WO2016002915A1 - 攻撃検出装置、攻撃検出方法、および攻撃検出プログラム - Google Patents

攻撃検出装置、攻撃検出方法、および攻撃検出プログラム Download PDF

Info

Publication number
WO2016002915A1
WO2016002915A1 PCT/JP2015/069215 JP2015069215W WO2016002915A1 WO 2016002915 A1 WO2016002915 A1 WO 2016002915A1 JP 2015069215 W JP2015069215 W JP 2015069215W WO 2016002915 A1 WO2016002915 A1 WO 2016002915A1
Authority
WO
WIPO (PCT)
Prior art keywords
session
attack
attack detection
packet
window size
Prior art date
Application number
PCT/JP2015/069215
Other languages
English (en)
French (fr)
Inventor
弘幸 野岡
勇二 山田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to EP15814603.5A priority Critical patent/EP3139550B1/en
Priority to US15/320,171 priority patent/US10505952B2/en
Priority to CN201580033721.5A priority patent/CN106471778B/zh
Publication of WO2016002915A1 publication Critical patent/WO2016002915A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]

Definitions

  • the present invention relates to an attack detection device, an attack detection method, and an attack detection program for detecting an attack performed by a client on a server based on a packet transmitted and received between the client and the server.
  • DoS can be roughly classified into two types of attacks.
  • the first is an attack mode in which a malicious attacker sends abnormal data or an abnormal packet to cause the software of the service provider to take an abnormal behavior.
  • the second is an attack that floods the bandwidth of the service provider and the processing capability of the communication device by sending a large amount of traffic.
  • the size of the reception buffer to be notified to the communication partner (window size) is extremely small to limit the amount of information that the communication partner can transmit at one time, and the communication is prolonged and the session is illegally occupied.
  • a new attack called READ DoS has become a problem (see Non-Patent Document 1).
  • Patent Document 1 With the technology of Patent Document 1, it is possible to detect an attack that causes an abnormal termination of communication such that an attacker abandons communication in the middle, but an attack that is executed while proceeding with normal communication procedures. There is a problem that detection is impossible. For example, since Slow READ DoS is established as an attack by not terminating communication, the conventional technique such as Patent Document 1 cannot detect the attack.
  • the present invention has been made in view of the above circumstances, and an object of the present invention is to provide an attack detection device, an attack detection method, and an attack detection program capable of detecting an attack executed while proceeding with normal communication procedures. There is to do.
  • the present invention provides an attack detection apparatus, a collection unit that collects packets transmitted from a client to a server, a header information acquisition unit that acquires header information from the packets, and the header Attack detection means for determining whether or not each session is an attack session using information, and the attack detection means includes a window size of an arbitrary packet collected for each session and a window of another packet.
  • the comparison result satisfies a predetermined first condition, the session is detected as an attack session.
  • the other packet may be a packet transmitted after the arbitrary packet.
  • the attack detection means compares a plurality of statistical information of window sizes for each session, and if the comparison result satisfies a predetermined second condition, detects the session as an attack session. Also good.
  • the plurality of statistical information of the window size may be an average window size and a maximum window size.
  • the attack detection unit detects the session as an attack session. Also good.
  • the attack detection means calculates a throughput using the header information for each session, and detects the session as an attack session when the throughput is smaller than a predetermined second threshold. Also good.
  • the attack detection unit when the attack detection unit detects the attack session, the attack detection unit may transmit attack detection information including information for specifying the attack session to the administrator terminal.
  • the attack detection unit when the attack detection unit detects the attack session, the attack detection unit may transmit a reset packet to the server and the client to disconnect the attack session.
  • the present invention is an attack detection method performed by a computer, and includes a collection step of collecting packets transmitted from a client to a server, a header information acquisition step of acquiring header information from the packets, and each of the header information using the header information.
  • An attack detection step for determining whether or not the session is an attack session and the attack detection step compares a window size of an arbitrary packet collected with a window size of another packet for each session. If the comparison result satisfies the predetermined first condition, the session is detected as an attack session.
  • the present invention is an attack detection program executed by a computer, wherein the computer collects a packet transmitted from a client to a server, a header information acquisition unit that acquires header information from the packet, and the header information To function as an attack detection means for determining whether each session is an attack session, and the attack detection means includes a window size of an arbitrary packet collected for each session, a window size of another packet, and the like. If the comparison result satisfies a predetermined first condition, the session is detected as an attack session.
  • an attack detection device capable of detecting an attack executed while proceeding with a normal communication procedure.
  • 1 is an overall configuration diagram of an attack detection system to which a first embodiment is applied. It is a functional block diagram which shows the structure of the attack detection apparatus of 1st Embodiment. It is a figure which shows an example of packet header information. It is a flowchart which shows attack detection processing. It is a figure which shows an example of a session management table. It is a figure which shows an example of session output information. It is explanatory drawing explaining the attack defense process after attack detection. It is a whole block diagram which shows the attack detection apparatus with which 2nd Embodiment was applied. It is a functional block diagram which shows the structure of the attack detection apparatus of 2nd Embodiment. It is explanatory drawing explaining the attack defense process after attack detection.
  • FIG. 1 is an overall configuration diagram showing an attack detection system according to an embodiment of the present invention.
  • the attack detection system is installed between the service providing server 4 and the user terminal 5 (client) used by the service user, and monitors communication between the service providing server 4 and the user terminal 5 for unauthorized use. Detects attacks by attackers.
  • the service providing server 4 provides various services to the user terminal 5 via a network such as the Internet.
  • the illustrated attack detection system includes an attack detection device 1 and a traffic duplication device 2.
  • the traffic duplicating device 2 is installed between the service providing server 4 and the user terminal 5 and transfers packets (traffic) transmitted from the user terminal 5 to the service providing server 4 to the service providing server 4.
  • the packet is duplicated and output to the attack detection apparatus 1.
  • the attack detection device 1 detects an attack by an unauthorized user using the packet transmitted from the traffic duplicating device 2. Further, when detecting an attack, the attack detection device 1 notifies the administrator terminal 3 of the attack detection information via the management network.
  • FIG. 2 is a functional block diagram showing the configuration of the attack detection apparatus 1 of the present embodiment.
  • the illustrated attack detection apparatus 1 includes a packet collection unit 11, a header information acquisition unit 12, a totalization unit 13, an attack detection unit 14, a session management table 15, and a session log file 16.
  • the packet collection unit 11 collects packets output from the traffic duplication device 2 and transmitted from the user terminal 5 to the service providing server 4.
  • the header information acquisition unit 12 acquires header information from each packet collected by the packet collection unit 11.
  • the totaling unit 13 classifies and totalizes each packet for each session by using the acquired header information.
