WO2016035644A1 - 制御装置、制御システム、制御方法、および、制御プログラム - Google Patents

制御装置、制御システム、制御方法、および、制御プログラム Download PDF

Info

Publication number
WO2016035644A1
WO2016035644A1 PCT/JP2015/074072 JP2015074072W WO2016035644A1 WO 2016035644 A1 WO2016035644 A1 WO 2016035644A1 JP 2015074072 W JP2015074072 W JP 2015074072W WO 2016035644 A1 WO2016035644 A1 WO 2016035644A1
Authority
WO
WIPO (PCT)
Prior art keywords
redirect
base
address
border router
setting
Prior art date
Application number
PCT/JP2015/074072
Other languages
English (en)
French (fr)
Inventor
永渕　幸雄
泰大 寺本
寿春 岸
高明 小山
秀雄 北爪
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201580046024.3A priority Critical patent/CN106605390B/zh
Priority to JP2016546587A priority patent/JP6181881B2/ja
Priority to AU2015313050A priority patent/AU2015313050B2/en
Priority to US15/503,134 priority patent/US10181031B2/en
Priority to EP15837313.4A priority patent/EP3166262B1/en
Publication of WO2016035644A1 publication Critical patent/WO2016035644A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/12—Avoiding congestion; Recovering from congestion
    • H04L47/122—Avoiding congestion; Recovering from congestion by diverting traffic away from congested entities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/40—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using virtualisation of network functions or resources, e.g. SDN or NFV entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/76—Routing in software-defined topologies, e.g. routing between virtual machines
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2514—Translation of Internet protocol [IP] addresses between local and global IP addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/668—Internet protocol [IP] address subnets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H04L67/63—Routing a service request depending on the request content or context

