コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断方法、システム及びコンピュータ読み取り可能な記録媒体
【課題】コンテンツフィルタリングシステムのリソース消費を減少させながらも、優れたＤｏＳ攻撃遮断性能を提供すること。
【解決手段】本発明のＤｏＳ攻撃遮断方法は、パケットレベル遮断システムにより、パケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、パケットを遮断するパケットレベル遮断段階と、コンテンツフィルタリングシステムにより、パケット内部のコンテンツを分析し、分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断する第１の判断段階と、パケットが特定条件を満たすかを確認する第２の判断段階と、第１の判断段階で攻撃基準を満たす場合、パケットを遮断するコンテンツベース遮断段階と、を含み、第２の判断段階は第１の判断段階で攻撃基準を満たす場合に行われ、第２の判断段階で特定条件を満たす場合、ＩＰテーブルにパケットの発信先ＩＰアドレスに関する情報を追加する。
【解決手段】本発明のＤｏＳ攻撃遮断方法は、パケットレベル遮断システムにより、パケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、パケットを遮断するパケットレベル遮断段階と、コンテンツフィルタリングシステムにより、パケット内部のコンテンツを分析し、分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断する第１の判断段階と、パケットが特定条件を満たすかを確認する第２の判断段階と、第１の判断段階で攻撃基準を満たす場合、パケットを遮断するコンテンツベース遮断段階と、を含み、第２の判断段階は第１の判断段階で攻撃基準を満たす場合に行われ、第２の判断段階で特定条件を満たす場合、ＩＰテーブルにパケットの発信先ＩＰアドレスに関する情報を追加する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用してＤｏＳ攻撃を遮断する方法、システム及びコンピュータ読み取り可能な記録媒体に関し、より詳細には、ＤｏＳ攻撃を認識した時、コンテンツフィルタリングシステム及びパケットレベル遮断システムの有機的な連動により、リソースの消費を少なくしながらも優れた性能でＤｏＳ攻撃を遮断するための方法、システム及びコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
インターネットの使用が一般化し、その技術が発達するにつれて生活がより便利になる一方、インターネットを利用したウィルスやハッキングも益々多様化し、発展する傾向を示している。特に最近は、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ；サービス拒否）方式、または複数の分散したコンピュータを一斉に動作させてＤｏＳ方式を利用するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ Ｏｆ Ｓｅｒｖｉｃｅ；分散サービス拒否）などを利用した特定サイトの攻撃が多く発生している。ＤｏＳ方式とは、所定コンピュータの動作によって特定サイトを攻撃する方式であり、ハッカーがサービス攻撃のための道具を予めコンピュータに設け、標的サイトのコンピュータシステムの処理能力を超える大量のパケットを送りつけ、ネットワークの性能を低下させたり、システム資源を枯渇させて麻痺させたりするハッキング方式を意味する。
【０００３】
従って、ユーザは特定サイトに正常にアクセスできなくなり、数多くのコンピュータシステムが運営者も知らないうちにハッキングの宿主に利用される可能性がある。ＤｏＳ攻撃は、一般的に悪質なコードや電子メールなどを利用して一般ユーザのコンピュータを感染させるいわゆるゾンビＰＣにした後、Ｃ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバの制御によって特定時間に行われる。
【０００４】
このようなＤｏＳ攻撃を遮断するために、コンテンツフィルタリングシステムを備え、ＤｏＳ攻撃でみられる特定パターンを把握して、このような特定パターンを有するパケットを全て遮断する方式が利用されている。しかし、特定パターンを把握するためには、パケット内部を全て確認しなければならないため、大量のパケットが一時的に伝達される際にはコンテンツフィルタリングシステムに過負荷が発生してシステムが麻痺する可能性がある。そのため、ＤｏＳ攻撃を遮断するという目的を果たすには物足りない面があった。
【０００５】
また、パケットの伝送ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスのみを把握してパケットの伝達を遮断するパケットレベル遮断システムをＤｏＳ攻撃の遮断のために利用する場合、システム資源のリソース消費は減少するが、該当ＩＰアドレスから伝達されたパケットが正常なパケットであるか否かに関わらず遮断するため、遮断性能が非常に劣り、ＤｏＳ攻撃が終了した後にも特定のＩＰアドレスからのパケットは無条件的に防ぎ続けるという問題が発生する。
【０００６】
従って、ＤｏＳ攻撃が発生する場合、コンテンツフィルタリングシステム及びパケットレベル遮断システムの両方を有機的に連動して、リソース消費を減少させながらも、優れた性能で攻撃を遮断するための方法及びシステムが必要となる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】韓国特許公開２００３−０００９８８７号
【特許文献２】韓国特許公開２００７−００７２３６８号
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明の目的は、上述の従来技術の問題を解決することにある。
【０００９】
本発明の一つの目的は、コンテンツフィルタリングシステムのリソース消費を減少させながらも、優れたＤｏＳ攻撃遮断性能を提供することにある。
【００１０】
また、本発明の他の目的は、コンテンツフィルタリングシステム及びパケットレベル遮断システムを有機的に連動して、より正確性の高いＤｏＳ攻撃遮断機能を提供することにある。
【課題を解決するための手段】
【００１１】
上記のような本発明の目的を果たし、後述する本発明の特有の効果を果たすための本発明の特徴的な構成は下記のとおりである。
【００１２】
本発明の一態様によると、コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断方法は、前記パケットレベル遮断システムにより、受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケットレベル遮断段階と、前記コンテンツフィルタリングシステムにより、前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断する第１の判断段階と、前記コンテンツフィルタリングシステムにより、前記パケットが特定条件を満たすかを確認する第２の判断段階と、前記コンテンツフィルタリングシステムにより、前記攻撃基準を満たす場合、前記パケットを遮断するコンテンツベース遮断段階と、を含み、前記第２の判断段階は前記第１の判断段階で前記攻撃基準を満たす場合に行われ、前記第２の判断段階で前記特定条件を満たす場合、前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスに関する情報を追加する。
【００１３】
本発明の他の態様によると、コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断システムは、受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケット遮断部と、前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断するコンテンツ分析部と、前記コンテンツ分析部の判断結果、前記攻撃基準を満たす場合は前記パケットを遮断し、前記パケットが特定条件を満たすかを確認し、前記特定条件を満たす場合は前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスを追加するコンテンツ遮断部と、を備える。