  • the attack detection unit 14 determines whether each session is an attack session by using the header information collected for each session. In this embodiment, for each session, the attack detection unit 14 compares the window size of an arbitrary packet collected with the window size of another packet, and if the comparison result satisfies a predetermined first condition, Detects the session as an attack session. The attack detection unit 14 compares a plurality of statistical information of window sizes for each session, and detects the session as an attack session when the comparison result satisfies a predetermined second condition. Moreover, the attack detection part 14 will transmit the attack detection information containing the information which identifies the said attack session to the administrator terminal 3, if an attack session is detected.
  • the session management table 15 stores session information (header tabulation information) for each session tabulated by the tabulation unit 13.
  • session information head tabulation information
  • the session information of the session is output as a log when the session ends.
  • FIG. 3 is a diagram showing an example of packet header information. Communication between the service providing server 4 and the user terminal 5 of the present embodiment is assumed to be performed using TCP packets.
  • the header information includes a transmission source IP address, a transmission source port number, a reception IP address, a reception port number, a time stamp, a TCP flag, a window size, a packet size, and the like.
  • a session can be identified (identified) by four items: a source IP address, a source port number, a reception IP address, and a reception port number.
  • the window size is the size of its own reception buffer that is notified to the communication partner.
  • the size of the reception buffer of the user terminal 5 itself notified to the service providing server 4 which is the communication partner is set as the window size.
  • the attack detection device 1 described above can use, for example, a general-purpose computer system including a CPU, a memory, an external storage device such as a hard disk, and the like.
  • each function of the attack detection device 1 is realized by the CPU executing a program for the attack detection device 1 loaded on the memory.
  • the program for the attack detection apparatus 1 can be stored in a computer-readable recording medium such as a hard disk, a flexible disk, a CD-ROM, an MO, a DVD-ROM, or can be distributed via a network.
  • FIG. 4 is a flowchart of the attack detection process of the attack detection apparatus 1 of the present embodiment.
  • the packet collection unit 11 of the attack detection device 1 receives and collects packets transmitted from the user terminal 5 to the service providing server 4 from the traffic duplication device 2 (S11).
  • the header information acquisition unit 12 acquires header information from the packet collected in S11, and uses the transmission source IP address, transmission source port number, reception IP address, and reception port number included in the header information.
  • a session is specified (S12).
  • the aggregation unit 13 determines whether or not the session of the packet exists in the session management table 15 (S13).
  • the session of the packet does not exist in the session management table 15 (S13: NO) and the TCP packet of the header information is a SYN packet with “SYN” (session opening request) (S14: YES)
  • the counting unit 13 Registers the session of the packet received in S11 in the session management table 15 (S15). Then, the process returns to S11 and the next received packet is processed.
  • FIG. 5 is a diagram illustrating an example of the session management table 15.
  • session information header total information
  • session specifying information for specifying a session and session information are stored in association with each other.
  • the illustrated session information includes a time stamp indicating the arrival time of the SYN packet, a time stamp indicating the arrival time of the last packet, the window size of any packet, the maximum value of the window size, the minimum value of the window size, and the window size. Average value of packets, square sum of window size of packet, total number of packets reached, total packet size, suspicion score, presence / absence of alert notification, and the like.
  • the window size of an arbitrary packet is, for example, a window size such as a SYN packet or an ACK packet.
  • the counting unit 13 uses the header information of the packet to set the session identification information, the timestamp of the SYN packet, and the window size of the SYN packet when an arbitrary packet is a SYN packet. Records are registered in the session management table 15.
  • the aggregation unit 13 is not the first SYN packet transmitted at the time of session establishment even though the session does not exist in the session management table 15. Assuming that the packet is an abnormal packet, the header information of the packet received in S11 is discarded (S16). Then, the process returns to S11 and the next received packet is processed.
  • the aggregation unit 13 aggregates the header information of the session and updates the session information in the session management table 15 ( S17). That is, the aggregation unit 13 calculates and updates session information such as the maximum value, minimum value, average value, and sum of squares of the window size using the header information of the packet received in S11.
  • the attack detection unit 14 calculates a suspicion score using the session information after the update of the session in the session management table 15 (S18).
  • the suspicion score is calculated using the window size of the header information.
  • the SLOW READ DoS attack that limits the amount of information that can be transmitted at one time by the communication partner by making its own window size extremely small, and continues to occupy the session illegally by extending the communication length, the window size becomes small during communication There is a feature. Setting the window size to be small is a normal operation of TCP, so it is difficult to determine whether it is an attack or a normal operation. Therefore, in this embodiment, the SLOW READ DoS attack is detected with higher accuracy by focusing on the transition (behavior) of the window size.
  • the window size of an arbitrary packet set in the session management table 15 is compared with the window size of the received packet. Then, when the comparison result satisfies a predetermined condition, it is determined that the session is an attack session, and a predetermined value is set in the suspicion score. For example, when an arbitrary packet is a SYN packet, the window size of the SYN packet is extremely larger than the window size of the subsequent packet, that is, the window size of the subsequent packet is extremely small compared to the window size of the SYN packet. In the case (for example, when the following formula is satisfied), it is determined that the session is an attack session. SYN packet window size-subsequent packet window size> predetermined threshold
  • the window size statistical information is statistical information calculated using the window size statistical information set in the session management table 15 or the window size statistical information set in the session management table 15. There may be. Further, the comparison of the statistical information may be a comparison between the statistical information or a comparison with a predetermined threshold value.
  • the maximum value of the window size set in the session management table 15 is compared with the average value of the window size, and when the comparison result satisfies a predetermined condition, it is determined that the session is an attack session, and the A predetermined value is set for the strength score. Specifically, when the ratio of the average value of the window size to the maximum value of the window size is smaller than a predetermined threshold (for example, when the following expression is satisfied), it is determined that the session is an attack session.
  • a predetermined threshold for example, when the following expression is satisfied
  • the attack detection unit 14 sets a predetermined first score value as the suspicion score of the session management table 15. . If only the method (2) is used to calculate the suspicion score and the condition is satisfied, the attack detection unit 14 sets a predetermined second score value as the suspicion score in the session management table 15. To do. In addition, when the methods (1) and (2) are used to calculate the suspicion score and the conditions (1) and (2) are satisfied, the attack detection unit 14 determines the first score value and A score value obtained by summing up the second score values is set as the suspicion score of the session management table 15. The first score value and the second score value may be the same value or different values.
