不正情報検知システム及び不正攻撃元探索システム
【課題】(D)DoS攻撃であるか否かの判定基準を容易化することができる(D)DoS攻撃検知および追跡、攻撃先特定システムを提供すること。
【解決手段】インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定することを特徴とする。
【解決手段】インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合には不正攻撃が行われていると判定することを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット回線を通じて送信されてきた情報が適正な情報であるかあるいは(D)DoSなどの不正な情報であるかを判定する不正情報検知システム及び不正攻撃元探索システムに関するものである。
【背景技術】
【０００２】
近年、ある企業や組織をターゲットにし、大量の不正な通信（パケット）を送信するサービス妨害攻撃が問題となっている。このような(D)DoS攻撃は、一般にはサーバの処理能力を超える大量の接続要求を一度に送りつけることや、通信回線の容量を不要な通信で埋め尽くすことで他の必要な通信を妨害し、通常業務を妨害したり、課金制ユーザーに対するプロバイダへのアクセス時間並びに通信会社への通信時間を延長させて納付料金を高騰させるといった弊害を与えるものである。いわゆる(D)DoS攻撃といわれるものである。
【０００３】
(D)DoS攻撃とは、攻撃対象機器およびネットワークの処理能力を上回る非常に甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
【０００４】
そこで、各パケットのヘッダ部分に含まれるSourceアドレス（送信元アドレス）を管理し、このような(D)DoS攻撃を送りつけたアドレスからの通信を２度と受信しないと共にその送信元に通信の終了を示すパケットを送り返すといった防止機能を付加したサービスが見受けられる。
【０００５】
しかしながら、このような防止サービスは、異なったSourceアドレスから（D）DoS攻撃を送りつけてきた場合には、その(D)DoS攻撃の受信を拒否することができないといった問題が生じていた。
【０００６】
一方、このような(D)DoS攻撃を送りつける送信元では、受信拒否された(D)DoS攻撃が送り返されてしまうと、自身のサーバおよびネットワークが容量オーバーとなってしまう。従って、送信元では、Sourceアドレスをランダムに偽造作成し、大量のパケットの各アドレスを異ならせたうえで特定宛先アドレスに(D)DoS攻撃を送信するといった対応で対抗してきているのが実情である。
【０００７】
これに対し、例えば、特許文献１では、不特定多数の電子メールに対し、電子メールのデータフォーマットのヘッダ部分に含まれるＴｏアドレス（送信先アドレス）を事前設定されたアカウント別メールヘッダ・コンテンツ書き換え定義にしたがい、受信した電子メールを書き換えた上でその書き換えメールアドレスに再送信（転送）し、特定メールサーバーヘの負荷を分散させている。
【０００８】
また、特許文献２では、同時に送信されてきた電子メールのＦｒｏｍアドレスに不明なものを大量に含むか否かを判定し、Ｆｒｏｍアドレスに不明なものが大量に含まれている場合には、その送信されてきた大量の電子メールのＦｒｏｍアドレスに送信メールを返信し、返信できた電子メールのみを適正な電子メールとして受信している。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００３−３１８９８７号公報
【特許文献２】特開２００３−２３４７８４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
ところで、送信元アドレスは容易に偽造し変更することが可能であるため、大量の送信元アドレスを事前に予測し、対応することは非常に困難である。
【００１１】
また、(D)DoS攻撃は個々のパケットレベルでは正常な通信との区別が困難なことから、なんらかの閾値を用いた検知が検討されているが、それらは対象となるネットワークの特性や利用状況によって大きく変化するものであるため、高い検知精度は期待できない。
【００１２】
また、(D)DoS攻撃は正常な通信との識別が困難なことから、間違った判断により正常な通信の送受信をも遮断してしまう可能性があった。
【００１３】
このように、従来技術では、(D)DoS攻撃の判定基準が複雑となっているため、検知が困難な小規模の(D)DoS攻撃の受信を余儀なくされたり、必要な通信をも受信拒否してしまうといった問題が生じていた。
【００１４】
本発明は、上記問題を解決するため、(D)DoS攻撃などの不正攻撃かあるか否かの判定基準を容易に行うことが可能な不正攻撃検知およびその追跡システムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
請求項１に係る発明は、インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、個々のフィールドの値の２つ以上の任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合には不正攻撃が行われていると判定する手段を備えたことを特徴とする不正情報検知システムである。フィールドの値としては、例えば、次のものが上げられる。
バージョン
ヘッダ長
ToS
全長
アイデンティフィケーション
フラグ
フラグメントオフセット
Time to Live
プロトコル
ヘッダチェックサム
発信元アドレス
到達先アドレス
オプション
ポート
【００１６】
あるフィールドの値の数は、例えば、フィールドの値が「発信元アドレス」として、区別できる発信元アドレスとして、ａ１（＝一郎）、ａ２（＝二郎）、ａ３（＝三郎）、・・・・ａｎ（＝ｎ郎）があった場合、フィールドの値の数はｎである。
【００１７】
また、フィールドの値の２つ以上の任意の組合せとして、例えば、フィールドの値として「発信元アドレス」と「到達先アドレス」との組合せによりフィールドの値を構成する。
まず前記同様、発信元アドレスとして、a1(＝一郎)、a2(＝二郎)、a3(＝三郎)、・・・・an(＝ｎ郎)があったとする。ak（ｋ＝１〜ｎ）について、到達アドレスの種類がmk個あるとすると、この場合における複数のフィールドの組合せにより構成されるフィールドの値の数はΣmk（ｋ＝１〜ｎ）となる。
【００１８】
請求項２に係る発明は、インターネット回線を通じて送信されてきたパケットのヘッダ内にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合には不正攻撃が行われていると判定することを特徴とする請求項４に記載の不正情報検知システムである。
【００１９】
前記パケットのヘッダ内にある送信元アドレスが詐称されたものではなく正規のものである場合、ホップ数はほぼ決まった値となることから、所定の値の範囲を予め設定しておくことで、ホップ数が前記所定の値の範囲から外れた場合に不正攻撃が行われていると判定することができる。
【００２０】
請求項３に係る発明は、請求項１乃至２に記載の不正情報検知システムを、インターネットの複数個所に設置することで不正攻撃の送信元を探索するようにしたことを特徴とする不正攻撃元探索システムである。
【００２１】
インターネットの複数個所に不正情報検知システムを設置して、各箇所で不正攻撃が行われているか判定する。例えば、２つの観測点で不正攻撃を検知した場合、２つの観測点を結ぶ経路を不正攻撃が通過したと判定することができるため、複数の観測点で不正攻撃が行われているか判定することで、不正攻撃の通過した経路を追跡することができ、不正攻撃の送信元を探索することができる。
【発明の効果】
【００２２】
本発明の不正情報検知システムによれば、同時に大量に送信されてきたパケットに対し、該パケットのヘッダ内のあるフィールド値の数が一定時間内に所定率に達した時に、略同期して送信元アドレス件数が所定率に達した場合には、その大量のパケットを(D)DoS攻撃パケットと判定することにより、特定の送信元アドレスに対して受信許可設定若しくは受信拒否設定をするといった細かく煩わしい設定をすることなく(D)DoS攻撃が送信されてきたことを認識および追跡することができる。
【図面の簡単な説明】
【００２３】
【図１】本発明の(D)DoS攻撃検知およびその追跡システムの概念図である。
【図２】（Ａ）はパケットデータフォーマットの説明図、（Ｂ）は通信量の一例を時系列で示したグラフ図、（Ｃ）はパケットのアドレス件数の一例を時系列で示したグラフ図である。
【図３】パケット探索を示す概念図である。
【図４】インターネットのシステムを示す概念図である。
【発明を実施するための形態】
【００２４】
前述した通り、ＤｏＳ攻撃とは、攻撃対象機器に処理能力を上回る非常に甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
このＤｏＳ攻撃は次のような特徴を有している。
【００２５】
例えば、ヘッダ内のフィールドの値の一つである発信元アドレスは偽造されている（偽のアドレスが用いられている）攻撃元の発信元
アドレスであるパケットをフィルタすることにより、ＤｏＳ攻撃をブロックされないように、ＤｏＳ攻撃の発信元アドレスはランダムに選択されていることが一般的である。
【００２６】
ＤｏＳは非常に莫大なパケットが送信されるので、次のような方法で検知される。
【００２７】
第１の方法は、攻撃パケットもしくは、不正なパケットの数を数える方法である。どのようなパケットが不正であるかを判断することはむずかしい。なぜなら、ＤｏＳ攻撃に使われるパケット一つ一つは正常なパケットであるからである。
【００２８】
第２の方法は、検知したパケット全て（攻撃パケットも含む）を数える方法である。ネットワークトラフィックは時々刻々動的に変化する。従って、単にネットワークトラフィック量が増大したからといって、その現象はＤｏＳ攻撃によるものだと指摘することはできない。また、既にトラフィック量が飽和状態である場合は、ＤｏＳ攻撃があったとしても、トラフィック量は増加しない。
【００２９】
それに対して、本形態における方法は、ＤｏＳ攻撃の検知方法は、トラフィックの発信元アドレスを数える方法である。もし攻撃者がランダムに発信元アドレスを選択しているならば、観測される発信元アドレスの数も増加しているはずである。ある一定時間間隔では、１個の発信元アドレスに対して、そのような発信元アドレスを持つパケットは複数観測されるのが通常である。しかし、攻撃の最中では一般的に１個の（偽造された）発信元アドレスに対して、攻撃パケットは１個しか観測されない。このようにＤｏＳ攻撃を検知することができる。
【００３０】
発信元アドレス、到達先アドレスとその他の情報・データから構成されている。時間間隔でパケットを数える。例えば、図３に示すように、ネットワーク（Ｎｅｔ１）と攻撃先（Ｔａｒｇｅｔ）との間の経路にパケットを観測するための手段を設けておき、そこで、パケットを観測すればよい。かかる手段としては、例えばスニファー（Ｓｎｉｆｆｅｒ）やパッシブ型プローブなどの機器がある。
【００３１】
スニファー（Ｓｎｉｆｆｅｒ）や、パッシブ型プローブなどの機器は全てのパケットを観測でき、それらの機器は以下の値を数えあげることができる。
パケットの全数
ある特定の発信元アドレスを持つパケット数
ある特定の到達先アドレスを持つパケット数
発信元アドレス毎のパケット数
到達先アドレス毎のパケット数
特定のタイプのパケット数
これらの値は、一定時間間隔毎に収集可能である。
【００３２】
次にＤｏｓ攻撃の追跡方法について述べる。
【００３３】
ＤｏＳ攻撃元の追跡方法としては、第１に、不正なパケットの経路をチェックする（パケット追跡）方法がある。しかし、どのようなパケットが不正なのかを知る必要がある。
【００３４】
第２に、トラフィックパターンをチェックする方法がある。しかし、この方法は、不正確である。
【００３５】
それに対して、本発明の実施の形態においては、経路上において観測されるアドレス数の変化をチェックする方法である。全ての経由地で同様な現象が観測されると推測される以下のようなパターンが観測される。
【００３６】
時間（任意単位） パケット数 発信元アドレス数
１ １０００ ５０
２ ８００ ６０
３ ９００ ５７
４ １２００ ６４
５ ５０ ３０
６ １５００ ５３０
７ １８００ ５５０
８ １７００ ５７０
９ ８００ ８０
１０ ９００ ６５
上記において、時間６、７、８においては、パケット数とともに発信元アドレス数が増加している。そこでは、ＤｏＳ攻撃がなされている。
【００３７】
一方、図４に示すように、インターネットの各経路にスニファーＳｎ（ｎ＝１，２，３，・・・）を置いておき、そこでの観測結果同士を比較すればどの経路でＤｏＳ攻撃がなされているかを知ることができる。その経路を遮断すればＤｏＳ攻撃元を追跡することができ、必要に応じてその経路を遮断すればよい。また、その経路からの所定のパケットを遮断すればよい。
【００３８】
なお、本発明において、フィールドの値としては、IPv4 プロトコルパケットを例にした場合、次のものが例示される。
バージョン領域
ヘッダ長領域
ToS 領域
全長領域
アイデンティフィケーション領域
フラグ領域
フラグメントオフセット領域
Time to Live 領域
プロトコル領域
ヘッダチェックサム領域
発信元アドレス領域
到達先アドレス領域
オプション領域
ポート領域
【００３９】
本発明においては、これらのフィールドの個々の値の件数を検知してもよい。また、これらの個々のフィールドの値の２以上の任意の組合せをフィールドの値としてその件数を検知してもよい。
【００４０】
以下に例を示す。
カテゴリは一つ、ないしは複数のヘッダ領域によって定められるパケットを分類できる性質のことである。
(カテゴリの例) プロトコル領域がTCPであるパケット全て
便宜上“Total カテゴリ”というカテゴリを定義する。全てのパケットはこのカテゴリに属する。
【００４１】
今までの統計分析手法は、モニタや探査装置により観測されたパケットから、全ての観測パケット数や、あるカテゴリに対するパケット観測数などの標本値を元にしてきた。
【００４２】
【表１】
Etc…
【００４３】
カテゴリ変換 (C-Transform) における統計分析では、検知したパケットが属するカテゴリの数に着目する。上記の例において、プロトコル領域ごとのカテゴリの数を見た場合以下の通りになる。
【表２】
このようにパケットの数の分布からカテゴリの数の分布を作成する方法のことをカテゴリ変換“C-Transform” と呼ぶ。
【００４４】
いくつかのヘッダ領域の和によって作成されたカテゴリがとる事が可能な最大のカテゴリの数はその領域の合わせた幅による。例えば幅が合わせて4ビットの領域で作成されるカテゴリの場合、最大のカテゴリの数は16個（2の4乗）である。
【００４５】
しかし、IPヘッダにおけるVersion領域とProtocol領域のように、予め定義された以外の値を持つことができないヘッダ領域がある(ASSIGNED NUMBERS, RFC
790 参照)。そのためこのような領域から作成できる意味のあるカテゴリは限定される。
【００４６】
また、32ビット（4294967296）の幅を持つ発信元アドレス、到達先アドレスのように非常に大きな値を取り得る領域からのカテゴリ変換 (C-Transform) は特に興味深い統計を提供することになる。
【００４７】
本発明においては、インターネット回線上における、前記情報のカテゴリ数が所定の値となった場合に当該情報を不正情報と認定する。またホップ数を効果的に活用することで検知および追跡の効率を向上する。
【００４８】
（検知方法）
カテゴリ数、パケット数、通信量をそれぞれ以下のように定義する。1...iは時系列に並んだ値とする。
カテゴリ数 : C1, .... Ci, ....
パケット数 : P1, .... Pi, ....
通信量 : O1, .... Oi, ....
このとき、以下の条件で検知する。
a. Ci >T
b. Ci / Ci+1 >T
c. Ci / {Pi|Oi} >T
ここで、T は閾値である。Tは固定値もしくはトラフィックデータから算出される値である。例えば、T = F X
movingAverageOfStatistic ( in a, b, c above)のように上記のa,b,cの値の移動平均になんらかの数Fを乗じて差出されたものである。
また、Fは固定あるいはトラフィックデータから算出される値である。例えば、F = A X
standardDeviationOfStatistic のように標準偏差を用いて算出されることもある。
Aは定数である
【００４９】
インターネットにおいては、情報の無限循環を防止するために、ヘッダのＴＴＬ(Time to Live)のフィールドの値に基づきＨＯＰ（ホップ）の数が０となったらその情報をインターネット上から落とすことが行われている。ところで、ある送信元情報が示された場合、それが詐称されたものではなく正規の場合ＨＯＰ数はほぼ決まっている。したがって、その決まっているＨＯＰ数と比較して、実際に送られた来た詐称情報の場合のＨＯＰ数が異なる場合その情報は不正情報と判断することができる。
【実施例】
【００５０】
次に、本発明の(D)DoS攻撃検知およびその追跡システムの実施例を図面に基づいて説明する。
【００５１】
図１は本発明の(D)DoS攻撃検知およびその追跡システムを示す図である。図１において、１はインターネット回線、２はインターネット回線１に接続された送信元のコンピュータ本体、３はインターネット回線１に接続された受信側コンピュータ、４はインターネット回線１と受信側コ
ンピュータ３との間に接続された通信監視装置である。
【００５２】
尚、この通信監視装置４はネットワークに接続されるが、受信側コンピュータ３がサーバ等であった場合には、そのサーバを通信監視装置４としても良い。
この場合、受信とはサーバで割り当てたポートに対する通信の受信を意味、判定のための受信は含まないものとする。また、受信側コンピュータ３がプロバイダ所有のメールサーバーであった場合には、他のインターネット回線を通じてメール受信端末（例えば、パーソナルコンピュータ等）が接続されることとなる。
【００５３】
通常、送信側コンピュータ２から送信されるパケットは、図２（Ａ）に示すように、その通信を構成するパケットのパケットデータフォーマット１０のヘッダ部１１に、送信元アドレスに相当するSourceアドレス１２と送信先アドレス（受信側アドレス）に相当するDestinationアドレス１３とが含まれている。
【００５４】
通信監視装置４は、送信された値の数若しくはパケット数と、Sourceアドレス１２の件数とを監視する。
【００５５】
例えば、通常の送受信を想定した場合、送信元コンピュータ２から受信側コンピュータ３に送信される値の数は１件であり、例え、他の送信側コンピュータ（図示せず）から略同時期に他の通信が受信側コンピュータ３に送信されたとしても、その値の数とSourceアドレス１２とは１対１で比例して増える。
【００５６】
また、例えば、特定の通常の通信が偶然大容量となることがあり得る。この場合、従来の通信量に基づく検知では、その量だけを問題として、不正であると誤って判断されることがある。
【００５７】
この問題は、多くの通信が集まる人気のあるコンテンツを運用するサーバでは特に顕著な問題となり、通常の通信と(D)DoS攻撃を識別することが非常に困難となる。
【００５８】
このような場合、メール監視装置４では、図２（Ｂ）のピークＰ１に示すように、通信量としては通常の通信量よりも多い件数のパケットが送信されてきた判定する。
【００５９】
しかしながら、各パケットのSourceアドレス１２は共通、あるいは特定のグループで占められることから、そのパケットを正式に受信する。尚、カテゴリ数が所定数以内であった場合（例えば、１０件未満）に、その受信を許容するようにしても良い。
【００６０】
一方、実際には１台の送信側コンピュータ２から送信されたパケットでありながら、送信元アドレス（Sourceアドレス１２）をランダムに偽装して大量のパケットを受信側コンピュータ３に送信してきた場合、通信監視装置４では、図２（Ｂ）及び図２（Ｃ）のピークＰ２，Ｐ３に示すように、通信量（若しくはパケット数）が通常の通信の送受信のときよりも多くなると同時に、その各パケットのSourceアドレス１２も略同時期に増大することになる。
【００６１】
従って、通信量（若しくはパケット数）が所定数（例えば、１００件）を越えた際、Sourceアドレス１２の数も略同時期に所定数（例えば、９０件）若しくは所定率（例えば、パケットの数に対して９０％）を超えた場合には、その受信を拒否する。
【００６２】
尚、このような一斉同時送信に対応した一定時間内に送信されてきた通信の件数（若しくはパケット数）の所定数並びにSourceアドレス数の所定数の設定は、サーバーの処理能力やネットワークの容量に応じたり、受信側コンピュータ３の所有者の業種等に応じたりして設定することができる。
【００６３】
例えば、受信側コンピュータ３の所有者の業種がインターネット検索サービスやチケット販売等であった場合、多くの人の検索要求や人気のある旅行プランやイベント内容に対するアクセスが殺到するといったことが想定される。
【００６４】
従って、これらの業種等では、日常的に通信量も多いことが想定できるため、その平均的な受信件数を考慮して所定値（件数等）を設定すればよい。
【００６５】
また、このようなアクセスが殺到した場合であっても、(D)DoS攻撃に相当するような全く同じ時間（瞬間的）に大量の情報が送信されてくることは想定されるが、判定のための一定時間の設定を短くするといった設定変更でも対応は可能である。
【００６６】
また、不正攻撃元探索もできる。
【００６７】
また、特定のサーバが近隣にない、ネットワークの中間点であっても判定された不正攻撃先を割りだすことができる。
【符号の説明】
【００６８】
１…インターネット回線
２…送信側コンピュータ
３…受信側コンピュータ
４…通信監視装置（判定手段）
【技術分野】
【０００１】
本発明は、インターネット回線を通じて送信されてきた情報が適正な情報であるかあるいは(D)DoSなどの不正な情報であるかを判定する不正情報検知システム及び不正攻撃元探索システムに関するものである。
【背景技術】
【０００２】
近年、ある企業や組織をターゲットにし、大量の不正な通信（パケット）を送信するサービス妨害攻撃が問題となっている。このような(D)DoS攻撃は、一般にはサーバの処理能力を超える大量の接続要求を一度に送りつけることや、通信回線の容量を不要な通信で埋め尽くすことで他の必要な通信を妨害し、通常業務を妨害したり、課金制ユーザーに対するプロバイダへのアクセス時間並びに通信会社への通信時間を延長させて納付料金を高騰させるといった弊害を与えるものである。いわゆる(D)DoS攻撃といわれるものである。
【０００３】
(D)DoS攻撃とは、攻撃対象機器およびネットワークの処理能力を上回る非常に甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
【０００４】
そこで、各パケットのヘッダ部分に含まれるSourceアドレス（送信元アドレス）を管理し、このような(D)DoS攻撃を送りつけたアドレスからの通信を２度と受信しないと共にその送信元に通信の終了を示すパケットを送り返すといった防止機能を付加したサービスが見受けられる。
【０００５】
しかしながら、このような防止サービスは、異なったSourceアドレスから（D）DoS攻撃を送りつけてきた場合には、その(D)DoS攻撃の受信を拒否することができないといった問題が生じていた。
【０００６】
一方、このような(D)DoS攻撃を送りつける送信元では、受信拒否された(D)DoS攻撃が送り返されてしまうと、自身のサーバおよびネットワークが容量オーバーとなってしまう。従って、送信元では、Sourceアドレスをランダムに偽造作成し、大量のパケットの各アドレスを異ならせたうえで特定宛先アドレスに(D)DoS攻撃を送信するといった対応で対抗してきているのが実情である。
【０００７】
これに対し、例えば、特許文献１では、不特定多数の電子メールに対し、電子メールのデータフォーマットのヘッダ部分に含まれるＴｏアドレス（送信先アドレス）を事前設定されたアカウント別メールヘッダ・コンテンツ書き換え定義にしたがい、受信した電子メールを書き換えた上でその書き換えメールアドレスに再送信（転送）し、特定メールサーバーヘの負荷を分散させている。
【０００８】
また、特許文献２では、同時に送信されてきた電子メールのＦｒｏｍアドレスに不明なものを大量に含むか否かを判定し、Ｆｒｏｍアドレスに不明なものが大量に含まれている場合には、その送信されてきた大量の電子メールのＦｒｏｍアドレスに送信メールを返信し、返信できた電子メールのみを適正な電子メールとして受信している。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００３−３１８９８７号公報
【特許文献２】特開２００３−２３４７８４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
ところで、送信元アドレスは容易に偽造し変更することが可能であるため、大量の送信元アドレスを事前に予測し、対応することは非常に困難である。
【００１１】
また、(D)DoS攻撃は個々のパケットレベルでは正常な通信との区別が困難なことから、なんらかの閾値を用いた検知が検討されているが、それらは対象となるネットワークの特性や利用状況によって大きく変化するものであるため、高い検知精度は期待できない。
【００１２】
また、(D)DoS攻撃は正常な通信との識別が困難なことから、間違った判断により正常な通信の送受信をも遮断してしまう可能性があった。
【００１３】
このように、従来技術では、(D)DoS攻撃の判定基準が複雑となっているため、検知が困難な小規模の(D)DoS攻撃の受信を余儀なくされたり、必要な通信をも受信拒否してしまうといった問題が生じていた。
【００１４】
本発明は、上記問題を解決するため、(D)DoS攻撃などの不正攻撃かあるか否かの判定基準を容易に行うことが可能な不正攻撃検知およびその追跡システムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
請求項１に係る発明は、インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、個々のフィールドの値の２つ以上の任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合には不正攻撃が行われていると判定する手段を備えたことを特徴とする不正情報検知システムである。フィールドの値としては、例えば、次のものが上げられる。
バージョン
ヘッダ長
ToS
全長
アイデンティフィケーション
フラグ
フラグメントオフセット
Time to Live
プロトコル
ヘッダチェックサム
発信元アドレス
到達先アドレス
オプション
ポート
【００１６】
あるフィールドの値の数は、例えば、フィールドの値が「発信元アドレス」として、区別できる発信元アドレスとして、ａ１（＝一郎）、ａ２（＝二郎）、ａ３（＝三郎）、・・・・ａｎ（＝ｎ郎）があった場合、フィールドの値の数はｎである。
【００１７】
また、フィールドの値の２つ以上の任意の組合せとして、例えば、フィールドの値として「発信元アドレス」と「到達先アドレス」との組合せによりフィールドの値を構成する。
まず前記同様、発信元アドレスとして、a1(＝一郎)、a2(＝二郎)、a3(＝三郎)、・・・・an(＝ｎ郎)があったとする。ak（ｋ＝１〜ｎ）について、到達アドレスの種類がmk個あるとすると、この場合における複数のフィールドの組合せにより構成されるフィールドの値の数はΣmk（ｋ＝１〜ｎ）となる。
【００１８】
請求項２に係る発明は、インターネット回線を通じて送信されてきたパケットのヘッダ内にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合には不正攻撃が行われていると判定することを特徴とする請求項４に記載の不正情報検知システムである。
【００１９】
前記パケットのヘッダ内にある送信元アドレスが詐称されたものではなく正規のものである場合、ホップ数はほぼ決まった値となることから、所定の値の範囲を予め設定しておくことで、ホップ数が前記所定の値の範囲から外れた場合に不正攻撃が行われていると判定することができる。
【００２０】
請求項３に係る発明は、請求項１乃至２に記載の不正情報検知システムを、インターネットの複数個所に設置することで不正攻撃の送信元を探索するようにしたことを特徴とする不正攻撃元探索システムである。
【００２１】
インターネットの複数個所に不正情報検知システムを設置して、各箇所で不正攻撃が行われているか判定する。例えば、２つの観測点で不正攻撃を検知した場合、２つの観測点を結ぶ経路を不正攻撃が通過したと判定することができるため、複数の観測点で不正攻撃が行われているか判定することで、不正攻撃の通過した経路を追跡することができ、不正攻撃の送信元を探索することができる。
【発明の効果】
【００２２】
本発明の不正情報検知システムによれば、同時に大量に送信されてきたパケットに対し、該パケットのヘッダ内のあるフィールド値の数が一定時間内に所定率に達した時に、略同期して送信元アドレス件数が所定率に達した場合には、その大量のパケットを(D)DoS攻撃パケットと判定することにより、特定の送信元アドレスに対して受信許可設定若しくは受信拒否設定をするといった細かく煩わしい設定をすることなく(D)DoS攻撃が送信されてきたことを認識および追跡することができる。
【図面の簡単な説明】
【００２３】
【図１】本発明の(D)DoS攻撃検知およびその追跡システムの概念図である。
【図２】（Ａ）はパケットデータフォーマットの説明図、（Ｂ）は通信量の一例を時系列で示したグラフ図、（Ｃ）はパケットのアドレス件数の一例を時系列で示したグラフ図である。
【図３】パケット探索を示す概念図である。
【図４】インターネットのシステムを示す概念図である。
【発明を実施するための形態】
【００２４】
前述した通り、ＤｏＳ攻撃とは、攻撃対象機器に処理能力を上回る非常に甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法である。
このＤｏＳ攻撃は次のような特徴を有している。
【００２５】
例えば、ヘッダ内のフィールドの値の一つである発信元アドレスは偽造されている（偽のアドレスが用いられている）攻撃元の発信元
アドレスであるパケットをフィルタすることにより、ＤｏＳ攻撃をブロックされないように、ＤｏＳ攻撃の発信元アドレスはランダムに選択されていることが一般的である。
【００２６】
ＤｏＳは非常に莫大なパケットが送信されるので、次のような方法で検知される。
【００２７】
第１の方法は、攻撃パケットもしくは、不正なパケットの数を数える方法である。どのようなパケットが不正であるかを判断することはむずかしい。なぜなら、ＤｏＳ攻撃に使われるパケット一つ一つは正常なパケットであるからである。
【００２８】
第２の方法は、検知したパケット全て（攻撃パケットも含む）を数える方法である。ネットワークトラフィックは時々刻々動的に変化する。従って、単にネットワークトラフィック量が増大したからといって、その現象はＤｏＳ攻撃によるものだと指摘することはできない。また、既にトラフィック量が飽和状態である場合は、ＤｏＳ攻撃があったとしても、トラフィック量は増加しない。
【００２９】
それに対して、本形態における方法は、ＤｏＳ攻撃の検知方法は、トラフィックの発信元アドレスを数える方法である。もし攻撃者がランダムに発信元アドレスを選択しているならば、観測される発信元アドレスの数も増加しているはずである。ある一定時間間隔では、１個の発信元アドレスに対して、そのような発信元アドレスを持つパケットは複数観測されるのが通常である。しかし、攻撃の最中では一般的に１個の（偽造された）発信元アドレスに対して、攻撃パケットは１個しか観測されない。このようにＤｏＳ攻撃を検知することができる。
【００３０】
発信元アドレス、到達先アドレスとその他の情報・データから構成されている。時間間隔でパケットを数える。例えば、図３に示すように、ネットワーク（Ｎｅｔ１）と攻撃先（Ｔａｒｇｅｔ）との間の経路にパケットを観測するための手段を設けておき、そこで、パケットを観測すればよい。かかる手段としては、例えばスニファー（Ｓｎｉｆｆｅｒ）やパッシブ型プローブなどの機器がある。
【００３１】
スニファー（Ｓｎｉｆｆｅｒ）や、パッシブ型プローブなどの機器は全てのパケットを観測でき、それらの機器は以下の値を数えあげることができる。
パケットの全数
ある特定の発信元アドレスを持つパケット数
ある特定の到達先アドレスを持つパケット数
発信元アドレス毎のパケット数
到達先アドレス毎のパケット数
特定のタイプのパケット数
これらの値は、一定時間間隔毎に収集可能である。
【００３２】
次にＤｏｓ攻撃の追跡方法について述べる。
【００３３】
ＤｏＳ攻撃元の追跡方法としては、第１に、不正なパケットの経路をチェックする（パケット追跡）方法がある。しかし、どのようなパケットが不正なのかを知る必要がある。
【００３４】
第２に、トラフィックパターンをチェックする方法がある。しかし、この方法は、不正確である。
【００３５】
それに対して、本発明の実施の形態においては、経路上において観測されるアドレス数の変化をチェックする方法である。全ての経由地で同様な現象が観測されると推測される以下のようなパターンが観測される。
【００３６】
時間（任意単位） パケット数 発信元アドレス数
１ １０００ ５０
２ ８００ ６０
３ ９００ ５７
４ １２００ ６４
５ ５０ ３０
６ １５００ ５３０
７ １８００ ５５０
８ １７００ ５７０
９ ８００ ８０
１０ ９００ ６５
上記において、時間６、７、８においては、パケット数とともに発信元アドレス数が増加している。そこでは、ＤｏＳ攻撃がなされている。
【００３７】
一方、図４に示すように、インターネットの各経路にスニファーＳｎ（ｎ＝１，２，３，・・・）を置いておき、そこでの観測結果同士を比較すればどの経路でＤｏＳ攻撃がなされているかを知ることができる。その経路を遮断すればＤｏＳ攻撃元を追跡することができ、必要に応じてその経路を遮断すればよい。また、その経路からの所定のパケットを遮断すればよい。
【００３８】
なお、本発明において、フィールドの値としては、IPv4 プロトコルパケットを例にした場合、次のものが例示される。
バージョン領域
ヘッダ長領域
ToS 領域
全長領域
アイデンティフィケーション領域
フラグ領域
フラグメントオフセット領域
Time to Live 領域
プロトコル領域
ヘッダチェックサム領域
発信元アドレス領域
到達先アドレス領域
オプション領域
ポート領域
【００３９】
本発明においては、これらのフィールドの個々の値の件数を検知してもよい。また、これらの個々のフィールドの値の２以上の任意の組合せをフィールドの値としてその件数を検知してもよい。
【００４０】
以下に例を示す。
カテゴリは一つ、ないしは複数のヘッダ領域によって定められるパケットを分類できる性質のことである。
(カテゴリの例) プロトコル領域がTCPであるパケット全て
便宜上“Total カテゴリ”というカテゴリを定義する。全てのパケットはこのカテゴリに属する。
【００４１】
今までの統計分析手法は、モニタや探査装置により観測されたパケットから、全ての観測パケット数や、あるカテゴリに対するパケット観測数などの標本値を元にしてきた。
【００４２】
【表１】
Etc…
【００４３】
カテゴリ変換 (C-Transform) における統計分析では、検知したパケットが属するカテゴリの数に着目する。上記の例において、プロトコル領域ごとのカテゴリの数を見た場合以下の通りになる。
【表２】
このようにパケットの数の分布からカテゴリの数の分布を作成する方法のことをカテゴリ変換“C-Transform” と呼ぶ。
【００４４】
いくつかのヘッダ領域の和によって作成されたカテゴリがとる事が可能な最大のカテゴリの数はその領域の合わせた幅による。例えば幅が合わせて4ビットの領域で作成されるカテゴリの場合、最大のカテゴリの数は16個（2の4乗）である。
【００４５】
しかし、IPヘッダにおけるVersion領域とProtocol領域のように、予め定義された以外の値を持つことができないヘッダ領域がある(ASSIGNED NUMBERS, RFC
790 参照)。そのためこのような領域から作成できる意味のあるカテゴリは限定される。
【００４６】
また、32ビット（4294967296）の幅を持つ発信元アドレス、到達先アドレスのように非常に大きな値を取り得る領域からのカテゴリ変換 (C-Transform) は特に興味深い統計を提供することになる。
【００４７】
本発明においては、インターネット回線上における、前記情報のカテゴリ数が所定の値となった場合に当該情報を不正情報と認定する。またホップ数を効果的に活用することで検知および追跡の効率を向上する。
【００４８】
（検知方法）
カテゴリ数、パケット数、通信量をそれぞれ以下のように定義する。1...iは時系列に並んだ値とする。
カテゴリ数 : C1, .... Ci, ....
パケット数 : P1, .... Pi, ....
通信量 : O1, .... Oi, ....
このとき、以下の条件で検知する。
a. Ci >T
b. Ci / Ci+1 >T
c. Ci / {Pi|Oi} >T
ここで、T は閾値である。Tは固定値もしくはトラフィックデータから算出される値である。例えば、T = F X
movingAverageOfStatistic ( in a, b, c above)のように上記のa,b,cの値の移動平均になんらかの数Fを乗じて差出されたものである。
また、Fは固定あるいはトラフィックデータから算出される値である。例えば、F = A X
standardDeviationOfStatistic のように標準偏差を用いて算出されることもある。
Aは定数である
【００４９】
インターネットにおいては、情報の無限循環を防止するために、ヘッダのＴＴＬ(Time to Live)のフィールドの値に基づきＨＯＰ（ホップ）の数が０となったらその情報をインターネット上から落とすことが行われている。ところで、ある送信元情報が示された場合、それが詐称されたものではなく正規の場合ＨＯＰ数はほぼ決まっている。したがって、その決まっているＨＯＰ数と比較して、実際に送られた来た詐称情報の場合のＨＯＰ数が異なる場合その情報は不正情報と判断することができる。
【実施例】
【００５０】
次に、本発明の(D)DoS攻撃検知およびその追跡システムの実施例を図面に基づいて説明する。
【００５１】
図１は本発明の(D)DoS攻撃検知およびその追跡システムを示す図である。図１において、１はインターネット回線、２はインターネット回線１に接続された送信元のコンピュータ本体、３はインターネット回線１に接続された受信側コンピュータ、４はインターネット回線１と受信側コ
ンピュータ３との間に接続された通信監視装置である。
【００５２】
尚、この通信監視装置４はネットワークに接続されるが、受信側コンピュータ３がサーバ等であった場合には、そのサーバを通信監視装置４としても良い。
この場合、受信とはサーバで割り当てたポートに対する通信の受信を意味、判定のための受信は含まないものとする。また、受信側コンピュータ３がプロバイダ所有のメールサーバーであった場合には、他のインターネット回線を通じてメール受信端末（例えば、パーソナルコンピュータ等）が接続されることとなる。
【００５３】
通常、送信側コンピュータ２から送信されるパケットは、図２（Ａ）に示すように、その通信を構成するパケットのパケットデータフォーマット１０のヘッダ部１１に、送信元アドレスに相当するSourceアドレス１２と送信先アドレス（受信側アドレス）に相当するDestinationアドレス１３とが含まれている。
【００５４】
通信監視装置４は、送信された値の数若しくはパケット数と、Sourceアドレス１２の件数とを監視する。
【００５５】
例えば、通常の送受信を想定した場合、送信元コンピュータ２から受信側コンピュータ３に送信される値の数は１件であり、例え、他の送信側コンピュータ（図示せず）から略同時期に他の通信が受信側コンピュータ３に送信されたとしても、その値の数とSourceアドレス１２とは１対１で比例して増える。
【００５６】
また、例えば、特定の通常の通信が偶然大容量となることがあり得る。この場合、従来の通信量に基づく検知では、その量だけを問題として、不正であると誤って判断されることがある。
【００５７】
この問題は、多くの通信が集まる人気のあるコンテンツを運用するサーバでは特に顕著な問題となり、通常の通信と(D)DoS攻撃を識別することが非常に困難となる。
【００５８】
このような場合、メール監視装置４では、図２（Ｂ）のピークＰ１に示すように、通信量としては通常の通信量よりも多い件数のパケットが送信されてきた判定する。
【００５９】
しかしながら、各パケットのSourceアドレス１２は共通、あるいは特定のグループで占められることから、そのパケットを正式に受信する。尚、カテゴリ数が所定数以内であった場合（例えば、１０件未満）に、その受信を許容するようにしても良い。
【００６０】
一方、実際には１台の送信側コンピュータ２から送信されたパケットでありながら、送信元アドレス（Sourceアドレス１２）をランダムに偽装して大量のパケットを受信側コンピュータ３に送信してきた場合、通信監視装置４では、図２（Ｂ）及び図２（Ｃ）のピークＰ２，Ｐ３に示すように、通信量（若しくはパケット数）が通常の通信の送受信のときよりも多くなると同時に、その各パケットのSourceアドレス１２も略同時期に増大することになる。
【００６１】
従って、通信量（若しくはパケット数）が所定数（例えば、１００件）を越えた際、Sourceアドレス１２の数も略同時期に所定数（例えば、９０件）若しくは所定率（例えば、パケットの数に対して９０％）を超えた場合には、その受信を拒否する。
【００６２】
尚、このような一斉同時送信に対応した一定時間内に送信されてきた通信の件数（若しくはパケット数）の所定数並びにSourceアドレス数の所定数の設定は、サーバーの処理能力やネットワークの容量に応じたり、受信側コンピュータ３の所有者の業種等に応じたりして設定することができる。
【００６３】
例えば、受信側コンピュータ３の所有者の業種がインターネット検索サービスやチケット販売等であった場合、多くの人の検索要求や人気のある旅行プランやイベント内容に対するアクセスが殺到するといったことが想定される。
【００６４】
従って、これらの業種等では、日常的に通信量も多いことが想定できるため、その平均的な受信件数を考慮して所定値（件数等）を設定すればよい。
【００６５】
また、このようなアクセスが殺到した場合であっても、(D)DoS攻撃に相当するような全く同じ時間（瞬間的）に大量の情報が送信されてくることは想定されるが、判定のための一定時間の設定を短くするといった設定変更でも対応は可能である。
【００６６】
また、不正攻撃元探索もできる。
【００６７】
また、特定のサーバが近隣にない、ネットワークの中間点であっても判定された不正攻撃先を割りだすことができる。
【符号の説明】
【００６８】
１…インターネット回線
２…送信側コンピュータ
３…受信側コンピュータ
４…通信監視装置（判定手段）
【特許請求の範囲】
【請求項１】
インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、個々のフィールドの値の２つ以上の任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合には不正攻撃が行われていると判定する手段を備えたことを特徴とする不正情報検知システム。
【請求項２】
インターネット回線を通じて送信されてきたパケットのヘッダ内にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合には不正攻撃が行われていると判定することを特徴とする請求項１に記載の不正情報検知システム。
【請求項３】
請求項１乃至２に記載の不正情報検知システムを、インターネットの複数個所に設置することで不正攻撃の送信元を探索するようにしたことを特徴とする不正攻撃元探索システム。
【請求項１】
インターネット回線を通じて送信されてきたパケットのヘッダ内のあるフィールドの値の数を監視し、個々のフィールドの値の２つ以上の任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合には不正攻撃が行われていると判定する手段を備えたことを特徴とする不正情報検知システム。
【請求項２】
インターネット回線を通じて送信されてきたパケットのヘッダ内にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合には不正攻撃が行われていると判定することを特徴とする請求項１に記載の不正情報検知システム。
【請求項３】
請求項１乃至２に記載の不正情報検知システムを、インターネットの複数個所に設置することで不正攻撃の送信元を探索するようにしたことを特徴とする不正攻撃元探索システム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１０−４５５２（Ｐ２０１０−４５５２Ａ）
【公開日】平成２２年１月７日（２０１０．１．７）
【国際特許分類】
【出願番号】特願２００９−１８５１７３（Ｐ２００９−１８５１７３）
【出願日】平成２１年８月７日（２００９．８．７）
【分割の表示】特願２００４−３０７９５３（Ｐ２００４−３０７９５３）の分割
【原出願日】平成１６年１０月２２日（２００４．１０．２２）
【出願人】（５０１１７５２８１）株式会社サイバー・ソリューションズ (7)
【Ｆターム（参考）】
【公開日】平成２２年１月７日（２０１０．１．７）
【国際特許分類】
【出願日】平成２１年８月７日（２００９．８．７）
【分割の表示】特願２００４−３０７９５３（Ｐ２００４−３０７９５３）の分割
【原出願日】平成１６年１０月２２日（２００４．１０．２２）
【出願人】（５０１１７５２８１）株式会社サイバー・ソリューションズ (7)
【Ｆターム（参考）】
[ Back to top ]