Definitions

  • the present invention relates to a control device, a control system, a control method, and a control program.
  • Non-Patent Documents 1 to 3 A technology called OpenStack (registered trademark) is widely used as a technology for constructing a virtual environment.
  • OpenStack registered trademark
  • a technique for connecting a plurality of bases such as a plurality of data centers by a virtual L2 (layer 2) network using the OpenStack (registered trademark) has been proposed (Non-Patent Documents 1 to 3).
  • Mitigation measures for DDoS attacks [online], [Search June 16, 2014], Internet ⁇ URL: http://www.cisco.com/web/JP/product/hs/security/tad/tech/pdf /dda_wp.pdf> Wikipedia, HTTP redirect, [online], [Search June 16, 2014], Internet ⁇ URL: http://en.wikipedia.org/wiki/%E3%83%AA%E3%83%80%E3 % 82% A4% E3% 83% AC% E3% 82% AF% E3% 83% 88_ (HTTP)> Yukio Nagahama et al., "Proposal of DDoS attack traffic distribution method in virtual data center environment", IEICE Technical Report, IN2014-48, pp.107-112, Jul. 2014.
  • the present invention performs various controls on a border router that is installed at a plurality of bases connected to each other by a virtual network and relays communication between devices in the base and an external network.
  • the control device is connected to the boundary router at each base other than the base to which the attack target device belongs, which is a device in which the packet concentration is detected.
  • the NAT setting unit that performs NAT (Network Address Translation) setting of the IP address of the attack target device and the redirect device installed in any of the bases, the access to the redirect device is made to the attack target device.
  • NAT Network Address Translation
  • a redirect setting unit configured to redirect to a host under a border router at any base other than the base, and And a NAT changing unit that changes a private IP address of the attack target device in a NAT setting of a border router of a base to which the attack target device belongs after setting the lect to a private IP address of the redirect device.
  • a service can be continuously provided even when an attack such as a DDoS attack is received.
  • FIG. 1 is a diagram illustrating an example of the overall configuration of the system.
  • FIG. 2 is a diagram for explaining the effect of the system.
  • FIG. 3 is a diagram illustrating the configuration of the border router.
  • FIG. 4 is a diagram illustrating an example of the NAT table of the border router.
  • FIG. 5 is a diagram illustrating an example of setting change in the NAT table of the border router.
  • FIG. 6 is a diagram showing the configuration of the DNS server.
  • FIG. 7 is a diagram illustrating the configuration of the cloud controller.
  • FIG. 8 is a diagram illustrating an example of global IP address band information.
  • FIG. 9 is a diagram illustrating a configuration of the redirect device.
  • FIG. 10 is a flowchart showing the processing procedure of the cloud controller.
  • FIG. 11 is a flowchart illustrating a processing procedure of the redirect device.
  • FIG. 12 is a diagram for explaining VM migration.
  • FIG. 13 is a diagram illustrating a computer that executes a control
  • the system includes a data center (data centers 1, 2 and 3), user terminals 10 (10A to 10E), a DNS (Domain Name System) server 40, and a cloud controller (control device) 50. These are connected by a network 60 such as the Internet.
  • a network 60 such as the Internet.
  • Each data center includes a border router 30 and one or more VMs can be installed.
  • the data center 1 includes a border router 30A
  • the data center 2 includes a border router 30B
  • the data center 3 includes a border router 30C.
  • a case where a device installed in the data center is a VM (Virtual Machine) will be described as an example, but a device other than a VM may be used.
  • VM Virtual Machine
  • Border router 30 (30A, 30B, 30C) is connected to network 60 and relays communication between user terminal 10 and each VM in each data center.
  • Each border router 30 divides the data centers 1, 2, and 3 configured by the virtual L2 (layer 2) network 21 into the same common network segment 22 and network 60.
  • the interface 31 of the border router 30A has an IP address (global IP address) “aaa.bbb.ccc.” Selected from the IP address band “aaa.bbb.ccc.0 / 24” assigned to the data center 1. 101 "is set. Similarly, an IP address selected from the IP address band assigned to the data center 2 to which the border router 30B belongs is set in the border router 30B, and the data center 3 to which the border router 30C belongs is also set in the border router 30C. An IP address selected from the IP address band assigned to is set.
  • the border router 30 has a NAT (Network Address Translation) function, and performs mutual conversion between a global IP address and a private IP address of each VM using a NAT table (see FIG. 4). For example, a case where “xxx.yyy.zzz.0 / 24” is assigned as the private IP address space inside the data center 1 and the private IP address of the VM (A) is “xxx.yyy.zzz.101”. Think. In this case, when the border router 30A receives the packet addressed to the VM (A), the border IP address (for example, “aaa.bbb.ccc.101”) of the packet destination is used as the private IP address of the VM (A).
  • the border IP address for example, “aaa.bbb.ccc.101”
  • Xxx.yyy.zzz.101 transfer to the VM (A) inside the data center 1.
  • Each data center is connected by a virtual L2 (layer 2) network 21, and any border router 30 can use the NAT table to transfer the packet to the destination VM when receiving the packet. .
  • the border router 30 also has a function as a so-called FW (FireWall), and performs filtering of attack packets when an attack such as a DDoS attack is detected. Further, the border router 30 notifies the cloud controller 50 that an attack has been detected.
  • the border router 30 may be realized by a physical machine or a virtual machine.
  • the VM executes communication with the user terminal 10 via the virtual L2 network 21 and the border router 30.
  • the VM is a virtual machine that executes, for example, a Web server or a DB (database) server.
  • This VM is realized by physical resources installed in the data center.
  • the physical resources are a communication interface, a processor, a memory, a hard disk, and the like.
  • an attack on the VM (A) of the data center 1 occurs and the host name of this VM (A) is “hoge.example.co.jp”.
  • a redirect device 70 is installed in the data center. When the redirect device 70 receives an access from the user terminal 10, the redirect device 70 redirects to a predetermined redirect destination.
  • the redirect device 70 is expressed as being installed in the data setter 1, but may be installed in the data centers 2 and 3.
  • the redirect device 70 may be realized by a VM or a physical machine. Furthermore, it may be realized by mounting the function of the redirect device 70 on the border router 30.
  • the border router 30, the VM, and the redirect device 70 in each data center are connected to the virtual L2 network 21 by a virtual switch (not shown).
  • the virtual L2 network 21 is a logical L2 network that connects the data centers.
  • the virtual L2 network 21 may be realized by a so-called virtualization technique or may be realized by other techniques.
  • the user terminal 10 accesses equipment (for example, VM) in each data center via the network 60 and receives provision of various services from the VM.
  • the user terminal 10 is, for example, a personal computer or a smartphone.
  • the DNS server 40 performs host name resolution. For example, when the DNS server 40 receives a request for name resolution of the host name of the access destination VM from the user terminal 10, the DNS server 40 returns an IP address corresponding to the host name. For example, the DNS server 40 refers to the DNS information held by itself (see reference numeral 102) and returns the IP address “aaa.bbb.ccc.101” for “hoge.example.co.jp”. And the user terminal 10 accesses VM (for example, VM (A)) using the said IP address.
  • VM for example, VM (A)
  • This DNS information includes the case where each VM (eg, VM (A)) is attacked in addition to the IP address (global IP address) for the host name of each VM (eg, VM (A)). An IP address for the redirect destination host name is set.
  • the DNS information indicated by reference numeral 102 in FIG. 1 includes VM (A) in addition to the IP address “aaa.bbb.ccc.101” for the host name “hoge.example.co.jp” of VM (A).
  • the host name of the redirect destination when IP is attacked and the IP address for the host name are set.
  • the redirect destination when the VM (A) is attacked is the border router 30B of the data center 2 or the border router 30C of the data center 3.
  • the IP address for the host name “hoge.anti_ddos1.example.co.jp” is “ddd.eee.fff.101 (VM (set in the border router 30B ( A) global IP address) ”, and the IP address corresponding to the host name“ hoge.anti_ddos2.example.co.jp ”is“ ggg.hhh.iii.101 ”(the global IP address of the VM (A) set in the border router 30C). IP address) ”is set. Accordingly, the user terminal 10 that has received the redirect from the redirect device 70 (details will be described later) can perform name resolution of the redirect destination host name.
  • the cloud controller 50 controls each device in the data center (for example, the border router 30, the VM, and the redirect device 70). For example, the cloud controller 50 changes the setting of the NAT IP address and the setting of the NAT table for the other border router 30. In addition, the cloud controller 50 performs redirection settings for the redirect device 70.
  • the border router 30A of the data center 1 detects a DDoS attack on the VM (A)
  • the border router 30A of the data center 1 detects a DDoS attack (S1)
  • it notifies the cloud controller 50 of the detection of the DDoS attack (S2).
  • the cloud controller 50 selects a NAT IP address from the global IP address band assigned to each of the data centers 2 and 3 (S3).
  • the cloud controller 50 performs NAT setting for each border router 30 (S4). That is, the cloud controller 50 sets the global IP address and private IP address of the VM (A) selected in S3 in the NAT tables of the border routers 30B and 30C.
  • the cloud controller 50 sets the global IP address “ddd.eee.fff.101” of the VM (A) selected in S3 and the private IP address of the VM (A) in the NAT table of the border router 30B. Further, the cloud controller 50 sets the global IP address “ggg.hhh.iii.101” of the VM (A) selected in S3 and the private IP address of the VM (A) in the NAT table of the border router 30C.
  • the cloud controller 50 sets redirection in the redirect device 70 (S5). For example, when the redirect device 70 receives access from the user terminal 10 to the redirect device 70, the cloud controller 50 performs URL2 (hoge.anti_ddos1.example.co.jp) and URL3 (hoge.anti_ddos2.example.co). .jp) to redirect to one of the settings.
  • URL2 and URL3 are host names of redirect destinations when the VM (A) described in the DNS information of the DNS server 40 is attacked.
  • the cloud controller 50 acquires the redirect destination host name from, for example, the DNS information of the DNS server 40.
  • the cloud controller 50 creates (prepares) the redirect device 70 using the resources in the data center, and performs the above-described redirect setting.
  • the private IP address of the redirect device 70 is a private IP address (for example, “xxx.yyy.zzz.102”) that is free from a predetermined private IP address space (for example, “xxx.yyy.zzz.0 / 24”). ]) To assign.
  • the cloud controller 50 changes the NAT setting of the border router 30A (S6). That is, the private IP address for the global IP address of the VM (A) in the NAT table of the border router 30A is changed from the private IP address of the VM (A) to the private IP address (for example, “xxx.yyy.zzz. 102 ”).
  • the user terminal 10 for example, the user terminals 10D and 10E of the authorized user first accesses the redirect device 70, but is redirected, and the DNS server 40 sets the redirect destination host name. Name resolution is performed, and the VM (A) is accessed via the border router 30B or border router 30C.
  • the user terminal 10 for example, the user terminals 10D and 10E of the authorized user uses the redirect device 70 to either URL2 (hoge.anti_ddos1.example.co.jp) or URL3 (hoge.anti_ddos2.example.co.jp).
  • the user terminal 10 of the authorized user is sent to the URL 2 (hoge.anti_ddos1.example.co.jp) or URL3 (hoge.anti_ddos2.example.co.jp) by the DNS server 40.
  • the IP address (“ddd.eee.fff.101”, “ggg.hhh.iii.101”) is known
  • the VM (A) is accessed via the border router 30B or the border router 30C based on this IP address.
  • the attacker's user terminal 10 for example, the user terminals 10A, 10B, and 10C
  • an attack program attack tool
  • the redirect device 70 continues to be attacked to the original IP address (“aaa.bbb.ccc.101”) via the border router 30A.
  • the user terminal 10 of the authorized user accesses the VM (A) by avoiding the border router 30A where access is concentrated, so even when an attack occurs. It becomes easy to access VM (A). Further, since the concentration of access to the border router 30A is alleviated, it is possible to reduce the bandwidth pressure on the border router 30A. As a result, the system can continue to provide services to the user terminal 10 even when subjected to an attack such as a DDoS attack.
  • the border router 30 is connected to the network 60 and relays communication between the user terminal 10 and each VM in each data center.
  • the border router 30 includes interfaces 31 and 34, a storage unit 32, and a control unit 33.
  • the interface 31 is an interface that connects the border router 30 and the network 60.
  • a global IP address selected from the IP address band of the data center to which the border router 30 belongs is set.
  • the interface 34 is an interface that connects the border router 30 to the virtual L2 network 21 and the VM.
  • the storage unit 32 stores a NAT table.
  • the NAT table is information in which a global IP address and a private IP address of a device (for example, VM) in the data center are associated with each other.
  • the NAT table shown in FIG. 4 is a NAT table in the border router 30A.
  • the private IP address for the global IP address “aaa.bbb.ccc.101” is “xxx.yyy.zzz.101”. Indicates that This NAT table is referred to when the route control unit 332 (described later) performs NAT.
  • the NAT table is changed based on an instruction from the cloud controller 50.
  • NAT table management unit 331 includes a NAT table management unit 331, a path control unit 332, an attack notification unit 333, and a filtering unit 334.
  • the NAT table management unit 331 updates the NAT table (see FIG. 4) based on an instruction from the external device. For example, if there is a private IP address setting change instruction for the VM (A) global IP address from the cloud controller 50 to the NAT table, the setting of the NAT table is changed accordingly.
  • the private IP address for the global IP address “aaa.bbb.ccc.101” of the VM (A) is changed to “xxx.yyy.zzz.101 (the private IP address of the VM (A)) in the NAT table. ) ”To“ xxx.yyy.zzz.102 (the private IP address of the redirect device 70) ”, the NAT table management unit 331 responds accordingly with reference numeral 301 ⁇ reference numeral in FIG. As shown in 302, the setting of the NAT table is changed.
  • the path control unit 332 in FIG. 3 performs path control of packets input via the interfaces 31 and 34. For example, when a packet from the user terminal 10 to the VM is received via the interface 31, the packet is transferred to the VM. At this time, the path control unit 332 performs NAT conversion between the global IP address and the private IP address attached to the packet with reference to the NAT table (see FIG. 4).
  • the attack notification unit 333 When the attack notification unit 333 detects an attack such as a DDoS attack on the VM via its own border router 30, the attack notification unit 333 notifies the cloud controller 50 that the attack has been detected.
  • the filtering unit 334 performs filtering of attack packets.
  • the filtering unit 334 refers to the header information of the received packet and discards the packet estimated as the attack packet.
  • this boundary router 30 was demonstrated as what is implement
  • the DNS server 40 performs name resolution of the host name of the access destination.
  • the DNS server 40 includes a communication control unit 41, a storage unit 42, and a control unit 43.
  • the communication control unit 41 controls communication with other devices.
  • the communication control unit 41 controls communication performed with the user terminal 10 or the like.
  • the storage unit 42 stores DNS information.
  • This DNS information includes information on an IP address (global IP address) corresponding to the host name.
  • This DNS information is referred to when the host name resolution unit 432 (described later) performs host name resolution.
  • This DNS information is, for example, information indicated by reference numeral 102 in FIG.
  • the control unit 43 includes a DNS information management unit 431 and a host name resolution unit 432.
  • the DNS information management unit 431 sets DNS information based on an instruction from an external device (for example, the cloud controller 50). For example, as indicated by reference numeral 102 in FIG. 1, the DNS information is set to “aaa.bbb.ccc.101” as the IP address for the host name “hoge.example.co.jp” of the VM (A). The IP address “ddd.eee.fff.101” for the name “hoge.anti_ddos1.example.co.jp” is set, and “ggg.hhh. iii.101 "is set.
  • a pair of a VM host name and an IP address used when an attack against this VM is detected is set.
  • an IP address corresponding to the VM host name used when an attack against this VM is detected an IP address under the border router 30 of a base other than the base to which the target VM belongs is used.
  • the host name of the VM used when an attack on the VM is detected is referred to when the redirect setting unit 533 (described later) sets redirection for the redirect device 70.