  • the attack detection unit 14 determines whether or not the suspicion score calculated in S18 exceeds a predetermined detection threshold (S19), and if it exceeds the detection threshold (S19: YES), the session is attacked. Judge that it is a session. Note that the threshold for detection depends on whether only the method (1) is used to calculate the suspicion score, only when the method (2) is used, or when the method (1) and (2) are used. Set an appropriate value.
  • the attack detection unit 14 transmits the detection information (alert) to the administrator terminal 3 via the management network, and the alert notification in the session management table 15 is “ It is updated to “Yes” (S21).
  • the aggregation unit 13 outputs (stores) the record of the session determined to be an attack session from the session management table 15 to the session log file 16 as log information, and deletes the record of the session from the session management table 15 (S22). Then, the process returns to S11 and the next received packet is processed. Thereafter, when a packet of a session determined to be an attack session is received in S11, the session does not exist in the session management table 15 (S13: NO), and is not a SYN packet (S14: NO). The header information of the packet is discarded (S16).
  • FIG. 6 is a diagram showing an example of session log information output to the session log file 16.
  • the counting unit 13 If the detection threshold is not exceeded (S19: NO), and the packet received in S11 is a packet (FIN packet or RST packet) indicating the end or reset of the session (S20: YES), the counting unit 13 Considers that the session is terminated, outputs the record of the session to the session log file 16 as log information, and deletes the record of the session from the session management table 15 (S22). Then, the process returns to S11 and the next received packet is processed.
  • the FIN packet has a TCP flag “FIN” and indicates a session end.
  • the RST packet has a TCP flag “RST” and indicates a session reset (close).
  • the suspicion score is calculated using the window size, but the suspicion score may be calculated using other information of the session management table 15.
  • the attack detection unit 14 calculates a session establishment time that is the difference between the time stamp of the last packet (the packet received in S11) of the session management table 15 and the time stamp of the SYN packet, When it is larger than a predetermined threshold (for example, 30 seconds), the session may be determined as an attack session, and a predetermined score value may be added to the suspicion score.
  • a predetermined threshold for example, 30 seconds
  • the attack detection unit 14 calculates the throughput using the above-described session establishment time and the total packet size set in the session management table 15, and the throughput is smaller than a predetermined threshold (for example, 300 bps).
  • a predetermined threshold for example, 300 bps.
  • the session may be determined as an attack session, and a predetermined score value may be added to the doubt score.
  • attack defense processing after the attack detection device 1 detects an attack session (FIG. 4, S19: YES) will be described.
  • FIG. 7 is an explanatory diagram for explaining the attack defense processing.
  • the attack detection unit 14 of the attack detection device 1 transmits detection information indicating that an attack has been detected to the administrator terminal 3 by using e-mail, SNMP TRAP, or the like (S210).
  • the detection information includes session identification information (a transmission source IP address, a transmission source port number, a reception IP address, and a reception port number) of a session that is determined to be an attack session.
  • the administrator terminal 3 receives the detection information and presents it to an administrator such as a network operator.
  • the administrator inputs a setting instruction for setting the firewall (FW) 6 to disconnect the attack session set in the detection information to the administrator terminal 3.
  • the administrator terminal 3 sets the firewall 6 according to the input setting instruction (S220).
  • the firewall 6 discards the packet transmitted from the attacker user terminal 5 detected by the attack detection device 1 to the service providing server 4 via the CE router 7 (Customer Edge router), and communicates the attack session. Shut off.
  • the administrator terminal 3 sets the firewall 6 in response to the administrator's instruction.
  • the attack detection unit 14 of the attack detection device 1 transmits detection information to the administrator terminal 3.
  • the firewall 6 may be set to disconnect the attack session at the timing.
  • FIG. 8 is an overall configuration diagram showing an attack detection apparatus 1A according to the second embodiment of the present invention.
  • the attack detection device 1 ⁇ / b> A is installed between the service providing server 4 and the user terminal 5 without providing the traffic duplicating device 2.
  • FIG. 9 is a functional block diagram showing the configuration of the attack detection apparatus 1A of the second embodiment.
  • the attack detection apparatus 1A illustrated in FIG. 1 includes a packet transfer unit 10, a packet collection unit 11, a header information acquisition unit 12, a totaling unit 13, an attack detection unit 14, a session management table 15, and a session log file 16. Prepare.
  • the attack detection device 1A is different from the attack detection device 1 of the first embodiment in that the packet transfer unit 10 is provided.
  • the packet transfer unit 10 transfers a packet transmitted from the user terminal 5 to the service providing server 4 to the service providing server 4, copies the packet, and sends the packet to the packet collecting unit 11.
  • the packet collection unit 11, the header information acquisition unit 12, the totalization unit 13, the attack detection unit 14, the session management table 15, and the session log file 16 of the attack detection apparatus 1A are the same as those in the first embodiment. Since it is the same as that of the attack detection apparatus 1, description is abbreviate
  • FIG. 10 is an explanatory diagram for explaining the attack defense processing of the second embodiment.
  • the attack detection unit 14 of the attack detection apparatus 1A transmits an RST packet with the TCP flag “RST” to the user terminal 5 (attacker) that is the transmission source of the attack session (S31). Then, an RST packet is transmitted to the service providing server 4 that is the recipient of the attack session (S32), and the attack session is reset (closed).
  • the attack detection unit 14 transmits detection information indicating that an attack has been detected to the administrator terminal 3 (S33).
  • the service providing server 4 in order for the service providing server 4 to provide a service, it is used for each session established between the service providing server 4 and the user terminal 5 of the service user.
  • An unauthorized user (attacker) session is detected from the behavior of the header information included in the packet transmitted from the user terminal 5 to the service providing server 4.
  • an attack session is detected using the window size of the header information.
  • the amount of information that a communication partner can transmit at one time is limited by extremely reducing the window size of itself, such as a slow READ DoS attack that continues to occupy the session illegally by extending the communication. It is possible to detect attacks that are executed while proceeding with normal communication procedures.
  • reducing the size of the window that is notified to the communication partner is a normal behavior for communication congestion control. Therefore, simply setting a threshold value for each parameter value may erroneously detect a packet functioning normally for the original purpose as an attack. Therefore, in the present embodiment, by focusing on the transition (behavior) of the window size, it is possible to detect an attack executed while proceeding with a normal communication procedure such as a SLOW READ DoS attack with higher accuracy.
  • the present invention is not limited to the above-described embodiment, and various modifications are possible within the scope of the gist.
  • the firewall 6 is set as the attack defense process (FIG. 7), and in the second embodiment, the RST packet is transmitted as the attack defense method (FIG. 10).
  • the RST packet may be transmitted in the embodiment, and the firewall may be set in the second embodiment.
  • the two attack defense methods for setting the firewall 6 and transmitting the RST packet may be performed.
  • Attack detection apparatus 10 Packet transfer part 11: Packet collection part 12: Header information acquisition part 13: Aggregation part 14: Attack detection part 15: Session management table 16: Session log file 2: Traffic replication apparatus 3: Management User terminal 4: service providing server 5: user terminal 6: firewall 7: CE router

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　攻撃検出装置（１）であって、利用者端末（５）からサービス提供サーバ（４）へ送信されるパケットを収集するパケット収集部（１１）と、パケットからヘッダ情報を取得するヘッダ情報取得部（１２）と、ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検出部（１４）と、を備え、攻撃検出部（１４）は、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出する。

Description

攻撃検出装置、攻撃検出方法、および攻撃検出プログラム
　本発明は、クライアントとサーバ間で送受信されるパケットに基づいて、クライアントがサーバに対して行う攻撃を検出する攻撃検出装置、攻撃検出方法、および攻撃検出プログラムに関する。
　近年、インターネット上の公開サービスを不正な通信によってサービス停止状態に追い込むＤｏＳ（Denial　of　Service）による被害の増大が問題となっている。
　ＤｏＳには、大きく２つの攻撃形態に分類することが可能である。１つめは、悪意のある攻撃者が不正なデータや異常なパケットを送り付けることでサービス提供者のもつソフトウェアに異常な挙動をとらせる攻撃形態である。２つめは、大量にトラフィックを送り付けることでサービス提供者のもつ回線の帯域や通信機器の処理能力を溢れさせる攻撃である。
　１つめの攻撃形態に対応するための技術としては、例えばサーバに流れるパケットを種類毎に数え上げることで不正な通信によるサーバの異常な挙動を発見する技術がある（特許文献１参照）。
　２つめの攻撃形態に対応するための技術としては、例えばフロー統計情報の変化から大量トラフィックを検出する技術がある（特許文献２参照）。
　また、通信相手に告知する自身の受信バッファのサイズ（ウィンドウサイズ）を極めて小さくすることで通信相手が一度に送信できる情報量を制限し、通信を長期化させてセッションを不正に占有し続けるＳｌｏｗ　ＲＥＡＤ　ＤｏＳと呼ばれる新たな攻撃が問題となっている（非特許文献１参照）。
特開２００７－１６６１５４号公報 特開２００８－１１８２４２号公報
倉上弘、"ＤｏＳ／ＤＤｏＳ攻撃対策（２）～高度化するＤＤｏＳ攻撃と対策　サイトの視点から～"、情報処理Vol.54　No.5　pp475-480、情報処理学会、2013
　特許文献１の技術では、攻撃者が通信を途中で放棄してしまうような通信の異常終了を伴う攻撃を検出することは可能であるが、正常な通信の手続きを進めながら実行される攻撃の検出は不可能であるという問題がある。例えば、Ｓｌｏｗ　ＲＥＡＤ　ＤｏＳは、通信を終了させないことで攻撃として成立するため、特許文献１などの従来の技術では攻撃を検出することができない。
　また、特許文献２のようなフロー統計情報を用いた検出手法では、フロー統計情報を作成するためのサンプリングで通信パケットの取得漏れが発生し、悪意のある攻撃者の通信パケットを取得できないという問題がある。
　本発明は上記事情に鑑みてなされたものであり、本発明の目的は、正常な通信の手続きを進めながら実行される攻撃を検出可能な攻撃検出装置、攻撃検出方法、および攻撃検出プログラムを提供することにある。
　上記課題を解決するために、本発明は、攻撃検出装置であって、クライアントからサーバへ送信されるパケットを収集する収集手段と、前記パケットからヘッダ情報を取得するヘッダ情報取得手段と、前記ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検出手段と、を備え、前記攻撃検出手段は、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出する。
　上記攻撃検出装置において、前記他のパケットは、前記任意のパケットの以降に送信されるパケットであってもよい。
　上記攻撃検出装置において、前記攻撃検出手段は、セッション毎に、ウィンドウサイズの複数の統計情報を比較し、比較結果が所定の第２の条件を満たす場合、当該セッションを攻撃セッションとして検出することとしてもよい。
　上記攻撃検出装置において、前記ウィンドウサイズの複数の統計情報は、平均ウィンドウサイズと、最大ウィンドウサイズであってもよい。
　上記攻撃検出装置において、前記攻撃検出手段は、セッション毎に、前記ヘッダ情報を用いて算出されるセッション確立時間が、所定の第１の閾値より大きい場合、当該セッションを攻撃セッションとして検出することとしてもよい。
　上記攻撃検出装置において、前記攻撃検出手段は、セッション毎に、前記ヘッダ情報を用いてスループットを算出し、当該スループットが所定の第２の閾値より小さい場合、当該セッションを攻撃セッションとして検出することとしてもよい。
　上記攻撃検出装置において、前記攻撃検出手段は、前記攻撃セッションを検出すると、当該攻撃セッションを特定する情報を含む攻撃検出情報を管理者端末に送信することとしてもよい。
　上記攻撃検出装置において、前記攻撃検出手段は、前記攻撃セッションを検出すると、前記サーバおよび前記クライアントにリセットパケットを送信し、当該攻撃セッションを切断することとしてもよい。
　本発明は、コンピュータが行う攻撃検出方法であって、クライアントからサーバへ送信されるパケットを収集する収集ステップと、前記パケットからヘッダ情報を取得するヘッダ情報取得ステップと、前記ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検出ステップと、を行い、前記攻撃検出ステップは、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出する。
　本発明は、コンピュータが行う攻撃検出プログラムであって、前記コンピュータを、クライアントからサーバへ送信されるパケットを収集する収集手段、前記パケットからヘッダ情報を取得するヘッダ情報取得手段、および、前記ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検出手段として機能させ、前記攻撃検出手段は、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出する。
　本発明により、正常な通信の手続きを進めながら実行される攻撃を検出可能な攻撃検出装置、攻撃検出方法、および攻撃検出プログラムを提供することができる。
第１の実施形態が適用された攻撃検出システムの全体構成図である。 第１の実施形態の攻撃検出装置の構成を示す機能ブロック図である。 パケットヘッダ情報の一例を示す図である。 攻撃検出処理を示すフローチャートである。 セッション管理テーブルの一例を示す図である。 セッション出力情報の一例を示す図である。 攻撃検出後の攻撃防御処理を説明する説明図である。 第２の実施形態が適用された攻撃検出装置を示す全体構成図である。 第２の実施形態の攻撃検出装置の構成を示す機能ブロック図である。 攻撃検出後の攻撃防御処理を説明する説明図である。
　以下、本発明の実施の形態について説明する。
　＜第１の実施形態＞
　図１は、本発明の一実施形態である攻撃検出システムを示す全体構成図である。攻撃検出システムは、サービス提供サーバ４と、サービス利用者が使用する利用者端末５（クライアント）との間に設置され、サービス提供サーバ４と利用者端末５との通信を監視し、不正な利用者による攻撃を検出する。サービス提供サーバ４は、インターネットなどのネットワークを介して、利用者端末５に各種のサービスを提供する。
　図示する攻撃検出システムは、攻撃検出装置１と、トラフィック複製装置２とを備える。トラフィック複製装置２は、サービス提供サーバ４と、利用者端末５との間に設置され、利用者端末５からサービス提供サーバ４に送信されるパケット（トラフィック）をサービス提供サーバ４に転送するとともに、当該パケットを複製して攻撃検出装置１に出力する。
　攻撃検出装置１は、トラフィック複製装置２から送信されたパケットを用いて、不正な利用者による攻撃を検出する。また、攻撃検出装置１は、攻撃を検出すると、管理ネットワークを介して管理者端末３に攻撃検出情報を通知する。
　図２は、本実施形態の攻撃検出装置１の構成を示す機能ブロック図である。図示する攻撃検出装置１は、パケット収集部１１と、ヘッダ情報取得部１２と、集計部１３と、攻撃検出部１４と、セッション管理テーブル１５と、セッションログファイル１６とを備える。
　パケット収集部１１は、トラフィック複製装置２から出力される、利用者端末５からサービス提供サーバ４へ送信されるパケットを収集する。ヘッダ情報取得部１２は、パケット収集部１１が収集した各パケットからヘッダ情報を取得する。集計部１３は、取得したヘッダ情報を用いて、各パケットをセッション毎に分類し、集計する。
　攻撃検出部１４は、セッション毎に集計されたヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する。本実施形態では、攻撃検出部１４は、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出する。また、攻撃検出部１４は、セッション毎に、ウィンドウサイズの複数の統計情報を比較し、比較結果が所定の第２の条件を満たす場合、当該セッションを攻撃セッションとして検出する。また、攻撃検出部１４は、攻撃セッションを検出すると、当該攻撃セッションを特定する情報を含む攻撃検出情報を管理者端末３に送信する。
　セッション管理テーブル１５は、集計部１３により集計された、セッション毎のセッション情報（ヘッダ集計情報）が記憶される。セッションログファイル１６には、セッションの終了時に当該セッションのセッション情報がログとして出力される。
　図３は、パケットのヘッダ情報の一例を示す図である。本実施形態のサービス提供サーバ４と利用者端末５との間の通信は、ＴＣＰパケットを用いて行われるものとする。ヘッダ情報には、送信元ＩＰアドレス、送信元ポート番号、受信ＩＰアドレス、受信ポート番号、タイムスタンプ、ＴＣＰフラグ、ウィンドウサイズ、パケットサイズなどがある。
　セッションは、送信元ＩＰアドレス、送信元ポート番号、受信ＩＰアドレスおよび受信ポート番号の４つで特定（識別）することができる。ウィンドウサイズは、通信相手に告知する自身の受信バッファのサイズである。ここでは、ウィンドウサイズには、利用者端末５が、通信相手であるサービス提供サーバ４に告知する利用者端末５自身の受信バッファのサイズが設定される。
　上記説明した攻撃検出装置１は、例えば、ＣＰＵと、メモリと、ハードディスク等の外部記憶装置などを備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵがメモリ上にロードされた攻撃検出装置１用のプログラムを実行することにより、攻撃検出装置１の各機能が実現される。また、攻撃検出装置１用のプログラムは、ハードディスク、フレキシブルディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ－ＲＯＭなどのコンピュータ読取り可能な記録媒体に記憶することも、ネットワークを介して配信することもできる。
　次に、本実施形態の処理について説明する。
　図４は、本実施形態の攻撃検出装置１の攻撃検出処理のフローチャートである。
　攻撃検出装置１のパケット収集部１１は、利用者端末５からサービス提供サーバ４へ送信されるパケットをトラフィック複製装置２から受信し、収集する（Ｓ１１）。そして、ヘッダ情報取得部１２は、Ｓ１１で収集したパケットからヘッダ情報を取得し、ヘッダ情報に含まれる送信元ＩＰアドレス、送信元ポート番号、受信ＩＰアドレス、および受信ポート番号を用いて当該パケットのセッションを特定する（Ｓ１２）。
　そして、集計部１３は、セッション管理テーブル１５に、当該パケットのセッションが存在するか否かを判別する（Ｓ１３）。セッション管理テーブル１５に当該パケットのセッションが存在しない場合であって（Ｓ１３：ＮＯ）、ヘッダ情報のＴＣＰフラグが「ＳＹＮ」（セッション開設要求）のＳＹＮパケットの場合（Ｓ１４：ＹＥＳ）、集計部１３は、セッション管理テーブル１５に、Ｓ１１で受信したパケットのセッションを登録する（Ｓ１５）。そして、Ｓ１１に戻り、次に受信するパケットの処理を行う。
　図５は、セッション管理テーブル１５の一例を示す図である。セッション管理テーブル１５には、セッション毎に、不正ユーザの攻撃セッションを検出するためのセッション情報（ヘッダ集計情報）が設定される。セッション管理テーブル１５には、セッションを特定するためのセッション特定情報と、セッション情報とが対応付けて記憶される。
　図示するセッション情報には、ＳＹＮパケットが到着した時刻を示すタイムスタンプ、最終パケットが到着した時刻を示すタイムスタンプ、任意のパケットのウィンドウサイズ、ウィンドウサイズの最大値、ウィンドウサイズの最小値、ウィンドウサイズの平均値、パケットのウィンドウサイズの２乗和、到達パケット数の合計、パケットサイズの合計、怪しさスコア、アラート通知有無などが含まれる。なお、任意のパケットのウィンドウサイズは、例えば、ＳＹＮパケット、ＡＣＫパケットなどのウィンドウサイズである。
　Ｓ１５のセッションの登録時、集計部１３は、当該パケットのヘッダ情報を用いて、セッション特定情報と、ＳＹＮパケットのタイムスタンプ、任意のパケットがＳＹＮパケットの場合はＳＹＮパケットのウィンドウサイズなどを設定したレコードをセッション管理テーブル１５に登録する。
　ヘッダ情報のＴＣＰフラグが「ＳＹＮ」以外の場合（Ｓ１４：ＮＯ）、集計部１３は、セッション管理テーブル１５に当該セッションが存在しないにもかかわらず、セッション開設時に最初に送信されるＳＹＮパケットでないため、不正常なパケットであるとみなし、Ｓ１１で受信したパケットのヘッダ情報を破棄する（Ｓ１６）。そして、Ｓ１１に戻り、次に受信するパケットの処理を行う。
　一方、Ｓ１１で受信したパケットのセッションがセッション管理テーブル１５に既に存在する場合（Ｓ１３：ＹＥＳ）、集計部１３は、当該セッションのヘッダ情報を集計し、セッション管理テーブル１５のセッション情報を更新する（Ｓ１７）。すなわち、集計部１３は、Ｓ１１で受信したパケットのヘッダ情報を用いて、ウィンドウサイズの最大値、最小値、平均値、２乗和などのセッション情報を算出し、更新する。
　そして、攻撃検出部１４は、セッション管理テーブル１５の当該セッションの更新後のセッション情報を用いて、怪しさスコアを算出する（Ｓ１８）。
　本実施形態では、ヘッダ情報のウィンドウサイズを用いて怪しさスコアを算出することとする。自身のウィンドウサイズを極めて小さくすることで通信相手が一度に送信できる情報量を制限し、通信を長期化させてセッションを不正に占有し続けるＳｌｏｗ　ＲＥＡＤ　ＤｏＳ攻撃は、通信中にウィンドウサイズが小さくなるという特徴がある。ウィンドウサイズを小さく設定すること自体は、ＴＣＰの正常動作であるため、攻撃であるのか、正常動作であるのかの判別が難しい。そこで、本実施形態では、ウィンドウサイズの変遷（挙動）に着目することで、Ｓｌｏｗ　ＲＥＡＤ　ＤｏＳ攻撃をより高い精度で検出する。
　ここでは、以下の２つの方法の少なくとも１つを用いるものとする。
　（１）セッション管理テーブル１５に設定された任意のパケットのウィンドウサイズと、受信したパケットのウィンドウサイズとを比較する。そして、比較結果が所定の条件を満たす場合に、当該セッションは攻撃セッションであると判定し、怪しさスコアに所定の値を設定する。例えば、任意のパケットがＳＹＮパケットの場合、ＳＹＮパケットのウィンドウサイズが以降のパケットのウィンドウサイズより極端に大きい場合、すなわち、以降のパケットのウィンドウサイズがＳＹＮパケットのウィンドウサイズと比較して極端に小さい場合（例えば、以下の式を満たす場合）、当該セッションは攻撃セッションであると判定する。
　ＳＹＮパケットのウィンドウサイズ－以降のパケットのウィンドウサイズ＞所定の閾値　　　
　（２）ウィンドウサイズの複数の統計情報を比較し、比較結果が所定の条件を満たす場合に、当該セッションは攻撃セッションであると判定し、怪しさスコアに所定の値を設定する。なお、ウィンドウサイズの統計情報は、セッション管理テーブル１５に設定されたウィンドウサイズの統計情報であっても、あるいはセッション管理テーブル１５に設定されたウィンドウサイズの統計情報を用いて算出される統計情報であってもよい。また、統計情報の比較は、統計情報同士の比較であっても、所定の閾値との比較であってもよい。
　例えば、セッション管理テーブル１５に設定されたウィンドウサイズの最大値と、ウィンドウサイズの平均値とを比較し、比較結果が所定の条件を満たす場合に、当該セッションは攻撃セッションであると判定し、怪しさスコアに所定の値を設定する。具体的には、ウィンドウサイズの最大値に対するウィンドウサイズの平均値の割合が所定の閾値より小さい場合（例えば、以下の式を満たす場合）、当該セッションは攻撃セッションであると判定する。
　ウィンドウサイズの平均値／ウィンドウサイズの最大値＜閾値（例えば、０．３など）　　　
　なお、（２）の場合、ウィンドウサイズの平均値を用いるため、セッション開始直後では、上記条件を満たす状況になりにくく、セッション開始からある程度の数のパケットを収集する時間が必要である。一方、（１）の場合、最初のＳＹＮパケットのウィンドウサイズと、それ以降に受信したパケットのウィンドウサイズとを、逐次比較するため、セッション開始直後であっても、攻撃セッションか否かの判定が可能である。
　怪しさスコアの算出に（１）の方法のみを用いる場合であって、条件を満たす場合は、攻撃検出部１４は、セッション管理テーブル１５の怪しさスコアに所定の第１のスコア値を設定する。また、怪しさスコアの算出に（２）の方法のみを用いる場合であって条件を満たす場合は、攻撃検出部１４は、セッション管理テーブル１５の怪しさスコアに所定の第２のスコア値を設定する。また、怪しさスコアの算出に（１）および（２）の方法を用いる場合であって、（１）および（２）の条件を満たす場合は、攻撃検出部１４は、第１のスコア値と第２のスコア値とを合計したスコア値を、セッション管理テーブル１５の怪しさスコアに設定する。なお、第１のスコア値と第２のスコア値とは、同じ値であっても、異なる値であってもよい。
　そして、攻撃検出部１４は、Ｓ１８で算出した怪しさスコアが所定の検出用閾値を越えるか否かを判別し（Ｓ１９）、検出用閾値を超える場合は（Ｓ１９：ＹＥＳ）、当該セッションは攻撃セッションであると判定する。なお、検出用閾値は、怪しさスコアの算出に（１）の方法のみを用いる場合、（２）の方法のみを用いる場合、（１）および（２）の方法を用いる場合に応じて、それぞれ適切な値を設定する。
　そして、攻撃セッションであると判定した場合（Ｓ１９：ＹＥＳ）、攻撃検出部１４は、検出情報（アラート）を管理ネットワークを介して管理者端末３に送信し、セッション管理テーブル１５のアラート通知を「有」に更新する（Ｓ２１）。
　そして、集計部１３は、セッション管理テーブル１５から攻撃セッションであると判定されたセッションのレコードを、ログ情報としてセッションログファイル１６に出力（記憶）し、当該セッションのレコードをセッション管理テーブル１５から削除する（Ｓ２２）。そして、Ｓ１１に戻り、次に受信するパケットの処理を行う。これ以降、攻撃セッションであると判定されたセッションのパケットがＳ１１で受信されると、セッション管理テーブル１５には当該セッションが存在せず（Ｓ１３：ＮＯ）、ＳＹＮパケットでないため（Ｓ１４：ＮＯ）、当該パケットのヘッダ情報は破棄される（Ｓ１６）。
　図６は、セッションログファイル１６に出力されるセッションログ情報の一例を示す図である。
　また、検出用閾値を超えない場合であって（Ｓ１９：ＮＯ）、Ｓ１１で受信したパケットがセッションの終了またはリセットを示すパケット（ＦＩＮパケットまたはＲＳＴパケット）の場合（Ｓ２０：ＹＥＳ）、集計部１３は、当該セッションは終了であるとみなし、当該セッションのレコードをログ情報としてセッションログファイル１６に出力し、当該セッションのレコードをセッション管理テーブル１５から削除する（Ｓ２２）。そして、Ｓ１１に戻り、次に受信するパケットの処理を行う。ＦＩＮパケットは、ＴＣＰフラグが「ＦＩＮ」で、セッションの終了を示すパケットであり、ＲＳＴパケットは、ＴＣＰフラグが「ＲＳＴ」で、セッションのリセット（クローズ）を示すパケットである。
　なお、以上説明した図４のＳ１８では、ウィンドウサイズを用いて怪しさスコアを算出したが、セッション管理テーブル１５の他の情報も用いて怪しさスコアを算出することとしてもよい。
　例えば、攻撃検出部１４は、セッション管理テーブル１５の最終パケット（Ｓ１１で受信したパケット）のタイムスタンプと、ＳＹＮパケットのタイムスタンプとの差であるセッション確立時間を算出し、当該セッション確立時間が、所定の閾値（例えば、３０秒）より大きい場合、当該セッションを攻撃セッションであると判別し、所定のスコア値を怪しさスコアに加算することとしてもよい。
　また、攻撃検出部１４は、前述のセッション確立時間と、セッション管理テーブル１５に設定されたパケットサイズの合計値とを用いてスループットを算出し、当該スループットが所定の閾値（例えば、３００ｂｐｓ）より小さい場合、当該セッションを攻撃セッションと判別し、所定のスコア値を怪しさスコアに加算することとしてもよい。
　次に、攻撃検出装置１が攻撃セッションを検出した後（図４、Ｓ１９：ＹＥＳ）の攻撃防御処理について説明する。
　図７は、攻撃防御処理を説明するための説明図である。攻撃検出装置１の攻撃検出部１４は、攻撃を検出したことを示す検出情報を、例えばメール、ＳＮＭＰ　ＴＲＡＰなどを用いて管理者端末３に送信する（Ｓ２１０）。検出情報には、攻撃セッションであると判別したセッションのセッション特定情報（送信元ＩＰアドレス、送信元ポート番号、受信ＩＰアドレス、および受信ポート番号）が含まれている。
　管理者端末３は、検出情報を受信し、ネットワークオペレータなどの管理者に提示する。管理者は、検出情報に設定された攻撃セッションを切断するようにファイアウォール（ＦＷ）６を設定する設定指示を管理者端末３に入力する。管理者端末３は、入力された設定指示にしたがってファイアウォール６を設定する（Ｓ２２０）。これにより、ファイアウォール６は、攻撃検出装置１が検出した攻撃者の利用者端末５からＣＥルータ７（Customer　Edge　router）を介してサービス提供サーバ４に送信されるパケットを破棄し、攻撃セッションの通信を遮断する。
　なお、図７では、管理者の指示を受け付けて管理者端末３がファイアウォール６の設定を行うこととしたが、攻撃検出装置１の攻撃検出部１４が、検出情報を管理者端末３に送信するタイミングで、攻撃セッションを切断するようにファイアウォール６を設定することとしてもよい。
　＜第２の実施形態＞
　図８は、本発明の第２の実施形態である攻撃検出装置１Ａを示す全体構成図である。第２の実施形態では、トラフィック複製装置２を備えることなく、攻撃検出装置１Ａは、サービス提供サーバ４と利用者端末５との間に設置される。
　図９は、第２の実施形態の攻撃検出装置１Ａの構成を示す機能ブロック図である。図示する攻撃検出装置１Ａは、パケット転送部１０と、パケット収集部１１と、ヘッダ情報取得部１２と、集計部１３と、攻撃検出部１４と、セッション管理テーブル１５と、セッションログファイル１６とを備える。攻撃検出装置１Ａは、パケット転送部１０を備える点において、第１の実施形態の攻撃検出装置１と異なる。パケット転送部１０は、利用者端末５からサービス提供サーバ４に送信されるパケットをサービス提供サーバ４に転送するとともに、前記パケットを複製してパケット収集部１１に送出する。
　なお、攻撃検出装置１Ａのパケット収集部１１と、ヘッダ情報取得部１２と、集計部１３と、攻撃検出部１４と、セッション管理テーブル１５と、セッションログファイル１６については、第１の実施形態の攻撃検出装置１と同様であるため、ここでは説明を省略する。また、攻撃検出装置１Ａの攻撃検出処理についても、第１の実施形態の攻撃検出処理（図４）と同様であるため、ここでは説明を省略する。
　図１０は、第２の実施形態の攻撃防御処理を説明するための説明図である。攻撃検出装置１Ａの攻撃検出部１４は、攻撃セッションを検出すると、当該攻撃セッションの送信元である利用者端末５（攻撃者）にＴＣＰフラグが「ＲＳＴ」のＲＳＴパケットを送信するとともに（Ｓ３１）、当該攻撃セッションの受信先であるサービス提供サーバ４にＲＳＴパケットを送信し（Ｓ３２）、当該攻撃セッションをリセット（クローズ）する。また、攻撃検出部１４は、管理者端末３に、攻撃を検出したことを示す検出情報を送信する（Ｓ３３）。
　なお、ＲＳＴパケットを送信して攻撃セッションを一旦リセットすることで、グローバルＩＰアドレスが定期的に変更され、過去に攻撃セッションと判別されたセッションが再構築された場合であっても、正常な通信であれば攻撃セッションとはみなされず、セッションは遮断されない。
　以上説明した第１および第２の実施形態では、サービス提供サーバ４がサービスを提供するために、サービス提供サーバ４とサービス利用者の利用者端末５との間で張られたセッション毎に、利用者端末５側からサービス提供サーバ４に送信するパケットに含まれるヘッダ情報の挙動から不正な利用者（攻撃者）のセッションを検出する。
　これにより、本実施形態では、不特定多数の利用する公開されたサービスにおいて、他の利用者へのサービス提供を妨害するような不正な利用者による攻撃を防御することができる。
　また、本実施形態では、ヘッダ情報のウィンドウサイズを用いて、攻撃セッションを検出する。これにより、本実施形態では、自身のウィンドウサイズを極めて小さくすることで通信相手が一度に送信できる情報量を制限し、通信を長期化させてセッションを不正に占有し続けるＳｌｏｗ　ＲＥＡＤ　ＤｏＳ攻撃などの正常な通信の手続きを進めながら実行される攻撃を検出することができる。
　すなわち、通信相手に告知する自身のウィンドウサイズを小さくすることは、通信の輻輳制御のための正常な挙動である。そのため、単純に個々のパラメータの値に閾値を設けるだけでは、本来の目的で正常に機能しているパケットを攻撃であると誤検出してしまうおそれがある。そこで、本実施形態では、ウィンドウサイズの変遷（挙動）に着目することで、Ｓｌｏｗ　ＲＥＡＤ　ＤｏＳ攻撃などの正常な通信の手続きを進めながら実行される攻撃をより高い精度で検出することができる。
　なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、第１の実施形態では、攻撃防御処理としてファイアウォール６を設定し（図７）、第２の実施形態では、攻撃防御方法としてＲＳＴパケットを送信することとしたが（図１０）、第１の実施形態でＲＳＴパケットを送信し、第２の実施形態でファイアウォールを設定してもよい。また、第１および第２の実施形態で、ファイアウォール６を設定およびＲＳＴパケットの送信の２つの攻撃防御方法を行うこととしてもよい。
　１、１Ａ：攻撃検出装置
　１０：パケット転送部
　１１：パケット収集部
　１２：ヘッダ情報取得部
　１３：集計部
　１４：攻撃検出部
　１５：セッション管理テーブル
　１６：セッションログファイル
　２　：トラフィック複製装置
　３　：管理者端末
　４　：サービス提供サーバ
　５　：利用者端末
　６　：ファイアウォール
　７　：ＣＥルータ

Claims (12)

  1. 　攻撃検出装置であって、
    　クライアントからサーバへ送信されるパケットを収集する収集手段と、
    　前記パケットからヘッダ情報を取得するヘッダ情報取得手段と、
    　前記ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検出手段と、を備え、
    　前記攻撃検出手段は、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出装置。
  2. 　請求項１記載の攻撃検出装置であって、
    　前記他のパケットは、前記任意のパケットの以降に送信されるパケットであること
    　を特徴とする攻撃検出装置。
  3. 　請求項１記載の攻撃検出装置であって、
    　前記攻撃検出手段は、セッション毎に、ウィンドウサイズの複数の統計情報を比較し、比較結果が所定の第２の条件を満たす場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出装置。
  4. 　請求項２記載の攻撃検出装置であって、
    　前記攻撃検出手段は、セッション毎に、ウィンドウサイズの複数の統計情報を比較し、比較結果が所定の第２の条件を満たす場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出装置。
  5. 　請求項３記載の攻撃検出装置であって、
    　前記ウィンドウサイズの複数の統計情報は、平均ウィンドウサイズと、最大ウィンドウサイズであること
    　を特徴とする攻撃検出装置。
  6. 　請求項４記載の攻撃検出装置であって、
    　前記ウィンドウサイズの複数の統計情報は、平均ウィンドウサイズと、最大ウィンドウサイズであること
    　を特徴とする攻撃検出装置。
  7. 　請求項１から６のいずれか１項に記載の攻撃検出装置であって、
    　前記攻撃検出手段は、セッション毎に、前記ヘッダ情報を用いて算出されるセッション確立時間が、所定の第１の閾値より大きい場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出装置。
  8. 　請求項１から６のいずれか１項に記載の攻撃検出装置であって、
    　前記攻撃検出手段は、セッション毎に、前記ヘッダ情報を用いてスループットを算出し、当該スループットが所定の第２の閾値より小さい場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出装置。
  9. 　請求項１から６のいずれか１項に記載の攻撃検出装置であって、
    　前記攻撃検出手段は、前記攻撃セッションを検出すると、当該攻撃セッションを特定する情報を含む攻撃検出情報を管理者端末に送信すること
    　を特徴とする攻撃検出装置。
  10. 　請求項１から６のいずれか１項に記載の攻撃検出装置であって、
    　前記攻撃検出手段は、前記攻撃セッションを検出すると、前記サーバおよび前記クライアントにリセットパケットを送信し、当該攻撃セッションを切断すること
    　を特徴とする攻撃検出装置。
  11. 　コンピュータが行う攻撃検出方法であって、
    　クライアントからサーバへ送信されるパケットを収集する収集ステップと、
    　前記パケットからヘッダ情報を取得するヘッダ情報取得ステップと、
    　前記ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検　出ステップと、を行い、
    　前記攻撃検出ステップは、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出方法。
  12. 　コンピュータが行う攻撃検出プログラムであって、
    　前記コンピュータを、
    　クライアントからサーバへ送信されるパケットを収集する収集手段、
    　前記パケットからヘッダ情報を取得するヘッダ情報取得手段、および、
    　前記ヘッダ情報を用いて各セッションが攻撃セッションであるか否かを判別する攻撃検　出手段として機能させ、
    　前記攻撃検出手段は、セッション毎に、収集された任意のパケットのウィンドウサイズと他のパケットのウィンドウサイズとを比較し、比較結果が所定の第１の条件を満たす場合、当該セッションを攻撃セッションとして検出すること
    　を特徴とする攻撃検出プログラム。
PCT/JP2015/069215 2014-07-04 2015-07-02 攻撃検出装置、攻撃検出方法、および攻撃検出プログラム WO2016002915A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP15814603.5A EP3139550B1 (en) 2014-07-04 2015-07-02 Attack detection device, attack detection method, and attack detection program
US15/320,171 US10505952B2 (en) 2014-07-04 2015-07-02 Attack detection device, attack detection method, and attack detection program
CN201580033721.5A CN106471778B (zh) 2014-07-04 2015-07-02 攻击检测装置和攻击检测方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014138659A JP5947838B2 (ja) 2014-07-04 2014-07-04 攻撃検出装置、攻撃検出方法、および攻撃検出プログラム
JP2014-138659 2014-07-04

Publications (1)

Publication Number Publication Date
WO2016002915A1 true WO2016002915A1 (ja) 2016-01-07

Family

ID=55019441

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/069215 WO2016002915A1 (ja) 2014-07-04 2015-07-02 攻撃検出装置、攻撃検出方法、および攻撃検出プログラム

Country Status (5)

Country Link
US (1) US10505952B2 (ja)
EP (1) EP3139550B1 (ja)
JP (1) JP5947838B2 (ja)
CN (1) CN106471778B (ja)
WO (1) WO2016002915A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6078179B1 (ja) * 2016-01-20 2017-02-08 西日本電信電話株式会社 セキュリティ脅威検出システム、セキュリティ脅威検出方法、及びセキュリティ脅威検出プログラム
WO2020170802A1 (ja) * 2019-02-19 2020-08-27 日本電信電話株式会社 検知装置および検知方法

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10505985B1 (en) * 2016-04-13 2019-12-10 Palo Alto Networks, Inc. Hostname validation and policy evasion prevention
CN106101102B (zh) * 2016-06-15 2019-07-26 华东师范大学 一种基于pam聚类算法的网络异常流量检测方法
CN110463145B (zh) 2017-03-27 2021-09-24 松下知识产权经营株式会社 数据分析装置、方法以及程序
CN109040140B (zh) * 2018-10-16 2021-03-23 杭州迪普科技股份有限公司 一种慢速攻击检测方法及装置
TWI729320B (zh) * 2018-11-01 2021-06-01 財團法人資訊工業策進會 可疑封包偵測裝置及其可疑封包偵測方法
JP7186637B2 (ja) * 2019-02-21 2022-12-09 三菱電機株式会社 検知ルール群調整装置および検知ルール群調整プログラム
CN110661781B (zh) * 2019-08-22 2022-05-17 中科创达软件股份有限公司 一种DDoS攻击检测方法、装置、电子设备和存储介质
US20220053018A1 (en) * 2020-08-11 2022-02-17 Flipkart Internet Private Limited System and method for detection and mitigation of a dos/ddos attack
CN113242260B (zh) * 2021-06-09 2023-02-21 中国银行股份有限公司 攻击检测方法、装置、电子设备及存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140304817A1 (en) * 2013-04-09 2014-10-09 Electronics And Telecommunications Research Institute APPARATUS AND METHOD FOR DETECTING SLOW READ DoS ATTACK

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07335753A (ja) * 1994-06-06 1995-12-22 Sharp Corp 半導体装置及びその製造方法
US7398317B2 (en) * 2000-09-07 2008-07-08 Mazu Networks, Inc. Thwarting connection-based denial of service attacks
US6779033B1 (en) * 2000-12-28 2004-08-17 Networks Associates Technology, Inc. System and method for transacting a validated application session in a networked computing environment
US7152242B2 (en) * 2002-09-11 2006-12-19 Enterasys Networks, Inc. Modular system for detecting, filtering and providing notice about attack events associated with network security
US7391740B2 (en) 2003-04-17 2008-06-24 University Of Maryland Method for quantifying reponsiveness of flow aggregates to packet drops in a communication network
US7480940B1 (en) * 2004-06-10 2009-01-20 Symantec Corporation Structures and methods for a low and slow network reconnaissance detector
US20060161816A1 (en) * 2004-12-22 2006-07-20 Gula Ronald J System and method for managing events
JP2007166154A (ja) 2005-12-13 2007-06-28 Nippon Telegr & Teleph Corp <Ntt> 攻撃検出装置、攻撃検出方法および攻撃検出プログラム
KR100834570B1 (ko) * 2006-06-23 2008-06-02 한국전자통신연구원 실시간 상태 기반 패킷 검사 방법 및 이를 위한 장치
JP4324189B2 (ja) 2006-11-01 2009-09-02 日本電信電話株式会社 異常トラヒック検出方法およびその装置およびプログラム
US8272044B2 (en) * 2007-05-25 2012-09-18 New Jersey Institute Of Technology Method and system to mitigate low rate denial of service (DoS) attacks
CN101640594B (zh) * 2008-07-31 2013-01-23 北京启明星辰信息技术股份有限公司 一种在网络设备上提取流量攻击报文特征的方法和单元
DE102009033206A1 (de) 2009-07-15 2011-01-27 Brand, Guido Polierverfahren und Poliervorrichtung zur Korrektur von geometrischen Abweichungsfehlern auf Präzisionsoberflächen
US8387143B2 (en) * 2009-11-30 2013-02-26 Citrix Systems, Inc. Systems and methods for aggressive window probing
KR20130017333A (ko) * 2011-08-10 2013-02-20 한국전자통신연구원 응용 계층 기반의 슬로우 분산서비스거부 공격판단 시스템 및 방법
US8856913B2 (en) * 2011-08-29 2014-10-07 Arbor Networks, Inc. Method and protection system for mitigating slow HTTP attacks using rate and time monitoring
US9195805B1 (en) * 2011-12-08 2015-11-24 Amazon Technologies, Inc. Adaptive responses to trickle-type denial of service attacks
US9392018B2 (en) * 2013-09-30 2016-07-12 Juniper Networks, Inc Limiting the efficacy of a denial of service attack by increasing client resource demands

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140304817A1 (en) * 2013-04-09 2014-10-09 Electronics And Telecommunications Research Institute APPARATUS AND METHOD FOR DETECTING SLOW READ DoS ATTACK

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HIROSHI KURAKAMI: "Combating for DoS Attacks", IPSJ MAGAZINE, vol. 54, no. 5, 15 April 2013 (2013-04-15), pages 475 - 480, XP008185532 *
See also references of EP3139550A4 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6078179B1 (ja) * 2016-01-20 2017-02-08 西日本電信電話株式会社 セキュリティ脅威検出システム、セキュリティ脅威検出方法、及びセキュリティ脅威検出プログラム
JP2017130037A (ja) * 2016-01-20 2017-07-27 西日本電信電話株式会社 セキュリティ脅威検出システム、セキュリティ脅威検出方法、及びセキュリティ脅威検出プログラム
WO2020170802A1 (ja) * 2019-02-19 2020-08-27 日本電信電話株式会社 検知装置および検知方法
JP2020136888A (ja) * 2019-02-19 2020-08-31 日本電信電話株式会社 検知装置および検知方法
US11902310B2 (en) 2019-02-19 2024-02-13 Nippon Telegraph And Telephone Corporation Detection device and detection method

Also Published As

Publication number Publication date
EP3139550A4 (en) 2017-11-22
US20170126714A1 (en) 2017-05-04
CN106471778B (zh) 2019-12-27
JP2016019028A (ja) 2016-02-01
US10505952B2 (en) 2019-12-10
EP3139550B1 (en) 2018-09-12
CN106471778A (zh) 2017-03-01
EP3139550A1 (en) 2017-03-08
JP5947838B2 (ja) 2016-07-06

Similar Documents

Publication Publication Date Title
JP5947838B2 (ja) 攻撃検出装置、攻撃検出方法、および攻撃検出プログラム
EP2289221B1 (en) Network intrusion protection
US7266754B2 (en) Detecting network denial of service attacks
US9860181B2 (en) System and method for inferring traffic legitimacy through selective impairment
CN114830112A (zh) 通过QUIC通信协议执行的检测和缓解DDoS攻击
CN110166480B (zh) 一种数据包的分析方法及装置
Scholz et al. SYN flood defense in programmable data planes
Hugelshofer et al. OpenLIDS: a lightweight intrusion detection system for wireless mesh networks
WO2018103364A1 (zh) 攻击的防御方法、防御设备及计算机可读存储介质
KR20110049282A (ko) 디도스 공격에 대한 디도스 탐지/차단 시스템 및 그 방법
WO2019096104A1 (zh) 攻击防范
JP6228262B2 (ja) 攻撃検出装置、攻撃検出方法、および攻撃検出プログラム
KR20110027386A (ko) 사용자 단말로부터 외부로 나가는 유해 패킷을 차단하는 장치, 시스템 및 방법
JP2004328307A (ja) 攻撃防御システム、攻撃防御制御サーバおよび攻撃防御方法
JP2006311048A (ja) 帯域制御装置
JP4216223B2 (ja) ネットワーク攻撃検知装置および方法ならびにプログラム
JP4149366B2 (ja) ネットワーク攻撃対策方法およびそのネットワーク装置、ならびにそのプログラム
JP3949610B2 (ja) 攻撃パケット対策システム及び攻撃パケット対策方法
Bellaïche et al. SYN flooding attack detection by TCP handshake anomalies
JP2006352864A (ja) フィルタを最適化するための機器
US11997133B2 (en) Algorithmically detecting malicious packets in DDoS attacks
JP2007166154A (ja) 攻撃検出装置、攻撃検出方法および攻撃検出プログラム
Lee et al. Rescuing QUIC Flows From Countermeasures Against UDP Flooding Attacks
JP4489714B2 (ja) パケット集約方法、装置、およびプログラム
Bala et al. Quality based Bottom-up-Detection and Prevention Techniques for DDOS in MANET

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15814603

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2015814603

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2015814603

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 15320171

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE