に用いてもよい。
　以上説明した、実施の形態２のネットワークインターフェース２０１によれば、ネットワークインターフェース２０１ではプロトコル解析できないパケットに対しても柔軟に対応することが可能である。
　（実施の形態３）
　次に、実施の形態３について、図９を用いて説明する。
　実施の形態３におけるネットワークインターフェース３０１は、実施の形態１におけるネットワークインターフェース１０１では更新部１０８がハードウェアで行っていた処理を、上位アプリケーションレイヤで行えるようにしたものである。
　具体的には、更新部１０８による攻撃パケットテーブル１０９の更新等の処理が、実施の形態３では、ネットワークインターフェース３０１が備えられたネットワーク機器のＣＰＵ３０２によって行われる。
　なお、本実施の形態においては、少なくともネットワークインターフェース３０１およびＣＰＵ３０２により本発明の攻撃パケット検知装置が構成される。
　図９は、実施の形態３におけるネットワークインターフェース３０１の構成を示すブロック図である。
　ネットワークインターフェース３０１は、受信したパケットを蓄積するパケットバッファ１０５を有し、パケットバッファ１０５に蓄積されたパケットをメインメモリ１０２に転送する装置である。
　ネットワークインターフェース３０１は、パケット受信部１０３、比較部１０４、パケットバッファ１０５、転送部１０６、パケットバッファ１０５がオーバーフローした事を検出すると割込発生部３０４にその旨を通知する攻撃検知部１０７、攻撃検知部１０７より通知があるとＣＰＵ３０２に対して割込を発生させるように動作する割込発生部３０４、ＣＰＵ３０２がネットワークインターフェース３０１のパケットバッファ１０５と攻撃パケットテーブル１０９にアクセス可能な機能を提供するＩ／Ｏ部３０３、および、攻撃パケットテーブル１０９を記憶するテーブル記憶部１１０を備える。
　つまり、割込発生部３０４は、パケットバッファ１０５のオーバーフローをＣＰＵ３０２に通知する通知手段として機能する。また、Ｉ／Ｏ部３０３は、ＣＰＵ３０２がパケットバッファ１０５の内容にアクセス可能となるようにＣＰＵ３０２とパケットバッファ１０５とを接続する入出力手段として機能する。
　本実施の形態では、ＣＰＵ３０２は、割込発生部３０４からの割込信号を受信すると、ＨＤＤやＥＥＰＲＯＭなどの不揮発性記録媒体（図９に図示せず）に格納された攻撃判定プログラムを実行する。
　なお、実施の形態１における統計情報１１１と同様のデータも、例えば、当該不揮発性記録媒体に格納されている。
　この構成により、実施の形態１における更新部１０８が行う、パケットの解析（図２のＳ２０２）から攻撃パケットテーブルの更新（図２のＳ２０８）までの処理と同じ処理が実行される。
　つまり、ＣＰＵ３０２が攻撃判定プログラムを実行することで、攻撃検知部１０７によりＤｏＳ攻撃が検知された場合に攻撃パケットテーブル１０９が更新される。
　このように、本実施の形態においては、割込発生部３０４、ＣＰＵ３０２、およびＩ／Ｏ部３０３により、本発明の攻撃パケット検知装置における更新部が実現されている。これにより、上位アプリケーションレイヤにおいても、ＤｏＳ攻撃をされたタイミングで攻撃パケットを防御することが容易に実現可能である。
　（実施の形態１～３の補足事項）
　以上説明したように、実施の形態１～３における、ネットワークインターフェース１０１、２０１および３０１のそれぞれは、受信パケットを蓄積するパケットバッファ１０５を備え、攻撃パケットをメインメモリ１０２に転送する前に破棄する機能を有する。
　また、ネットワークインターフェース１０１、２０１および３０１のそれぞれは、攻撃パケットの破棄の際に参照する攻撃パケットテーブル１０９または２０９を、パケットバッファ１０５に蓄積されたパケットから得られる情報を用いて更新することができる。これにより、ＤｏＳ攻撃に対する効率のよい防御を実現している。
　従って、ネットワークインターフェース１０１、２０１および３０１のそれぞれは、処理能力の低い家電機器等をＤｏＳ攻撃から保護する構成要素として有用である。
　そこで、実施の形態１におけるネットワークインターフェース１０１を例にとり、ネットワークインターフェース１０１を備える３種類の家電機器の構成について、図１０～図１２を用いて説明する。
　図１０は、実施の形態１におけるネットワークインターフェース１０１を備える映像受信装置１１００の主要な構成を示すブロック図である。
　図１０に示す映像受信装置１１００は、例えば、放送データ受信し表示するテレビであり、表示制御部１１１０と、チューナ１１２０と、デコーダ１１３０と、表示装置１１４０と、攻撃パケット検知装置１１５０とを備える。
　攻撃パケット検知装置１１５０は、ネットワークインターフェース１０１と、メインメモリ１１０２とを含む。
　映像受信装置１１００では、チューナ１１２０が受信した放送データ（例えばＭＰＥＧ－２　ＴＳ（Ｔｒａｎｓｐｏｒｔ　Ｓｔｒｅａｍ））を、デコーダ１１３０が復号する。この復号により得られる映像は表示装置１１４０に表示される。なお、これら一連の処理は、表示制御部１１１０により制御される。
　また、映像受信装置１１００は、ネットワークインターフェース１０１を介して、インターネット等のネットワークに接続されている。ネットワークインターフェース１０１は、複数のパケットに分割されて伝送されるデータ、例えば、動画データ、静止画データ、ＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ファイル、およびテキストデータ等を受信する。
　このとき、図２等を用いて説明したように、ネットワークインターフェース１０１は、受信したパケットのうち、攻撃パケットテーブル１０９に基づいて攻撃パケットに該当すするパケットを破棄する。また、攻撃パケットに該当しないパケットを、メインメモリ１１０２に転送する。
　表示制御部１１１０は、メインメモリ１１０２からパケットを読み出して、読み出したパケットに示される情報を表示装置１１４０に表示させる。
　これにより、例えば、インターネットを介して受信したＷｅｂコンテンツが表示装置に表示される。
　なお、表示制御部１１１０が有する上記の各種処理機能は、例えば、ＣＰＵ、記憶装置、および情報の入出力を行うインターフェース等を有するコンピュータが、所定のプログラムを実行することにより実現される。
　このように、映像受信装置１１００は、攻撃パケット検知装置１１５０を備えている。これにより、映像受信装置１１００が、ＤｏＳ攻撃を受けた場合であっても、ネットワークインターフェース１０１内で攻撃パケットは破棄され、かつ、Ｗｅｂコンテンツ等を構成するパケットはメインメモリ１１０２に転送され、表示制御部１１１０により適切に処理される。
　また、未知の攻撃パケットが送信された場合であっても、映像受信装置１１００は、攻撃パケットテーブル１０９を更新することで、当該攻撃パケットをメインメモリ１１０２に転送する前に破棄することができる。つまり、映像受信装置１１００は、効率よくＤｏＳ攻撃を防御することができる。
　図１１は、実施の形態１におけるネットワークインターフェース１０１を備えるコンテンツ記録装置１２００の主要な構成を示すブロック図である。
　図１１に示すコンテンツ記録装置１２００は、映像データおよび音声データのうちの少なくとも一方を含むコンテンツデータを受信し、受信したコンテンツデータを記録する装置である。コンテンツ記録装置１２００は、例えばハードディスクレコーダ、または、ブルーレイディスクレコーダ等として実現される。
　コンテンツ記録装置１２００は、記録部１２１０と、記録媒体１２２０と、データ処理部１２３０と、出力部１２４０と、攻撃パケット検知装置１２５０とを備える。
　攻撃パケット検知装置１２５０は、ネットワークインターフェース１０１と、メインメモリ１２０２とを含む。
　コンテンツ記録装置１２００は、パケット単位で送信されるコンテンツデータをネットワークインターフェース１０１を介して受信する。受信したコンテンツデータは、記録部１２１０により記録媒体１２２０に記録される。このとき、データ処理部１２３０は、例えばユーザによる設定に応じて、コンテンツデータに対し復号および圧縮符号化等の処理を行う。また、処理後のコンテンツデータは記録部１２１０により記録媒体１２２０に記録される。
　記録媒体１２２０に記録されたコンテンツデータは、データ処理部１２３０により復号等の処理がなされ、出力部１２４０から出力される。
　ここで、記録部１２１０は、具体的には、ネットワークインターフェース１０１からメインメモリ１２０２に転送されたパケットを、メインメモリ１２０２から読み出して記録媒体１２２０に記録する。
　従って、コンテンツ記録装置１２００がＤｏＳ攻撃を受けた場合であっても、ネットワークインターフェース１０１内で攻撃パケットは破棄され、かつ、コンテンツデータを構成するパケットはメインメモリ１２０２に転送され、記録部１２１０により適切に処理される。