  • anti_ddos1 and “anti_ddos2” included in the above host names are character strings used for simplifying the description, and are actually character strings that can be understood by the attacker as a countermeasure against DDoS. Is not used.
  • the host name resolution unit 432 refers to the DNS information and performs host name resolution. For example, when receiving a request for name resolution of the host name of the VM (A) from the user terminal 10, the host name resolution unit 432 refers to the DNS information and returns an IP address corresponding to the host name.
  • the cloud controller 50 controls each device (for example, the border router 30, the VM, the redirect device 70, etc.) in the data center.
  • the cloud controller 50 controls each device (for example, the border router 30, the VM, the redirect device 70, etc.) in the data center.
  • the cloud controller 50 includes a communication control unit 51, a storage unit 52, and a control unit 53.
  • the communication control unit 51 controls communication with other devices.
  • the communication control unit 51 controls communication performed with the border router 30 and the DNS server 40.
  • the storage unit 52 stores border router information and global IP address band information.
  • the border router information is information indicating the data center to which the border router 30 belongs and the IP address of the border router 30 for each border router 30.
  • Global IP address band information is information indicating a global IP address band assigned to each data center.
  • the global IP address band assigned to the data center 1 is “aaa.bbb.ccc.0 / 24”
  • the global IP address band assigned to the data center 2 Indicates “ddd.eee.fff.0 / 24”.
  • This global IP address band information is referred to when the NAT setting unit 532 (described later) sets NAT for each border router 30.
  • the control unit 53 includes an attack notification receiving unit 531, a NAT setting unit 532, a redirect setting unit 533, and a NAT changing unit 534.
  • the migration execution unit 535 and the DNS information setting unit 536 indicated by broken lines may be equipped or not equipped, and the case where they are equipped will be described later.
  • the attack notification receiving unit 531 receives an attack notification from the border router 30.
  • the NAT setting unit 532 sets the NAT of the attack target VM for the border router 30 of each data center.
  • the NAT setting unit 532 selects the NAT IP address of the VM (A) with reference to the global IP address band information (see FIG. 8) for each border router 30 of the data centers 2 and 3. .
  • the NAT setting unit 532 refers to the global IP address band information (see FIG. 8), and from the global IP address band “ddd.eee.fff.0 / 24” assigned to the data center 2, “ddd.
  • the NAT setting unit 532 sets the NAT setting in which “ddd.eee.fff.101” is associated with the private IP address (for example, “xxx.yyy.zzz.101”) of the VM in the data center 2.
  • the border router 30B sets the NAT setting in which “ddd.eee.fff.101” is associated with the private IP address (for example, “xxx.yyy.zzz.101”) of the VM in the data center 2.
  • the NAT setting unit 532 sets the NAT setting in which “ggg.hhh.iii.101” is associated with the private IP address of the VM (for example, “xxx.yyy.zzz.101”) in the data center 3. To the border router 30C. Note that the NAT setting unit 532 stores the IP address of each VM already set in the NAT in the storage unit 52 so that there is no IP address duplication between VMs in the NAT setting.
  • the redirect setting unit 533 sets redirection for the redirect device 70.
  • the redirect setting unit 533 detects an attack on this VM (A) from the DNS information of the DNS server 40 (see reference numeral 102 in FIG. 1).
  • the VM host name (“hoge.anti_ddos1.example.co.jp" and "hoge.anti_ddos2.example.co.jp") used at the time of acquisition is acquired, and one of the acquired hosts is transmitted to the redirect device 70. Set redirect to name host.
  • the access from the user terminal 10 (the user terminal 10 of the authorized user) to the redirect device 70 is to either “hoge.anti_ddos1.example.co.jp” or “hoge.anti_ddos2.example.co.jp”. Redirected.
  • the user terminal 10 (user terminal 10 of a regular user) accesses the VM (A) via the border router 30B or the border router 30C.
  • the redirect setting unit 533 may also set a redirect destination selection method (for example, round robin) in the redirect device 70.
  • the redirect setting unit 533 creates the redirect device 70 (for example, the redirect VM), for example, in the data center to which the attack target VM belongs. Then, the redirect setting described above is performed for the created redirect device 70. Since the data centers are connected by the virtual L2 network 21, the redirect setting unit 533 may create the redirect device 70 in addition to the data center to which the attack target VM belongs. By creating the redirect device 70 in the data center to which it belongs, it is possible to avoid that the attack packet communicates between the data centers.
  • the NAT changing unit 534 changes the private IP address of the VM in the NAT table of the border router 30 of the data center to which the attack target VM belongs to the private IP address of the redirect device 70. .
  • the NAT changing unit 534 has the private IP address of the VM (A) in the NAT table of the border router 30A of the data center 1 to which the VM (A) belongs. Is changed to the private IP address of the redirect device 70 (see S6 in FIG. 1). As a result, the traffic addressed to the VM (A) via the border router 30A reaches the redirect device 70.
  • the redirect device 70 redirects access from the user terminal 10.
  • the redirect device 70 includes a communication control unit 71, a storage unit 72, and a control unit 73.
  • the communication control unit 71 controls communication with other devices. For example, the communication control unit 71 controls communication performed with the cloud controller 50 and the user terminal 10.
  • the storage unit 72 stores redirect destination information.
  • This redirect destination information is information indicating the host name of the redirect destination of the redirect device 70. For example, “hoge.anti_ddos1.example.co.jp”, “hoge.anti_ddos2.example.co.jp”, etc. are described.
  • the control unit 73 includes a redirect setting reception unit 731 and a redirect unit 732.
  • the redirect setting reception unit 731 When the redirect setting reception unit 731 receives the redirect setting from the cloud controller 50 via the communication control unit 71, the redirect setting reception unit 731 outputs the redirect destination information (redirect destination host name) included in the redirect setting to the storage unit 72.
  • the redirect unit 732 performs HTTP redirect (redirect) of access from the user terminal 10. For example, when the redirect unit 732 accepts access from the user terminal 10 via the communication control unit 71, the host name (for example, “hoge.anti_ddos1.example.co.jp” and “hoge.anti_ddos2” indicated in the redirect destination information is received. .example.co.jp ”) to the host name determined by round robin. The redirect unit 732 determines the redirect destination by round robin as described above, so that traffic from the user terminal 10 of the authorized user to the attack target VM (for example, VM (A)) is the border router of each data center. 30.
  • VM for example, VM (A)
  • the NAT setting unit 532 refers to the global IP address band information (see FIG. 7) and refers to the VM.
  • the NAT IP address is selected (S12).
  • the NAT setting unit 532 sets the IP address selected in S12 in the NAT table of each border router 30 (the border router 30 of each data center other than the data center to which the attack target VM belongs) (S13).
  • the redirect setting unit 533 checks whether or not there is the redirect device 70 in the data center to which the attack target VM belongs (S14).
  • the redirect setting unit 533 70 is created (S15). Then, the process proceeds to S16. On the other hand, if there is the redirect device 70 in the data center to which the attack target VM belongs (Yes in S14), the redirect setting unit 533 skips S15 and proceeds to S16.
  • the redirect setting unit 533 performs the redirect setting for the redirect device 70.
  • the redirect setting unit 533 uses the host name (“hoge.”) Of the VM to be used when an attack against the attack target VM (for example, VM (A)) is detected from the DNS information of the DNS server 40 (see reference numeral 102 in FIG. 1). anti_ddos1.example.co.jp ”and“ hoge.anti_ddos2.example.co.jp ”), and the redirect device 70 is set to redirect to one of the acquired host names.
  • the NAT changing unit 534 changes the private IP address of the attack target VM in the NAT setting of the border router 30 of the data center to which the attack target VM belongs to the private IP address of the redirect device 70 (S17). ).
  • the redirect unit 732 of the redirect device 70 determines the redirect destination host from the host indicated in the redirect destination information by round robin (S22). Access is redirected to the host determined in S22 (S23). On the other hand, before the redirect unit 732 accepts access from the user terminal 10 (No in S21), the process returns to S21.
  • the access to the attack target VM is redirected by the redirect device 70 from the user terminal 10 of the authorized user.
  • the user terminal 10 of the authorized user performs name resolution of the redirect destination host name by the DNS server 40
  • the attack target VM is routed via the border router 30 of the data center other than the data center to which the attack target VM belongs. Will be accessing.
  • the attacker's user terminal 10 cannot access the redirect device 70 even if it accesses the redirect device 70, and therefore remains in the state of accessing the redirect device 70.
  • the user terminal 10 of the authorized user accesses the attack target VM by avoiding the border router 30 where access is concentrated due to the attack, it becomes easy to access the attack target VM. Moreover, since the concentration of access to the border router 30 of the data center to which the attack target VM belongs is relieved by the redirection, the bandwidth compression of the border router 30 can be reduced. As a result, the system can continue to provide services to the user terminal 10 even when subjected to an attack such as a DDoS attack.
  • the bandwidth of the access line connecting each data center and the network 60 is 10 Gbps
  • the total attack traffic from the attacker's user terminals 10 (10A, 10B, 10C) is 8 Gbps
  • the user terminal 10 (10D) of the regular user , 10E) the total traffic from 4 Gbps is considered
  • the case where the VM responds with 2 Mbytes of data in response to one request is considered as an example.
  • the bandwidth of the access line connecting the data center 1 and the network 60 is 10 Gbps, the traffic for 2 Gbps including the traffic from the user terminal 10 of the authorized user is discarded.
  • the traffic from the user terminal 10 (10D, 10E) of the authorized user is distributed to the border routers 30 of the two data centers (data centers 2, 3).
  • the traffic to the border router 30A of the data center 1 is 8 Gbps
  • the traffic to the border router 30B of the data center 2 is 2 Gbps
  • the traffic to the border router 30C of the data center 3 is 2 Gbps. That is, since it becomes 10 Gbps or less, the traffic is not discarded, and the traffic from the user terminal 10 of the authorized user can be protected.
  • the redirect device 70 transmits the redirect information to the user terminal 10, the traffic volume to the user terminal 10 is reduced as compared with the case where data (2 M bytes in the above example) is responded to the user terminal 10 by the VM or the like. Can be reduced.
  • the redirect device 70 performs the redirect process as a main process, resources such as a CPU (Central Processing Unit), a memory, and the like are smaller than an ordinary web server for access from the user terminal 10 or the like. As a result, the redirect device 70 can cope with access from many user terminals 10. It is also effective against DDoS attacks performed on VM resources.
  • the access from the attacker's user terminal 10 does not reach the attack target VM due to the change of the NAT setting in the border router 30 and the redirect by the redirect device 70. Therefore, since the VM to be attacked only needs to cope with access from the user terminal 10 of the authorized user, it can cope with the DDoS attack performed on the VM resources as described above.
  • the system sets DNS information in the DNS server 40 before detecting an attack. Therefore, for example, as in the technique described in Non-Patent Document 7, the system can deal with the attack more quickly than when the DNS information of the DNS server is changed after the attack is detected.
  • the attack target VM may be migrated to another data center (for example, the data center 2).
  • the cloud controller 50 includes a migration execution unit 535 illustrated in FIG. 7, and the migration execution unit 535 executes migration of the VM.
  • the migration execution unit 535 of the cloud controller 50 migrates the attack target VM (A) from the data center 1 to the data center 2 as shown in FIG.
  • the user terminal 10 of the authorized user who has accessed the VM (A) via the border router 30B or the border router 30C does not need to communicate with the data center 1, so the VM (A ) Can be shortened.
  • the cloud controller 50 performs NAT setting for each border router 30 and changes the NAT of the border router 30 of the data center to which the attack target VM belongs, by the redirect device 70 according to the same processing procedure as described above. Is executed.
  • the border router 30 transmits an attack notification when it detects a DDoS attack
  • the present invention is not limited to this.
  • the attack notification may be transmitted when a packet to the VM relayed by the border router 30 is transmitted exceeding a predetermined threshold.
  • a threshold value for example, a bandwidth value set in the interface 31 connected from the border router 30 to the network 60 is used.
  • the redirect setting unit 533 of the cloud controller 50 acquires the host name of the redirect destination set in the redirect device 70 from the DNS information of the DNS server 40
  • the present invention is not limited to this.
  • the cloud controller 50 sets the DNS information of the DNS server 40
  • the cloud controller 50 stores the DNS information set in the DNS server 40 in the storage unit 52.
  • the cloud controller 50 acquires the redirect destination host name from the DNS information in the storage unit 52 and sets it in the redirect device 70.
  • the cloud controller 50 further includes a DNS information setting unit 536 (see FIG. 7) for setting DNS information of the DNS server 40, and the DNS information setting unit 536 stores the DNS information set in the DNS server 40 in the storage unit 52. Keep it.
  • the redirect setting unit 536 acquires the host name of the host under the border router 30 at any base other than the base to which the attack target VM belongs from the DNS information in the storage unit 52, and redirects the host with the host name.
  • the redirect device 70 is set as the previous host.
  • program It is also possible to create and execute a program in which processing executed by the cloud controller 50 according to the above embodiment is described in a language that can be executed by a computer. In this case, the same effect as the above-described embodiment can be obtained by the computer executing the program. Further, such a program may be recorded on a computer-readable recording medium, and the program recorded on the recording medium may be read by the computer and executed to execute the same processing as in the above embodiment.
  • a computer that executes a control program that realizes the same function as the cloud controller 50 will be described.
  • FIG. 13 is a diagram illustrating a computer that executes a control program.
  • the computer 1000 includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100, for example.
  • a mouse 1110 and a keyboard 1120 are connected to the serial port interface 1050.
  • a display 1130 is connected to the video adapter 1060.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094.
  • Each table described in the above embodiment is stored in the hard disk drive 1090 or the memory 1010, for example.
  • control program is stored in the hard disk drive 1090 as a program module in which a command executed by the computer 1000 is described, for example.
  • a program module describing each process executed by the cloud controller 50 described in the above embodiment is stored in the hard disk drive 1090.
  • data used for information processing by the control program is stored in the hard disk drive 1090 as program data, for example.
  • the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the hard disk drive 1090 to the RAM 1012 as necessary, and executes the above-described procedures.
  • the program module 1093 and the program data 1094 related to the control program are not limited to being stored in the hard disk drive 1090.
  • the program module 1093 and the program data 1094 are stored in a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. May be.
  • the program module 1093 and the program data 1094 related to the control program are stored in another computer connected via a network such as a LAN (Local Area Network) or a WAN (Wide Area Network), and via the network interface 1070. It may be read by the CPU 1020.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　クラウドコントローラ（５０）は、システム内のいずれかデータセンタ内のＶＭへの攻撃を検知したとき、攻撃対象のＶＭ（Ａ）の属するデータセンタ（１）以外の各データセンタ（２，３）の境界ルータ（３０）にＶＭ（Ａ）のプライベートＩＰアドレスのＮＡＴ設定を行う。次に、クラウドコントローラ（５０）は、ＶＭ（Ａ）と同じデータセンタ（１）内のリダイレクト装置（７０）に対し、ユーザ端末（１０）からのアクセスをデータセンタ（１）以外の各データセンタ（２，３）のいずれかの境界ルータ（３０Ｂ，３０Ｃ）配下のホストへリダイレクトするよう設定する。その後、クラウドコントローラ（５０）は、データセンタ（１）の境界ルータ（３０Ａ）のＮＡＴ設定におけるＶＭ（Ａ）のプライベートＩＰアドレスを、リダイレクト装置（７０）のプライベートＩＰアドレスに変更する。

