サービス妨害攻撃の軽減
顧客ネットワークについてのサービス妨害攻撃および分散サービス妨害攻撃などのサービス攻撃は、顧客ネットワークにサービスするインターネットサービスプロバイダ（ＩＳＰ）によって検出され、続いて軽減される。センサが、攻撃トラフィックとして顧客ネットワークに入っていくトラフィックを検査する。攻撃が検出された場合、センサは、ＩＳＰネットワーク内の攻撃を軽減するための解析エンジンに通知を行う。解析エンジンは、ＩＳＰネットワークのボーダルータおよびエッジルータに新しいルーティング情報を公示するようにフィルタルータを設定する。新しいルーティング情報は、顧客ネットワークに向けて送られることになっている攻撃トラフィックおよび非攻撃トラフィックをフィルタルータに経路変更するように、ボーダおよびエッジルータに指示する。フィルタルータでは、攻撃トラフィックおよび非攻撃トラフィックが自動的にフィルタリングされ、攻撃トラフィックが除去される。非攻撃トラフィックは、顧客ネットワークに向けて送るためにＩＳＰネットワーク上に返される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、通信ネットワーク上でのサービス妨害攻撃および分散サービス妨害攻撃（併せてＤＤｏｓ攻撃と呼ばれる）などのサービス攻撃を軽減することに関する。より詳細には、本発明は、エッジ／顧客ネットワークに向けられたＤＤｏｓ攻撃を検出すること、ならびに、サービスプロバイダネットワークにおけるＤＤｏｓおよび非ＤＤｏｓトラフィックをリダイレクトし、次いで、ＤＤｏｓトラフィックがエッジ／顧客ネットワークに到達する前に選択的にそのトラフィックを除去することによってこのような攻撃を軽減することに関する。
【背景技術】
【０００２】
サービス妨害（ＤｏＳ）攻撃および分散サービス妨害（ＤＤｏＳ）攻撃は、インターネットにおいて引き続き増大しつつある懸念材料である。ＤｏＳ攻撃では、大量の偽装したネットワークトラフィックによって、コンピュータが、ターゲットとするシステムにフラッディング（ｆｌｏｏｄ）を起こさせる。ＤＤｏＳ攻撃は、ＤｏＳ攻撃に類似するがそれよりも大規模なものである。この場合、ハッカーは、クライアントコンピュータを使用して、通常はインターネットを介して地理的に分散している複数のエージェントコンピュータに侵入する。ハッカーは、エージェントにアクセスすると、ターゲットとするネットワークおよび／またはサーバを偽装したネットワークトラフィックによってフラッディングを起こすため、クライアントコンピュータによって制御され後で他のエージェントと連動してクライアントコンピュータによって使用されるソフトウェアモジュールをインストールする。ＤＤｏＳ攻撃は、ＤｏＳ攻撃と比べて、より大量のトラフィックを発生させ、また多数のトラフィックのソースがあるため、攻撃を阻止することがより難しくなり、さらに破壊的なものとなる。
【０００３】
一般に、ＤｏＳおよびＤＤｏＳ攻撃は、ターゲットのネットワークのバンド幅を消費し、ターゲットのサーバを酷使し、それによって、正当なトラフィック／ユーザが、ターゲットのネットワークおよびサーバにアクセスするのを妨害することを目的としている。このような攻撃は、ＴＦＮ２Ｋ、およびＳｔａｃｈｅｌｄｒａｈｔ（シュタッヒェルドラート）のようなインターネットから容易に入手可能な攻撃ツールを使用して比較的簡単に作り出すことができるため、今日では深刻な問題となっている。一般に、ＤｏＳおよびＤＤｏＳ攻撃は、ネットワークの活動を停止させ、したがってビジネスの活動を数時間あるいは数日間も停止させるおそれがある。
【０００４】
ＤｏＳおよびＤＤｏＳ攻撃（以下、ＤＤｏＳを、ＤｏＳ攻撃とＤＤｏＳ攻撃の両方を指すものとして使用する）を検出し軽減するためにいくつかのシステムが開発された。これらのシステムは、１つのエンティティのネットワーク内にその全体が存在し、攻撃の検出と軽減の両方をこのネットワークにおいて（ａｔ ｔｈｉｓ ｐｏｉｎｔ）行う。図１は、具体的には、インターネット１０２、ＩＳＰ（インターネットサービスプロバイダ）ネットワーク１０４、ＩＳＰネットワーク１０４のサービスを受けるエッジ／顧客ネットワーク１０６、ならびに複数のピアの自律システム１０８、１１０、および１１１を含む、例示的なネットワークを示す。インターネット１０２、ＩＳＰネットワーク１０４、およびピアの自律システム１０８、１１０、および１１２は、ボーダルータ１１４、１１６、１１８、１２０、１２２、１２４、１２６、および１２８によって相互接続され、ＩＳＰネットワーク１０４、および顧客ネットワーク１０６は、エッジルータ１３０、アクセスルータ１３２、およびアクセスリンク１３４によって相互接続されている。顧客ネットワーク１０６およびそのネットワーク内のサーバなどターゲットのネットワークに対するＤＤｏＳ攻撃は、インターネット１０２、およびピアの自律システム１０８、１１０、および１１２に位置する複数のエージェントから発信される。従来のＤＤｏＳ検出および軽減システムは、専用のハードウェアを備え、それは顧客ネットワーク１０６内に設けられる。これらのシステムは、ネットワークに入ってくるインターネットトラフィックを監視することにより、ＤＤｏＳ攻撃を軽減する。これらのシステムは、そのようなトラフィックを解析して、期待されるトラフィックプロファイルからの逸脱があるかどうかを決定し、または、ある種の攻撃に固有のシグネチャ（すなわち、各種のＤＤｏＳ攻撃によって生成されたパケットは、攻撃の種類に応じて固有のパターンを有するが、そのパターンをシグネチャと呼ぶ）をトラフィックが有するかどうかを決定する。これらのシステムは、期待されるプロファイルに反し、または既知のシグネチャと一致するトラフィックを検出すると、１組のフィルタを設定してファイアウォールのように機能し、それにより悪意のあるトラフィックがさらにネットワーク１０６に入るのを防止する。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
これらのシステムは、攻撃を検出し軽減することができるが、いくつかの欠点を有する。第１に、ＩＳＰによってサービスされる各顧客ネットワーク１０６では、攻撃を検出し軽減するための専用ハードウェアを購入する必要がある。専用ハードウェアは、大規模の顧客には選択肢となり得るが、このようなシステムを入手することができないＳＯＨＯ（スモールオフィス／ホームオフィス）などのより小規模の顧客には、実行可能な解決策ではない。結果として、このようなより小規模な顧客は、ＤＤｏＳ攻撃の軽減をＩＳＰに依頼することになる。しかし、悪意のあるクライアント／エージェントは、ＩＰ（インターネットプロトコル）ソースアドレスのスプーフィング（ｓｐｏｏｆｉｎｇ）を用いて、その身元を隠すことが多いため、しばしばＩＳＰが攻撃を緩和することが困難となる。ＩＰスプーフィングのため、ＩＳＰは、まず稼動中のルータにアクセスすることなく、悪意のあるトラフィックのネットワーク内への入口点を簡単に決定することはできず、その結果、悪意のあるトラフィックを除去するためにＩＳＰが適切なフィルタを設定することは容易ではないのである。このような従来のシステムの第２の欠点は、ターゲットにおいてＤＤｏＳ攻撃を軽減することが難しいことである。上述したように、具体的には、ＤＤｏＳ攻撃が検出されると、トラフィックのフィルタリングは、顧客ネットワーク１０６において行われる。したがって、ＩＳＰネットワーク１０４は、続いて、エッジルータ１３０、アクセスルータ１３２、およびアクセスリンク１３４を介して顧客ネットワーク１０６において、悪意のあるトラフィックと有効なトラフィックの両方について集約して方向付けるが、そのアクセスリンクは、例えば、Ｔ−１、デジタル加入者線、またはＩＳＤＮ（総合デジタル通信サービス網）などの数百ｋｂｐｓの比較的狭いバンド幅を有することがある。したがって、このような従来のシステムは、顧客ネットワーク１０６内からボトルネック（ｂｏｔｔｌｅｎｅｃｋ）を除去する一方で、顧客ネットワークにアクセスするために使用される（エッジルータ、アクセスリンク、およびアクセスルータを含む）限られた資源は、引き続き、ＤＤｏＳ攻撃によって消費される可能性があり、したがって引き続き、ＤＤｏＳ攻撃によって、有効なネットワークトラフィックに対するボトルネックが作り出されることを阻止できない。その結果、顧客ネットワーク１０６を対象とする有効なネットワークトラフィックは、やはり悪意のあるトラフィックと競合しなければならなくなる。したがって、このような現行のシステムでは、攻撃が充分に軽減されないという問題がある。
【０００６】
したがって、従来のシステムの欠点を解消し、顧客ネットワークに対するＤＤｏＳ攻撃を含めたサービス攻撃を検出し軽減する方法および装置を有することが望ましい。
【課題を解決するための手段】
【０００７】
具体的には、本発明によれば、ＩＳＰネットワークの各顧客ネットワークにセンサが関連付けられる。このセンサは、顧客ネットワークに入っていくネットワークトラフィックにアクセス可能で、ＤＤｏＳ攻撃を検出することを目的とする、複数のセンサフィルタを含むモジュールである。このセンサモジュールは、顧客ネットワークまたはＩＳＰネットワーク内に設置されたホストプラットフォーム上で実行される。このホストプラットフォームは、ＤＤｏＳトラフィックを検出するために専用のものであるか、あるいは、顧客ネットワークまたはＩＳＰネットワーク内に既に設置され他の機能を担っている既存のプラットフォームである。センサは、攻撃を検出すると、攻撃を軽減するために、ＩＳＰネットワーク内に配置されている解析エンジンに通知を行う。
【０００８】
攻撃の通知を受け取ると、攻撃されている顧客ネットワークに基づいて、解析エンジンは、やはりＩＳＰネットワーク内に配置される１つまたは複数のフィルタルータを設定する。具体的には、各フィルタルータは、ＩＳＰネットワークを構成するボーダルータおよびエッジルータの全部または一部と共に、ＩＰ−ｉｎ−ＩＰトンネルを維持し、さらに、これらのＩＰ−ｉｎ−ＩＰトンネルを介して、それにより接続された各ボーダおよびエッジルータと共に、外部ボーダゲートウェイプロトコル（ｅｘｔｅｒｎａｌ ｂｏｒｄｅｒ ｇａｔｅｗａｙ ｐｒｏｔｏｃｏｌ）（ｅＢＧＰ）セッションを維持する。解析エンジンは、ｅＢＧＰセッションを使用して、新しいルーティング情報をボーダおよびエッジルータに公示するように、フィルタルータを設定する。新しいルーティング情報は、ボーダおよびエッジルータに、攻撃を受ける顧客ネットワークに向けられているすべてのＤＤｏＳトラフィックおよび非ＤＤｏＳトラフィックを経路変更し、ＩＰ−ｉｎ−ＩＰトンネルを使用してフィルタルータに向けて送るように指示する。
【０００９】
フィルタルータにおいて、ＩＰ−ｉｎ−ＩＰトンネルの入口ポートには、１組の予め設けられたトラフィックフィルタがある。ボーダおよびエッジルータからリダイレクトされたＤＤｏＳおよび非ＤＤｏＳトラフィックは、自動的にこれらのフィルタを介して渡され、それによってＤＤｏＳトラフィックが除去される。ＤＤｏＳ以外のトラフィックは、ＩＳＰネットワークに送り返され、顧客ネットワークに向けて送られる。
【００１０】
本発明の独創的な検出および軽減システムの結果として、ＤＤｏＳトラフィックは、まだＩＳＰネットワーク内にある間にハイエンドシステムによって除去され、集約されてカスタマネットワークに向け送られることはなく、したがって、ＤＤｏＳでないトラフィックは、ＤＤｏＳ攻撃の影響を受けずに大部分が顧客ネットワークに向けて移動することが可能になる。さらに、本発明の独創的なシステムは、ＩＳＰネットワークが成長するのに伴い、追加のフィルタルータおよびボーダ／エッジルータを加えることにより、容易に拡張することができる。さらに、ＤＤｏＳおよび非ＤＤｏＳのトラフィックを、ボーダおよびエッジルータからフィルタルータにリダイレクトするためにＩＰ−ｉｎ−ＩＰトンネルが使用されるので、ＩＳＰネットワークのコアを構成するルータを、攻撃を軽減するときに再設定する必要がない。結果として、本発明の独創的なシステムは、攻撃の対象となっていない顧客ネットワークに向けられたトラフィックに影響を与えない。最後に、本発明の独創的なシステムは、各顧客ネットワークに設置される専用／特別のハードウェアを必要としない。
【発明を実施するための最良の形態】
【００１１】
図２は、エッジ／顧客ネットワーク２０４／２０６におけるＤＤｏＳ攻撃を動的に検出しこれらの攻撃を軽減するための本発明の独創的なＤＤｏＳ検出および軽減システムの、例示的な実施形態を示す図である。本発明の独創的なシステムの特徴は、顧客ネットワーク２０４／２０６に向けられたＤＤｏＳ攻撃を検出し、ＩＳＰネットワーク２０２においてこれらの攻撃を軽減することである。重要な点は、本発明の独創的なシステムは、各顧客ネットワークにおいて特別な専用ハードウェアの設置を必要としないということである。さらに、本発明の独創的なシステムは、ＩＳＰネットワーク内においてＤＤｏＳ攻撃を軽減するため、悪意のあるトラフィックは、エッジルータ２２６／２２８、アクセスルータ２１４／２１５、およびアクセスリンク２１６／２１７を介して顧客ネットワーク２０４／２０６に向けて送られることはなく、したがってＤＤｏＳでないトラフィックに対するＤＤｏＳトラフィックの影響が除去されるようになるという点が重要である。
【００１２】
具体的には、本発明の独創的なＤＤｏＳ検出および軽減システムは、ボーダルータ２２０、２２２、および２２４、ならびにエッジルータ２２６、および２２８を含めたＩＳＰネットワーク２０２内の既存のインフラストラクチャを含み、さらにＩＳＰネットワーク内に配置された１つまたは複数のフィルタルータ２３０（図２には１つのフィルタルータのみを示す）、フィルタルータ２３０内に配置された複数のトラフィックルータ２５０、各ボーダおよびエッジルータから各フィルタルータへの予め設けられたＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６、ＩＳＰネットワーク内に配置された解析エンジン２３２、各顧客ネットワーク２０４／２０６に関連付けられたセンサ２３４／２３６、ならびに各センサ２３４／２３６に配置された複数のセンサフィルタ２４８を備える。ＩＳＰネットワーク２０２は、複数のコアネットワークルータおよび接続機器（ｃｏｎｎｅｃｔｉｏｎ）をさらに備え、これらのルータおよび接続機器は、解析エンジン２３２、フィルタルータ２３０、ならびにボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８を相互に接続する。作図を容易にするため、図２には、このようなコアのルータおよび接続機器を示していない。
【００１３】
本発明によれば、センサ２３４／２３６は、ＩＳＰネットワーク２０２からエッジルータ２２６／２２８、アクセスリンク２１６／２１７、およびアクセルータ２１４／２１５を経由して顧客ネットワーク２０４／２０６に入るすべてのトラフィックを監視し、起こり得るＤＤｏＳ攻撃に関してセンサフィルタ２４８を介して解析する。ネットワーク２０４などの顧客ネットワークに対するＤＤｏＳ攻撃は、インターネット２０８、ピアの自律システム２１０および２１２、ならびに／またはＩＳＰネットワーク２０２からサービスを受ける他の顧客ネットワーク２０６から発信される可能性がある。センサ２０４などのセンサは、攻撃を検知し、解析エンジン２３２にその攻撃について伝える。このような攻撃の表示を受け取ると、解析エンジン２３２は、各ボーダルータ２２０、２２２、および２２４、ならびに各エッジルータ２２８に新しいルーティング情報を公示する（あるいは、２つ以上のフィルタルータが用いられる場合は、ボーダおよびエッジルータの一部に公示する）よう、１つまたは複数のフィルタルータ２３０を設定する。フィルタルータ２３０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６を介して、この新しいルーティング情報をボーダおよびエッジルータに公示する。この新しいルーティング情報は、ボーダおよびエッジルータに、顧客ネットワークに向けられているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを経路変更し、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６を使用してフィルタルータ２３０に送るように指示する。トラフィックフィルタ２５０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６の入口ポートに予めプロビジョニングされており、ボーダおよびエッジルータからリダイレクトされたトラフィックを自動的にフィルタリングして、ＤＤｏＳトラフィックを除去し、すべての非ＤＤｏＳトラフィックをＩＳＰネットワーク２０２に送り返して顧客ネットワーク２０４に転送する。本発明の独創的な検出および軽減システムを使用した結果、ＤＤｏＳトラフィックは、ＩＳＰ２０２内にあるうちにハイエンドシステムによって除去され、エッジルータ２２６、アクセスリンク２１６、およびアクセスルータ２１４を介し顧客ネットワーク２０４に向けて集約され送られることがなくなり、したがって、これらの資源におけるボトルネックの発生が防止される。したがって、非ＤＤｏＳトラフィックは、ＤＤｏＳ攻撃の影響を受けずに大部分が顧客ネットワーク２０４に向けて引き続き移動することが可能になる。
【００１４】
後にさらに説明するが、センサ２３４／２３６およびセンサフィルタ２４８は、顧客ネットワークおよび／またはＩＳＰネットワーク内の既存のハードウェアモジュール上に存在することが望ましく、それによって顧客ネットワーク内に専用の特別なハードウェアを設置する必要が回避される点も重要である。さらに、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６が、ボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８からフィルタルータ２３０にトラフィックをリダイレクトするために使用されることから、ＤＤｏＳ攻撃を軽減するためにＩＳＰネットワーク２０２を再設定する必要はなく、したがって他のトラフィック、および攻撃のターゲットでなくＩＳＰネットワーク２０２からサービスを受ける他の顧客ネットワークに対し発生する可能性のある影響が回避される。同様に、本発明の独創的なシステムは、攻撃を軽減するため、コアネットワークルータ、ならびにボーダおよびエッジルータを含めて稼動中のネットワークルータにアクセスする必要がない。
【００１５】
次に、本発明の独創的なＤＤｏＳ検出および軽減システムを構成する各コンポーネントを詳細に説明する。センサ２３４／２３６は、ＩＳＰネットワーク２０２から顧客ネットワーク２０４／２０６に入るすべてのトラフィックに対して可視性を有する。センサは、（図２に示す）顧客ネットワークに、またはＩＳＰネットワーク２０２に対する顧客ネットワークのアクセスポイントに設置されたホストプラットフォーム上で（すなわち、顧客ネットワークに入るすべてのトラフィックに対してセンサが可視性を有する位置で）実行される。このホストプラットフォームは、ＤＤｏＳトラフィックを検出するために専用のものか、または顧客ネットワークおよび／またはＩＳＰネットワーク内に既に設置され他の機能を担っている既存のプラットフォームである。センサ２３４／２３６を使用することに加え、本発明によるＤＤｏＳ検出および軽減システムは、顧客ネットワーク内に設置されたサードパーティの侵入検知システムに組み込むこともできることに留意されたい。このようなシナリオでは、サードパーティの侵入検知システムは、上述のように、ＤＤｏＳ攻撃を検出し、それを解析エンジン２３２に通知して、攻撃を軽減する。同様に、本発明の独創的なシステムは、手動で活動状態にすることもでき、その場合、顧客ネットワークの管理者が、ＤＤｏＳ攻撃をＩＳＰに報告し、次いでＩＳＰが解析エンジン２３２を活動状態にする。
【００１６】
センサ２３４／２３６は、顧客ネットワークに入るすべてのトラフィックを監視し、顧客ネットワークに流れ込む現在のＴＣＰ（伝送制御プロトコル）、ＵＤＰ（ユーザデータグラムプロトコル）、ＩＣＭＰ（インターネット制御メッセージプロトコル）、およびＩＰのパケットに関係するパケット種別の情報を、センサフィルタ２４８を介して追跡し、顧客ネットワークに入っていくビットレートに関係するレートの種別情報を追跡する。センサフィルタ２４８は、いくつかの種類を含む。第１組のセンサフィルタ２４８は、パケットに基づく情報を使用して、ＳｔａｃｈｅｌｄｒａｈｔおよびＴＦＮ２Ｋなど既知のＤＤｏＳ攻撃ツールに対応するＤＤｏＳフラッディングトラフィックに対してシグネチャに基づく検出を実行する。第２組のセンサフィルタ２４８は、無効のフィールド値に関してパケットヘッダを解析する。具体的には、本発明者は、プロトコル標準に基づいて、様々なプロトコルについて様々なパケットヘッダフィールドでの有効な値の範囲を決定した。センサフィルタは、パケットヘッダを解析して、定義された有効値の範囲を越えたフィールド値を探し、無効なフィールド値が発見されたときにエラーを検出する。第３組のセンサフィルタは、ビットレート情報を使用して、設定可能な閾値に基づき、ＤＤｏＳフラッディングトラフィックに対して量に基づく検出を実行する。ＤＤｏＳフラッディングトラフィックのシグネチャに基づく検出は、既知の攻撃ツールを対象とし、パケットヘッダ検出は、定義されたプロトコル標準に基づいているが、量に基づく検出は、新しい／未知の種類のＤＤｏＳ攻撃を検出することができる。
【００１７】
ＤＤｏＳ攻撃を検出することに加え、第４組のフィルタ２４８は、収集したパケット情報を使用して、ＤＤｏＳ制御トラフィックのシグネチャに基づく検出を実行する。制御トラフィックを検出することにより、センサフィルタは、対応する顧客ネットワーク内のホストが、ＤＤｏＳ攻撃元のクライアントまたはエージェントとしてアクセスされ利用されているかどうかを決定することができる。本発明によれば、上記以外の他の種類のセンサフィルタ２４８を、センサ２３４／２３６に設けることもできることに留意されたい。
【００１８】
ＤＤｏＳ制御トラフィックが検出されたかどうか、あるいは、ＤＤｏＳ攻撃が検出されたかどうかにかかわらず、センサ２３４／２３６は、このイベントの通知を解析エンジン２３２に送る。具体的には、センサ２３４／２３６がＤＤｏＳ制御トラフィックを検出した場合、センサはＤＤｏＳ制御シグネチャに基づく通知を解析エンジンに送る。センサがＤＤｏＳ攻撃を検出した場合、センサはＤＤｏＳ攻撃に基づく通知を解析エンジン２３２に送る。
【００１９】
センサ２３４／２３６と解析エンジン２３２の間の通知の通信は、任意の種類の通信チャネルを介して行うことができる。ただし、センサ２３４／２３６と解析エンジン２３２の間での通信は、ＩＰＳｅｃ（ＩＰセキュリティ）トンネルを介して行われることが好ましく、このトンネルは手動または自動で確立することができる。さらに、通知は、侵入検知メッセージ交換フォーマット（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｅｓｓａｇｅ Ｅｘｃｈａｎｇｅ Ｆｏｒｍａｔ）（ＩＤＭＥＦ）を用いてフォーマットされることが好ましく、それにより、解析エンジンは、上述のようにサードパーティの侵入検知システムに容易に組み込むことができる。このようなデータフォーマットは、例えばＸＭＬ（拡張マークアップ言語）を使用して実装することができる。
【００２０】
解析エンジン２３２は、例えばネットワークオペレーションセンタにおけるＩＳＰネットワーク２０２内に存在し、各顧客ネットワーク２０４および２０６に関連付けられた１つまたは複数のセンサ２３４および２３６にサービスする。先に示したように、本発明によれば、センサがＤＤｏＳ制御トラフィックまたはＤＤｏＳ攻撃を検出したとき、解析エンジンはセンサから自動通知を受け取る。解析エンジンは、ＤＤｏＳ制御に基づく通知を受け取ったとき、ＩＳＰポリシーマネージャ（ｐｏｌｉｃｙ ｍａｎａｇｅｒ）に通知を行う。解析エンジンは、ＤＤｏＳ攻撃に基づく通知を受け取ったとき、１つまたは複数のフィルタルータ２３０を設定することにより自動的に攻撃を軽減する。具体的には、解析エンジンは、新しいルーティング情報をボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８に公示するようにフィルタルータを設定する。フィルタルータからの新しいルーティン情報は、攻撃を受ける顧客ネットワークに向けて送られることになっているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを経路変更してフィルタルータに送るようにボーダおよびエッジルータに指示する。
【００２１】
ＩＳＰネットワーク２０２により検出された攻撃を軽減することが可能となるが、これに加え、解析エンジン２３２は、本発明の独創的なＤＤｏＳ検出および軽減システムの維持も行う。具体的には、解析エンジンは、フィルタエンジン２３０上にトラフィックフィルタ２５０のプロビジョニングを予め行い、また、センサ２３４／２３６上にセンサフィルタ２４８を予めプロビジョニングする。さらに、ＩＳＰネットワークの防御の姿勢／ポリシーに応じて、解析エンジンは、いくつかのトラフィックフィルタ２５０およびセンサフィルタ２５８を無効にすることによってフィルタルータ２３０およびセンサ２３４／２３６におけるフィルタリングの重大度を自動的に調節することができ、したがってマルチレベルのフィルタリングを作成することができる。
【００２２】
同様に、解析エンジン２３２、センサフィルタ２４８、およびトラフィックフィルタ２５０の更新も行う。ＤＤｏＳフラッディングトラフィックおよびＤＤｏＳ制御トラフィックを検出するために使用されるセンサフィルタ２４８は、既知の攻撃ツールのシグネチャに基づいている。新しい攻撃ツールが作り出されたときは、その新しいツールのシグネチャに対応する新しいセンサフィルタが必要とされる。したがって、解析エンジンは、必要とされる新しいセンサフィルタ２４８をダウンロードすることによって、定期的にセンサ２３４および２３６を更新することができる。同様に、フィルタルータ２３０にあるトラフィックフィルタ２５０は、既知の攻撃ツールのシグネチャに基づき、さらに、後述するように、ボーダルータを介した予測されるＩＰパケットの流れにも基づいている。新しい攻撃ツールが作り出され、またＩＰルーティング／フローを変更するネットワーク設定が変更されるのに応じ、やはり、解析エンジンは、必要とされる新しいトラフィックフィルタ２５０をダウンロードすることによって、フィルタルータ２３０を定期的に更新することができる。
【００２３】
最後に、解析エンジン２３２は、ＩＳＰネットワークのエッジにおいてＤＤｏＳ攻撃を遮断するのを支援する。具体的には、トラフィックフィルタ２５０がパケットを廃棄していく際、解析エンジンは、各ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６についてフィルタルータ２３０によって維持されるパケット廃棄カウンタ（ｐａｃｋｅｔ−ｄｒｏｐ−ｃｏｕｎｔｅｒ）に、定期的にポーリング（ｐｏｌｌ）することができる。どのフィルタがパケットを廃棄しているかを知ることにより、解析エンジンは、どのボーダおよび／またはエッジルータ２２０、２２２、２２４、２２６、および２３０がＤＤｏＳフラッディングを生成するために使用されているか、したがって、どのピア自律システム２０８、２１０、２１２、２０４、および２０６がＤＤｏＳフラッディングを生成するために使用されているかを決定することができる。これには、攻撃元を決定し遮断しようと試みる場合に、ボーダおよびエッジルータなど稼動中のネットワークルータにアクセスする必要がないという利点がある。
【００２４】
同様に、解析エンジン２３２は、ＤＤｏＳ攻撃がいつ完了したかを決定することができ、ネットワークをその元の状態に回復することができる。具体的には、フィルタルータ２３０によって維持されるパケット廃棄カウンタを定期的にポーリングすることにより、解析エンジン２３２は、いつカウンタがもはや増分されないかを決定することができる。解析エンジン２３２は、カウンタが増分を停止したときにＤＤｏＳ攻撃が終了したと結論付けることができる。したがって、解析エンジン２３２は、ＤＤｏＳおよび非ＤＤｏＳトラフィックをもはやフィルタルータ２４０にリダイレクトしないようボーダおよびエッジルータに指示するｅＢＧＰルーティング情報を、ボーダおよびエッジルータに送るようにフィルタ２４０を設定することができ、したがってネットワークは元の状態に回復する。
【００２５】
図示されているフィルタルータ２３０を参照すると、それはＩＳＰネットワーク２０２内にある。ＩＳＰネットワークのサイズ、ならびに／またはＩＳＰネットワークからサービスを受ける顧客ネットワーク２０４および２０６の数およびサイズに応じて、本発明のシステムは、複数のフィルタルータを含むことができる。これらのフィルタルータは、本発明の独創的なトラフィックフィルタ２５０に対応する複数の特定のパケットフィルタを有し、パケットフィルタリングファイアウォール機能を有する、市販の入手可能なハイエンドルータである。またはこれに代えて、フィルタルータ２３０は、別個のハイエンドルータ、および別個のファイアウォールを有する２つの市販の入手可能なシステムを備えることができる。ここでは、本発明の独創的なトラフィックフィルタ２５０は、ファイアウォールコンポーネント内に組み込まれている。
【００２６】
解析エンジン２３２がアクセスして、上述のフィルタルータに事前に所定の値を設定し、および自動的に設定することが可能である。解析エンジンは、事前設定によって、予め定められたある時間に、トラフィックフィルタ２５０を、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６の各入口ポートに設ける。さらに、解析エンジンは、トラフィックフィルタ２５０を必要に応じて更新することもできる。解析エンジンは、自動化設定によって、フィルタルータが、ＤＤｏＳ攻撃時に新しいルーティング情報を公示するように設定する。フィルタルータと解析エンジンの間での事前設定および自動化設定の通信は、ＩＰＳｅｃトンネルなどのセキュアな通信を介して行われることが好ましい。
【００２７】
フィルタルータは、ＩＳＰネットワーク２０２内の各ボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８と共に、予めプロビジョニングされたＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６を維持する。あるいは、複数のフィルタルータがＩＳＰネットワーク内に設置されている場合、各フィルタルータは、ボーダおよびエッジルータのうち一部だけに割り当てることができ、この場合は、ＩＰ−ｉｎ−ＩＰトンネルは、フィルタルータとそれが割り当てられたボーダ／エッジルータの間だけで維持される。各ＩＰ−ｉｎ−ＩＰトンネルを介して、フィルタルータ２３０は、その対応するボーダ／エッジルータと共にｅＢＧＰセッションを維持する。さらに、ボーダおよびエッジルータは、ＩＰ−ｉｎ−ＩＰトンネルを使用して、ＤＤｏＳ攻撃の際にＤＤｏＳおよび非ＤＤｏＳトラフィックをフィルタルータにリダイレクトする。したがって、ＩＰ−ｉｎ−ＩＰトンネルにより、フィルタルータ、ボーダルータ、およびエッジルータの間は論理的に隣接していることを維持し、それによって、フィルタルータ、ならびにボーダおよびエッジルータが、ＩＳＰネットワーク２０２内で物理的に隔離されることが可能になる。ＩＰ−ｉｎ−ＩＰトンネルは、フィルタルータ／解析エンジンが起こり得るＤＤｏＳ攻撃の通知を受けるのに先立って、ネットワーク設定の際に予めプロビジョニングれることに留意されたい。
【００２８】
本発明によれば、顧客ネットワーク２０４に関連付けられたセンサ２３４などのセンサが、ＤＤｏＳ攻撃を検出し、このイベントを解析エンジン２３２に通知したとき、解析エンジンは、フィルタルータ２３０を、新しいルーティング情報を公示するように設定する。フィルタルータは、それが各ボーダおよびエッジルータと共に維持するｅＢＧＰセッションを用いて、この新しいルーティング情報を公示する。フィルタルータによって公示された新しいルーティング情報は、顧客ネットワーク２０４に向けて送られることになっているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを、例えばＩＰ−ｉｎ−ＩＰトンネルを介してフィルタルータ２３０に向けて送るように、ボーダおよびエッジルータに指示する。
【００２９】
ボーダおよびエッジルータが、前述のように再設定されると、フィルタルータ２３０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６の入口ポイントでＤＤｏＳおよび非ＤＤｏＳトラフィックの両方の受け取りを開始する。予め定められた／予め設けられたトラフィックフィルタ２５０のセットは、各ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６のフィルタルータの入口ポートにある。悪意のあるトラフィックを除去するため、ボーダ／エッジルータからリダイレクトされたトラフィックは、ＤＤｏＳ攻撃の際に自動的にこれらのフィルタに通される。トラフィックフィルタが、非ＤＤｏＳトラフィックを通過させ、次いで、フィルタルータが、このトラフィックをエッジルータ２２６および顧客ネットワーク２０４に送るためにＩＳＰネットワーク２０２に送り返す。フィルタルータは、顧客ネットワーク２０４に非ＤＤｏＳトラフィックを送るために、（顧客ネットワーク２０４が攻撃を受けていることを想定して）ＩＰ−ｉｎ−ＩＰトンネル２４２を使用しないことに留意されたい。
【００３０】
予め定められた／予め設けられたトラフィックフィルタ２５０については、本発明によるいくつかの種類がある。第１組のトラフィックフィルタ２５０は、ＳｔａｃｈｅｌｄｒａｈｔおよびＴＦＮ２Ｋなど既知のＤＤｏＳ攻撃メカニズムのシグネチャと合致するトラフィックを除去する、シグネチャに基づくフィルタである。第２組のトラフィックフィルタ２５０は、様々なプロトコル標準で有効であると定義された範囲を越えるフィールド値を有するパケットを除去する。最後に、本発明によれば、第３組のトラフィックフィルタ２５０は、「入口ボーダルータフィルタ（ｉｎｇｒｅｓｓ ｂｏｒｄｅｒ ｒｏｕｔｅｒ ｆｉｌｔｅｒ）」である。具体的には、ＩＳＰネットワーク２０２（またはＩＳＰ顧客ネットワーク２０４／２０６）に割り振られずにＩＳＰネットワーク内の特定のＩＰアドレスに向けられる特定のＩＰアドレスブロックから到着するトラフィックは、ＩＳＰネットワーク２０２に隣接する特定のピア自律システム２０８、２１０、および２１２にマップすることができることを本発明者は発見した。言い換えれば、ＩＳＰネットワーク２０２の外部のアドレスから開始する任意のＩＰアドレスブロックからのトラフィックが与えられたとすると、どのピア自律システム２１０、２１２、または２０８から（すなわち、どのボーダルータ２２０、２２２、または２２４を介して）、そのトラフィックがＩＳＰネットワーク２０２に入るのかを予め定めることができる。あるＩＰアドレスブロックに関連する外部トラフィックは、予め定められたピア自律システムから発信されても、単にそのシステムを使用してＩＳＰネットワークに入ってもよいことに留意されたい。攻撃者がＩＰスプーフィングを用いて攻撃元のクライアントおよびエージェントを隠すことが多いので、この発見によりＤＤｏＳ攻撃トラフィックをさらに除去することが可能となる。言い換えれば、ＤＤｏＳ攻撃の際に、隣接ピア自律システム２１０、２１２、または２０８／ボーダルータ２２０、２２２、または２２４からＩＳＰ２０２に入ってくる悪意のあるトラフィックは、その隣接するピア自律システム／ボーダルータからＩＳＰネットワークに入る通常のトラフィックと一致しないソースＩＰアドレスをしばしば有する。したがって、通常は各ボーダルータを通過しＩＳＰネットワーク２０２に向けて送られる予定のＩＰアドレスブロックを知ることにより、フィルタルータ２３０に１組の「入口ボーダルータフィルタ」を予め設ける。所与のボーダルータからのＩＰ−ｉｎ−ＩＰトンネルの入口ポート上に与えられた「入口ボーダルータフィルタ」は、そのボーダルータを介してＩＳＰネットワークに通常入るソースＩＰアドレスを有していないトラフィックを除去する。本発明によれば、フィルタルータ２３０に、上述の種類とは別の種類のトラフィックルータ２５０を設けることもできることに留意されたい。
【００３１】
ボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８を参照すると、これらは、市販の入手可能な製品である。これらのシステムは、ＩＰ−ｉｎ−ＩＰトンネルを事前に設定する必要がある以外は、通常通りに動作し、ＤＤｏＳ攻撃を軽減するために解析エンジン２３２によるアクセスを必要としない。
【００３２】
本発明の独創的な、ボーダ／エッジルータ、ＩＰ−ｉｎ−ＩＰトンネル、解析エンジン、およびフィルタルータ／トラフィックフィルタの組み合わせは、いくつかの利点を有する。第１に、複数のフィルタルータが使用される場合、フィルタルータ間またはボーダルータ間での同期／調整が必要ではない。したがって、追加の顧客ネットワークがＩＳＰネットワーク２０２に追加され、かつ／または追加のピアネットワークがＩＳＰネットワークに組み込まれる場合、本発明の独創的なシステムは、追加のフィルタルータおよびボーダ／エッジルータを追加することによって容易に拡張される。第２に、攻撃を受けている顧客ネットワークに向けて送られる予定のＤＤｏＳおよび非ＤＤｏＳトラフィックは、ＩＰ−ｉｎ−ＩＰトンネルを使用して、フィルタルータに経路変更されるため、ＩＳＰネットワーク２０２のコアを構成するルータは、攻撃を軽減するために再設定する必要がない。したがって、攻撃を受けていない顧客ネットワークに向けて送られるトラフィックは、影響を受けない。同様に、本発明の独創的なシステムは、攻撃を緩和するために、稼動中のネットワークルータにアクセスする必要がなく、このようなアクセスする必要がないネットワークルータには、コアネットワークルータが含まれ、さらに重要なことにボーダおよびエッジルータも含まれる。これらのボーダおよびエッジルータは、ＩＳＰネットワークの既存の機能／プロトコル（すなわちｅＢＧＰ）を用いて再設定される。第３に、ハイエンドフィルタルータは、悪意のあるトラフィックを除去するので、エッジルータ２２６／２２８、アクセスリンク２１６／２１７、およびアクセスルータ２１４／２１５の限られた資源が、悪意のあるトラフィックによって、より多く費やされることがない。したがって、攻撃が緩和されたあと、非ＤＤｏＳトラフィックの遅延は最小限になる。
【００３３】
図３Ａ〜３Ｃは、本発明の独創的なＤＤｏＳ検出および軽減システムの動作を示す簡略化されたネットワークを示す図である。図３Ａでは、顧客ネットワーク２０４は、ピア自律システム２１０および２１２、ならびに顧客ネットワーク２０６から、悪意のあるＤＤｏＳトラフィック３０２、および所望の非ＤＤｏＳトラフィック３０４を受け取っている（要素３０５は、ＤＤｏＳおよび非ＤＤｏＳトラフィックについての手掛かりを与えている）。図３Ｂに示すように、センサ２３４のセンサフィルタ２４８は、ＤＤｏＳ攻撃を検出し、センサは、攻撃通知３０６を解析エンジン２３２に発行する。解析エンジンは、矢印３０８で示すように、フィルタルータ２３０を、ボーダおよびエッジルータ２２０、２２２、および２２８に新しいルーティング情報を公示するように設定し、この新しいルーティング情報の公示は、矢印３１０、３１２、および３１４で示されている。フィルタルータは、それがボーダおよびエッジルータと共にＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、および２４４を介して維持するｅＢＧＰセッションによって、新しいルーティング情報を公示する。図３Ｃに示すように、新しいルーティング情報に応答して、ボーダおよびエッジルータは、顧客ネットワーク２０４を対象とするＤＤｏＳトラフィック３０２および非ＤＤｏＳトラフィック３０４をリダイレクトして、（要素３０７は、リダイレクトされたＤＤｏＳおよび非ＤＤｏＳトラフィックについての手掛かりを与えている）ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、および２４４を介してフィルタルータ２３０に送る。フィルタルータは、トラフィックフィルタ２５０によって、ＤＤｏＳトラフィックを、ＩＰ−ｉｎ−ＩＰトンネルを介して受け取った着信トラフィックから除去し、非ＤＤｏＳトラフィックを、矢印３１２で示すように、ＩＳＰネットワーク２０２上に返して顧客ネットワークに向けて渡す。
【００３４】
本発明の上述の実施形態は例示にすぎない。他の多数の実施形態は、本発明の趣旨および範囲を逸脱することなく当業者によって考案することができる。
【００３５】
頭字語の説明
ＤＯＳ： サービス妨害（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）
ＤＤｏＳ： 分散サービス妨害（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）
ＤＳＬ： デジタル加入者線（ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）
ｅＢＧＰ： 外部ボーダゲートウェイプロトコル（Ｅｘｔｅｒｎａｌ Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ）
ＩＭＣＰ： インターネット制御メッセージプロトコル（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）
ＩＤＭＥＦ： 侵入検知メッセージ交換フォーマット（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｅｓｓａｇｅ Ｅｘｃｈａｎｇｅ Ｆｏｒｍａｔ）
ＩＰ： インターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）
ＩＰＳｅｃ： ＩＰセキュリティ（ＩＰ Ｓｅｃｕｒｉｔｙ）
ＩＳＤＮ： 総合デジタル通信サービス網（Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ）
ＩＳＰ： インターネットサービスプロバイダ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）
ＳＯＨＯ： スモールオフィス／ホームオフィス（Ｓｍａｌｌ Ｏｆｆｉｃｅ／Ｈｏｍｅ Ｏｆｆｉｃｅ）
ＴＣＰ： 伝送制御プロトコル（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）
ＵＤＰ： ユーザデータグラムプロトコル（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）
ＸＭＬ： 拡張マークアップ言語（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）
【図面の簡単な説明】
【００３６】
【図１】本発明の独創的なＤＤｏＳ検出および軽減システムを適用することができる従来技術の例示的ネットワークであって、ＩＳＰネットワーク、ＩＳＰネットワークからサービスを受ける顧客ネットワーク、および、ＩＳＰネットワークに対してピアの複数の自律システムを含むネットワークを示す図である。
【図２】図１に示すネットワークに適用される本発明の独創的なＤＤｏＳ検出および軽減システムの例示的実施形態を示す図であり、本発明の独創的なシステムは、顧客ネットワークに向けられたＤＤｏＳ攻撃を検出するためのセンサを含み、さらに、ＩＳＰネットワーク内に、検出された攻撃を軽減するための、解析エンジン、フィルタルータ、ボーダ／エッジルータ、およびＩＰ−ｉｎ−ＩＰトンネルを含む図である。図である。
【図３Ａ】図２に示す本発明のＤＤｏＳ検出および軽減システムの動作の実例を示し、顧客ネットワークがＤＤｏＳおよび非ＤＤｏＳトラフィックを受け取ることを示す図である。
【図３Ｂ】図２に示す本発明のＤＤｏＳ検出および軽減システムの動作の実例を示し、顧客ネットワークに関連付けられたセンサが、解析エンジンに攻撃について通知することを示し、さらに、解析エンジンが、顧客ネットワークに向かう予定のトラフィックについての新しいルーティング情報を、ＩＰ−ｉｎ−ＩＰトンネルを介してボーダおよびエッジルータに公示するように、フィルタルータを設定することを示す図である。
【図３Ｃ】図２に示す本発明のＤＤｏＳ検出および軽減システムの動作の実例を示し、ＤＤｏＳおよび非ＤＤｏＳトラフィックが、ボーダおよびエッジルータによってリダイレクトされ、ＩＰ−ｉｎ−ＩＰトンネルを介してフィルタルータに送られること、ならびに、フィルタルータが、ＤＤｏＳトラフィックを除去し、非ＤＤｏＳトラフィックを、顧客ネットワークに送るためにＩＳＰネットワーク上に返すことを示す図である。
【技術分野】
【０００１】
本発明は、一般に、通信ネットワーク上でのサービス妨害攻撃および分散サービス妨害攻撃（併せてＤＤｏｓ攻撃と呼ばれる）などのサービス攻撃を軽減することに関する。より詳細には、本発明は、エッジ／顧客ネットワークに向けられたＤＤｏｓ攻撃を検出すること、ならびに、サービスプロバイダネットワークにおけるＤＤｏｓおよび非ＤＤｏｓトラフィックをリダイレクトし、次いで、ＤＤｏｓトラフィックがエッジ／顧客ネットワークに到達する前に選択的にそのトラフィックを除去することによってこのような攻撃を軽減することに関する。
【背景技術】
【０００２】
サービス妨害（ＤｏＳ）攻撃および分散サービス妨害（ＤＤｏＳ）攻撃は、インターネットにおいて引き続き増大しつつある懸念材料である。ＤｏＳ攻撃では、大量の偽装したネットワークトラフィックによって、コンピュータが、ターゲットとするシステムにフラッディング（ｆｌｏｏｄ）を起こさせる。ＤＤｏＳ攻撃は、ＤｏＳ攻撃に類似するがそれよりも大規模なものである。この場合、ハッカーは、クライアントコンピュータを使用して、通常はインターネットを介して地理的に分散している複数のエージェントコンピュータに侵入する。ハッカーは、エージェントにアクセスすると、ターゲットとするネットワークおよび／またはサーバを偽装したネットワークトラフィックによってフラッディングを起こすため、クライアントコンピュータによって制御され後で他のエージェントと連動してクライアントコンピュータによって使用されるソフトウェアモジュールをインストールする。ＤＤｏＳ攻撃は、ＤｏＳ攻撃と比べて、より大量のトラフィックを発生させ、また多数のトラフィックのソースがあるため、攻撃を阻止することがより難しくなり、さらに破壊的なものとなる。
【０００３】
一般に、ＤｏＳおよびＤＤｏＳ攻撃は、ターゲットのネットワークのバンド幅を消費し、ターゲットのサーバを酷使し、それによって、正当なトラフィック／ユーザが、ターゲットのネットワークおよびサーバにアクセスするのを妨害することを目的としている。このような攻撃は、ＴＦＮ２Ｋ、およびＳｔａｃｈｅｌｄｒａｈｔ（シュタッヒェルドラート）のようなインターネットから容易に入手可能な攻撃ツールを使用して比較的簡単に作り出すことができるため、今日では深刻な問題となっている。一般に、ＤｏＳおよびＤＤｏＳ攻撃は、ネットワークの活動を停止させ、したがってビジネスの活動を数時間あるいは数日間も停止させるおそれがある。
【０００４】
ＤｏＳおよびＤＤｏＳ攻撃（以下、ＤＤｏＳを、ＤｏＳ攻撃とＤＤｏＳ攻撃の両方を指すものとして使用する）を検出し軽減するためにいくつかのシステムが開発された。これらのシステムは、１つのエンティティのネットワーク内にその全体が存在し、攻撃の検出と軽減の両方をこのネットワークにおいて（ａｔ ｔｈｉｓ ｐｏｉｎｔ）行う。図１は、具体的には、インターネット１０２、ＩＳＰ（インターネットサービスプロバイダ）ネットワーク１０４、ＩＳＰネットワーク１０４のサービスを受けるエッジ／顧客ネットワーク１０６、ならびに複数のピアの自律システム１０８、１１０、および１１１を含む、例示的なネットワークを示す。インターネット１０２、ＩＳＰネットワーク１０４、およびピアの自律システム１０８、１１０、および１１２は、ボーダルータ１１４、１１６、１１８、１２０、１２２、１２４、１２６、および１２８によって相互接続され、ＩＳＰネットワーク１０４、および顧客ネットワーク１０６は、エッジルータ１３０、アクセスルータ１３２、およびアクセスリンク１３４によって相互接続されている。顧客ネットワーク１０６およびそのネットワーク内のサーバなどターゲットのネットワークに対するＤＤｏＳ攻撃は、インターネット１０２、およびピアの自律システム１０８、１１０、および１１２に位置する複数のエージェントから発信される。従来のＤＤｏＳ検出および軽減システムは、専用のハードウェアを備え、それは顧客ネットワーク１０６内に設けられる。これらのシステムは、ネットワークに入ってくるインターネットトラフィックを監視することにより、ＤＤｏＳ攻撃を軽減する。これらのシステムは、そのようなトラフィックを解析して、期待されるトラフィックプロファイルからの逸脱があるかどうかを決定し、または、ある種の攻撃に固有のシグネチャ（すなわち、各種のＤＤｏＳ攻撃によって生成されたパケットは、攻撃の種類に応じて固有のパターンを有するが、そのパターンをシグネチャと呼ぶ）をトラフィックが有するかどうかを決定する。これらのシステムは、期待されるプロファイルに反し、または既知のシグネチャと一致するトラフィックを検出すると、１組のフィルタを設定してファイアウォールのように機能し、それにより悪意のあるトラフィックがさらにネットワーク１０６に入るのを防止する。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
これらのシステムは、攻撃を検出し軽減することができるが、いくつかの欠点を有する。第１に、ＩＳＰによってサービスされる各顧客ネットワーク１０６では、攻撃を検出し軽減するための専用ハードウェアを購入する必要がある。専用ハードウェアは、大規模の顧客には選択肢となり得るが、このようなシステムを入手することができないＳＯＨＯ（スモールオフィス／ホームオフィス）などのより小規模の顧客には、実行可能な解決策ではない。結果として、このようなより小規模な顧客は、ＤＤｏＳ攻撃の軽減をＩＳＰに依頼することになる。しかし、悪意のあるクライアント／エージェントは、ＩＰ（インターネットプロトコル）ソースアドレスのスプーフィング（ｓｐｏｏｆｉｎｇ）を用いて、その身元を隠すことが多いため、しばしばＩＳＰが攻撃を緩和することが困難となる。ＩＰスプーフィングのため、ＩＳＰは、まず稼動中のルータにアクセスすることなく、悪意のあるトラフィックのネットワーク内への入口点を簡単に決定することはできず、その結果、悪意のあるトラフィックを除去するためにＩＳＰが適切なフィルタを設定することは容易ではないのである。このような従来のシステムの第２の欠点は、ターゲットにおいてＤＤｏＳ攻撃を軽減することが難しいことである。上述したように、具体的には、ＤＤｏＳ攻撃が検出されると、トラフィックのフィルタリングは、顧客ネットワーク１０６において行われる。したがって、ＩＳＰネットワーク１０４は、続いて、エッジルータ１３０、アクセスルータ１３２、およびアクセスリンク１３４を介して顧客ネットワーク１０６において、悪意のあるトラフィックと有効なトラフィックの両方について集約して方向付けるが、そのアクセスリンクは、例えば、Ｔ−１、デジタル加入者線、またはＩＳＤＮ（総合デジタル通信サービス網）などの数百ｋｂｐｓの比較的狭いバンド幅を有することがある。したがって、このような従来のシステムは、顧客ネットワーク１０６内からボトルネック（ｂｏｔｔｌｅｎｅｃｋ）を除去する一方で、顧客ネットワークにアクセスするために使用される（エッジルータ、アクセスリンク、およびアクセスルータを含む）限られた資源は、引き続き、ＤＤｏＳ攻撃によって消費される可能性があり、したがって引き続き、ＤＤｏＳ攻撃によって、有効なネットワークトラフィックに対するボトルネックが作り出されることを阻止できない。その結果、顧客ネットワーク１０６を対象とする有効なネットワークトラフィックは、やはり悪意のあるトラフィックと競合しなければならなくなる。したがって、このような現行のシステムでは、攻撃が充分に軽減されないという問題がある。
【０００６】
したがって、従来のシステムの欠点を解消し、顧客ネットワークに対するＤＤｏＳ攻撃を含めたサービス攻撃を検出し軽減する方法および装置を有することが望ましい。
【課題を解決するための手段】
【０００７】
具体的には、本発明によれば、ＩＳＰネットワークの各顧客ネットワークにセンサが関連付けられる。このセンサは、顧客ネットワークに入っていくネットワークトラフィックにアクセス可能で、ＤＤｏＳ攻撃を検出することを目的とする、複数のセンサフィルタを含むモジュールである。このセンサモジュールは、顧客ネットワークまたはＩＳＰネットワーク内に設置されたホストプラットフォーム上で実行される。このホストプラットフォームは、ＤＤｏＳトラフィックを検出するために専用のものであるか、あるいは、顧客ネットワークまたはＩＳＰネットワーク内に既に設置され他の機能を担っている既存のプラットフォームである。センサは、攻撃を検出すると、攻撃を軽減するために、ＩＳＰネットワーク内に配置されている解析エンジンに通知を行う。
【０００８】
攻撃の通知を受け取ると、攻撃されている顧客ネットワークに基づいて、解析エンジンは、やはりＩＳＰネットワーク内に配置される１つまたは複数のフィルタルータを設定する。具体的には、各フィルタルータは、ＩＳＰネットワークを構成するボーダルータおよびエッジルータの全部または一部と共に、ＩＰ−ｉｎ−ＩＰトンネルを維持し、さらに、これらのＩＰ−ｉｎ−ＩＰトンネルを介して、それにより接続された各ボーダおよびエッジルータと共に、外部ボーダゲートウェイプロトコル（ｅｘｔｅｒｎａｌ ｂｏｒｄｅｒ ｇａｔｅｗａｙ ｐｒｏｔｏｃｏｌ）（ｅＢＧＰ）セッションを維持する。解析エンジンは、ｅＢＧＰセッションを使用して、新しいルーティング情報をボーダおよびエッジルータに公示するように、フィルタルータを設定する。新しいルーティング情報は、ボーダおよびエッジルータに、攻撃を受ける顧客ネットワークに向けられているすべてのＤＤｏＳトラフィックおよび非ＤＤｏＳトラフィックを経路変更し、ＩＰ−ｉｎ−ＩＰトンネルを使用してフィルタルータに向けて送るように指示する。
【０００９】
フィルタルータにおいて、ＩＰ−ｉｎ−ＩＰトンネルの入口ポートには、１組の予め設けられたトラフィックフィルタがある。ボーダおよびエッジルータからリダイレクトされたＤＤｏＳおよび非ＤＤｏＳトラフィックは、自動的にこれらのフィルタを介して渡され、それによってＤＤｏＳトラフィックが除去される。ＤＤｏＳ以外のトラフィックは、ＩＳＰネットワークに送り返され、顧客ネットワークに向けて送られる。
【００１０】
本発明の独創的な検出および軽減システムの結果として、ＤＤｏＳトラフィックは、まだＩＳＰネットワーク内にある間にハイエンドシステムによって除去され、集約されてカスタマネットワークに向け送られることはなく、したがって、ＤＤｏＳでないトラフィックは、ＤＤｏＳ攻撃の影響を受けずに大部分が顧客ネットワークに向けて移動することが可能になる。さらに、本発明の独創的なシステムは、ＩＳＰネットワークが成長するのに伴い、追加のフィルタルータおよびボーダ／エッジルータを加えることにより、容易に拡張することができる。さらに、ＤＤｏＳおよび非ＤＤｏＳのトラフィックを、ボーダおよびエッジルータからフィルタルータにリダイレクトするためにＩＰ−ｉｎ−ＩＰトンネルが使用されるので、ＩＳＰネットワークのコアを構成するルータを、攻撃を軽減するときに再設定する必要がない。結果として、本発明の独創的なシステムは、攻撃の対象となっていない顧客ネットワークに向けられたトラフィックに影響を与えない。最後に、本発明の独創的なシステムは、各顧客ネットワークに設置される専用／特別のハードウェアを必要としない。
【発明を実施するための最良の形態】
【００１１】
図２は、エッジ／顧客ネットワーク２０４／２０６におけるＤＤｏＳ攻撃を動的に検出しこれらの攻撃を軽減するための本発明の独創的なＤＤｏＳ検出および軽減システムの、例示的な実施形態を示す図である。本発明の独創的なシステムの特徴は、顧客ネットワーク２０４／２０６に向けられたＤＤｏＳ攻撃を検出し、ＩＳＰネットワーク２０２においてこれらの攻撃を軽減することである。重要な点は、本発明の独創的なシステムは、各顧客ネットワークにおいて特別な専用ハードウェアの設置を必要としないということである。さらに、本発明の独創的なシステムは、ＩＳＰネットワーク内においてＤＤｏＳ攻撃を軽減するため、悪意のあるトラフィックは、エッジルータ２２６／２２８、アクセスルータ２１４／２１５、およびアクセスリンク２１６／２１７を介して顧客ネットワーク２０４／２０６に向けて送られることはなく、したがってＤＤｏＳでないトラフィックに対するＤＤｏＳトラフィックの影響が除去されるようになるという点が重要である。
【００１２】
具体的には、本発明の独創的なＤＤｏＳ検出および軽減システムは、ボーダルータ２２０、２２２、および２２４、ならびにエッジルータ２２６、および２２８を含めたＩＳＰネットワーク２０２内の既存のインフラストラクチャを含み、さらにＩＳＰネットワーク内に配置された１つまたは複数のフィルタルータ２３０（図２には１つのフィルタルータのみを示す）、フィルタルータ２３０内に配置された複数のトラフィックルータ２５０、各ボーダおよびエッジルータから各フィルタルータへの予め設けられたＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６、ＩＳＰネットワーク内に配置された解析エンジン２３２、各顧客ネットワーク２０４／２０６に関連付けられたセンサ２３４／２３６、ならびに各センサ２３４／２３６に配置された複数のセンサフィルタ２４８を備える。ＩＳＰネットワーク２０２は、複数のコアネットワークルータおよび接続機器（ｃｏｎｎｅｃｔｉｏｎ）をさらに備え、これらのルータおよび接続機器は、解析エンジン２３２、フィルタルータ２３０、ならびにボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８を相互に接続する。作図を容易にするため、図２には、このようなコアのルータおよび接続機器を示していない。
【００１３】
本発明によれば、センサ２３４／２３６は、ＩＳＰネットワーク２０２からエッジルータ２２６／２２８、アクセスリンク２１６／２１７、およびアクセルータ２１４／２１５を経由して顧客ネットワーク２０４／２０６に入るすべてのトラフィックを監視し、起こり得るＤＤｏＳ攻撃に関してセンサフィルタ２４８を介して解析する。ネットワーク２０４などの顧客ネットワークに対するＤＤｏＳ攻撃は、インターネット２０８、ピアの自律システム２１０および２１２、ならびに／またはＩＳＰネットワーク２０２からサービスを受ける他の顧客ネットワーク２０６から発信される可能性がある。センサ２０４などのセンサは、攻撃を検知し、解析エンジン２３２にその攻撃について伝える。このような攻撃の表示を受け取ると、解析エンジン２３２は、各ボーダルータ２２０、２２２、および２２４、ならびに各エッジルータ２２８に新しいルーティング情報を公示する（あるいは、２つ以上のフィルタルータが用いられる場合は、ボーダおよびエッジルータの一部に公示する）よう、１つまたは複数のフィルタルータ２３０を設定する。フィルタルータ２３０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６を介して、この新しいルーティング情報をボーダおよびエッジルータに公示する。この新しいルーティング情報は、ボーダおよびエッジルータに、顧客ネットワークに向けられているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを経路変更し、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６を使用してフィルタルータ２３０に送るように指示する。トラフィックフィルタ２５０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６の入口ポートに予めプロビジョニングされており、ボーダおよびエッジルータからリダイレクトされたトラフィックを自動的にフィルタリングして、ＤＤｏＳトラフィックを除去し、すべての非ＤＤｏＳトラフィックをＩＳＰネットワーク２０２に送り返して顧客ネットワーク２０４に転送する。本発明の独創的な検出および軽減システムを使用した結果、ＤＤｏＳトラフィックは、ＩＳＰ２０２内にあるうちにハイエンドシステムによって除去され、エッジルータ２２６、アクセスリンク２１６、およびアクセスルータ２１４を介し顧客ネットワーク２０４に向けて集約され送られることがなくなり、したがって、これらの資源におけるボトルネックの発生が防止される。したがって、非ＤＤｏＳトラフィックは、ＤＤｏＳ攻撃の影響を受けずに大部分が顧客ネットワーク２０４に向けて引き続き移動することが可能になる。
【００１４】
後にさらに説明するが、センサ２３４／２３６およびセンサフィルタ２４８は、顧客ネットワークおよび／またはＩＳＰネットワーク内の既存のハードウェアモジュール上に存在することが望ましく、それによって顧客ネットワーク内に専用の特別なハードウェアを設置する必要が回避される点も重要である。さらに、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６が、ボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８からフィルタルータ２３０にトラフィックをリダイレクトするために使用されることから、ＤＤｏＳ攻撃を軽減するためにＩＳＰネットワーク２０２を再設定する必要はなく、したがって他のトラフィック、および攻撃のターゲットでなくＩＳＰネットワーク２０２からサービスを受ける他の顧客ネットワークに対し発生する可能性のある影響が回避される。同様に、本発明の独創的なシステムは、攻撃を軽減するため、コアネットワークルータ、ならびにボーダおよびエッジルータを含めて稼動中のネットワークルータにアクセスする必要がない。
【００１５】
次に、本発明の独創的なＤＤｏＳ検出および軽減システムを構成する各コンポーネントを詳細に説明する。センサ２３４／２３６は、ＩＳＰネットワーク２０２から顧客ネットワーク２０４／２０６に入るすべてのトラフィックに対して可視性を有する。センサは、（図２に示す）顧客ネットワークに、またはＩＳＰネットワーク２０２に対する顧客ネットワークのアクセスポイントに設置されたホストプラットフォーム上で（すなわち、顧客ネットワークに入るすべてのトラフィックに対してセンサが可視性を有する位置で）実行される。このホストプラットフォームは、ＤＤｏＳトラフィックを検出するために専用のものか、または顧客ネットワークおよび／またはＩＳＰネットワーク内に既に設置され他の機能を担っている既存のプラットフォームである。センサ２３４／２３６を使用することに加え、本発明によるＤＤｏＳ検出および軽減システムは、顧客ネットワーク内に設置されたサードパーティの侵入検知システムに組み込むこともできることに留意されたい。このようなシナリオでは、サードパーティの侵入検知システムは、上述のように、ＤＤｏＳ攻撃を検出し、それを解析エンジン２３２に通知して、攻撃を軽減する。同様に、本発明の独創的なシステムは、手動で活動状態にすることもでき、その場合、顧客ネットワークの管理者が、ＤＤｏＳ攻撃をＩＳＰに報告し、次いでＩＳＰが解析エンジン２３２を活動状態にする。
【００１６】
センサ２３４／２３６は、顧客ネットワークに入るすべてのトラフィックを監視し、顧客ネットワークに流れ込む現在のＴＣＰ（伝送制御プロトコル）、ＵＤＰ（ユーザデータグラムプロトコル）、ＩＣＭＰ（インターネット制御メッセージプロトコル）、およびＩＰのパケットに関係するパケット種別の情報を、センサフィルタ２４８を介して追跡し、顧客ネットワークに入っていくビットレートに関係するレートの種別情報を追跡する。センサフィルタ２４８は、いくつかの種類を含む。第１組のセンサフィルタ２４８は、パケットに基づく情報を使用して、ＳｔａｃｈｅｌｄｒａｈｔおよびＴＦＮ２Ｋなど既知のＤＤｏＳ攻撃ツールに対応するＤＤｏＳフラッディングトラフィックに対してシグネチャに基づく検出を実行する。第２組のセンサフィルタ２４８は、無効のフィールド値に関してパケットヘッダを解析する。具体的には、本発明者は、プロトコル標準に基づいて、様々なプロトコルについて様々なパケットヘッダフィールドでの有効な値の範囲を決定した。センサフィルタは、パケットヘッダを解析して、定義された有効値の範囲を越えたフィールド値を探し、無効なフィールド値が発見されたときにエラーを検出する。第３組のセンサフィルタは、ビットレート情報を使用して、設定可能な閾値に基づき、ＤＤｏＳフラッディングトラフィックに対して量に基づく検出を実行する。ＤＤｏＳフラッディングトラフィックのシグネチャに基づく検出は、既知の攻撃ツールを対象とし、パケットヘッダ検出は、定義されたプロトコル標準に基づいているが、量に基づく検出は、新しい／未知の種類のＤＤｏＳ攻撃を検出することができる。
【００１７】
ＤＤｏＳ攻撃を検出することに加え、第４組のフィルタ２４８は、収集したパケット情報を使用して、ＤＤｏＳ制御トラフィックのシグネチャに基づく検出を実行する。制御トラフィックを検出することにより、センサフィルタは、対応する顧客ネットワーク内のホストが、ＤＤｏＳ攻撃元のクライアントまたはエージェントとしてアクセスされ利用されているかどうかを決定することができる。本発明によれば、上記以外の他の種類のセンサフィルタ２４８を、センサ２３４／２３６に設けることもできることに留意されたい。
【００１８】
ＤＤｏＳ制御トラフィックが検出されたかどうか、あるいは、ＤＤｏＳ攻撃が検出されたかどうかにかかわらず、センサ２３４／２３６は、このイベントの通知を解析エンジン２３２に送る。具体的には、センサ２３４／２３６がＤＤｏＳ制御トラフィックを検出した場合、センサはＤＤｏＳ制御シグネチャに基づく通知を解析エンジンに送る。センサがＤＤｏＳ攻撃を検出した場合、センサはＤＤｏＳ攻撃に基づく通知を解析エンジン２３２に送る。
【００１９】
センサ２３４／２３６と解析エンジン２３２の間の通知の通信は、任意の種類の通信チャネルを介して行うことができる。ただし、センサ２３４／２３６と解析エンジン２３２の間での通信は、ＩＰＳｅｃ（ＩＰセキュリティ）トンネルを介して行われることが好ましく、このトンネルは手動または自動で確立することができる。さらに、通知は、侵入検知メッセージ交換フォーマット（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｅｓｓａｇｅ Ｅｘｃｈａｎｇｅ Ｆｏｒｍａｔ）（ＩＤＭＥＦ）を用いてフォーマットされることが好ましく、それにより、解析エンジンは、上述のようにサードパーティの侵入検知システムに容易に組み込むことができる。このようなデータフォーマットは、例えばＸＭＬ（拡張マークアップ言語）を使用して実装することができる。
【００２０】
解析エンジン２３２は、例えばネットワークオペレーションセンタにおけるＩＳＰネットワーク２０２内に存在し、各顧客ネットワーク２０４および２０６に関連付けられた１つまたは複数のセンサ２３４および２３６にサービスする。先に示したように、本発明によれば、センサがＤＤｏＳ制御トラフィックまたはＤＤｏＳ攻撃を検出したとき、解析エンジンはセンサから自動通知を受け取る。解析エンジンは、ＤＤｏＳ制御に基づく通知を受け取ったとき、ＩＳＰポリシーマネージャ（ｐｏｌｉｃｙ ｍａｎａｇｅｒ）に通知を行う。解析エンジンは、ＤＤｏＳ攻撃に基づく通知を受け取ったとき、１つまたは複数のフィルタルータ２３０を設定することにより自動的に攻撃を軽減する。具体的には、解析エンジンは、新しいルーティング情報をボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８に公示するようにフィルタルータを設定する。フィルタルータからの新しいルーティン情報は、攻撃を受ける顧客ネットワークに向けて送られることになっているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを経路変更してフィルタルータに送るようにボーダおよびエッジルータに指示する。
【００２１】
ＩＳＰネットワーク２０２により検出された攻撃を軽減することが可能となるが、これに加え、解析エンジン２３２は、本発明の独創的なＤＤｏＳ検出および軽減システムの維持も行う。具体的には、解析エンジンは、フィルタエンジン２３０上にトラフィックフィルタ２５０のプロビジョニングを予め行い、また、センサ２３４／２３６上にセンサフィルタ２４８を予めプロビジョニングする。さらに、ＩＳＰネットワークの防御の姿勢／ポリシーに応じて、解析エンジンは、いくつかのトラフィックフィルタ２５０およびセンサフィルタ２５８を無効にすることによってフィルタルータ２３０およびセンサ２３４／２３６におけるフィルタリングの重大度を自動的に調節することができ、したがってマルチレベルのフィルタリングを作成することができる。
【００２２】
同様に、解析エンジン２３２、センサフィルタ２４８、およびトラフィックフィルタ２５０の更新も行う。ＤＤｏＳフラッディングトラフィックおよびＤＤｏＳ制御トラフィックを検出するために使用されるセンサフィルタ２４８は、既知の攻撃ツールのシグネチャに基づいている。新しい攻撃ツールが作り出されたときは、その新しいツールのシグネチャに対応する新しいセンサフィルタが必要とされる。したがって、解析エンジンは、必要とされる新しいセンサフィルタ２４８をダウンロードすることによって、定期的にセンサ２３４および２３６を更新することができる。同様に、フィルタルータ２３０にあるトラフィックフィルタ２５０は、既知の攻撃ツールのシグネチャに基づき、さらに、後述するように、ボーダルータを介した予測されるＩＰパケットの流れにも基づいている。新しい攻撃ツールが作り出され、またＩＰルーティング／フローを変更するネットワーク設定が変更されるのに応じ、やはり、解析エンジンは、必要とされる新しいトラフィックフィルタ２５０をダウンロードすることによって、フィルタルータ２３０を定期的に更新することができる。
【００２３】
最後に、解析エンジン２３２は、ＩＳＰネットワークのエッジにおいてＤＤｏＳ攻撃を遮断するのを支援する。具体的には、トラフィックフィルタ２５０がパケットを廃棄していく際、解析エンジンは、各ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６についてフィルタルータ２３０によって維持されるパケット廃棄カウンタ（ｐａｃｋｅｔ−ｄｒｏｐ−ｃｏｕｎｔｅｒ）に、定期的にポーリング（ｐｏｌｌ）することができる。どのフィルタがパケットを廃棄しているかを知ることにより、解析エンジンは、どのボーダおよび／またはエッジルータ２２０、２２２、２２４、２２６、および２３０がＤＤｏＳフラッディングを生成するために使用されているか、したがって、どのピア自律システム２０８、２１０、２１２、２０４、および２０６がＤＤｏＳフラッディングを生成するために使用されているかを決定することができる。これには、攻撃元を決定し遮断しようと試みる場合に、ボーダおよびエッジルータなど稼動中のネットワークルータにアクセスする必要がないという利点がある。
【００２４】
同様に、解析エンジン２３２は、ＤＤｏＳ攻撃がいつ完了したかを決定することができ、ネットワークをその元の状態に回復することができる。具体的には、フィルタルータ２３０によって維持されるパケット廃棄カウンタを定期的にポーリングすることにより、解析エンジン２３２は、いつカウンタがもはや増分されないかを決定することができる。解析エンジン２３２は、カウンタが増分を停止したときにＤＤｏＳ攻撃が終了したと結論付けることができる。したがって、解析エンジン２３２は、ＤＤｏＳおよび非ＤＤｏＳトラフィックをもはやフィルタルータ２４０にリダイレクトしないようボーダおよびエッジルータに指示するｅＢＧＰルーティング情報を、ボーダおよびエッジルータに送るようにフィルタ２４０を設定することができ、したがってネットワークは元の状態に回復する。
【００２５】
図示されているフィルタルータ２３０を参照すると、それはＩＳＰネットワーク２０２内にある。ＩＳＰネットワークのサイズ、ならびに／またはＩＳＰネットワークからサービスを受ける顧客ネットワーク２０４および２０６の数およびサイズに応じて、本発明のシステムは、複数のフィルタルータを含むことができる。これらのフィルタルータは、本発明の独創的なトラフィックフィルタ２５０に対応する複数の特定のパケットフィルタを有し、パケットフィルタリングファイアウォール機能を有する、市販の入手可能なハイエンドルータである。またはこれに代えて、フィルタルータ２３０は、別個のハイエンドルータ、および別個のファイアウォールを有する２つの市販の入手可能なシステムを備えることができる。ここでは、本発明の独創的なトラフィックフィルタ２５０は、ファイアウォールコンポーネント内に組み込まれている。
【００２６】
解析エンジン２３２がアクセスして、上述のフィルタルータに事前に所定の値を設定し、および自動的に設定することが可能である。解析エンジンは、事前設定によって、予め定められたある時間に、トラフィックフィルタ２５０を、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６の各入口ポートに設ける。さらに、解析エンジンは、トラフィックフィルタ２５０を必要に応じて更新することもできる。解析エンジンは、自動化設定によって、フィルタルータが、ＤＤｏＳ攻撃時に新しいルーティング情報を公示するように設定する。フィルタルータと解析エンジンの間での事前設定および自動化設定の通信は、ＩＰＳｅｃトンネルなどのセキュアな通信を介して行われることが好ましい。
【００２７】
フィルタルータは、ＩＳＰネットワーク２０２内の各ボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８と共に、予めプロビジョニングされたＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４２、２４４、および２４６を維持する。あるいは、複数のフィルタルータがＩＳＰネットワーク内に設置されている場合、各フィルタルータは、ボーダおよびエッジルータのうち一部だけに割り当てることができ、この場合は、ＩＰ−ｉｎ−ＩＰトンネルは、フィルタルータとそれが割り当てられたボーダ／エッジルータの間だけで維持される。各ＩＰ−ｉｎ−ＩＰトンネルを介して、フィルタルータ２３０は、その対応するボーダ／エッジルータと共にｅＢＧＰセッションを維持する。さらに、ボーダおよびエッジルータは、ＩＰ−ｉｎ−ＩＰトンネルを使用して、ＤＤｏＳ攻撃の際にＤＤｏＳおよび非ＤＤｏＳトラフィックをフィルタルータにリダイレクトする。したがって、ＩＰ−ｉｎ−ＩＰトンネルにより、フィルタルータ、ボーダルータ、およびエッジルータの間は論理的に隣接していることを維持し、それによって、フィルタルータ、ならびにボーダおよびエッジルータが、ＩＳＰネットワーク２０２内で物理的に隔離されることが可能になる。ＩＰ−ｉｎ−ＩＰトンネルは、フィルタルータ／解析エンジンが起こり得るＤＤｏＳ攻撃の通知を受けるのに先立って、ネットワーク設定の際に予めプロビジョニングれることに留意されたい。
【００２８】
本発明によれば、顧客ネットワーク２０４に関連付けられたセンサ２３４などのセンサが、ＤＤｏＳ攻撃を検出し、このイベントを解析エンジン２３２に通知したとき、解析エンジンは、フィルタルータ２３０を、新しいルーティング情報を公示するように設定する。フィルタルータは、それが各ボーダおよびエッジルータと共に維持するｅＢＧＰセッションを用いて、この新しいルーティング情報を公示する。フィルタルータによって公示された新しいルーティング情報は、顧客ネットワーク２０４に向けて送られることになっているすべてのＤＤｏＳおよび非ＤＤｏＳトラフィックを、例えばＩＰ−ｉｎ−ＩＰトンネルを介してフィルタルータ２３０に向けて送るように、ボーダおよびエッジルータに指示する。
【００２９】
ボーダおよびエッジルータが、前述のように再設定されると、フィルタルータ２３０は、ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６の入口ポイントでＤＤｏＳおよび非ＤＤｏＳトラフィックの両方の受け取りを開始する。予め定められた／予め設けられたトラフィックフィルタ２５０のセットは、各ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、２４４、および２４６のフィルタルータの入口ポートにある。悪意のあるトラフィックを除去するため、ボーダ／エッジルータからリダイレクトされたトラフィックは、ＤＤｏＳ攻撃の際に自動的にこれらのフィルタに通される。トラフィックフィルタが、非ＤＤｏＳトラフィックを通過させ、次いで、フィルタルータが、このトラフィックをエッジルータ２２６および顧客ネットワーク２０４に送るためにＩＳＰネットワーク２０２に送り返す。フィルタルータは、顧客ネットワーク２０４に非ＤＤｏＳトラフィックを送るために、（顧客ネットワーク２０４が攻撃を受けていることを想定して）ＩＰ−ｉｎ−ＩＰトンネル２４２を使用しないことに留意されたい。
【００３０】
予め定められた／予め設けられたトラフィックフィルタ２５０については、本発明によるいくつかの種類がある。第１組のトラフィックフィルタ２５０は、ＳｔａｃｈｅｌｄｒａｈｔおよびＴＦＮ２Ｋなど既知のＤＤｏＳ攻撃メカニズムのシグネチャと合致するトラフィックを除去する、シグネチャに基づくフィルタである。第２組のトラフィックフィルタ２５０は、様々なプロトコル標準で有効であると定義された範囲を越えるフィールド値を有するパケットを除去する。最後に、本発明によれば、第３組のトラフィックフィルタ２５０は、「入口ボーダルータフィルタ（ｉｎｇｒｅｓｓ ｂｏｒｄｅｒ ｒｏｕｔｅｒ ｆｉｌｔｅｒ）」である。具体的には、ＩＳＰネットワーク２０２（またはＩＳＰ顧客ネットワーク２０４／２０６）に割り振られずにＩＳＰネットワーク内の特定のＩＰアドレスに向けられる特定のＩＰアドレスブロックから到着するトラフィックは、ＩＳＰネットワーク２０２に隣接する特定のピア自律システム２０８、２１０、および２１２にマップすることができることを本発明者は発見した。言い換えれば、ＩＳＰネットワーク２０２の外部のアドレスから開始する任意のＩＰアドレスブロックからのトラフィックが与えられたとすると、どのピア自律システム２１０、２１２、または２０８から（すなわち、どのボーダルータ２２０、２２２、または２２４を介して）、そのトラフィックがＩＳＰネットワーク２０２に入るのかを予め定めることができる。あるＩＰアドレスブロックに関連する外部トラフィックは、予め定められたピア自律システムから発信されても、単にそのシステムを使用してＩＳＰネットワークに入ってもよいことに留意されたい。攻撃者がＩＰスプーフィングを用いて攻撃元のクライアントおよびエージェントを隠すことが多いので、この発見によりＤＤｏＳ攻撃トラフィックをさらに除去することが可能となる。言い換えれば、ＤＤｏＳ攻撃の際に、隣接ピア自律システム２１０、２１２、または２０８／ボーダルータ２２０、２２２、または２２４からＩＳＰ２０２に入ってくる悪意のあるトラフィックは、その隣接するピア自律システム／ボーダルータからＩＳＰネットワークに入る通常のトラフィックと一致しないソースＩＰアドレスをしばしば有する。したがって、通常は各ボーダルータを通過しＩＳＰネットワーク２０２に向けて送られる予定のＩＰアドレスブロックを知ることにより、フィルタルータ２３０に１組の「入口ボーダルータフィルタ」を予め設ける。所与のボーダルータからのＩＰ−ｉｎ−ＩＰトンネルの入口ポート上に与えられた「入口ボーダルータフィルタ」は、そのボーダルータを介してＩＳＰネットワークに通常入るソースＩＰアドレスを有していないトラフィックを除去する。本発明によれば、フィルタルータ２３０に、上述の種類とは別の種類のトラフィックルータ２５０を設けることもできることに留意されたい。
【００３１】
ボーダおよびエッジルータ２２０、２２２、２２４、２２６、および２２８を参照すると、これらは、市販の入手可能な製品である。これらのシステムは、ＩＰ−ｉｎ−ＩＰトンネルを事前に設定する必要がある以外は、通常通りに動作し、ＤＤｏＳ攻撃を軽減するために解析エンジン２３２によるアクセスを必要としない。
【００３２】
本発明の独創的な、ボーダ／エッジルータ、ＩＰ−ｉｎ−ＩＰトンネル、解析エンジン、およびフィルタルータ／トラフィックフィルタの組み合わせは、いくつかの利点を有する。第１に、複数のフィルタルータが使用される場合、フィルタルータ間またはボーダルータ間での同期／調整が必要ではない。したがって、追加の顧客ネットワークがＩＳＰネットワーク２０２に追加され、かつ／または追加のピアネットワークがＩＳＰネットワークに組み込まれる場合、本発明の独創的なシステムは、追加のフィルタルータおよびボーダ／エッジルータを追加することによって容易に拡張される。第２に、攻撃を受けている顧客ネットワークに向けて送られる予定のＤＤｏＳおよび非ＤＤｏＳトラフィックは、ＩＰ−ｉｎ−ＩＰトンネルを使用して、フィルタルータに経路変更されるため、ＩＳＰネットワーク２０２のコアを構成するルータは、攻撃を軽減するために再設定する必要がない。したがって、攻撃を受けていない顧客ネットワークに向けて送られるトラフィックは、影響を受けない。同様に、本発明の独創的なシステムは、攻撃を緩和するために、稼動中のネットワークルータにアクセスする必要がなく、このようなアクセスする必要がないネットワークルータには、コアネットワークルータが含まれ、さらに重要なことにボーダおよびエッジルータも含まれる。これらのボーダおよびエッジルータは、ＩＳＰネットワークの既存の機能／プロトコル（すなわちｅＢＧＰ）を用いて再設定される。第３に、ハイエンドフィルタルータは、悪意のあるトラフィックを除去するので、エッジルータ２２６／２２８、アクセスリンク２１６／２１７、およびアクセスルータ２１４／２１５の限られた資源が、悪意のあるトラフィックによって、より多く費やされることがない。したがって、攻撃が緩和されたあと、非ＤＤｏＳトラフィックの遅延は最小限になる。
【００３３】
図３Ａ〜３Ｃは、本発明の独創的なＤＤｏＳ検出および軽減システムの動作を示す簡略化されたネットワークを示す図である。図３Ａでは、顧客ネットワーク２０４は、ピア自律システム２１０および２１２、ならびに顧客ネットワーク２０６から、悪意のあるＤＤｏＳトラフィック３０２、および所望の非ＤＤｏＳトラフィック３０４を受け取っている（要素３０５は、ＤＤｏＳおよび非ＤＤｏＳトラフィックについての手掛かりを与えている）。図３Ｂに示すように、センサ２３４のセンサフィルタ２４８は、ＤＤｏＳ攻撃を検出し、センサは、攻撃通知３０６を解析エンジン２３２に発行する。解析エンジンは、矢印３０８で示すように、フィルタルータ２３０を、ボーダおよびエッジルータ２２０、２２２、および２２８に新しいルーティング情報を公示するように設定し、この新しいルーティング情報の公示は、矢印３１０、３１２、および３１４で示されている。フィルタルータは、それがボーダおよびエッジルータと共にＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、および２４４を介して維持するｅＢＧＰセッションによって、新しいルーティング情報を公示する。図３Ｃに示すように、新しいルーティング情報に応答して、ボーダおよびエッジルータは、顧客ネットワーク２０４を対象とするＤＤｏＳトラフィック３０２および非ＤＤｏＳトラフィック３０４をリダイレクトして、（要素３０７は、リダイレクトされたＤＤｏＳおよび非ＤＤｏＳトラフィックについての手掛かりを与えている）ＩＰ−ｉｎ−ＩＰトンネル２３８、２４０、および２４４を介してフィルタルータ２３０に送る。フィルタルータは、トラフィックフィルタ２５０によって、ＤＤｏＳトラフィックを、ＩＰ−ｉｎ−ＩＰトンネルを介して受け取った着信トラフィックから除去し、非ＤＤｏＳトラフィックを、矢印３１２で示すように、ＩＳＰネットワーク２０２上に返して顧客ネットワークに向けて渡す。
【００３４】
本発明の上述の実施形態は例示にすぎない。他の多数の実施形態は、本発明の趣旨および範囲を逸脱することなく当業者によって考案することができる。
【００３５】
頭字語の説明
ＤＯＳ： サービス妨害（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）
ＤＤｏＳ： 分散サービス妨害（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）
ＤＳＬ： デジタル加入者線（ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）
ｅＢＧＰ： 外部ボーダゲートウェイプロトコル（Ｅｘｔｅｒｎａｌ Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ）
ＩＭＣＰ： インターネット制御メッセージプロトコル（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）
ＩＤＭＥＦ： 侵入検知メッセージ交換フォーマット（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｅｓｓａｇｅ Ｅｘｃｈａｎｇｅ Ｆｏｒｍａｔ）
ＩＰ： インターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）
ＩＰＳｅｃ： ＩＰセキュリティ（ＩＰ Ｓｅｃｕｒｉｔｙ）
ＩＳＤＮ： 総合デジタル通信サービス網（Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ）
ＩＳＰ： インターネットサービスプロバイダ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）
ＳＯＨＯ： スモールオフィス／ホームオフィス（Ｓｍａｌｌ Ｏｆｆｉｃｅ／Ｈｏｍｅ Ｏｆｆｉｃｅ）
ＴＣＰ： 伝送制御プロトコル（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）
ＵＤＰ： ユーザデータグラムプロトコル（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）
ＸＭＬ： 拡張マークアップ言語（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）
【図面の簡単な説明】
【００３６】
【図１】本発明の独創的なＤＤｏＳ検出および軽減システムを適用することができる従来技術の例示的ネットワークであって、ＩＳＰネットワーク、ＩＳＰネットワークからサービスを受ける顧客ネットワーク、および、ＩＳＰネットワークに対してピアの複数の自律システムを含むネットワークを示す図である。
【図２】図１に示すネットワークに適用される本発明の独創的なＤＤｏＳ検出および軽減システムの例示的実施形態を示す図であり、本発明の独創的なシステムは、顧客ネットワークに向けられたＤＤｏＳ攻撃を検出するためのセンサを含み、さらに、ＩＳＰネットワーク内に、検出された攻撃を軽減するための、解析エンジン、フィルタルータ、ボーダ／エッジルータ、およびＩＰ−ｉｎ−ＩＰトンネルを含む図である。図である。
【図３Ａ】図２に示す本発明のＤＤｏＳ検出および軽減システムの動作の実例を示し、顧客ネットワークがＤＤｏＳおよび非ＤＤｏＳトラフィックを受け取ることを示す図である。
【図３Ｂ】図２に示す本発明のＤＤｏＳ検出および軽減システムの動作の実例を示し、顧客ネットワークに関連付けられたセンサが、解析エンジンに攻撃について通知することを示し、さらに、解析エンジンが、顧客ネットワークに向かう予定のトラフィックについての新しいルーティング情報を、ＩＰ−ｉｎ−ＩＰトンネルを介してボーダおよびエッジルータに公示するように、フィルタルータを設定することを示す図である。
【図３Ｃ】図２に示す本発明のＤＤｏＳ検出および軽減システムの動作の実例を示し、ＤＤｏＳおよび非ＤＤｏＳトラフィックが、ボーダおよびエッジルータによってリダイレクトされ、ＩＰ−ｉｎ−ＩＰトンネルを介してフィルタルータに送られること、ならびに、フィルタルータが、ＤＤｏＳトラフィックを除去し、非ＤＤｏＳトラフィックを、顧客ネットワークに送るためにＩＳＰネットワーク上に返すことを示す図である。
【特許請求の範囲】
【請求項１】
複数のボーダルータおよびエッジルータを含むインターネットサービスプロバイダ（ＩＳＰ）ネットワークに接続された目標である特定のエッジネットワークに対するサービス攻撃を軽減するシステムであって、
前記ＩＳＰネットワーク内にあり、前記目標である特定のエッジネットワークに対するサービス攻撃が検出されると通知を受ける解析エンジンと、
前記フィルタルータに設けられる複数のトラフィックフィルタを含む、前記ボーダおよびエッジルータとは異なるフィルタルータと
を備え、
前記解析エンジンは、サービス攻撃を通知されると、新しいルーティング情報を前記ボーダおよびエッジルータのうちの１つまたは複数に公示するように前記フィルタルータを設定し、前記公示された新しいルーティング情報は、前記ボーダおよびエッジルータに、前記目標である特定のエッジネットワークを対象とする前記サービス攻撃およびサービス攻撃でないトラフィックのみを前記フィルタルータにリダイレクトするように指示し、前記トラフィックフィルタは、前記リダイレクトされたサービス攻撃トラフィックを前記ＩＳＰネットワークから除去し、前記リダイレクトされたサービス攻撃でないトラフィックが、前記目標である特定のエッジネットワークに進むことを可能にすることを特徴とするシステム。
【請求項２】
前記目標である特定のエッジネットワークに入るトラフィックにアクセスすることができ、前記アクセスのトラフィックを解析して、前記目標である特定のエッジネットワークに対する前記サービス攻撃を検出する複数のセンサフィルタをさらに備えたことを特徴とする請求項１に記載のシステム。
【請求項３】
前記センサフィルタおよび前記トラフィックフィルタは、前記トラフィックを構成するパケットのヘッダが、定義された範囲を越えるフィールド値を有するかどうかに基づいて、サービス攻撃の検出および除去をそれぞれ行うパケットヘッダに基づくフィルタを含むことを特徴とする請求項２に記載のシステム。
【請求項４】
前記センサフィルタは、サービス攻撃によるフラッディングのトラフィックの量に基づく検出を行うボリュームベースのフィルタを含むことを特徴とする請求項２に記載のシステム。
【請求項５】
前記トラフィックフィルタは、所与のパケットが、所与のボーダルータを介して前記ＩＳＰネットワークに入り、前記所与のボーダルータを介して前記ネットワークに入ると期待されるＩＰアドレスのブロックと合致しない発信アドレスを有する場合、前記所与のパケットを除去するフィルタを含むことを特徴とする請求項１に記載のシステム。
【請求項６】
前記解析エンジンは、サービス攻撃に先立ち、前記センサフィルタおよび前記トラフィックフィルタを予めプロビジョニングすることができることを特徴とする請求項２に記載のシステム。
【請求項７】
前記解析エンジンは、前記システムの前記検出の重大度を調節するため、１つまたは複数の設けられたトラフィックフィルタおよびセンサフィルタを無効にすることができることを特徴とする請求項６に記載のシステム。
【請求項８】
各々が前記フィルタルータと、ボーダまたはエッジルータとの間に設けられた複数のＩＰ−ｉｎ−ＩＰトンネルであって、前記リダイレクトされたサービス攻撃トラフィックおよびサービス攻撃でないトラフィックは、前記ボーダおよびエッジルータから前記ＩＰ−ｉｎ−ＩＰトンネルを介して前記複数のトラフィックフィルタを有する前記フィルタルータに向けて送られ、前記複数のトラフィックフィルタは、前記ボーダおよびエッジルータから離れた前記フィルタルータにおける各ＩＰ−ｉｎ−ＩＰトンネルの入口点に設けられているトンネルと、
前記フィルタルータにおいて各ＩＰ−ｉｎ−ＩＰトンネルごとに、次いでリダイレクトされたサービス攻撃およびサービス攻撃でないトラフィックから除去されたパケットをカウントするパケット廃棄カウンタと
をさらに備え、前記解析エンジンは、前記パケット廃棄カウンタをポーリングし、当該カウントを用いて、前記攻撃を発信している１つまたは複数のボーダまたはエッジルータを決定する機能を有することを特徴とする請求項１に記載のシステム。
【請求項９】
前記サービス攻撃およびサービス攻撃でないトラフィックは、前記サービス攻撃トラフィックを除去するために自動的に前記トラフィックフィルタに通され、前記トラフィックフィルタは、所与のパケットが、所与のボーダルータを介して前記ＩＳＰネットワークに入り、前記所与のボーダルータを介して前記ネットワークに入ると期待されるＩＰアドレスのブロックと合致しない発信アドレスを有する場合に、前記所与のパケットを除去することを特徴とする請求項１に記載のシステム。
【請求項１０】
前記センサフィルタは、新しい種類のサービス攻撃を検出し軽減するために、自動的に更新することができることを特徴とする請求項２に記載のシステム。
【請求項１１】
前記トラフィックフィルタのうちの１つまたは複数を、前記システムの検出の重大度を調節するため、無効にする機能を有することを特徴とする請求項２に記載のシステム。
【請求項１２】
複数のボーダおよびエッジルータ、ならびに前記ボーダおよびエッジルータとは異なるフィルタルータを含むインターネットサービスプロバイダ（ＩＳＰ）ネットワークに接続された目標である特定のエッジネットワークに対するサービス攻撃を軽減するための方法であって、
前記目標である特定のエッジネットワークに対するサービス攻撃を検出するステップと、
攻撃の通知を前記ＩＳＰネットワークに送るステップと、
前記攻撃通知に応答して、新しいルーティング情報を前記ボーダおよびエッジルータに公示するステップであって、前記ルーティング情報は、前記目標である特定のエッジネットワークに向けて送られることになっている前記サービス攻撃およびサービス攻撃でないトラフィックを前記フィルタルータにリダイレクトするという情報であるステップと、
前記サービス攻撃トラフィックを除去するために、前記フィルタルータによって、前記リダイレクトされたサービス攻撃およびサービス攻撃でないトラフィックをフィルタリングするステップと、
前記サービス攻撃でないトラフィックを前記目標である特定のエッジネットワークに転送するステップと
を備えたことを特徴とする方法。
【請求項１３】
前記サービス攻撃およびサービス攻撃でないトラフィックは、前記ボーダおよびエッジルータから前記フィルタルータにリダイレクトされＩＰ−ｉｎ−ＩＰトンネルを介して送られることを特徴とする請求項１２に記載の方法。
【請求項１４】
前記フィルタリングするステップは、前記ボーダおよびエッジルータとは異なる前記フィルタルータにおける複数のトラフィックフィルタによって行われることを特徴とする請求項１２に記載の方法。
【請求項１５】
前記ボーダおよびエッジルータとは異なる前記フィルタルータにおける前記トラフィックフィルタは、所与のパケットが、あるボーダルータを介して前記ＩＳＰネットワークに入り、前記所与のボーダルータを介して前記ＩＳＰネットワークに入ると期待されるＩＰアドレスのブロックと合致しない発信アドレスを有する場合に、前記所与のパケットを除去するフィルタを含むことを特徴とする請求項１４に記載の方法。
【請求項１６】
前記検出の重大度を調節するため、前記トラフィックフィルタのうちの１つまたは複数を無効にするステップをさらに備えたことを特徴とする請求項１４に記載の方法。
【請求項１７】
前記目標である特定のエッジネットワークに向けられたサービス攻撃制御トラフィックを検出するステップと、
サービス攻撃制御トラフィックの通知を、前記ＩＳＰネットワークに送るステップと
をさらに備えたことを特徴とする請求項１２に記載の方法。
【請求項１８】
サービス攻撃トラフィックが除去されるのに伴って、前記フィルタルータによって増分される複数のパケット廃棄カウンタを定期的にポーリングするステップと、
前記パケット廃棄カウンタを用いて、どの１つまたは複数のボーダまたはエッジルータによって、前記攻撃が発信されているのかを決定するステップと
をさらに備えたことを特徴とする請求項１２に記載の方法。
【請求項１】
複数のボーダルータおよびエッジルータを含むインターネットサービスプロバイダ（ＩＳＰ）ネットワークに接続された目標である特定のエッジネットワークに対するサービス攻撃を軽減するシステムであって、
前記ＩＳＰネットワーク内にあり、前記目標である特定のエッジネットワークに対するサービス攻撃が検出されると通知を受ける解析エンジンと、
前記フィルタルータに設けられる複数のトラフィックフィルタを含む、前記ボーダおよびエッジルータとは異なるフィルタルータと
を備え、
前記解析エンジンは、サービス攻撃を通知されると、新しいルーティング情報を前記ボーダおよびエッジルータのうちの１つまたは複数に公示するように前記フィルタルータを設定し、前記公示された新しいルーティング情報は、前記ボーダおよびエッジルータに、前記目標である特定のエッジネットワークを対象とする前記サービス攻撃およびサービス攻撃でないトラフィックのみを前記フィルタルータにリダイレクトするように指示し、前記トラフィックフィルタは、前記リダイレクトされたサービス攻撃トラフィックを前記ＩＳＰネットワークから除去し、前記リダイレクトされたサービス攻撃でないトラフィックが、前記目標である特定のエッジネットワークに進むことを可能にすることを特徴とするシステム。
【請求項２】
前記目標である特定のエッジネットワークに入るトラフィックにアクセスすることができ、前記アクセスのトラフィックを解析して、前記目標である特定のエッジネットワークに対する前記サービス攻撃を検出する複数のセンサフィルタをさらに備えたことを特徴とする請求項１に記載のシステム。
【請求項３】
前記センサフィルタおよび前記トラフィックフィルタは、前記トラフィックを構成するパケットのヘッダが、定義された範囲を越えるフィールド値を有するかどうかに基づいて、サービス攻撃の検出および除去をそれぞれ行うパケットヘッダに基づくフィルタを含むことを特徴とする請求項２に記載のシステム。
【請求項４】
前記センサフィルタは、サービス攻撃によるフラッディングのトラフィックの量に基づく検出を行うボリュームベースのフィルタを含むことを特徴とする請求項２に記載のシステム。
【請求項５】
前記トラフィックフィルタは、所与のパケットが、所与のボーダルータを介して前記ＩＳＰネットワークに入り、前記所与のボーダルータを介して前記ネットワークに入ると期待されるＩＰアドレスのブロックと合致しない発信アドレスを有する場合、前記所与のパケットを除去するフィルタを含むことを特徴とする請求項１に記載のシステム。
【請求項６】
前記解析エンジンは、サービス攻撃に先立ち、前記センサフィルタおよび前記トラフィックフィルタを予めプロビジョニングすることができることを特徴とする請求項２に記載のシステム。
【請求項７】
前記解析エンジンは、前記システムの前記検出の重大度を調節するため、１つまたは複数の設けられたトラフィックフィルタおよびセンサフィルタを無効にすることができることを特徴とする請求項６に記載のシステム。
【請求項８】
各々が前記フィルタルータと、ボーダまたはエッジルータとの間に設けられた複数のＩＰ−ｉｎ−ＩＰトンネルであって、前記リダイレクトされたサービス攻撃トラフィックおよびサービス攻撃でないトラフィックは、前記ボーダおよびエッジルータから前記ＩＰ−ｉｎ−ＩＰトンネルを介して前記複数のトラフィックフィルタを有する前記フィルタルータに向けて送られ、前記複数のトラフィックフィルタは、前記ボーダおよびエッジルータから離れた前記フィルタルータにおける各ＩＰ−ｉｎ−ＩＰトンネルの入口点に設けられているトンネルと、
前記フィルタルータにおいて各ＩＰ−ｉｎ−ＩＰトンネルごとに、次いでリダイレクトされたサービス攻撃およびサービス攻撃でないトラフィックから除去されたパケットをカウントするパケット廃棄カウンタと
をさらに備え、前記解析エンジンは、前記パケット廃棄カウンタをポーリングし、当該カウントを用いて、前記攻撃を発信している１つまたは複数のボーダまたはエッジルータを決定する機能を有することを特徴とする請求項１に記載のシステム。
【請求項９】
前記サービス攻撃およびサービス攻撃でないトラフィックは、前記サービス攻撃トラフィックを除去するために自動的に前記トラフィックフィルタに通され、前記トラフィックフィルタは、所与のパケットが、所与のボーダルータを介して前記ＩＳＰネットワークに入り、前記所与のボーダルータを介して前記ネットワークに入ると期待されるＩＰアドレスのブロックと合致しない発信アドレスを有する場合に、前記所与のパケットを除去することを特徴とする請求項１に記載のシステム。
【請求項１０】
前記センサフィルタは、新しい種類のサービス攻撃を検出し軽減するために、自動的に更新することができることを特徴とする請求項２に記載のシステム。
【請求項１１】
前記トラフィックフィルタのうちの１つまたは複数を、前記システムの検出の重大度を調節するため、無効にする機能を有することを特徴とする請求項２に記載のシステム。
【請求項１２】
複数のボーダおよびエッジルータ、ならびに前記ボーダおよびエッジルータとは異なるフィルタルータを含むインターネットサービスプロバイダ（ＩＳＰ）ネットワークに接続された目標である特定のエッジネットワークに対するサービス攻撃を軽減するための方法であって、
前記目標である特定のエッジネットワークに対するサービス攻撃を検出するステップと、
攻撃の通知を前記ＩＳＰネットワークに送るステップと、
前記攻撃通知に応答して、新しいルーティング情報を前記ボーダおよびエッジルータに公示するステップであって、前記ルーティング情報は、前記目標である特定のエッジネットワークに向けて送られることになっている前記サービス攻撃およびサービス攻撃でないトラフィックを前記フィルタルータにリダイレクトするという情報であるステップと、
前記サービス攻撃トラフィックを除去するために、前記フィルタルータによって、前記リダイレクトされたサービス攻撃およびサービス攻撃でないトラフィックをフィルタリングするステップと、
前記サービス攻撃でないトラフィックを前記目標である特定のエッジネットワークに転送するステップと
を備えたことを特徴とする方法。
【請求項１３】
前記サービス攻撃およびサービス攻撃でないトラフィックは、前記ボーダおよびエッジルータから前記フィルタルータにリダイレクトされＩＰ−ｉｎ−ＩＰトンネルを介して送られることを特徴とする請求項１２に記載の方法。
【請求項１４】
前記フィルタリングするステップは、前記ボーダおよびエッジルータとは異なる前記フィルタルータにおける複数のトラフィックフィルタによって行われることを特徴とする請求項１２に記載の方法。
【請求項１５】
前記ボーダおよびエッジルータとは異なる前記フィルタルータにおける前記トラフィックフィルタは、所与のパケットが、あるボーダルータを介して前記ＩＳＰネットワークに入り、前記所与のボーダルータを介して前記ＩＳＰネットワークに入ると期待されるＩＰアドレスのブロックと合致しない発信アドレスを有する場合に、前記所与のパケットを除去するフィルタを含むことを特徴とする請求項１４に記載の方法。
【請求項１６】
前記検出の重大度を調節するため、前記トラフィックフィルタのうちの１つまたは複数を無効にするステップをさらに備えたことを特徴とする請求項１４に記載の方法。
【請求項１７】
前記目標である特定のエッジネットワークに向けられたサービス攻撃制御トラフィックを検出するステップと、
サービス攻撃制御トラフィックの通知を、前記ＩＳＰネットワークに送るステップと
をさらに備えたことを特徴とする請求項１２に記載の方法。
【請求項１８】
サービス攻撃トラフィックが除去されるのに伴って、前記フィルタルータによって増分される複数のパケット廃棄カウンタを定期的にポーリングするステップと、
前記パケット廃棄カウンタを用いて、どの１つまたは複数のボーダまたはエッジルータによって、前記攻撃が発信されているのかを決定するステップと
をさらに備えたことを特徴とする請求項１２に記載の方法。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図３Ｃ】
【図２】
【図３Ａ】
【図３Ｂ】
【図３Ｃ】
【公表番号】特表２００６−５１７０６６（Ｐ２００６−５１７０６６Ａ）
【公表日】平成１８年７月１３日（２００６．７．１３）
【国際特許分類】
【出願番号】特願２００５−５１８８４８（Ｐ２００５−５１８８４８）
【出願日】平成１６年１月２７日（２００４．１．２７）
【国際出願番号】ＰＣＴ／ＵＳ２００４／００２２７１
【国際公開番号】ＷＯ２００４／０７０５３５
【国際公開日】平成１６年８月１９日（２００４．８．１９）
【出願人】（３９９０４７９２１）テルコーディア テクノロジーズ インコーポレイテッド (61)
【Ｆターム（参考）】
【公表日】平成１８年７月１３日（２００６．７．１３）
【国際特許分類】
【出願日】平成１６年１月２７日（２００４．１．２７）
【国際出願番号】ＰＣＴ／ＵＳ２００４／００２２７１
【国際公開番号】ＷＯ２００４／０７０５３５
【国際公開日】平成１６年８月１９日（２００４．８．１９）
【出願人】（３９９０４７９２１）テルコーディア テクノロジーズ インコーポレイテッド (61)
【Ｆターム（参考）】
[ Back to top ]