　また、未知の攻撃パケットが送信された場合であっても、コンテンツ記録装置１２００は、攻撃パケットテーブル１０９を更新することで、当該攻撃パケットをメインメモリ１２０２に転送する前に破棄することができる。つまり、コンテンツ記録装置１２００は、効率よくＤｏＳ攻撃を防御することができる。
　図１２は、実施の形態１におけるネットワークインターフェース１０１を備えるＩＰ通信装置１３００の主要な構成を示すブロック図である。
　図１２に示すＩＰ通信装置１３００は、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）通信を行う装置である。ＩＰ通信装置１３００は、例えば、ＩＰ通信により送信されるコンテンツデータを受信しテレビに出力するセットトップボックスとして実現される。
　ＩＰ通信装置１３００は、パケット処理部１３１０と、出力部１３２０と、攻撃パケット検知装置１３５０とを備える。
　攻撃パケット検知装置１３５０は、ネットワークインターフェース１０１と、メインメモリ１３０２とを含む。
　ＩＰ通信装置１３００は、パケット単位で送信されるコンテンツデータをネットワークインターフェース１０１介して受信する。パケット処理部１３１０は、受信したコンテンツデータに対し復号およびスクランブル解除等の処理を行い、映像信号および音声信号の少なくとも一方を含む信号を生成する。
　パケット処理部１３１０により生成された信号は、出力部１３２０を介して、ＩＰ通信装置１３００に接続されたテレビ等の外部機器に出力される。
　ここで、パケット処理部１３１０は、ネットワークインターフェース１０１からメインメモリ１３０２に転送されたパケットを、メインメモリ１３０２から読み出して処理する。
　従って、ＩＰ通信装置１３００がＤｏＳ攻撃を受けた場合であっても、ネットワークインターフェース１０１内で攻撃パケットは破棄され、かつ、コンテンツデータを構成するパケットはメインメモリ１３０２に転送され、パケット処理部１３１０により適切に処理される。
　また、未知の攻撃パケットが送信された場合であっても、ＩＰ通信装置１３００は、攻撃パケットテーブル１０９を更新することで、当該攻撃パケットをメインメモリ１３０２に転送する前に破棄することができる。つまり、ＩＰ通信装置１３００は、効率よくＤｏＳ攻撃を防御することができる。
　なお、図１０～図１２に示す各装置は、ネットワークインターフェース１０１に換えて、ネットワークインターフェース２０１またはネットワークインターフェース３０１を備えてもよい。いずれの場合であっても、各装置は、ＤｏＳ攻撃に対する効率的な防御を行うことができる。
　また、各装置が、ネットワークインターフェース３０１を備える場合、図９を用いて説明したように、各装置が備えるＣＰＵが攻撃判定プログラムを実行することで、攻撃パケットテーブル１０９の更新処理が実現される。
　以上のように、本発明によれば、受信したパケットから得られる情報を用いて攻撃パケットテーブルを更新することができる。そのため、受信パケットが攻撃パケットであるか否かの判定は効率よく行われ、その結果、ＤｏＳ攻撃に対する効率のよい防御が実現される。
　従って、本発明は、ネットワーク機器をＤｏＳ攻撃から保護するための、攻撃パケット検知装置および攻撃パケット検知方法として有用である。また、本発明は、テレビ、ハードディスクレコーダ、ブルーレイディスクレコーダ、セットトップボックス等のネットワーク機器としても有用である。
　　１０１、２０１、３０１　　ネットワークインターフェース
　　１０２、１１０２、１２０２、１３０２　　メインメモリ
　　１０３　　パケット受信部
　　１０４　　比較部
　　１０４ａ　破棄部
　　１０５　　パケットバッファ
　　１０６　　転送部
　　１０７　　攻撃検知部
　　１０８、２０８　　更新部
　　１０９、２０９　　攻撃パケットテーブル
　　１１０　　テーブル記憶部
　　１１１　　統計情報
　　３０２　　ＣＰＵ
　　３０３　　Ｉ／Ｏ部
　　３０４　　割込発生部
　１１００　　映像受信装置
　１１１０　　表示制御部
　１１２０　　チューナ
　１１３０　　デコーダ
　１１４０　　表示装置
　１１５０、１２５０、１３５０　　攻撃パケット検知装置
　１２００　　コンテンツ記録装置
　１２１０　　記録部
　１２２０　　記録媒体
　１２３０　　データ処理部
　１２４０、１３２０　　出力部
　１３００　　ＩＰ通信装置
　１３１０　　パケット処理部

Claims (14)

  1. 　パケットを受信する受信部と、前記受信部が受信したパケットを蓄積するパケットバッファと、前記パケットバッファに蓄積されたパケットをメインメモリに転送する転送部とを備える攻撃パケット検知装置であって、
    　前記パケットバッファのパケットの蓄積量に基づいて、大量のパケットの送信による攻撃を検知する攻撃検知部と、
    　前記大量のパケットの送信による攻撃に用いられるパケットである攻撃パケットを識別する情報が登録される攻撃パケット情報を記憶する記憶部と、
    　前記攻撃検知部により前記攻撃が検知された場合、前記パケットバッファに蓄積されているパケットから得られる情報を用いて、前記攻撃パケット情報を更新する更新部と、
    　前記受信部が受信したパケットが、前記更新部により更新された攻撃パケット情報に示される情報に該当する場合、当該パケットを、当該パケットが前記メインメモリに転送される前に破棄する破棄部と
    　を備える攻撃パケット検知装置。
  2. 　前記更新部は、前記パケットバッファに蓄積された複数のパケットそれぞれから属性情報を取得し、同一の属性情報を有するパケットの個数またはサイズを積算し、当該積算結果が所定の閾値以上である場合、前記属性情報を前記攻撃パケット情報に追加することで前記攻撃パケット情報を更新し、
    　前記破棄部は、前記受信部が受信したパケットの属性情報が、前記更新部により更新された攻撃パケット情報に含まれている場合、当該パケットを破棄する
    　請求項１記載の攻撃パケット検知装置。
  3. 　前記更新部は、
    　前記パケットバッファに蓄積されたパケットそれぞれの属性情報であるヘッダ情報と、ヘッダ情報ごとのパケットの累積個数または累積サイズとを記録するための統計情報を有し、
    　前記攻撃検知部により前記攻撃が検知された場合、前記パケットバッファに蓄積されているパケットのヘッダ情報を読み出し、（ａ）読み出したヘッダ情報が前記統計情報に含まれていない場合、当該ヘッダ情報のエントリを前記統計情報に追加し、（ｂ）読み出したヘッダ情報が前記統計情報に含まれている場合、当該ヘッダ情報に対応する累積個数または累積サイズに１または当該パケットのサイズを加算し、
    　前記統計情報に示される、前記所定の閾値以上の累積個数または累積サイズに対応するヘッダ情報を前記攻撃パケット情報に追加することで前記攻撃パケット情報を更新する
    　請求項２記載の攻撃パケット検知装置。
  4. 　前記更新部は、前記パケットバッファに蓄積された複数のパケットそれぞれから属性情報を取得し、同一の属性情報を有するパケットの単位時間あたりの蓄積個数または蓄積容量の増加量を算出し、当該算出結果が所定の閾値以上である場合、前記属性を示す情報を前記攻撃パケット情報に追加することで前記攻撃パケット情報を更新し、
    　前記破棄部は、前記受信部が受信したパケットから得られる属性情報が前記更新部により更新された攻撃パケット情報に含まれている場合、当該パケットを破棄する
    　請求項１記載の攻撃パケット検知装置。
  5. 　前記攻撃パケット情報には、予め、前記攻撃パケットを識別する情報である攻撃パターンが登録されており、
    　前記更新部は、前記パケットバッファに蓄積されているパケットから得られる情報が、前記攻撃パターンに該当する場合、前記攻撃パターンが有効であることを示す情報を前記攻撃パケット情報に記録することで、前記攻撃パケット情報を更新し、
    　前記破棄部は、前記攻撃パケット情報に示される、有効である攻撃パターンに該当するパケットを破棄する
    　請求項１記載の攻撃パケット検知装置。
  6. 　さらに、前記更新部により更新された攻撃パケット情報と、前記受信部が受信したパケットとを比較し、当該パケットが前記攻撃パケット情報に示される情報に該当しない場合、当該パケットを前記パケットバッファに送信する比較部を備え、
    　前記破棄部は、前記比較部による比較の結果、当該パケットが前記攻撃パケット情報に示される情報に該当する場合、当該パケットが前記パケットバッファに送信される前に当該パケットを破棄し、
    　前記パケットバッファは、前記比較部から送信されたパケットを蓄積する
    　請求項１記載の攻撃パケット検知装置。
  7. 　前記攻撃検知部は、前記パケットバッファに蓄積されているパケットの蓄積量、または、前記蓄積量の単位時間当たりの増加量が所定の閾値を超えたことを検出することで、前記攻撃を検知する
    　請求項１記載の攻撃パケット検知装置。
  8. 　前記転送部は、前記パケットバッファに蓄積されているパケットの前記メインメモリへの単位時間あたりの転送個数である転送速度の変更を受け付けると、変更後の転送速度で前記パケットバッファに蓄積されているパケットを転送する
    　請求項７記載の攻撃パケット検知装置。
  9. 　前記攻撃検知部は、前記パケットバッファに蓄積されているパケットの蓄積量が前記所定の閾値を越えることによるパケットバッファのオーバーフローを検出することで、前記攻撃を検知する
    　請求項７記載の攻撃パケット検知装置。
  10. 　映像データを受信し、受信した映像データに示される映像を表示装置に表示する映像受信装置であって、
    　請求項１記載の攻撃パケット検知装置と、
    　前記攻撃パケット検知装置により前記メインメモリに転送されたパケットを前記メインメモリから読み出して、読み出したパケットに含まれる映像を前記表示装置に表示させる表示制御部と
    　を備える映像受信装置。
  11. 　映像データおよび音声データのうちの少なくとも一方を含むコンテンツデータを受信し、受信したコンテンツデータを記録するコンテンツ記録装置であって、
    　請求項１記載の攻撃パケット検知装置と、
    　前記攻撃パケット検知装置により前記メインメモリに転送された複数のパケットで構成されるコンテンツデータを前記メインメモリから読み出して、前記コンテンツデータを記録媒体に記録する記録部と
    　を備えるコンテンツ記録装置。
  12. 　ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）通信を行うＩＰ通信装置であって、
    　請求項１記載の攻撃パケット検知装置と、
    　前記攻撃パケット検知装置により前記メインメモリに転送された複数のパケットを前記メインメモリから読み出して処理し、映像信号および音声信号の少なくとも一方を含む信号を生成するパケット処理部と、
    　前記パケット処理部により生成された信号を、外部の機器に出力する出力部と
    　を備えるＩＰ通信装置。
  13. 　パケットを受信する受信部と、前記受信部が受信したパケットを蓄積するパケットバッファと、前記パケットバッファに蓄積されたパケットをメインメモリに転送する転送部とを備える攻撃パケット検知装置によって実行される攻撃パケット検知方法であって、
    　前記パケットバッファのパケットの蓄積量に基づいて、大量のパケットの送信による攻撃を検知する攻撃検知ステップと、
    　前記攻撃検知ステップにおいて前記攻撃が検知された場合、前記パケットバッファに蓄積されているパケットから得られる情報を用いて、前記大量のパケットの送信による攻撃に用いられるパケットである攻撃パケットを識別する情報が登録される攻撃パケット情報を更新する更新ステップと、
    　前記受信部が受信したパケットが、前記更新ステップにおいて更新された攻撃パケット情報に示される情報に該当する場合、当該パケットを、当該パケットが前記メインメモリに転送される前に破棄する破棄ステップと
    　を含む攻撃パケット検知方法。
  14. 　攻撃パケット検知装置が行う処理のうち少なくとも一部の処理を実行するためのプログラムであって、
    　前記攻撃パケット検知装置は、
    　パケットを受信する受信部と、
    　前記受信部が受信したパケットを蓄積するパケットバッファと、
    　前記パケットバッファに蓄積されたパケットをメインメモリに転送する転送部と、
    　前記パケットバッファのパケットの蓄積量に基づいて、大量のパケットの送信による攻撃を検知する攻撃検知部と、
    　前記大量のパケットの送信による攻撃に用いられるパケットである攻撃パケットを識別する情報が登録される攻撃パケット情報を記憶する記憶部と、
    　前記受信部が受信したパケットが、前記記憶部に記憶されている攻撃パケット情報に示される情報に該当する場合、当該パケットを、当該パケットが前記メインメモリに転送される前に破棄する破棄部とを備え、
    　前記プログラムは、
    　前記攻撃検知部により前記攻撃が検知された場合、前記パケットバッファに蓄積されているパケットから得られる情報を用いて、前記攻撃パケット情報を更新する更新ステップ
    　をコンピュータに実行させるためのプログラム。
PCT/JP2009/002111 2008-05-16 2009-05-14 攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびｉｐ通信装置 WO2009139170A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2010511890A JPWO2009139170A1 (ja) 2008-05-16 2009-05-14 攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびｉｐ通信装置
US12/992,700 US20110066896A1 (en) 2008-05-16 2009-05-14 Attack packet detecting apparatus, attack packet detecting method, video receiving apparatus, content recording apparatus, and ip communication apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008-130061 2008-05-16
JP2008130061 2008-05-16

Publications (1)

Publication Number Publication Date
WO2009139170A1 true WO2009139170A1 (ja) 2009-11-19

Family

ID=41318545

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/002111 WO2009139170A1 (ja) 2008-05-16 2009-05-14 攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびｉｐ通信装置

Country Status (3)

Country Link
US (1) US20110066896A1 (ja)
JP (1) JPWO2009139170A1 (ja)
WO (1) WO2009139170A1 (ja)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120317643A1 (en) * 2011-06-09 2012-12-13 Samsung Electronics Co., Ltd. Apparatus and method preventing overflow of pending interest table in name based network system
WO2015052854A1 (ja) * 2013-10-07 2015-04-16 日本電気株式会社 トラフィック管理システムおよびトラフィック管理方法
KR20160033735A (ko) * 2013-07-18 2016-03-28 엠파이어 테크놀로지 디벨롭먼트 엘엘씨 메모리 공격 검출
JP2016181874A (ja) * 2015-03-25 2016-10-13 日本電気株式会社 通信制御装置、及び通信制御方法
JPWO2016031384A1 (ja) * 2014-08-27 2017-04-27 日本電気株式会社 通信システム、管理装置、通信装置、方法、およびプログラム
JP2021027427A (ja) * 2019-08-01 2021-02-22 株式会社デンソー 電子制御装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150128262A1 (en) * 2011-10-28 2015-05-07 Andrew F. Glew Taint vector locations and granularity
US9471373B2 (en) 2011-09-24 2016-10-18 Elwha Llc Entitlement vector for library usage in managing resource allocation and scheduling based on usage and priority
US9460290B2 (en) 2011-07-19 2016-10-04 Elwha Llc Conditional security response using taint vector monitoring
US9798873B2 (en) 2011-08-04 2017-10-24 Elwha Llc Processor operable to ensure code integrity
US9443085B2 (en) 2011-07-19 2016-09-13 Elwha Llc Intrusion detection using taint accumulation
US9575903B2 (en) 2011-08-04 2017-02-21 Elwha Llc Security perimeter
US9465657B2 (en) 2011-07-19 2016-10-11 Elwha Llc Entitlement vector for library usage in managing resource allocation and scheduling based on usage and priority
US9558034B2 (en) 2011-07-19 2017-01-31 Elwha Llc Entitlement vector for managing resource allocation
JP6432377B2 (ja) * 2015-02-09 2018-12-05 富士通株式会社 メッセージログ除去装置、メッセージログ除去方法、及びメッセージログ除去プログラム
CN105224246B (zh) * 2015-09-25 2018-11-09 联想(北京)有限公司 一种信息以及内存配置方法和装置
US10735459B2 (en) 2017-11-02 2020-08-04 International Business Machines Corporation Service overload attack protection based on selective packet transmission
CN110392034B (zh) * 2018-09-28 2020-10-13 新华三信息安全技术有限公司 一种报文处理方法及装置
JP7149888B2 (ja) * 2018-10-17 2022-10-07 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 情報処理装置、情報処理方法及びプログラム
US10951649B2 (en) * 2019-04-09 2021-03-16 Arbor Networks, Inc. Statistical automatic detection of malicious packets in DDoS attacks using an encoding scheme associated with payload content
CN111198900B (zh) * 2019-12-31 2023-06-09 成都烽创科技有限公司 工业控制网络的数据缓存方法、装置、终端设备及介质
CN113595957B (zh) * 2020-04-30 2022-11-08 华为技术有限公司 一种网络防御方法及安全检测设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004059914A1 (ja) * 2002-12-26 2004-07-15 Matsushita Electric Industrial Co., Ltd. ネットワーク端末装置、通信過負荷回避方法およびプログラム
JP2005045649A (ja) * 2003-07-24 2005-02-17 Toshiba Corp 攻撃パケット検出装置及び方法
JP2006146837A (ja) * 2004-11-25 2006-06-08 Nippon Telegr & Teleph Corp <Ntt> 攻撃防御方法およびファイアウォールシステム
JP2006314077A (ja) * 2005-04-06 2006-11-16 Alaxala Networks Corp ネットワーク制御装置と制御システム並びに制御方法
WO2008050651A1 (fr) * 2006-10-26 2008-05-02 Nec Corporation Dispositif de communication, procédé de communication et programme de communication

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004289298A (ja) * 2003-03-19 2004-10-14 Fujitsu Ltd データ処理装置
JP2005277804A (ja) * 2004-03-25 2005-10-06 Hitachi Ltd 情報中継装置
US7411957B2 (en) * 2004-03-26 2008-08-12 Cisco Technology, Inc. Hardware filtering support for denial-of-service attacks
JP2006148778A (ja) * 2004-11-24 2006-06-08 Nippon Telegr & Teleph Corp <Ntt> パケット転送制御装置
US7764612B2 (en) * 2005-06-16 2010-07-27 Acme Packet, Inc. Controlling access to a host processor in a session border controller
US8074275B2 (en) * 2006-02-01 2011-12-06 Cisco Technology, Inc. Preventing network denial of service attacks by early discard of out-of-order segments
US7940657B2 (en) * 2006-12-01 2011-05-10 Sonus Networks, Inc. Identifying attackers on a network
US7853998B2 (en) * 2007-03-22 2010-12-14 Mocana Corporation Firewall propagation
US20090083811A1 (en) * 2007-09-26 2009-03-26 Verivue, Inc. Unicast Delivery of Multimedia Content

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004059914A1 (ja) * 2002-12-26 2004-07-15 Matsushita Electric Industrial Co., Ltd. ネットワーク端末装置、通信過負荷回避方法およびプログラム
JP2005045649A (ja) * 2003-07-24 2005-02-17 Toshiba Corp 攻撃パケット検出装置及び方法
JP2006146837A (ja) * 2004-11-25 2006-06-08 Nippon Telegr & Teleph Corp <Ntt> 攻撃防御方法およびファイアウォールシステム
JP2006314077A (ja) * 2005-04-06 2006-11-16 Alaxala Networks Corp ネットワーク制御装置と制御システム並びに制御方法
WO2008050651A1 (fr) * 2006-10-26 2008-05-02 Nec Corporation Dispositif de communication, procédé de communication et programme de communication

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120317643A1 (en) * 2011-06-09 2012-12-13 Samsung Electronics Co., Ltd. Apparatus and method preventing overflow of pending interest table in name based network system
US9143527B2 (en) * 2011-06-09 2015-09-22 Samsung Electronics Co., Ltd. Apparatus and method preventing overflow of pending interest table in name based network system
KR20160033735A (ko) * 2013-07-18 2016-03-28 엠파이어 테크놀로지 디벨롭먼트 엘엘씨 메모리 공격 검출
KR101723100B1 (ko) 2013-07-18 2017-04-05 엠파이어 테크놀로지 디벨롭먼트 엘엘씨 메모리 공격 검출
US9965626B2 (en) 2013-07-18 2018-05-08 Empire Technology Development Llc Memory attack detection
WO2015052854A1 (ja) * 2013-10-07 2015-04-16 日本電気株式会社 トラフィック管理システムおよびトラフィック管理方法
JPWO2016031384A1 (ja) * 2014-08-27 2017-04-27 日本電気株式会社 通信システム、管理装置、通信装置、方法、およびプログラム
JP2016181874A (ja) * 2015-03-25 2016-10-13 日本電気株式会社 通信制御装置、及び通信制御方法
JP2021027427A (ja) * 2019-08-01 2021-02-22 株式会社デンソー 電子制御装置
JP7172909B2 (ja) 2019-08-01 2022-11-16 株式会社デンソー 電子制御装置

Also Published As

Publication number Publication date
US20110066896A1 (en) 2011-03-17
JPWO2009139170A1 (ja) 2011-09-15

Similar Documents

Publication Publication Date Title
WO2009139170A1 (ja) 攻撃パケット検知装置、攻撃パケット検知方法、映像受信装置、コンテンツ記録装置、およびｉｐ通信装置
US9699506B2 (en) Methods, systems and computer program products for providing internet protocol television communication services
JP4547342B2 (ja) ネットワーク制御装置と制御システム並びに制御方法
US9270643B2 (en) State-transition based network intrusion detection
US8312558B2 (en) System and method of managing protected video content
JP2009534001A (ja) 悪質な攻撃の検出システム及びそれに関連する使用方法
US20040215976A1 (en) Method and apparatus for rate based denial of service attack detection and prevention
US10051323B2 (en) Network content monitoring
JP2007013262A (ja) ワーム判定プログラム、ワーム判定方法およびワーム判定装置
US7535909B2 (en) Method and apparatus to process packets in a network
CN110830460A (zh) 一种连接建立方法、装置、电子设备及存储介质
US7936677B2 (en) Selection of an audio visual stream by sampling
WO2011152052A1 (ja) 通信制御装置およびパケットフィルタリング方法
EP4293550A1 (en) Traffic processing method and protection system
JP2007013263A (ja) ワーム判定プログラム、ワーム判定方法およびワーム判定装置
JP5127670B2 (ja) フィルタ装置及びフィルタ方法及びプログラム
CN108183926B (zh) 一种数据包处理方法和装置
US7434297B1 (en) Tracking computer infections
JP2009081736A (ja) パケット転送装置及びパケット転送プログラム
JP2006238039A (ja) パケット処理装置
US9032454B2 (en) System and method of providing interactive content
US10305754B2 (en) Apparatus and method to collect packets related to abnormal connection
JP4235907B2 (ja) ワーム伝播監視システム
JP5019232B2 (ja) トラフィック制御システム、制御方法、ホームゲートウェイ装置および制御プログラム
JP2009081783A (ja) 通信障害切り分け方法、通信障害切り分け機能を有する受信端末およびネットワーク装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09746377

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2010511890

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 12992700

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09746377

Country of ref document: EP

Kind code of ref document: A1