【発明の効果】
【００１４】
上述のような本発明によると、コンテンツフィルタリングシステムのリソース消費を減少させながらも、優れたＤｏＳ攻撃遮断性能を提供することができる。
【００１５】
また、本発明によると、コンテンツフィルタリングシステム及びパケットレベル遮断システムを有機的に連動して、より正確性の高いＤｏＳ攻撃遮断機能を提供することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態によるＤｏＳ攻撃遮断システムを含む全体システムの全体構成を概略的に示す図面である。
【図２】本発明の一実施形態によるＤｏＳ攻撃遮断システムの詳細構成図である。
【図３】本発明の一実施形態によるＤｏＳ攻撃遮断システムの内部のコンテンツフィルタリングシステムの詳細構成図である。
【図４】本発明の一実施形態によるＤｏＳ攻撃遮断システムの動作を示すフローチャートである。
【発明を実施するための形態】
【００１７】
後述する本発明についての詳細な説明は、本発明が実施できる特定の実施形態を例示として示す添付の図面を参照する。これらの実施形態は、当業者が本発明を十分に実施することができるように詳細に説明される。本発明の多様な実施形態は、互いに異なるが、相互排他的な必要はないことを理解すべきである。例えば、ここに記載されている特定の形状、構造及び特徴は、一実施形態に関連して本発明の思想及び範囲を外れずに他の実施形態に実現することができる。また、それぞれの開示された実施形態内の個別構成要素の位置または配置は、本発明の思想及び範囲を外れずに変更することができることを理解するべきである。従って、後述する詳細な説明は限定的な意味で扱うものでなく、本発明の範囲は、適切に説明されるならば、その請求範囲が主張するものと均等な全ての範囲と共に、添付した請求範囲によってのみ限定される。図面において、類似の参照符号は、様々な側面にわたって同一または類似の機能を示す。
【００１８】
以下、本発明が属する技術分野において通常の知識を有する者が本発明を容易に実施できるように、本発明の好ましい実施形態について添付の図面を参照して詳細に説明する。
【００１９】
［本発明の好ましい実施形態]
本発明の実施形態において、用語「ＤｏＳ」は、特定のシステムを悪意的に攻撃して該当システムの資源を足りなくして、元々意図された用途に使用できなくする全ての攻撃方式を含む広義の意味に解釈されなければならない。従って、ＤｏＳはその類型に応じて、一つのコンピュータの動作による方式であることもでき、または多数のコンピュータを分散して配置し、同時に攻撃するＤＤｏＳ方式であることもできるが、必ずしも上記の例に限定されるものではない。
【００２０】
全体システムの構成
図１は本発明の一実施形態により、ＤｏＳ攻撃遮断システムを含む全体システムの全体構成を概略的に示す図面である。
【００２１】
図１に図示されているように、本発明の一実施形態による全体システムは、悪質なコードなどにより感染された多数のゾンビＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）１００と、ゾンビＰＣ１００からのＤｏＳ攻撃を遮断するＤｏＳ攻撃遮断システム３００と、ユーザにサービスを提供するサービスシステム４００と、が通信網２００を介して接続している。
【００２２】
まず、本発明の一実施形態によると、ゾンビＰＣ１００は、悪質なコードなどに感染したコンピュータを意味する。通信網で接続している如何なるコンピュータも、悪質なコードにより感染するとゾンビＰＣ１００として動作することもあり、一般的に、電子メールの添付ファイルを開く過程、出所の不明なＡｃｔｉｖｅ Ｘをダウンロードして設ける過程、または感染したＵＳＢメモリなどの外部記憶デバイスを接続する過程などで悪質なコードに感染し、後でＣ＆Ｃサーバの制御によって、または感染された悪質なコードの内部に記載された内容によって、指定された目標のために特定の時点にＤｏＳ攻撃を行う。
【００２３】
また、本発明の一実施形態によると、通信網２００は、有線及び無線などのようなその通信形態を問わず構成することができ、パーソナルエリアネットワーク（ＰＡＮ；Ｐｅｒｓｏｎａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ローカルエリアネットワーク（ＬＡＮ；Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、メトロポリタンエリアネットワーク（ＭＡＮ；Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋ）、広域ネットワーク（ＷＡＮ；Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）など、多様な通信網で構成することができる。
【００２４】
一方、本発明の一実施形態によると、ＤｏＳ攻撃遮断システム３００は、通信網２００を介してサービスシステム４００に与えられる多数のゾンビＰＣ１００からの攻撃を、中間でコンテンツフィルタリングシステム及びパケットレベル遮断システムの有機的な連動によって遮断するシステムを意味する。ＤｏＳ攻撃遮断システム３００の詳細な構成要素及び動作方式については後述する。
【００２５】
最後に、本発明の一実施形態によると、サービスシステム４００は、ユーザに多様なサービスを提供するシステムを意味する。サービスの一例としては、ウェブサービス、メールサービスなどが挙げられ、この場合サービスシステム４００はそれぞれウェブサーバ、メールサーバを含んでもよい。その他にも、通信網２００を介して多数のユーザに提供できるサービスを提供するものであれば、サービスシステム４００の範囲内に含まれる。
【００２６】
ＤｏＳ攻撃遮断システムの詳細構成
図２は本発明の一実施形態によるＤｏＳ攻撃遮断システム３００の詳細構成図である。
【００２７】
図２を参照すると、本発明の一実施形態によるＤｏＳ攻撃遮断システム３００は、パケットレベル遮断システム３１０及びコンテンツフィルタリングシステム３２０を含んでもよい。図２は本発明の一実施形態を説明するための構成要素のみを簡単且つ抽象的に図示した図面であるため、ＤｏＳ攻撃遮断システム３００はこの他にも、ゾンビＰＣ１００からのＤｏＳ攻撃を遮断するために必要な機能を実行する他の構成要素も含むことができるということが理解されるべきである。
【００２８】
パケットレベル遮断システム３１０は、通信網２００を介して伝達されるパケットが、遮断が必要な特定のＩＰアドレスから伝達されることを確認した場合、サービスシステム４００に伝達せずにそのまま遮断する機能を実行する。即ち、パケットレベル遮断システム３１０は、伝達されるパケットのうちＩＰヘッダ部分に記載された発信先ＩＰアドレス（Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ）を分析し、発信先ＩＰアドレスが、遮断が必要な特定のＩＰアドレスであるかを確認して遮断の要否を決定することができるため、ＯＳＩの７階層モデル（７ ｌａｙｅｒ ｍｏｄｅｌ ｆｏｒ ＯＳＩ）を参照して、インターネット層（Ｉｎｔｅｒｎｅｔ ｌａｙｅｒ）でパケットを遮断することができる機能を有するものであれば、パケットレベル遮断システム３１０（例えばルータ）として用いることができる。パケットレベル遮断システム３１０でパケットを遮断する場合、それ以上のパケット分析が必要でないため、全体的な、またその後の段階に存在するコンテンツフィルタリングシステム３２０のリソースの消費は減少するが、特定のＩＰアドレスから伝達されるパケットの場合、攻撃を目的とするものであるか或いは正常な要求であるかに関わらず無条件的に遮断するため、遮断の正確性は低下する欠点がある。パケットレベル遮断システム３１０のうちＩＰテーブル３１２は遮断が必要なＩＰアドレスを含む表であり、ＩＰテーブル３１２には、基本的に遮断すべきＩＰアドレスの他にも、遮断が持続されなければならない有効時間に関する情報などをさらに含んでもよい。従って、パケット遮断部３１１は、特定のパケットが伝達された場合、パケットのヘッダに記載された目的地アドレスとＩＰテーブル３１２に記載されたＩＰアドレスとを比較し、一致するＩＰアドレスが存在する場合はそのパケットを遮断する。ここで、比較するＩＰテーブル３１２上のＩＰアドレスは、その有効時間に関する情報を参照し、有効時間が経過していない、即ち、有効であって遮断が必要なＩＰアドレスのみをその対象としてもよい。本発明の他の実施形態によると、ＩＰテーブル３１２に記載の遮断すべきＩＰアドレスに対する有効時間に関する情報を管理し、有効時間が経過した時は該当するＩＰアドレスをＩＰテーブル３１２から削除または非活性化（例えば、特定のフラグ（ｆｌａｇ）値を変更する方式など）して、パケットレベル遮断システム３１０で遮断されないようにする別の構成要素が存在してもよい。ＩＰテーブル３１２上に遮断が必要なＩＰアドレスを追加する機能は、コンテンツフィルタリングシステム３２０により実行してもよい。
【００２９】
次に、図３を参照して本発明の一実施形態により図示されたコンテンツフィルタリングシステム３２０の詳細な構成をより詳細に説明すると、コンテンツフィルタリングシステム３２０は、コンテンツ分析部３２１と、コンテンツ遮断部３２２と、リソースモニタリング部３２３と、を含んでもよい。
【００３０】
コンテンツ分析部３２１は、パケットレベル遮断システム３１０を経て伝達されたパケットのコンテンツを分析する機能を実行する。一例として、パケットがＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）を使用する場合、コンテンツ分析部３２１はＴＣＰセッションを確立させるために、基本的にＳＹＮパケットを受信し、ＳＹＮ＿Ｒｅｃｅｉｖｅｄパケットを伝送した後にさらにＡＣＫパケットを受信する、少なくとも三つのパケットを送受信してそのセッションが確立され、その後に伝送されるパケットを利用してその内部のコンテンツ分析を行う。コンテンツ分析部３２１は、分析により内部コンテンツが指定された特定の文字列または特定のパターンを含むか否かを確認する。
【００３１】
特定の文字列または特定のパターンは、ＤｏＳ攻撃が有する共通する特徴に該当するものであり、例示的に、ゾンビＰＣ１００がウェブサービスを提供するサービスシステム４００を対象としてＤｏＳ攻撃を行う際、その攻撃の特徴は以下の表１のようなものであってもよい。
【００３２】
【表１】
【００３３】
即ち、ＤｏＳ攻撃の特徴の一つとして、ゾンビＰＣ１００が送りつけるパケットは、ＯＳＩの７階層モデルのうちアプリケーション層（ａｐｐｌｉｃａｔｉｏｎ ｌａｙｅｒ）であるＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ヘッダのうちクライアントソフトウェアの名前とバージョンなどの情報を有するＵｓｅｒ−Ａｇｅｎｔが表１の五種類のうち一つに該当する可能性があるため、コンテンツ分析部３２１は、伝送される内部パケットを分析し、ＨＴＴＰヘッダのＵｓｅｒ−Ａｇｅｎｔが表１の文字列のうち何れか一つを含むか否かを判断して、ＤｏＳ攻撃の有無及びパケット遮断の要否を決定することができる。但し、表１は例示的なものに過ぎず、特定の文字列または特定のパターンはＤｏＳ攻撃の種類によって変わってもよく、パケット遮断の要否を決定する場合において利用される特定の文字列または特定のパターンのリストは、周期的にアップデートして別のデータベース（図示せず）に保存してもよい。
【００３４】
コンテンツ遮断部３２２は、コンテンツ分析部３２１によってＤｏＳ攻撃であると判断したパケットを遮断する。また、コンテンツ分析部３２１によってＤｏＳ攻撃であると判断したパケットの発信先ＩＰアドレスを獲得して特定条件が成立するか否かを判断し、成立する場合は発信先ＩＰアドレスをパケットレベル遮断システム３１０のＩＰテーブル３１２にアップデート（追加）する。この際、有効時間に関する情報（例えばＩＰテーブルに追加してから５分間など）をさらに設定してもよい。特定条件の一例として、同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃であると判断されたパケットが所定数以上であると確認された場合、またはリソースモニタリング部３２３から受信したリソース占有率が一定値以上である場合などが挙げられるが、必ずしもこれに限定されるものではない。
【００３５】
リソースモニタリング部３２３は、コンテンツフィルタリングシステム３２０全体のリソース占有率を継続的に確認し、リソース占有率が一定値以上に上がると、そのことをコンテンツ遮断部３２２に通知して過負荷によるシステムの麻痺を防ぐ。
【００３６】
図２及び図３でのパケットレベル遮断システム３１０、コンテンツフィルタリングシステム３２０内のコンテンツ分析部３２１、コンテンツ遮断部３２２及びリソースモニタリング部３２３は、物理的に一つのコンピュータ内で実現されてもよく、一部またはそのそれぞれが物理的に異なるコンピュータで実現されてもよく、同様の機能をする物理的に複数のコンピュータが並列に存在してもよい。このように、本発明は、各構成部が設けられたコンピュータの物理的な数及び位置に限定されず、多様な方式に設計変更することができるということは、本発明が属する技術分野において通常の知識を有する者に自明である。
【００３７】
ＤｏＳ攻撃遮断システムの動作
図４は本発明の一実施形態によるＤｏＳ攻撃遮断システムの動作を示すフローチャートである。
【００３８】
図４に例示された一実施形態によると、パケットレベル遮断システム３１０は、通信網２００を介してサービスシステム４００を目的地とするパケットを受信する（Ｓ１００）。
【００３９】
その後、パケットレベル遮断システム３１０のパケット遮断部３１１は、ＩＰテーブル３１２を参照して、受信したパケットが、遮断が必要なパケットであるか否かを判断する（Ｓ１１０）。具体的には、受信したパケットの発信先ＩＰアドレスがＩＰテーブル３１２上のＩＰアドレスと一致するか否かを確認して遮断の要否を判断する。ここで、有効に掲載されたＩＰアドレスは、追加情報である有効時間に関する情報によって遮断が必要なＩＰアドレスを含む。
【００４０】
もし、パケット遮断部３１１によって遮断が必要であると判断されると、該当パケットを遮断（Ｓ１２０）した後、次のパケットを受信する。
【００４１】
もし、パケット遮断部３１１によって遮断が必要でないと判断されると、コンテンツフィルタリングシステム３２０のコンテンツ分析部３２１が、受信したパケット内部のコンテンツを分析する（Ｓ１３０）。ここで、コンテンツ分析とは、上述したように、パケット内部のデータを分析して、ＤｏＳ攻撃が有する特徴的な特定の文字列または特定のパターンを含むか否かを確認することを含む。
【００４２】
コンテンツ分析により、受信したパケットがＤｏＳ攻撃のためのパケットであるかを判断し（Ｓ１４０）、正常なパケットであると判断される場合には、該当パケットを正常にサービスシステム４００に伝送する（Ｓ１７０）。
【００４３】
もし、コンテンツ分析により、受信したパケットがＤｏＳ攻撃のためのパケットであると判断される場合には、特定条件を満たすか否かをさらに判断する（Ｓ１５０）。ここで、特定条件の例としては、上述したように、同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃であると判断されたパケットが予め定められた所定数以上と確認された場合、またはリソースモニタリング部３２３から受信したリソース占有率が予め定められた一定数値以上である場合などが挙げられるが、必ずしもこれに限定されるものではない。判断の結果、特定条件を満たさない場合には受信したパケットのみを遮断して終了するが、特定条件を満たす場合には、コンテンツ遮断部３２２は、受信したパケットに含まれた発信先ＩＰアドレス情報を有効時間に関する情報とともにＩＰテーブル３１２に追加するようにＩＰテーブル３１２を変更することにより（Ｓ１６０）、今後同一のＩＰアドレスから攻撃するパケットは有効時間の間に段階Ｓ１１０及びＳ１２０によって遮断されるようにする。これにより、コンテンツフィルタリングシステム３２０のリソース占有率を低めることができるだけでなく、有効時間の経過時、パケットのコンテンツを分析して遮断の要否を決定するため、正確性が高く、優れたＤｏＳ攻撃遮断機能を提供することができる。
【００４４】
本発明の他の実施形態によると、コンテンツ分析により、受信されたパケットがＤｏＳ攻撃のためのパケットであるかを判断（Ｓ１４０）し、もし受信されたパケットがＤｏＳ攻撃のためのパケットであると判断される場合には、特定条件を満たすかを判断する段階Ｓ１５０の前に、該当パケットを遮断（Ｓ１２０）した後、遮断されたパケットが特定条件を満たすか否かを再度判断（Ｓ１５０）するように、その順序を変更してもよい。段階Ｓ１５０の判断の結果、特定条件を満たさない場合には既に受信したパケットは遮断したためそのまま終了し、特定条件を満たす場合には、コンテンツ遮断部３２２は、受信したパケットに含まれた発信先ＩＰアドレス情報を有効時間に関する情報とともにＩＰテーブル３１２に追加するように、ＩＰテーブル３１２を変更して（Ｓ１６０）終了してもよい。
【００４５】
本発明による実施形態は、 多様なコンピュータ手段によって実行可能なプログラム命令の形態で実現可能であり、コンピュータ読み取り可能な媒体に記録することができる。前記コンピュータ読み取り可能な媒体は、プログラム命令、データファイル、データ構造などを単独に、または組み合わせて含んでもよい。媒体に記録されるプログラム命令は、本発明のために特別に設計及び構成されたものであってもよく、コンピュータソフトウェア分野の当業者に公知されて使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例としては、ハードディスク、フロッピー（登録商標）ディスク及び磁気テープなどの磁気媒体（Ｍａｇｎｅｔｉｃ Ｍｅｄｉａ）、ＣＤ−ＲＯＭ、ＤＶＤなどの光記録媒体（Ｏｐｔｉｃａｌ Ｍｅｄｉａ）、フロプティカルディスク（Ｆｌｏｐｔｉｃａｌ Ｄｉｓｋ）などの磁気−光媒体（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌ Ｍｅｄｉａ）、及びＲＯＭ、ＲＡＭ、フラッシュメモリなどの、プログラム命令を保存及び実行するように特に構成されたハードウェア装置が含まれる。プログラム命令の例としては、コンパイラーによって作われるもののような機械語コードだけでなく、インタープリターなどを用いてコンピュータによって実行されることができる高級言語コードを含む。前記ハードウェア装置は、本発明の動作を行うために一つ以上のソフトウェアモジュールとして作動するように構成されることができ、その逆も同様である。
【００４６】
以上のように本発明では、具体的な構成要素などのような特定事項と限定された実施形態及び図面によって説明したが、これは本発明の全般的な理解をより容易にするために提供されたものに過ぎず、本発明は上記の実施形態に限定されるものではなく、本発明が属する分野において通常の知識を有する者であれば、このような記載から多様な修正及び変形が可能である。
【００４７】
従って、本発明の思想は、説明された実施形態に限って決まってはならず、添付する特許請求の範囲だけでなく、この特許請求の範囲と均等または等価的変形がある全てのものなどは本発明の思想の範囲に属するといえる。
【技術分野】
【０００１】
本発明は、コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用してＤｏＳ攻撃を遮断する方法、システム及びコンピュータ読み取り可能な記録媒体に関し、より詳細には、ＤｏＳ攻撃を認識した時、コンテンツフィルタリングシステム及びパケットレベル遮断システムの有機的な連動により、リソースの消費を少なくしながらも優れた性能でＤｏＳ攻撃を遮断するための方法、システム及びコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
インターネットの使用が一般化し、その技術が発達するにつれて生活がより便利になる一方、インターネットを利用したウィルスやハッキングも益々多様化し、発展する傾向を示している。特に最近は、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ；サービス拒否）方式、または複数の分散したコンピュータを一斉に動作させてＤｏＳ方式を利用するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ Ｏｆ Ｓｅｒｖｉｃｅ；分散サービス拒否）などを利用した特定サイトの攻撃が多く発生している。ＤｏＳ方式とは、所定コンピュータの動作によって特定サイトを攻撃する方式であり、ハッカーがサービス攻撃のための道具を予めコンピュータに設け、標的サイトのコンピュータシステムの処理能力を超える大量のパケットを送りつけ、ネットワークの性能を低下させたり、システム資源を枯渇させて麻痺させたりするハッキング方式を意味する。
【０００３】
従って、ユーザは特定サイトに正常にアクセスできなくなり、数多くのコンピュータシステムが運営者も知らないうちにハッキングの宿主に利用される可能性がある。ＤｏＳ攻撃は、一般的に悪質なコードや電子メールなどを利用して一般ユーザのコンピュータを感染させるいわゆるゾンビＰＣにした後、Ｃ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバの制御によって特定時間に行われる。
【０００４】
このようなＤｏＳ攻撃を遮断するために、コンテンツフィルタリングシステムを備え、ＤｏＳ攻撃でみられる特定パターンを把握して、このような特定パターンを有するパケットを全て遮断する方式が利用されている。しかし、特定パターンを把握するためには、パケット内部を全て確認しなければならないため、大量のパケットが一時的に伝達される際にはコンテンツフィルタリングシステムに過負荷が発生してシステムが麻痺する可能性がある。そのため、ＤｏＳ攻撃を遮断するという目的を果たすには物足りない面があった。
【０００５】
また、パケットの伝送ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスのみを把握してパケットの伝達を遮断するパケットレベル遮断システムをＤｏＳ攻撃の遮断のために利用する場合、システム資源のリソース消費は減少するが、該当ＩＰアドレスから伝達されたパケットが正常なパケットであるか否かに関わらず遮断するため、遮断性能が非常に劣り、ＤｏＳ攻撃が終了した後にも特定のＩＰアドレスからのパケットは無条件的に防ぎ続けるという問題が発生する。
【０００６】
従って、ＤｏＳ攻撃が発生する場合、コンテンツフィルタリングシステム及びパケットレベル遮断システムの両方を有機的に連動して、リソース消費を減少させながらも、優れた性能で攻撃を遮断するための方法及びシステムが必要となる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】韓国特許公開２００３−０００９８８７号
【特許文献２】韓国特許公開２００７−００７２３６８号
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明の目的は、上述の従来技術の問題を解決することにある。
【０００９】
本発明の一つの目的は、コンテンツフィルタリングシステムのリソース消費を減少させながらも、優れたＤｏＳ攻撃遮断性能を提供することにある。
【００１０】
また、本発明の他の目的は、コンテンツフィルタリングシステム及びパケットレベル遮断システムを有機的に連動して、より正確性の高いＤｏＳ攻撃遮断機能を提供することにある。
【課題を解決するための手段】
【００１１】
上記のような本発明の目的を果たし、後述する本発明の特有の効果を果たすための本発明の特徴的な構成は下記のとおりである。
【００１２】
本発明の一態様によると、コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断方法は、前記パケットレベル遮断システムにより、受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケットレベル遮断段階と、前記コンテンツフィルタリングシステムにより、前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断する第１の判断段階と、前記コンテンツフィルタリングシステムにより、前記パケットが特定条件を満たすかを確認する第２の判断段階と、前記コンテンツフィルタリングシステムにより、前記攻撃基準を満たす場合、前記パケットを遮断するコンテンツベース遮断段階と、を含み、前記第２の判断段階は前記第１の判断段階で前記攻撃基準を満たす場合に行われ、前記第２の判断段階で前記特定条件を満たす場合、前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスに関する情報を追加する。
【００１３】
本発明の他の態様によると、コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断システムは、受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケット遮断部と、前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断するコンテンツ分析部と、前記コンテンツ分析部の判断結果、前記攻撃基準を満たす場合は前記パケットを遮断し、前記パケットが特定条件を満たすかを確認し、前記特定条件を満たす場合は前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスを追加するコンテンツ遮断部と、を備える。
【発明の効果】
【００１４】
上述のような本発明によると、コンテンツフィルタリングシステムのリソース消費を減少させながらも、優れたＤｏＳ攻撃遮断性能を提供することができる。
【００１５】
また、本発明によると、コンテンツフィルタリングシステム及びパケットレベル遮断システムを有機的に連動して、より正確性の高いＤｏＳ攻撃遮断機能を提供することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態によるＤｏＳ攻撃遮断システムを含む全体システムの全体構成を概略的に示す図面である。
【図２】本発明の一実施形態によるＤｏＳ攻撃遮断システムの詳細構成図である。
【図３】本発明の一実施形態によるＤｏＳ攻撃遮断システムの内部のコンテンツフィルタリングシステムの詳細構成図である。
【図４】本発明の一実施形態によるＤｏＳ攻撃遮断システムの動作を示すフローチャートである。
【発明を実施するための形態】
【００１７】
後述する本発明についての詳細な説明は、本発明が実施できる特定の実施形態を例示として示す添付の図面を参照する。これらの実施形態は、当業者が本発明を十分に実施することができるように詳細に説明される。本発明の多様な実施形態は、互いに異なるが、相互排他的な必要はないことを理解すべきである。例えば、ここに記載されている特定の形状、構造及び特徴は、一実施形態に関連して本発明の思想及び範囲を外れずに他の実施形態に実現することができる。また、それぞれの開示された実施形態内の個別構成要素の位置または配置は、本発明の思想及び範囲を外れずに変更することができることを理解するべきである。従って、後述する詳細な説明は限定的な意味で扱うものでなく、本発明の範囲は、適切に説明されるならば、その請求範囲が主張するものと均等な全ての範囲と共に、添付した請求範囲によってのみ限定される。図面において、類似の参照符号は、様々な側面にわたって同一または類似の機能を示す。
【００１８】
以下、本発明が属する技術分野において通常の知識を有する者が本発明を容易に実施できるように、本発明の好ましい実施形態について添付の図面を参照して詳細に説明する。
【００１９】
［本発明の好ましい実施形態]
本発明の実施形態において、用語「ＤｏＳ」は、特定のシステムを悪意的に攻撃して該当システムの資源を足りなくして、元々意図された用途に使用できなくする全ての攻撃方式を含む広義の意味に解釈されなければならない。従って、ＤｏＳはその類型に応じて、一つのコンピュータの動作による方式であることもでき、または多数のコンピュータを分散して配置し、同時に攻撃するＤＤｏＳ方式であることもできるが、必ずしも上記の例に限定されるものではない。
【００２０】
全体システムの構成
図１は本発明の一実施形態により、ＤｏＳ攻撃遮断システムを含む全体システムの全体構成を概略的に示す図面である。
【００２１】
図１に図示されているように、本発明の一実施形態による全体システムは、悪質なコードなどにより感染された多数のゾンビＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）１００と、ゾンビＰＣ１００からのＤｏＳ攻撃を遮断するＤｏＳ攻撃遮断システム３００と、ユーザにサービスを提供するサービスシステム４００と、が通信網２００を介して接続している。
【００２２】
まず、本発明の一実施形態によると、ゾンビＰＣ１００は、悪質なコードなどに感染したコンピュータを意味する。通信網で接続している如何なるコンピュータも、悪質なコードにより感染するとゾンビＰＣ１００として動作することもあり、一般的に、電子メールの添付ファイルを開く過程、出所の不明なＡｃｔｉｖｅ Ｘをダウンロードして設ける過程、または感染したＵＳＢメモリなどの外部記憶デバイスを接続する過程などで悪質なコードに感染し、後でＣ＆Ｃサーバの制御によって、または感染された悪質なコードの内部に記載された内容によって、指定された目標のために特定の時点にＤｏＳ攻撃を行う。
【００２３】
また、本発明の一実施形態によると、通信網２００は、有線及び無線などのようなその通信形態を問わず構成することができ、パーソナルエリアネットワーク（ＰＡＮ；Ｐｅｒｓｏｎａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ローカルエリアネットワーク（ＬＡＮ；Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、メトロポリタンエリアネットワーク（ＭＡＮ；Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋ）、広域ネットワーク（ＷＡＮ；Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）など、多様な通信網で構成することができる。
【００２４】
一方、本発明の一実施形態によると、ＤｏＳ攻撃遮断システム３００は、通信網２００を介してサービスシステム４００に与えられる多数のゾンビＰＣ１００からの攻撃を、中間でコンテンツフィルタリングシステム及びパケットレベル遮断システムの有機的な連動によって遮断するシステムを意味する。ＤｏＳ攻撃遮断システム３００の詳細な構成要素及び動作方式については後述する。
【００２５】
最後に、本発明の一実施形態によると、サービスシステム４００は、ユーザに多様なサービスを提供するシステムを意味する。サービスの一例としては、ウェブサービス、メールサービスなどが挙げられ、この場合サービスシステム４００はそれぞれウェブサーバ、メールサーバを含んでもよい。その他にも、通信網２００を介して多数のユーザに提供できるサービスを提供するものであれば、サービスシステム４００の範囲内に含まれる。
【００２６】
ＤｏＳ攻撃遮断システムの詳細構成
図２は本発明の一実施形態によるＤｏＳ攻撃遮断システム３００の詳細構成図である。
【００２７】
図２を参照すると、本発明の一実施形態によるＤｏＳ攻撃遮断システム３００は、パケットレベル遮断システム３１０及びコンテンツフィルタリングシステム３２０を含んでもよい。図２は本発明の一実施形態を説明するための構成要素のみを簡単且つ抽象的に図示した図面であるため、ＤｏＳ攻撃遮断システム３００はこの他にも、ゾンビＰＣ１００からのＤｏＳ攻撃を遮断するために必要な機能を実行する他の構成要素も含むことができるということが理解されるべきである。
【００２８】
パケットレベル遮断システム３１０は、通信網２００を介して伝達されるパケットが、遮断が必要な特定のＩＰアドレスから伝達されることを確認した場合、サービスシステム４００に伝達せずにそのまま遮断する機能を実行する。即ち、パケットレベル遮断システム３１０は、伝達されるパケットのうちＩＰヘッダ部分に記載された発信先ＩＰアドレス（Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ）を分析し、発信先ＩＰアドレスが、遮断が必要な特定のＩＰアドレスであるかを確認して遮断の要否を決定することができるため、ＯＳＩの７階層モデル（７ ｌａｙｅｒ ｍｏｄｅｌ ｆｏｒ ＯＳＩ）を参照して、インターネット層（Ｉｎｔｅｒｎｅｔ ｌａｙｅｒ）でパケットを遮断することができる機能を有するものであれば、パケットレベル遮断システム３１０（例えばルータ）として用いることができる。パケットレベル遮断システム３１０でパケットを遮断する場合、それ以上のパケット分析が必要でないため、全体的な、またその後の段階に存在するコンテンツフィルタリングシステム３２０のリソースの消費は減少するが、特定のＩＰアドレスから伝達されるパケットの場合、攻撃を目的とするものであるか或いは正常な要求であるかに関わらず無条件的に遮断するため、遮断の正確性は低下する欠点がある。パケットレベル遮断システム３１０のうちＩＰテーブル３１２は遮断が必要なＩＰアドレスを含む表であり、ＩＰテーブル３１２には、基本的に遮断すべきＩＰアドレスの他にも、遮断が持続されなければならない有効時間に関する情報などをさらに含んでもよい。従って、パケット遮断部３１１は、特定のパケットが伝達された場合、パケットのヘッダに記載された目的地アドレスとＩＰテーブル３１２に記載されたＩＰアドレスとを比較し、一致するＩＰアドレスが存在する場合はそのパケットを遮断する。ここで、比較するＩＰテーブル３１２上のＩＰアドレスは、その有効時間に関する情報を参照し、有効時間が経過していない、即ち、有効であって遮断が必要なＩＰアドレスのみをその対象としてもよい。本発明の他の実施形態によると、ＩＰテーブル３１２に記載の遮断すべきＩＰアドレスに対する有効時間に関する情報を管理し、有効時間が経過した時は該当するＩＰアドレスをＩＰテーブル３１２から削除または非活性化（例えば、特定のフラグ（ｆｌａｇ）値を変更する方式など）して、パケットレベル遮断システム３１０で遮断されないようにする別の構成要素が存在してもよい。ＩＰテーブル３１２上に遮断が必要なＩＰアドレスを追加する機能は、コンテンツフィルタリングシステム３２０により実行してもよい。
【００２９】
次に、図３を参照して本発明の一実施形態により図示されたコンテンツフィルタリングシステム３２０の詳細な構成をより詳細に説明すると、コンテンツフィルタリングシステム３２０は、コンテンツ分析部３２１と、コンテンツ遮断部３２２と、リソースモニタリング部３２３と、を含んでもよい。
【００３０】
コンテンツ分析部３２１は、パケットレベル遮断システム３１０を経て伝達されたパケットのコンテンツを分析する機能を実行する。一例として、パケットがＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）を使用する場合、コンテンツ分析部３２１はＴＣＰセッションを確立させるために、基本的にＳＹＮパケットを受信し、ＳＹＮ＿Ｒｅｃｅｉｖｅｄパケットを伝送した後にさらにＡＣＫパケットを受信する、少なくとも三つのパケットを送受信してそのセッションが確立され、その後に伝送されるパケットを利用してその内部のコンテンツ分析を行う。コンテンツ分析部３２１は、分析により内部コンテンツが指定された特定の文字列または特定のパターンを含むか否かを確認する。
【００３１】
特定の文字列または特定のパターンは、ＤｏＳ攻撃が有する共通する特徴に該当するものであり、例示的に、ゾンビＰＣ１００がウェブサービスを提供するサービスシステム４００を対象としてＤｏＳ攻撃を行う際、その攻撃の特徴は以下の表１のようなものであってもよい。
【００３２】
【表１】
【００３３】
即ち、ＤｏＳ攻撃の特徴の一つとして、ゾンビＰＣ１００が送りつけるパケットは、ＯＳＩの７階層モデルのうちアプリケーション層（ａｐｐｌｉｃａｔｉｏｎ ｌａｙｅｒ）であるＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ヘッダのうちクライアントソフトウェアの名前とバージョンなどの情報を有するＵｓｅｒ−Ａｇｅｎｔが表１の五種類のうち一つに該当する可能性があるため、コンテンツ分析部３２１は、伝送される内部パケットを分析し、ＨＴＴＰヘッダのＵｓｅｒ−Ａｇｅｎｔが表１の文字列のうち何れか一つを含むか否かを判断して、ＤｏＳ攻撃の有無及びパケット遮断の要否を決定することができる。但し、表１は例示的なものに過ぎず、特定の文字列または特定のパターンはＤｏＳ攻撃の種類によって変わってもよく、パケット遮断の要否を決定する場合において利用される特定の文字列または特定のパターンのリストは、周期的にアップデートして別のデータベース（図示せず）に保存してもよい。
【００３４】
コンテンツ遮断部３２２は、コンテンツ分析部３２１によってＤｏＳ攻撃であると判断したパケットを遮断する。また、コンテンツ分析部３２１によってＤｏＳ攻撃であると判断したパケットの発信先ＩＰアドレスを獲得して特定条件が成立するか否かを判断し、成立する場合は発信先ＩＰアドレスをパケットレベル遮断システム３１０のＩＰテーブル３１２にアップデート（追加）する。この際、有効時間に関する情報（例えばＩＰテーブルに追加してから５分間など）をさらに設定してもよい。特定条件の一例として、同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃であると判断されたパケットが所定数以上であると確認された場合、またはリソースモニタリング部３２３から受信したリソース占有率が一定値以上である場合などが挙げられるが、必ずしもこれに限定されるものではない。
【００３５】
リソースモニタリング部３２３は、コンテンツフィルタリングシステム３２０全体のリソース占有率を継続的に確認し、リソース占有率が一定値以上に上がると、そのことをコンテンツ遮断部３２２に通知して過負荷によるシステムの麻痺を防ぐ。
【００３６】
図２及び図３でのパケットレベル遮断システム３１０、コンテンツフィルタリングシステム３２０内のコンテンツ分析部３２１、コンテンツ遮断部３２２及びリソースモニタリング部３２３は、物理的に一つのコンピュータ内で実現されてもよく、一部またはそのそれぞれが物理的に異なるコンピュータで実現されてもよく、同様の機能をする物理的に複数のコンピュータが並列に存在してもよい。このように、本発明は、各構成部が設けられたコンピュータの物理的な数及び位置に限定されず、多様な方式に設計変更することができるということは、本発明が属する技術分野において通常の知識を有する者に自明である。
【００３７】
ＤｏＳ攻撃遮断システムの動作
図４は本発明の一実施形態によるＤｏＳ攻撃遮断システムの動作を示すフローチャートである。
【００３８】
図４に例示された一実施形態によると、パケットレベル遮断システム３１０は、通信網２００を介してサービスシステム４００を目的地とするパケットを受信する（Ｓ１００）。
【００３９】
その後、パケットレベル遮断システム３１０のパケット遮断部３１１は、ＩＰテーブル３１２を参照して、受信したパケットが、遮断が必要なパケットであるか否かを判断する（Ｓ１１０）。具体的には、受信したパケットの発信先ＩＰアドレスがＩＰテーブル３１２上のＩＰアドレスと一致するか否かを確認して遮断の要否を判断する。ここで、有効に掲載されたＩＰアドレスは、追加情報である有効時間に関する情報によって遮断が必要なＩＰアドレスを含む。
【００４０】
もし、パケット遮断部３１１によって遮断が必要であると判断されると、該当パケットを遮断（Ｓ１２０）した後、次のパケットを受信する。
【００４１】
もし、パケット遮断部３１１によって遮断が必要でないと判断されると、コンテンツフィルタリングシステム３２０のコンテンツ分析部３２１が、受信したパケット内部のコンテンツを分析する（Ｓ１３０）。ここで、コンテンツ分析とは、上述したように、パケット内部のデータを分析して、ＤｏＳ攻撃が有する特徴的な特定の文字列または特定のパターンを含むか否かを確認することを含む。
【００４２】
コンテンツ分析により、受信したパケットがＤｏＳ攻撃のためのパケットであるかを判断し（Ｓ１４０）、正常なパケットであると判断される場合には、該当パケットを正常にサービスシステム４００に伝送する（Ｓ１７０）。
【００４３】
もし、コンテンツ分析により、受信したパケットがＤｏＳ攻撃のためのパケットであると判断される場合には、特定条件を満たすか否かをさらに判断する（Ｓ１５０）。ここで、特定条件の例としては、上述したように、同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃であると判断されたパケットが予め定められた所定数以上と確認された場合、またはリソースモニタリング部３２３から受信したリソース占有率が予め定められた一定数値以上である場合などが挙げられるが、必ずしもこれに限定されるものではない。判断の結果、特定条件を満たさない場合には受信したパケットのみを遮断して終了するが、特定条件を満たす場合には、コンテンツ遮断部３２２は、受信したパケットに含まれた発信先ＩＰアドレス情報を有効時間に関する情報とともにＩＰテーブル３１２に追加するようにＩＰテーブル３１２を変更することにより（Ｓ１６０）、今後同一のＩＰアドレスから攻撃するパケットは有効時間の間に段階Ｓ１１０及びＳ１２０によって遮断されるようにする。これにより、コンテンツフィルタリングシステム３２０のリソース占有率を低めることができるだけでなく、有効時間の経過時、パケットのコンテンツを分析して遮断の要否を決定するため、正確性が高く、優れたＤｏＳ攻撃遮断機能を提供することができる。
【００４４】
本発明の他の実施形態によると、コンテンツ分析により、受信されたパケットがＤｏＳ攻撃のためのパケットであるかを判断（Ｓ１４０）し、もし受信されたパケットがＤｏＳ攻撃のためのパケットであると判断される場合には、特定条件を満たすかを判断する段階Ｓ１５０の前に、該当パケットを遮断（Ｓ１２０）した後、遮断されたパケットが特定条件を満たすか否かを再度判断（Ｓ１５０）するように、その順序を変更してもよい。段階Ｓ１５０の判断の結果、特定条件を満たさない場合には既に受信したパケットは遮断したためそのまま終了し、特定条件を満たす場合には、コンテンツ遮断部３２２は、受信したパケットに含まれた発信先ＩＰアドレス情報を有効時間に関する情報とともにＩＰテーブル３１２に追加するように、ＩＰテーブル３１２を変更して（Ｓ１６０）終了してもよい。
【００４５】
本発明による実施形態は、 多様なコンピュータ手段によって実行可能なプログラム命令の形態で実現可能であり、コンピュータ読み取り可能な媒体に記録することができる。前記コンピュータ読み取り可能な媒体は、プログラム命令、データファイル、データ構造などを単独に、または組み合わせて含んでもよい。媒体に記録されるプログラム命令は、本発明のために特別に設計及び構成されたものであってもよく、コンピュータソフトウェア分野の当業者に公知されて使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例としては、ハードディスク、フロッピー（登録商標）ディスク及び磁気テープなどの磁気媒体（Ｍａｇｎｅｔｉｃ Ｍｅｄｉａ）、ＣＤ−ＲＯＭ、ＤＶＤなどの光記録媒体（Ｏｐｔｉｃａｌ Ｍｅｄｉａ）、フロプティカルディスク（Ｆｌｏｐｔｉｃａｌ Ｄｉｓｋ）などの磁気−光媒体（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌ Ｍｅｄｉａ）、及びＲＯＭ、ＲＡＭ、フラッシュメモリなどの、プログラム命令を保存及び実行するように特に構成されたハードウェア装置が含まれる。プログラム命令の例としては、コンパイラーによって作われるもののような機械語コードだけでなく、インタープリターなどを用いてコンピュータによって実行されることができる高級言語コードを含む。前記ハードウェア装置は、本発明の動作を行うために一つ以上のソフトウェアモジュールとして作動するように構成されることができ、その逆も同様である。
【００４６】
以上のように本発明では、具体的な構成要素などのような特定事項と限定された実施形態及び図面によって説明したが、これは本発明の全般的な理解をより容易にするために提供されたものに過ぎず、本発明は上記の実施形態に限定されるものではなく、本発明が属する分野において通常の知識を有する者であれば、このような記載から多様な修正及び変形が可能である。
【００４７】
従って、本発明の思想は、説明された実施形態に限って決まってはならず、添付する特許請求の範囲だけでなく、この特許請求の範囲と均等または等価的変形がある全てのものなどは本発明の思想の範囲に属するといえる。
【特許請求の範囲】
【請求項１】
コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断方法であって、
前記パケットレベル遮断システムにより、受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケットレベル遮断段階と、
前記コンテンツフィルタリングシステムにより、前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断する第１の判断段階と、
前記コンテンツフィルタリングシステムにより、前記パケットが特定条件を満たすかを確認する第２の判断段階と、
前記コンテンツフィルタリングシステムにより、前記第１の判断段階で前記攻撃基準を満たす場合、前記パケットを遮断するコンテンツベース遮断段階と、を含み、
前記第２の判断段階は前記第１の判断段階で前記攻撃基準を満たす場合に行われ、前記第２の判断段階で前記特定条件を満たす場合、前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスに関する情報を追加することを特徴とするＤｏＳ攻撃遮断方法。
【請求項２】
前記ＩＰテーブルは、ＩＰアドレス及び前記ＩＰアドレスが有効な有効時間に関する情報を含むことを特徴とする請求項１に記載のＤｏＳ攻撃遮断方法。
【請求項３】
前記第１の判断段階は、
データベースからＤｏＳ攻撃の特徴である特定の文字列または特定のパターンを呼び出す段階と、
前記呼び出された特定の文字列または特定のパターンが前記分析されたコンテンツ内部に存在するかを確認する段階と、を含むことを特徴とする請求項１に記載のＤｏＳ攻撃遮断方法。
【請求項４】
前記第２の判断段階の特定条件は、前記パケットと同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃基準を満たすパケットの数が所定数以上と確認された場合、または前記コンテンツフィルタリングシステムのリソース占有率が一定値以上と確認された場合のうち何れか一つ以上を含むことを特徴とする請求項１に記載のＤｏＳ攻撃遮断方法。
【請求項５】
前記パケットレベル遮断システムにより、前記ＩＰテーブル内の有効時間が経過したＩＰアドレスを前記ＩＰテーブルから削除または非活性化する段階をさらに含むことを特徴とする請求項２に記載のＤｏＳ攻撃遮断方法。
【請求項６】
コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断システムであって、
受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケット遮断部と、
前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断するコンテンツ分析部と、
前記コンテンツ分析部の判断結果、前記攻撃基準を満たす場合は前記パケットを遮断し、前記パケットが特定条件を満たすかを確認して、前記特定条件を満たす場合は前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスを追加するコンテンツ遮断部と、を含むことを特徴とするＤｏＳ攻撃遮断システム。
【請求項７】
前記ＩＰテーブルは、ＩＰアドレス及び前記ＩＰアドレスが有効な有効時間に関する情報を含むことを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項８】
前記コンテンツ分析部は、
データベースからＤｏＳ攻撃特徴である特定の文字列または特定のパターンを呼び出す機能と、
前記呼び出された特定の文字列または特定のパターンが前記分析されたコンテンツ内部に存在するかを確認する機能と、を実行することを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項９】
前記特定条件は、前記パケットと同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃基準を満たすパケットの数が所定数以上と確認された場合、またはリソース占有率が一定数以上と確認された場合のうち何れか一つ以上を含むことを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項１０】
前記コンテンツ遮断部は、前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスを追加する際、前記ＩＰアドレスの有効時間に関する情報も追加することを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項１１】
前記パケット遮断部は、前記ＩＰテーブル内の有効時間が経過したＩＰアドレスを前記ＩＰテーブルから削除または非活性化することを特徴とする請求項７に記載のＤｏＳ攻撃遮断システム。
【請求項１２】
請求項１から５の何れか一つに記載の方法の各段階をコンピュータ上で行うためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項１】
コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断方法であって、
前記パケットレベル遮断システムにより、受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケットレベル遮断段階と、
前記コンテンツフィルタリングシステムにより、前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断する第１の判断段階と、
前記コンテンツフィルタリングシステムにより、前記パケットが特定条件を満たすかを確認する第２の判断段階と、
前記コンテンツフィルタリングシステムにより、前記第１の判断段階で前記攻撃基準を満たす場合、前記パケットを遮断するコンテンツベース遮断段階と、を含み、
前記第２の判断段階は前記第１の判断段階で前記攻撃基準を満たす場合に行われ、前記第２の判断段階で前記特定条件を満たす場合、前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスに関する情報を追加することを特徴とするＤｏＳ攻撃遮断方法。
【請求項２】
前記ＩＰテーブルは、ＩＰアドレス及び前記ＩＰアドレスが有効な有効時間に関する情報を含むことを特徴とする請求項１に記載のＤｏＳ攻撃遮断方法。
【請求項３】
前記第１の判断段階は、
データベースからＤｏＳ攻撃の特徴である特定の文字列または特定のパターンを呼び出す段階と、
前記呼び出された特定の文字列または特定のパターンが前記分析されたコンテンツ内部に存在するかを確認する段階と、を含むことを特徴とする請求項１に記載のＤｏＳ攻撃遮断方法。
【請求項４】
前記第２の判断段階の特定条件は、前記パケットと同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃基準を満たすパケットの数が所定数以上と確認された場合、または前記コンテンツフィルタリングシステムのリソース占有率が一定値以上と確認された場合のうち何れか一つ以上を含むことを特徴とする請求項１に記載のＤｏＳ攻撃遮断方法。
【請求項５】
前記パケットレベル遮断システムにより、前記ＩＰテーブル内の有効時間が経過したＩＰアドレスを前記ＩＰテーブルから削除または非活性化する段階をさらに含むことを特徴とする請求項２に記載のＤｏＳ攻撃遮断方法。
【請求項６】
コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断システムであって、
受信したパケットの発信先ＩＰアドレスがＩＰテーブル内のＩＰアドレスのうち何れか一つと一致する場合、前記パケットを遮断するパケット遮断部と、
前記パケット内部のコンテンツを分析し、前記分析されたコンテンツがＤｏＳ攻撃基準を満たすかを判断するコンテンツ分析部と、
前記コンテンツ分析部の判断結果、前記攻撃基準を満たす場合は前記パケットを遮断し、前記パケットが特定条件を満たすかを確認して、前記特定条件を満たす場合は前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスを追加するコンテンツ遮断部と、を含むことを特徴とするＤｏＳ攻撃遮断システム。
【請求項７】
前記ＩＰテーブルは、ＩＰアドレス及び前記ＩＰアドレスが有効な有効時間に関する情報を含むことを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項８】
前記コンテンツ分析部は、
データベースからＤｏＳ攻撃特徴である特定の文字列または特定のパターンを呼び出す機能と、
前記呼び出された特定の文字列または特定のパターンが前記分析されたコンテンツ内部に存在するかを確認する機能と、を実行することを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項９】
前記特定条件は、前記パケットと同一の発信先ＩＰアドレスを有し、ＤｏＳ攻撃基準を満たすパケットの数が所定数以上と確認された場合、またはリソース占有率が一定数以上と確認された場合のうち何れか一つ以上を含むことを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項１０】
前記コンテンツ遮断部は、前記ＩＰテーブルに前記パケットの発信先ＩＰアドレスを追加する際、前記ＩＰアドレスの有効時間に関する情報も追加することを特徴とする請求項６に記載のＤｏＳ攻撃遮断システム。
【請求項１１】
前記パケット遮断部は、前記ＩＰテーブル内の有効時間が経過したＩＰアドレスを前記ＩＰテーブルから削除または非活性化することを特徴とする請求項７に記載のＤｏＳ攻撃遮断システム。
【請求項１２】
請求項１から５の何れか一つに記載の方法の各段階をコンピュータ上で行うためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１２−１１４９１７（Ｐ２０１２−１１４９１７Ａ）
【公開日】平成２４年６月１４日（２０１２．６．１４）
【国際特許分類】
【出願番号】特願２０１１−２５６０６０（Ｐ２０１１−２５６０６０）
【出願日】平成２３年１１月２４日（２０１１．１１．２４）
【出願人】（５０９２８８２０８）エヌエイチエヌ ビジネス プラットフォーム コーポレーション (93)
【Ｆターム（参考）】
【公開日】平成２４年６月１４日（２０１２．６．１４）
【国際特許分類】
【出願日】平成２３年１１月２４日（２０１１．１１．２４）
【出願人】（５０９２８８２０８）エヌエイチエヌ ビジネス プラットフォーム コーポレーション (93)
【Ｆターム（参考）】
[ Back to top ]