Description

制御装置、制御システム、制御方法、および、制御プログラム
　本発明は、制御装置、制御システム、制御方法、および、制御プログラムに関する。
　仮想環境を構築する技術としてOpenStack（登録商標）と呼ばれる技術が普及している。また、このOpenStack（登録商標）を用い、複数のデータセンタ等、複数の拠点を仮想Ｌ２（レイヤ２）ネットワークで接続する技術も提案されている（非特許文献１～３）。
OpenStack、[online]、[平成26年6月16日検索]、インターネット<URL：http://www.openstack.org/> 石井久治他、「オープンソースlaaS　クラウド基盤OpenStack」、ＮＴＴ技術ジャーナルVol.23、No.8、2011. 北爪秀雄他、「クラウドサービスを支えるネットワーク仮想化技術」、ＮＴＴ技術ジャーナルVol.23、No.10、2011. 永渕幸雄他、「データセンタ間ライブマイグレーションにおける冗長経路回避に向けた経路制御方式の提案」、信学技報、IN2013-48、pp.71-76、Jul.2013. DDoS攻撃の軽減対策、[online]、[平成26年6月16日検索]、インターネット<URL：http://www.cisco.com/web/JP/product/hs/security/tad/tech/pdf/dda_wp.pdf> ウィキペディア、HTTPリダイレクト、[online]、[平成26年6月16日検索]、インターネット<URL：http://ja.wikipedia.org/wiki/%E3%83%AA%E3%83%80%E3%82%A4%E3%83%AC%E3%82%AF%E3%83%88_(HTTP)> 永渕幸雄他、「仮想データセンタ環境におけるDDoS攻撃トラヒック分散方式の提案」、信学技報、IN2014-48、pp.107-112、Jul.2014.
　ここでデータセンタ内の特定のＩＰ（Internet　Protocol）機器が、大量のパケットによるＤＤｏＳ（Distributed　Denial　of　Service）攻撃を受けた場合、当該データセンタの入り口に設置されたＦＷ（FireWall）に攻撃パケットが集中する。その結果、当該データセンタ内のＩＰ機器が正規ユーザ（攻撃者以外のユーザ）に対し、継続してサービスを提供できないおそれがあった。そこで、本発明は前記した問題を解決し、ＤＤｏＳ攻撃等の攻撃を受けた場合でも継続してサービスを提供することを課題とする。
　前記した課題を解決するため、本発明は、仮想ネットワークにより相互に接続される複数の拠点に設置され、当該拠点内の機器と外部ネットワークとの通信を中継する境界ルータに対し、各種制御を行う制御装置であって、いずれかの拠点内の機器へのパケットの集中を検知したとき、前記パケットの集中が検知された機器である攻撃対象の機器の属する拠点以外の各拠点の境界ルータに前記攻撃対象の機器のＩＰアドレスのＮＡＴ（Network　Address　Translation）設定を行うＮＡＴ設定部と、いずれかの拠点内に設置されるリダイレクト装置に対し、前記リダイレクト装置へのアクセスを、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストへリダイレクトさせるよう設定するリダイレクト設定部と、前記リダイレクトの設定後、前記攻撃対象の機器の属する拠点の境界ルータのＮＡＴ設定における前記攻撃対象の機器のプライベートＩＰアドレスを、前記リダイレクト装置のプライベートＩＰアドレスに変更するＮＡＴ変更部とを備えることを特徴とする。
　本発明によれば、ＤＤｏＳ攻撃等の攻撃を受けた場合でも継続してサービスを提供することができる。
図１は、システムの全体構成の一例を示す図である。 図２は、システムの効果を説明する図である。 図３は、境界ルータの構成を示す図である。 図４は、境界ルータのＮＡＴテーブルの一例を示す図である。 図５は、境界ルータのＮＡＴテーブルの設定変更の一例を示す図である。 図６は、ＤＮＳサーバの構成を示す図である。 図７は、クラウドコントローラの構成を示す図である。 図８は、グローバルＩＰアドレス帯情報の一例を示す図である。 図９は、リダイレクト装置の構成を示す図である。 図１０は、クラウドコントローラの処理手順を示すフローチャートである。 図１１は、リダイレクト装置の処理手順を示すフローチャートである。 図１２は、ＶＭのマイグレーションを説明する図である。 図１３は、制御プログラムを実行するコンピュータを示す図である。
　以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。なお、本発明は本実施形態に限定されない。
（全体構成）
　まず、図１を用いて本実施形態の制御システム（システム）の全体構成を説明する。システムは、データセンタ（データセンタ１，２，３）と、ユーザ端末１０（１０Ａ～１０Ｅ）と、ＤＮＳ（Domain　Name　System）サーバ４０と、クラウドコントローラ（制御装置）５０とを備える。これらは、インターネット等のネットワーク６０で接続される。
　データセンタはそれぞれ、境界ルータ３０を備え、１以上のＶＭを設置することができる。ここでは、データセンタ１は境界ルータ３０Ａを備え、データセンタ２は境界ルータ３０Ｂを備え、データセンタ３は境界ルータ３０Ｃを備える場合を例に説明する。なお、本実施形態では、データセンタ内に設置される機器がＶＭ（Virtual　Machine）である場合を例に説明するが、ＶＭ以外の機器であってもよい。
　境界ルータ３０（３０Ａ，３０Ｂ，３０Ｃ）は、ネットワーク６０に接続され、ユーザ端末１０と各データセンタの各ＶＭとの通信を中継する。なお、各境界ルータ３０は、仮想Ｌ２（レイヤ２）ネットワーク２１で構成されるデータセンタ１，２，３を同じ共通のネットワークセグメント２２とネットワーク６０に分割する。
　例えば、境界ルータ３０Ａのインタフェース３１には、データセンタ１に割り当てられたＩＰアドレス帯「aaa.bbb.ccc.0/24」から選択されたＩＰアドレス（グローバルＩＰアドレス）「aaa.bbb.ccc.101」が設定される。同様に、境界ルータ３０Ｂにも、当該境界ルータ３０Ｂの属するデータセンタ２に割り当てられたＩＰアドレス帯から選択されたＩＰアドレスが設定され、境界ルータ３０Ｃにも、当該境界ルータ３０Ｃの属するデータセンタ３に割り当てられたＩＰアドレス帯から選択されたＩＰアドレスが設定される。
　境界ルータ３０は、ＮＡＴ（Network　Address　Translation）機能を備え、ＮＡＴテーブル（図４参照）により、各ＶＭのグローバルＩＰアドレス－プライベートＩＰアドレス間の相互変換を行う。例えば、データセンタ１の内部のプライベートＩＰアドレス空間として「xxx.yyy.zzz.0/24」が割り当てられ、ＶＭ（Ａ）のプライベートＩＰアドレスが「xxx.yyy.zzz.101」である場合を考える。この場合、境界ルータ３０Ａは、ＶＭ（Ａ）宛のパケットを受信すると、パケットの宛先のグローバルＩＰアドレス（例えば、「aaa.bbb.ccc.101」）を、当該ＶＭ（Ａ）のプライベートＩＰアドレス（「xxx.yyy.zzz.101」）に変換して、データセンタ１の内部のＶＭ（Ａ）へ転送する。なお、各データセンタ間は仮想Ｌ２（レイヤ２）ネットワーク２１で接続されており、いずれの境界ルータ３０もＮＡＴテーブルを用いることで、パケットを受信した場合に、当該パケットを宛先のＶＭへ転送できる。
　また、境界ルータ３０は、いわゆるＦＷ（FireWall）としての機能も備え、ＤＤｏＳ攻撃等の攻撃を検知した場合、攻撃パケットのフィルタリングを行う。また、境界ルータ３０は、攻撃を検知した旨を、クラウドコントローラ５０へ通知する。この境界ルータ３０は、物理マシンにより実現されてもよいし、仮想マシンにより実現されてもよい。
　ＶＭは、仮想Ｌ２ネットワーク２１および境界ルータ３０を介してユーザ端末１０との通信を実行する。このＶＭは、例えば、ＷｅｂサーバやＤＢ（データベース）サーバ等を実行する仮想マシンである。このＶＭは、データセンタ内に設置される物理リソースにより実現される。なお、物理リソースは、通信インタフェース、プロセッサ、メモリ、ハードディスク等である。以下では、データセンタ１のＶＭ（Ａ）に対する攻撃が発生し、このＶＭ（Ａ）のホスト名は「hoge.example.co.jp」である場合を例に説明する。
　また、データセンタ内にはリダイレクト装置７０が設置される。このリダイレクト装置７０は、ユーザ端末１０からのアクセスを受け付けると、所定のリダイレクト先へのリダイレクトを行う。図１において、リダイレクト装置７０はデーセタンタ１に設置されるものとして表現しているが、データセンタ２，３にも設置されてよい。なお、このリダイレクト装置７０は、ＶＭにより実現されてもよいし、物理的なマシンにより実現されてもよい。さらに、境界ルータ３０にリダイレクト装置７０の機能を実装することで実現してもよい。
　なお、各データセンタ内の境界ルータ３０、ＶＭおよびリダイレクト装置７０は、仮想スイッチ(図示省略)により仮想Ｌ２ネットワーク２１に接続される。この仮想Ｌ２ネットワーク２１は、各データセンタ間を接続する論理的なＬ２ネットワークである。この仮想Ｌ２ネットワーク２１はいわゆる仮想化技術により実現してもよいし、それ以外の技術により実現してもよい。
　ユーザ端末１０は、ネットワーク６０経由で各データセンタ内の機器（例えば、ＶＭ）にアクセスし、ＶＭから各種サービスの提供を受ける。このユーザ端末１０は、例えば、パーソナルコンピュータやスマートフォン等である。
　ＤＮＳサーバ４０は、ホスト名の名前解決を行う。例えば、ＤＮＳサーバ４０は、ユーザ端末１０からアクセス先のＶＭのホスト名の名前解決の要求を受け付けると、このホスト名に対応するＩＰアドレスを返す。例えば、ＤＮＳサーバ４０は自身が保有するＤＮＳ情報（符号１０２参照）を参照して、「hoge.example.co.jp」に対するＩＰアドレス「aaa.bbb.ccc.101」を返す。そして、ユーザ端末１０は、当該ＩＰアドレスを用いてＶＭ（例えば、ＶＭ（Ａ））へアクセスする。
　なお、このＤＮＳ情報には、各ＶＭ（例えば、ＶＭ（Ａ））のホスト名に対するＩＰアドレス（グローバルＩＰアドレス）の他に、各ＶＭ（例えば、ＶＭ（Ａ））が攻撃を受けた場合のリダイレクト先のホスト名に対するＩＰアドレスが設定される。
　例えば、図１の符号１０２に示すＤＮＳ情報には、ＶＭ（Ａ）のホスト名「hoge.example.co.jp」に対するＩＰアドレス「aaa.bbb.ccc.101」の他に、ＶＭ（Ａ）が攻撃されたときのリダイレクト先のホスト名とそのホスト名に対するＩＰアドレスが設定される。具体例を挙げて説明すると、ＶＭ（Ａ）が攻撃されたときのリダイレクト先が、データセンタ２の境界ルータ３０Ｂまたはデータセンタ３の境界ルータ３０Ｃである場合を考える。この場合、図１の符号１０２に示すＤＮＳ情報には、ホスト名「hoge.anti_ddos1.example.co.jp」に対するＩＰアドレスは「ddd.eee.fff.101（境界ルータ３０Ｂに設定されたＶＭ（Ａ）のグローバルＩＰアドレス）」であり、ホスト名「hoge.anti_ddos2.example.co.jp」に対するＩＰアドレスは「ggg.hhh.iii.101（境界ルータ３０Ｃに設定されたＶＭ（Ａ）のグローバルＩＰアドレス）」であるという情報が設定される。これにより、リダイレクト装置７０（詳細は後記）からのリダイレクトを受けたユーザ端末１０は、リダイレクト先のホスト名の名前解決を行うことができる。
　クラウドコントローラ５０は、データセンタ内の各機器（例えば、境界ルータ３０やＶＭ、リダイレクト装置７０）の制御を行う。例えば、クラウドコントローラ５０は、他の境界ルータ３０に対するＮＡＴ用のＩＰアドレスの設定およびＮＡＴテーブルの設定の変更を行う。また、クラウドコントローラ５０は、リダイレクト装置７０に対しリダイレクトの設定を行う。
（動作概要）
　次に、引き続き図１を用いて、上記のシステムにおける動作概要を説明する。ここでは、データセンタ１の境界ルータ３０Ａが、ＶＭ（Ａ）に対するＤＤｏＳ攻撃を検知した場合を例に説明する。例えば、データセンタ１の境界ルータ３０ＡがＤＤｏＳ攻撃を検知すると（Ｓ１）、クラウドコントローラ５０へＤＤｏＳ攻撃の検知を通知する（Ｓ２）。この通知を受けたクラウドコントローラ５０は、データセンタ２，３それぞれに割り当てられたグローバルＩＰアドレス帯から、ＮＡＴ用のＩＰアドレスを選択する（Ｓ３）。そして、クラウドコントローラ５０は、各境界ルータ３０にＮＡＴの設定を行う（Ｓ４）。つまり、クラウドコントローラ５０は、境界ルータ３０Ｂ，３０ＣそれぞれのＮＡＴテーブルにＳ３で選択したＶＭ（Ａ）のグローバルＩＰアドレスとプライベートＩＰアドレスとを設定する。
　例えば、クラウドコントローラ５０は、境界ルータ３０ＢのＮＡＴテーブルにＳ３で選択したＶＭ（Ａ）のグローバルＩＰアドレス「ddd.eee.fff.101」とＶＭ（Ａ）のプライベートＩＰアドレスとを設定する。また、クラウドコントローラ５０は、境界ルータ３０ＣのＮＡＴテーブルにＳ３で選択したＶＭ（Ａ）のグローバルＩＰアドレス「ggg.hhh.iii.101」とＶＭ（Ａ）のプライベートＩＰアドレスとを設定する。
　次に、クラウドコントローラ５０は、リダイレクト装置７０にリダイレクトの設定を行う（Ｓ５）。例えば、クラウドコントローラ５０は、リダイレクト装置７０に対し、当該リダイレクト装置７０がユーザ端末１０からアクセスを受け付けたとき、ＵＲＬ２（hoge.anti_ddos1.example.co.jp）およびＵＲＬ３（hoge.anti_ddos2.example.co.jp）のいずれかにリダイレクトするようリダイレクトの設定を行う。このＵＲＬ２およびＵＲＬ３は、ＤＮＳサーバ４０のＤＮＳ情報に記載されたＶＭ（Ａ）が攻撃されたときのリダイレクト先のホスト名である。クラウドコントローラ５０は、このリダイレクト先のホスト名を、例えば、ＤＮＳサーバ４０のＤＮＳ情報から取得する。なお、データセンタ１内にリダイレクト装置７０がなければ、クラウドコントローラ５０は、データセンタ内のリソースを用いてリダイレクト装置７０を作成（用意）し、上記のリダイレクトの設定を行う。なお、リダイレクト装置７０のプライベートＩＰアドレスは、所定のプライベートＩＰアドレス空間（例えば、「xxx.yyy.zzz.0/24」）から空いているプライベートＩＰアドレス（例えば、「xxx.yyy.zzz.102」）を選択し割り当てる。
　その後、クラウドコントローラ５０は、境界ルータ３０ＡのＮＡＴ設定の変更を行う（Ｓ６）。つまり、境界ルータ３０ＡのＮＡＴテーブルにおけるＶＭ（Ａ）のグローバルＩＰアドレスに対するプライベートＩＰアドレスを、ＶＭ（Ａ）のプライベートＩＰアドレスから、リダイレクト装置７０のプライベートＩＰアドレス（例えば、「xxx.yyy.zzz.102」）に変更する。
　これにより、例えば、図２に示すように正規ユーザのユーザ端末１０（例えば、ユーザ端末１０Ｄ，１０Ｅ）は、はじめにリダイレクト装置７０へアクセスするが、リダイレクトされ、ＤＮＳサーバ４０によりリダイレクト先のホスト名の名前解決を行い、境界ルータ３０Ｂまたは境界ルータ３０Ｃ経由でＶＭ（Ａ）へアクセスする。つまり、正規ユーザのユーザ端末１０（例えば、ユーザ端末１０Ｄ，１０Ｅ）は、リダイレクト装置７０によりＵＲＬ２（hoge.anti_ddos1.example.co.jp）またはＵＲＬ３（hoge.anti_ddos2.example.co.jp）のいずれかにリダイレクトされる。ここで、正規ユーザのユーザ端末１０（例えば、ユーザ端末１０Ｄ，１０Ｅ）は、ＤＮＳサーバ４０によりＵＲＬ２（hoge.anti_ddos1.example.co.jp）またはＵＲＬ３（hoge.anti_ddos2.example.co.jp）に対するＩＰアドレス（「ddd.eee.fff.101」、「ggg.hhh.iii.101」）を知ると、このＩＰアドレスに基づき境界ルータ３０Ｂまたは境界ルータ３０Ｃ経由でＶＭ（Ａ）にアクセスする。
　一方、攻撃者のユーザ端末１０（例えば、ユーザ端末１０Ａ，１０Ｂ，１０Ｃ）は、ブラウザの機能を持たない攻撃プログラム（攻撃ツール）で攻撃を行った場合、ブラウザの機能を必要とするリダイレクトに対応できないため、境界ルータ３０Ａ経由で元のＩＰアドレス（「aaa.bbb.ccc.101」）宛にリダイレクト装置７０を攻撃し続ける。
　これにより、正規ユーザのユーザ端末１０（例えば、ユーザ端末１０Ｄ，１０Ｅ）は、アクセスが集中している境界ルータ３０Ａを避けてＶＭ（Ａ）へアクセスすることになるので、攻撃が発生したときもＶＭ（Ａ）へアクセスしやすくなる。また、境界ルータ３０Ａへのアクセスの集中が緩和されるので境界ルータ３０Ａの帯域圧迫を軽減できる。その結果、システムは、ＤＤｏＳ攻撃等の攻撃を受けた場合でもユーザ端末１０に対し継続してサービスを提供することができる。
（境界ルータ）
　次に、システムの各構成要素を詳細に説明する。まず、図３を用いて境界ルータ３０を説明する。
　前記したとおり、境界ルータ３０は、ネットワーク６０に接続され、ユーザ端末１０と各データセンタの各ＶＭとの通信を中継する。この境界ルータ３０は、インタフェース３１，３４と、記憶部３２と、制御部３３とを備える。
　インタフェース３１は、境界ルータ３０とネットワーク６０とを接続するインタフェースである。このインタフェース３１には、この境界ルータ３０の属するデータセンタのＩＰアドレス帯から選択されたグローバルＩＰアドレスが設定される。インタフェース３４は、境界ルータ３０と仮想Ｌ２ネットワーク２１、ＶＭを接続するインタフェースである。
　記憶部３２は、ＮＡＴテーブルを記憶する。ＮＡＴテーブルは、データセンタ内の機器（例えば、ＶＭ）のグローバルＩＰアドレスとプライベートＩＰアドレスとを対応付けた情報である。例えば、図４に示すＮＡＴテーブルは、境界ルータ３０ＡにおけるＮＡＴテーブルであり、このＮＡＴテーブルにおいて、グローバルＩＰアドレス「aaa.bbb.ccc.101」に対するプライベートＩＰアドレスは「xxx.yyy.zzz.101」であることを示す。このＮＡＴテーブルは、経路制御部３３２（後記）がＮＡＴを行うときに参照される。また、このＮＡＴテーブルは、クラウドコントローラ５０からの指示に基づき変更される。
　図３の制御部３３は、ＮＡＴテーブル管理部３３１と、経路制御部３３２と、攻撃通知部３３３と、フィルタリング部３３４とを備える。
　ＮＡＴテーブル管理部３３１は、外部装置からの指示に基づきＮＡＴテーブル（図４参照）を更新する。例えば、クラウドコントローラ５０から、ＮＡＴテーブルに、ＶＭ（Ａ）のグローバルＩＰアドレスに対するプライベートＩＰアドレスの設定変更指示があった場合、これに応じてＮＡＴテーブルの設定変更を行う。
　例えば、クラウドコントローラ５０から、ＮＡＴテーブルに、ＶＭ（Ａ）のグローバルＩＰアドレス「aaa.bbb.ccc.101」に対するプライベートＩＰアドレスを「xxx.yyy.zzz.101（ＶＭ（Ａ）のプライベートＩＰアドレス）」から「xxx.yyy.zzz.102（リダイレクト装置７０のプライベートＩＰアドレス）」への設定変更指示があった場合、ＮＡＴテーブル管理部３３１は、これに応じて、図５の符号３０１→符号３０２に示すようにＮＡＴテーブルの設定変更を行う。
　図３の経路制御部３３２は、インタフェース３１，３４経由で入力されたパケットの経路制御を行う。例えば、インタフェース３１経由でユーザ端末１０からＶＭへのパケットを受信すると、このパケットを当該ＶＭへ転送する。このとき経路制御部３３２は、ＮＡＴテーブル（図４参照）を参照して、パケットに付されたグローバルＩＰアドレスとプライベートＩＰアドレスとのＮＡＴ変換を行う。
　攻撃通知部３３３は、自身の境界ルータ３０を経由するＶＭへのＤＤｏＳ攻撃等の攻撃を検知した場合、攻撃を検知した旨を、クラウドコントローラ５０へ通知する。
　フィルタリング部３３４は、攻撃パケットのフィルタリングを行う。例えば、フィルタリング部３３４は受信したパケットのヘッダ情報を参照し、攻撃パケットと推定されるパケットを廃棄する。
　なお、この境界ルータ３０は、いわゆるＦＷ機能を備えるルータにより実現されるものとして説明したが、ルータとＦＷとの２つの装置により実現してももちろんよい。
（ＤＮＳサーバ）
　次に、図６を用いてＤＮＳサーバ４０を説明する。ＤＮＳサーバ４０は、前記したとおり、アクセス先のホスト名の名前解決を行う。このＤＮＳサーバ４０は、通信制御部４１と、記憶部４２と、制御部４３とを備える。
　通信制御部４１は、他の装置との通信を制御する。例えば、通信制御部４１は、ユーザ端末１０等との間で行われる通信を制御する。
　記憶部４２は、ＤＮＳ情報を記憶する。このＤＮＳ情報は、ホスト名に対応するＩＰアドレス（グローバルＩＰアドレス）の情報を含む。このＤＮＳ情報は、ホスト名解決部４３２（後記）がホスト名の名前解決を行う際に参照される。このＤＮＳ情報は、例えば、図１の符号１０２に示す情報等である。
　制御部４３は、ＤＮＳ情報管理部４３１と、ホスト名解決部４３２とを備える。
　ＤＮＳ情報管理部４３１は、外部装置（例えば、クラウドコントローラ５０）からの指示に基づき、ＤＮＳ情報を設定する。例えば、ＤＮＳ情報は、図１の符号１０２に示すように、ＶＭ（Ａ）のホスト名「hoge.example.co.jp」に対するＩＰアドレスとして「aaa.bbb.ccc.101」が設定され、ホスト名「hoge.anti_ddos1.example.co.jp」に対するＩＰアドレス「ddd.eee.fff.101」が設定され、ホスト名「hoge.anti_ddos2.example.co.jp」に対するＩＰアドレスとして「ggg.hhh.iii.101」が設定される。つまり、このＤＮＳ情報には、ＶＭのホスト名とＩＰアドレスとのペアの他に、このＶＭに対する攻撃を検知したときに用いるＶＭのホスト名とＩＰアドレスとのペアが設定される。このＶＭに対する攻撃を検知したときに用いるＶＭのホスト名に対応するＩＰアドレスは、攻撃対象のＶＭの属する拠点以外の拠点の境界ルータ３０配下のＩＰアドレスを用いる。なお、ＶＭに対する攻撃を検知したときに用いるＶＭのホスト名は、リダイレクト設定部５３３（後記）がリダイレクト装置７０に対しリダイレクトの設定をするときに参照される。また、上記のホスト名に含まれる「anti_ddos1」や「anti_ddos2」は、説明を簡単にするために用いた文字列であり、実際には、攻撃者にＤＤｏＳ対策であることが分かるような文字列は用いない。
　ホスト名解決部４３２は、ＤＮＳ情報を参照して、ホスト名の名前解決を行う。例えば、ホスト名解決部４３２は、ユーザ端末１０からＶＭ（Ａ）のホスト名の名前解決の要求を受け付けると、ＤＮＳ情報を参照して、当該ホスト名に対応するＩＰアドレスを返す。
（クラウドコントローラ）
　次に、図７を用いてクラウドコントローラ５０を説明する。クラウドコントローラ５０は、前記したとおりデータセンタ内の各機器（例えば、境界ルータ３０、ＶＭ、リダイレクト装置７０等）の制御を行う。
　クラウドコントローラ５０は、通信制御部５１と、記憶部５２と、制御部５３とを備える。通信制御部５１は、他の装置との通信を制御する。例えば、通信制御部５１は、境界ルータ３０やＤＮＳサーバ４０との間で行われる通信を制御する。
　記憶部５２は、境界ルータ情報と、グローバルＩＰアドレス帯情報とを記憶する。
　境界ルータ情報は、境界ルータ３０ごとに当該境界ルータ３０の属するデータセンタと、当該境界ルータ３０のＩＰアドレスとを示した情報である。
　グローバルＩＰアドレス帯情報は、各データセンタに割り当てられたグローバルＩＰアドレス帯を示した情報である。例えば、図８に示すグローバルＩＰアドレス帯情報において、データセンタ１に割り当てられたグローバルＩＰアドレス帯は「aaa.bbb.ccc.0/24」であり、データセンタ２に割り当てられたグローバルＩＰアドレス帯は「ddd.eee.fff.0/24」であることを示す。このグローバルＩＰアドレス帯情報は、ＮＡＴ設定部５３２（後記）が、各境界ルータ３０にＮＡＴの設定を行うときに参照される。
　制御部５３は、攻撃通知受信部５３１と、ＮＡＴ設定部５３２と、リダイレクト設定部５３３と、ＮＡＴ変更部５３４とを備える。破線で示すマイグレーション実行部５３５、ＤＮＳ情報設定部５３６は装備される場合と装備されない場合とがあり、装備される場合については、後記する。
　攻撃通知受信部５３１は、境界ルータ３０からの攻撃通知を受信する。
　ＮＡＴ設定部５３２は、攻撃通知受信部５３１により攻撃通知を受信したとき、各データセンタの境界ルータ３０に対し、攻撃対象のＶＭのＮＡＴの設定を行う。
　例えば、攻撃対象のＶＭがデータセンタ１のＶＭ（Ａ）である場合を考える。この場合、ＮＡＴ設定部５３２は、データセンタ２，３の各境界ルータ３０に対し、グローバルＩＰアドレス帯情報（図８参照）を参照して、ＶＭ（Ａ）のＮＡＴ用のＩＰアドレスを選択する。例えば、ＮＡＴ設定部５３２は、グローバルＩＰアドレス帯情報（図８参照）を参照して、データセンタ２に割り当てられたグローバルＩＰアドレス帯「ddd.eee.fff.0/24」から、「ddd.eee.fff.101」を選択し、データセンタ３に割り当てられたグローバルＩＰアドレス帯「ggg.hhh.iii.0/24」から、「ggg.hhh.iii.101」を選択する。そして、ＮＡＴ設定部５３２は、ＶＭのプライベートＩＰアドレス（例えば、「xxx.yyy.zzz.101」）に対し、「ddd.eee.fff.101」を対応付けたＮＡＴの設定を、データセンタ２の境界ルータ３０Ｂに行う。また、ＮＡＴ設定部５３２は、ＶＭのプライベートＩＰアドレス（例えば、「xxx.yyy.zzz.101」）に対し、「ggg.hhh.iii.101」を対応付けたＮＡＴの設定を、データセンタ３の境界ルータ３０Ｃに対し行う。なお、ＮＡＴ設定部５３２は、ＮＡＴに設定済みの各ＶＭのＩＰアドレスを記憶部５２に記憶しておき、ＮＡＴの設定において各ＶＭ間でＩＰアドレスの重複がないようにする。
　リダイレクト設定部５３３は、攻撃通知受信部５３１により攻撃通知を受信したとき、リダイレクト装置７０に対し、リダイレクトの設定を行う。
　例えば、攻撃対象のＶＭがデータセンタ１のＶＭ（Ａ）である場合、リダイレクト設定部５３３は、ＤＮＳサーバ４０のＤＮＳ情報（図１の符号１０２参照）から、このＶＭ（Ａ）に対する攻撃を検知したときに用いるＶＭのホスト名（「hoge.anti_ddos1.example.co.jp」と「hoge.anti_ddos2.example.co.jp」）を取得し、リダイレクト装置７０に対し、この取得したいずれかのホスト名のホストへのリダイレクトの設定を行う。これにより、ユーザ端末１０（正規ユーザのユーザ端末１０）からリダイレクト装置７０へのアクセスは、「hoge.anti_ddos1.example.co.jp」または「hoge.anti_ddos2.example.co.jp」のいずれかへリダイレクトされる。その結果、ユーザ端末１０（正規ユーザのユーザ端末１０）は、境界ルータ３０Ｂまたは境界ルータ３０Ｃ経由でＶＭ（Ａ）へアクセスすることになる。なお、リダイレクト設定部５３３は、リダイレクト装置７０に複数のリダイレクト先を設定する場合、リダイレクト装置７０におけるリダイレクト先の選択方法（例えば、ラウンドロビン等）についても設定するようにしてもよい。
　なお、リダイレクト装置７０が攻撃対象のＶＭの属するデータセンタ内にないとき、リダイレクト設定部５３３は、リダイレクト装置７０（例えば、リダイレクト用ＶＭ）を、例えば、攻撃対象のＶＭの属するデータセンタ内に作成し、この作成したリダイレクト装置７０に対し、上記のリダイレクトの設定を行う。なお、各データセンタ間は仮想Ｌ２ネットワーク２１により接続されているため、リダイレクト設定部５３３は、攻撃対象のＶＭの属するデータセンタ以外にリダイレクト装置７０を作成してもよいが、攻撃対象のＶＭの属するデータセンタ内にリダイレクト装置７０を作成することで、攻撃パケットがデータセンタ間をまたがって疎通すること避けることができる。
　ＮＡＴ変更部５３４は、リダイレクト設定部５３３によるリダイレクトの設定後、攻撃対象のＶＭの属するデータセンタの境界ルータ３０のＮＡＴテーブルにおける当該ＶＭのプライベートＩＰアドレスを、リダイレクト装置７０のプライベートＩＰアドレスに変更する。
　例えば、攻撃対象のＶＭがデータセンタ１のＶＭ（Ａ）である場合、ＮＡＴ変更部５３４は、ＶＭ（Ａ）の属するデータセンタ１の境界ルータ３０ＡのＮＡＴテーブルにおけるＶＭ（Ａ）のプライベートＩＰアドレスを、リダイレクト装置７０のプライベートＩＰアドレスに変更する（図１のＳ６参照）。これにより、境界ルータ３０Ａ経由でのＶＭ（Ａ）宛のトラヒックはリダイレクト装置７０に到達することになる。
（リダイレクト装置）
　次に、図９を用いて、リダイレクト装置７０を説明する。前記したとおりリダイレクト装置７０は、ユーザ端末１０からのアクセスをリダイレクトする。このリダイレクト装置７０は、通信制御部７１と、記憶部７２と、制御部７３とを備える。
　通信制御部７１は、他の装置との通信を制御する。例えば、通信制御部７１は、クラウドコントローラ５０やユーザ端末１０との間で行われる通信を制御する。
　記憶部７２は、リダイレクト先情報を記憶する。このリダイレクト先情報は、リダイレクト装置７０のリダイレクト先のホスト名を示す情報であり、例えば、「hoge.anti_ddos1.example.co.jp」および「hoge.anti_ddos2.example.co.jp」等が記載される。
　制御部７３は、リダイレクト設定受付部７３１と、リダイレクト部７３２とを備える。
　リダイレクト設定受付部７３１は、通信制御部７１経由でクラウドコントローラ５０からリダイレクト設定を受け付けると、リダイレクト設定に含まれるリダイレクト先情報（リダイレクト先のホスト名）を記憶部７２へ出力する。
　リダイレクト部７３２は、ユーザ端末１０からのアクセスのＨＴＴＰリダイレクト（リダイレクト）を行う。例えば、リダイレクト部７３２は、通信制御部７１経由でユーザ端末１０からのアクセスを受け付けると、リダイレクト先情報に示されるホスト名（例えば、「hoge.anti_ddos1.example.co.jp」および「hoge.anti_ddos2.example.co.jp」）からラウンドロビンにより決定したホスト名へのリダイレクトを行う。なお、リダイレクト部７３２は上記のようにラウンドロビンによりリダイレクト先を決定することで、正規ユーザのユーザ端末１０から攻撃対象のＶＭ（例えば、ＶＭ（Ａ））へのトラヒックが各データセンタの境界ルータ３０に分散される。
（処理手順）
　次に、図１０を用いてクラウドコントローラ５０の処理手順を説明する。クラウドコントローラ５０の攻撃通知受信部５３１は、境界ルータ３０からＶＭへの攻撃通知を受信すると（Ｓ１１）、ＮＡＴ設定部５３２は、グローバルＩＰアドレス帯情報（図７参照）を参照して、当該ＶＭのＮＡＴ用のＩＰアドレスを選択する（Ｓ１２）。そして、ＮＡＴ設定部５３２は、Ｓ１２で選択したＩＰアドレスを、各境界ルータ３０（攻撃対象のＶＭの属するデータセンタ以外の各データセンタの境界ルータ３０）のＮＡＴテーブルに設定する（Ｓ１３）。その後、リダイレクト設定部５３３は攻撃対象のＶＭの属するデータセンタにリダイレクト装置７０があるか否かを確認し（Ｓ１４）、リダイレクト装置７０がなければ（Ｓ１４でＮｏ）、リダイレクト設定部５３３はリダイレクト装置７０を作成する（Ｓ１５）。そして、Ｓ１６へ進む。一方、リダイレクト設定部５３３は攻撃対象のＶＭの属するデータセンタにリダイレクト装置７０があれば（Ｓ１４でＹｅｓ）、Ｓ１５をスキップして、Ｓ１６へ進む。
　Ｓ１６において、リダイレクト設定部５３３は、リダイレクト装置７０に対し、リダイレクトの設定を行う。リダイレクト設定部５３３は、ＤＮＳサーバ４０のＤＮＳ情報（図１の符号１０２参照）から、攻撃対象のＶＭ（例えば、ＶＭ（Ａ））に対する攻撃を検知したときに用いるＶＭのホスト名（「hoge.anti_ddos1.example.co.jp」と「hoge.anti_ddos2.example.co.jp」）を取得し、リダイレクト装置７０に対し、この取得したいずれかのホスト名のホストへのリダイレクトの設定を行う。
　そして、Ｓ１６の後、ＮＡＴ変更部５３４は、攻撃対象のＶＭの属するデータセンタの境界ルータ３０のＮＡＴ設定における攻撃対象のＶＭのプライベートＩＰアドレスを、リダイレクト装置７０のプライベートＩＰアドレスに変更する（Ｓ１７）。
　次に、図１１を用いて、リダイレクト装置７０の処理手順を説明する。リダイレクト装置７０のリダイレクト部７３２は、ユーザ端末１０からのアクセスを受け付けると（Ｓ２１でＹｅｓ）、リダイレクト先情報に示されるホストからリダイレクト先ホストをラウンドロビンで決定し（Ｓ２２）、ユーザ端末１０からのアクセスを、Ｓ２２で決定したホストへリダイレクトする（Ｓ２３）。一方、リダイレクト部７３２がユーザ端末１０からのアクセスを受け付ける前は（Ｓ２１でＮｏ）、Ｓ２１へ戻る。
（効果）
　システムが上記の処理を行うことで、正規ユーザのユーザ端末１０から、攻撃対象のＶＭへのアクセスはリダイレクト装置７０によりリダイレクトされる。そして、正規ユーザのユーザ端末１０は、ＤＮＳサーバ４０によりリダイレクト先のホスト名の名前解決を行うと、攻撃対象のＶＭの属するデータセンタ以外のデータセンタの境界ルータ３０を経由して攻撃対象のＶＭにアクセスすることになる。一方、攻撃者のユーザ端末１０は、リダイレクト装置７０にアクセスしてもリダイレクトに対応できないため、リダイレクト装置７０にアクセスしたままの状態となる。
　つまり、正規ユーザのユーザ端末１０は、攻撃によりアクセスが集中している境界ルータ３０を避けて攻撃対象のＶＭへアクセスするので、攻撃対象のＶＭへアクセスしやすくなる。また、リダイレクトにより攻撃対象のＶＭの属するデータセンタの境界ルータ３０へのアクセスの集中が緩和されるので当該境界ルータ３０の帯域圧迫を軽減できる。その結果、システムは、ＤＤｏＳ攻撃等の攻撃を受けた場合でもユーザ端末１０に対し継続してサービスを提供することができる。
　図１２を参照しながら、本実施形態の効果を、具体例を用いながら詳細に説明する。ここでは、各データセンタとネットワーク６０とを接続するアクセス回線の帯域が１０Ｇｂｐｓ、攻撃者のユーザ端末１０（１０Ａ，１０Ｂ，１０Ｃ）からの攻撃トラヒックの合計が８Ｇｂｐｓ、正規ユーザのユーザ端末１０（１０Ｄ，１０Ｅ）からのトラヒックの合計が４Ｇｂｐｓ、ＶＭは１つの要求に対し、２Ｍバイトのデータを応答する場合を例に考える。
　この場合、データセンタ１のアクセス回線の負荷は、８Ｇｂｐｓ＋４Ｇｂｐｓ＝１２Ｇｂｐｓである。一方、データセンタ１とネットワーク６０とを接続するアクセス回線の帯域は１０Ｇｂｐｓであるので、このままでは、正規ユーザのユーザ端末１０からのトラヒックを含め２Ｇｂｐｓ分のトラヒックが廃棄されることになる。
　ここで、システムがリダイレクト装置７０によるリダイレクトを実施することで、以下の効果が期待できる。
　すなわち、正規ユーザのユーザ端末１０（１０Ｄ，１０Ｅ）からのトラヒックは２つのデータセンタ（データセンタ２，３）の境界ルータ３０に分散される。その結果、データセンタ１の境界ルータ３０Ａへのトラヒックは８Ｇｂｐｓ、データセンタ２の境界ルータ３０Ｂへのトラヒックは２Ｇｂｐｓ、データセンタ３の境界ルータ３０Ｃへのトラヒックは２Ｇｂｐｓとなる。つまり、１０Ｇｂｐｓ以下となるので、トラヒックは廃棄されず、正規ユーザのユーザ端末１０からのトラヒックを守ることができる。
　さらに、リダイレクト装置７０はユーザ端末１０に対しリダイレクト情報を送信するので、ＶＭ等によりユーザ端末１０にデータ（上記の例では２Ｍバイト）を応答する場合に比べて、ユーザ端末１０へのトラヒック量を低減することができる。また、リダイレクト装置７０は、リダイレクト処理を主な処理とするため、ユーザ端末１０等からのアクセスに対して、通常のウェブサーバよりもＣＰＵ（Central　Processing　Unit）、メモリ等のリソースが少なくて済む。その結果、リダイレクト装置７０は多数のユーザ端末１０からのアクセスにも対応できる。また、ＶＭのリソースに対して行われるＤＤｏＳ攻撃に対しても効果的である。
　さらに、境界ルータ３０におけるＮＡＴ設定の変更およびリダイレクト装置７０によるリダイレクトにより、攻撃者のユーザ端末１０からのアクセスは攻撃対象のＶＭに到達しない。したがって、攻撃対象のＶＭは、正規ユーザのユーザ端末１０からのアクセスに対応すればよいため、前記したようなＶＭのリソースに対して行われるＤＤｏＳ攻撃に対処できる。
　また、システムは、攻撃検知前にＤＮＳサーバ４０へのＤＮＳ情報の設定を行っておく。したがって、システムは、例えば、非特許文献７の記載の技術のように、攻撃検知後にＤＮＳサーバのＤＮＳ情報を変更して対処する場合に比べて、攻撃に対する対処を迅速に行うことができる。
（その他の実施形態）
　なお、クラウドコントローラ５０が上記のようにリダイレクト装置７０によるリダイレクトの設定を行った後、攻撃対象のＶＭを、他のデータセンタ（例えば、データセンタ２）にマイグレーションさせてもよい。この場合、クラウドコントローラ５０は、図７に示すマイグレーション実行部５３５を備え、このマイグレーション実行部５３５により当該ＶＭのマイグレーションを実行する。
　例えば、クラウドコントローラ５０のマイグレーション実行部５３５は、図１２に示すように、攻撃対象のＶＭ（Ａ）をデータセンタ１からデータセンタ２にマイグレーションさせる。このようなマイグレーションを実行することで、境界ルータ３０Ｂまたは境界ルータ３０Ｃ経由でＶＭ（Ａ）へアクセスしてきた正規ユーザのユーザ端末１０は、データセンタ１まで通信を行う必要がなくなるので、ＶＭ（Ａ）との通信時間を短縮することができる。
　また、各データセンタには境界ルータ３０が１台設置される場合を例に説明したが、各データセンタに境界ルータ３０が複数台設置されていてももちろんよい。この場合、クラウドコントローラ５０は上記と同様の処理手順により、各境界ルータ３０にＮＡＴの設定を行い、攻撃対象のＶＭの属するデータセンタの境界ルータ３０のＮＡＴの変更を行う、リダイレクト装置７０によるリダイレクトを実行させる。
　なお、境界ルータ３０がＤＤｏＳ攻撃を検知したときに攻撃通知を送信することとしたが、これに限定されない。例えば、当該境界ルータ３０で中継するＶＭへのパケットが所定の閾値を超えて送信されたときに攻撃通知を送信するようにしてもよい。ここでの閾値は、例えば、境界ルータ３０からネットワーク６０へ接続するインタフェース３１に設定される帯域の値を用いる。
　また、クラウドコントローラ５０のリダイレクト設定部５３３は、ＤＮＳサーバ４０のＤＮＳ情報から、リダイレクト装置７０に設定するリダイレクト先のホスト名を取得することとしたが、これに限定されない。例えば、ＤＮＳサーバ４０のＤＮＳ情報をクラウドコントローラ５０が設定する場合、クラウドコントローラ５０は、ＤＮＳサーバ４０に設定したＤＮＳ情報を記憶部５２に記憶しておく。そして、クラウドコントローラ５０は、記憶部５２のＤＮＳ情報からリダイレクト先のホスト名を取得し、リダイレクト装置７０に設定する。すなわち、クラウドコントローラ５０は、ＤＮＳサーバ４０のＤＮＳ情報を設定するＤＮＳ情報設定部５３６（図７参照）をさらに備え、ＤＮＳ情報設定部５３６はＤＮＳサーバ４０に設定したＤＮＳ情報を記憶部５２に記憶しておく。そして、リダイレクト設定部５３６は、記憶部５２のＤＮＳ情報から、攻撃対象のＶＭの属する拠点以外のいずれかの拠点の境界ルータ３０配下のホストのホスト名を取得し、当該ホスト名のホストをリダイレクト先のホストとしてリダイレクト装置７０に設定する。
　なお、前記したシステムの各構成要素は機能概念的なものであり、必ずしも各図に示したように構成されている必要はなく、任意の単位で統合・分散して構成することが可能である。
（プログラム）
　また、上記実施形態に係るクラウドコントローラ５０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成し、実行することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、クラウドコントローラ５０と同様の機能を実現する制御プログラムを実行するコンピュータの一例を説明する。
　図１３は、制御プログラムを実行するコンピュータを示す図である。図１３に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
　ここで、図１３に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
　また、制御プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明したクラウドコントローラ５０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
　また、制御プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local　Area　Network）やＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１，２，３　データセンタ
　１０　　ユーザ端末
　２１　　仮想Ｌ２ネットワーク
　２２　　ネットワークセグメント
　３０　　境界ルータ
　３１，３４　　インタフェース
　３２，４２，５２，７２　記憶部
　３３，４３，５３，７３　制御部
　４０　　ＤＮＳサーバ
　４１，５１，７１　通信制御部
　５０　　クラウドコントローラ
　６０　　ネットワーク
　３３１　ＮＡＴテーブル管理部
　３３２　経路制御部
　３３３　攻撃通知部
　３３４　フィルタリング部
　４３１　ＤＮＳ情報管理部
　４３２　ホスト名解決部
　５３１　攻撃通知受信部
　５３２　ＮＡＴ設定部
　５３３　リダイレクト設定部
　５３４　ＮＡＴ変更部
　５３５　マイグレーション実行部
　５３６　ＤＮＳ情報設定部
　７３１　リダイレクト設定受付部
　７３２　リダイレクト部

Claims (10)

  1. 　仮想ネットワークにより相互に接続される複数の拠点に設置され、当該拠点内の機器と外部ネットワークとの通信を中継する境界ルータに対し、各種制御を行う制御装置であって、
    　いずれかの拠点内の機器へのパケットの集中を検知したとき、
    　前記パケットの集中が検知された機器である攻撃対象の機器の属する拠点以外の各拠点の境界ルータに前記攻撃対象の機器のＩＰアドレスのＮＡＴ（Network　Address　Translation）設定を行うＮＡＴ設定部と、
    　いずれかの拠点内に設置されるリダイレクト装置に対し、前記リダイレクト装置へのアクセスを、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストへリダイレクトさせるよう設定するリダイレクト設定部と、
    　前記リダイレクトの設定後、前記攻撃対象の機器の属する拠点の境界ルータのＮＡＴ設定における前記攻撃対象の機器のプライベートＩＰアドレスを、前記リダイレクト装置のプライベートＩＰアドレスに変更するＮＡＴ変更部と
    　を備えることを特徴とする制御装置。
  2. 　前記リダイレクト設定部は、
    　前記機器のホスト名および前記ホスト名に対応するＩＰアドレスと、当該機器の属する拠点以外の拠点の境界ルータ配下のホストのホスト名および前記ホスト名に対応するＩＰアドレスとが設定されたＤＮＳ（Domain　Name　System）情報を有するＤＮＳサーバから、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストのホスト名を取得し、前記リダイレクト装置に対し、前記リダイレクト装置へのアクセスを、当該ホスト名のホストへリダイレクトさせるよう設定することを特徴とする請求項１に記載の制御装置。
  3. 　前記制御装置は、さらに、
    　ＤＮＳ（Domain　Name　System）サーバに設定された、前記機器のホスト名および前記ホスト名に対応するＩＰアドレスと、当該機器の属する拠点以外の拠点の境界ルータ配下のホストのホスト名および前記ホスト名に対応するＩＰアドレスとを含むＤＮＳ情報を記憶する記憶部を備え、
    　前記リダイレクト設定部は、
    　前記ＤＮＳ情報から、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストのホスト名を取得し、前記リダイレクト装置に対し、前記リダイレクト装置へのアクセスを、当該ホスト名のホストへリダイレクトさせるよう設定することを特徴とする請求項１に記載の制御装置。
  4. 　前記リダイレクト設定部は、
    　前記リダイレクト装置がないとき、拠点内に前記リダイレクト装置を作成、または、拠点内の機器を前記リダイレクト装置として動作させるよう設定を行うことを特徴とする請求項１～３のいずれか１項に記載の制御装置。
  5. 　前記ＮＡＴ変更部により、前記攻撃対象の機器の属する拠点の境界ルータのＮＡＴ設定における前記攻撃対象の機器のプライベートＩＰアドレスを、前記リダイレクト装置のプライベートＩＰアドレスに変更した後、前記攻撃対象の機器を、他の拠点へマイグレーションさせるマイグレーション実行部をさらに備えることを特徴とする請求項１～３のいずれか１項に記載の制御装置。
  6. 　前記いずれかの拠点内の機器へのパケットの集中の検知は、前記拠点の境界ルータにおいて、前記機器へのＤＤｏＳ攻撃を検知した場合、予め設定された閾値を超えるパケットの受信を検知した場合、および、前記境界ルータの外部ネットワーク側のインタフェースに設定された帯域を超えるトラヒック量のパケットの受信を検知した場合、のいずれかであることを特徴とする請求項１～３のいずれか１項に記載の制御装置。
  7. 　仮想ネットワークにより相互に接続される複数の拠点に設置され、当該拠点内の機器と外部ネットワークとの通信を中継する境界ルータに対し、各種制御を行う制御装置を備える制御システムであって、
    　他の装置からのアクセスをリダイレクトするリダイレクト装置を含み、
    　前記制御装置は、
    　いずれか拠点内の機器へのパケットの集中を検知したとき、
    　前記パケットの集中が検知された機器である攻撃対象の機器の属する拠点以外の各拠点の境界ルータに前記攻撃対象の機器のＩＰアドレスのＮＡＴ（Network　Address　Translation）設定を行うＮＡＴ設定部と、
    　前記リダイレクト装置に対し、前記リダイレクト装置へのアクセスを、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストへリダイレクトさせるよう設定するリダイレクト設定部と、
    　前記リダイレクトの設定後、前記攻撃対象の機器の属する拠点の境界ルータのＮＡＴ設定における前記攻撃対象の機器のプライベートＩＰアドレスを、前記リダイレクト装置のプライベートＩＰアドレスに変更するＮＡＴ変更部と
    　を備えることを特徴とする制御システム。
  8. 　前記制御システムは、さらに、
    　前記機器のホスト名および前記ホスト名に対応するＩＰアドレスと、当該機器の属する拠点以外の拠点の境界ルータ配下のホストのホスト名および前記ホスト名に対応するＩＰアドレスとが設定されたＤＮＳ（Domain　Name　System）情報を有するＤＮＳサーバを備え、
    　前記リダイレクト設定部は、
    　前記ＤＮＳサーバから、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストのホスト名を取得し、前記リダイレクト装置に対し、前記リダイレクト装置へのアクセスを、当該ホスト名のホストへリダイレクトさせるよう設定することを特徴とする請求項７に記載の制御システム。
  9. 　仮想ネットワークにより相互に接続される複数の拠点に設置され、当該拠点内の機器と外部ネットワークとの通信を中継する境界ルータに対し、各種制御を行う制御方法であって、
    　いずれかの拠点内の機器へのパケットの集中を検知したとき、
    　前記パケットの集中が検知された機器である攻撃対象の機器の属する拠点以外の各拠点の境界ルータに前記攻撃対象の機器のＩＰアドレスのＮＡＴ（Network　Address　Translation）設定を行うステップと、
    　いずれかの拠点内に設置されるリダイレクト装置に対し、前記リダイレクト装置へのアクセスを、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストへリダクレイトさせるよう設定するステップと、
    　前記リダイレクトの設定後、前記攻撃対象の機器の属する拠点の境界ルータのＮＡＴ設定における前記攻撃対象の機器のプライベートＩＰアドレスを、前記リダイレクト装置のプライベートＩＰアドレスに変更するステップと
    　を含んだことを特徴とする制御方法。
  10. 　仮想ネットワークにより相互に接続される複数の拠点に設置され、当該拠点内の機器と外部ネットワークとの通信を中継する境界ルータに対し、各種制御を行う制御プログラムであって、
    　いずれかの拠点内の機器へのパケットの集中を検知したとき、
    　前記パケットの集中が検知された機器である攻撃対象の機器の属する拠点以外の各拠点の境界ルータに前記攻撃対象の機器のＩＰアドレスのＮＡＴ（Network　Address　Translation）設定を行うステップと、
    　いずれかの拠点内に設置されるリダイレクト装置に対し、前記リダイレクト装置へのアクセスを、前記攻撃対象の機器の属する拠点以外のいずれかの拠点の境界ルータ配下のホストへリダイレクトさせるよう設定するステップと、
    　前記リダイレクトの設定後、前記攻撃対象の機器の属する拠点の境界ルータのＮＡＴ設定における前記攻撃対象の機器のプライベートＩＰアドレスを、前記リダイレクト装置のプライベートＩＰアドレスに変更するステップと
    　をコンピュータに実行させることを特徴とする制御プログラム。
PCT/JP2015/074072 2014-09-01 2015-08-26 制御装置、制御システム、制御方法、および、制御プログラム WO2016035644A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201580046024.3A CN106605390B (zh) 2014-09-01 2015-08-26 控制装置、控制系统、控制方法和控制程序
JP2016546587A JP6181881B2 (ja) 2014-09-01 2015-08-26 制御装置、制御システム、制御方法、および、制御プログラム
AU2015313050A AU2015313050B2 (en) 2014-09-01 2015-08-26 Control device, control system, control method, and control program
US15/503,134 US10181031B2 (en) 2014-09-01 2015-08-26 Control device, control system, control method, and control program
EP15837313.4A EP3166262B1 (en) 2014-09-01 2015-08-26 Control device, control system, control method, and control program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014176946 2014-09-01
JP2014-176946 2014-09-01

Publications (1)

Publication Number Publication Date
WO2016035644A1 true WO2016035644A1 (ja) 2016-03-10

Family

ID=55439709

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/074072 WO2016035644A1 (ja) 2014-09-01 2015-08-26 制御装置、制御システム、制御方法、および、制御プログラム

Country Status (6)

Country Link
US (1) US10181031B2 (ja)
EP (1) EP3166262B1 (ja)
JP (1) JP6181881B2 (ja)
CN (1) CN106605390B (ja)
AU (1) AU2015313050B2 (ja)
WO (1) WO2016035644A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106302525A (zh) * 2016-09-27 2017-01-04 黄小勇 一种基于伪装的网络空间安全防御方法及系统
JP2017204721A (ja) * 2016-05-11 2017-11-16 アライドテレシス株式会社 セキュリティシステム
JP2018038083A (ja) * 2017-11-21 2018-03-08 アライドテレシス株式会社 セキュリティシステム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10397071B2 (en) * 2016-01-05 2019-08-27 Airmagnet, Inc. Automated deployment of cloud-hosted, distributed network monitoring agents
US11811656B2 (en) * 2021-01-15 2023-11-07 Vmware, Inc. Direct communication between endpoints across remote sites

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004334455A (ja) * 2003-05-07 2004-11-25 Fujitsu Ltd サーバ装置
JP2011221993A (ja) * 2010-04-12 2011-11-04 Wins Technet Co Ltd Ｎａｔ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム及びその制御方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101030889A (zh) * 2007-04-18 2007-09-05 杭州华为三康技术有限公司 防范cc攻击的方法和设备
US20080320116A1 (en) * 2007-06-21 2008-12-25 Christopher Briggs Identification of endpoint devices operably coupled to a network through a network address translation router
CN102316082A (zh) * 2010-07-06 2012-01-11 杭州华三通信技术有限公司 一种防御网站DDoS攻击的方法和流量清洗设备
KR101095447B1 (ko) 2011-06-27 2011-12-16 주식회사 안철수연구소 분산 서비스 거부 공격 차단 장치 및 방법
CN102291390B (zh) * 2011-07-14 2014-06-04 南京邮电大学 一种基于云计算平台的防御拒绝服务攻击的方法
CN102281298A (zh) * 2011-08-10 2011-12-14 深信服网络科技（深圳）有限公司 检测和防御cc攻击的方法及装置
US20130304927A1 (en) * 2012-05-14 2013-11-14 King Abdulaziz City For Science And Technology Network address translation-based method of bypassing internet access denial
CN103179192B (zh) * 2013-02-07 2015-11-25 杭州华三通信技术有限公司 虚拟服务器迁移的报文转发方法、系统及nat服务设备
US9407602B2 (en) * 2013-11-07 2016-08-02 Attivo Networks, Inc. Methods and apparatus for redirecting attacks on a network
EP3208976B1 (en) 2014-11-19 2019-09-11 Nippon Telegraph and Telephone Corporation Control device, control method and control program

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004334455A (ja) * 2003-05-07 2004-11-25 Fujitsu Ltd サーバ装置
JP2011221993A (ja) * 2010-04-12 2011-11-04 Wins Technet Co Ltd Ｎａｔ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム及びその制御方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP3166262A4 *
YUKIO NAGABUCHI ET AL.: "Proposal of loadbalancing DDoS traffic for virtual datacenters", IEICE TECHNICAL REPORT IN 2014-48, vol. 114, no. 139, 10 July 2014 (2014-07-10), pages 107 - 112, XP009500465 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017204721A (ja) * 2016-05-11 2017-11-16 アライドテレシス株式会社 セキュリティシステム
CN106302525A (zh) * 2016-09-27 2017-01-04 黄小勇 一种基于伪装的网络空间安全防御方法及系统
JP2018038083A (ja) * 2017-11-21 2018-03-08 アライドテレシス株式会社 セキュリティシステム

Also Published As

Publication number Publication date
US10181031B2 (en) 2019-01-15
CN106605390A (zh) 2017-04-26
CN106605390B (zh) 2019-12-03
AU2015313050A1 (en) 2017-02-23
JP6181881B2 (ja) 2017-08-16
AU2015313050B2 (en) 2018-05-24
US20170228539A1 (en) 2017-08-10
EP3166262A1 (en) 2017-05-10
EP3166262A4 (en) 2018-02-21
JPWO2016035644A1 (ja) 2017-04-27
EP3166262B1 (en) 2018-08-22

Similar Documents

Publication Publication Date Title
US10904204B2 (en) Incompatible network gateway provisioned through DNS
US11863448B2 (en) Method and apparatus for traffic optimization in virtual private networks (VPNs)
US9319315B2 (en) Distributing transmission of requests across multiple IP addresses of a proxy server in a cloud-based proxy service
US10356097B2 (en) Domain name system and method of operating using restricted channels
JP6181881B2 (ja) 制御装置、制御システム、制御方法、および、制御プログラム
EP2745474B1 (en) Virtualization gateway between virtualized and non-virtualized networks
KR20110119534A (ko) 서버 오버로드에 따른 모듈 분산 및 ｔｃｐ 플로우 리다이렉션을 통한 로드 밸런싱
WO2016042587A1 (ja) 攻撃観察装置、及び攻撃観察方法
US11438372B2 (en) Utilizing routing advertisements to automate DDOS scrubbing techniques in a telecommunications network
CN105490995A (zh) 一种在nvo3网络中nve转发报文的方法和设备
US11115435B2 (en) Local DDOS mitigation announcements in a telecommunications network
US11562030B2 (en) Applying filter expressions to requests at an edge server
CN112968879B (zh) 一种实现防火墙管理的方法及设备
JP6215144B2 (ja) 制御装置、制御方法、および、制御プログラム
US20240259290A1 (en) Deploying symmetric routing
US9544330B1 (en) Method of securing management interfaces of virtual machines
JP2014165560A (ja) サーバおよびプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15837313

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016546587

Country of ref document: JP

Kind code of ref document: A

REEP Request for entry into the european phase

Ref document number: 2015837313

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2015837313

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2015313050

Country of ref document: AU

Date of ref document: 20150826

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE