WO2020017272A1 - 攻撃対処箇所選択装置及び攻撃対処箇所選択方法 - Google Patents

攻撃対処箇所選択装置及び攻撃対処箇所選択方法 Download PDF

Info

Publication number
WO2020017272A1
WO2020017272A1 PCT/JP2019/025609 JP2019025609W WO2020017272A1 WO 2020017272 A1 WO2020017272 A1 WO 2020017272A1 JP 2019025609 W JP2019025609 W JP 2019025609W WO 2020017272 A1 WO2020017272 A1 WO 2020017272A1
Authority
WO
WIPO (PCT)
Prior art keywords
traffic
attack
transfer
router
amount
Prior art date
Application number
PCT/JP2019/025609
Other languages
English (en)
French (fr)
Inventor
裕一 石原
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/256,089 priority Critical patent/US11843615B2/en
Publication of WO2020017272A1 publication Critical patent/WO2020017272A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to an attack countermeasure point selection device and an attack countermeasure point selection method.
  • the present invention has been made in view of the above points, and has as its object to select a pull-in point capable of increasing the possibility that appropriate measures will be taken against attack traffic.
  • the attack countermeasure selection device includes: an acquisition unit that acquires a traffic amount of each of the plurality of first transfer devices related to the path of the attack traffic; and a traffic amount of each of the first transfer devices. For each of the second transfer devices extracted from the plurality of first transfer devices based on a comparison between the second transfer device and the upper limit of the traffic amount that can be handled by the defense device that handles the attack traffic, And a selection unit that assigns a priority based on the third priority and selects a third transfer device having the highest priority in the priority order as a point of pulling in traffic to the defense device.
  • FIG. 2 is a diagram illustrating a network configuration example according to the embodiment of the present invention.
  • FIG. 2 is a diagram illustrating a hardware configuration example of a control device 10 according to the embodiment of the present invention.
  • FIG. 2 is a diagram illustrating a functional configuration example of a control device 10 according to the embodiment of the present invention.
  • 11 is a flowchart for explaining an example of a processing procedure executed by the control device 10 when it is not allowed to draw in a traffic amount equal to or greater than the upper limit of the coping resource of the defense device 60. It is a figure which shows an example of an attack route and the traffic volume of each router R.
  • FIG. 11 is a flowchart for explaining an example of a processing procedure executed by the control device 10 when a traffic volume greater than or equal to the upper limit of the coping resource of the defense device 60 is allowed. It is a figure showing an example of the subtraction result of the upper limit of the resource of defense device 60 from the traffic volume of each router concerning an attack course.
  • FIG. 3 is a diagram illustrating an example of a functional configuration of a control device 10 and a router R relating to identification of an attack route.
  • FIG. 9 is a sequence diagram for explaining an example of a processing procedure executed when an attack is detected.
  • FIG. 9 is a sequence diagram illustrating an example of a processing procedure executed in response to reception of an attack packet in the GWR.
  • 9 is a flowchart illustrating an example of a processing procedure executed by a route specifying unit 16;
  • FIG. 1 is a diagram illustrating a network configuration example according to an embodiment of the present invention.
  • the network N1 includes a plurality of routers (transfer devices) such as routers R1 to R8.
  • the router R1, the router R2, and the router R3 are gateway routers (GWR).
  • GWR gateway routers
  • three GWRs are connected to an IP packet (hereinafter, referred to as “attack”) related to attack traffic from an attack source X of a cyber attack (for example, DDoS (Distributed @ Denial @ of ⁇ Service) attack).
  • attack IP packet
  • the router R8 is an edge router for the device Y.
  • the device Y is a computer or the like that is targeted for a cyber attack in the present embodiment. Therefore, in the present embodiment, the source of the attack packet (attack communication) is the attack source X, and the destination is the device Y.
  • the attack source X may be distributed to a plurality. In this case, the source of the attack packet received by each GWR may be different. Also, one GWR may receive attack packets from multiple sources.
  • the routers R1, R2, and R3, which are GWRs, and the router R8, which is an edge router, are connected to the control device 10 via a predetermined line (network).
  • the control device 10 is one or more computers (information processing devices) that control a response to an attack packet flowing into the network N1. That is, the control device 10 may be a single computer or may be configured by a plurality of distributed computers. In the present embodiment, the control device 10 specifies, from the group of routers R, a router R that is a portion (hereinafter, referred to as a “drop-in point”) for drawing the attack packet to the defense device 60.
  • control device 10 is connected to the security device 30, the flow collector 40, the route control device 50, and the protection device 60 via a network.
  • the security device 30 is a device that detects the occurrence of a cyber attack and notifies the control device 10 of information indicating the condition of the attack packet.
  • the device Y may also have the function of the security device 30.
  • the flow collector 40 is connected to each of the routers R, collects information (only information related to packet transfer, and does not cover information of a data part) of a packet transferred by each router R, and collects information of the collected information. Generate statistical information (flow information).
  • the route control device 50 is connected to each router R, and instructs the router R selected as a pull-in point by the control device 10 to change a packet transfer route or the like.
  • the protection device 60 is a device that draws in traffic from the router R as a pull-in point, handles attack traffic, and allows normal traffic to pass through.
  • the protection device 60 is directly or indirectly connected to each router R, but no traffic (packet) flows from any router R in normal times.
  • connection relationship between the flow collector 40, the route control device 50, the protection device 60, and each router R is omitted for convenience.
  • FIG. 2 is a diagram illustrating an example of a hardware configuration of the control device 10 according to the embodiment of the present invention.
  • the control device 10 in FIG. 2 includes a drive device 100, an auxiliary storage device 102, a memory device 103, a CPU 104, an interface device 105, and the like, which are mutually connected by a bus B.
  • a program for realizing the processing in the control device 10 is provided by a recording medium 101 such as a CD-ROM.
  • a recording medium 101 such as a CD-ROM.
  • the program is installed from the recording medium 101 to the auxiliary storage device 102 via the drive device 100.
  • the program need not always be installed from the recording medium 101, and may be downloaded from another computer via a network.
  • the auxiliary storage device 102 stores installed programs and also stores necessary files and data.
  • the memory device 103 reads out the program from the auxiliary storage device 102 and stores it when an instruction to start the program is issued.
  • the CPU 104 executes functions related to the control device 10 according to a program stored in the memory device 103.
  • the interface device 105 is used as an interface for connecting to a network.
  • FIG. 3 is a diagram illustrating a functional configuration example of the control device 10 according to the embodiment of the present invention.
  • the control device 10 includes an attack route status confirmation unit 11 and a response point selection unit 12. Each of these units is realized by a process of causing the CPU 104 to execute one or more programs installed in the control device 10.
  • the control device 10 also uses the attack route storage unit 111.
  • the attack route storage unit 111 can be realized using, for example, a storage device that can be connected to the auxiliary storage device 102 or the control device 10 via a network.
  • the attack route storage unit 111 associates a route specified in the network N1 with respect to the attack packet (hereinafter, referred to as “attack route”) in association with attack information including information indicating a condition regarding the attack packet (for example, 5 tuple information). ) Is stored.
  • the route information is, for example, an array in which identification information (for example, IP addresses) of the routers R on the attack route is arranged in the order in which the attack packet passes.
  • the format of the route information is not limited to a predetermined one.
  • route information on a plurality of attack routes may be stored in the attack route storage unit 111.
  • the method of specifying the path information of the attack packet (hereinafter, referred to as “attack path information”) is not limited to a predetermined method.
  • the structure of the attack route information is not limited to a predetermined one as long as the information can specify the attack route.
  • the attack route status confirmation unit 11 is configured to set the status (traffic amount, etc.) of each router R (on the attack route) related to the attack route indicated by the attack route information stored in the attack route storage unit 111 in association with the attack information. Check.
  • the response point selection unit 12 selects a router R to be a pull-in point (attack response point) from the routers R1 to R8 based on the resource amount of the defense device 60, the check result by the attack path status check unit 11, and the like. (Identify.
  • the control device 10 when the amount of incoming traffic that exceeds the upper limit of the handling resources (resources for dealing with attack packets) of the protection device 60 is not allowed (when the flow of traffic exceeding the upper limit affects the behavior of the protection device 60) ) And other cases (cases in which the attack packet exceeding the upper limit is returned from the defense device 60 without being dealt with) are described below. That is, the behavior when the traffic equal to or more than the upper limit of the handling resource flows differs depending on the specifications of the defense device 60. Further, the optimum attraction point may be different depending on whether or not the attraction of the traffic amount equal to or more than the upper limit of the coping resource of the defense device 60 is permitted. Therefore, in the present embodiment, the processing procedure of the control device 10 is distinguished between a case where the withdrawal of the traffic amount equal to or larger than the upper limit of the handling resource of the protection device 60 is not permitted and a case where it is not.
  • FIG. 4 is a flowchart for explaining an example of a processing procedure executed by the control device 10 when it is not allowed to draw in a traffic amount equal to or greater than the upper limit of the resources handled by the defense device 60.
  • step S101 the attack route status confirmation unit 11 acquires the upper limit value of the coping resource of the defense device 60 (hereinafter, referred to as “protection upper limit value”).
  • the defense upper limit value may be acquired from the defense device 60, or may be stored in the auxiliary storage device 102 or the like in advance.
  • the attack route status confirmation unit 11 acquires attack route information from the attack route storage unit 111 (S102).
  • the attack route status confirmation unit 11 acquires the traffic volume of each router R related to the attack route indicated by the attack route information from, for example, the flow collector 40 (S103).
  • FIG. 5 is a diagram showing an example of an attack route and a traffic volume of each router R.
  • the connection relationship of each router R indicates an attack route.
  • the traffic volume of the router is shown. That is, FIG. 5 illustrates an example in which the traffic volume is 20 Gbps, 40 Gbps, 30 Gbps, 20 Gbps, 40 Gbps, 30 Gbps, 60 Gbps, and 90 Gbps in the order of the routers R1, R2, R3, R4, R5, R6, R7, and R8. ing.
  • the attack route status confirmation unit 11 can obtain information as shown in FIG.
  • the handling point selecting unit 12 extracts the router R whose traffic volume is less than the protection upper limit value (S104).
  • the defense upper limit value is 50 Gbps. Therefore, in the example of FIG. 5, the components other than the routers R7 and R8 are extracted.
  • the handling point selecting unit 12 assigns priorities to the extracted routers R in descending order of the traffic volume (S105). At this time, between the routers R having the same traffic volume, in the attack route, the one closer to the attack target (device Y) has a higher priority (before). This is because it is considered that the router R closer to the attack target has a higher possibility that the traffic is aggregated, and the possibility that the attack packet can be effectively pulled in is higher. Therefore, in the example of FIG. 5, the priority is “R5, R2, R6, R3, R4, R1”.
  • the handling part selecting unit 12 aggregates, in the priority order, the router R in which there is only one route to the router R at the preceding stage (closer to the attack source X) on the attacking route to the router R at the preceding stage. Then, the priority is given again (S106). That is, the router R is removed from the priority order. Note that such aggregation (removal) is performed recursively. In the example of FIG. 5, the routers R4 and R5 are removed. As a result, the priorities are “R2, R6, R3, R1”. Hereinafter, the priority order is referred to as “final priority order”. That is, it is considered that a plurality of routers R on one route are equivalent in effectiveness as a drawing point.
  • the plurality of routers R are aggregated in the foremost router R.
  • the reason why the aggregation destination is the router R at the forefront is to reduce the traffic volume of the attack packet in the network N1 by dealing with the attack packet as much as possible upstream of the attack route.
  • the handling point selecting unit 12 selects the router R (the router R2 in FIG. 5) having the highest priority in the final priority order as the router R of the attraction point, and sends the identification information of the selected router R to the path control device 50. Notification is made (S107).
  • the route control device 50 instructs the router R according to the notified identification information to change the route so that all traffic in the router R flows into the protection device 60.
  • an instruction may be given so that the traffic related to the attack information is targeted for the route change.
  • the attack route status checking unit 11 sets the attack packet in the defense device 60 to (S108).
  • the coping result is, for example, information indicating the amount (Gbps) of the traffic that was actually dealt with as an attack packet in the pulled-in traffic, the amount of resources (Gbps) used by the defense device 60 for the actual coping.
  • the determination as to whether or not the pulled-in traffic is an attack packet is made by the existing technology related to the protection device 60.
  • the response point selection unit 12 determines the actual response traffic volume for the attack packet identified based on the response result and the router R in the next priority to the router R of the current pull-in point in the final priority (see FIG. 5). Then, the current traffic volume of the router R6) is compared (S109). For example, when the response result indicates the amount (Gbps) of the traffic that was actually dealt with as an attack packet in the traffic that was pulled in, the amount may be specified as the actual traffic volume handled. On the other hand, when the response result indicates the resource amount (Gbps) used for the actual response in the defense device 60, the resource amount may be specified as the actual response traffic amount. Note that the current traffic volume of the next router R may be obtained from the flow collector 40.
  • the response point selection unit 12 selects the router R of the next rank as a new pull-in point. Then, the identification information of the selected router R is notified to the route control device 50 (S110). The process executed by the route control device 50 in response to the notification is as described in step S107. However, the route control device 50 instructs the router R related to the original point of attraction to stop the flow of traffic to the defense device 60. That is, in the present embodiment, the pull-in points are collected in one place. By doing so, the transmission cost required to attract traffic is reduced.
  • step S110 another re-entry point is selected again, which is assumed to be able to be dealt with more effectively.
  • step S110 when there is no next router R, that is, when the last router R in the final priority is the service point, the change of the service point may not be performed.
  • step S103 and subsequent steps may be repeated according to satisfaction of a condition such as a certain number of repetitions or a certain period of time, or according to an operation instruction from the operator.
  • Step S109 In the case of No at Step S109, or following Step S110, Step S108 and subsequent steps are repeated.
  • FIG. 6 is a flowchart for explaining an example of a processing procedure executed by the control device 10 when it is permitted to draw in a traffic amount equal to or greater than the upper limit of the handling resource of the defense device 60.
  • Steps S201 to S203 are the same as steps S101 to S103 in FIG.
  • the coping location selecting unit 12 subtracts the defense upper limit (50 Gbps) from the traffic volume of each router R related to the attack route.
  • FIG. 7 is a diagram illustrating an example of a result of subtracting the upper limit value of the resource of the defense device 60 from the traffic amount of each router on the attack route.
  • FIG. 7 shows the traffic amount and the subtraction result in each router R (the subtraction result is enclosed in parentheses). Note that the positive subtraction result indicates the traffic amount returned without being dealt with by the protection device 60. The negative subtraction result indicates the surplus amount of the coping resource of the defense device 60.
  • the coping part selecting unit 12 extracts the router R whose subtraction result is 0 or more (that is, the traffic amount is equal to or more than the defense upper limit value) (S205). In the example of FIG. 7, the routers R7 and R8 are extracted. Subsequently, the handling point selecting unit 12 assigns priorities to the extracted routers R in ascending order of the subtraction results (that is, ascending order of the traffic volume) (S206). In the example of FIG. 7, the priority is “R7, R8”.
  • step S104 and subsequent steps in FIG. 4 may be performed after step S204 instead of step S205 and subsequent steps.
  • the handling location selecting unit 12 performs the same aggregation of the priorities as in step S106 of FIG. 4 (S207). That is, the router R having only one route to the router R at the preceding stage (closer to the attack source X) is removed from the priority order.
  • the priority from which the corresponding router R has been removed is referred to as “final priority”. In the example of FIG. 7, since there is no corresponding router R, the final priority remains “R7, R8”.
  • the handling point selecting unit 12 selects the router R (the router R7 in FIG. 7) having the highest priority in the final priority order as the router R of the attraction point, and sends the identification information of the selected router R to the path control device 50. Notification is made (S208).
  • the process executed by the route control device 50 in response to the notification is as described in step S107.
  • the attack route status confirmation unit 11 determines the result of the action performed by the defense device 60. Is acquired (S209). Subsequently, the handling part selecting unit 12 calculates a handling amount ratio a to the transmission cost based on the actual handling traffic amount for the attack packet specified based on the handling result (S210). The method of calculating the handling amount ratio a with respect to the transmission cost is as follows.
  • the pull-in traffic volume means the traffic volume drawn into the protection device 60 from the drop-in point.
  • the handling location selection unit 12 is assumed to be a router R of the next order after the router R of the current pull-in point (router R8 in FIG. 7, hereinafter referred to as “next-order router R”). Then, a handling amount ratio d to the maximum transmission cost is calculated (S211).
  • the assumed value (estimated value) of the incoming traffic volume is used for calculating the transmission cost of the router R of the next order. Used.
  • the current traffic volume of the next-order router R is applied to the assumed value (estimated traffic volume).
  • the upper limit handling resource amount of the defense device 60 is used for calculating the transmission cost as an assumed value (estimated value) of the actual handling traffic amount.
  • the transmission cost is based on the assumed value (estimated value)
  • the handling amount ratio d calculated using the assumed transmission cost e is also an assumed value (estimated value).
  • step S211 If it is determined in step S211 that there is no router R of the next priority, that is, if the last router R in the final priority is the attraction point, the process may return to step S209.
  • step S203 and subsequent steps may be repeated according to satisfaction of a condition such as a certain number of repetitions or a certain period of time, or according to an operation instruction by an operator.
  • the handling part selecting unit 12 compares the handling amount ratio a with respect to the transmission cost and the handling amount ratio d with respect to the assumed maximum transmission cost (S212). If a ⁇ d (Yes in S212), it is presumed that it is possible to cope with more attack packets, so the coping location selection unit 12 selects and selects the next-rank router R as a new pull-in point. The router R is notified of the identification information of the router R (S213). The processing executed by the route control device 50 in response to the notification is as described in step S110 of FIG. On the other hand, if a ⁇ d (No in S212), the process returns to step S209 without changing the pull-in point.
  • the attack route status confirmation unit 11 acquires a result of the action by the defense device 60 (S214). Subsequently, the handling location selection unit 12 determines the actual handling traffic volume x (that is, the actual handling traffic volume at the current pull-in point) for the attack packet specified based on the handling result, with the priority of one immediately before. A comparison is made with the latest (last acquired) actual traffic volume y when the router R was the pull-in point (S215).
  • the response site selection unit 12 selects the router R having the immediately preceding priority as a new pull-in point, and selects the selected router R Is notified to the path control device 50 (S216).
  • the processing executed by the route control device 50 in response to the notification is as described in step S110 of FIG.
  • the actually handled traffic amount y is less than the actually handled traffic amount x (No in S215), the change of the attraction point is not performed.
  • step S215 In the case of No in step S215, or following step S216, steps from step S209 are repeated.
  • FIG. 8 is a diagram illustrating an example of a functional configuration of the control device 10 and the router R related to the specification of the attack route. 8, the same parts as those in FIG. 3 are denoted by the same reference numerals, and the description thereof will be omitted.
  • the control device 10 includes an attack information receiving unit 13, a control unit 14, a route information receiving unit 15, a route specifying unit 16, and the like. Each of these units is realized by a process of causing the CPU 104 to execute one or more programs installed in the control device 10.
  • the control device 10 further uses the attack information storage unit 112, the route information storage unit 113, and the like.
  • These storage units can be realized using, for example, a storage device that can be connected to the auxiliary storage device 102 or the control device 10 via a network.
  • the router R has a controlled unit 21, a packet receiving unit 22, an address recording unit 23, a route information transmitting unit 24, a packet transferring unit 25, and the like. These units are realized by a process of causing one or more programs installed in the router R to be executed by the CPU of the router R. However, each unit may be realized by a circuit.
  • the router R also uses the control information storage unit 26.
  • the control information storage unit 26 can be realized using, for example, a memory included in the router R. Note that, in the present embodiment, the controlled unit 21 and the control information storage unit 26 do not have to have any components other than the routers R1, R2, and R3 that are GWRs. Further, the route information transmitting unit 24 does not have to have any components other than the router R8 which is an edge router.
  • FIG. 9 is a sequence diagram illustrating an example of a processing procedure executed when an attack is detected.
  • the security device 30 When the security device 30 detects a cyber attack or the like from the attack source X to the device Y, the security device 30 transmits attack information including information (for example, 5-tuple information) indicating conditions relating to the attack packet to the control device 10 (S301). Syslog or the like may be used as attack information. That is, all the information that can be grasped by the security device 30 may be included in the attack information.
  • the five-tuple information includes a source IP address (SrcIP_X), a destination IP address (DstIP_Y), a source port number, a destination port number, and a protocol.
  • attack information receiving unit 13 of the control device 10 When the attack information receiving unit 13 of the control device 10 receives the attack information, the attack information receiving unit 13 stores a record including the attack information (attack A, 5-tuple information, etc.) in the attack information storage unit 112 (S302). Therefore, the history of such attack information is stored in the attack information storage unit 112.
  • “Attack A” is an identifier of the attack, and is added when the attack information is stored in the attack information storage unit 112.
  • the attack information receiving unit 13 notifies the control unit 14 of the attack information (S303).
  • the control unit 14 transmits control information for causing the attack packet to perform a special process on the attack packet to the routers R1, R2, and R3, which are GWRs (S304).
  • 5 tuple information as a condition of a packet to be controlled and predetermined flag information are recorded in a specific portion of a TOS field of the attack packet (for example, 1 bit is used for an unused specific bit of the TOS field). ) Is included.
  • the condition of the packet to be controlled is not limited to the 5-tuple information.
  • the source IP address and the destination IP address may be the condition, or only the destination IP address may be the condition.
  • the controlled unit 21 of the router R1 that has received the control command stores the control information in the control information storage unit 26 of the router R1 (S305). Further, the routers R2 and R3 that have received the control instruction execute the same processing.
  • control information may be realized by using an existing filtering mechanism such as an ACL (Access Control List).
  • ACL Access Control List
  • FIG. 10 is a sequence diagram illustrating an example of a processing procedure executed in response to the reception of an attack packet in the GWR.
  • the packet receiving unit 22 of the router R1 determines whether the packet matches the condition included in the control information stored in the control information storage unit 26 in FIG. Is determined (S402). For example, it is determined whether the 5-tuple information of the packet matches the condition.
  • the packet receiving unit 22 records predetermined flag information in the IP header of the packet according to the control information (S403).
  • recording of predetermined flag information may be realized by setting 1 to a specific unused bit of the TOS field of the packet.
  • the setting destination of the predetermined flag information is not limited to the ToS field.
  • RR which is a mechanism of IPv4
  • a predetermined flag is set in a prescribed place in the option field.
  • the address recording unit 23 of the router R1 determines whether or not predetermined flag information is recorded in the packet, and based on the recording of the predetermined flag information, determines the IP header of the packet.
  • the IP address of the own device (router R1) is recorded in the option field (S404).
  • the packet transfer unit 25 transfers the packet according to a normal transfer method (S405).
  • the address recording unit 23 checks whether or not predetermined flag information is recorded in the IP header of the packet (S406). .
  • the address recording unit 23 of the router R additionally records the IP address of the router R in the option field of the IP header of the packet based on the fact that the predetermined flag information is recorded in the packet ( S407). That is, the IP address of the router is recorded at the end of the already recorded IP address. Subsequently, the packet transfer unit 25 of the router R transfers the packet (S408).
  • Steps S406 to S408 are similarly performed in each router R of the transfer destination of the packet.
  • the router R8 When the packet is received by the packet receiving unit 22 of the router R8, which is an edge router, the router R8 performs the same processing as steps S406 and S407 (S409, S410). Subsequently, based on the fact that the router R8 is an edge router, the route information transmitting unit 24 of the router R8 transmits 5 tuple information of the packet and an IP address string (IP address) recorded in an option field of an IP header of the packet. ) Is transmitted to the control device 10 (S411). That is, the route information is transmitted to the control device 10 immediately before the packet is transferred to the device Y.
  • the route information may be included in the Flow information and transmitted using a known mechanism such as sflow or NetFlow. The determination as to whether or not a certain router R is an edge router may be made based on a known technique.
  • the route information receiving unit 15 of the control device 10 stores the received route information in the route information storage unit 113 (S412). Therefore, the path information is additionally stored in the path information storage unit 113 every time the processing procedure of FIG. 10 is executed.
  • FIG. 11 is a flowchart illustrating an example of a processing procedure performed by the route identifying unit 16.
  • the processing procedure in FIG. 11 may be executed, for example, in synchronization with step S412 in FIG. 10 (following S412), or may be executed asynchronously with step S412, for example, periodically.
  • step S501 the route identification unit 16 acquires all the attack information stored in the attack information storage unit 112.
  • the route specifying unit 16 acquires all the route information stored in the route information storage unit 113 (S502).
  • the route identifying unit 16 matches the list of attack information with the list of route information, and identifies route information (attack route information) corresponding to each piece of attack information (S503). For example, for each piece of attack information, path information that includes 5tuple information that matches the 5tuple information included in the attack information is searched. The searched route information is associated with the attack information. As a result, it is possible to grasp the attack route in the network N1 for the attack packet of each DDoS attack.
  • the particle size (conditions) of the abutting does not necessarily have to be 5 tuples.
  • the association may be performed by matching only the source IP address and the destination IP address, or the association may be performed by matching only the destination IP address. For example, if there is a possibility that an attack has reached a certain destination IP address through a plurality of routes, it is possible to grasp the entire route of the attack by matching only the destination IP address. is there.
  • the route identification unit 16 stores the identification result in the attack route storage unit 111 (S504).
  • the attack information and the route information associated in step S503 are stored in the attack route storage unit 111 while the association is maintained.
  • the attack information and the attack route information stored in the attack route storage unit 111 may be deleted from the attack information storage unit 112 or the route information storage unit 113.
  • the IP address of each router R may be recorded in the option field using the mechanism of the record route (RR) defined in IPv4 (RFC791). .
  • the traffic volume of each router R and the traffic volume that can be dealt with by the protection device 60 are considered, and A pull-in point is selected.
  • a pull-in point is selected.
  • a router is an example of a transfer device.
  • the present embodiment may be applied to a transfer device other than a router, such as a switch.
  • control device 10 is an example of an attack handling location selection device.
  • the attack route status confirmation unit 11 is an example of an acquisition unit.
  • the handling location selection unit 12 is an example of a selection unit.
  • Control device 11 Attack route status confirming unit 12 Action point selecting unit 13 Attack information receiving unit 14
  • Control unit 15 Route information receiving unit 16 Route specifying unit 21
  • Controlled unit 22 Packet receiving unit 23
  • Address recording unit 24 Route information transmitting unit 25
  • Packet Transfer unit 26 control information storage unit 30 security device 40 flow collector 50 route control device 60 defense device 100 drive device 101 recording medium 102 auxiliary storage device 103 memory device 104 CPU 105 Interface device 112 Attack information storage unit 113 Route information storage unit B Bus R1, R2, R3, R4, R5, R6, R7, R8 Router X Attack source Y device

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

攻撃対処箇所選択装置は、攻撃トラフィックの経路に係る複数の第１の転送装置のそれぞれのトラフィック量を取得する取得部と、前記各第１の転送装置のトラフィック量と前記攻撃トラフィックに対処する防御装置が対処可能なトラフィック量の上限値との比較に基づいて前記複数の第１の転送装置から抽出される各第２の転送装置に対して、それぞれのトラフィック量に基づく優先順位を付与し、前記優先順位において最上位の第３の転送装置を、前記防御装置へのトラフィックの引き込み点として選択する選択部と、を有することで、攻撃トラフィックに対して適切な対処が行われる可能性を高めることのできる引き込み点を選択する。

Description

攻撃対処箇所選択装置及び攻撃対処箇所選択方法
　本発明は、攻撃対処箇所選択装置及び攻撃対処箇所選択方法に関する。
　ネットワーク内のサーバ又は当該ネットワークに接続されるユーザ等に対する攻撃トラフィックの流入を検知した場合、早急に対処を行いつつサービスを継続する必要がある。サービスを継続しながら攻撃対処を行う方法としては、ミティゲーション装置などの防御装置に攻撃トラフィックを引き込んで対処する方法が一般的である。
インターネット＜URL：http://www.sflow.org/developers/specifications.php＞ インターネット＜URL：https://www.ietf.org/rfc/rfc3954.txt＞
　攻撃トラフィックを防御装置へ引き込むにあたり、攻撃トラフィックの引き込み点（ルータ等）が適当に決められてしまうと、適切な対処が困難になる可能性が有る。
　例えば、大量のトラフィックが通過する箇所が引き込み点とされてしまうと、防御装置の対処リソースの上限を超えるトラフィックが防御装置に流入する可能性が有る。その場合、防御装置によっては、機能停止等の異常が発生する可能性が有る。
　また、対処リソースの上限以下の攻撃トラフィックが防御装置へ流入する場合であっても、大量の攻撃トラフィックが防御装置へ流入する場合には、攻撃トラフィックの引き込みの伝送コストと、対処済みのトラフィックを元の経路に戻すための伝送コストとが、運用上、無視できないほど大きくなる可能性も有る。
　したがって、攻撃トラフィックを防御装置に引き込む際には、防御装置の対処リソース量と、引き込み／戻しにおける伝送コストとを考慮して引き込み点を選択する必要がある。
　本発明は、上記の点に鑑みてなされたものであって、攻撃トラフィックに対して適切な対処が行われる可能性を高めることのできる引き込み点を選択することを目的とする。
　そこで上記課題を解決するため、攻撃対処箇所選択装置は、攻撃トラフィックの経路に係る複数の第１の転送装置のそれぞれのトラフィック量を取得する取得部と、前記各第１の転送装置のトラフィック量と前記攻撃トラフィックに対処する防御装置が対処可能なトラフィック量の上限値との比較に基づいて前記複数の第１の転送装置から抽出される各第２の転送装置に対して、それぞれのトラフィック量に基づく優先順位を付与し、前記優先順位において最上位の第３の転送装置を、前記防御装置へのトラフィックの引き込み点として選択する選択部と、を有する。
　攻撃トラフィックに対して適切な対処が行われる可能性を高めることのできる引き込み点を選択することができる。
本発明の実施の形態におけるネットワーク構成例を示す図である。 本発明の実施の形態における制御装置１０のハードウェア構成例を示す図である。 本発明の実施の形態における制御装置１０の機能構成例を示す図である。 防御装置６０の対処リソースの上限以上のトラフィック量の引き込みが許容されない場合に制御装置１０が実行する処理手順の一例を説明するためのフローチャートである。 攻撃経路及び各ルータＲのトラフィック量の一例を示す図である。 防御装置６０の対処リソースの上限以上のトラフィック量の引き込みが許容される場合に制御装置１０が実行する処理手順の一例を説明するためのフローチャートである。 攻撃経路に係る各ルータのトラフィック量からの防御装置６０のリソースの上限値の減算結果の一例を示す図である。 攻撃経路の特定に関する制御装置１０及びルータＲの機能構成例を示す図である。 攻撃検知時に実行される処理手順の一例を説明するためのシーケンス図である。 ＧＷＲにおける攻撃パケットの受信に応じて実行される処理手順の一例を説明するためのシーケンス図である。 経路特定部１６が実行する処理手順の一例を説明するためのフローチャートである。
　以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態におけるネットワーク構成例を示す図である。図１において、ネットワークＮ１は、ルータＲ１～Ｒ８等の複数のルータ（転送装置）を含む。このうち、ルータＲ１、ルータＲ２及びルータＲ３は、ゲートウェイルータ（ＧＷＲ）である。本実施の形態において、３つのＧＷＲ（ルータＲ１、Ｒ２及びＲ３）が、サイバー攻撃（例えば、ＤＤｏＳ（Distributed Denial of Service）攻撃）の攻撃元Ｘからの攻撃トラフィックに係るＩＰパケット（以下、「攻撃パケット」という。）を、ネットワークＮ１において最初に受信する。
　また、ルータＲ８は、装置Ｙに対するエッジルータである。装置Ｙは、本実施の形態においてサイバー攻撃の対象となるコンピュータ等である。したがって、本実施の形態において、攻撃パケット（攻撃通信）の送信元は、攻撃元Ｘであり、宛先は装置Ｙである。なお、各ルータを区別しない場合、「ルータＲ」という。また、攻撃元Ｘは、複数に分散されていてもよい。この場合、各ＧＷＲが受信する攻撃パケットの送信元は、異なっていてもよい。また、一つのＧＷＲが複数の送信元から攻撃パケットを受信してもよい。
　ＧＷＲであるルータＲ１、Ｒ２及びＲ３と、エッジルータであるルータＲ８とは、制御装置１０と所定の回線（ネットワーク）を介して接続される。
　制御装置１０は、ネットワークＮ１に流入する攻撃パケットに対する対処を制御する１以上のコンピュータ（情報処理装置）である。すなわち、制御装置１０は、１つのコンピュータであってもよいし、分散された複数のコンピュータによって構成されてもよい。本実施の形態において、制御装置１０は、ルータＲ群の中から、防御装置６０へ攻撃パケットを引き込む箇所（以下、「引き込み点」という。）とするルータＲを特定する。
　図１において、制御装置１０は、セキュリティ装置３０、フローコレクタ４０、経路制御装置５０及び防御装置６０とネットワークを介して接続される。
　セキュリティ装置３０は、サイバー攻撃の発生を検知し、攻撃パケットの条件を示す情報を制御装置１０へ通知する装置である。但し、装置Ｙが、セキュリティ装置３０の機能を兼ねてもよい。
　フローコレクタ４０は、各ルータＲと接続されており、各ルータＲが転送するパケットが持つ情報（パケット転送に関わる情報のみで、データ部の情報については対象外）を収集し、収集した情報の統計情報（フロー情報）を生成する。
　経路制御装置５０は、各ルータＲと接続されており、制御装置１０によって引き込み点として選択されたルータＲに対し、パケットの転送経路の変更等を指示する装置である。
　防御装置６０は、引き込み点としてのルータＲからトラフィックを引き込み、攻撃トラフィックについては対処を行い、正常トラフィックは疎通させる装置である。防御装置６０は、各ルータＲと直接的又は間接的に接続されているが、平常時には、いずれのルータＲからもトラフィック（パケット）は流入していない。
　なお、フローコレクタ４０、経路制御装置５０及び防御装置６０と、各ルータＲとの接続関係の図示は、便宜上、省略されている。
　図２は、本発明の実施の形態における制御装置１０のハードウェア構成例を示す図である。図２の制御装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
　制御装置１０での処理を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
　メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って制御装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
　図３は、本発明の実施の形態における制御装置１０の機能構成例を示す図である。図３において、制御装置１０は、攻撃経路状況確認部１１及び対処箇所選択部１２を有する。これら各部は、制御装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。制御装置１０は、また、攻撃経路記憶部１１１を利用する。攻撃経路記憶部１１１は、例えば、補助記憶装置１０２、又は制御装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
　攻撃経路記憶部１１１には、攻撃パケットに関する条件を示す情報（例えば、５ｔｕｐｌｅ情報）等を含む攻撃情報に対応付けて、当該攻撃パケットに関してネットワークＮ１において特定された経路（以下「攻撃経路」という。）を示す経路情報が記憶されている。経路情報は、例えば、攻撃経路における各ルータＲの識別情報（例えば、ＩＰアドレス）が、攻撃パケットが通過する順番に並べられた配列である。但し、経路情報の形式は、所定のものに限定されない。また、複数の攻撃経路に関する経路情報が攻撃経路記憶部１１１に記憶されていてもよい。なお、攻撃パケットの経路情報（以下「攻撃経路情報」という。）の特定方法は、所定のものに限定されない。また、攻撃経路を特定可能な情報であれば、攻撃経路情報の構造も所定のものに限定されない。
　攻撃経路状況確認部１１は、攻撃情報に対応付けられて攻撃経路記憶部１１１に記憶されている攻撃経路情報が示す攻撃経路に係る（攻撃経路上の）各ルータＲの状況（トラフィック量等）を確認する。
　対処箇所選択部１２は、防御装置６０のリソース量や、攻撃経路状況確認部１１による確認結果等に基づいて、ルータＲ１～Ｒ８の中から引き込み点（攻撃の対処箇所）とするルータＲを選択（特定）する。
　以下、制御装置１０が実行する処理手順について説明する。本実施の形態では、防御装置６０の対処リソース（攻撃パケットの対処用のリソース）の上限以上の引き込みトラフィック量が許容されない場合（上限を超えるトラフィックの流入により防御装置６０の挙動に影響がある場合）と、そうでない場合（上限を超えた分の攻撃パケットは対処されずに防御装置６０から戻される場合）とに分けて制御装置１０の処理手順を説明する。すなわち、対処リソースの上限以上のトラフィックが流入した場合の挙動は、防御装置６０の仕様によって異なる。また、防御装置６０の対処リソースの上限以上のトラフィック量の引き込みが許容されるか否かに応じて、最適な引き込み点が異なる可能性が有る。そこで、本実施の形態では、制御装置１０の処理手順について、防御装置６０の対処リソースの上限以上のトラフィック量の引き込みが許容されない場合と、そうでない場合とで区別される。
　図４は、防御装置６０の対処リソースの上限以上のトラフィック量の引き込みが許容されない場合に制御装置１０が実行する処理手順の一例を説明するためのフローチャートである。
　ステップＳ１０１において、攻撃経路状況確認部１１は、防御装置６０の対処リソースの上限値（以下、「防御上限値」という。）を取得する。当該防御上限値は、防御装置６０から取得されてもよいし、予め補助記憶装置１０２等に記憶されていてもよい。続いて、攻撃経路状況確認部１１は、攻撃経路記憶部１１１から攻撃経路情報を取得する（Ｓ１０２）。続いて、攻撃経路状況確認部１１は、当該攻撃経路情報が示す攻撃経路に係る各ルータＲのトラフィック量を、例えば、フローコレクタ４０から取得する（Ｓ１０３）。
　図５は、攻撃経路及び各ルータＲのトラフィック量の一例を示す図である。図５において、各ルータＲの接続関係は、攻撃経路を示す。また、各ルータＲ内には、当該ルータのトラフィック量が示されている。すなわち、図５では、ルータＲ１、Ｒ２、Ｒ３、Ｒ４、Ｒ５、Ｒ６、Ｒ７、Ｒ８の順に、トラフィック量が、２０Ｇｂｐｓ、４０Ｇｂｐｓ、３０Ｇｂｐｓ、２０Ｇｂｐｓ、４０Ｇｂｐｓ、３０Ｇｂｐｓ、６０Ｇｂｐｓ、９０Ｇｂｐｓである例が示されている。ステップＳ１０３の時点において、攻撃経路状況確認部１１は、図５に示されるような情報を得ることができる。
　続いて、対処箇所選択部１２は、トラフィック量が防御上限値未満であるルータＲを抽出する（Ｓ１０４）。ここで、防御上限値は、５０Ｇｂｐｓであるとする。したがって、図５の例では、ルータＲ７及びＲ８以外が抽出される。続いて、対処箇所選択部１２は、抽出された各ルータＲに対してトラフィック量の降順に優先順位を付与する（Ｓ１０５）。この際、トラフィック量が同じルータＲ間においては、攻撃経路において、攻撃対象（装置Ｙ）に近い方が優先順位が高く（前に）される。攻撃対象に近いルータＲの方が、トラフィックが集約されている可能性が高く、攻撃パケットの引き込みを効果的に行える可能性が高いと考えられるからである。したがって、図５の例において、当該優先順位は、「Ｒ５、Ｒ２、Ｒ６、Ｒ３、Ｒ４、Ｒ１」となる。
　続いて、対処箇所選択部１２は、当該優先順位において、攻撃経路上における前段（攻撃元Ｘに近い）のルータＲへの経路が１つだけであるルータＲを当該前段のルータＲへ集約して、優先順位を付与しなおす（Ｓ１０６）。すなわち、該当ルータＲが、当該優先順位から除去される。なお、斯かる集約（除去）は、再帰的に行われる。図５の例では、ルータＲ４及びＲ５が除去される。その結果、優先順位は、「Ｒ２、Ｒ６、Ｒ３、Ｒ１」となる。以下、当該優先順位を「最終優先順位」という。すなわち、一つの経路上の複数のルータＲは、引き込み点としての有効性においては等価あると考えられる。したがって、これら複数のルータＲは、最前段のルータＲに集約される。なお、集約先を最前段のルータＲとするのは、できるだけ攻撃経路の上流において攻撃パケットに対する対処を行うことで、ネットワークＮ１における攻撃パケットの流通量を低下させるためである。
　続いて、対処箇所選択部１２は、最終優先順位において最上位のルータＲ（図５では、ルータＲ２）を引き込み点のルータＲとして選択し、選択したルータＲの識別情報を経路制御装置５０へ通知する（Ｓ１０７）。経路制御装置５０は、通知された識別情報に係るルータＲに対して、当該ルータＲにおける全トラフィックが防御装置６０に流入されるように経路変更を指示する。但し、当該ルータＲが、経路変更するトラフィックについて条件を設定可能であれば、攻撃情報に係るトラフィックが経路変更の対象とされるように指示が行われてもよい。
　その後、引き込み点からトラフィックが防御装置６０へ引き込まれている状態において、一定時間が経過すると、又は運用者等による操作指示等に応じ、攻撃経路状況確認部１１は、防御装置６０での攻撃パケットに対する対処結果を取得する（Ｓ１０８）。対処結果とは、例えば、引き込まれたトラフィックのうち攻撃パケットとして実際に対処した量（Ｇｂｐｓ）や、防御装置６０において実際の対処に使用されたリソース量（Ｇｂｐｓ）等を示す情報である。なお、引き込まれたトラフィックについて、攻撃パケットであるか否かの判断は、防御装置６０に関する既存技術によって行われる。
　続いて、対処箇所選択部１２は、当該対処結果に基づいて特定される攻撃パケットに対する実対処トラフィック量と、最終優先順位において、現在の引き込み点のルータＲの次の順位のルータＲ（図５ではルータＲ６）の現時点のトラフィック量とを比較する（Ｓ１０９）。例えば、対処結果が、引き込まれたトラフィックのうち攻撃パケットとして実際に対処した量（Ｇｂｐｓ）を示す場合には当該量が当該実対処トラフィック量として特定さればよい。一方、対処結果が、防御装置６０において実際の対処に使用されたリソース量（Ｇｂｐｓ）を示す場合、当該リソース量が当該実対処トラフィック量として特定されてもよい。なお、次の順位のルータＲの現時点のトラフィック量は、フローコレクタ４０から取得されればよい。
　攻撃パケットに対する実対処トラフィック量が、当該次の順位のルータＲのトラフィック量以下であれば（Ｓ１０９でＹｅｓ）、対処箇所選択部１２は、当該次の順位のルータＲを新たな引き込み点として選択し、選択したルータＲの識別情報を経路制御装置５０へ通知する（Ｓ１１０）。当該通知に応じて経路制御装置５０が実行する処理は、ステップＳ１０７において説明した通りである。但し、経路制御装置５０は、元の引き込み点に係るルータＲに対して、防御装置６０へのトラフィックの流入の停止を指示する。すなわち、本実施の形態において、引き込み点は、１箇所に集約される。そうすることで、トラフィックの引き込みにかかる伝送コストが低減される。
　なお、防御装置６０に引き込まれるトラフィックには正常なトラフィックも含まれているため、防御装置６０に引き込まれるトラフィックのうち攻撃パケットの量が少なく、対処効果が低い可能性もある。そこで、ステップＳ１１０では、より効果的に対処が可能であると想定される別の引き込み点の再選択が行われる。なお、ステップＳ１１０において、次の順位のルータＲが無い場合、すなわち、最終優先順位において最後のルータＲが引き込み点であった場合、引き込み点の変更は行われなくてもよい。又は、一定の繰り返し回数若しくは一定時間の経過等の条件の充足に応じて、又は運用者による操作指示等に応じ、ステップＳ１０３以降が繰り返されてもよい。
　一方、攻撃パケットに対する実対処トラフィック量が、次の順位のルータＲのトラフィック量を超える場合は（Ｓ１０９でＮｏ）、引き込み点の変更は行われない。
　ステップＳ１０９でＮｏの場合、又はステップＳ１１０に続いて、ステップＳ１０８以降が繰り返される。
　図６は、防御装置６０の対処リソースの上限以上のトラフィック量の引き込みが許容される場合に制御装置１０が実行する処理手順の一例を説明するためのフローチャートである。
　ステップＳ２０１～Ｓ２０３は、図４のステップＳ１０１～Ｓ１０３と同じである。ステップＳ２０４において、対処箇所選択部１２は、攻撃経路に係る各ルータＲのトラフィック量から防御上限値（５０Ｇｂｐｓ）を減算する。
　図７は、攻撃経路に係る各ルータのトラフィック量からの防御装置６０のリソースの上限値の減算結果の一例を示す図である。図７には、各ルータＲ内にトラフィック量と減算結果とが示されている（減算結果は、括弧で囲まれている。）。なお、正の減算結果は、防御装置６０によって対処されずに戻されるトラフィック量を示す。負の減算結果は、防御装置６０の対処リソースの余剰量を示す。
　続いて、対処箇所選択部１２は、減算結果が０以上である（すなわち、トラフィック量が、防御上限値以上である）ルータＲを抽出する（Ｓ２０５）。図７の例では、ルータＲ７及びＲ８が抽出される。続いて、対処箇所選択部１２は、抽出された各ルータＲに対して、減算結果の昇順（すなわち、トラフィック量の昇順）に優先順位を付与する（Ｓ２０６）。図７の例において、当該優先順位は、「Ｒ７、Ｒ８」となる。
　なお、減算結果が０以上であるルータＲが無い場合には、ステップＳ２０４に続いて、ステップＳ２０５以降の代わりに、図４のステップＳ１０４以降が実行されればよい。
　ステップＳ２０６に続いて、対処箇所選択部１２は、当該優先順位について、図４のステップＳ１０６と同様の集約を行う（Ｓ２０７）。すなわち、前段（攻撃元Ｘに近い）のルータＲへの経路が１つだけであるルータＲが当該優先順位から除去される。以下、該当するルータＲが除去された優先順位を「最終優先順位」という。図７の例では、該当するルータＲは無いため、最終優先順位は、「Ｒ７、Ｒ８」のままである。
　続いて、対処箇所選択部１２は、最終優先順位において最上位のルータＲ（図７では、ルータＲ７）を引き込み点のルータＲとして選択し、選択したルータＲの識別情報を経路制御装置５０へ通知する（Ｓ２０８）。当該通知に応じて経路制御装置５０が実行する処理は、ステップＳ１０７において説明した通りである。
　その後、引き込み点からトラフィックが防御装置６０へ引き込まれている状態において、一定時間が経過すると、又は運用者等による操作指示等に応じ、攻撃経路状況確認部１１は、防御装置６０での対処結果を取得する（Ｓ２０９）。続いて、対処箇所選択部１２は、当該対処結果に基づいて特定される攻撃パケットに対する実対処トラフィック量に基づいて、伝送コストに対する対処量比ａを算出する（Ｓ２１０）。伝送コストに対する対処量比ａの算出方法は、以下の通りである。
伝送コストに対する対処量比ａ＝防御装置６０での実対処トラフィック量／実伝送コストｂ
実伝送コストｂ＝引き込みトラフィック量＋戻りのトラフィック量ｃ
戻りのトラフィック量ｃ＝引き込みトラフィック量－防御装置６０での実対処トラフィック量
　なお、引き込みトラフィック量とは、引き込み点から防御装置６０へ引き込まれるトラフィック量をいう。
　続いて、対処箇所選択部１２は、最終優先順位において、現在の引き込み点のルータＲの次の順位のルータＲ（図７では、ルータＲ８、以下「次順位ルータＲ」という。）について想定される最大伝送コストに対する対処量比ｄを算出する（Ｓ２１１）。当該対処量比ｄの算出方法は、以下の通りである。
想定される最大伝送コストに対する対処量比ｄ＝防御装置６０の上限対処リソース量／次順位ルータＲに関する想定伝送コストｅ
想定伝送コストｅ＝想定引き込みトラフィック量＋（想定引き込みトラフィック量－防御装置６０の上限対処リソース量）
　ここで、次順位のルータＲについては、現時点においては引き込みトラフィック量の実測値が不明であるため、引き込みトラヒック量の想定値（推定値）が、次順位のルータＲに係る伝送コストの計算に用いられる。当該想定値（想定引き込みトラフィック量）には、次順位ルータＲの現時点のトラフィック量が当てはめられる。また、次順位ルータＲを引き込み点とした場合の防御装置６０での実対処トラフィック量も現時点では不明である。したがって、防御装置６０の上限対処リソース量が、実対処トラフィック量の想定値（推定値）として伝送コストの計算に用いられる。このように、当該伝送コストは、想定値（推定値）に基づくものであるため、「想定伝送コストｅ」と表記される。また、想定伝送コストｅを用いて計算される対処量比ｄも、想定値（推定値）である。
　なお、ステップＳ２１１において、次順位のルータＲが無い場合、すなわち、最終優先順位において最後のルータＲが引き込み点であった場合、ステップＳ２０９に戻ってもよい。又は、一定の繰り返し回数若しくは一定時間の経過等の条件の充足に応じて、又は運用者による操作指示等に応じ、ステップＳ２０３以降が繰り返されてもよい。
　続いて、対処箇所選択部１２は、伝送コストに対する対処量比ａと、想定される最大伝送コストに対する対処量比ｄとを比較する（Ｓ２１２）。ａ＜ｄの場合（Ｓ２１２でＹｅｓ）、より多くの攻撃パケットに対する対処が可能であると推測されるため、対処箇所選択部１２は、次順位ルータＲを新たな引き込み点として選択し、選択したルータＲの識別情報を経路制御装置５０へ通知する（Ｓ２１３）。当該通知に応じて経路制御装置５０が実行する処理は、図４のステップＳ１１０において説明した通りである。一方、ａ≧ｄの場合（Ｓ２１２でＮｏ）、引き込み点の変更は行われずに、ステップＳ２０９へ戻る。
　ステップＳ２１３に続いて、一定時間が経過すると、又は運用者等による操作指示等に応じ、攻撃経路状況確認部１１は、防御装置６０での対処結果を取得する（Ｓ２１４）。続いて、対処箇所選択部１２は、当該対処結果に基づいて特定される攻撃パケットに対する実対処トラフィック量ｘ（すなわち、現在の引き込み点での実対処トラフィック量）を、優先順位が１つ前のルータＲが引き込み点であった際の直近の（最後に取得された）実対処トラフィック量ｙと比較する（Ｓ２１５）。
　実対処トラフィック量ｘが実対処トラフィック量ｙ以下である場合（Ｓ２１５でＹｅｓ）、対処箇所選択部１２は、優先順位が１つ前のルータＲを新たな引き込み点として選択し、選択したルータＲの識別情報を経路制御装置５０へ通知する（Ｓ２１６）。当該通知に応じて経路制御装置５０が実行する処理は、図４のステップＳ１１０において説明した通りである。一方、実対処トラフィック量ｙが実対処トラフィック量ｘ未満である場合（Ｓ２１５でＮｏ）、引き込み点の変更は行われない。
　ステップＳ２１５でＮｏの場合、又はステップＳ２１６に続いて、ステップＳ２０９以降が繰り返される。
　続いて、攻撃経路の特定方法の一例について説明する。図８は、攻撃経路の特定に関する制御装置１０及びルータＲの機能構成例を示す図である。図８中、図３と同一部分には同一符号を付し、その説明は省略する。
　図８において、制御装置１０は、攻撃情報受信部１３、制御部１４、経路情報受信部１５及び経路特定部１６等を有する。これら各部は、制御装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。制御装置１０は、更に、攻撃情報記憶部１１２及び経路情報記憶部１１３等を利用する。これら各記憶部は、例えば、補助記憶装置１０２、又は制御装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
　一方、ルータＲは、被制御部２１、パケット受信部２２、アドレス記録部２３、経路情報送信部２４及びパケット転送部２５等を有する。これら各部は、ルータＲにインストールされた１以上のプログラムが、ルータＲのＣＰＵに実行させる処理により実現される。但し、各部は、回路によって実現されてもよい。ルータＲは、また、制御情報記憶部２６を利用する。制御情報記憶部２６は、例えば、ルータＲが有するメモリ等を用いて実現可能である。なお、本実施の形態において、被制御部２１及び制御情報記憶部２６は、ＧＷＲであるルータＲ１、Ｒ２及びＲ３以外は有していなくてもよい。また、経路情報送信部２４は、エッジルータであるルータＲ８以外は有していなくてもよい。
　図９は、攻撃検知時に実行される処理手順の一例を説明するためのシーケンス図である。
　セキュリティ装置３０は、攻撃元Ｘから装置Ｙへのサイバー攻撃等を検知すると、攻撃パケットに関する条件を示す情報（例えば、５ｔｕｐｌｅ情報）等を含む攻撃情報を、制御装置１０へ送信する（Ｓ３０１）。Ｓｙｓｌｏｇ等が攻撃情報として利用されてもよい。すなわち、セキュリティ装置３０が把握可能な情報の全てが攻撃情報に含まれてもよい。なお、５ｔｕｐｌｅ情報は、送信元ＩＰアドレス（ＳｒｃＩＰ＿Ｘ）、宛先ＩＰアドレス（ＤｓｔＩＰ＿Ｙ）、送信元ポート番号、宛先ポート番号、プロトコルである。
　制御装置１０の攻撃情報受信部１３は、当該攻撃情報を受信すると、当該攻撃情報を含むレコード（攻撃Ａ，５ｔｕｐｌｅ情報等）を攻撃情報記憶部１１２へ記憶する（Ｓ３０２）。したがって、攻撃情報記憶部１１２には、このような攻撃情報の履歴が記憶される。なお、「攻撃Ａ」は、攻撃の識別子であり、攻撃情報記憶部１１２に攻撃情報が記憶される際に付与される。
　続いて、攻撃情報受信部１３は、当該攻撃情報を制御部１４に通知する（Ｓ３０３）。制御部１４は、当該攻撃情報の通知に応じ、攻撃パケットに対して特別な処理を実行させるための制御情報をＧＷＲであるルータＲ１、ルータＲ２及びルータＲ３へ送信する（Ｓ３０４）。当該制御情報には、制御対象のパケットの条件としての５ｔｕｐｌｅ情報と、当該攻撃パケットのＴＯＳフィールドの特定の部分に所定のフラグ情報を記録する（例えば、ＴＯＳフィールドの未使用の特定のビットに１を立てる）といった命令とが含まれる。なお、制御対象のパケットの条件は、５ｔｕｐｌｅ情報に限られない。送信元ＩＰアドレス及び宛先ＩＰアドレスが当該条件とされてもよいし、宛先ＩＰアドレスのみが当該条件とされてもよい。
　当該制御命令を受信したルータＲ１の被制御部２１は、当該制御情報をルータＲ１の制御情報記憶部２６に記憶する（Ｓ３０５）。また、当該制御命令を受信したルータＲ２及びルータＲ３も同様の処理を実行する。
　なお、制御情報は、ＡＣＬ（Access Control List）等の既存のフィルタリングの仕組みを利用して実現されてもよい。
　図１０は、ＧＷＲにおける攻撃パケットの受信に応じて実行される処理手順の一例を説明するためのシーケンス図である。
　ルータＲ１のパケット受信部２２は、ネットワークＮ１の外部からパケットを受信すると（Ｓ４０１）、図９において制御情報記憶部２６に記憶した制御情報に含まれている条件に当該パケットが合致するか否かを判定する（Ｓ４０２）。例えば、当該パケットの５ｔｕｐｌｅ情報が、当該条件に合致するか否かが判定される。
　当該パケットが当該条件に合致しない場合、以降においては、図１０の処理手順ではなく、一般的な転送処理が実行される。
　当該パケットが当該条件に合致する場合（すなわち、当該パケットが攻撃パケットである場合）、パケット受信部２２は、当該制御情報に従って、当該パケットのＩＰヘッダに所定のフラグ情報を記録する（Ｓ４０３）。例えば、当該パケットのＴＯＳフィールドの未使用の特定のビットに１を立てることで所定のフラグ情報の記録が実現されてもよい。但し、所定のフラグ情報の設定先は、ＴｏＳフィールドには限定されない。例えば、ＩＰｖ４の機構であるＲＲを用いる場合は、オプションフィールド内の規定された場所に所定のフラグが設定される。続いて、ルータＲ１のアドレス記録部２３は、当該パケットに所定のフラグ情報が記録されているか否かを判定し、当該所定のフラグ情報が記録されていることに基づいて、当該パケットのＩＰヘッダのオプションフィールドに自装置（ルータＲ１）のＩＰアドレスを記録する（Ｓ４０４）。続いて、パケット転送部２５は、当該パケットを通常の転送方法に従って転送する（Ｓ４０５）。
　当該パケットの転送先のルータＲのパケット受信部２２が、当該パケットを受信すると、アドレス記録部２３は、当該パケットのＩＰヘッダに所定のフラグ情報が記録されているか否かを確認する（Ｓ４０６）。当該ルータＲのアドレス記録部２３は、当該パケットに当該所定のフラグ情報が記録されていることに基づいて、当該パケットのＩＰヘッダのオプションフィールドに当該ルータＲのＩＰアドレスを追加的に記録する（Ｓ４０７）。すなわち、既に記録されているＩＰアドレスの末尾に、当該ルータのＩＰアドレスが記録される。続いて、当該ルータＲのパケット転送部２５は、当該パケットを転送する（Ｓ４０８）。
　ステップＳ４０６～Ｓ４０８は、当該パケットの転送先の各ルータＲにおいて同様に実行される。
　当該パケットが、エッジルータであるルータＲ８のパケット受信部２２によって受信されると、ルータＲ８において、ステップＳ４０６及びＳ４０７と同様の処理が実行される（Ｓ４０９、Ｓ４１０）。続いて、ルータＲ８の経路情報送信部２４は、ルータＲ８がエッジルータであることに基づき、当該パケットの５ｔｕｐｌｅ情報と、当該パケットのＩＰヘッダのオプションフィールドに記録されているＩＰアドレス列（ＩＰアドレス群）とを含む経路情報を、制御装置１０へ送信する（Ｓ４１１）。すなわち、当該パケットが装置Ｙに転送される直前において経路情報が制御装置１０へ送信される。なお、経路情報は、Ｆｌｏｗ情報に含められて、ｓｆｌｏｗ又はＮｅｔＦｌｏｗ等の公知の仕組みを利用して送信されてもよい。また、或るルータＲが、エッジルータであるか否かの判定は、公知の技術に基づいて行われればよい。
　続いて、制御装置１０の経路情報受信部１５は、受信した経路情報を経路情報記憶部１１３に記憶する（Ｓ４１２）。したがって、経路情報記憶部１１３には、図１０の処理手順が実行されるたびに、追加的に経路情報が記憶される。
　続いて、制御装置１０の経路特定部１６が実行する処理について説明する。図１１は、経路特定部１６が実行する処理手順の一例を説明するためのフローチャートである。図１１の処理手順は、例えば、図１０のステップＳ４１２に同期して（Ｓ４１２に続いて）実行されてもよいし、定期的等、ステップＳ４１２とは非同期に実行されてもよい。
　ステップＳ５０１において経路特定部１６は、攻撃情報記憶部１１２に記憶されている全ての攻撃情報を取得する。
　続いて、経路特定部１６は、経路情報記憶部１１３に記憶されている全ての経路情報を取得する（Ｓ５０２）。
　続いて、経路特定部１６は、攻撃情報の一覧と、経路情報の一覧とを突合して、各攻撃情報に対応する経路情報（攻撃経路情報）を特定する（Ｓ５０３）。例えば、攻撃情報ごとに、当該攻撃情報に含まれている５ｔｕｐｌｅ情報に一致する５ｔｕｐｌｅ情報を含む経路情報が検索される。検索された経路情報は、当該攻撃情報に関連付けられる。その結果、各ＤＤｏｓ攻撃の攻撃パケットについて、ネットワークＮ１内の攻撃経路を把握することが可能となる。
　なお、突合の粒度（条件）は、必ずしも５ｔｕｐｌｅでなくてもよい。例えば、送信元ＩＰアドレス及び宛先ＩＰアドレスのみの一致によって関連付けが行われてもよいし、宛先ＩＰアドレスのみの一致によって関連付けが行われてもよい。例えば、攻撃が複数の経路を通ってある１つの宛先ＩＰアドレスに到達している可能性がある場合に、宛先ＩＰアドレスだけで突合することで当該攻撃の全ルートを把握することが可能だからである。
　続いて、経路特定部１６は、特定結果を攻撃経路記憶部１１１に記憶する（Ｓ５０４）。例えば、ステップＳ５０３において関連付けられた攻撃情報と経路情報とが、関連付けが維持された状態で攻撃経路記憶部１１１に記憶される。攻撃経路記憶部１１１に記憶された攻撃情報及び攻撃経路情報は、攻撃情報記憶部１１２又は経路情報記憶部１１３から削除されてもよい。
　なお、各ルータＲのＩＰアドレスの記録については、IＰｖ４（ＲＦＣ７９１）で規定されているレコードルート（ＲＲ）の仕組みを用いて各ルータＲのＩＰアドレスがオプションフィールドに記録されるようにしてもよい。
　上述したように、本実施の形態によれば、各ルータＲのトラフィック量と、防御装置６０が対処可能なトラフィック量（防御装置６０のリソース量）とが考慮されて、各ルータＲの中から引き込み点が選択される。その結果、例えば、防御装置６０の対処リソースの使用率を上げると共に、防御装置６０で対処できずに戻されるトラフィックが極力引き込まないようにすることで、伝送コストを削減することができ、攻撃トラフィック量をサービスの継続が可能な程度に減少させることができる。したがって、攻撃トラフィックに対して適切な対処が行われる可能性を高めることのできる引き込み点を選択することができる。
　また、対処状況のフィードバック結果に基づいて、引き込み点を変更することで、より効果的に対処を実行可能とすることができる。
　なお、本実施の形態は、ＤＤｏｓ攻撃に係る攻撃通信の経路を特定する例について説明したが、他の特定の通信に関する経路の特定に関して本実施の形態が適用されてもよい。
　また、上記では、ルータが転送装置の一例である例について説明したが、スイッチ等、ルータ以外の転送装置に関して本実施の形態が適用されてもよい。
　なお、本実施の形態において、制御装置１０は、攻撃対処箇所選択装置の一例である。攻撃経路状況確認部１１は、取得部の一例である。対処箇所選択部１２は、選択部の一例である。
　以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
１０　　　　　制御装置
１１　　　　　攻撃経路状況確認部
１２　　　　　対処箇所選択部
１３　　　　　攻撃情報受信部
１４　　　　　制御部
１５　　　　　経路情報受信部
１６　　　　　経路特定部
２１　　　　　被制御部
２２　　　　　パケット受信部
２３　　　　　アドレス記録部
２４　　　　　経路情報送信部
２５　　　　　パケット転送部
２６　　　　　制御情報記憶部
３０　　　　　セキュリティ装置
４０　　　　　フローコレクタ
５０　　　　　経路制御装置
６０　　　　　防御装置
１００　　　　ドライブ装置
１０１　　　　記録媒体
１０２　　　　補助記憶装置
１０３　　　　メモリ装置
１０４　　　　ＣＰＵ
１０５　　　　インタフェース装置
１１２　　　　攻撃情報記憶部
１１３　　　　経路情報記憶部
Ｂ　　　　　　バス
Ｒ１、Ｒ２、Ｒ３、Ｒ４、Ｒ５、Ｒ６、Ｒ７、Ｒ８　ルータ
Ｘ　　　　　　攻撃元
Ｙ　　　　　　装置

Claims (7)

  1. 　攻撃トラフィックの経路に係る複数の第１の転送装置のそれぞれのトラフィック量を取得する取得部と、
    　前記各第１の転送装置のトラフィック量と前記攻撃トラフィックに対処する防御装置が対処可能なトラフィック量の上限値との比較に基づいて前記複数の第１の転送装置から抽出される各第２の転送装置に対して、それぞれのトラフィック量に基づく優先順位を付与し、前記優先順位において最上位の第３の転送装置を、前記防御装置へのトラフィックの引き込み点として選択する選択部と、
    を有することを特徴とする攻撃対処箇所選択装置。
  2. 　前記選択部は、前記第１の転送装置のうち、トラフィック量が前記防御装置が対処可能なトラフィック量の上限値未満である前記各第２の転送装置に対して、トラフィック量の降順に前記優先順位を付与する、
    ことを特徴とする請求項１記載の攻撃対処箇所選択装置。
  3. 　前記選択部は、前記第３の転送装置から前記防御装置へトラフィックが引き込まれている状態において、前記優先順位において前記第３の転送装置の次の第４の転送装置のトラフィック量と、前記防御装置による前記攻撃トラフィックに対する実際の対処量との比較に基づいて、前記第４の転送装置を新たな引き込み点として選択する、
    ことを特徴とする請求項２記載の攻撃対処箇所選択装置。
  4. 　前記選択部は、前記第１の転送装置のうち、トラフィック量が前記防御装置が対処可能なトラフィック量の上限値以上である前記各第２の転送装置に対して、トラフィック量の昇順に前記優先順位を付与する、
    ことを特徴とする請求項１記載の攻撃対処箇所選択装置。
  5. 　前記選択部は、前記第３の転送装置から前記防御装置へトラフィックが引き込まれている状態において、前記第３の転送装置と前記防御装置との間のトラフィック量に対する、前記防御装置による前記攻撃トラフィックに対する実際の対処量の比と、前記優先順位において前記第３の転送装置の次の第４の転送装置と前記防御装置との間のトラフィック量の推定値に対する、前記対処量の推定値の比との比較に基づいて、前記第４の転送装置を新たな引き込み点として選択する、
    ことを特徴とする請求項４記載の攻撃対処箇所選択装置。
  6. 　前記選択部は、前記第４の転送装置から前記防御装置へトラフィックが引き込まれている状態における前記防御装置による実際の前記対処量と、前記第３の転送装置から前記防御装置へトラフィックが引き込まれていた状態における前記防御装置による実際の前記対処量との比較に応じて、前記第３の転送装置を新たな引き込み点として選択する、
    ことを特徴とする請求項５記載の攻撃対処箇所選択装置。
  7. 　攻撃トラフィックの経路に係る複数の第１の転送装置のそれぞれのトラフィック量を取得する取得手順と、
    　前記各第１の転送装置のトラフィック量と前記攻撃トラフィックに対処する防御装置が対処可能なトラフィック量の上限値との比較に基づいて前記複数の第１の転送装置から抽出される各第２の転送装置に対して、それぞれのトラフィック量に基づく優先順位を付与し、前記優先順位において最上位の第３の転送装置を、前記防御装置へのトラフィックの引き込み点として選択する選択手順と、
    をコンピュータが実行することを特徴とする攻撃対処箇所選択方法。
PCT/JP2019/025609 2018-07-17 2019-06-27 攻撃対処箇所選択装置及び攻撃対処箇所選択方法 WO2020017272A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/256,089 US11843615B2 (en) 2018-07-17 2019-06-27 Attack response point selecting apparatus and attack response point selecting method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018134262A JP6939726B2 (ja) 2018-07-17 2018-07-17 攻撃対処箇所選択装置及び攻撃対処箇所選択方法
JP2018-134262 2018-07-17

Publications (1)

Publication Number Publication Date
WO2020017272A1 true WO2020017272A1 (ja) 2020-01-23

Family

ID=69164016

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/025609 WO2020017272A1 (ja) 2018-07-17 2019-06-27 攻撃対処箇所選択装置及び攻撃対処箇所選択方法

Country Status (3)

Country Link
US (1) US11843615B2 (ja)
JP (1) JP6939726B2 (ja)
WO (1) WO2020017272A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112968891A (zh) * 2021-02-19 2021-06-15 山东英信计算机技术有限公司 网络攻击防御方法、装置及计算机可读存储介质

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6939726B2 (ja) * 2018-07-17 2021-09-22 日本電信電話株式会社 攻撃対処箇所選択装置及び攻撃対処箇所選択方法
JP7079721B2 (ja) * 2018-12-05 2022-06-02 アラクサラネットワークス株式会社 ネットワーク異常検知装置、ネットワーク異常検知システム及びネットワーク異常検知方法
JP7074739B2 (ja) * 2019-10-21 2022-05-24 矢崎総業株式会社 脆弱性評価装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006043371A1 (ja) * 2004-10-21 2006-04-27 Nippon Telegraph And Telephone Corporation 防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システム
JP2007129482A (ja) * 2005-11-02 2007-05-24 Nippon Telegr & Teleph Corp <Ntt> ネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラム
JP2017147516A (ja) * 2016-02-15 2017-08-24 日本電信電話株式会社 ＤＤｏＳ攻撃情報共有装置、動作方法及びプログラム

Family Cites Families (49)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6779039B1 (en) * 2000-03-31 2004-08-17 Avaya Technology Corp. System and method for routing message traffic using a cluster of routers sharing a single logical IP address distinct from unique IP addresses of the routers
AU2002304386A1 (en) * 2001-06-27 2003-03-03 Nokia Corporation Method and system for efficient management and transport of traffic over a network
CA2418923C (en) * 2002-02-21 2009-10-27 Nippon Telegraph And Telephone Corporation A node, an optical/electrical path integrated network using the node, and a program which controls the node
WO2003073701A1 (en) * 2002-02-22 2003-09-04 The Trustees Of The University Of Pennsylvania System and method for distributing traffic in a network
JP4556592B2 (ja) * 2003-10-02 2010-10-06 パナソニック株式会社 ルータ選択方法及びルータ装置
US20070008884A1 (en) * 2003-10-08 2007-01-11 Bob Tang Immediate ready implementation of virtually congestion free guarantedd service capable network
US7895299B2 (en) * 2003-12-19 2011-02-22 Solace Systems, Inc. Dynamic links in content-based networks
US7991852B2 (en) * 2004-01-22 2011-08-02 Alcatel-Lucent Usa Inc. Network architecture and related methods for surviving denial of service attacks
US7925766B2 (en) * 2004-02-18 2011-04-12 At&T Intellectual Property Ii, L.P. Method for distributed denial-of-service attack mitigation by selective black-holing in MPLS VPNS
JP2006350561A (ja) * 2005-06-14 2006-12-28 Matsushita Electric Ind Co Ltd 攻撃検出装置
US7904586B1 (en) * 2005-12-29 2011-03-08 At&T Intellectual Property Ii, L.P. Traffic engineering method with tunable inter-domain egress selection
US7512408B2 (en) * 2006-02-16 2009-03-31 Softwired Ag Scalable wireless messaging system
US8069216B2 (en) * 2006-12-08 2011-11-29 Motorola Solutions, Inc. Method and apparatus for alerting nodes of a malicious node in a mobile ad-hoc communication system
US7904589B2 (en) * 2007-05-19 2011-03-08 At&T Intellectual Property I, Lp Intelligent computer network routing using logically centralized, physically distributed servers distinct from network routers
US7831701B2 (en) * 2007-10-27 2010-11-09 At&T Mobility Ii Llc Cascading policy management deployment architecture
US8761022B2 (en) * 2007-12-26 2014-06-24 Rockstar Consortium Us Lp Tie-breaking in shortest path determination
JP5212182B2 (ja) * 2009-03-03 2013-06-19 富士通株式会社 ルータ、パケットルーティングプログラム、およびパケットルーティング方法
JP5111446B2 (ja) * 2009-06-05 2013-01-09 西日本電信電話株式会社 通信管理装置、通信管理方法
JP5283581B2 (ja) * 2009-07-22 2013-09-04 三菱電機株式会社 中継通信装置
US8248951B2 (en) * 2009-09-11 2012-08-21 At&T Intellectual Property I, Lp Methods and apparatus to manage bypass paths in an internet protocol (IP) network
US8331371B2 (en) * 2009-12-17 2012-12-11 Amazon Technologies, Inc. Distributed routing architecture
JP5561006B2 (ja) * 2010-08-05 2014-07-30 富士通株式会社 データ転送装置、データ受信装置、データ転送方法、およびデータ転送プログラム
JP5238793B2 (ja) * 2010-11-17 2013-07-17 西日本電信電話株式会社 通信管理装置、通信管理方法
US8966622B2 (en) * 2010-12-29 2015-02-24 Amazon Technologies, Inc. Techniques for protecting against denial of service attacks near the source
JP5966703B2 (ja) * 2012-07-10 2016-08-10 富士通株式会社 ルータ装置、通信システム及びパケット転送方法
US8611355B1 (en) * 2013-09-03 2013-12-17 tw telecom holdings inc. Buffer-less virtual routing
US9560072B1 (en) * 2013-10-31 2017-01-31 Palo Alto Networks, Inc. Discovering and selecting candidates for sinkholing of network domains
JP6194775B2 (ja) * 2013-11-18 2017-09-13 富士通株式会社 ノード装置、データ中継方法、及び、プログラム
US9660886B1 (en) * 2014-03-07 2017-05-23 Google Inc. Scalable network route analysis
US9893988B2 (en) * 2014-03-27 2018-02-13 Nicira, Inc. Address resolution using multiple designated instances of a logical router
US10021028B2 (en) * 2014-06-16 2018-07-10 International Business Machines Corporation Controlling incoming traffic
US8964596B1 (en) * 2014-08-29 2015-02-24 Level 3 Communications, Llc Network service aware routers, and applications thereof
CN106161333B (zh) * 2015-03-24 2021-01-15 华为技术有限公司 基于sdn的ddos攻击防护方法、装置及系统
KR20160139591A (ko) * 2015-05-28 2016-12-07 삼성에스디에스 주식회사 라우팅 방법 및 그 장치
US11252199B2 (en) * 2015-07-15 2022-02-15 Oracle International Corporation Redirecting packets in an autonomous system
US10148741B2 (en) * 2015-09-17 2018-12-04 Dell Products L.P. Multi-homing load balancing system
US10412012B2 (en) * 2015-09-22 2019-09-10 Arris Enterprises Llc Intelligent, load adaptive, and self optimizing master node selection in an extended bridge
US10454820B2 (en) * 2015-09-29 2019-10-22 Cisco Technology, Inc. System and method for stateless information-centric networking
US10341259B1 (en) * 2016-05-31 2019-07-02 Amazon Technologies, Inc. Packet forwarding using programmable feature prioritization
CN107623663B (zh) * 2016-07-15 2020-12-15 阿里巴巴集团控股有限公司 处理网络流量的方法及装置
JP6612197B2 (ja) * 2016-08-22 2019-11-27 日本電信電話株式会社 ＤＤｏＳ連携対処装置、ＤＤｏＳ連携対処方法及びプログラム
TWI713332B (zh) * 2017-01-19 2020-12-11 香港商阿里巴巴集團服務有限公司 業務傳輸速率的控制方法及裝置、系統
WO2018148302A1 (en) * 2017-02-07 2018-08-16 Level 3 Communications, Llc System and method for next hop bgp routing in a network
JP6939726B2 (ja) * 2018-07-17 2021-09-22 日本電信電話株式会社 攻撃対処箇所選択装置及び攻撃対処箇所選択方法
DE102018130588B4 (de) * 2018-11-30 2020-12-03 DE-CIX Management GmbH Computerimplementiertes Verfahren zur Abwehr oder Abmilderung von DDoS-Angriffen auf IT-Infrastrukturen
JP2021040190A (ja) * 2019-08-30 2021-03-11 富士通株式会社 ネットワーク管理装置及びネットワーク管理方法
US11706625B2 (en) * 2020-09-03 2023-07-18 Cisco Technology, Inc. Malicious black hole node detection and circumvention
CN115208823A (zh) * 2021-04-09 2022-10-18 华为技术有限公司 一种流量转发的方法及装置
US11736400B2 (en) * 2021-08-31 2023-08-22 Arista Networks, Inc. Network traffic engineering with multi-virtual routing and forwarding lookup

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006043371A1 (ja) * 2004-10-21 2006-04-27 Nippon Telegraph And Telephone Corporation 防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システム
JP2007129482A (ja) * 2005-11-02 2007-05-24 Nippon Telegr & Teleph Corp <Ntt> ネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラム
JP2017147516A (ja) * 2016-02-15 2017-08-24 日本電信電話株式会社 ＤＤｏＳ攻撃情報共有装置、動作方法及びプログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"Check point DDoS protector appliance datasheet", CHECK POINT SOFTWARE TECHNOLOGIES, 20 November 2014 (2014-11-20), Retrieved from the Internet <URL:https://www.checkpoint.com/downloads/products/ddos-protector-appliance-datasheet.pdf> [retrieved on 20190719] *
YAGI, TAKESHI ET AL.: "A load balancing method between distributed DDoS attack mitigation systems", PROCEEDINGS OF THE 2007 IEICE GENERAL CONFERENCE COMMUNICATION 2, 20 March 2007 (2007-03-20), pages 208 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112968891A (zh) * 2021-02-19 2021-06-15 山东英信计算机技术有限公司 网络攻击防御方法、装置及计算机可读存储介质

Also Published As

Publication number Publication date
US20210273952A1 (en) 2021-09-02
JP6939726B2 (ja) 2021-09-22
JP2020014089A (ja) 2020-01-23
US11843615B2 (en) 2023-12-12

Similar Documents

Publication Publication Date Title
WO2020017272A1 (ja) 攻撃対処箇所選択装置及び攻撃対処箇所選択方法
JP5958570B2 (ja) ネットワークシステム、コントローラ、スイッチ、及びトラフィック監視方法
US9276852B2 (en) Communication system, forwarding node, received packet process method, and program
US9722926B2 (en) Method and system of large flow control in communication networks
US7729271B2 (en) Detection method for abnormal traffic and packet relay apparatus
EP2622825B1 (en) Deriving quality of service data from a distributed hierarchical naming system
US6801503B1 (en) Progressive and distributed regulation of selected network traffic destined for a network node
Afaq et al. Large flows detection, marking, and mitigation based on sFlow standard in SDN
EP2830265A1 (en) Control device, communication device, communication system, communication method, and program
CN110278152B (zh) 一种建立快速转发表的方法及装置
CN111245740B (zh) 配置业务的服务质量策略方法、装置和计算设备
KR101500251B1 (ko) 통신 시스템, 노드, 패킷 전송 방법 및 프로그램을 기록한 컴퓨터 판독가능 기록 매체
EP2938028B1 (en) Communication node, control device, method for managing control information entries, and program
CN107566298B (zh) 一种生成表项的方法和设备
JP7103883B2 (ja) 通信システム、通信制御方法、及び通信装置
WO2016048389A1 (en) Maximum transmission unit installation for network traffic along a datapath in a software defined network
JP4222565B2 (ja) 輻輳制御方法、輻輳制御装置、タグ付け装置、および、廃棄装置
JP2008211690A (ja) ネットワーク制御方法
JP4871775B2 (ja) 統計情報収集装置
JP6509143B2 (ja) 帯域制御装置及び方法
JP6746541B2 (ja) 転送システム、情報処理装置、転送方法及び情報処理方法
CN115865456A (zh) 一种基于SDN网络的DDoS攻击防御方法、装置和系统
JP2018191210A (ja) パケット中継装置及びパケット中継システム
JP2007235813A (ja) ネットワーク帯域制御システム、管理装置及びネットワーク帯域制御方法
JP2005117214A (ja) パケットフォワーディング回路

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19838436

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19838436

Country of ref document: EP

Kind code of ref document: A1